http://ne0matrix.blogspot.com/2009/05/e … ption.html
http://blip.tv/file/2118662 <== vidéo

Basé sur la présentation de Muts à la shmoocon (bypass AV)
Le but est de changer la signature d'un .exe sans changer sa fontionnalité.
Donc l'exe est encodé et stocké sur le disque dur, il ne se décode que lorsqu'il est éxécuté dans la mémoire virtuelle (hors de portée de l'AV).

Résultats du scan sur virustotal.com:
payload simple (30.00%),
payload "msfencodé" (20.51%),
payload "xoré" (20.00%).
http://ne0matrix.blogspot.com/2009/05/m … ption.html