请大牛分析下，蒙蔽【全世界杀软】使得 EXE 格式的木马，被认为是 JPEG 格式的原理！

显示全部楼层 · 发表于 2014-5-26 11:24:12

最近看到一篇文章，作者通过一定的方法使得一个 EXE 可执行文件，被全世界杀毒都认为是 JPEG 格式的文件！

不是那种简单的利用 XP 漏洞进行后缀名修改，是真正的让 全世界杀毒 认为该木马文件是 JPEG 格式的文件！

这是作者对于自己的木马的一番描述：“首先说明一下，jpeg文件（其他也一样，但是我没测试过。）是有着自己用启动和运行特征的。只有具备了它独特的特征后，我们的电脑上才能看到它呈现出来的影像。所以，我在编写dat的时候，在启动时加入了jpeg文件的特征（不是用其他软件替换，是在易语言编写中实现的）和启动顺序。然后在调用我们的客户端程序及子程序！让杀毒判定我们的程序是jpeg文件。这就是原理。但必须要掌握jpeg的独特的特征。然后我们需要在易语言的_启动窗口中编写出来jpeg的特征，仿造它去运行，让杀毒一位我们的程序就是jpeg文件，而不是dat或是exe等等。这也就是解开了为什么在virscan.org 网站的报表中，我的dat文件类型为什么是：“JPEG image data, JFIF standard 1.02 ”了。”

请大牛分析下这种可怕的木马，他到底是怎样实现让一个 EXE 可执行文件，被全世界杀毒都认为是 JPEG 格式的文件？

看到有的大神说是什么 loader ，菜鸟完全不懂~希望大神不吝赐教，详细分析下该木马的实现原理，谢谢咯~

显示全部楼层 · 发表于 2014-5-26 11:49:06

有完整的样本么，如果将特征修改成jpeg格式的话，那么系统只会认为它是jpeg（损坏的），而这个jpeg还能释放出木马并执行，感觉不太靠谱，除非是木马作者掌握了jpeg的漏洞啥的（这个更不靠谱了）

显示全部楼层 · 发表于 2014-5-26 11:54:46

熊猫烧书发表于 2014-5-26 11:49
有完整的样本么，如果将特征修改成jpeg格式的话，那么系统只会认为它是jpeg（损坏的），而这个jpeg还能释放 ...

我猜测这个配置好的木马本质上还是个PE，只是在某些地方加入部分的jpeg的特征码，这种其实和普通的特征码免杀没什么区别，以上是猜测。。

显示全部楼层 · 发表于 2014-5-26 11:55:51

熊猫烧书发表于 2014-5-26 11:49
有完整的样本么，如果将特征修改成jpeg格式的话，那么系统只会认为它是jpeg（损坏的），而这个jpeg还能释放 ...

没有样本啊～貌似那个马就是一个独立的可执行文件，有的大神说在什么 loader 上做手脚哦～

显示全部楼层 · 发表于 2014-5-26 11:57:56

熊猫烧书发表于 2014-5-26 11:54
我猜测这个配置好的木马本质上还是个PE，只是在某些地方加入部分的jpeg的特征码，这种其实和普通的特征码 ...

大神，可是具体的原理是怎么样的呢？比如说在哪里加入 JPEG 的特征

显示全部楼层 · 发表于 2014-5-26 12:08:41

没有样本我也只是猜测，也不见得就是准的

，骚年，去骗个样本来发卡饭上

显示全部楼层 · 发表于 2014-5-26 12:17:06

熊猫烧书发表于 2014-5-26 12:08
没有样本我也只是猜测，也不见得就是准的，骚年，去骗个样本来发卡饭上

骗样本～哈哈这个作者现在已经不给样本了～我觉得你说的有道理，不过具体怎样在PE文件上实现，就一样各位大神指点啦～

显示全部楼层 · 发表于 2014-5-26 12:21:39

我不是大神

我也是菜鸟

显示全部楼层 · 发表于 2014-5-26 12:22:47

熊猫烧书发表于 2014-5-26 12:21
我不是大神我也是菜鸟

能不能把大神都 @ 出来我刚刚来卡饭不知道大神都在哪里啊～

显示全部楼层 · 发表于 2014-5-26 13:32:50

不是很明白。如果他把这个文件的启动方式完全编写为图片的话，那么这个文件又是怎么做到在需要的时候以可执行文件的形式执行呢？他应该是找到了一个0day

[病毒样本] 请大牛分析下，蒙蔽【全世界杀软】使得 EXE 格式的木马，被认为是 JPEG 格式的原理！

本帖子中包含更多资源