样本集奉上_64 (09.05)

帝辛

www-tekeze 发表于 2018-9-7 11:00
四大猛壳用的虚拟机加壳技术，想手工脱、脚本脱几无可能，得内存里劫持中断，但蜘蛛会不会有某种黑科技？ ...

黑科技也没用。基本到现在为止没有发现四大猛壳的通用脱壳脚本和脱壳工具。。SE更是号称商业版脱了给10W。到现在还没人拿到钱。SE只是抗破解强一点。VMP的脱壳程度难度会比SE还难搞。但是。因为壳是要释放内存（虽然被VM）。。所以可能从另一个角度。靠主防拦截应该可行。或者高级内存扫描。

www-tekeze

帝辛 发表于 2018-9-7 11:08
黑科技也没用。基本到现在为止没有发现四大猛壳的通用脱壳脚本和脱壳工具。。SE更是号称商业版脱了给10W ...

是哦，想脱四大猛壳估计难了，主防拦截、内存扫描肯定行，但前提条件得程序跑起来，只是我加的盗版壳跑不了啊。。     所以我说蜘蛛会不会有什么黑科技。。。

帝辛

www-tekeze 发表于 2018-9-7 11:24
是哦，想脱四大猛壳估计难了，主防拦截、内存扫描肯定行，但前提条件得程序跑起来，只是我加的盗版壳跑不 ...

关键是各家的杀毒都没可能脱的。。蜘蛛能脱。。不可能技术差距这么大吧？

帝辛

www-tekeze 发表于 2018-9-7 11:24
是哦，想脱四大猛壳估计难了，主防拦截、内存扫描肯定行，但前提条件得程序跑起来，只是我加的盗版壳跑不 ...

多脱几个倒是有可能。

Llano_心情

www-tekeze 发表于 2018-9-7 11:24
是哦，想脱四大猛壳估计难了，主防拦截、内存扫描肯定行，但前提条件得程序跑起来，只是我加的盗版壳跑不 ...

Fly-code — эмулятор нового поколения с динамической трансляцией кода, реализующий механизм универсальной распаковки вирусов, защищённых от анализа и детектирования одним или цепочкой новых и/или неизвестных упаковщиков, крипторов и дропперов. Это позволяет распаковывать файлы, защищённые, к примеру, ASProtect, EXECryptor, VMProtect и тысячами других упаковщиков и протекторов, включая неизвестные антивирусу.

来源：http://drweb-soft.ru/
蜘蛛说自己的Fly-code支持对VMProtect 的解包，实际上看貌似确实能解部分

www-tekeze

Llano_心情 发表于 2018-9-7 14:28
Fly-code — эмулятор нового поколения с динамической тран ...

借百度翻译用用：“新一代的动力传动装置是一个从分析和检侦探中得到保护的病毒的普遍解开机制。或者是新的和/或未知的包装者，加密器和多管。这允许解开被保护的文件，例如：ASProtect, EXECryptor，VMProtect和数以千计的包装者和质子，包括未知的杀菌剂。”
也许只能脱部分不能完全脱？ 或者是我用了盗版的？     没报packed by VMProtect啊。

www-tekeze

帝辛 发表于 2018-9-7 11:25
关键是各家的杀毒都没可能脱的。。蜘蛛能脱。。不可能技术差距这么大吧？

你看楼上，蜘蛛脱壳确实是最有名的，只是那速度蛋疼。。

Llano_心情

www-tekeze 发表于 2018-9-7 16:08
借百度翻译用用：“新一代的动力传动装置是一个从分析和检侦探中得到保护的病毒的普遍解开机制。或者是新 ...

目前就是这点不清楚，就算上个样本报毒的也只是packed by FLY-CODE

hgfrfgd

微点50

www-tekeze

Llano_心情 发表于 2018-9-7 18:01
目前就是这点不清楚，就算上个样本报毒的也只是packed by FLY-CODE

都没明确给出 by VMProtect，不明觉厉。。