Quisiera que me hayudaran a sacar a Estos dos Av desde el source
he intendado de varias maneras pero aun no logro dejarlos fuera son
los unicos dos q me dan guerra... ya he visto a qui el tutorial de Como indetectar cualquier malware por codigo de Sm0kes pero aun no lo logro..
Para avira le he metido Muchas api como dice alli pero nada no sale..
Para nod he intendado muchas formas modificando la llamada al Rumpe, entre otras cosas..
Si alquien quisiera ahuyarde me se lo agradesco si no quieren publicar sus metodos
pueden mandarme un MP, si quisieran hacerlo XD

sacar Avira es una dura batalla que libramos todos los días y añadiendo Apis creo que vas por el camino equivocado.. más bien deberías empezar a eliminar Apis y llamarlas desde alguna función para no incluir las Apis como el Invoke de Cobein.
Nod32 no es tan complicado, pero su heurística hace que sea difícil ver dónde está la clave... te recomiendo que leas unos post que sacó leos_79 sobre sacar heurísticas...

espero que poco a poco te vaya saliendo. Un saludo!

R-007 escribió:sacar Avira es una dura batalla que libramos todos los días y añadiendo Apis creo que vas por el camino equivocado.. más bien deberías empezar a eliminar Apis y llamarlas desde alguna función para no incluir las Apis como el Invoke de Cobein.
Nod32 no es tan complicado, pero su heurística hace que sea difícil ver dónde está la clave... te recomiendo que leas unos post que sacó leos_79 sobre sacar heurísticas...

espero que poco a poco te vaya saliendo. Un saludo!

Mandame un mp Me gustaria agregarte a mi msn.
Para que me hayudaras con estos problemas

a NOD como avira se salen agregando codigo basura apis falsas y cambiando varias cosas del programa mismo intenta hacer algo como cambiar la compañia agregar apis falsas y veras resultados ;D

agregar código basura en Nod32 es un error..porque te puede detectar como Win32\Injector (sin motivo aparente), sin embargo el uso de APIs falsas si es útil. en cuanto a avira... pfff ya ahí.. hay que usar bisturí xD.

Avira -> APIs falsas de Kernel32
NOD32 -> Saltos, condiciones falsas, Bucles..

Salu2!

The Swash escribió:Avira -> APIs falsas de Kernel32
NOD32 -> Saltos, condiciones falsas, Bucles..

Salu2!

Gracias esto es lo mas contreto que me an dicho...
A avira le he puesto muhcas api y nd so sale
Unos dices para avira ponle Apis Y para nod no poner Apis entonces como hago esoo si para uno si y otro no..

marley87 escribió:

The Swash escribió:Avira -> APIs falsas de Kernel32
NOD32 -> Saltos, condiciones falsas, Bucles..

Salu2!

Gracias esto es lo mas contreto que me an dicho...
A avira le he puesto muhcas api y nd so sale
Unos dices para avira ponle Apis Y para nod no poner Apis entonces como hago esoo si para uno si y otro no..

Bueno si ayuda mucho. lo malo que aumenta mucho el Stub

Yo por ejemplo sacaria nod32 separando el code
husando variable y call
te lo recomiendo a mi siempre me a funcionado así

R-007 escribió:agregar código basura en Nod32 es un error..porque te puede detectar como Win32\Injector (sin motivo aparente), sin embargo el uso de APIs falsas si es útil. en cuanto a avira... pfff ya ahí.. hay que usar bisturí xD.

No creas... A mi me da exelente resultado colocar basuras con eso sale bien y te hablo de un RunPe viejito.. pero eso de poner Apis

Yo intenté repetidas veces agregar código basura. No me sirvió. Pero si alguien pudo quitar el Nod 32, añadiendo código basura, pues bueno, habrá que considerarlo, desde luego.

Para Avira es muy facil. Ya sabes que Avira detecta algunas Apis. Por tanto, lo primero que tienes que hacer es encontrar la/s otra/s firma/s. Seguido, buscar qué apis detecta, y hacerles CallAPI/Invoke o lo que sea, si es posible. Después te quedará una única API.

Si llegas hasta ese punto, mandame un PM, con dicha api que queda, y su correspondiente equivalencia en Kernel32, y te ayudaré a pasarla.

Nod... bueno, yo lo pasé cambiando la llamada al RunPE. Ojo, no cambiando Call RunPE por Call JJanbcjlasddi. Si no cambiando Call RunPE Strconv(Noseque, VbFromUnicode), Blabla, Tururu, por Call RunPE Paramericano

EDIT: Una forma más facil de sacar NOD, si usas ek RunPE de Cobein, modeado por Karckar (Cls), Modificando un poquito el PutThunk, se va NOD, y Kasperky.

Saludos y Suerte!