恶意软件反检测技术简介（下）

核心提示： exception handlers before:0x77f79bb8 ntdll.dll:executehandler2@20 + 0x003a0x0041adc9 hdspoof.exe+0x0001adc90x77e94809 __except_handler3exception

exception handlers before:
0x77f79bb8 ntdll.dll:executehandler2@20 + 0x003a
0x0041adc9 hdspoof.exe+0x0001adc9
0x77e94809 __except_handler3
exception handlers after:
0x77e94809 __except_handler3
0x41b770: 8b44240c　　　 mov　　　eax,dword ptr [esp+0xc]
0x41b774: 33c9　　　　　 xor　　　ecx,ecx　　　　　　　
0x41b776: 334804　　　　 xor　　　ecx,dword ptr [eax+0x4]
0x41b779: 334808　　　　 xor　　　ecx,dword ptr [eax+0x8]
0x41b77c: 33480c　　　　 xor　　　ecx,dword ptr [eax+0xc]
0x41b77f: 334810　　　　 xor　　　ecx,dword ptr [eax+0x10]
0x41b782: 8b642408　　　 mov　　　esp,dword ptr [esp+0x8]
0x41b786: 648f0500000000 pop　　　dword ptr fs:[0x0]　　

下面是HDSpoof创建一个新的异常处理程序的代码。

0x41f52b: add　　　dword ptr [esp],0x9ca
0x41f532: push　　 dword ptr [dword ptr fs:[0x0]
0x41f539: mov　　　dword ptr fs:[0x0],esp

8.覆盖调试程序信息

一些恶意软件使用各种技术来覆盖调试信息，这会导致调试器或者病毒本身的功能失常。通过钩住中断INT 1和INT 3（INT 3是调试器使用的操作码0xCC），恶意软件还可能致使调试器丢失其上下文。这对正常运行中的病毒来说毫无妨碍。另一种选择是钩住各种中断，并调用另外的中断来间接运行病毒代码。

下面是Tequila 病毒用来钩住INT 1的代码：

new_interrupt_one:
　 push bp
　 mov bp,sp
　 cs cmp b[0a],1　　　;masm mod. needed
　 je 0506　　　　　　 ;masm mod. needed
　 cmp w[bp+4],09b4
　 ja 050b　　　　　　 ;masm mod. needed
　 push ax
　 push es
　 les ax,[bp+2]
　 cs mov w[09a0],ax　 ;masm mod. needed
　 cs mov w[09a2],es　 ;masm mod. needed
　 cs mov b[0a],1
　 pop es
　 pop ax
　 and w[bp+6],0feff
　 pop bp
　 iret