joyce8/EMBER2024-capa huggingface dataset:
Function at 0x140007870
Capabilities:
Parse pe header

Disassembly:
test rcx, rcx
je 0x140007acc
push rdi
sub rsp, 0x90
xorps xmm0, xmm0
xor eax, eax
movups xmmword [rsp + 0x30], xmm0
mov qword [rsp + 0x40], rax
mov rdi, rcx
call qword [sym.imp.KERNEL32.dll_GetCurrentProcess]
mov r9d, 0x18
lea r8, [rsp + 0x30]
mov rcx, rax
mov rdx, rdi
call qword [sym.imp.PSAPI.DLL_GetModuleInformation]
test eax, eax
je 0x140007ac4
mov eax, 0x5a4d
mov qword [rsp + 0x80], r15
mov r15d, dword [rsp + 0x38]
cmp word [rdi], ax
jne 0x140007abc
movsxd rcx, dword [rdi + 0x3c]
lea rax, [rcx + 0x108]
cmp rax, r15
jae 0x140007abc
cmp dword [rcx + rdi], 0x4550
mov qword [rsp + 0xb0], rbp
lea rbp, [rcx + rdi]
jne 0x140007ab4
movzx eax, word [rbp + 4]
mov ecx, 0x14c
mov qword [rsp + 0xb8], rsi
xor esi, esi
mov qword [rsp + 0x88], r14
cmp cx, ax
jne 0x140007925
xor r14d, r14d
jmp 0x140007957
mov ecx, 0x200
mov r8d, 0xaa64
cmp cx, ax
je 0x140007949
mov ecx, 0x8664
cmp cx, ax
je 0x140007949
cmp r8w, ax
jne 0x140007aa4
cmp r8w, ax
mov r14d, 1
sete sil
mov qword [rsp + 0xa8], rbx
mov ebx, dword [rbp + 0x28]
add rbx, rdi
je 0x140007a9c
cmp rbx, rdi
jbe 0x140007a9c
lea rax, [r15 + rdi]
cmp rbx, rax
jae 0x140007a9c
xorps xmm0, xmm0
lea rdx, [rsp + 0x48]
mov r8d, 0x30
mov rcx, rbx
movups xmmword [rsp + 0x48], xmm0
movups xmmword [rsp + 0x58], xmm0
movups xmmword [rsp + 0x68], xmm0
call qword [sym.imp.KERNEL32.dll_VirtualQuery]
test rax, rax
je 0x140007a9c
test dword [rsp + 0x68], 0x1000
je 0x140007a9c
test dword [rsp + 0x70], 0x1000000
je 0x140007a9c
mov eax, dword [rsp + 0x6c]
xor ecx, ecx
test al, 0x10
jne 0x1400079e2
test al, 0x20
jne 0x1400079e2
test al, 0x40
jne 0x1400079e2
test al, al
jns 0x1400079e7
mov ecx, 1
test ecx, ecx
je 0x140007a9c
mov r9d, r14d
mov dword [rsp + 0x20], esi
mov r8d, r15d
mov rdx, rdi
mov rcx, rbp
call fcn.140008420
mov edx, 0x14
mov dword [rsp + 0xa0], 0
lea r9, [rsp + 0xa0]
mov rcx, rbx
lea r8d, [rdx + 0x2c]
call qword [sym.imp.KERNEL32.dll_VirtualProtect]
test eax, eax
je 0x140007a9c
test r14d, r14d
jne 0x140007a46
mov eax, dword [0x140028060]
mov dword [rbx], eax
movzx eax, byte [0x140028064]
mov byte [rbx + 4], al
jmp 0x140007a6a
test esi, esi
je 0x140007a56
mov rax, qword [0x140028058]
mov qword [rbx], rax
jmp 0x140007a6a
movzx eax, word [0x140028068]
mov word [rbx], ax
movzx eax, byte [0x14002806a]
mov byte [rbx + 2], al
mov r8d, dword [rsp + 0xa0]
lea r9, [rsp + 0xa0]
mov edx, 0x14
mov rcx, rbx
call qword [sym.imp.KERNEL32.dll_VirtualProtect]
call qword [sym.imp.KERNEL32.dll_GetCurrentProcess]
xor r8d, r8d
xor edx, edx
mov rcx, rax
call qword [sym.imp.KERNEL32.dll_FlushInstructionCache]
mov rbx, qword [rsp + 0xa8]
mov rsi, qword [rsp + 0xb8]
mov r14, qword [rsp + 0x88]
mov rbp, qword [rsp + 0xb0]
mov r15, qword [rsp + 0x80]
add rsp, 0x90
pop rdi
ret
Function at 0x14000c640
Capabilities:
Create directory

