Троян в упаковке

A.M.D.F. (amdf@front.ru)

Хакер, номер #072, стр. 072-060-4

Оверлеи

Некоторые программы дописывают в свое тело некоторое количество дополнительных данных, о которых нет данных в PE-заголовке, – оверлеи (overlays). При сжатии такого файла эти данные могут быть утеряны. Оверлеи могут хранить нужную для работы программы информацию, поэтому терять их не стоит. Во многих упаковщиках предусмотрена функция сохранения оверлеев. Например, в UPX это ключ -–overlay=copy. Насколько корректно упаковщик работает с оверлеями, можно проверить, попробовав сжать флеш-мультик, который представляет из себя не что иное, как Flash Player с прикрепленной флешкой. Если запаковать его без сохранения оверлея, то после запуска ты увидишь лишь пустое окно, так как мультик не сохранится.

Нужный софт

Если ты захочешь повторить мои эксперименты, тебе потребуется софт, который я упоминал в этой статье:

HidePE, StealthPE http://bgcorp.narod.ru

DotFix FakeSigner www.dotfix.com

UPX 1.90w http://upx.sf.net

FSG 2.0 www.xtreeme.prv.pl

PE Compact 2.10 www.bitsum.com

PE Tools/PE Sniffer www.uinc.ru

Как всегда, этот софт ты можешь найти на нашем диске, а также на сайте http://ired.inins.ru/xa.

Простые советы

Чтобы добиться наилучшего результата, экспериментируй! Попробуй запаковать файл разными программами с различными алгоритмами сжатия – результат работы будет разнообразным. Какая-то из софтин сожмет твой бинарник в 10 раз, но он банально не запустится. Какая-то сожмет на 30%, обеспечив стабильную работу до проверки антивирусом. Но ты выберешь ту, что уменьшила размер твоего чудо-бинарника вдвое, а вероятность нелепого конфликта с антивирусом свела к нулю. Также ты можешь просто вставить в свою программу сигнатуры других программ для сжатия, что окончательно запутает глупые антивирусы.

INFO

После сжатия необходимо проверить вирус или троян на работоспособность, а то может получиться так, что на компьютере-жертве он просто вылетит с ошибкой.

WARNING

Помни, что любые действия по распространению вредоносных программ караются Уголовным кодексом РФ. Не следует нарушать законы страны, в которой ты живешь.

CD

На нашем диске, как всегда, ты найдешь весь упомянутый в статье софт.