Win32 vitro что это
Как удалить Win32.Vitro Virus?
Что такое Win32.Vitro Virus?
Итак, как узнать, что это Win32.Vitro Virus на вашем компьютере. Вот некоторые симптомы. Показывайте множество всплывающих окон прямо на экране компьютера. Некоторые приложения будут запускаться автоматически, и ПК будет часто выключаться самостоятельно. Несоответствие файлов и папки, а также их тип, и повреждение некоторых важных файлов. Слышен нежелательный звук, а также замедляется работа ПК. На некоторые программы потребуется больше времени, чем ожидалось, так как это замедлит работу ПК. Отключая брандмауэры и рекламное ПО, он создает лазейку, чтобы хакер мог атаковать систему. Win32.Vitro Virus даже контролирует всю работу ПК и требует денег, чтобы избавиться от него. Win32.Vitro Virus — опасный вирус, и его необходимо как можно скорее удалить с Mac, ПК или системы.
Важные факты:- Многие из экспертов по безопасности настоятельно рекомендуют использовать сканер вредоносных программ или инструмент безопасности вместо ручного процесса для удаления вредоносных программ с скомпрометированного компьютера. Для этого не требуются навыки работы с компьютером, а использование инструментов безопасности вовсе не сложный процесс. Любой начинающий пользователь может выполнить удаление вредоносных программ через сканер вредоносных программ. Кроме того, большинство инструментов безопасности поставляется с бесплатными сканерами вредоносных программ. Вы также можете использовать ручной процесс, но он может быть временным, и любые неправильные действия могут привести к повреждению операционной системы. Следовательно, рекомендуется выполнять процесс удаления вредоносных программ с умом.
Нужна помощь: — Если вы все еще в замешательстве по поводу удаления Win32.Vitro Virus, то вы можете связаться с нами по комментарию или по электронной почте — [ support@malware-killers.com]
Можно ли удалить Win32.Vitro Virus с компьютера?
Процесс 1: С помощью инструмента автоматического удаления [ Лучше всего и используется многими пользователями ПК с Windows ]
Процесс 2: Нажмите здесь для ручных шагов [ Примечание : — Нажав здесь, вы будете перенаправлены на другую страницу, где вы получите все ручные шаги, используя те шаги, которые вы можете удалить Win32.Vitro Virus с вашего компьютера ]
Как создать Восстановление системы и защитить компьютер после вторжения Win32.Vitro Virus?
Восстановление системы — это функция, доступная в ОС Windows, с помощью которой пользователи могут восстанавливать свою Систему в точке, где они создали « Восстановление системы ». Восстановление системы означает, что все файлы, папки, настройки и приложения, доступные на ПК, собраны и сохранены на другом диске в виде файла образа, который вы можете использовать, когда испорчен программный продукт, например, приложение, которое вы установили, или сломанный драйвер. что-то важное — это может быть трудно исправить. Восстановление системы позволяет восстановить установку Windows до ее последнего рабочего состояния. пользователи могут создавать восстановление системы в любое время или настраивать параметры, хотя Windows автоматически создает « Восстановление системы» «в выбранном устройстве хранения. Он также создает точку восстановления непосредственно перед важным системным событием, таким как установка нового драйвера устройства, приложения или запуск обновления Windows.
Давайте начнем создавать Восстановление системы:
Чтобы создать точку восстановления системы, сначала пользователям необходимо открыть « Свойства системы », и для этого они могут напрямую выполнить поиск «Свойства системы» из «Меню поиска СТАРТ» или открыть через проводник Windows, щелкнув правой кнопкой мыши «Мой компьютер».
После того, как вы откроете « Свойства системы », вы должны найти « Защита системы » в опциях слева. Просто нажмите « Защита системы », и появится новая вкладка.
В « Защита системы » вы найдете кнопку «Восстановление системы», просто нажмите на нее и следуйте инструкциям.
Он спросит вас, где хранить « Восстановление системы ». IMG файл и какое имя он должен иметь. вам просто нужно указать путь для хранения данных и имя.
