干吗锁帖呀。只想谈谈看法

显示全部楼层 · 发表于 2008-1-29 23:51:37

原帖由 cici584522 于 2008-1-29 23:50 发表

什么叫随便乱改。。早在去年7月份就研究出了在无壳下过NOD32的办法

那难道不是那个跳过虚拟机的方法？

显示全部楼层 · 发表于 2008-1-29 23:54:10

虚拟机基本上不可能被跳过
只能弄得自己不在虚拟情况下暴露自己的特征
或加入虚拟机无法模拟的代码

显示全部楼层 · 发表于 2008-1-29 23:54:11

你看下我前面的回复吧。。

我根本就不知道所谓的NOD32虚拟启发。。

原来研究在无壳下如何来免杀NOD32。。也没去管那么多。。只知道修改完成后

扫描不出。运行也不弹框。。就OK了

显示全部楼层 · 发表于 2008-1-29 23:56:26

本来就是unknown newheur_pe = 不靠特征码
免杀成功了，就说明启发是靠特征码？
好奇怪的逻辑

睡觉了，明天上班
各位继续

显示全部楼层 · 发表于 2008-1-29 23:56:35

原帖由 solcroft 于 2008-1-29 23:54 发表
虚拟机基本上不可能被跳过
只能弄得自己不在虚拟情况下暴露自己的特征
或加入虚拟机无法模拟的代码

等一下。。说到这。。可以透露一点给你。。

我现在使用的免杀NOD32的办法。。虽然是独立研究出来的

但也是有部分人知道的。。基本都是靠自己研究出来的。。但方法居然都是惊人的雷同

我不好在论坛里公开方法。。在黑客论坛也没公开过。。有想法的可以和我聊聊。。

呵呵

显示全部楼层 · 发表于 2008-1-29 23:57:49

其实说也说不清楚。。。。我只知道改。。或许有深厚功底的人能分析出改法的依据

显示全部楼层 · 发表于 2008-1-29 23:58:18

既然可以免杀那想出个破免杀的办法啊

显示全部楼层 · 发表于 2008-1-29 23:58:58

原帖由 solcroft 于 2008-1-29 23:54 发表
虚拟机基本上不可能被跳过
只能弄得自己不在虚拟情况下暴露自己的特征
或加入虚拟机无法模拟的代码

这就是我说得“跳”

显示全部楼层 · 发表于 2008-1-29 23:59:04

原帖由 sanhu35 于 2008-1-29 23:58 发表
既然可以免杀那想出个破免杀的办法啊

。。。。不懂。。。

显示全部楼层 · 发表于 2008-1-30 00:01:18

之前那个icesword的作者（忘了叫什么名字）公布免杀卡巴7.0虚拟启发的代码就是类似这招
不是想打击你，可是来来去去这几个方法都是老新闻，已经很久了
真正高手免杀病毒才叫人傻了眼，metamorphic引擎，server-side polymorphism不是随便定位几下就能做到的

先说到这里了
睡觉，明天上班

[原创] 干吗锁帖呀。只想谈谈看法

回复 171楼 leonfg 的帖子

回复 175楼 cici584522 的帖子