MedusaLocker加壳测试

显示全部楼层 · 发表于 2024-6-23 10:08:40

本帖最后由 wwwab 于 2024-6-23 10:15 编辑

00006666 发表于 2024-6-23 09:57
VMP这类虚拟化壳出现之后，杀软基本都放弃脱壳，因为脱壳不太现实，普遍都是直接带壳报毒，把病毒容易用的 ...

VMProject Themida Safeguard MapoEngine VirboxProtector 一加壳，OLLVM 一编译，一脱一个都脱不出来

显示全部楼层 · 发表于 2024-6-23 10:19:18

McAfee 清空

显示全部楼层 · 发表于 2024-6-23 10:47:35

00006666 发表于 2024-6-23 09:57
VMP这类虚拟化壳出现之后，杀软基本都放弃脱壳，因为脱壳不太现实，普遍都是直接带壳报毒，把病毒容易用的 ...

如果没有记错的话国内火绒和瑞星还有脱壳机制吧

显示全部楼层 · 发表于 2024-6-23 10:49:01

火绒5

显示全部楼层 · 发表于 2024-6-23 11:26:33

本帖最后由 00006666 于 2024-6-23 11:34 编辑

你开心就好发表于 2024-6-23 10:47
如果没有记错的话国内火绒和瑞星还有脱壳机制吧

火绒会直接带壳提取特征，目前还没有公开的能脱最新版VMP的自动化手段，不过火绒可以脱UPX这种压缩壳。

显示全部楼层 · 发表于 2024-6-23 11:39:41

VMP这种东西，没有正确使用，等于无效，它是要程序在IDE编译的时候生成MAP文件，或者在原始代码中就添加VMP SDK代码来标识需要保护的函数，然后VMP加壳的时候要选择需要保护的函数。

显示全部楼层 · 发表于 2024-6-23 11:56:07

有些样本加壳之后会失活，属于无意义的

显示全部楼层 · 发表于 2024-6-23 12:22:29

DisaPDB 发表于 2024-6-23 11:56
有些样本加壳之后会失活，属于无意义的

不能确保正常运行的话意义就少了很多（

之前确实有不少为了免杀套壳结果憋死了（损坏

显示全部楼层 · 发表于 2024-6-23 12:43:16

DisaPDB 发表于 2024-6-23 11:56
有些样本加壳之后会失活，属于无意义的

全部都能正常运行

显示全部楼层 · 发表于 2024-6-23 12:53:44

00006666 发表于 2024-6-23 11:26
火绒会直接带壳提取特征，目前还没有公开的能脱最新版VMP的自动化手段，不过火绒可以脱UPX这种压缩壳。

https://mp.weixin.qq.com/s/DDp0EqzSnmFZAHMYuEWjLw
那也就是说这种也就是带壳取特征啦？

[病毒样本] MedusaLocker加壳测试