Клейкий софт

Skylord (sky_lord@mail.ru)

Xakep, номер #065, стр. 065-044-4

Что и говорить, MicroJoiner – прога отличная. Жаль, что общее впечатление портит один недостаток: AVP легко распознает «клееные» этим джойнером файлы, и это очень плохо лечится (см. врезку про PE-Patcher).

ЗАКЛЮЧЕНИЕ

Порекомендовать какую-то одну прогу сложно – все они обладают разными наборами функций. Кому-то надо регистрировать устанавливаемые библиотеки, кому-то хочется "чистоты" перед антивирусами, а кому-то важен объем конечного файла и развитый механизм заметания следов. Лично я пока использую Супер Клей (несмотря на довольно большой размер выходного файла) и жду, когда выйдет новая версия MicroJoiner’а, которая AVP будет глубоко параллельна.

Ссылки по теме

www.exetools.com/others.htm - здесь лежит Senna Spy One EXE maker 2001 и еще парочка интересных джойнеров. Правда, в основном, досовских...

debugger2003.narod.ru/exeattach.html - не совсем джойнер, но близко к этому. Прога ExeAttach создает в конце exe'шника "контейнер", куда можно положить какие-нибудь другие файлы с целью спрятать их от посторонних глаз. Сам exe работает как раньше (ведь в память грузится лишь заданная в заголовке часть), а ты получаешь пусть примитивную, но "защиту информации".

www.webtoolmaster.com/exeb.htm - джойнер ExeBundle. Ничего особенного, но зато умеет самоудаляться после "выгрузки" на комп - пригодится на замену MicroJoiner'а, пока того палит AVP...

homepage.ntlworld.com/chawmp/elitewrap - джойнер EliteWrap. Отличается тем, что параметры его работы задаются через текстовый скрипт. Бонус в том, что конфигурируется порядок запуска компонентов "склейки": какие выполнять одновременно, а какие по очереди. В других джойнерах для этого, как правило, требуется линковать bat'ник, из которого запускать все через "start /wait"...

Удовольствие обратно пропорционально размеру

Тестирование джойнеров проводилось наипростейшим образом: склеивался стандартный notepad.exe и файлы, необходимые для запуска на компе RAdmin Server'а. Общий объем файлов - 417 Кб. А вот что получилось, соответственно, с параметрами по умолчанию, с использованием встроенной паковки и при помощи UPX'а.

Обман антивируса

Какой толк от «файла с сюрпризом», если его ловит любой Касперский годичной давности? Правильно, никакого. Но это не значит, что ты сразу должен выкидывать на свалку свой любимый джойнер – для начала можно попробовать обходной маневр.

Задача состоит в видоизменении файла так, чтобы антивирус не распознал в нем известные сигнатуры "вредного софта". Обычные крипторы помогут далеко не всегда, но зато имеется небольшая программка PE-Patcher (http://programs.fatal.ru), которая модифицирует код exe'шника, вставляя в него лишние и ничего не значащие команды. На работе исполняемого файла результаты такой обработки не сказываются, но зато антивирусы перестают его засекать. И это действительно так! Файлы, клееные Jundator'ом, One EXE maker'ом и другими джойнерами, пройдя через руки PE-Patcher'а становятся «невидимыми» для AVP. Тем более обидно, что продукция MicroJoiner’а оказалась этому патчеру не по зубам - после модификации "склеенная" прога запускаться отказывалась. Возможно, сказалось то, что MicroJoiner написан на чистом асме. Не знаю…