Размещено 22.12.2013 20:43:29
Работа с ресурсами.
Для просмотра ресурса файла в меню выбрать импорт из...
Для просмотра ресурса файла в меню выбрать импорт из...
Уважаемые пользователи!
Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новый антивирус от компании PRO32.
Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.
Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.
Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска.
Размещено 22.12.2013 21:30:08
Для сравнения.
1) Зверь. ( я их не собираю - у кого есть сравните с легальными программами )
2) Программа шутка. ( с диалогом )
3) Системный файл. ( просто подмену можно распознать за 5 - ть секунд )
фото примеры в архиве.
1) Зверь. ( я их не собираю - у кого есть сравните с легальными программами )
2) Программа шутка. ( с диалогом )
3) Системный файл. ( просто подмену можно распознать за 5 - ть секунд )
фото примеры в архиве.
Изменено: RP55 RP55 - 23.12.2013 22:25:45
Размещено 23.12.2013 07:14:07
я думаю, здесь одним примером не обойтись. в какие структуры автозапуска предполагается закачивать инфо, какую именно инфо, какие при этом будут характерные критерии. (пока нет возможности этим заниматься, пока не решены первоочередные задачи.)
Изменено: santy - 23.12.2013 22:25:45
Размещено 23.12.2013 18:03:41
1) Чтобы не увеличивать вес образа автозапуска сохранять минимум информации.
* Отсутствие данных это уже данные.
То, что содержит белый файл.
Данные по: Cursor; Icon; Dialog
Курсоры - вирусу курсоры ненужны...
Если данного ресурса нет в файле...
Иконки - могут быть.
Диалоги - могут быть. ( общее число символов диалога ? например 400 )
Пример легитимного объекта:
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
Таким образом объект ХХХ.exe
Содержит курсоров: _1_
Иконок _8_
В образе в инфо. видим:
----------
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
----------
В белом критерии можем настроить.
И + И + И. ( или )
В сочетании со стандартной информацией.
Директория + имя + производитель + Cursor + Icon
Если вдруг у файла отсутствует/изменено один из параметров...
* Отсутствие данных это уже данные.
То, что содержит белый файл.
Данные по: Cursor; Icon; Dialog
Курсоры - вирусу курсоры ненужны...
Если данного ресурса нет в файле...
Иконки - могут быть.
Диалоги - могут быть. ( общее число символов диалога ? например 400 )
Пример легитимного объекта:
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
Таким образом объект ХХХ.exe
Содержит курсоров: _1_
Иконок _8_
В образе в инфо. видим:
----------
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
----------
В белом критерии можем настроить.
И + И + И. ( или )
В сочетании со стандартной информацией.
Директория + имя + производитель + Cursor + Icon
Если вдруг у файла отсутствует/изменено один из параметров...
Размещено 23.12.2013 19:10:19
а если в разных системах у регедит будет различное чисто иконок? тогда под каждую систему свой критерий будет?
Размещено 23.12.2013 19:39:45
| Цитата |
|---|
| santy пишет: Если в разных системах у регедит будет различное чисто иконок? |
Можно же задать пустое значение для Icon
Или по наличию первой из них 100-1-2
По принципу: Да есть иконки...
Если оператору это будет необходимо - то и для каждой системы можно задать значение через ИЛИ.
Если речь об основных системных файлах - то это не так много...
Ещё раз подчёркиваю.
Это ЧАСТЬ информации.
Доп. данные позволят настроить критерий.
Защитить от ложных определений.
+
У зверья ресурсов практически нет ( это повод для оператора задуматься )
------------
Если говорить Не о работе с образами...
Оператор в контекстном меню выбирает команду: "Просмотр ресурсов файла"
И видит, что файл содержит...
Можно определить подмену для ряда системных файлов.
Рассеять или укрепить своё подозрение ( нет иконок, нет диалогов и т.д )
Всё это нужно оценивать в комплексе...
Размещено 23.12.2013 20:50:06
Сравни: чистый rpcss.dll
и rpcss.dll ( Win32.Patched)
| Цитата |
|---|
| Length Of Struc: 0394h Length Of Value: 0034h Type Of Struc: 0000h Info: VS_VERSION_INFO Signature: FEEF04BDh Struc Version: 1.0 File Version: 5.1.2600.5755 Product Version: 5.1.2600.5755 File Flags Mask: 0.63 File Flags: File OS: NT (WINDOWS32) File Type: DLL File SubType: UNKNOWN File Date: 00:00:00 00/00/0000 Struc has Child(ren). Size: 824 bytes. Child Type: StringFileInfo Language/Code Page: 1033/1200 CompanyName: Microsoft Corporation FileDescription: Distributed COM Services FileVersion: 5.1.2600.5755 (xpsp_sp3_gdr.090206-1234) InternalName: rpcss.dll LegalCopyright: © Microsoft Corporation. All rights reserved. OriginalFilename: rpcss.dll ProductName: Microsoft® Windows® Operating System ProductVersion: 5.1.2600.5755 Child Type: VarFileInfo Translation: 1033/1200 |
и rpcss.dll ( Win32.Patched)
| Цитата |
|---|
| Length Of Struc: 0394h Length Of Value: 0034h Type Of Struc: 0000h Info: VS_VERSION_INFO Signature: FEEF04BDh Struc Version: 1.0 File Version: 5.1.2600.5755 Product Version: 5.1.2600.5755 File Flags Mask: 0.63 File Flags: File OS: NT (WINDOWS32) File Type: DLL File SubType: UNKNOWN File Date: 00:00:00 00/00/0000 Struc has Child(ren). Size: 824 bytes. Child Type: StringFileInfo Language/Code Page: 1033/1200 CompanyName: Microsoft Corporation FileDescription: Distributed COM Services FileVersion: 5.1.2600.5755 (xpsp_sp3_qfe.090206-1316) InternalName: rpcss.dll LegalCopyright: © Microsoft Corporation. All rights reserved. OriginalFilename: rpcss.dll ProductName: Microsoft® Windows® Operating System ProductVersion: 5.1.2600.5755 Child Type: VarFileInfo Translation: 1033/1200 |
Размещено 23.12.2013 21:13:26
Santy
А что есть надёжные методы определения для rpcss.dll ?
Хоть один кроме отсутствия Ц.подписи ?
---
Не нужно...
А что есть надёжные методы определения для rpcss.dll ?
Хоть один кроме отсутствия Ц.подписи ?
---
Не нужно...
Размещено 23.12.2013 21:20:37
не вижу смысла обсуждать это здесь . Иначе получится один большой офтоп. А раздел предназначен не для офтопа, а для оказания помощи пользователям. Что мешает тебе открыть тему на АМ?
Изменено: santy - 23.12.2013 22:24:06
Размещено 23.12.2013 21:46:33
Одну тему можно и обсудить ?
Не так и часто ведутся такие обсуждения.
на АМ? - чтобы народ не нервировать.
Того же Smit-а
----------
Предложение актуально для файлов типа .exe и ряда dll
----------
Просто предлагаю скачать программы - открыть разные файлы - сравнить ...
И написать своё мнение...
Santy
Если предложение заслуживает внимания и доп обсуждения открой тему на АМ...
Не так и часто ведутся такие обсуждения.
на АМ? - чтобы народ не нервировать.
Того же Smit-а
----------
Предложение актуально для файлов типа .exe и ряда dll
----------
Просто предлагаю скачать программы - открыть разные файлы - сравнить ...
И написать своё мнение...
Santy
Если предложение заслуживает внимания и доп обсуждения открой тему на АМ...
Изменено: RP55 RP55 - 23.12.2013 22:24:06
Читают тему