может получится обойти антивирь %) а может и нет :-P

nester7
В теории:
1. Либо бить по времени эмуляции
2. Либо делать упор на неэмулируемые элементы

На практике:
1. Ресурсоемкий алгоритм шифровки. (AES, RC4 например)
2. Те же апи заюзать. К примеру из ntdll


PS: поиск по сайту рулит

 

К стате Авира например анализирует таблицу импорта а не сёрфит файл в поисках вызовов апи. тоесть достаточно сделать LoadLibrary, GetProcAdress и авара заткнётся =)

воабще была тема схожая
http://wasm.ru/forum/viewtopic.php?id=27035

 

2FED
Да, Анализирует
Но вскрытие показало, что анализ не полный, а только kernel32.dll импорта
Авире не нравится только битый импорт кернела
Без кернела все тихо

 

Colibri Ну не скажи, у меня пенилась на присутствие UrlDownloadToFile, и эта функция определана в urlmon.dll

 

2FED
это само собой
Сетевые функции, а так же VirtualProtect, CreateProcess, WinExec, CreateRemoteThread, и еще несколько увеличивают счетчик в эвристике

 

Самую главную забыл, WriteProcessMemory =)