微点交流论坛

标题: 刚刚写了个小程序做的一个小测试 [打印本页]

作者: 42602363 时间: 2009-9-15 03:10 标题: 刚刚写了个小程序做的一个小测试

VC6
一个 Win32 Exe 项目，一个 Win32 Dll 项目。
Exe 动态加载 Dll，调用 Dll 中一个函数，
函数功能是把 exe 和 dll 合并成一个新的 exe。合并方式为把dll文件数据附加到exe文件数据的末尾。

微点报告未知木马。

然后我修改程序，合并生成的文件扩展名改成了dat，
然后用 API MoveFile 把生成的文件再改名为 exe，微点就没有报告了。

再之后，把程序改回去，微点也不报告了。

什么原因？

作者: Legend 时间: 2009-9-15 03:33
方便的话，请提供具体的程序和详细测试步骤我们模拟分析看看。
相关文件和内容请发送到support@micropoint.com.cn。

作者: 42602363 时间: 2009-9-15 03:47
我是在一个我正在开发的软件中添加代码进行的测试，因此不方便把完整的源代码给出来。
我过会儿把这部分代码整理成一个单独的工程再测试一下。
之后再给你们发邮件。

作者: 42602363 时间: 2009-9-15 05:03
终于弄明白了。
微点没有问题。

因为在我的测试中，生成的 exe 运行时，会把自己安装为系统服务，服务启动时会把合并到其尾部的Dll文件数据解出生成一个新文件然后加载。而且还要连接网络，具有木马的特征，因此，微点报告它为未知木马。同时，微点可能记录了它的HASH值等特征。

之后，我再次生成同样的 exe 文件时，因为与原本被判断为木马的文件完全相同，因此不需要检测其行为就被直接判断为木马，并弹出提示。

再之后，由于我的代码已经修改，编译的文件已经与微点记录的文件不一样，因此，再次生成 exe 时，微点仅认为这是一次正常的文件合并。不会有任何提示。
直到我合并的 exe 文件执行，因其具有木马特征，微点再次报告“未知木马”，并记录该文件特征。

如果我再次合并此文件，微点会立即报告发现未知木马，除非我修改文件内容，使合并时生成的文件数据与微点记录的不一样。然而，只要合并后的程序一运行，就仍然会提醒。

实际上微点的提示与文件合并的过程、无论是否改名等都没有关系。我的第一次测试有误。

接下来，我要想办法让我生成的exe不会被判断为木马，因为我确实是一个正常的程序，只是又确实具有木马的特征。难度很大啊。

[ Last edited by 42602363 on 2009-9-14 at 21:09 ]

作者: 42602363 时间: 2009-9-15 05:34
顺便问一下，微点有没有64位版？或者什么时候推出64位的版本？
我装的是双系统，一个是 Windows Server 2003 x86，一个是 Vista x64，偶尔由于工作需要还会使用 Windows Server 2008 x64，不知道微点什么时候支持这些系统？

作者: Legend 时间: 2009-9-15 05:56
感谢您的细致测试与反馈！
目前微点暂不支持x64的Windows系统，该部分微点程序还在内测优化阶段暂未发布，我们会尽快完成相关工作并适时推出的。

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn