Dropper.Gen in leerer Stub?

[nom]

Hiho

Früher habe ich jede TR/Dropper.Gen Detection durch simples PE Fixing weg bekommen aber inzwischen bin ich am verzweifeln
Die Stub meines Stealers wird von Avira als TR/Dropper.Gen erkannt, obwohl weder EOF Daten noch Ressourcen angehängt/eingebunden sind. Es ist also nur die LEERE Stub die detected wird :/

könnte mir dabei bitte jemand helfen? Bin am verzweifeln

mfg
nom

[K-Gee]

Liegt an deinen Assembly Infos (korrigiert mich wenn das nicht so heißt).
Änder dein OriginalProductName etc... mit ResHacker
Nicht das iwo noch Stub steht.
Dann sollte das eig. behoben werden.

[Barny]

Hiho!
Es gab hier ma nen Tutorial, tut mri Leid ich weiß nicht merh von wem das war, aber das hieß "Stub Moddingfür Fortgeschrittene" oder sowas und ich mein der Autor fing mit "F" an. Da wurde beschrieben wie du das weg kriegst. Mehr kann ich dir leider auch nicht sagen, sry...

mfg

Barny

[100]

Gfox? Genauer gf0x

[nom]

assembly infos sind changed :x

[K-Gee]

Encrypte deine Strings, Change deine Subs, Adde JunkCode, Adde Fake Module etc.

[nom]

Habe ich alles schon getan aber es hat leider nichts gebracht is das selbe wie am anfang
Junkcode
Fakesubs
FakeAPIs
Fakemodules
Encrypted Strings
Andere auslese methode der EOF Daten

[Mofo]

Encrypte deine Strings, Change deine Subs, Adde JunkCode, Adde Fake Module etc.

Das hat absolut nichts mit der Dropper-Meldung zu tun

Die Pesize weicht einfach von der realsize ab, so einfach ist das..
Uppe mal deine Stub, dann sag ich dir wie du das genau bei dir ändern kannst, oder du versuchst es mal hiermit

[nom]

RapidShare: 1-CLICK Web hosting - Easy Filehosting
MD5: 7B22147E19D87E061FBA887AE80FF112

den PEFixer hab ich Probiert (Deinen und den von EBFE) beide haben nichts gebracht. Deiner sagte sogar, es ist nichts zu fixen

[EBFE]

Habe ich alles schon getan aber es hat leider nichts gebracht is das selbe wie am anfang
Junkcode
...

warum nicht zuerst die einfachsten Dinge abarbeiten? Wurden ja ganz am Anfang erwähnt:

Liegt an deinen Assembly Infos (korrigiert mich wenn das nicht so heißt).
Änder dein OriginalProductName etc... mit ResHacker
Nicht das iwo noch Stub steht.

Du hast 3 x mal in der Exe "Stub" stehen:

 
00002090              73 74 75 62 00 48 69 6A 61 63 6B         stub.Hijack

und

000233B0  6E 00 74 00 65 00 72 00 6E 00 61 00 6C 00 4E 00  n.t.e.r.n.a.l.N.
000233C0  61 00 6D 00 65 00 00 00 73 00 74 00 75 00 62 00  a.m.e...s.t.u.b.
000233D0  00 00 00 00 3C 00 12 00 01 00 4F 00 72 00 69 00  ....<...O.r.i.
000233E0  67 00 69 00 6E 00 61 00 6C 00 46 00 69 00 6C 00  g.i.n.a.l.F.i.l.
000233F0  65 00 6E 00 61 00 6D 00 65 00 00 00 73 00 74 00  e.n.a.m.e...s.t.
00023400  75 00 62 00 2E 00 64 00 61 00 74 00 00 00 00 00  u.b...d.a.t.....

überschreibt man "Stub" mit irgendwas anderem, bekommt man das raus:

File Info

Report date: 2010-09-02 16:46:09 (GMT 1)
File name: xyz-exe
File size: 147456 bytes
MD5 Hash: fee2214d82492d9f94458ba03766e9fd
SHA1 Hash: cddb9378eaefbb4a423c8bdce63369ff4a6fe7eb
Detection rate: 0 on 16 (0%)
Status: CLEAN

Detections

a-squared -
Avast -
AVG -
Avira AntiVir -
BitDefender -
ClamAV -
Comodo -
Dr.Web -
F-PROT6 -
Ikarus T3 -
Kaspersky -
NOD32 -
Panda -
TrendMicro -
VBA32 -
VirusBuster -

Scan report generated by
NoVirusThanks.org

(im übrigen würde ich keine Links zu den Scans posten - denn gerade Links mit vielen Besuchern sind i.R der beste Hinweis, dass die Files genauer unter die Lupe genommen werden sollten )