Evadir emulacion de AVs.

[The Swash]

Hola,

@APOKLIPTICO, ¿podrías especificar el motor sobre el cual quiere pasar la emulación?
Y hago referencia al emulador sobre el que quiere pasar ya que son bastante diferentes y cada uno puede emular distintas cosas, parsear opcodes que no soportan, etc.

Un saludo,
Iván Portilla.

[APOKLIPTICO]

El de Symantec por ejemplo.

[Karcrack]

Una lectura muy interesante que me compartió [Zero]:

Código [Seleccionar] Expandir

http://computervirus.uw.hu/ch11.html

[Karman]

virtualización manual: http://www.codigofuente.tk/index.php?topic=5272.msg7603#msg7603

y no hay emulación que funque

S2

PD: la idea no es virtualizar todo, pero si partes críticas

[Karcrack]

Vaya Karman, pedazo de código. Virtualizar código es algo que está en otro nivel además añadir soporte a las instrucciones necesarias puede llegar a ser un quebradero de cabeza. Sin duda un trabajo increíble

[0xDani]

Que proposito tiene la virtualizacion de codigo?

[APOKLIPTICO]

Evade heurística, pero dudo que evada emulación...

[Newhack32]

Tal y como aclara mDrinky me refería a que en el propio nombre que le da el AV a la detección suele suele incluirse esa información. Por ejemplo el "Heur" que añaden en algunos tags que viene de heurística, obviamente.

Como apunta zu-zu los emuladores de los AVs no son estúpidos y hay ciertas acciones que obvian por su poca relevancia en el flujo de ejecución de la aplicación (como los sleeps). Pero hay muchas otras formas de redireccionar el flujo de la aplicación u obfuscarlo, como por ejemplo usando handlers personalizados para errores que generes.

Como dato añado que había una forma de saber si estabas siendo emulado dentro del Kaspersky (si no recuerdo mal) que era haciendo un gethostbyname() y obteniendo el error generado, ya que para evitar conexión a internet se emulaban las llamadas a las APIs de WS y devolvía un error incorrecto.

Lo importante es que los emuladores van mejorando, ya sea obviando sleeps o reparando errores que ellos mismos hacen... eso sí, el NOD32 lleva más de 6 años petando con una instrucción de FPU que no emula correctamente:

Código (asm) [Seleccionar] Expandir

pminsw xmm0,xmm1
Con esa instrucción cualquier aplicación detectada por NOD32 se vuelve invisible

y como meteria ese code con olly