 |
29.01.2026, 01:14
|
|
Новичок
Регистрация: 03.01.2026
Сообщений: 0
С нами:
192549
Репутация:
0
|
|
C-подобный:
Код:
mov rcx
,
[
hKernel32
]
lea rdx
,
[
sGetSystemInfo
]
call
[
_GetProcAddress
]
lea rcx
,
[
sys_info
]
call rax
mov eax
,
dword
[
sys_info
+
32
]
cmp eax
,
2
jl
.
ne_found
Вообщем, сделал реализацию анти-эмуляции дефендера, просто проверяю как он реагирует. Если ядер меньше двух - процесс отключается.
Чисто в теории, это может спасти от эмуляции на 11 винде?
Если нет, просьба рассказать про какие-то другие методы, мейби намного интереснее, хотелось бы для себя что-то новое узнать.
У меня в планах было просто запустить цикл на пару миллионов тактов чтобы дефендер не смог дойти до OEP и эмуляция упала.
А вообще, та же EDR детектит подобную манипуляцию банально через хук на GetSystemInfo:
C:
Код:
void
WINAPI
HookGetSystemInfo
(
LPSYSTEM_INFO lpSystemInfo
)
{
pGetSystemInfoOriginal
(
lpSystemInfo
)
;
if
(
lpSystemInfo
->
dwNumberOfProcessors
dwNumberOfProcessors
=
8
;
}
}
Это так, для тех кто думает что это какая-то супер техника. |
|
|
29.01.2026, 10:07
|
|
Новичок
Регистрация: 21.12.2025
Сообщений: 0
С нами:
210647
Репутация:
0
|
|
Стековый анклав.
|
|
|
|
29.01.2026, 10:21
|
|
Новичок
Регистрация: 03.01.2026
Сообщений: 0
С нами:
192549
Репутация:
0
|
|
Ахимов сказал(а):
Стековый анклав.
Воспользуюсь DFI, спасибо.
|
|
|
|
29.01.2026, 13:23
|
|
Новичок
Регистрация: 21.12.2025
Сообщений: 0
С нами:
210647
Репутация:
0
|
|
Трассировать не получится, так как для этого должен быть валидным стек.
|
|
|
|
30.01.2026, 01:52
|
|
Новичок
Регистрация: 21.12.2025
Сообщений: 0
С нами:
210647
Репутация:
0
|
|
Анализ с gemini.
|
|
|
|
30.01.2026, 20:54
|
|
Новичок
Регистрация: 03.01.2026
Сообщений: 0
С нами:
192549
Репутация:
0
|
|
Ахимов сказал(а):
Анализ с gemini.
|
|
|
|
30.01.2026, 22:12
|
|
Новичок
Регистрация: 21.12.2025
Сообщений: 0
С нами:
210647
Репутация:
0
|
|
Gemfory
Авер еще лет 10 назад такие циклы обходил, тупо по флоу ветвям.
Расчнт на метод - собрал и забыл про обходы, поэтому это сложные техники.
|
|
|
|
30.01.2026, 22:13
|
|
Новичок
Регистрация: 03.01.2026
Сообщений: 0
С нами:
192549
Репутация:
0
|
|
Ахимов сказал(а):
Gemfory
Авер еще лет 10 назад такие циклы обходил, тупо по флоу ветвям.
Под авером ты подразумеваешь антивирус?
Если да, мейби да, но Касперский почему-то не обходит
|
|
|
|
|
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Линейный вид
