00

Предисловие

Здесь мы проверяем влияние подписи exe на результаты уничтожения VT и фактическую способность защиты от уничтожения.

Включая компилятор vs v143 и компилятор Intel C++.

Четыре метода подписи:

1. нет подписи
2. кража подписи
3. Неверная подпись
4. действительная подпись

И два аспекта тестирования:

1. ВТ проверь и убейтест
   1. Тест пустой упаковки: код без содержания
   2. Простой тест трояна: Самый простой загрузчик шеллкода, ничего не шифрующий.
   3. Более сложное тестирование троянов: шифрование шеллкода с использованием загрузчика обратного вызова HTTP
2. Антивирусный : включая тест tinder, 360, защитник, каба

Скриншотов много, поэтому вы можете прокрутить их до конца, чтобы просмотреть сводку. Загрузка набора инструментов для подписи завершена.

один

Тест пустой упаковки

Упакуйте пустой exe без содержимого:

1. Нет подписи

против компилятора по умолчанию v143:

компилятор Intel C++:

2. кража подписи

Здесь украден сертификат 360:

против компилятора по умолчанию v143:

3. Неверная подпись

Используйте инструмент подписи GUIинструментгенерироватьодин Сертификат Майкрософт：

Подпишитесь с помощью инструмента подписи Microsoft:

Поскольку при подписании не указан срок отсечки, то отсечка по времени недоступна, что также означает, что подпись недействительна:

против компилятора по умолчанию v143:

4. Действительная подпись

Добавьте сервер отсечки времени при подписании:

После подписания время подписания будет отображаться на отсечке времени:

против компилятора по умолчанию v143:

два

Простой тест трояна

Здесь мы используем самый простой загрузчик и не делаем никакого шифрования для тестирования:

1. Нет подписи

против компилятора по умолчанию v143:

компилятор Intel C++:

2. кража подписи

против компилятора по умолчанию:

Только до двух.

компилятор Intel C++:

Эффект практически не изменился.

3. Неверная подпись

против компилятора по умолчанию:

уменьшено на 5.

компилятор Intel C++:

уменьшено на 2.

4. Действительная подпись

против компилятора по умолчанию:

уменьшено на 6.

компилятор Intel C++:

уменьшено на 2.

три

Более сложное тестирование троянов

Шифрование шелл-кода с использованием загрузчика обратного вызова HTTP:

1. Нет подписи

против компилятора по умолчанию:

компилятор Intel C++:

2. кража подписи

против компилятора по умолчанию:

компилятор Intel C++:

3. Неверная подпись

против компилятора по умолчанию:

компилятор Intel C++:

4. Действительная подпись

против компилятора по умолчанию:

компилятор Intel C++:

Четыре

Антивирусный тест

Для удобства тестирования exe переименован:

Префикс vs представляет компилятор по умолчанию, а префикс Intel представляет Intel. c++компилировать；testпредставлять Простой троян,test1представлять Более сложные трояны；invalidпредставлять Неверная подпись,signedпредставлятькража подписи,signedsдействительная подпись。

360. Тест Тиндера:

Простые трояны были уничтожены, трояны, скомпилированные с помощью Intel C++, и более сложные трояны по сравнению с компилятором по умолчанию - все выжили.

Столкнувшись с уничтожением защитника:

Только более сложные трояны в Каббе могут работать нормально:

Через несколько минут их всех устранили, но о яде не сообщалось.

01

Подвести итог

Таблица влияния подписей на результаты убийства ВТ:

Пустой пакетчасintel Компилятор C++ может выполнять уничтожение VT0, то есть, если уровень кода достаточно хорош, чтобы избежать уничтожения, используйте intel Компилятор C++ может выполнять уничтожение VT0. При избегании убийства на уровне кода, sigthief, Неверная подписьидействительная подпись может существенно снизить риск отравления. Sigthief может уменьшить отравление, но может усилить отравление, если оно незначительное. Неверная подпись работает лучше, чем sigthief,действительная подписьнемного лучше, чем Неверная подпись。

Антивирусный тестрезультат：

Tinder、360：Простые трояны были уничтожены, трояны, скомпилированные с помощью Intel C++, и более сложные трояны по сравнению с компилятором по умолчанию - все выжили.

защитник: Вся армия уничтожена.

Каба：только Более сложные трояны могут запускаться нормально, но завершаются через несколько минут без сообщения о вирусе.

Подведение к двум вышеперечисленным Таким образом, нет большой разницы между подписанием и отсутствием подписи при работе с реальным антивирусным программным обеспечением, но это может улучшить внешний вид данных на VT. Конечно, это только для самоподписанного сертификата. подпишите, результат может быть будет лучше.

Безопасность кои

Платформа для изучения и обмена технологиями безопасности

Нажмите, чтобы поделиться

Нажмите, чтобы добавить в избранное

Нравится

Нажмите, чтобы увидеть