关于DLL隐藏的问题，XueTr也无法检测出！

显示全部楼层 · 发表于 2012-5-16 00:19:10

本帖最后由 slience 于 2012-5-16 00:29 编辑

众所周知，现在一般的恶意软件，都不会使用进程隐藏了。一般都是用到dll注入到系统进程。通过线程的方式运行。不过这种方式虽然相比进程隐藏隐蔽许多，但是在很多辅助工具(比如XueTr、PowerTool 64等)帮助下还是无法遁形。不过有一种方式是隐藏线程。就是通过各种手段将dll注入到宿主进程后，备份加载的dll，然后把dll复制到新申请的空间中运行。反正大概就是这个意思。
这个时候XueTr也无法发现隐藏的线程。但是他却在正常运行。请问遇到这种情况，有什么方法可以发现。
求教各位大虾了。。。

显示全部楼层 · 发表于 2012-5-16 08:16:17

本帖最后由 liulangzhecgr 于 2012-5-16 08:19 编辑

usp10.dll 还是lpk.dll 不怎么清楚啊！貌似这个隐藏后看不出来

不过，核对md5值能查出被隐藏的文件被修改...

显示全部楼层 · 发表于 2012-5-16 08:56:32

回LZ的，到不是遇到什么病毒了。只是这几天在看关于dll的注入方式的时候。看到了关于线程的文章。然后就有了这个问题。
还有就是核对md5是核对线程的md5还是宿主进程的md5呢？

显示全部楼层 · 发表于 2012-5-16 10:31:06

查看线程看不到嘛？求样本。

显示全部楼层 · 发表于 2012-5-16 12:04:49

无样本无真相

显示全部楼层 · 发表于 2012-5-16 17:50:44

不是病毒！只是我看到这种技术了。

显示全部楼层 · 发表于 2012-5-16 21:43:46

这种手段08年就有了，HIPS上看得出来，静态扫描很难发现。PS:MD5算法早已不可靠了，最终还不是被逆向

显示全部楼层 · 发表于 2012-5-16 21:44:46

本帖最后由黑暗的背叛者于 2012-5-16 21:48 编辑

不过现有什么ARK能查出来吗，没试过

显示全部楼层 · 发表于 2012-5-16 22:31:44

黑暗的背叛者发表于 2012-5-16 21:44
不过现有什么ARK能查出来吗，没试过

ARK当真是不一般的强大。。。谢谢推荐！

显示全部楼层 · 发表于 2012-5-16 22:36:27

黑暗的背叛者发表于 2012-5-16 21:43
这种手段08年就有了，HIPS上看得出来，静态扫描很难发现。PS:MD5算法早已不可靠了，最终还不是被逆向

MD5有什么好逆向的,本来算法就是公开的

而且MD5虽然被破解,但是并不是全部被破解,

校验文件的话MD5还是可靠的

[求助] 关于DLL隐藏的问题，XueTr也无法检测出！