Druckbare Version
Hi ich hät mal ne frage vorhin machte mein avira nen großes update und nun war auch ein sehr guter fud crypter den ich gecodet habe detectet ich will keine infos wie man fud macht (weis ich ja auch) nur was das neue avira jetzt genau detectet könnte mir jemand helfen ?
MFG
Inj3ct
Tja das ist nunmal so wenn AntiVir ein Update macht, dass neue Viren erkannt werden :p Kannst auch danke an VirusTotal etc sagen^^
ich hab ja ne methode die fud amcht aber die is umständlich und net das ware und es is ja auch abunzu so das avira beim nächsten update die detectetions manchmal zurückschraubt naja wäre net wenn einer sagen könte was GENAU avira detectet weil die reine eof data ises net hm....
offsets halt^^+heuristik
Vllt. liegts an dem TR./Dropper
Wirds als dropper erkannt?
vielciht nen bissl genauer xD
jo TR.Dropper.Gen
Er fragt ob Avira eine Datei als einen Dropper erkennt...
Woher sollen den wir wissen warum dein dämlicher Kiddie Crypter detected ist. Wir sind keine Hellseher, deshalb musst du schon ein Beispiel File posten oder uns zumindenst die Avira Meldung verraten.
Es gibt übrigens auch Tools die dir helfen das Problem zu lokalisieren (Dsplit, signature zero, etc.).
1. ises kein kiddie crypter
2. hab ich doch gesagt es wird angezeigt Tr.Dropper.Gen
und vorgestern hat ich ja noch viele fud methoden gewusst blos heute morgen machte avira ein bissl gröseres update als sonst und bam alles detectet
Bei avira dropper/gen ist doch ein alter Hut. Das hat wohl mit dem Update nicht viel zu tun. Es liegt natürlich am EOF code oder/und an deiner RC4 Verschlüsselung. Schon mal was von Realign PE gehört?Zitat:
Zitat von Inj3ct
1 bin ich obwohl ich erst wenige psot habe kein noob in vb6 und nutze keine detectete rc4 encryption und realign pe header macht es auch detectet
Du nutzt aber EOF? Bzw. wird der PE header korrekt berechnet?
Du musst nämlich beim Anhängen nicht nur RawSize anpassen, sondern auch VirtualSize, ImageSize und Checksum der Exe ;)
checksum und rawsize is klar aber die anderen wie passe ich diese an
Manchmal erkennt avira auf den server etc am icon? die setzen da auch detections draud schonmach versucht icon zu ändern?
alles versucht hab ja ne fud methode aber die is halt net so das gelbe vom ei
wie geht den die :>
naja:Zitat:
checksum und rawsize is klar aber die anderen wie passe ich diese an
oder hier:Zitat:
Quelle=eigener Beitrag in einem anderen Forum -> bin halt faul :)
Größe der EOF Daten herausfinden und PE Header fixen (simpelste Methode):
Letze Section: VirtualSize=OldVirtualSize+EOF
Letze Seciton: RawSize=OldRawSize+EOF
ImageSize=OldImageSize+EOF
Etwas realistischer (so wie es die Linker meistens machen):
Letze Section:
VirtualSize=OldVirtualSize+EOF+(SectionAlign-(OldVirtualSize+EOF) MODULO SectionAlign)
RawSize=OldRawSize+EOF+(FileAlign-(OldRawlSize+EOF) MODULO FileAlign)
ImageSize=VirtualAdress+VirtualSize (beides die neuen, gerade berechneten Werte der letzen Section)
Wie man die Größe der EOF herausfindet. Tja, entweder merkt man sich, wie groß die Stub "original" ist, oder man macht:
Dateigröße - RawOffset+RawSize (beides Werte der letzen Section) = EOF Size.
http://free-hack.com/showpost.php?p=304178&postcount=5
Sonst kannst du auch das Tool ausprobieren:
http://free-hack.com/showthread.php?...ht=virtualsize
das macht nämlich dasselbe und man kann erstmal sehen, ob es überhaupt daran liegt ;)
hm ich sehs scho kommen wird ne lange nacht naja werd mich dann mal ans werk machen