Для создания точки восстановления требуется несколько раз (это как контрольная точка, которую вы получаете, играя в игры), и после этого появляется всплывающее окно с сообщением.
Восстановление системы также может быть чрезвычайно полезным для исправления проблем, вызванных недавно установленным приложением или обновлением Windows. В некоторых случаях приложения и обновления могут вызывать проблемы с различными приложениями или даже системными частями, и в основном удаление приложения, вероятно, не компенсирует повреждения. Восстановление до того момента, когда приложение было установлено, как бы то ни было, может регулярно устранять проблему.
Некоторые другие методы, которые вы можете применить для решения проблем вашей системы:
Если восстановление системы не решает вашу проблему, существуют разные способы решения части проблем, для которых предназначено восстановление системы.
Если проблема была вызвана текущим обновлением, вы можете попытаться удалить это обновление Windows Update или вернуться к прежней «форме» Windows 10. Это должно исправить проблемы, которые могут возникнуть из-за Windows Update и проблем с вашим конкретным оборудованием. и программирование.
Если вы уверены, что ваши системные документы повреждены — или вам просто нужно проверить — вы можете попробовать использовать System File Checker для проверки и исправления поврежденных системных записей.
Если вы ввели обновление или драйвер оборудования, и проблема началась с этого момента, вы можете удалить драйвер или обновить его, а затем ввести его в квадрат.
Если Windows не загружается должным образом, и вы ничего не можете сделать, вы можете загрузиться в безопасном режиме. Вы также можете посетить экран «Выбор запуска при запуске» — он, естественно, появится, если Windows 10 не сможет загружаться регулярно — и использовать там альтернативные варианты.
Безопасный режим также полезен, если по неизвестным причинам восстановление системы не подходит для восстановления вашего ПК до выбранной точки восстановления. Вы можете загрузиться в безопасном режиме и попробовать запустить восстановление системы оттуда. Одна большая оговорка, хотя, как читатель Стрэспи был достаточно хорош, чтобы указать. Когда вы возвращаетесь к точке восстановления из безопасного режима, восстановление системы не создает новую точку восстановления во время процесса, а это означает, что у вас нет способа отменить восстановление.
Если каким-то образом этой угрозе удастся проникнуть внутрь вашего компьютера, очень важно удалить Win32.Vitro Virus из системы. Вы можете выбрать шаги вручную и попытаться удалить это вредоносное ПО из Системы, и мы можем сказать, что по крайней мере один раз вам нужно дать шанс себе и попытаться устранить вредоносное ПО. Инструмент автоматического удаления — это процедура, позволяющая сэкономить время, которую вы можете использовать, когда у вас не осталось вариантов. Этот инструмент автоматически сканирует всю вашу Систему без вашей помощи, и вы можете получить подробную информацию о том, какой файл заражен и какие вредоносные программы находятся в вашей Системе.
Процесс 1: с помощью инструмента автоматического удаления [лучший и используется многими пользователями ПК с Windows]
Процесс 2: Нажмите здесь для ручных шагов [ Примечание : — Нажав здесь, вы будете перенаправлены на другую страницу, где вы получите все ручные шаги, с помощью этих шагов вы сможете удалить Win32.Vitro Virus с вашего компьютера]
Как вы можете понять, что этот конкретный компьютер заражен вирусом?
Всякий раз, когда вы просматриваете что-то с помощью браузера по умолчанию. Внезапно открывается нежелательная вкладка с предупреждениями «Ваш компьютер заражен [5] опасным вирусом, нуждающимся в немедленной защите. Не верьте в этих предупреждениях, это предупреждение о спаме, созданное вирусом или рекламным ПО.
Компьютер ведет себя очень странно, как и раньше; это основные симптомы вредоносного ПО редактора реестра. Они добавляют вредоносные записи реестра в редакторе реестра Windows, что затрудняет запуск ОС [Операционная система] легко.
Иногда вы обнаруживаете, что ваше регулярное использование приложения не запускается или происходит сбой каждый раз. Это связано с тем, что вредоносная программа повредила файл DLL и не позволяет запускать приложение / программу.
