[原创文章] 定位木马的主动特征码

木马, 特征

自己的一些平常用的定位主动防御特征码的方法。。' d6 l5 `# t: C* G0 I8 w% S' v
/ w" @( y+ d; T* l& Q: |8 T
现在分享出来。。。

工具：myccl.OD

免杀必备的工具哦 3 H  c& ?; A% `7 _0 H
) a5 }; U  Y& @6 c0 }) ~! [- f6 Y5 r
用myccl分块文件。。。尽量少点比如  10块

打开文件夹一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）- F2 i! o& G# X2 h1 H' \$ Z- d+ v9 ~
% G9 Q+ I+ T% G- S& R* m
好了，这个时候会提示文件无法运行的窗口，
$ l- U5 [1 s, t3 g) R5 U
我们不管它，直接确定。。0 s" w! _0 i/ y
$ n$ ^* x2 C* H- E4 ~
如果一个文件拖入OD 杀软提示了主动防御的提示
( P+ N- A0 e1 l) n7 q
我们记下这个文件，删除它，

接着拖入其他文件。。一一确定。。5 Q+ m# g' ]4 z* O+ l' N* ^/ o
6 t& _. S9 ]& @) `6 U: q
知道没有提示，我们手动删除掉被提示的文件。。。. G% y4 k" a, f' d  x) s; L( j

接着二次处理，再一一拖入OD 再按照上面的方法  一一确定文件
/ L3 f) U6 J8 z/ U5 c6 N0 ?
接着二次处理，重复定位直到文件长度为2的时候) q7 Y4 a2 \- l% z/ ~
, D2 k$ Z& K6 B( S- i
我们久确定了我们木马的主动防御特征码。5 C5 e/ k2 b$ R9 [
8 J- S- B1 b# ?6 Z
注意，每个杀软的对不同的木马的特征码是不一样的

我相信知道定位表面特征码的朋友一看就知道了。。。  呵呵