mofunzone同学说没见过无壳下免杀过BD..我就做一个出来

显示全部楼层 · 发表于 2008-1-31 09:28:21

用到的是鸽子1.23版本

定位3处BD特征

其中有一处就是你们所说的 BehavesLike:Win32.ExplorerHijack

但经过我修改后.鸽子同样免杀了

虽然是牺牲了插IE进程.. 但其他功能依然在.重起后依然上线

显示全部楼层 · 发表于 2008-1-31 09:28:46

只要去做.就一定有收获

显示全部楼层 · 发表于 2008-1-31 09:31:01

汗。。。
鸽子这个bd没基因，我说了很好免杀
还有就是真免杀起来bd不是那么好免杀的，因为鸽子太大，bd实际没有真正的用过他的behave来定义鸽子，但是木马之类的只要是报generic.malware的都绝对比单独的鸽子免杀起来困难的多
我这里个个灰鸽子都过bd

显示全部楼层 · 发表于 2008-1-31 09:32:25

这个也有必要吗，理论上和实际上都根本不存在不被免杀的杀软。

联想--连想都不要想

显示全部楼层 · 发表于 2008-1-31 09:32:32

BehavesLike:Win32.ExplorerHijack
报这个还不算?

显示全部楼层 · 发表于 2008-1-31 09:32:54

所以我发帖子说那个爱蔡依林的哪怕加壳做一个活着的能过bd的我也认了

显示全部楼层 · 发表于 2008-1-31 09:33:28

你这个是behave系统，但是不是专门给鸽子用的，bd没有专门给鸽子的behave

显示全部楼层 · 发表于 2008-1-31 09:34:24

3处特征就有一处报

显示全部楼层 · 发表于 2008-1-31 09:35:32

用们不对户的基因杀的，自然这样
这也是为什么我不敢用bd也不推荐用的原因
他的behave系统不是基于中国的病毒研究的。。

显示全部楼层 · 发表于 2008-1-31 09:36:15

不要忘了cici的目的是证明所有的启发引擎都没有虚拟机行为分析，
所以这里应该是过bd虚拟机的吧？和有没有基因没啥关系吧..... 没基因的更准，就看虚拟机能不能分析出它的或以行为

[病毒样本] mofunzone同学说没见过无壳下免杀过BD..我就做一个出来