Вредоносные программы очень хитры, они используют ваш Интернет для загрузки / выгрузки своих вредоносных файлов в Интернет, из-за которых вы можете страдать от медленного интернет-соединения или не можете соединиться с интернетом.
Вирус угонщика браузера очень раздражает, когда он заходит в вашу Систему и захватывает ваш браузер, вы не сможете просматривать Интернет по своему желанию. Он всегда открывает другие вкладки или страницы автоматически без вашего запроса. И когда-то вы обнаружили, что некоторые приложения автоматически загружаются.
Когда вымогатель попадает в вашу систему, вы обнаруживаете, что все ваши файлы отсутствуют, и вместо них есть некоторые зашифрованные файлы размером не более 400 КБ.
Некоторые вирусы, такие как Trojan или Ransomware, способны отключить ваш антивирус и брандмауэр Windows без вашего разрешения. Именно поэтому мы настоятельно рекомендуем использовать программу Anti-malware вместо Антивируса.
Это также признак зараженной системы, когда ваш законный язык приложения автоматически меняется, а обои на рабочем столе время от времени меняются случайным образом.
Иногда вы также обнаруживаете, что некоторые из ваших обычных программных файлов отсутствуют в компьютерной библиотеке. Это происходит, когда компьютерный вирус прячется на вашем локальном диске. Он начал есть файлы и использовать их ресурсы.
Иногда, когда компьютер работает странно, как отправка электронной почты неизвестному без вашего ведома и запуск неизвестной программы при загрузке. Это симптомы заражения вашего компьютера вирусом, который дает полный контроль над вашим компьютером кибер-хакерам.
Примечание : — Если вы решите использовать Ручные шаги для удаления Win32.Vitro Virus, тогда, пожалуйста, уделите все внимание каждому из ваших шагов. Потому что, если вы удалили неправильные файлы, вся система будет разрушена, и вы можете понести огромные убытки.
Преимущество использования инструмента Anti-Malware. Почему это лучше? И почему Malware Expert рекомендует устранить Win32.Vitro Virus?
Преимущество использования инструмента Anti-Malware. Почему это хороший выбор для безопасности вашего ПК и конфиденциальности?
Анти-вредоносные программы — это разновидность Программного обеспечения, предназначенного для предотвращения, распознавания и устранения вредоносного Программного обеспечения с помощью уникальных гаджетов и ИТ-инфраструктур. Программы защиты от вредоносных программ — это комплексный этап, который защищает от болезней, вызываемых многими видами вредоносных программ, включая инфекции, червей, троянов, руткиты, шпионское ПО, клавиатурные шпионы, вымогателей и рекламное ПО.
Антивирус, как правило, управляет более опытным, более устойчивым вирусом, например, троянами, инфекциями и червями. Анти-вредоносные программы, в отличие от других, обычно концентрируются на более актуальных вещах, например, на полиморфных вредоносных программах и вредоносных программах, распространяемых с помощью эксплойтов нулевого дня. Антивирус защищает клиентов от ожидающих, не удивительных, но все же небезопасных вредоносных программ. Защита от вредоносных программ Защищает пользователей от самых последних, на данный момент в природе, и значительно более опасных угроз. Аналогично, анти-вредоносные программы обычно обновляют свои принципы быстрее, чем антивирус, подразумевая, что это лучшая гарантия против новых вредоносных программ, с которыми вы можете столкнуться при работе в сети.
Если вы действительно раздражены и хотите получить полное решение, не тратьте свое время и не рискуйте жизнью компьютера. Просто нажмите на ссылку Скачать, и у вас есть все шаги для установки программы защиты от вредоносных программ. И после установки программы Anti-Malware сделайте быстрое сканирование и найдите, какие проблемы вызывают здоровье вашего ПК.
