Фреймворк криптора/протектора с антиэмуляцией

[virt]

Ваш пример криптованный уже, но без мутации...

 

[Jefferson]

Mutate((BYTE*)(protect_data + 8), size_file, true);

Да, спасибо, отработал на ура!

Можно обкатать файл перед криптом, в этом проекте:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Уже пользуюсь, но часто файл ломает после нескольких проходов

 

[Jefferson]

Актуальный скан (Predator):

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Ген-детекты.

Как насчёт добавления в криптор генератора рандомных ресурсов? По типу VersionInfo и тд.
На скантайме помогает сбить детекты выше))

 

[X-Shar]

Кстати раньше его меньше детектили.

Да можно добавить, вообще его-бы доработать, добавить гуй с опциями и т.д.

А-то в вижуалке каждый раз некруто собирать...)))

 

[Jefferson]

В общем добился такого результата:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Насколько мне известно, F-Secure юзает движок авиры, поэтому убрав авиру, уйдёт и фсекьюр.

 

[X-Shar]

А это результат, на основе этого криптора ?

Вообще авира реагировала на структуру pe, раньше, можно делать как вы сказали рандомные ресурсы, плюс например разбить криптованный файл и разместить кусочками в ресурсах.

Таким образом сложно статическим анализом определить, что файл пакованный.

 

[Jefferson]

А это результат, на основе этого криптора ?

Да, инжект в себя, накинул рандомных ресурсов

Сейчас криптанул предатор:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Как бороться в авг и авастом? Или тут больше от самого криптуемого файла зависит?

 

[X-Shar]

Может от размера дата секции, т.е. чем больше размер ресурса, или дата-секции, тем больше вероятности, что файл пакованный.

Вот на двух скринах, в первом размер файла в пять раз меньше, чем во втором и детекта аваста на первом скрине нет.

Хотя может дело и не в этом.

Я поэтому и сказал, что хранить шифрованного зверька кусочками в ресурсах или дата секции, а потом его собирать, как вариант.

 

[Gerion]

Может от размера дата секции, т.е. чем больше размер ресурса, или дата-секции, тем больше вероятности, что файл пакованный.

Вот на двух скринах, в первом размер файла в пять раз меньше, чем во втором и детекта аваста на первом скрине нет.

Хотя может дело и не в этом.

Я поэтому и сказал, что хранить шифрованного зверька кусочками в ресурсах или дата секции, а потом его собирать, как вариант.

Скорее всего в этом, они же анализируют автоматически файл по каким то критериям. Если разбирать вредонос самому руками, то первое что ты смотришь, это вызываемые функции и возможность упаковки.

 

[Gerion]

Такое чувство,что кто-то целенаправленно льет сорцы на вирустотал, детект Eset от 18 числа.
Win32/Kryptik.GUCB