Phrozen RunPE Detector 2.0

Phrozen RunPE Detector предназначен для обнаружения и устранения некоторых подозрительных процессов.

Поскольку заголовок PE вредоносного ПО, который захватил настоящий процесс, сильно отличается от настоящего процесса PE Header Path Path, мы можем обнаружить наличие захваченного процесса.

RunPE - это метод, который используется несколькими вредоносными способами. Двумя наиболее распространенными являются:

FWB (обход брандмауэра): как следует из названия, этот метод реализуется для обхода или отключения правил брандмауэра приложений или брандмауэра. Поскольку большинству вредоносных программ необходимо подключиться к серверу удаленного управления командами (C & C), ему необходимо подключиться к Интернету через брандмауэр.
Поскольку большинство пользователей подключено к Интернету дома, обычно установленный брандмауэр предотвращает подключение вредоносного ПО к Интернету. Используя метод RunPE для захвата законного процесса, который разрешен для доступа в Интернет, любое вредоносное ПО может впоследствии подключиться к C & C, не будучи обнаруженным брандмауэром.

Malware Packer или Crypter: хакеры используют известный вид вредоносного ПО, который уже обнаружен большинством антивирусных программ. Затем они пытаются запутать это вредоносное ПО, чтобы избежать обнаружения. Чтобы достичь этого, им нужно покупать такие программы, как упаковщик или криптер. Цена зависит от его способности обходить детекты антивирусных программ, интервалов обновления, количества дополнительных функций и т. Д.

Здесь RunPE используется для дешифрования вредоносного ПО в памяти и помещения его в законный процесс без записи на диск.
Ссылка: https://www.phr..2017/04/RunPEDetectorV2.zip