Информация [PDF] Флуктуация shell-кода. Пишем инжектор для динамического шифрования полезной нагрузки в памяти

[Spectrum735]

Отличная статья с журнала xakep

Оформлена в виде PDF. Кое-где сползло оформление, сильно не бейте)

Пароль: ru-sfera.pw

 

[X-Shar]

Да не плохая статья.

Только стоит отметить что многие антивирусы могут определять изменения доступа к памяти, незнаю как они это делают, но если например у вас будет пусть и расшифрованный код зверька в памяти с доступом RW, детекта не будет, но как только вы измените доступ на исполнение, будет скан и детект.)

Поэтому как-то так, видимо самое просто решение, как-то чистить самого зверька.

 

[Spectrum735]

как только вы измените доступ на исполнение, будет скан и детект.)

Скорее всего детект на банальную связку RWX, хотя нужно RW → RX, а потом скакать R ↔ RX

 

[X-Shar]

Скорее всего детект на банальную связку RWX, хотя нужно RW → RX, а потом скакать R ↔ RX

Думаю именно на X, вообще это всё можно мониторить в системе.)

 

[alexandro1998]

Скорее всего детект на банальную связку RWX, хотя нужно RW → RX, а потом скакать R ↔ RX

ИМЕННО икс!) И проблема в том, что тут даже сетификатом не спасти - были испытания. Легче работать в 2 лоадера - первый глобально чекает если ок -> 2го закидывает который минимизирует любые возможные будущие проблемы и уже наконец он сам подтягивает главную малварь.
Получается 1й точно уходит на анализ, его и пичкаем анти-плюхами + приват криптор. 2й можно попроще, ну и на саму малварь - снова крипт, можно какой-то свой, модификат, не полиморфный.
П.С. сертификат, в плане даже если подгружать такой файл далее, но запускать по pdf+vbs, англичане (заморские EDR*EDX) ругаются

 

[Spectrum735]

@alexandro1998, полезная инфа, спасибо)

 

[anta]

 

[Spectrum735]

@anta,you should use winrar

 

[X-Shar]

Пароль: ru-sfera.pw

Может пароль не правильно введен ?

 

[anta]

На Линуксе Винрара нет, но есть unrar. Всегда всё работаёт, но в этот раз нет. Пароль ввожу.
В zip-e или 7z нельзя разве залить? В zip-e есть тоже есть возможность установить пароль. Зачем rar, который и платный, и только под Винду?