-
-
[原创]变形过云查杀
-
发表于:
2011-8-9 10:04
12625
-
PS:360 8.1好生猛,刚更新完,就提示写的正常程序为病毒木马恶意程序,难道有进程注入就是恶意程序?还上传我写的程序到云服务器,要斩尽杀绝吗?
所以想到变形的重要性....
--------------------------------------------------------------------------------------------
变形结果:1.每次运行时,随机内存变形
2.每运行一次,程序本事的HASH值改变
3.每运行一次,易被定义为特征值的二进制代码片段改变
变形思路:1.内存引擎
2.MD5变形
3.代码引擎
(貌似云服务器暂时只以特征值和MD5定义病毒木马恶意程序)
变形方法:1.采用病毒的感染方式加壳
2.winrar捆绑
(第二种方法应该都能实现)
----------------------------------------------------------------
(暂时完成了三个版本,采用了注入,bat,静态修改的方式,
为了防止360把代码定义为查杀特征,这里只公布部分代码,感兴趣
的同学可以发站内信,或者加我 扣扣:2401733005)
;-------------------------------------------------------
;GetAPIAddr()
;-------------------------------------------------------
GetAPIAddr:
mov ebx,[eax+3ch]
add ebx,eax
add ebx,78h
mov ebx,[ebx]
add ebx, eax
mov ecx,ebx
push ebx
mov ebx,[ebx+32]
add ebx,eax
xor edx,edx
push esi
push edx
s3:
pop edx
pop esi
inc edx
mov edi,[ebx]
add edi,eax
add ebx,4
push esi
push edx
s1:
mov dl,[edi]
mov dh,[esi]
cmp dl,dh
jne s3
inc esi
inc edi
cmp BYTE PTR [esi],0
je s2
jmp s1
s2:
pop edx
pop esi
pop ebx
mov ecx,[ebx+36]
add ecx,eax
dec edx
shl edx,1
add ecx,edx
mov edx,0
mov dx,[ecx]
shl edx,2
mov ecx,[ebx+28]
add ecx,eax
add ecx,edx
add eax,[ecx]
ret
;-----------------------------------------------
;GetStrLen:
;------------------------------------------------
GetStrLen:
mov eax,0
mov ecx,0
get_start:
mov cl,BYTE ptr [ebx]
cmp cl,0
je get_over
inc eax
inc ebx
jmp get_start
get_over:
ret
;---------------------------------------------
head dd 0
file_offset dd 0
hMoudle dd 0
strdbg db '%d',0ah,0
hFile dd 0
num dd 0
buf db MAX_PATH dup(0),0
len dd 0
fileoffset dd 40960
path db MAX_PATH dup(0),0
old_oep dd 0
;---------------------------------------------
over:
。。。。。。。。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!