Win32 vitro что это
| Регистрация Извините, но кто вам, тогда, советовал поставить эту ерунду? Начиная с 5- й версии данная программа не то, что вирусы находит- она их вообще не видит. Смотря как проводить переустановку. Наиболее общей тактикой является удаление Win32.Vitro с помощью «Add/Remove Programs». Хотя, поскольку могут иметься и скрытые файлы Win32.Vitro, следуйте дальнейшим инструкциям. Ручное удаление. Шаг 1. используйте утилиту поиска Виндоуса для нахождения Win32.Vitro. (Шаг 2) Вы должны сперва приостановить все запущенные в памяти процессы Win32.Vitro. Для этого вызовьте Диспетчер Задач и остановите процессы с этим именем. (Шаг 3) Для удаления записей Win32.Vitro в реестре откройте Редактор Реестра и поищите ключ Под конец, для полного освобождения от Win32.Vitro вы должны вручную удалить другие файлы Win32.Vitro. Они могут быть в форме EXE, DLL, LSP, TOOLBAR, BROWSER HIJACK, и/или BROWSER PLUGIN. К примеру, Win32.Vitro может создавать файл вроде Если вы уверены, что у вас находится Win32.Vitro, проверьте это с помощью SpyHunter’s Malware Scanner. Правило 1. Обновляйте безопасность Виндоуса, качайте все обновления по безопасности. Потом откройте ИЭ и установите уровень безопасности «по умолчанию». Потом установите на «пройзвольный уровень». способ борьбы с Win32.VitroОпции темыспособ борьбы с Win32.Vitro
вообщем я решила свою проблему и я очень счастлива. Подцепил нынче эту заразу. Хотел кряк скачать, а скачал подлянку. Причем NOD и Avast промолчали. Avira ругнулась, но она на все кряки ругается. Ничто не предвещало беды. А теперь.. «The Vitro Trojan WILL, I repeat, WILL require you to back up your data, format your hard disk, then do a wipe of your drive, then reinstall Windows, all of the service packs and updates, all of your software, then restore your data. This IS the only way to get rid of it.» Почитать еще можно тут. Хочу выразить свою искреннюю ненависть тем, кто его сделал. Горите в аду. ну и все в таком роде. решение что называется, наскребла по сусекам(переустанавливать винду считаю необходимым лишь в случае когда она сама слетает, тем паче что вирус этот легко переносит эту самую переустановку, может помочь разве что низкоуровневое форматирование+покрытие нулями, а мне такой вариант совершенно не нужен был)- но суть его сводится к следующему: Spoiler (click to show/hide) 3) установить данную примочку, перед этим предварительно отключив ПОЛНОСТЬЮ (не значит делет) ваш Антивирусник (тоесть не тока в трее но и в службах) 4) запустить проверку со всеми галочками. По мере обнаружения вируса программа будет указывать путь где он находиться и полное имя экзешного файла. Я долго не думала и удаляла всю папку независимо от ценности файла-пришлось удалить все игры мужа (Линейка, Контра, Герои, Флетаут и прочее 7) после всего вышеописанного следует отключить автозапуск съемных носителей (дисков, флешек и т.д). Вообще это ооочень геморойно, но кое-что нашла для упрощения процедуры-а именно вот этот скриптик: Ну и естественно включить обратно свои антивири и сделать и ими полную проверку-у меня после всего вышеописанного тишь да гладь Там убедительно просят ещё постоянно следить за автоматическим обновлением системы-но так как у большинства это далеко не лицензия-то не советую Обзор вируса Virus.Win32.Virut.ce
В последние годы инфицирование исполняемых файлов стало среди вирусописателей непопулярно, поскольку уровень их обнаружения с помощью эмуляции достиг высокого уровня. Однако разработчики Virut.ce этого не испугались и реализовали сложные методы ухода от детектирования путём антиэмуляции и полиморфизма. Код Virut.ce меняется при каждом заражении, используя механизм мутации, заложенный в самом вирусе. Кроме того, чтобы сбить детектирование, разработчики вредоносной программы дополнительно обновляют вирус в среднем раз в неделю. Virut.ce — единственный вирус, который изменяется подобным образом так часто. Мутирует не только тело вируса, но и его декрипиторы (расшифровщики). В Virut.ce реализована технология сокрытия точки входа (Entry Point Obscuring), затрудняющая обнаружение точки