admin 管理员组

文章数量: 1184232

绝大多数情况马子是在静态时被杀的，如果在内存中运行起来后无法被及时扫描到，那就不用担心了。

Quasar这个最常见的远控，基本用C#工具混淆、加弱壳都没有太好的免杀效果。

一、首先编译出来马子，这个马子可以过不了静态，但是接下来的处理基本上静态查杀无解。

二、把马子的十六进制复制成base64模式，并且把base64编码中所有的大写字母“B”替换成“，”，这样完全去除静态特征。

三、由于马子的源代码是用C#编写的，这里用C#加载器最简单。
加载器要做的事情就是把上面这个文件释放出来并在内存中恢复成PE并加载到内存中（不会写在磁盘上）。当然加载器也可以添加一些延时功能来反沙箱分析，测试网络是否连接的一些代码。

4、测试下效果，结果在火绒和360极速版都安装且联网的情况下，是可以跑起来上线的。

360企业版主动防御引擎能否拦截C#的Assembly.Load方法并扫描出木马原型，这个未测试。

本文标签： 过火 极速 简单

版权声明：本文标题：简单免杀过火绒、360极速版 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.roclinux.cn/b/1763887283a3276966.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。