added WRITEB virtual instruction

include/vmprofiler.hpp

@@ -60,6 +60,7 @@ namespace vm
             WRITEQ,
             WRITEDW,
             WRITEW,
+            WRITEB,
 
             ADDQ,
             ADDDW,
@@ -150,6 +151,7 @@ namespace vm
 
             extern vm::handler::profile_t writeq;
             extern vm::handler::profile_t writedw;
+            extern vm::handler::profile_t writeb;
 
             extern vm::handler::profile_t readq;
             extern vm::handler::profile_t readdw;

src/vmprofiles/write.cpp

@@ -89,6 +89,48 @@ namespace vm
                                instr.operands[ 1 ].type == ZYDIS_OPERAND_TYPE_REGISTER &&
                                instr.operands[ 1 ].reg.value == ZYDIS_REGISTER_EDX;
                     } } } };
+
+            vm::handler::profile_t writeb = {
+                // MOV RAX, [RBP]
+                // MOV DL, [RBP+0x8]
+                // ADD RBP, 0xA
+                // MOV [RAX], DL
+                "WRITEB",
+                WRITEB,
+                NULL,
+                { { // MOV RAX, [RBP]
+                    []( const zydis_decoded_instr_t &instr ) -> bool {
+                        return instr.mnemonic == ZYDIS_MNEMONIC_MOV &&
+                               instr.operands[ 0 ].type == ZYDIS_OPERAND_TYPE_REGISTER &&
+                               instr.operands[ 0 ].reg.value == ZYDIS_REGISTER_RAX &&
+                               instr.operands[ 1 ].type == ZYDIS_OPERAND_TYPE_MEMORY &&
+                               instr.operands[ 1 ].mem.base == ZYDIS_REGISTER_RBP;
+                    },
+                    // MOV DL, [RBP+0x8]
+                    []( const zydis_decoded_instr_t &instr ) -> bool {
+                        return instr.mnemonic == ZYDIS_MNEMONIC_MOV &&
+                               instr.operands[ 0 ].type == ZYDIS_OPERAND_TYPE_REGISTER &&
+                               instr.operands[ 0 ].reg.value == ZYDIS_REGISTER_DL &&
+                               instr.operands[ 1 ].type == ZYDIS_OPERAND_TYPE_MEMORY &&
+                               instr.operands[ 1 ].mem.base == ZYDIS_REGISTER_RBP &&
+                               instr.operands[ 1 ].mem.disp.value == 0x8;
+                    },
+                    // ADD RBP, 0xA
+                    []( const zydis_decoded_instr_t &instr ) -> bool {
+                        return instr.mnemonic == ZYDIS_MNEMONIC_ADD &&
+                               instr.operands[ 0 ].type == ZYDIS_OPERAND_TYPE_REGISTER &&
+                               instr.operands[ 0 ].reg.value == ZYDIS_REGISTER_RBP &&
+                               instr.operands[ 1 ].type == ZYDIS_OPERAND_TYPE_IMMEDIATE &&
+                               instr.operands[ 1 ].imm.value.u == 0xA;
+                    },
+                    // MOV [RAX], DL
+                    []( const zydis_decoded_instr_t &instr ) -> bool {
+                        return instr.mnemonic == ZYDIS_MNEMONIC_MOV &&
+                               instr.operands[ 0 ].type == ZYDIS_OPERAND_TYPE_MEMORY &&
+                               instr.operands[ 0 ].mem.base == ZYDIS_REGISTER_RAX &&
+                               instr.operands[ 1 ].type == ZYDIS_OPERAND_TYPE_REGISTER &&
+                               instr.operands[ 1 ].reg.value == ZYDIS_REGISTER_DL;
+                    } } } };
         } // namespace profile
     }     // namespace handler
 } // namespace vm