Disassembly:
mov qword [rsp + 0x10], rbx
push rdi
sub rsp, 0x80
mov rax, qword [0x140028010]
xor rax, rsp
mov qword [rsp + 0x70], rax
mov bl, dl
mov rdi, rcx
lea rcx, [rsp + 0x48]
call qword [sym.imp.Cmmlib.dll_public:_void___cdecl_Cmm::CFileName::constructor_void____ptr64]
nop
mov edx, 6
lea r8d, [rdx - 5]
lea rcx, [rsp + 0x48]
call qword [sym.imp.Cmmlib.dll_public:_void___cdecl_Cmm::CFileName::GetSpecialDirectory_enum_Cmm::CFileName::SpecialFolder__int____ptr64]
lea rcx, [rsp + 0x48]
call qword [sym.imp.Cmmlib.dll_public:_wchar_t_const____ptr64___cdecl_Cmm::CStringT_wchar_t_::c_str_void_const___ptr64]
mov rdx, rax
mov rcx, rdi
call qword [reloc.Cmmlib.dll___4__CStringT__W_Cmm__QEAAAEAV01_PEB_W_Z]
lea rdx, [0x14001d7d8]
mov rcx, rdi
call qword [sym.imp.Cmmlib.dll_public:_class_Cmm::CStringT_wchar_t_____ptr64___cdecl_Cmm::CStringT_wchar_t_::operator_wchar_t_const____ptr64____ptr64]
lea rdx, str.logs
mov rcx, rdi
call qword [sym.imp.Cmmlib.dll_public:_class_Cmm::CStringT_wchar_t_____ptr64___cdecl_Cmm::CStringT_wchar_t_::operator_wchar_t_const____ptr64____ptr64]
lea rdx, [0x14001d7d8]
mov rcx, rdi
call qword [sym.imp.Cmmlib.dll_public:_class_Cmm::CStringT_wchar_t_____ptr64___cdecl_Cmm::CStringT_wchar_t_::operator_wchar_t_const____ptr64____ptr64]
mov rcx, rdi
call qword [sym.imp.Cmmlib.dll_public:_wchar_t_const____ptr64___cdecl_Cmm::CStringT_wchar_t_::c_str_void_const___ptr64]
xor edx, edx
mov rcx, rax
call qword [sym.imp.KERNEL32.dll_CreateDirectoryW]
test bl, bl
je 0x14000c713
lea rcx, [rsp + 0x20]
call qword [sym.imp.Cmmlib.dll_public:_void___cdecl_Cmm::CStringT_wchar_t_::constructor_void____ptr64]
nop
mov dl, 1
lea rcx, [rsp + 0x20]
call fcn.14000c73c
lea rdx, [rsp + 0x20]
mov rcx, rdi
call qword [sym.imp.Cmmlib.dll_public:_class_Cmm::CStringT_wchar_t_____ptr64___cdecl_Cmm::CStringT_wchar_t_::operator_class_Cmm::CStringT_wchar_t__const____ptr64____ptr64]
nop
lea rcx, [rsp + 0x20]
call qword [sym.imp.Cmmlib.dll_public_virtual:_void___cdecl_Cmm::CStringT_wchar_t_::destructor_void____ptr64]
nop
lea rcx, [rsp + 0x48]
call qword [sym.imp.Cmmlib.dll_public_virtual:_void___cdecl_Cmm::CFileName::destructor_void____ptr64]
mov rcx, qword [rsp + 0x70]
xor rcx, rsp
call fcn.140014b90
mov rbx, qword [rsp + 0x98]
add rsp, 0x80
pop rdi
ret
Function at 0x14000f138
Capabilities:
Delete file
Get common file path
Move file

