<黑客免杀攻防>第三章 免杀与特征码 阅读笔记

MyCCL一试

该章前部分介绍了一般的寻找"特征码"的方法以及利用方法的工具

like:CCL,MyCCL,以及一款为了让某些杀软识别扩展名而需要的文件名批量修改工具-"Rulk Rename Utility"

我用MyCCL对"runouce.exe"进行了处理,用毒霸进行了扫描.经过四次处理结果如下:

准确的说这是 chinesehacker2病毒你可以从该病毒样本中看到它"chinesehacker2"的明文字样.

MyCCL实战

注意有些杀软会识别出填充00值而释放干扰伪特征码使定位不准确.

附:一款最新来自Freebuf了解到的寻找特征码的工具,

优点是遵循了最新的病毒引擎查杀逻辑而不再像MyCLL靠运气

"VirTest5.0特征码定位器（开源）"

MyCCL定位内存特征码

1断网(大约是防止杀软连网识别)

2客户端免杀

先勾选生产内存样本然后需要TK.loader加载到内存.

3.6特征码修改

简单修改:

a大小写替换

除了API名称外windows系统对大小写一般不敏感,而杀软基于代码却敏感.

b"00"字节填充

c加1减1

16进制相近的指令据说功能会相近

进阶修改:

OFFSET>RVA

1空白区域跳转法

2nop位移法(小区域)

3紧邻语句上下调换

4等价替换法