最近有朋友反馈项目被查杀,我们看下这个问题如何解决:
首先看一下Arsenal Kit,之前写出的用的是peek,会被查杀,那么直接修改配置文件参数换一个技术即可。
#选项有:mailslot、peek、pipe、readfile、readfile-v2、template
artifactkit_technique="mailslot"
#分配内存选项有:HeapAlloc、VirtualAlloc 和 MapViewOfFile
artifactkit_allocator="MapViewOfFile"
然后修改一下版本信息,注意缩进。
(kali安装一下apt install gedit方便右键打开文件进行编辑)
修改上述2处后,继续免杀,如果后续再被查杀的话,那么可尝试继续修改不同组合(6*3=18种)和版本信息即可。
第二个是Themida,反馈不加壳没有问题,加壳后反而被查杀,那么首先观察Defender查杀信息,它并没有解析出我们的进程,这是一个好消息,说明我们这个加载技术还可以,问题出在加壳上。
然后尝试修改不同的加壳的配置,看看问题出在哪里,发现都一样会被查杀,最后发现系统配置后存在Themida关键字,判断问题可能出现在这里,这个关键字被杀软标记导致查杀,因此直接双击修改为任意字符比如111:
再次执行protect,按照之前给的配置
发现成品AccessEnum_protected.exe它现在就不查杀了!
最后放上修改后的Arsenal Kit.rar,直接解压加载使用,回复arsenal获取。