Disassembly:
mov qword [rsp + 8], rbx
push rdi
sub rsp, 0x440
mov rax, qword [0x140028010]
xor rax, rsp
mov qword [rsp + 0x430], rax
xor edi, edi
mov rbx, rdx
test rdx, rdx
je 0x14000f206
or rax, 0xffffffffffffffff
inc rax
cmp word [rdx + rax*2], di
jne 0x14000f169
test rax, rax
je 0x14000f206
mov rcx, rbx
call qword [sym.imp.KERNEL32.dll_DeleteFileW]
test eax, eax
jne 0x14000f206
xor edx, edx
lea rcx, [rsp + 0x20]
mov r8d, 0x410
call sub.VCRUNTIME140.dll_memset
lea rdx, [rsp + 0x20]
mov ecx, 0x207
call qword [sym.imp.KERNEL32.dll_GetTempPathW]
lea r9, [rsp + 0x20]
xor r8d, r8d
lea rdx, [0x140019404]
lea rcx, [rsp + 0x20]
call qword [sym.imp.KERNEL32.dll_GetTempFileNameW]
lea rcx, [rsp + 0x20]
call qword [sym.imp.KERNEL32.dll_DeleteFileW]
lea rdx, [rsp + 0x20]
mov rcx, rbx
call qword [sym.imp.KERNEL32.dll_MoveFileW]
test eax, eax
je 0x14000f1f5
lea rcx, [rsp + 0x20]
call qword [sym.imp.KERNEL32.dll_DeleteFileW]
test eax, eax
jne 0x14000f206
lea rbx, [rsp + 0x20]
xor edx, edx
mov rcx, rbx
lea r8d, [rdx + 4]
call qword [sym.imp.KERNEL32.dll_MoveFileExW]
jmp 0x14000f20b
mov eax, 1
mov rcx, qword [rsp + 0x430]
xor rcx, rsp
call fcn.140014b90
mov rbx, qword [rsp + 0x450]
add rsp, 0x440
pop rdi
ret
Function at 0x14000fe54
Capabilities:
Get token membership

Disassembly:
mov qword [rsp + 0x10], rbx
push rbp
mov rbp, rsp
sub rsp, 0x80
mov rax, qword [0x140028010]
xor rax, rsp
mov qword [rbp - 8], rax
and dword [rbp - 0x10], 0
lea rax, [rbp - 0x18]
mov qword [rsp + 0x50], rax
mov rbx, rcx
and dword [rsp + 0x48], 0
lea rcx, [rbp - 0x10]
and dword [rsp + 0x40], 0
mov r9d, 0x220
and dword [rsp + 0x38], 0
mov r8d, 0x20
and dword [rsp + 0x30], 0
mov dl, 2
and dword [rsp + 0x28], 0
and dword [rsp + 0x20], 0
mov word [rbp - 0xc], 0x500
call qword [sym.imp.ADVAPI32.dll_AllocateAndInitializeSid]
mov dword [rbp - 0x20], eax
test eax, eax
je 0x14000feec
mov rdx, qword [rbp - 0x18]
lea r8, [rbp - 0x20]
mov rcx, rbx
call qword [sym.imp.ADVAPI32.dll_CheckTokenMembership]
neg eax
sbb ecx, ecx
and dword [rbp - 0x20], ecx
mov rcx, qword [rbp - 0x18]
call qword [sym.imp.ADVAPI32.dll_FreeSid]
mov eax, dword [rbp - 0x20]
test eax, eax
setne al
mov rcx, qword [rbp - 8]
xor rcx, rsp
call fcn.140014b90
mov rbx, qword [rsp + 0x98]
add rsp, 0x80
pop rbp
ret

Function at 0x14000ff0c
Capabilities:
Get token privileges

Disassembly:
push rbp
push rbx
mov rbp, rsp
sub rsp, 0x48
xor ebx, ebx
mov qword [rbp + 0x30], rbx
mov qword [rbp + 0x28], rbx
call qword [sym.imp.KERNEL32.dll_GetCurrentProcess]
lea r8, [rbp + 0x30]
mov edx, 0xf01ff
mov rcx, rax
call qword [sym.imp.ADVAPI32.dll_OpenProcessToken]
test eax, eax
je 0x14000ffd5
mov rcx, qword [rbp + 0x30]
lea rax, [rbp + 0x20]
mov r9d, 4
mov dword [rbp + 0x20], ebx
lea r8, [rbp + 0x18]
mov dword [rbp + 0x18], 1
mov qword [rsp + 0x20], rax
lea edx, [r9 + 0xe]
call qword [sym.imp.ADVAPI32.dll_GetTokenInformation]
cmp dword [rbp + 0x18], 3
mov rcx, qword [rbp + 0x30]
jne 0x14000ffa0
mov r9d, 8
lea rax, [rbp + 0x20]
lea r8, [rbp - 0x18]
mov qword [rsp + 0x20], rax
lea edx, [r9 + 0xb]
call qword [sym.imp.ADVAPI32.dll_GetTokenInformation]
test eax, eax
je 0x14000ffaf
mov rcx, qword [rbp - 0x18]
mov qword [rbp + 0x28], rcx
jmp 0x14000ffb3
lea r8, [rbp + 0x28]
mov edx, 2
call qword [sym.imp.ADVAPI32.dll_DuplicateToken]
mov rcx, qword [rbp + 0x28]
test rcx, rcx
je 0x14000ffc9
call fcn.14000fe54
mov rcx, qword [rbp + 0x28]
mov bl, al
call qword [sym.imp.KERNEL32.dll_CloseHandle]
mov rcx, qword [rbp + 0x30]
call qword [sym.imp.KERNEL32.dll_CloseHandle]
mov al, bl
add rsp, 0x48
pop rbx
pop rbp
ret
Function at 0x14000ffdc
Capabilities:
Get common file path

