反杀软引擎样本分析

样本托入ghidra:

刚开始对时候就一个循环拖慢引擎，接着用线程同步来判断是否在杀软引擎里面，注意：在虚拟机里面同步是可以完成的，也就是_n==4会成立，在杀软引擎里面往往Sleep函数会马上返回。

接下来去Kernel32动态库找一个不存在的函数，如果没找到，判断不在杀软引擎里面。
加载一个不存在的dll,如果返回0，则不在引擎里面。
可以看的里面还用了很多无用的循环来拖慢虚拟机。

最后检测完后跑开始跑恶意代码。