Statická inventura ovladače CFL-605RT 1.60

Výsledek

• MMKPLT.dll je generátor kreslicího proudu. INF jej přiřazuje modelu CFL jako DriverFile, binárka načítá CFLJJ.PCD, obsahuje příkazové fragmenty MGL a zapisuje přes WritePrinter.
• CFLJJ.PCD je modelová konfigurace rodiny CFL. Přímo určuje model 11, příkazovou větev MGL-IIc, šest per a inicializaci IN;.
• Přibalený MPMSERV_1.dll má dvě instalační role. INF jej přiřazuje CFL jako LanguageMonitor a samostatný monitor.inf jej registruje jako PortMonitorDll.
• Dokumentace S02 ručně volí Standard TCP/IP Port Monitor, režim RAW a port 11110. Systémový monitor vytváří TCP spojení pouze pro tuto zvolenou konfiguraci.
• Archiv neprokazuje konkrétní řetězec jedné úlohy, vazbu na zvolený port, životní cyklus spojení ani přesný epilog MGL. Tyto body zůstávají otevřené pro Task 4.

Analýza nespustila žádnou binárku Windows, neinstalovala ovladač a nekontaktovala plotr.

Vzorek a podpis

Příkaz signtool verify neověřil Authenticode. Lokální program signtool je nástroj NSS a přepínač verify nezná. Statická kontrola potvrzuje vložený PKCS#7 řetězec a subjekt Mimaki, nikoli aktuální důvěryhodnost celého řetězce.

Instalační vrstvy

Skript extract-driver-1.60.sh před vytvořením cílového adresáře ověří velikost 3 055 616 B a přesný SHA-256 archivovaného instalátoru. Jiný soubor proto nepředá programům bsdtar ani unshield. Tato vazba brání tomu, aby změněný archiv předal externímu extraktoru škodlivou cestu pro průchod adresářů (path traversal). Skript není obecným extraktorem jiných instalátorů.

Vložený parser nejprve bez zápisu ověří DOS a PE hlavičky, rozsahy všech sekcí, počet streamů, ukončení a dekódování UTF-16LE, číselné délky, cesty, duplicity a rozsahy všech devíti payloadů. Adresář installshield/ vytvoří až po validaci celé tabulky. Potom předá pouze identifikovaný data1.cab programu unshield.

Kompletní inventura obsahuje 61 souborů. driver-files.tsv má pro každý soubor relativní cestu, velikost, SHA-256 a výsledek file. Inventura neobsahuje absolutní cestu.

Modelová konfigurace

INF vytváří tento přímý řetězec:

[CFL]
CopyFiles=@CFLJJ.PCD,MIMAKI_CF,MIMAKIMON
DataSection=CFL_DATA

[CFL_DATA]
DriverFile=MMKPLT.DLL
ConfigFile=MMK_UI.DLL
DataFile=CFLJJ.PCD
LanguageMonitor="MIMAKI Port Monitor2,MPMSERV_1.dll"

CFLJJ.PCD je v x86 a amd64 shodný soubor s SHA-256 15e8fe9037d518f09dee5f12e928def5f3deb04da662731e58cb905ccd723d51.

PCD neobsahuje fyzickou mapu šesti per, převod souřadnic ani serializaci profilových hodnot.

Relevantní PE moduly

Generátor MGL

MMKPLT.dll splňuje tři nezávislé podmínky identifikace:

1. MMKCUT.INF jej přiřazuje sekci CFL_DATA jako DriverFile.
2. Exportuje DrvEnableDriver a importuje GDI operace vektorové cesty včetně PATHOBJ_bEnum a PATHOBJ_vEnumStart.
3. Importuje WritePrinter, obsahuje text MGL-IIc, klíče MODEL, PENNOMAX a PAGEINIT a krátké příkazové řetězce.

Binárka obsluhuje více modelů. Kromě IN; z CFLJJ.PCD proto žádný uvedený fragment ještě není prokázanou sekvencí CFL. Task 4 musí najít větev MODEL=11 a volající funkce.

Transport

INF tiskárny registruje MPMSERV_1.dll jako LanguageMonitor. Samostatný monitor.inf registruje stejný modul jako PortMonitorDll. Modul exportuje InitializePrintMonitor2 a importuje:

• SetupDiGetClassDevsW, SetupDiEnumDeviceInterfaces a SetupDiGetDeviceInterfaceDetailW;
• CreateFileW, DeviceIoControl, WriteFile a GetOverlappedResult;
• OpenPrinterW, SetJobW a ClosePrinter.

Modul nemá statické importy socket, connect, send, recv, shutdown, closesocket ani knihovny Winsock. Neobsahuje řetězce 11110, TCP, UDP, RAW ani SNMP. Tento nález neprokazuje absenci dynamicky vyvolané síťové operace, handshake ani transformace proudu přes callbacky monitoru.

Pro Ethernet dokumentace Mimaki na S02 ručně vybírá Standard TCP/IP Port Monitor, režim RAW a port 11110. Microsoft na S06 potvrzuje, že právě takto zvolený systémový monitor posílá tisková data přes TCP na nastavený port. Archiv ovladače neobsahuje konfiguraci konkrétní tiskárny a neprokazuje, že každá úloha používá tento port.

InitializePrintMonitor2 vrací tabulku callbacků monitoru a jazykový monitor může volat podřízený monitor přes ukazatele funkcí. Task 4 musí určit callbacky StartDocPort, WritePort, ReadPort, EndDocPort a ClosePort a jejich vazbu na zvolený port. Teprve potom může určit řetězec úlohy a případnou transformaci nebo handshake.

Vazba na otevřené otázky

Žádná otázka Qxx ještě nesplnila svou úplnou podmínku uzavření. Task 3 proto žádnou otázku neodstraňuje.

Moduly vyřazené z další protokolové analýzy

• Setup.exe, ISSetup.dll, isrt.dll, _isres_*.dll, MmkSetup.dll, dotnetinstaller.exe a ISBEW64.exe patří instalačnímu enginu.
• MPMUI_1.dll, MBrowse.dll a mploc*.ini obsluhují dialog monitoru a výběr adresáře. MBrowse.dll exportuje pouze ChangeFolder.
• MCF*.chm, CLocalize*.ini, licence, tabulky řetězců a paleta popisují UI. Nápověda zpřesnila význam hodnoty nula, ale neobsahuje bajtový protokol.
• MMK_UI.dll zůstává pouze podpůrným zdrojem názvů a rozsahů. Nemá důkaz, že zapisuje MGL proud.

Task 4 má dále analyzovat MMKPLT.dll, větev modelu 11, tabulku callbacků MPMSERV_1.dll a vazbu callbacků na zvolený port. Systémový Standard TCP/IP Port Monitor je relevantní pouze pro ručně zvolenou konfiguraci S02.

Reprodukční prostředí

• bsdtar 3.5.3, libarchive 3.7.4;
• Python 3.14.6, pouze standardní knihovna;
• unshield 1.6.2;
• file 5.41;
• Apple LLVM objdump 17.0.0.

Pracovní výpisy objdump, ASCII řetězce, výpisy PE prostředků a rozbalená nápověda zůstávají v ignorovaném adresáři extracted/.