Избавиться от 2-ух детектов

[MasterBass]

Добрый день.
Вот уже битый день бьюсь с этими детектами, но сделать ничего не могу.
Кто-нибудь может помочь, или может кто-нибудь встречался и знает как их "удалить" ??
Детектов 5, но у 4 АВ из 5 одинаковые базы, а значит одновременно можно избавиться от всех 4-ех.
http://scan4you.net/result.php?id=ccc34_2kaqim
Что пробовал:
1)шифровать все открытие строки
2)динамический подгруз всех API (сейчас только CreateFile).
3)Разные участки кода пробовал скомпилировать и понять, какой именно участок палится, но это никак результатов не дало. По отдельности все чисто.

 

[demien]

Причин может быть много. Курите фэйковый импорт, возможно что то сигнатурно палится все же.

 

[CepbIu]

Курите фэйковый импорт

те импортируйте функцию, присваивайте ей другое имя + бональный int 15, 86 сейчас показывает хорошие результаты

 

[MasterBass]

Приложил файл, может кто-нибудь сможет подсказать, из-за чего может палиться?
Ссылка:
http://www.sendspace.com/file/9kf9w3

 

[CepbIu]

лучше бы код показали... если это проблема - прошу на васм

 

[Apocalypse]

Ресурсы?

И если уж используешь винапи, то делай все на винапи... наверняка еще кусок BigInt палится

 

[MasterBass]

CepbIu
Спросили про импорт - я скинул файл, считаю что этого хватит.
В сорце ничего особенно нету. Используется RunPe Shellcode (пробовал чекать его отдельно - не палится), динамический импорт API тоже через Shellcode (чекал отдельно - не палится), ну и антиэмуль (путем генерации RSA ключа, немного вводим в заблуждения АВ)

Apocalypse
Ресурсов нету, простой запуск файла на диске. (С\Project1.exe)
Да вы правы, 4 детекта из-за антиэмуля. Сейчас это проверил. Спасибо большое.
Но если не использовать этот антиэмуль, встречаюсь с еще большими проблемами:
http://scan4you.net/result.php?id=688fb_2kerne
Судя по всему, требуется писать свой метод антиэмулятора.

 

[Ragnar]

ms раскручивает код наверняка

 

[demien]

не только мсе, но и норман, касп и вба как минимум эмулят код.
нужно годный антиэмуль делать и код оборачивать мусором.

 

[MasterBass]

Мусорные вставки конечно помогают, но не всегда

Переписал эмуль:
http://scan4you.net/result.php?id=343e2_2kf17c

Остался только MS. Как защититься от раскручивания кода от MS?

 

[demien]

закрутить код так, что мсе тоже не проэмулил

 

[Apocalypse]

Кстати, рекомендую таки поставить виртуалку с несколькими аверами из тех, что детектили, т.к скан4ю имеет свойство пиздеть...

 

[MasterBass]

demien
какие-нибудь простенькие примеры могли бы показать?)
просто даже в голову больше ничего не лезит, что им там не нравится

Apocalypse
Спасибо.
Но я потом еще протестирую все это дело в Runtime.

 

[demien]

предыдущий эмуль он ведь не проходил... попробуйте совместить оба.. сначала тот что не палит бит, потом тот что от мсе. импровизируйте.

в рантайме - нужно добавлять шифровку значит, а это ой какое веселье с ав

 

[MasterBass]

demien
Попробую

Ну а какой смысл только scantime? нужно ведь и runtime
Неужто так сложно?) вроде бы здесь пока ничего сложного не встретил, хотя напоролся на этот МС, который мешает мне

 

[demien]

Это цветоки...
Welcome to the ягодки

 

[MasterBass]

demien
Вы меня уже пугаете

Я тут то разобраться до конца не могу, то 1, то 2 детекта вылазиют.

 

[Quake3]

Подниму тему, не могу понять, по каким признакам палится файл. Экспериментирую с простым лоадером, без админки и автозапуска, просто скачать и запустить зашитый в билде ехе. Ссылка пошифрована ксором, имена функций - ror/rol, функции вызываются динамически (через PEB). В импорте вполне нормальные апи. Ключи для ксора/rol - берутся с GetLastError. Но все равно - 12 детектов, причем не просто Unknown malware, а именно downloader. Неужели аверы научились эмулировать РЕВ? И в таком случае - есть ли смысл вообще заниматься всем этим извратом с шифрованием строк и динамическим импортом, если все равно все палится?

 

[kraken]

смысл в шифровании строк есть. динамический импорт только подозрительных апи.
чтоб ответить что именно палится и эмулируется выложи сюда детекты.

 

[Quake3]

динамический импорт только подозрительных апи.

Я так и делал, Urldownload + winexec пошифрованы и динамически, а CreateFile,lstrlen,ReadFile - открыто. Но толку нет.

чтоб ответить что именно палится и эмулируется выложи сюда детекты.

http://chk4me.com/check/public/x941Ut84I5lPH331X8Lg