Deobfuscation and Analysis of Ring-1.io
L’article analyse le fonctionnement d’un cheat complexe, en examinant son architecture répartie entre l’utilisateur, le noyau, Hyper‑V et le firmware, ainsi que ses mécanismes d’évasion et d’inspection. Il décrit le loader et le bootloader implantés qui remplacent des fichiers de démarrage EFI, cryptent des parties de communication et utilisent JWT pour authentifier et récupérer les cheats, tout en compromettant Secure Boot. Le document détaille l’injection et le mapping dans Hyper‑V, les hooks VMEXIT et les techniques EPT/SLAT utilisées pour masquer l’exécution et accéder à la mémoire guest et à l’hôte Hyper‑V. La section sur l’injection de processus décrit le clonage des tables de pages, l’insertion d’entrées malveillantes et le chargement des pages malicieuses à travers des interceptions du CR3 et du gestionnaire KiPageFault. Plusieurs mécanismes de détection sont évoqués, comme le Shadow PML4E, l’analyse IPT, le scan mémoire 0xCE et l’analyse de l’intégrité EFI, avec une conclusion soulignant les implications défensives et le besoin d’un modèle de menace rigoureux.