не знаю, чё-то публика прям так рЭагуЭт :) меж тем.. 99.9% "обзорщиков" линя тупо фапуют на окошки и думают, что этим усё кончается :)) Однако,...
а что тут анализировать? если все корневые апи надёжно перехватываются, то все события в системе и источники оных могут быть отслежены. правда,...
опять-таки как мы можем уйти от Поведенческих Маркеров? любой вариант упирается не в код как таковой, а в набор применяемых апи и в...
абсолютно неважно собирается ли код в озу иль на фс ==>> есть поведенческие маркеры, по коим аверка может отслеживать вирий без надобности особо...
то есть? нужен же изменяемый код? изменения могут происходить на целевой машине, но там всё-таки аверка (антивирус) стоит и самый простой способ...
Вы, Товарищи, не туда копаете :))) полиморф должен собираться на третьих машинах, а потом запускаться в целевую среду. такими "сборочными цехами"...
толку в той махинке было близко к Зеро ==>> оно и сейчас разработка самолётов идёт в основном чрез стендовые прогонки. внедрение таких няшек...
Indy_, Молодец:good2:правда, мне сейчас не до тестов с вынью.
мда.. :)))
отправка в хзк тожь вполне приемлема, ежель речь идёт о дидосах.
n=1,2
то бишь опкоды меняются.
полиморфизм может делаться без доп. записи/перезаписи, а засчёт сдвигов. jmp label -одно тело вызывается, а jmp [label+n] - другое
Indy_, и какой размер буфера?
Indy_, а что если твой код маленько поменять L2: push @L1 ret L1: func() dec eax jnz L2 jmp ebx тело функции не нарушает...
Indy_, и сколько наносек и озу нужно для распознавание хотя бы вот такого цикла?
я говорю про х86, то бишь 32 бита. а х64 меня вполне удовлетворяет.
если к некоему адресу возвращается 2-3 раза, то вполне себе цикл. Но главная проблема в несколько ином русле располагается: в цикле может...
kill x86 :))) самое, что меня ломает с этим хЪ86, это чудовищный недостаток регистров.
можно и без битмапа -- достаточно, что произошёл прыжок назад.
Имена участников (разделяйте запятой).