Disassembly:
push rbx
sub rsp, 0x460
mov rax, qword [0x140028010]
xor rax, rsp
mov qword [rsp + 0x450], rax
mov rbx, rcx
mov qword [rsp + 0x28], rcx
and dword [rsp + 0x20], 0
xor edx, edx
mov r8d, 0x412
lea rcx, [rsp + 0x30]
call sub.VCRUNTIME140.dll_memset
mov edx, 0x208
lea rcx, [rsp + 0x30]
call qword [sym.imp.KERNEL32.dll_GetWindowsDirectoryW]
lea rdx, str.system32msiexec.exe
lea rcx, [rsp + 0x30]
call qword [sym.imp.SHLWAPI.dll_PathAppendW]
lea rdx, [0x14001dfd8]
mov rcx, rbx
call qword [sym.imp.Cmmlib.dll_public:_void___cdecl_Cmm::CStringT_wchar_t_::constructor_wchar_t_const____ptr64____ptr64]
mov dword [rsp + 0x20], 1
lea rdx, [rsp + 0x30]
mov rcx, rbx
call qword [sym.imp.Cmmlib.dll_public:_class_Cmm::CStringT_wchar_t_____ptr64___cdecl_Cmm::CStringT_wchar_t_::operator_wchar_t_const____ptr64____ptr64]
lea rdx, [0x14001dfd8]
mov rcx, rbx
call qword [sym.imp.Cmmlib.dll_public:_class_Cmm::CStringT_wchar_t_____ptr64___cdecl_Cmm::CStringT_wchar_t_::operator_wchar_t_const____ptr64____ptr64]
mov rax, rbx
mov rcx, qword [rsp + 0x450]
xor rcx, rsp
call fcn.140014b90
add rsp, 0x460
pop rbx
ret
Function at 0x1400144f0
Capabilities:
Get token membership

Disassembly:
push rbx
sub rsp, 0x80
mov rax, qword [0x140028010]
xor rax, rsp
mov qword [rsp + 0x78], rax
xor ebx, ebx
mov word [rsp + 0x6c], 0x500
lea rax, [rsp + 0x60]
mov dword [rsp + 0x70], ebx
mov qword [rsp + 0x50], rax
lea rcx, [rsp + 0x68]
mov dword [rsp + 0x48], ebx
mov r9d, 0x220
mov dword [rsp + 0x40], ebx
lea r8d, [rbx + 0x20]
mov dword [rsp + 0x38], ebx
mov dl, 2
mov dword [rsp + 0x30], ebx
mov dword [rsp + 0x28], ebx
mov dword [rsp + 0x20], ebx
mov dword [rsp + 0x68], ebx
call qword [sym.imp.ADVAPI32.dll_AllocateAndInitializeSid]
test eax, eax
je 0x14001457f
mov rdx, qword [rsp + 0x60]
lea r8, [rsp + 0x70]
xor ecx, ecx
call qword [sym.imp.ADVAPI32.dll_CheckTokenMembership]
cmp dword [rsp + 0x70], ebx
mov eax, 1
mov rcx, qword [rsp + 0x60]
cmovne ebx, eax
call qword [sym.imp.ADVAPI32.dll_FreeSid]
mov eax, ebx
mov rcx, qword [rsp + 0x78]
xor rcx, rsp
call fcn.140014b90
add rsp, 0x80
pop rbx
ret

