线程检查之前的 Frida stalker 检查的替代方法是通过以下调用访问当前线程状态:然后,由于以下比较,它检查 state->ts_64.__pc 是否在 libsystem_kernel...
以 Roshtyak 后门为例介绍恶意软件的自保护、逃逸等技巧(一)
恶意软件开发者通常会使用各种技巧使分析工作变得更加困难。这些技巧包括使逆向工程复杂化的混淆技巧、逃避沙箱的反沙箱技巧、绕过静态检测的打包技巧等。多年来,各种恶意软件在野外使用的无数欺骗手段都记录了这一...
以 Roshtyak 后门为例介绍恶意软件的自保护、逃逸等技巧(三)
变量隐藏一些变量不是以明文形式存储的,而是使用一个或多个算术指令隐藏起来的。这意味着如果 Roshtyak 没有主动使用变量,它将以混淆的形式保留该变量的值。每当Roshtyak需要使用该变量时,它必...
windows环境下的自保护探究
点击蓝字 / 关注我们0x00 前言我们要想在32位下实现进程保护很简单,通过SSDT hook重写函数即可实现,但是在64位系统下因为引入了PG和DSE的原因,导致SSDT ho...
windows环境下的自保护探究
0x00 前言 我们要想在32位下实现进程保护很简单,通过SSDT hook重写函数即可实现,但是在64位系统下因为引入了PG和DSE的原因,导致SSDT hook实现起来处处受限。但微软同样为了系统...