请大牛分析下，蒙蔽【全世界杀软】使得 EXE 格式的木马，被认为是 JPEG 格式的原理！

qqszaaa

最近看到一篇文章，作者通过一定的方法使得 一个 EXE 可执行文件，被全世界杀毒都认为是 JPEG 格式的文件！

不是那种简单的利用 XP 漏洞进行后缀名修改，是真正的让 全世界杀毒 认为 该木马文件是 JPEG 格式的文件！



这是作者对于自己的木马的一番描述：“首先说明一下，jpeg文件（其他也一样，但是我没测试过。）是有着自己用启动和运行特征的。只有具备了它独特的特征后，我们的电脑上才能看到它呈现出来的影像。所以，我在编写dat的时候，在启动时加入了jpeg文件的特征（不是用其他软件替换，是在易语言编写中实现的）和启动顺序。然后在调用我们的客户端程序及子程序！让杀毒判定我们的程序是jpeg文件。这就是原理。但必须要掌握jpeg的独特的特征。 然后我们需要在易语言的_启动窗口中编写出来jpeg的特征，仿造它去运行，让杀毒一位我们的程序就是jpeg文件，而不是dat或是exe等等。这也就是解开了为什么在virscan.org 网站的报表中，我的dat文件类型为什么是：“JPEG image data, JFIF standard 1.02 ”了。”

请大牛分析下这种可怕的木马，他到底是怎样实现让 一个 EXE 可执行文件，被全世界杀毒都认为是 JPEG 格式的文件？

看到有的大神说是什么 loader ，菜鸟完全不懂~希望大神不吝赐教，详细分析下该木马的实现原理，谢谢咯~

尘梦幽然

没有文件什么都不可能知道。
另，virscan都快死了。你没看见上面病毒库日期很多都是去年了

qqszaaa

尘梦幽然 发表于 2014-5-26 14:16
没有文件什么都不可能知道。
另，virscan都快死了。你没看见上面病毒库日期很多都是去年了

他也简单说了一下自己实现的原理，就是想让大神帮忙分析下哈~看人家是怎么实现把 PE 文件，弄成 JPEG  的

WiCChE

隐约记得，当年木马克星的作者很早就写过这么一个木马，一张JPG的图片，不管你肉眼还是机器识别都是张图片，但实际是个木马程序，你打开图片看的虽然也是张图片，但木马程序已经植入了

柯林

不懂楼主想表达什么   该不会认为全世界的杀软和那个什么智慧星一样靠文件名来杀毒的吧
印象中隐约记得   系统判断一个文件是否可执行文件 不是看后缀名的  好像是看什么PE文件头吧

studycpp

exe 和jpg的格式差别大了
简单的16进制比对即可

raccoon

就算你修改PE格式，但最终在PE里还是要引导程序运行的。你的导入和导出函数可以隐藏，但是exe程序的某些特征是隐藏不了的

BarbraStreisand

尘梦幽然 发表于 2014-5-26 14:16
没有文件什么都不可能知道。
另，virscan都快死了。你没看见上面病毒库日期很多都是去年了

活不下去了了吗

尘梦幽然

BarbraStreisand 发表于 2014-5-27 22:09
活不下去了了吗

你觉得它有活下去的可能吗

BarbraStreisand

尘梦幽然 发表于 2014-5-27 22:11
你觉得它有活下去的可能吗

这种网站的确是啊