Function at 0x1400145a0
Capabilities:
Create process on windows

Disassembly:
mov qword [rsp + 8], rbx
push rdi
sub rsp, 0x30
mov rdi, qword [rsp + 0x60]
mov rbx, r9
call fcn.140014410
test eax, eax
jne 0x1400145e0
lea r9d, [rax + 1]
xor r8d, r8d
xor edx, edx
mov rcx, rbx
call fcn.140013960
test eax, eax
jne 0x1400145e0
mov eax, 0xb
mov rbx, qword [rsp + 0x40]
add rsp, 0x30
pop rdi
ret
call fcn.140014410
test eax, eax
jne 0x1400145ee
call fcn.1400144f0
mov dword [rsp + 0x68], 1
mov r9, rdi
mov r8, rbx
mov qword [rsp + 0x60], 0
xor edx, edx
xor ecx, ecx
mov rbx, qword [rsp + 0x40]
add rsp, 0x30
pop rdi
jmp qword [sym.imp.SHELL32.dll_ShellExecuteW]
Function at 0x140014620
Capabilities:
Get common file path

Disassembly:
push rbx
sub rsp, 0x250
mov rax, qword [0x140028010]
xor rax, rsp
mov qword [rsp + 0x230], rax
xor ebx, ebx
xor eax, eax
lock cmpxchg dword [0x14002d2e0], ebx
mov ecx, eax
jne 0x140014682
lea rcx, str.kernel32.dll
call qword [sym.imp.KERNEL32.dll_GetModuleHandleA]
test rax, rax
je 0x140014675
lea rdx, str.RemoveDllDirectory
mov rcx, rax
call qword [sym.imp.KERNEL32.dll_GetProcAddress]
lea ecx, [rbx + 2]
test rax, rax
jne 0x14001467a
mov ecx, 1
mov eax, ecx
xchg dword [0x14002d2e0], eax
cmp ecx, 1
jne 0x140014819
mov qword [rsp + 0x260], rbp
lea rcx, [rsp + 0x20]
mov qword [rsp + 0x268], rsi
xor edx, edx
mov qword [rsp + 0x270], rdi
mov r8d, 0x208
mov qword [rsp + 0x248], r14
mov qword [rsp + 0x240], r15
call sub.VCRUNTIME140.dll_memset
mov edx, 0x104
lea rcx, [rsp + 0x20]
call qword [sym.imp.KERNEL32.dll_GetSystemDirectoryW]
test eax, eax
je 0x140014815
cmp word [rsp + 0x20], bx
je 0x140014815
mov ebp, ebx
lea rax, [rsp + 0x20]
mov rsi, rbx
mov rdi, 0xffffffffffffffff
nop dword [rax]
inc rdi
cmp word [rax + rdi*2], bx
jne 0x140014700
mov r15d, 0x5c
test rdi, rdi
je 0x140014733
movzx eax, word [rsp + rdi*2 + 0x1e]
mov rbx, rdi
cmp r15w, ax
je 0x140014733
mov ecx, 0x2f
cmp cx, ax
je 0x140014733
lea ebp, [rcx - 0x2e]
lea rbx, [rdi + 1]
add rbx, 0xb
je 0x140014815
lea rbx, [rbx*2 + 2]
call qword [sym.imp.KERNEL32.dll_GetProcessHeap]
mov r8, rbx
mov edx, 8
mov rcx, rax
call qword [sym.imp.KERNEL32.dll_HeapAlloc]
mov r14, rax
test rax, rax
je 0x140014815
test rdi, rdi
je 0x140014781
lea r8, [rdi + rdi]
mov rcx, rax
lea rdx, [rsp + 0x20]
call sub.VCRUNTIME140.dll_memcpy
mov rsi, rdi
test ebp, ebp
je 0x14001478d
mov word [r14 + rsi*2], r15w
inc rsi
movups xmm0, xmmword [str.version.dll]
mov rcx, r14
movups xmmword [r14 + rsi*2], xmm0
mov eax, dword [0x14001ed50]
mov dword [r14 + rsi*2 + 0x10], eax
movzx eax, word [0x14001ed54]
mov word [r14 + rsi*2 + 0x14], ax
call qword [sym.imp.KERNEL32.dll_LoadLibraryW]
mov rbx, rax
call qword [sym.imp.KERNEL32.dll_GetProcessHeap]
mov r8, r14
xor edx, edx
mov rcx, rax
call qword [sym.imp.KERNEL32.dll_HeapFree]
mov rax, rbx
mov r14, qword [rsp + 0x248]
mov rdi, qword [rsp + 0x270]
mov rsi, qword [rsp + 0x268]
mov rbp, qword [rsp + 0x260]
mov r15, qword [rsp + 0x240]
mov rcx, qword [rsp + 0x230]
xor rcx, rsp
call fcn.140014b90
add rsp, 0x250
pop rbx
ret
xor eax, eax
jmp 0x1400147d4
xor edx, edx
lea rcx, str.version.dll
mov r8d, 0x800
call qword [sym.imp.KERNEL32.dll_LoadLibraryExW]
jmp 0x1400147fc
Function at 0x140001ef8
Capabilities:
Encode data using xor

