[原创文章] 定位木马的主动特征码

木马, 特征

自己的一些平常用的定位主动防御特征码的方法。。' V! q  D! Q" s7 J" R  W- n
1 M4 v: p$ t0 S' v3 W
现在分享出来。。。' z7 d( o4 P3 A7 m. b7 M

工具：myccl.OD* K7 n% L! ^& s! n, o( l  H' a

免杀必备的工具哦

用myccl分块文件。。。尽量少点比如  10块0 D5 R- n* U% b  a( m* O

打开文件夹一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
% J4 [# r; H; z9 I) x' U: Z
好了，这个时候会提示文件无法运行的窗口，; W6 j5 J5 k( g) y5 b2 k
$ y  ?3 d; ?  J; X
我们不管它，直接确定。。& o9 [2 X, d) n% r$ Z' `
/ |% v( X  u- _. s2 h
如果一个文件拖入OD 杀软提示了主动防御的提示

我们记下这个文件，删除它，

接着拖入其他文件。。一一确定。。8 G% s1 a4 w. ~: S  |
4 u# Q# s& m5 c9 B3 q8 K# |) k
知道没有提示，我们手动删除掉被提示的文件。。。0 f# a+ g& a4 W* f0 q

接着二次处理，再一一拖入OD 再按照上面的方法  一一确定文件
1 Z% l6 ^) W4 H
接着二次处理，重复定位直到文件长度为2的时候8 T1 n0 D1 A, a" I
; q" Q+ ^& ?- n8 S; `% F& c
我们久确定了我们木马的主动防御特征码。3 v- a& _, R+ Q' v" _; u) }

注意，每个杀软的对不同的木马的特征码是不一样的
! B; Z9 ~1 A& l: p) g5 F! \
我相信知道定位表面特征码的朋友一看就知道了。。。  呵呵