19 lines
554 B
Markdown
19 lines
554 B
Markdown
# 变种OB混淆
|
||
|
||
当样本是OB变种混淆时，使用这份规则。
|
||
|
||
识别信号：
|
||
|
||
- 仍然能看到 `_0x` 风格的标识符。
|
||
- 经过通用处理后，OB 家族的包装层依旧存在。
|
||
|
||
流水线建议：
|
||
|
||
- 将 OB 家族逻辑保留在专用适配器里，只给 OB 类样本复用。
|
||
- 适配器运行后，直接把 `loop/switch` 残留与参考 `decode` 结果对比。
|
||
|
||
当前残留重点：
|
||
|
||
- 仍然残留的直接 `loop/switch` 平坦化结构。
|
||
- 任何高于参考基线的 OB 风格命名或包装层痕迹。
|