OSDM = VIRUS ??!

[Rebell]

Auch dir

es gibt auch einen kostenlosen multi-exe-packer mit guten kompressionsraten. der dropt zwar die exen entpackt ins TEMP (hab nicht probiert ob mit externen resourcen ein problem gibt... wenn man z.B. ein .mp3-sound nutzt, was aber eh bei den meisten intros nicht der fall ist), ist aber dafür völlig frei von false posive - alarm (fehlalarm). allerdings gibts den link nur per PN für vertrauenswürdige personen. warum ? - weil ich keine lust habe, dass leute den als crypter für ihren trojaner nehmen und wir dann wieder das gleiche problem haben wie mit UPX.

Guten Tag [WhiteLion]..

Mal ne blöde frage wie gross muss eigentlich eine *.mp3 maximal sein um sie als resource in die OSDM.exe einzubauen..?

weil die meissten *mp3's werden als mitgeführte datei abgelegt.
Wenn meine mp3 500 kb gross ist dann nicht, aber du weisst das die meisten mp3 Dateien grösser sind.

lieben gruss [rhs]

[Peace]

@WhiteLion: Das mit den Exe-Packer wird wohl nur von kurzer Dauer sein, mir ist es jedenfalls als Rätsel warum mit UPX
gepackte Dateien auch von teuer bezahlten AV Tools standartmäßig mit einem Trojaner-Hinweis angezeigt werden. Der Packer ist Open-Source und es sollte eigentlich ein leichtes sein die entsprechende Entpackroutine vor einem Scan auszuführen. Jeder halbwegs ausgeschlafene Hacker bekommt es hin fast jeden Pack-Algo zu entschlüsseln, nur die "Profis" sind da ein bissl müde...

@robinHood: Die max. Größe einer Musik-Datei zum direkten einbinden in einem Intro sind 1024KB (1MB) - Ersatzweise für MP3's bietet meiner Erfahrung nach das WMA Format eine höhere Packdichte und bessere Quallität

@peace
es sind die "intelligenten" heuristiken die meist nach einem mehr-punkte-plan arbeiten***. entpacken können und tun sie upx alle.

*** Beispiel:
1. exe-packer = zwei Gefahrenpunkte
2. exe-name nicht setup.exe / installer.exe ...etc. = ein Gefahrenpunkt
3. bestimmte APIs in der exe = ein Gefahrenpunkt
4. kein bekannter MD5 (trusted) = ein Gefahrenpunkt
5. .....
6. .....

Virusalarm bei z.B. fünf Gefahrenpunkten.

so ergeben sie die Gefahrenpunkte die dann letztendlich einen Alarm auslösen.
es sind also meist nicht verdächtige signaturen die zu einem false postive führen.



@robinhood
siehe antwort von peace