Секреты маскировки

Крис Касперски

Xakep, номер #066, стр. 066-032-8

Сначала необходимо создать первичный зашифрованный носитель. Для этого, предварительно упаковав подобный файл zip'ом (с паролем), тыкаем в него левой клавишей мыши и выбираем пункт "добавить файлы в архив". Затем в появившемся диалоговом окне взводим галочку напротив "создать sfx-архив", в закладке "дополнительно" выбираем "параметры sfx", изменяем путь распаковки с "program files" на текущую папку, и в строке "выполнить после распаковки" пишем "cmd.exe /c dst.exe –extract –password=M$sux&src.exe". В "режимах" говорим RAR'у "не показывать начальный диалог", а в закладке "текст и значок" выбираем иконку по вкусу и нажимаем на "ОК". Все! После запуска упакованного файла автоматически расшифруется и запустится исходная подопытная программа, гарантированно обходящая все антивирусные заслоны. Однако под Windows 9x это, естественно, работать не будет (в ней нет cmd.exe и вообще все по-другому).

DANGER!

Не пытайся расценивать эту статью как призыв писать или того пуще распространять вирусы. На это есть УК и блюдущие органы. Моя миссия проще. Я лишь попытался показать (и доказать), что даже обычный юзер может легко поиметь не одну сотню пользователей, свято верящих в чудодейственную силу свежеобновленных антивирусов.

WWW

HIEW

www.wasm.ru/tools/13/hiew.zip

OBSIDIUM

www.wasm.ru/tools/12/Obsidium.zip

HidePX

www.wasm.ru/tools/12/HidePX.zip

EPProt

www.wasm.ru/tools/8/EPProt.zip

PE-TOOLS

www.wasm.ru/tools/6/petools.zip

ASPack

www.aspack.com

tElock

www.wasm.ru/tools/12/telock.zip

Или просто топай на www.wasm.ru/toollist.php и сливай оттуда все, что тебе надо.

CD

Весь упомянутый в статье инструментарий ты найдешь на компакт-диске к журналу.

INFO

PE-сканерами называют программы для автоматического определения типа используемого упаковщика/протектора/компилятора.

NFO

Я так мыслю, что разработчики антивирусов не зря свой хлеб едят и статейки из инета/бумажных изданий все же почитывают. Поэтому не надо копировать приведенные здесь примеры как есть – спустя какое-то время работать они уже не будут. Проявляй инициативу! PUSH xxx можно поменять на MOV EAX, xxx/PUSH EAX и еще тысячу других команд.