揭开病毒的面纱：恶意代码自解密技术

分析病毒的时候，常常遇到一种很奇怪的现象，使用查壳工具查看一个样本明明没有加壳，但是反编译或调试时，却不能直观地看到样本的恶意操作，这是为什么呢？很简单，这是因为攻击者采用了自定义的加密方法，在样本运行时实现自解密并执行真正的恶意操作，所以看到的只是样本还没解密的样子，自然分析不出恶意代码的逻辑。 下面就通过实例来窥探下恶意代码自解密的技术吧，如下是一个Ammyy病毒的下载器（MD5：28EAE9

>>阅读原文<<