Tampoco es para llorar  ya que con simples herramientas se hace indetectable.
Lo que voy a poner es como hacerlo indetectable y es lo que he aprendido a hacer en un mes y medio, despues de practicar con el metodo de descubrir los offset detectados por los AV rellenando con ceros

En primer lugar creare un server con notificacion inversa (sin injeccion) y sin la opcion de compresion mediante UPX  "Compress with upx" (sin Tachar)

Empleando un simple editor Hexadecimal como el Hex Workshop o cualquiera incrementas en 1 el valor en la direccion 296 decimal (128 hexadecimal) pasando de valer "9C" a "9D" (sin comillas claro esta). Se puede emplear seguramente el procdump, PE Explorer, ....

Con esto Kapersky y otros ya no lo detectarian.

Lo que subrayo en circulo rojo es como se va a quedar despues del cambio el byte modificado, cuya direccion subrayo de color verde. El valor del byte se consigue cambiar incrementando en 1 el valr señanalado en el circulo verde pequeño.

Con esto ya estaria indetectable, pero el icono del server es muy llamativo por lo que lo cambio empleando el Resource Hacker (Reshacker v3.4) y ademas usando este mismo programa que no ocupa nada (podria emplear si quieres el PE Explorer) le añado un resurso de informacion del proveedor (VERSION) que indique que es Microsoft API Exchange o lo que quieras para que pase mas camuflado, si la victima pulsa en el icono vera que es de microsoft ....

Una imagen de como queda al final el server al haber cambiado el icono y añadido el recurso de version:

Hola que tal, estoy muy interesado en lo que dice Charles Mayer, lo que quisiera es un tutorial para n00bs como yo =P ya que de programacion no se muchas cosas y quisiera adentrarme en este tema, seguir aprendiendo, porfavor hagan un tutorial con este metodo, ya que no entiendo muchos terminos.

por ejemplo como busco el codigo malicioso? como subo 1 en su valor?? y tengo muchas mas preguntas como estas

porfavor ayudenme. de antemano gracias

Para Arthurdj: En esta pagina que ya indique antes:

http://foro.elhacker.net/index.php/topic,38580.0.html

explican el metodo de como detectar el byte (o mejor uno de los bytes) que emplean los AV como Codigo malicioso, ademas de estar puesto en la pagina principal del foro de troyanos casi al principio con el titulo de: "Manual para destapar los offset malicisosos que detectan los antivirus...."

Si quieres aprender un poco te recomiendo que busques en este foro y en otros, y leas para ir practicando. De verdad que esta explicado. Solo añadiria que un AV detecta una o dos cadenas y otros AV detectan otras cadenas. Por ello instalas varios AV en tu PC (solamente en modo de analizar ficheros sin dejarlos residentes) y lo vas buscando. Es un poco laborioso sobre todo al principio pero luego vas muy rapido.

Respecto a darkmoon, como ya he dicho llevo solamente 1 mes y medio practicando con esta tecnica y buscando nuevas formas. Por ello desconocia que traia lo que acabas de citar:
  * Lan a Lan conexion
  * Servicio de redirecionamiendo de tu ip, si es dinamica
  * .... y mas cosas; todo ello por msn

La verdad es que no he leido tu manual, y simplemente lo he probado y he sacado unas impresiones que es lo que he indicado. Ademas era mi primer mensaje en este foro y he opinado que es mejor hacer tu propio server que esperar a que cada semana te lo detecten.
Ademas si has infectado a una victima que quieres mantener un cierto tiempo en tu lista de infectados, no te la puedes jugar con el simple hecho de esperar a que llegue una version nueva para seguir conservandola. ¿Que pasara en la semana/semanas de tus vacaciones de verano? ¿Que pasa si te aburres o cansas con la gente que solomente pide servers iondetectables sin nada a cambio y que al final lo que ahora es "buen rollo" se convierte en exigencia?

Volvere a echarle un vistazo nuevamente por esas funciones que comentas, pero si la shell de comandos no es estable no creas que me convencerá mucho. Para mi es importante disponer de ella.

Los AVs no detectan un solo offset, en mas de un caso pude comprobar que detectan cadenas de 10 o mas (Norton por ejemplo) distribuidas por todo el area de trabajo...
Segun mi experiencia en estas modificaciones siempre me dio mejores resultados sumar (+1) que restar (-1), pero hay exepciones desde luego, incluso pude lograr exito haciendo +2 o -2 y hasta aun dejar el offset en 00, pero lo recomendable es sumar +1, al menos sobre los programas que trabaje pocas veces tuve problemas...
Un saludo.

En lo de sumar +1, es cuestion de probar. Lo importante es localizar uno de los offsets que un AV en cuestion detecte. Una vez que lo localizamos lo normal es sumarle +1, guardar el fichero y autoinfectarse para ver si acepta el cambio y es indetectable.
Con menos -1 casi nunca lo consigues. Con +1 casi siempre, ... pero a veces sumando +1 tampoco funciona.
Es cuando pruebas con +2, +3, ..... +n y a lo mejor no funciona cambiando este byte bien porque lo sigue detectando aunque le hayas sumado lo que sea o porque si lo cambias deja de funcionar el troyano.
Es cuando debes de buscar otro offset desechando este.

A partir de aqui y si funciona el cambio ya no sera detectado (de momento) por ese AV. Es cuando debes de probar con el resto de AV's ya que unos detectan unos offset y otros AV's detectan otros.

Es algo pesado pero con algo de practica se hace sencillo pero pesado y a veces no consigues el objetivo.

La verdad es que lo he vuelto a probar y no me convence mucho sobre todo, en la Shell de Comandos si haces "cd.." no responde. Otras cosas que indica no funcionan y se hace complicado de manejar al menos para mi.

Es mi humilde opinion y por ello la expreso aqui con todos los respetos, admirando en todo momento a las personas que son capaces de crear troyanos porque yo seria incapaz.

En fin, que no sigo intentando esforzarme de momento con tu troyano, esperando a nuevas versiones que seguramente estaran mas pulidas.

Saludos.
Pista para resolver el offset de McAfee: Buscar la cadena de texto "door" y cambiarla por "Puer". Esta en dos sitios. Si lo haceis creo que no funcionara la expulsion de CD .... pero eso que mas da, jejeje

Lo de "Puer" es la semi-traduccion a español de Puerta. Podeis poner lo que os de la gana como "dios", "casa", "xxxx"

A fecha de hoy sigue permaneciendo indetectable con estos cambios que cualquiera puede hacer y no solo en este troyano sino en todos ... o casi todos.

Salu2