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
sub cl, byte [rcx]
xor rax, 0x2a7f588a
xchg ecx, eax
jp 0x140001ec2
jge 0x140001f1e
mov ah, 0x8b
fcom dword [rbx - 0x2ee22a43]
sbb eax, 0xe64625d1
invalid
mov ss, word [rdx - 0xd]
cmp eax, 0xa7380159
invalid
cmpsd dword [rsi], dword [rdi]
jnp 0x140001f76
invalid
xchg esi, eax
lodsd eax, dword [rsi]
xor eax, 0x5d921c18
movsd dword [rdi], dword [rsi]
imul edi, dword [rsi], 0xffffff92
sub byte [rdi - 0xc], bh

Function at 0x140003510
Capabilities:
Encode data using xor

Disassembly:
jns 0x1400034cf
loope 0x14000350e
mov edx, 0x21802d48
pushfq
jb 0x140003477
iretd
pop rbp
wait
xor r10b, byte [0x11eb86da0]
nop
xor cl, byte [rbx + 0x2745cd73]
cmp ah, 0x99
jae 0x140003507
int 0x95
jns 0x140003585
xchg ebp, eax
sbb dword [rbp + 0x71], 0x908657c7
invalid
mov ah, 0x3e

Function at 0x140009750
Capabilities:
Encode data using xor

Disassembly:
push rdi
adc eax, 0xbec52388
test ebp, edi
xchg esp, eax
xor al, dl
mov al, 0x1d
loopne 0x140009746
in al, 0x72
sar dword [rbp + 0x7f5d7fb8], cl

Function at 0x14000a2a0
Capabilities:
Encode data using xor

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
pop rsp
loopne 0x14000a23a
add dword [rsi - 0x64d6bedd], edi
invalid

Function at 0x14000b5cc
Capabilities:
Encode data using add xor sub operations

Disassembly:
jp sym.DUI70.dll_public:_static_struct_DirectUI::IClassInfo____ptr64___cdecl_DirectUI::CCCommandLink::GetClassInfoPtr_void_
cmp eax, 0x34edaf3e
adc eax, 0xdeb8ed4e
xchg ebp, eax
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b5f0
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b620
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b640
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
Function at 0x14000b658
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b688
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b6d0
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b6dc
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b6fc
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b728
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
Function at 0x14000b768
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b788
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b7b0
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b7bc
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh

Function at 0x14000b7c8
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
add byte [rax - 0x6f6f6f70], dl
nop
nop
nop
nop

Function at 0x14000b7e8
Capabilities:
Encode data using add xor sub operations

Disassembly:
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
xor byte [rax], dh
add byte [rax - 0x6f6f6f70], dl
nop
nop
nop
nop

Function at 0x14000b9d0
Capabilities:
Encode data using xor

Disassembly:
xor al, 0x90
jb 0x14000b982
sbb dl, byte [rdi]
or byte [rcx + 0x34d3736e], 0xa1
jp 0x14000b9dc
call [rdi + rdx*2 - 0xba2a086]
xchg edi, eax
cmp eax, 0xe601538
mov eax, 0x8b0ac4de
jb 0x14000b9de
jp 0x14000b9e3
pop rbp
sbb al, 0x80
jno 0x14000ba0d
sal dword [rdi + 0x6d], cl
jne 0x14000b9fc
iretd
fdivrp st(1)
nop
invalid
pop rbp
out 0xa3, eax
push rdi
jp 0x14000b976
xchg edx, eax
hlt
js 0x14000ba73
pop rbp
invalid
mov esp, 0x8b1a9dde
jb 0x14000b9ce
invalid

Function at 0x14000c334
Capabilities:
Encode data using xor

Disassembly:
sbb al, 0x80
je 0x14000c305
in al, dx
jbe 0x14000c393
jbe 0x14000c393
push rdi
jbe 0x14000c3f3
push rdi
invalid