У меня есть предположение о том, что эксплоеты, входящие в состав связки, могут:
1.) Крэшить приложение, в АП которого они работают;
2.) Приводить к зависанию этого приложения (при использовании JIT-Spray'я, например); При этом, если это то приложение, с которым напрямую работает пользователь, то высока вероятность его закрытия;
Эти два фактора означают что чем меньше времени будет затрачено на скачивание payload-exe'шника из сети, тем выше будет отстук.
Следовательно, чем меньше размер исполняемого файла, тем больше вероятность того, что отстук будет выше.
Размер обычного трояна + крипт (с нормализацией энтропии, как это обычно и делается) == ~120KB
Размер "стукача", наверно, ~1-2KB.
Я думаю, имеет смысл произвести след. эксперимент: "стукача" превратить в мини-лоадер (Добавить вызов CreateProcess() в код), который будет грузить основной exe (в данном случае, НЕmyLoader).
Думается мне, что таким образом удастся увеличить отстук любого подгружаемого софта.
P.S.: Так же, я испытываю негодование по поводу того, что в современных связках до сих пор нет шеллкодов со встроенными PE-лоадерами.
Т.е. всё-таки, тот же инжект в explorer из пробитого браузера всё-же будет намного менее палевен, чем запуск какого-то exe'шника из temp-диры тем же приложением (с точки зрения проактивных защит).
===
Кроме этого, существует фактор, снижающий отстук любого криптуемого софта.
И зависит он, от технологий, которые используются в крипторе.
Например, детект виртуальных машин и sandbox'ов.
Т.е. при минимальных условиях палевности (отсутствие AV & firewall'ов) отстук некриптованного "стукача" будет выше, чем у "криптованного" троя как раз по вышеописанной причине.
А в обзоре как раз ничего не было сказано о технологиях, используемых в крипторах.
