DarKPhoeniX' homeland

kkrunchy est un packer particulièrement prisé par les groupes de demomaking.

Il a été codé par un membre du célèbre groupe de demomakers germanique Farbrausch, ryg, et il est régulièrement utilisé par de gros groupes comme Fairlight, Conspiracy, Equinox ou bien entendu Farbrausch.

Il possède la particularité de posséder un très grand facteur de compression, au détriment d’une vitesse de décompression très lente (plusieurs Mo par seconde pour la version alpha, et plusieurs secondes par Mo dans sa version alpha2...).

Il n’est pour cette raison pratiquement jamais utilisé en dehors du contexte demoscenique, son intérêt résidant principalement dans la conception de démos 64Ko.

A titre de comparaison, j’ai compressé l’exécutable de Putty avec kkrunchy et UPX.

• L’original fait une taille de 412 Ko.
• Celui compressé par UPX fait un peu plus de 200 Ko.
• Celui compressé par kkrunchy fait moins de 160 Ko.

Voici un unpacker pour sa version 0.23a et 0.23a2, qui sont les dernières releases en date depuis 3 ans.

J’ai tâché de faire en sorte que les exécutables en sortie soient relativement optimisés niveau taille, en déplacant et réinjectant certaines structures dans le PE.

Les sources ne sont pas excessivement commentées, voilà donc un bref résumé de ce que fait UnKK :

• UnKK joue le rôle de débogueur pour l’exécutable cible. Il le trace au fur et à mesure jusqu’à arriver à l’Original Entry Point. Au passage, il intercepte dans la mémoire du processus cible, la liste des imports, ainsi que l’adresse où débute la décompression.

• Le processus est alors dumpé en mémoire. Des corrections sont apportées de façon à obtenir un exécutable opérationnel :

• L’Import Table est reconstituée à partir des informations obtenues en mémoire et réinjectée dans le PE (celle-ci a été totalement supprimée par kkrunchy) et l’IAT est reconstruite.

• Les ressources, en partie déplacées dans le stub de kkrunchy, sont réinjectées dans le PE.

• Le stub de kkrunchy est supprimé du fichier, l’ImageBase est corrigée.

• Les RVA du PE sont recalculées par rapport à la nouvelle ImageBase.

• Le padding est supprimé.

• Les en-têtes PE sont corrigées pour la nouvelle taille.

• Le dump est sauvegardé sur le disque.

Voilà le binaire et les sources. Merci de me faire part de tout bug ou correction à effectuer.

Certaines personnes peuvent se demander quel est l’intérêt d’analyser ma- nuellement une routine de décompression au niveau binaire, alors que UPX est un opensource et qu’il suffirait donc juste de jeter un oeil au code. L’intérêt n’est evidemment pas dans l’unpacking lui même, mais dans les méthodes utilisées qui peuvent se retrouver pour l’analyse de packers dont les sources ne sont pas disponibles. De surcroit, UPX constitue un cas très simple à analyser et mettre en pratique ce qui présente l’avantage d’être un bon point de départ pour quelqu’un désirant s’investir dans le sujet. A l’heure où j’écris, UPX en est à sa version 3.01 et la méthode présentée dans cet article ne s’applique plus. Cependant il reste intéressant pour des débutants en rétroingénierie sur GNU/Linux.