Alternative zu "Xor" [VB6] + Fud RC4

[GregorSamsa]

Dieser Thread zeugt mal wieder von den Skills der 1337-VB-Crypt0r-C0d3r...

XOR ist in einer großen Menge verschlüsselungen enthalten, aber nicht nur dort, es gibt viele Programme die das benötigen.

Und wenn mir einer Erzählt, AV's würden nach xor() suchen und das als Grundlage für ne positive Meldung ansehen, dann gehe ich zu Blackberry und esse mit ihm ein Blowfish, gebraten und paniert von Rivest, Shamir und Adleman...

[mr. unnamed]

Und wenn mir einer Erzählt, AV's würden nach xor() suchen und das als Grundlage für ne positive Meldung ansehen, dann gehe ich zu Blackberry und esse mit ihm ein Blowfish, gebraten und paniert von Rivest, Shamir und Adleman...

Hat Tix vielleicht ein bisschen Falsch ausgedrückt, er meint wohl eher, das mittlerweile manche VB6 RC4 module mit nativem XOR detected werden, und um das zu umgehen das native XOR eben ausgetauscht wird. Aber schade, das solche Ideen immer gleich runtergemacht werden.

[gf0x]

Und wenn mir einer Erzählt, AV's würden nach xor() suchen und das als Grundlage für ne positive Meldung ansehen ...

Nur als kleine Anmerkung.
Die Detections der Antiviren-Programme bzw. deren Engines sind Faktorenbedingt.

Dazu gehören Sachen wie, manipulierter PE-Header, Split-Key, Kein API-Crypting etc.

Warum eine Datei an einer XOR-Verschlüsselung erkannt wird, liegt daran, dass jede Gesunde AV-Engine dessen Längenbedingter Byteschlüssel innerhalb von paar Sekunden Bruten kann ;o)