может получится обойти антивирь %) а может и нет :-P

вижу, что многие функции API начинаются с .....

Код (Text):

1. mov edi,edi

... фиг знает, зачем им понадобилась это =)

я вот подумал..
а что, если вызывать функцию так?

Код (Text):

1. mov eax,[ExitProcess]
2. inc eax
3. inc eax
4. call eax

Ведь два байта не обязательно первые... зачем помещать в EDI содержимое EDI..?
не получистя ли так обойти антивирь?

 

Necromancer13
а ты перед mov edi,edi видел 5 nop'ов? я думаю что это сделано специально для установки хуков

 

хы... точно.. возможно...

 

это в мс дебаггили

 

ну так можно таким способом обойти антивирь или нет? %)

 

Necromancer13
они же хучат из дровины, так что не выйдет.

 

Necromancer13
На сколько я знаю это для Hot patch'ей

 

dead_body
смотря что хучат.

 

антивири то можно и обойти - почему нет?
но проактивки тебе покажут то, за что меня банили два раза.

 

Думаю таким методом антивирь не надуть - эвристика, все же, не так плоха, как о ней думают многие...

 

есть смысл дровине хучить api ?

 

если это api - считал таблицу размещения и кидайся напрямую по оной, однако. хотя ... предложенный способ как раз наоборот ... для обхота хуков применима вполне.

 

У меня тоже была идея, подобная этой. Только я думал считывать несколько команд, с которых начинается апишка, выполнять их в своем коде, а затем прыгать уже на саму функцию после этих команд. Вроде НОД32 после таких извращений затих...

 

Ну обычно инструкции в себе выполняют чтобы бряков избежать на начало функции для антивирусов это па моему до ж..ы =)

 

Necromancer13
Хороший способ, реально может обойти эврестический анализ некоторых антивирусов. Но плохо, что может быть не стабильным и не переносимым - ибо этот пролог для HOTPATH'ей не везде.

KondraT
+1. Really! Стабильно и эффективно!

Twister
Эврестика не плоха, но все зависит от конкретного антивируса.

 

согласен.
Necromancer13
почему бы тогда сразу не делать sysenter ?
обойти антивирусы можно тем, что бы писать код, не похожий на вирусы, и содержащий кучу разных вызово АПИ. А вот нестандартное поведение может быть расценено как:
1) Warning! Unknown Packer
2) Warning! Suspicous File

 

Это выравнивание памяти

 

"Это выравнивание памяти"

враки это место для джампа

 

давайте обходить не абстрактный "антивирь", а конкретные элементы защиты

Так вот в конкретике:
1. В сеть таким образом не выйти. Т.к. хуки стоят в ядре
2. Сигнатуру таким образом не скрыть. Нужен морфер.
3. Проактивную защиту так же не обойти. Т.к. вся защита в ядре.

Тогда что остается? ))

от hijack перехватов многие ав отказались давно.
Эта технология малоэффективна.

Взять тот же аутпост 4й и 6й и сравнить количество сплайсов на юзермодные функции.

эмулятор таким образом тоже не обойти.
Касперский раскручивает на раз.

Так что тогда остается?? К чему создавать гемморой и проблемы с переносимостью?

Для универсального решения, нужно корректировать
инструкции с относ. переходом (например call ****, jz**, jmp**, loop **) и т.д.
Для этих целей нужен дизасм.

Цель средств не оправдывает.
для обхода эмуляторов есть более простые решения

 

Какие же?