ewoke

автоматическая интерактивная проверялка малваре https://any.run/

уровень по сравнению авто-проверялками вроде reverse.it такой, как если сравнивать инструменты sourcer -vs- ida pro

детект подобной песочницы возможен, только? используя атаку на тайминги, чтобы выявить исполнение в виртуализаторе



придумано соотечественниками, они в Ульяновске вакансии предлагают

Code Ripping, Code Borrowing (заимствование), API-Less? пока название не придумал.



"Выдираю из io.sys (можно из ntvdm) кусок 21h прерывания, отвечающего за создание файла."

из темы https://wasm.in/threads/neskolko-sposobov-sozdanija-fajla-v-dos.31543/

и действительно, на xp 32бит, оно создает myfile.txt с пустым содержимым.

В файле нет ни одного вызова int'ов.


Теперь далем такое (уже делается, но разумеется не мной) на Win32 с его Апи - передаем привет эвристическим анализаторам.

(заодно привет бедняге-исследователю, решившему это отлаживать в отладчике.)

Без воссоздания окружения такое не раскручивается.

И где в этом окружении ставить перехваты? по каким критериям изменения среды реагировать?

рекомендовал одному комраду досовский отладчик Avputil

нашел ссылку http://old-dos.ru/index.php?page=files&mode=files&do=show&id=5580

сегодня понадобился для отладки одного поделия, симбиоз REG+COM

( http://kiev-security.org.ua/box/12/116/inf_reg.shtml прокручиваем до "внедрение в файлы Reg" )

открываю readme к Avputil, и шо ви таки думаете?



fuck'тически, сам себе привет передал из 2005 :)