Пробовали, давно еще слышал такое; надо генерить бинарник очень правильный, иначе аверы локнут даже на хелловорде (как они делают с бинарниками на экзотических асмах или на С-- каком-нибудь).
Это в целом очень забавно кстати, ловить детекты на абсолютно белом коде. Нахер такое удовольствие. Вот серьезно, хз как нейтив для малвари может быть тру с учетом хотя бы этого нюанса. Ну вот задача например, на лин серверах крутится проект в докере, допустим я хочу сделать автоморф сорцов + компиляцию(билдер в вебе, new build+obfuscation per install). Есть mingw компилер, позволяющий билдить с под линухи для винды. Но этот компиль даже на хэлловорлде обосрался на 15 детектов. Каков выход?
Ну код отличается от стандартного, всякие маргинальные компиляторы, которые сами генерируют нативный код (не через LLVM или GIMPLE), типа PureBasic'а или Red'а постоянно имеют проблемы с ложным срабатыванием аверов. Авер ожидает увидеть нативный код в определенном виде, а получает какую-то нестандартную херню. Вот и орет.
Ну вот я отредактировал выше. Mingw вроде на слуху. Тем не менее...
Уже лет 8 собираю софт с помощью MinGW, детектов не имею, что у меня не так с руками?
С под линукса для винды? Если да, то хз что ответить. В 2017-18 тестил, чёт хреново все шло...
Да, с Линукса, ну давай протестим:
#include <stdio.h>
int main(int argc, char** argv) {
puts("Hello World!");
return 0;
}i686-w64-mingw32-gcc -o main32.exe -O3 -Os -static -s -flto main.c
x86_64-w64-mingw32-gcc -o main64.exe -O3 -Os -static -s -flto main.c[kycb@kycb-manjaro AVCheck]$ i686-w64-mingw32-gcc --version
i686-w64-mingw32-gcc (GCC) 10.2.0
[kycb@kycb-manjaro AVCheck]$ x86_64-w64-mingw32-gcc --version
x86_64-w64-mingw32-gcc (GCC) 10.2.0Интересно девки пляшут... точно помню что у меня такое было, я ещё сгорел с этого тогда, а такое не забывается.Да, с Линукса, ну давай протестим:
C:#include <stdio.h> int main(int argc, char** argv) { puts("Hello World!"); return 0; }Код:i686-w64-mingw32-gcc -o main32.exe -O3 -Os -static -s -flto main.c x86_64-w64-mingw32-gcc -o main64.exe -O3 -Os -static -s -flto main.cКод:[kycb@kycb-manjaro AVCheck]$ i686-w64-mingw32-gcc --version i686-w64-mingw32-gcc (GCC) 10.2.0 [kycb@kycb-manjaro AVCheck]$ x86_64-w64-mingw32-gcc --version x86_64-w64-mingw32-gcc (GCC) 10.2.0По одному аверу из 71 психанули.
Не знаю, у аверов вообще бывает странное представление о легитимном коде. Может из-за старой версии, может из-за каких-то настроек оптимизации или их отсутствия, может из-за дебажной информации формата dwarf, которая по-умолчанию дописывается в оверлей PE-файла.
Когда начинал кодить на асме, тоже поначалу удивлялся, как прога с 1 мессаджебоксом детектится, причем не абы как, а именно как Троян. Потом смирился, что уж. Аверы ленивые, и то, что не подпадает под стандарты (небольшой размер, нет иконки, манифеста, и т.д.) автоматом детектится. Все самопальные упаковщики тоже давно нелегитимны в глазах аверлабов.
Да Haunt, все из-за компилятора, тестил когда-то. Ты тогда на чем под че собирал?
Вот удивительно бро, не подскажешь почему пш те же инвоки не инвоки, запуск в памяти делает без той боли, что я делаю на нейтиве (меньше детектов). По сути пш на шарпе написан, а все по сути склоняется к тем же самым апишкам, которые я вызываю в VC++. Я предпологаю, что под пш мало пишут малвари (ситуация как с питоном когда-то) и нету каких-то сигнатур и т.п. Подумываю приглянуться к пешэ)
Потому-что аверы уже давно не развиваются и в целом им пофиг на пользователей...
Есть технические подробности?
Я изучаю этот вопрос и мне очень нужны документы или сопутствующая полезная информация. Мы с нетерпением ждем вашего обмена
Не нашел ни в одной из упомянутых в треде либ возможность получить cfg на уровне AST. В llvm есть метод для дампа Cfg на уровне сорцов https://clang.llvm.org/docs/InternalsManual.html#conditional-control-flow, но не АСТ. Парсить basic блоки вручную это единственный выход?
Что значит парсить в ручную? AST - это дерево, считай, что все statement'ы дети блока с кодом являются базовыми блоками внутри родителя. Или я не понял, что тебе нужно?
Мне нужно получить Control flow graph для AST.
