逛免杀论坛的最新成果：恐怖的 360 云QVM！！

显示全部楼层 · 发表于 2011-8-27 19:53:48

QQ1014530747 发表于 2011-8-27 19:32
通通打不开

既然你打不开 , 那就粘贴过来让打不开网页的看看

这是我在暗组2月份写的一篇文章，转发过来吧，希望对新人有所帮组。+ n1 N( A/ u! ], x9 a) _0 s. N: P

: W, M9 l/ y9 `4 i& L8 i) m    大家好，现在是20号凌晨3点，很晚了。到此时为止，我长达3周的免杀路程，终于圆满结束。
# @" B5 B- m& L% i9 p) i" e    很疲惫，很以外，如此枯燥的免杀之路，我居然能够坚持下来。
' F' }2 ^0 d5 _8 j6 r    也很高兴啊，基本上常见的杀软都过掉了，所有的带主动防御的杀软（360，微点，瑞星，卡巴安全部队，金山卫士）也都过了，江民没授权，所以没有测试，估计也能过。下一阶段我的目标是踏踏实实学好C++。
, [/ ]* v; u9 ?5 @& E) F9 A    废话说了很多，下面谈谈这段时间免杀的一些经验吧:）* l1 K% }: r# }, s, c. J
   因为有些基础，所以我是从GH0ST源码免杀开始学的，正好网上有很多这方面的教程，呵呵~~
/ W6 `" D& p4 b: z1 q, d) k* K) q# V    容易免杀的的杀软就不说了，比如金山，不是看不起它，因为它确实垃圾。
: [8 H/ Q* D  i) ~1 |4 `    首先说说卡巴，也许你觉得卡巴容易啊，免杀了DLL和DAT，再加个延迟就过了。但是我不觉得，这样可能仅仅过了卡巴杀毒软件，但是在卡巴安全部队是不能运行的。卡巴安全部队里面有个HIPS功能，你如果是加了延迟代码才过了卡巴，那么实际上是没有完全免杀的，在装有安全部队的系统上运行时就直接禁止了，看下原来是提示木马，禁止了所有操作。所以建议不加延迟过卡巴。
& ^! S) u9 @7 Q" w    然后是NOD32，主要杀输入表函数，而且特征很多，定位的时候容易死循环或者全杀，所以免杀定位的时候可以在源码里面删减功能，减少特征码，便于定位，免杀完毕后再逐渐添加功能，再免杀。
: M: k, s! Q4 f# D    再然后就是红伞了，更加难定位，困扰我很久，因为一般过了NOD32基本上就过了大多数杀软的表面，但是红伞是例外，所以我结合汇编去免杀，首先就PE头移位，然后重建输入表，再去定位，这样下来就容易多了，大家可以试试。( ?, ~4 h* o: J7 Q: M  L1 i
   最后是360杀毒2.0，也比较麻烦，一个一个引擎的来免杀吧~~,最难就是QVM引擎，不过如果你过了红伞就容易多了，至少特征码会少很多。再不行就用体积法吧，呵呵。% E9 {8 l# ~0 @1 \9 b: w
   至于主动防御，其实方法是有的，关键是大家要多动脑筋啊，具体就不说了。给个思路给大家，为什么有些软件既写注册表，又建服务，甚至有些去广告，或者加壳的非正版软件都不提示或者报木马，不知道你们想过这个问题没有？
4 x# V+ H( _6 }( ?& T  C4 h    比如我前几天想：360断网后就基本上主动废了，这个大家都知道，问题是你一改断网的，它就报警，于是方案来了：很多用户是用星空极速上网的，360你自保能力强大，我承认，不过我K掉“星空极速”总成吧~~~，够天马行空的想法吧！我这一提示，估计大家想法都来了，比如搞个防火墙专门断 360的网络，搞个代{过}{滤}理啊什么的，呵呵！！！！
4 O1 u% W3 K" P) f* J    写了这么多，我始终坚信：授人予鱼，不如授人予渔。希望大家支持一下，觉得对你有用，回贴鼓励下吧。

显示全部楼层 · 发表于 2011-8-27 19:57:19

显示全部楼层 · 发表于 2011-8-27 20:07:20

因为QVM和传统的人工定位特征方法天壤之别，所以针对传统引擎的免杀方法很难奏效，那个啥直接被称为L ，在卡饭不能说啊

显示全部楼层 · 发表于 2011-8-27 20:33:24

免杀肯定是有的，但是难度就不同了。。。

显示全部楼层 · 发表于 2011-8-27 22:28:25

仍然坚守360就是因为金山太容易免杀，太娱乐。说到这可能有些金粉又来喷我了。金山免杀难不难，大家都知道的。
半月前我看到很多新手陷入了无法定位的矛盾中，因为他们在不断的循环，就因为QVM，而云QVM这个就更难了，所以他们才想要断网。
其实有些方法高手是不愿意透露的，他只是给你们一点点方向去摸索，因为他完全可以利用他发现的漏洞去卖个好价钱，不可能砸自己饭碗的

显示全部楼层 · 发表于 2011-8-27 22:32:28

黑骑士发表于 2011-8-27 22:28
仍然坚守360就是因为金山太容易免杀，太娱乐。说到这可能有些金粉又来喷我了。金山免杀难不难，大家都知道的 ...

云QVM在你没运行前就被杀了，还怎么断网。。。

增强了云QVM后云主防都很少需要上场了～

显示全部楼层 · 发表于 2011-8-27 22:42:02

意思是不是，QVM会自己变更截取代码的位置，所以定位就难，所以难免杀

显示全部楼层 · 发表于 2011-8-27 22:45:04

嗯，甲壳虫技术论坛不错，是个纯技术论坛，关注了

显示全部楼层 · 发表于 2011-8-27 22:53:33

Tron 发表于 2011-8-27 22:32
云QVM在你没运行前就被杀了，还怎么断网。。。

增强了云QVM后云主防都很少需要上场了～

小白又让你见笑了。。以后我还是少发这些涉及技术的留言~
话说我768内存，1.5G的工作本单奔8.2和360防火墙，有云QVM么？还用不用加2.0轻巧版？偶尔下载淘宝类的破解软件

显示全部楼层 · 发表于 2011-8-27 22:53:36

Tron 发表于 2011-8-27 22:32
云QVM在你没运行前就被杀了，还怎么断网。。。

增强了云QVM后云主防都很少需要上场了～

比如我前几天想：360断网后就基本上主动废了，这个大家都知道，问题是你一改断网的，它就报警，于是方案来了：很多用户是用星空极速上网的，360你自保能力强大，我承认，不过我K掉“星空极速”总成吧~~~，够天马行空的想法吧！我这一提示，估计大家想法都来了，比如搞个防火墙专门断360的网络，搞个代{过}{滤}理啊什么的，呵呵！！！！
mj:这位大虾后面几句话，你肿么理解啊，貌似的确提供了一个新的免杀思路

[讨论] 逛免杀论坛的最新成果：恐怖的 360 云QVM！！

本帖子中包含更多资源

[讨论] 逛 免杀 论坛的最新成果：恐怖的 360 云QVM！！

本帖子中包含更多资源

[讨论] 逛免杀论坛的最新成果：恐怖的 360 云QVM！！