Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

Нужно обнаружить одну хитрую программу.... [D7, WinXP]

Страницы: 1 2 >
Free0n © (2006-01-11 14:11:00)
Есть экзешник, который копирует сам себя в определенной папке, при этом он изменяет
свою иконку на случайную, найденную им в других экзешниках или файлах с ресурсами.
Т.к. он меняет произвольно свою иконку, то у него изменяется размер и его хэш, но
ведь б'ольшая его часть остается неизменной. Как мне с наибольшей вероятностью
обнаружить все такие экзешники?

Заранее спасибо.

Free0n (2006-01-14 16:36:00) [1]
Где в заголовке можно найти секцию кода???
И как ее почитать, если можно - рабочий код.

Alarm (2006-01-13 18:32:00) [2]
Ветка очень напоминает флуд:(

Игорь Шевченко (2006-01-13 18:04:00) [3]

> екзешник запускается сам =))

" Processes do not just magically appear on the system, nor are they created
spontaneously by the kernel. New processes are created by other processes,
just like new humans. (4) (это в смысле ссылка, upper index)

(4) New humans are normally created by other humans, not by UNIX processes."

Free0n (2006-01-13 17:35:00) [4]
екзешник запускается сам =))

umbra (2006-01-13 12:52:00) [5]
кстати, а кто этот экзешник запускает?

umbra (2006-01-13 11:30:00) [6]
можно по заголовку найти секцию кода и взять оттуда первые n байт. Это сработает, если экзешник не упакован.

Игорь Шевченко (2006-01-13 10:23:00) [7]

> я слышал что ресурсы могут храниться в любой части РЕ файла?
> ???

Никто не мешает храниться им в любой части, но обычно они хранятся в конце exeшника

Free0n (2006-01-12 23:49:00) [8]
TO Хинт
Первый килобайт не совсем правильно т.к. я пробовал у *.ехе изменить
иконку и сравнивал оба файла по первому килобайту, во первых, как я думаю, практически у всех ехе одинаковый РЕ заголовок а это порядка 300байт, и мне кажется что после заголовка хранятся ресурсы, хотя это мое личное мнение, я слышал что ресурсы могут храниться в любой части РЕ файла????

Хинт (2006-01-11 20:12:00) [9]
А я вот всегда думал, как сменить значок у EXE файла =)
А по сабжу:
читать к примеру первый килобайт файла и сравнивать с телом трояна

Free0n (2006-01-11 17:37:00) [10]
To Игорь Шевченко
Отличная идея большое спасибо

Игорь Шевченко (2006-01-11 16:47:00) [11]
Free0n © (11.01.06 16:45) [10]

Посчитай сигнатуру секции кода, к примеру. Возьми два экземпляра, сравни, найди общую часть.

Free0n (2006-01-11 16:45:00) [12]
To Deka
пойманный экземпляр есть, а как у него сигнатуру определить(подсчитать) если он в себя добавляет/удаляет ресурсы (меняет иконку и т.п.)

Игорь Шевченко (2006-01-11 16:37:00) [13]
Anatoly Podgoretsky © (11.01.06 16:30) [8]

Эвристическим анализатором

Anatoly Podgoretsky (2006-01-11 16:30:00) [14]
Игорь Шевченко © (11.01.06 16:23) [7]
И против персональных вирусов?

Игорь Шевченко (2006-01-11 16:23:00) [15]
Поставь антивирус и не мучайся. Остальное он сам сделает

Deka (2006-01-11 16:03:00) [16]
Антивирусы обычно по сигнатурам ищут. Может и тебе так попробовать. Получится, если есть хоть один "пойманный" экземпляр.

Free0n (2006-01-11 15:54:00) [17]
To BiN
Да это почти троян, это его эмулятор, который мне надо найти.

Rouse_ (2006-01-11 15:48:00) [18]

> как можно узнать где именно в файле хранится иконка

Да как тебе угодно хоть тупо в лоб ищи. К примеру, перечисли ресурсы, вытащи саму иконку, а потом банально беги по телу файла и ищи место где она зашита :)

BiN (2006-01-11 15:12:00) [19]
Я понимаю, что это полезная во всех отношения программа, а ты администратор и всё такое, но всё же.

Это троян?

Free0n (2006-01-11 14:16:00) [20]
Если можно, то приведи рабочий код, а если нет, то как можно узнать где именно в файле хранится иконка?

Страницы: 1 2 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »