Русские антивирирусы оцтой

n2k

Ну Вы же прекрасно знаете, что ДОС и Винда - это две большие разницы. В ДОСе и Др.Веб прекрасно ловил резидентов.



Автор

Допустим, я написал перехватчик какой-то АПИ ф-ции для конкретного экзешника, мой перехватчик внедряется в образ экзешника в памяти (да хоть и в сам файл экзешника). Неужели не-оцтойный авирь должен обозвать мой перехватчик вирем???

 

noonv >

Эх, нужно было запатентовать технологю перед постом сюда, щас увидят маркетологи (

"Наш антивирь ловит вирусы используя технологии распознавания образов"

 

Шутка юмора в том, что эвристика во всех современных антивирях - это действительно "распознавание образов" в широком смысле этого слова.

 

iamlamer

Сканировал я онлайн сканерами на http://virusscan.jotti.org галки тут не причём, проверял я не вирь,а заражённый файл, т.к на сам вирус вообще все антивири молчат..

Действительно вчера я нашёл новый способ обхода эвристики)), попозже распишу как и чё..



Вот сам файл файл заражённый, ну тут полиморфизма немного,да дело то не в этом, то что точка входа тут в последней секции,да ещё .data )),должно было насторожить а/в..а они молчат как партизаны ..кроме nod32 есстесно..))

Кстати файл безобидный просто создаёт файл в %windir%csrss.exe и запускает, который выводит MessageBox.







_967951201__test.rar

 

А нащёт обхода эвристики и эмулятора в антивирях, наверно это и известно но я чёт не слышал, вощем NOD32 например не может эмулировать инстрикцию больше двух секунд, поэтому в декрипторе ставишь где угодно задержку в 2 секунды или меньше можно если декриптор большой, и всё он просто это файл отпускает с миром, проверено на Win32.Bagle в его декриптор засунул цикл:

Код (Text):

1.  
2. mov ebx, 512h
3. @loop:
4. dec ebx
5. test ebx, ebx
6. jnz @loop

проверил онлайн сканерами,все AV сосут и причмокивают ,т.к не могут расшифровать весь код..

 

"Лаборатория Касперского": черви вымирают.

http://www.securitylab.ru/56257.html

- новые "сенсационные" заявления Лаборатории )

 

[quot]"Лаборатория Касперского": черви вымирают.

http://www.securitylab.ru/56257.html

- новые "сенсационные" заявления Лаборатории )[/quot]



будут все чаще использоваться региональные рассылки вредоносных программ, направленные на затруднение обнаружения вредоносных программ в том регионе, где была произведена рассылка;

%-)