Как распаковать EXE

[scaramuccia]

Всем привет!

Касперский обнаружил объект HEUR:Trojan.Win32.Generic в установочном exe-файле. Скорее всего это ложное срабатывание, но все же.

Он показывает полный путь к объекту: папка, архив, установочный файл и т. д. Как Касперский его так разбирает, если этот файл не распаковывается архиватором, пишет: "Ошибка. Есть данные после конца блока полезных данных"?

Какие есть способы и ресурсы для этого?

DIE показывает, что большую часть файла занимает оверлей, который хранит какую-то DLL.

[kmscom]

скорее всего это самораспаковывающейся архив 7z

[scaramuccia]

2 минуты назад, kmscom сказал:

скорее всего это самораспаковывающейся архив 7z

7z не может его распаковать, пишет ошибку

[En1gma]

Добрый день!
Очень сильно зависит от языка программирования. Если у вас .NET-программа, попробуйте dotPeek или .Net Reflector.

Если Python, то например как здесь.

В общем-то ничего удивительного тут нет, в автономный установщик exe преспокойно заворачиваются проекты целиком, если они некрупные.

А конкретно Касперский вполне может использовать песочницу и работать с уже распакованными файлами.

[Ummitium]

22 часа назад, scaramuccia сказал:

Как Касперский его так разбирает, если этот файл не распаковывается архиватором, пишет: "Ошибка. Есть данные после конца блока полезных данных"?

Антивирус содержит фирменный распаковщик. Он умеет распаковывать не только архивы, но и exe упаковшики и крипторы, типа UPX, ASprotect.

[scaramuccia]

Спасибо за ответы.

Там, видимо, какой-то свой непростой упаковщик.

[scaramuccia]

Все же вопрос этот продолжает интересовать. Вот обнаружился еще один объект.

Показывает, что внутри exe файле есть батник. Но этот файл-то обычный exe, он не распаковывается.

 

Попробовал дизассемблировать этот killexplorer.exe. Утонул в малопонятном коде. В конце кода явно читаемое "убивания" процесса explorer, собственно, как и обещает имя файла. А до этого много сложночитаемого кода, предположительно скрипта AutoIt.

Никто, кстати, не подскажет какой-нибудь декомпилятор AutoIt? Разработчик убрал его в последних версиях.