 |
|
Модераторы: Poseidon, Snowy, bems, MetalFan |
 
|
|
Лечение вируса heshta.a, или как поменять стартовый адрес 
| ShadowDancer |
|
|||
|
Шустрый  Профиль Группа: Участник Сообщений: 100 Регистрация: 15.6.2006 Репутация: нет Всего: нет |
Почитать про него можно тут: http://www.viruslist.com/ru/viruses/encycl...?virusid=105045
Он записывается в конец файла, отрисовать его можно, размер есть, но он зараза вроде как меняет стартовый адрес. Из-за этого у меня возникли проблемы. Как изменить стартовый адрес ? |
|||
|
||||
Загрузка ...
| Snowy |
|
|||
 Эксперт Профиль Группа: Модератор Сообщений: 11363 Регистрация: 13.10.2004 Где: Питер Репутация: 192 Всего: 484 |
А что, антивирус уже не помогает?
|
|||
|
||||
| Albinos_x |
|
|||
 Evil Skynet Профиль Группа: Комодератор Сообщений: 3288 Регистрация: 28.5.2004 Где: X-6120400 Y-1 4624650 Репутация: 26 Всего: 108 |
мдя:
а алгорит расшифровки известен? -------------------- "Кто владеет информацией, тот владеет миром" Уинстон Черчилль |
|||
|
||||
| Romikgy |
|
|||
 Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
А попытатся найти в Беларуси этого товарища и у него спросить
-------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности.  |
|||
|
||||
| Albinos_x |
|
|||
|
Evil Skynet Профиль Группа: Комодератор Сообщений: 3288 Регистрация: 28.5.2004 Где: X-6120400 Y-1 4624650 Репутация: 26 Всего: 108 |
думаешь поделится..
-------------------- "Кто владеет информацией, тот владеет миром" Уинстон Черчилль |
|||
|
||||
| ShadowDancer |
|
||||||
|
Шустрый Профиль Группа: Участник Сообщений: 100 Регистрация: 15.6.2006 Репутация: нет Всего: нет |
Интересно вручную.
Беларусь большая (относительно)
Допустим. Ну так что, есть соображения ? |
||||||
|
|||||||
| Albinos_x |
|
|||
|
Evil Skynet Профиль Группа: Комодератор Сообщений: 3288 Регистрация: 28.5.2004 Где: X-6120400 Y-1 4624650 Репутация: 26 Всего: 108 |
изменения адреса идёт скорее всего на 3 байте, нужно знать что он и где шифрует, и где хранит изменённый адрес для восстановления...
если эти данные известны, то копируешь сначала в 3 байт старый адрес, расшифровываешь зашифрованный участок, отрезаешь тело вируса... можно конечно после запуска попробовать дамп памяти снять уже с расшифрованной программы, но вот вход врятли от этого восстановится... -------------------- "Кто владеет информацией, тот владеет миром" Уинстон Черчилль |
|||
|
||||
| Romikgy |
|
||||
|
Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
думаю если сильно попросили
оттож что относительно ShadowDancerNew, почитай вообще как запускается ехе файлы на васм.ру например -------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности. |
||||
|
|||||
| BUGOR |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 325 Регистрация: 12.3.2006 Репутация: 5 Всего: 16 |
Выложи заражённый файл. Прыжок на OEP(original entry point) должен находиться в конце тела вируса, причём я думаю сделано это стандартными способами:
jmp oep или push oep / retn. А к точке входа(EP) можешь подобраться следующим путём: IMAGE_NT_HEADERS.OptionalHeader.AddressOfEntryPoint |
|||
|
||||
|
|
| Правила форума "Delphi: Общие вопросы" | |
|
|
Запрещается! 1. Публиковать ссылки на вскрытые компоненты 2. Обсуждать взлом компонентов и делиться вскрытыми компонентами
Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, Snowy, MetalFan, bems, Poseidon, Rrader. |
| 0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей) | |
| 0 Пользователей: | |
| « Предыдущая тема | Delphi: Общие вопросы | Следующая тема » |
[ Время генерации скрипта: 0.0579 ] [ Использовано запросов: 22 ] [ GZIP включён ]
Реклама на сайте Информационное спонсорство
|
|
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности Powered by Invision Power Board(R) 1.3 © 2003 IPS, Inc. |