Een ondoorzichtig predikaat vond ik jaren geleden in een malwarevoorbeeld:

  SetErrorMode (1024); if (SetErrorMode (0) == 0) SayHiToEmulator (); DoRealStuff ();  

Wat betreft de andere vraag, hoe nieuwe ondoorzichtige predikaten te bouwen, ik denk dat het afhangt van het soort analyseprogramma dat je wilt verstoren. Het is anders om een ​​statische code-analysator te verstoren die is ontworpen om bugs te vinden dan een emulator te verstoren die is ontworpen om de omgeving na te bootsen waarin malware zou moeten worden uitgevoerd.

Maar laten we zeggen dat u malware-emulators wilt verstoren: u kunt bouwen een lijst met API's uit de meest voorkomende bibliotheken (kernel32.dll, advapi32.dll, user32.dll, enz ...), maak een batch bewijzen waar u die API's uitvoert door de argumenten te wijzigen en de retourwaarden en gegenereerde uitzonderingen te controleren, indien aanwezig, en sla de resultaten op. Controleer vervolgens de resultaten van dergelijke API's en vind kandidaten: een retourwaarde die is gerelateerd aan de invoer voor dergelijke API's is bijvoorbeeld een goede kandidaat voor een ondoorzichtig predikaat. Specifieke voorwaarden (uitzonderingen of retourwaarden) die slechts zelden voorkomen en met bepaalde specifieke invoer, zijn zelfs nog beter. Slechts enkele ideeën ...

Zie: Christian Collberg, Clark Thomborson en Douglas Low, Manufacturing Cheap, Resilient, and Healthy Onque Constructs, ACM Principles of Programming Languages ​​ (POPL'98), januari 1998.

Link: http://knot.kaist.ac.kr/seminar/archive/80/manufacturing-resilient.pdf (pdf)

Ik ken geen realistisch ondoorzichtig predikaat. Maar er is een zeer constructieve predikaat-obfuscator in de paper Limits of Static Analysis for Malware Detection. Het is bewezen dat het NP-moeilijk is voor nauwkeurige statische analyse.