mbrlock

显示全部楼层 · 发表于 2022-7-30 14:29:37

本帖最后由 anthonyqian 于 2022-7-30 14:30 编辑

huangzihang 发表于 2022-7-30 14:25
印象中BD不报壳（企业版HD引擎除外），之前Threema壳就不报，爱比较粉丝群里有个小学生（空间还在为考试 ...

报毒名里面没有清楚体现罢了。。。譬如铁壳的机器学习B杀，微软的机器学习报法，BD的Gen Variant、红伞的AGEN都有可能是剥壳的。

显示全部楼层 · 发表于 2022-7-30 14:30:14

huangzihang 发表于 2022-7-30 14:28
肯定是强壳，不然卡巴扫描就报了，不过不是vmp，因为我测试了，不反沙盒，ESET报法也不是vmp

拿Detect it Easy看一下就知道是什么壳了，VMP那类的放IDA里面看一下也有很明显的特征

显示全部楼层 · 发表于 2022-7-30 14:31:46

huangzihang 发表于 2022-7-30 14:28
可这玩意是加了壳的，杀软应该扫不出来是什么语言，ESET报nobody protect，PEID报Safeguard 1.03 -> Simo ...

可能是SE壳，很多易语言的都是这种强壳

显示全部楼层 · 发表于 2022-7-30 14:37:17

wwwab 发表于 2022-7-30 14:31
可能是SE壳，很多易语言的都是这种强壳

是SE，.text区段被替换为sedata了

显示全部楼层 · 发表于 2022-7-30 14:51:09

huangzihang 发表于 2022-7-30 14:37
是SE，.text区段被替换为sedata了

Detect it Easy查壳还是很准的，比PEID靠谱

显示全部楼层 · 发表于 2022-7-30 14:58:47

00006666 发表于 2022-7-30 14:51
Detect it Easy查壳还是很准的，比PEID靠谱

我们要看00006666逆一个SE

显示全部楼层 · 发表于 2022-7-30 15:00:33

本帖最后由 00006666 于 2022-7-30 15:01 编辑

wwwab 发表于 2022-7-30 14:58
我们要看00006666逆一个SE

SE没了解过，不过VMP3.X有办法逆

https://github.com/can1357/NoVmp

显示全部楼层 · 发表于 2022-7-30 15:01:01

本帖最后由 kuroandsan 于 2022-7-30 15:04 编辑

Avira - Heur/APC

显示全部楼层 · 发表于 2022-7-30 15:01:26

gdata
Gen:Variant.Lazy.179421 (Engine A), Win32.Packed.NoobyProtect.B (Engine B)

显示全部楼层 · 发表于 2022-7-30 16:09:46

本帖最后由火绒爃于 2022-7-30 16:11 编辑

wwwab 发表于 2022-7-30 14:58
我们要看00006666逆一个SE

这个样本壳加的确实有点水平，运行后在内存中都找不到明文密码，绝对不是小学生的一键加壳，后来我直接分析写入的扇区数据得到了密码（密码为123qwee ）给了受害者

，用火绒扫描没检测到，看vt一片红就丢火绒论坛了，虽然壳加的还行但锁机是直接调用的易语言某模块，又是固定密码，所以分析起来难度不大

[病毒样本] mbrlock