[原创文章] 定位木马的主动特征码

木马, 特征

自己的一些平常用的定位主动防御特征码的方法。。5 Z, l( G! r/ ~
9 f" |5 e! k  g$ ], U
现在分享出来。。。' @8 M, Q0 \! ]# x/ _

工具：myccl.OD9 A3 l/ e4 w4 r8 ?

免杀必备的工具哦 , n! H/ [8 s' C  L7 N& p& Z! v
3 j# q3 w0 A  E+ T  F
用myccl分块文件。。。尽量少点比如  10块6 z3 n; M$ M' r, f1 j
. Y  Z- C) A  I# ]
打开文件夹一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
0 m2 A! [7 l2 N% b# m; t) |
好了，这个时候会提示文件无法运行的窗口，
/ y/ F1 L" W  v  }
我们不管它，直接确定。。1 x! c* Z2 T- e& H

如果一个文件拖入OD 杀软提示了主动防御的提示: ~1 R- k2 s; F7 W- c/ J* I
& K( t) Q, }, n' }  ?5 h. |
我们记下这个文件，删除它，
) [: h8 Z" H3 m$ j( s% h; Y2 Z
接着拖入其他文件。。一一确定。。! n7 y' T; C4 e, B" c! N

知道没有提示，我们手动删除掉被提示的文件。。。4 T- w$ p5 ?4 p% j( E$ Z: Y' c7 Q# P

接着二次处理，再一一拖入OD 再按照上面的方法  一一确定文件& M& d$ v$ f5 V$ X

接着二次处理，重复定位直到文件长度为2的时候
: G- y" ?  c* M
我们久确定了我们木马的主动防御特征码。0 x1 @$ ^6 g. p4 O+ x3 |8 f$ F) s
$ L$ m8 I/ {. ~, x7 u; m
注意，每个杀软的对不同的木马的特征码是不一样的% R( j/ \5 y# b$ |, V

我相信知道定位表面特征码的朋友一看就知道了。。。  呵呵