перехода к телу вредоносной программы. При каждом заражении исполняемого файла применяется обфускация, что представляет ещё одну трудность при детектировании. ВведениеДанная статья посвящена полиморфному заражающему вирусу Virus.Win32.Virut, а конкретно — модификации «ce». Почему же выбор пал именно на Virut.ce? Технологии, реализованные в Virut.ce, очень хорошо отражают наиболее современные методы, используемые при написании зловредов. В нём активно используется антиэмуляция и антиотладка. А именно — применяется подсчёт дельт, полученных с помощью серии инструкций rdtsc, API –функции GetTickCount, а также используется многократный вызов «Fake» API – функций. Virut.ce — единственный вирус, который изменяется в среднем раз в неделю, что говорит о том, что его разработчики непрерывно следят за состоянием баз антивирусов и немедленно реагируют на появление соответствующих сигнатур — обновляют вирус, чтобы сбить его детектирование. Что интересно, очень грамотно продуман способ обновления версии зловреда — с помощью инфицированных html файлов. В этой статье рассмотрены техники заражения файлов. Также не будет обойдена вниманием обфускация, которая имеет место при каждом заражении исполняемого файла. Дополнительно будет показана эволюция различных компонент вируса, начиная от его появления и заканчивая настоящим временем. Вся статистика, которая использована в статье, получена с помощью технологии KSN — Kaspersky Security Network. Краткий обзор статистики и распространенияСамая первая модификация вируса Virut — «a» — появилась ещё в середине 2006 года. Далее шло постепенное развитие вредоносной программы, которое вылилось в появление модификации «q» в сентябре 2007 года. Эта модификация была очень популярна в своё время, однако, сейчас встречается редко. Полноценная «поддержка» Virut.q была прекращена разработчиками во второй половине 2008 года. А в первую неделю февраля 2009 года было зарегистрировано появление модификации «ce». Промежуток времени между окончанием работы над модификацией «q» и выпуском «ce», по-видимому, был использован для разработки новых методик заражения, алгоритмов шифрования и методов антиэмуляции. Далее в статье под словами «Virut», «Вирус» и т.д. будет подразумеваться именно Virus.Win32.Virut.ce. В настоящее время модификация Virut.ce находится на втором месте среди всех Virus.Win32.*.*, детектируемых на компьютерах пользователей: На графике, приведенном ниже, хорошо видно, что с течением времени активность распространения Virut.ce растет: Функционал вирусаПришло время рассмотреть самое основное — функционал вируса. Как известно, подавляющее большинство зловредов создаются исключительно ради извлечения выгоды. Так вот — Virut не стал исключением. По сути — это Backdoor, который вначале пытается внедриться в адресное пространство процесса «explorer.exe» («services.exe», «iexplore.exe»), а затем подключиться по IRC-протоколу к адресам irc.zief.pl, proxim.ircgalaxy.pl, с которых он ожидает команды сервера. Всё довольно стандартно, как и попытка завершения различных процессов, список которых виден на представленном ниже скриншоте. В этом списке присутствуют и процессы антивирусных программ — «nod32», «rising», «f-secure» и т.д. Довольно интересным является заражение всех *.htm и *.html — файлов. В них дописывается следующая строка: По этой ссылке будет происходить скачивание наиболее актуальной версии Virut с помощью эксплуатации уязвимости в PDF–файле. От версии к версии (в пределах модификации «ce») эта строка значительно меняется — например, буква «u» заменяется на «u», что является её эквивалентом. Для браузера запись значения не имеет, а вот статичные сигнатуры становятся бессильными. Общий вид заражения и техника зараженияВ вирусе Virut.ce для заражения применяется технология EPO или перезапись точки входа. Совместно с ней используются один или два полиморфных декриптора. Техника EPO — Entry Point Obscuring, сокрытие точки входа, —заключается в затруднении обнаружения перехода на тело вируса. Обычно это реализуется с помощью замены либо произвольной инструкции, либо параметра