Advanced EXE Modding Appendix: Bypassing BitDefender's Emulator

[DizzY_D]

Hallo!
Da ja einige an einem Appendix bezüglich Emulator interessiert waren und ich vor kurzem wieder damit konfrontiert wurde, habe ich es nun fertig geschrieben.
Es geht um das Bypassen von BitDefender's Emulator. Die verwendete Methode sollte allerdings auch bei anderen Emulatoren wirken.

DL: http://rapidshare.com/files/39028443...s_Emulator.pdf

BITTE FEEDBACK GEBEN!

MfG DizzY_D

[gf0x]

Super :'D
Wurde auchmal Zeit dass es kommt.

Mache gleich Feedback

[Edit:] Habe es eben mal überflogen und find es echt interessant wie sich emulatoren mit einer Schleife austricksen lassen.
Wünsche mir aber trotzdem noch einpaar weitere Bypassing Tuts

[g4$one]

Cool vielen Dank

[rogger]

Ich würd mich freuen, wenn es jemand reuppen könnte...
Wurde schon 10mal heruntergeladen.

[gf0x]

Jo ich reuppe gleich mal.

Eine Frage hab' ich da noch.
Undzwar sagst du am Anfang des Textes, dass wenn der Emulator die Datei startet und danach abbricht - er der Grund ist warum die Datei als Virus angesehen wird.

Wie sollte man dann vorgehen wenn der Emulator nicht daran Schuld ist?
Bzw. wo liegt dann der Grund ? Heurisitik|Signatur whatever?!

[EBFE]

Wenn der Emulator nicht durchgelaufen wird und man die Exe nicht ausführt, bleibt wohl nur noch die Heuristik/Signaturerkennung .
Bei "Ausführungserkennung" können es allerdings noch z.B Hooks auf bestimmte APIs sein oder "Triggered" Memoryscan (Speicher der Anwendung wird bei einem bestimmten Ereignis/API Aufruf/whatever gescannt).

[Freak1936]

Ich würde mir das tut auch gerne mal ansehen, hat nich einer lust das nochmal hoch zu laden ? Hab schon lange auf nee fortsetzung gewartet

[gf0x]

http://rapidshare.com/files/26734664...s_Emulator.pdf

Bitte

[Freak1936]

Bitte löschen!!! Doppelpost

[wacked]

i like. nett erklärt und auch für asm-nabs verständlich.
als idee für trash code: winapi. zB ne msgbox mit der falschen parameter anzahl aufrufen. sollte den emu schön austricksen^^