Πώς να αλλάξετε packer σε ένα αρχείο τύπου .exe

Οι packers συμπιέζουν εκτελέσιμα αρχεία, τα οποία μετά τη συμπίεση τους παραμένουν εκτελέσιμα (καθώς αποσυμπιέζονται ισόχρονα με το runtime). Χρησιμοποιούνται για τη μείωση του όγκου ενός αρχείου, ώστε να αυξηθεί η ταχύτητα μεταφοράς του, καθώς και για προστασία, δυσκολεύοντας τη reverse engineering ανάλυση του. Οι λόγοι για τους οποίους θα χρειαστεί να αλλάξουμε packer σε ένα αρχείο τύπου .exe ποικίλουν, από καλύτερη συμπίεση μέχρι παράκαμψη κάποιου antivirus. Το τελευταίο, οφείλεται στο ότι τα antivirus γνωρίζουν τους αλγόριθμους των δημοφιλών packers, τους τρέχουν και ελέγχουν το περιεχόμενο του εκτελέσιμου προγράμματος. Συνεπώς, αν αναζητήσουμε κάποιον σπάνιο ή όχι τόσο γνωστό packer ώστε να συμπιέσουμε το αρχείο μας, αυξάνουμε τις πιθανότητες να μην εντοπιστεί από κάποιο antivirus.

Λοιπόν, θα αλλάξουμε packer στο πρόγραμμα PasswordFox της Nirsoft. Αρχικά, κατεβάζουμε το πρόγραμμα ExeInfo PE, το οποίο μας φανερώνει με ποιον packer είναι συμπιεσμένο ένα εκτελέσιμο αρχείο. Tο αποσυμπιέζουμε και το τρέχουμε. Στη συνέχεια, σέρνουμε μέσα του το PasswordFox.exe



Βλέπουμε πως μας δείχνει όχι μόνο τον packer (UPX), αλλά και τον τρόπο να το αποσυμπιέσουμε (upx.exe -d). Κατεβάζουμε, λοιπόν, τον packer με τον οποίο είναι συμπιεσμένο το πρόγραμμα μας, καθώς και τον packer με τον οποίο επιθυμούμε να το συμπιέσουμε στη συνέχεια (π.χ. mpress, mew11 κ.ά.), τους κάνουμε extract και τους βάζουμε σε ένα φάκελο μαζί με το PasswordFox. Στο συγκεκριμένο παράδειγμα θα χρησιμοποιήσουμε τον mpress.



Στη συνέχεια, κλικάρουμε Έναρξη > Εκτέλεση, γράφουμε cmd και χτυπάμε Enter. Πλοηγούμαστε στο φάκελο που έχουμε το πρόγραμμα και τους packers. Στο συγκεκριμένο παράδειγμα ο φάκελος ονομάζεται netgunz και βρίσκεται στον (C:), οπότε πληκτρολογούμε:
cd\
cd netgunz
Αφού έχουμε πλοηγηθεί στο φάκελο, πληκτρολογούμε:
upx.exe -d PasswordFox.exe
για να αποσυμπιέσουμε το πρόγραμμά μας από τον packer upx και στη συνέχεια
mpress.exe PasswordFox.exe
για να συμπιέσουμε το πρόγραμμά μας με τον packer mpress.



Η αλλαγή packer έχει πραγματοποιηθεί. Για να το διαπιστώσουμε, ανοίγουμε πάλι το ExeInfo PE και σέρνουμε μέσα του το PasswordFox.exe