инструкции перехода. Ниже приведён пример подмены инструкции и направления перехода. Под перезаписью точки входа подразумевается изменение PE-заголовка файла, а именно перезапись поля AddressOfEntryPoint структуры IMAGE_NT_HEADERS32. Следовательно, исполнение файла начнётся сразу с вирусной составляющей. Как упоминалось выше, вирус при заражении добавляет только один или два декриптора. Назовём их «Init» и «Main». Если дешифровщик Main располагается в каждом файле, над которым «поработал» Virut.ce, то Init встречается не всегда. Рассмотрим более подробно назначение и общий вид этого декриптора. Основное тело вируса имеет размер от 0x4000 до 0x6000 байт и располагается в конце последней секции, которая специально для этого расширяется, и у которой выставляются флаги на запись, исполнение и чтение. Четыре представленные схемы полностью отражают все возможные варианты заражения и изменения структуры файла. Первичная дешифровка тела Virut.ceПрежде чем переходить к функционалу основного тела вируса, рассмотрим Init декриптор в реальном заражённом файле. Выше располагаются два скриншота. Первый — фрагмент заражённого файла calc.exe. На нём дополнительно отмечены границы секции кода и выделен Init дешифровщик. На втором скриншоте —дизассемблированный код Init декриптора. На иллюстрации красными овалами обведены четыре логических элемента, которые упоминались выше. В данном примере регистр ecx заполняется с помощью последовательных инструкций push — pop, а расшифровка выполняется с помощью adc. Восстановление оригинального кодаИтак, весь код основного тела можно поделить на три группы по его назначению: восстановление оригинальной функции/точки входа, дешифровка статичного тела, выполнение вредоносной нагрузки. Прежде чем переходить к рассмотрению каждого элемента, посмотрим на структуру тела и на соответствующий фрагмент файла. Как видно из рисунка, всё основное тело, которое дописано в конец последней секции кода, делится на два типа — зашифрованное статичное тело и исполняемый код. Исполняемая часть содержит код, который исполняет антиэмуляцию, восстанавливает оригинальную точку входа и/или функцию, дешифрует статичное тело. Она «размазана» по основному телу и может располагаться как целиком вверху/внизу, так и может быть разбита на две составляющие. Что интересно, исполняемая часть ещё и сильно обфусцирована. Для антивирусных компаний это является одной из трудностей при детектировании, так как статичные элементы в исходном файле отсутствуют, а статичное тело, очевидно, всегда зашифровано с разными ключами и/или алгоритмами, но об этом далее. Выше представлен скриншот фрагмента файла, заражённого Virus.Win32.Virut.ce. Красным овалом обведена исполняемая часть основного тела вируса, её также можно найти визуально по значительной бОльшей концентрации нулевых байтов. В этом примере вирус не использовал Init Decryptor при заражении, иначе все области выглядели бы примерно одинаково и были зашифрованы. Если исключить обфускацию, то в машинных кодах, в самом простом случае, восстановление точки входа и/или функции будет происходить следующим образом (считаем, что была заменена функция GetModuleHandleA): Этот код полностью соответствует логике работы всего блока. Теперь проследим за изменением всех этапов во времени. Единственный пункт, который не будет подробно рассматриваться, — второй (сохранение оригинального содержимого регистров), так как этот элемент всегда реализуется с помощью инструкции PUSHAD. Теперь приступим к подробному рассмотрению каждого из этапов логической схемы работы блока. Рассмотрим последний этап — восстановление непосредственно адреса оригинальной точки входа или адреса пропатченого CALL’а. Его изменение происходит практически непрерывно — в среднем, каждые 2 — 3 недели. После вызова инструкции PUSHAD указатель на стек — регистр ESP уменьшится на 0×20, следовательно, в [ESP + 20h] будет находить значение, заполненное последней инструкцией CALL. К этому значению применяется арифметическая/логическая операция и получается необходимое нам значение. На скриншоте ниже приведен фрагмент зараженного файла, содержащий все описанные выше операции (отмечены красным овалом). Обфускация была исключена из примерного кода для упрощения понимания, однако, её активно используют во всех участках файла, дописанных вирусом (Init декриптор, вся исполняемая часть основного тела). Именно обфускация полностью ограничивает использование статичных сигнатур, так как код после её применения становится полностью изменённым (по содержимому, но не по функционалу). Примеры инструкций, которые используются в качестве «мусора», т.