Ehh, jawel? Runtime packer = packer die uitgepakt wordt gedurende runtime(executie).Miki schreef op donderdag 03 mei 2007 @ 20:28:
[...]
Hahaha... het is niet helemaal fair maar wat dacht je via emulatie(sandboxing)? Uitpakken komt niet aan te pas
Er is dus een unpacked image(in memory).
Wat een unpacker eigenlijk doet is het emuleren van dat proces.
Een emulator kan op 101 verschillende manieren gebruikt worden.maar door de emulatie is wel bekend wat het bestand doet mits er een voor herkenningspatroon is geschreven.
Je hebt het nu over variant detectie die toegespitst is op dynamic analysis.
De vraag is of de emulator alle functies van de packer ondersteunt. Als dat niet het geval is, crasht de exe tijdens het unpackingprocess en heb je nog niets.