- Автор темы
- Добавить закладку
- #21
Вопрос ещё такого плана , как тогда на бордах висят ТСы продающие свою малварь с fud рантаймом ? Или все это п$_дешь ?
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Обход RunTime ( динамический анализ АВ)
- Автор темы Slayer
- Дата начала
Ну если фуд рантайм у них прочекан на run4me (или как там этот чекер называется, который амер заделал после динчека? темный фон еще), то я им верю.
Зависит же от настроек аверов. У бесплатных так вообще рантайм крайне кривой. У платных посильнее, да и там можно выкрутить на максималке, что хрен пролезешь без серта или сплойтов (привет, комодо).
Короче это крайне субъективно. Вполне вероятно, что и пиздеж. На экспе я ни одного софта не вижу с чистым рантаймом почему-то. Ах да, потому что там проверку за такое заставят пройти
бред, нужно реверсить ав и смотреть какие функции не эмулируются, и на основании их делать антиэмулятор
сокеты используй для скачивания
да никакие не эмулируются, там тупо заглушки стоят. Если отревершивать только и смотреть что за заглушка и по ней палить. Например если функа возвращает строку, то авер тоже вернет какую-то х#йн. Невероятно но факт, аверы в аввм почти всегда возвращают что-то константное :smile80:
Вместо реверса можно юзать технику впервые описанную на блекхате. Название не помню, только суть. Суть там была в том, чтобы узнать значение захардкоженных заглушек внутри аввм. Например имя юзера и тп, либо rtdsc, да что угодно.
Ну, так вот. Берется типа ассоциативный массивчик: байт:сигнатура. Сигнатура зашифрована. Берется например юзернейм, первая буква и по этой букве декриптится определенная сигнатура. Какой детект выбивает - та буква и первая. И так для всех букв. Сначала таким же образом определяется длина. Потом просто проверка на константу и выход - антиэмуль готов.
Но имхо бред это все. Поставят детект сигнатурный на антиэмулятор и хер ты его почистишь.
Тайминги - наше все, никогда не будут пофикшены и сигнатурно запалены. Просто срем мусором, а результат мусора юзаем для декрипта пейлоада, например. Авер не сможет проэмулить весь мусор, и пропустить тоже не сможет, так как надо его выполнить, чтобы узнать ключ. Чем качественнее мусор тем качественне антиэмуль. Сигнатуры на мусор затруднительно повесить такие, чтобы при регенерации они остались. Нужна очень большая выборка, много сэмплов. И то зависит от качества трешгена.
Можно юзать xtg2 например, там вроде норм мусор. Просто генерим мусор, компилим в профайлере, берем из него дамп регистров после выполнения мусора и на основе этого криптим пейлоад, вставляя декриптор который юзает нужные регистры. х#й там его пропустишь, а выполнить например мусор который на реальной тачке выполняется секунд 5 - авер не сможет никогда.
Да и то это актуально все только в вопросах крипта. На рантайме все равно выебут. Либо проактивкой, либо memscan. Поэтому нынче надо морферы пилить, а не с антэмуляторами в жопу долбиться, к сожалению
Последнее редактирование:
http://xssforum7mmh3n56inuf2h73hvhnzobi7h2ytb3gvklrfqm7ut3xdnyd.onion/threads/28390/#post-159599
лоадер сорика все еще фуд)
Даже если рантайм чист, то при массовом прогрузе он будет красным в динамике - инфа сотка.
Есть на экспе один криптер который морфит и чистит детект от парочки топ ав, но дорогой
Качество трешгена - наше все. Профит еще и напрямую будет зависеть от веса самого стаба, что является критическим фактором для крипта
Бред - "Даже если рантайм чист, то при массовом прогрузе он будет красным в динамике ", рантайм детект - это детект при работе софта ,не может быть елка при проливе ,если рантайм чистый.
Последнее редактирование:
Ты не правильно понял, что я написал выше. Да, рантайм детект - это детект по поведенческому алго, но при массовом прогрузе файла он попросту попадает в облако и его прибивают. Это инфа не из воздуха а на реальном многолетнем опыте.
Если бы ,это так быстро бы работало - ниодин масогруз не был бы жив
Ок, грузани 50-100к ботов юс ка и увидишь сам)
25к грузил - особых проблем не было