е. не несущих какой — либо функциональной нагрузки: Под «reg1» и «reg2» подразумеваются разные регистры, а под «reg» — одинаковые, в пределах одного выражения. Арифметические/логические операции, где правый операнд произволен — ADC reg, const; SBB reg, const; XOR reg, const; и т.п. На скриншотах ниже элементы обфускации отмечены красным овалом: На левом скриншоте очень хорошо видно, что бесполезные инструкции занимают 70–80% всего кода. Выше были приведены не все возможные варианты обфускации, а наиболее часто используемые. От версии к версии добавляются новые варианты. Нами была рассмотрена первая часть исполнения основного тела вируса. Этапы, в которых реализуются разнообразные антиэмуляционные и антиотладочные приёмы, будут опущены, поэтому сразу перейдём к Main декриптору. Дешифровка основного телаПереход к коду, отвечающему за дешифровку, осуществляется после начальных приготовлений вируса — восстановления пропатченного кода, создания именованного объекта, получения адресов используемых функций из системных библиотек, анти-циклов. Что интересно, если рассматривать Main декриптор из дизассемблера, то код будет выглядеть бессмысленно, так как происходит вызов инструкции RETN, которая передаёт управление в совершенно произвольное место. Дело в том, что перед тем, как начать исполнение основной дешифровки, инструкция RETN (0C3h) изменяется на CALL (0E8h). Выполняется это с помощью инструкции вида: где EBP указывает на адрес инструкции, следующей за CALL, а bytereg — один из байтовых регистров. Следовательно, можно считать, что цикл дешифровки будет начинаться после исправления RETN на CALL. Далее следует цикл дешифровки, который обфусцирован, как и всё остальное тело. Мало того, что используемых алгоритмов довольно много, так они ещё и не элементарны, в отличие от тех, что используются в Init декрипторе. Как правило, используется от двух до шести логических/арифметических операций в связке. Во всех алгоритмах регистр EDX содержит ключ расшифровки, а EAX — виртуальный адрес начала статичного тела. Регистры заполняются с помощью инструкций вида: В EBP содержится адрес, который следует за инструкцией CALL, и упоминался ранее, при рассмотрении первого этапа логической схемы, ответственной за восстановление оригинальной части файла. Инструкции, ответственные за эти две операции, также претерпевали изменения, однако их рассматривать мы не будем. Отразить всё многообразие используемых алгоритмов довольно сложно, поэтому приведено лишь несколько самых интересных из них: ROL DX, 4 ADD [EAX], DL XOR [EAX], DH XOR [EAX], DH XOR [EAX], DL От версии к версии происходило изменение используемых инструкций, однако чёткую тенденцию проследить не удалось — относительно простые алгоритмы сменялись довольно сложными и наоборот. По — видимому, для разработчиков главной целью было использовать алгоритм, устойчивый к возможному подбору. Этим можно объяснить как и непрерывное изменение алгоритмов, так и отсутствие логики изменения. Выше представлен скриншот, содержащий фрагмент дизассемблированного кода Main декриптора. Красным овалом отмечены «полезные» инструкции, о которых до этого шла речь. Здесь также присутствуют бесполезные операции, которые являются продуктом обфускации. Продолжая рассказ об исполнении заражённого файла, перейдём к исполнению вредоносного функционала файла в уже расшифрованном статичном теле. Его исполнение, как правило, начинается с инструкции CALL с маленькой дельтой перехода — для того чтобы вычислить виртуальный адрес начала исполнения и использовать его в дальнейшем для адресации.
|