Wpis do rejestru

[Gelio]

Witam.

Mam kolejny problem, tym razem związany z rejestrem. Otóż wraz z dodaniem opcji wpisania do autostartu (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run) nowego wpisu program zostaje wykrywany jako wirus (skan). Nie wiem jak sobie z tym poradzić. Najlepiej byłoby, gdyby nie pokazywała się informacja w stylu: klucz xx został dodany (jak to się dzieje przy otwieraniu plików *.reg).

Proszę o jak najszybszą odpowiedź.
Pozdrawiam,
Gelio

@edit
Wyszukałem sygnatury. To jest cała funkcja (zapewne dodająca wpisy do rejestru), przy której wywołaniu wykrywa wirusa:

* Referenced by a CALL at Address:
|:004016AF   
|
:004012F0 55                      push ebp
:004012F1 89E5                    mov ebp, esp
:004012F3 57                      push edi
:004012F4 56                      push esi
:004012F5 53                      push ebx
:004012F6 81EC7C020000            sub esp, 0000027C
:004012FC 8B7D08                  mov edi, dword ptr [ebp+08]
:004012FF 0FB70500304000          movzx eax, word ptr [00403000]
:00401306 668945D8                mov word ptr [ebp-28], ax
:0040130A 0FB60502304000          movzx eax, byte ptr [00403002]
:00401311 8845DA                  mov byte ptr [ebp-26], al
:00401314 66C745DB0000            mov [ebp-25], 0000
:0040131A 8D5DD8                  lea ebx, dword ptr [ebp-28]
:0040131D 895C2408                mov dword ptr [esp+08], ebx
:00401321 C744240405304000        mov [esp+04], 00403005
:00401329 8D4598                  lea eax, dword ptr [ebp-68]
:0040132C 890424                  mov dword ptr [esp], eax

 

[Legalnl]

możesz np załadować klucz do autostartu za pomocą polecenia reg add w cmd z poziomu programu

 

[Gelio]

Niestety po zamienieniu mojego dodawania wpisów przez RegSetValueEx na wywołanie funkcji system z tą komendą wykryło dodatkowo 3 wirusy. Czekam na kolejne pomysły, o ile takie są.

Pozdrawiam,
Gelio

 

[Gelio]

Odświeżam. Proszę o pomoc.

Pozdrawiam,
Gelio

 

[cyber_pl]

Sekcja importow jasno pokazuje ze program bedzie korzystac z funckji winapi korzystajacych z operacji nad rejestrem, moze to jest kluczowe miejsce sygnaturowania ...

Warto samemu postarac sie o zaladowanie tych funkcji dynamicznie w programie tj:

//zaladowanie modulu wykonywlanego do procesu
loadlibrary(kernel32)

//pobranie adres danej funkcji
funckja = getprocaddres(kernel32,funkcja do zaladniwania)

//wywolanie danej funkcji
funkcja();

nie wiadomo jednoznacznie co program ma zaladowac, czy to funckje operujace na rejestrze czy czyms innym ...

rozne definicje mozna xorowac aby nie dalo sie ich jednoznacznie rozpoznac przed wykonaniem rpogramu, program sie wykonac i wyxoruje definicje ciagow tekstowych i dopiero ich mozna uzywac jako paratmery do wywolywanych funckji.