金山微特征位置

jefffire

http://bbs.jkcing.com/forum.php? ... 821&pid=1367589
甲壳虫免杀论坛研究成果

金山微特征有几个点：

1。如果V = (文件大小右移0x0C)后大于0
M = V左移0x0C
M = 文件大小
如果N = (M-0x40 )> 0
提取文件偏移N处0x40长度的数据的CRC
否则
返回64个'\x00'的CRC

2.如果PE的入口点不为0
提取入口点偏移0x100处0x40长度的数据的CRC
否则
返回64个'\x00'的CRC


3.如果代码基址不为0:
提取代码段偏移0x100处0x40长度的数据的CRC
否则
返回64个'\x00'的CRC

3.如果存在基址重定位目录
提取该目录开始的0x40长度的数据的CRC
否则如果存在资源目录
提取该目录开始的0x40长度的数据的CRC
否则
返回64个'\x00'的CRC.

5.特征4:

如果V = (文件大小右移0x1再减去0x100)大于0
提取文件偏移V处0x40长度的数据的CRC
否则
返回64个'\x00'的CRC

6.如果V = (文件大小*2/3)大于0
提取文件偏移V处0x40长度的数据的CRC
否则
返回64个'\x00'的CRC

7如果存在基址重定位目录

提取该资源目录开始的0x40长度的数据的CRC
否则判断是否存在.BSS段
提取.tls开始的0x40长度的数据的CRC
否则判断是否存在数据段
提取数据段开始的0x40长度的数据的CRC
否则
返回64个'\x00'的CRC

lll714775117

等待免杀微特征的病毒

jefffire

lll714775117 发表于 2011-8-16 12:27
等待免杀微特征的病毒

不需要啊，倒是要等待能够过云鉴定的
http://bbs.jkcing.com/forum.php? ... 821&pid=1356920

chujunci

大牛们就是牛，呵呵！看来金山要更新自己的云鉴定器了！连特征提取位置都知道了，做免杀很简单！

897414566

好强大！！！

dopod2009

路过进来学习的

qwe12301

云鉴定为安全才叫牛，否则都是浮云
微特征 本来就没太大强度。意义在于文件特征的积累、学习。
如果仅仅是为了变成未知，加壳工具成百上千，随便虐。

心碎乌托邦

看了下楼主给的链接，悲剧的没人加分

leisong

有极少数病毒，修改MD5都能恰好免杀了金山的微特征，亲测。可能是碰巧了

evilrabbit

leisong 发表于 2011-8-16 12:46
有极少数病毒，修改MD5都能恰好免杀了金山的微特征，亲测。可能是碰巧了

不需要啊，修改下版权信息就过了金山，很正常。