[原创文章] 定位木马的主动特征码

木马, 特征

自己的一些平常用的定位主动防御特征码的方法。。) x; M* ~. W0 P+ l9 w8 Z  d
0 P" Z3 f( j" v% U- J1 a
现在分享出来。。。" @& q- C: }8 ~5 }/ O& y8 Q
+ @2 O. @& ]3 C, G
工具：myccl.OD- Z/ S' S8 o/ s; N; N

免杀必备的工具哦   Q# f4 l4 Q# K$ d7 U' _0 S/ o
( V, }5 k3 D6 e" w
用myccl分块文件。。。尽量少点比如  10块1 d3 |; B" K6 j- _
9 i6 z9 U3 X8 `# c3 b" G' z5 e+ q
打开文件夹一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）# |7 `" K9 R9 o, ]' }/ E; K
3 u7 ]8 `2 ~# y
好了，这个时候会提示文件无法运行的窗口，) x9 d7 o" y% C$ s3 Z

我们不管它，直接确定。。6 ]5 Q( [+ S2 ^5 z3 m% ~7 l
+ H# N6 F1 _) c" c0 E
如果一个文件拖入OD 杀软提示了主动防御的提示
. M& J6 V+ V4 l5 j
我们记下这个文件，删除它，
9 G8 ]/ e) ^6 C; K: {
接着拖入其他文件。。一一确定。。
: j: u( T6 O3 i) e! x. U( j. S
知道没有提示，我们手动删除掉被提示的文件。。。
' l& G+ O) _8 {- c
接着二次处理，再一一拖入OD 再按照上面的方法  一一确定文件% N2 ^. i6 z1 x; u$ a

接着二次处理，重复定位直到文件长度为2的时候

我们久确定了我们木马的主动防御特征码。$ E5 v6 P- {: g2 {, ]

注意，每个杀软的对不同的木马的特征码是不一样的
) r6 t4 E" c- l+ _9 R
我相信知道定位表面特征码的朋友一看就知道了。。。  呵呵