elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.
 
Inicio Ayuda Buscar Ingresar Registrarse
14 Febrero 2012, 08:31  


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderadores: Karcrack, [Zero])
| | |-+  Poliformic Small joiner 1.1v		 0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Poliformic Small joiner 1.1v  (Leído 2,364 veces)
YST


Desconectado Desconectado

Mensajes: 963


I'm you


Ver Perfil WWW
Poliformic Small joiner 1.1v
« en: 20 Mayo 2009, 10:49 »
Poliformic Small joiner 1.1v




¿Que es Poliformic Small joiner?

Es un joiner que tiene capacidades para generar varios stub diferentes y unir infinitos archivos.

Caracteristicas

  • Cambiador de icono{
- En el caso de la seleccion de esta opción se crea una sección de resource en el stub para contener el icono de caso contrario no tendra sección de resource el stub , aparte que tiene soporte para 16x16 ,32x32,etc..
}
  • Forma de obtener nuestra ruta {
- Esta es la forma de que el stub obtendra su ruta que por cierto si se selecciona una de las opciones en el stub solo estara esa opción al contrario de otros joiner que en el stub hace una comparacción para saber que hacer teniendo en el stub mismo todas las posibilidades , son 3 las opciones para obtener nuestra ruta que son :
  • Api GetModuleFileNameW
  • Api GetCommandLineW
  • Mediante FS
}
  • Modificar un poco el stub {
Lo que hace esta opción es cambiar mediante un sistema aleatorio algunas instrucciones de el stub,
}

  • cifrar nuestro codigo {
Lo que hace esta opcion mediante un xor o un not (a elegir) todo el codigo de el stub haciendolo mas dificil de detectar por los AV.
}

Descargar:
La descarga está temporalmente deshabilitada

Esta versión es basica , cada dia se le agregaran nuevas opciones y se le mejoraran otras.



No subir ni a virustotal ni a ningun scanner que no sea http://novirusthanks.org con la casilla de no mandar muestras.

Muestra de stub conteniendo un archivo de texto con las opciones
  • cifrar nuestro codigo = MEdiante NOT
  • Forma de obtener nuestra ruta = Api GetCommandLineW
  • Modificar un poco el stub= Si
  • Con icono? = Si
File Info

Report generated: 20.5.2009 at 11.35.03 (GMT 1)
Filename: rrp3.exe
File size: 11 KB
MD5 Hash: 4CF141CE8CC2D4BDE697D9D377103C87
SHA1 Hash: D8D090CDBE3A02FDD49B31D5C1342F28DDC00922
Packer detected: Nothing found [Overlay] *
Self-Extract Archive: Nothing found
Binder Detector:  Nothing found
Detection rate: 0 on 24

Detections

a-squared - Nothing found!
Avira AntiVir - Nothing found!
Avast - Nothing found!
AVG - Nothing found!
BitDefender - Nothing found!
ClamAV - Nothing found!
Comodo - Nothing found! 
Dr.Web - Nothing found!
Ewido - Nothing found!
F-PROT 6 - Nothing found!
G DATA - Nothing found!
IkarusT3 - Nothing found!
Kaspersky - Nothing found!
McAfee - Nothing found! 
MHR (Malware Hash Registry) - Nothing found!
NOD32 v3 - Nothing found! 
Norman - Nothing found!
Panda - Nothing found!
Quick Heal - Nothing found!
Solo Antivirus - Nothing found!
Sophos - Nothing found!
TrendMicro - Nothing found!
VBA32 - Nothing found!   
Virus Buster - Nothing found!

Scan report generated by 
NoVirusThanks.org
« Última modificación: 21 Mayo 2009, 14:56 por E0N » En línea


Yo le enseñe a Kayser a usar objetos en ASM
Karcrack
Moderador
***
Desconectado Desconectado

Mensajes: 2.132


Se siente observado ¬¬'


Ver Perfil
Re: Poliformic Small joiner 1.1v
« Respuesta #1 en: 20 Mayo 2009, 15:46 »
 ;-) ;-) ;-) ;-)

Gran trabajo... voy a destripar un poquito, a ver si me entero como sacas la ruta con FS :P

Por cierto, otra forma de modificar mas el Stub una vez ya compilado es pasarle esto ;D:
Código:
http://foro.elhacker.net/analisis_y_diseno_de_malware/virus_metamorph_v10_beta-t252898.0.html

Saludos ;D
En línea
[Zero]
Moderador
***
Desconectado Desconectado

Mensajes: 1.050


CALL DWORD PTR DS:[0]


Ver Perfil WWW
Re: Poliformic Small joiner 1.1v
« Respuesta #2 en: 20 Mayo 2009, 15:57 »
Jaja, haciendo publicidad de nuestro soft? Me alegro que te haya gustado, cuento contigo para la 1 y 2 final en verano  ;).

Bueno YST al final ya no te hace falta la gui no? Gran trabajo, me gustan todos los trabajos de "polimorfismo"  ;-).

Lo de pasarle el metamorph puede ser buena idea, pero aún no. Por ejemplo, cualquier herramienta en C/C++ y no se si en ASM también que se la pases mínimo el a-squared se va agregar, pusto que detecta el código estático que puse en el EntryPoint, pronto supongo que todos los antivirus se centrarán en ese código estático, pero se puede volver random facilmente, lo ideal sería que intetes traducir o usar el código de RedirectCalls, eso si puede darte buen resultado  ;).

Saludos
En línea

“El Hombre, en su orgullo, creó a Dios a su imagen y semejanza.”
Nietzsche
Karcrack
Moderador
***
Desconectado Desconectado

Mensajes: 2.132


Se siente observado ¬¬'


Ver Perfil
Re: Poliformic Small joiner 1.1v
« Respuesta #3 en: 20 Mayo 2009, 16:11 »
[OFFTOPIC]Cuenta conmigo, este verano 100% Virus Metamorph! :xD[/OFFTOPIC]

He estado mirando lo de sacar la ruta con el FS y es muy interesante, lo dejo para aquel que quiera aprender:
Código
        mov  eax, [FS:0x30]
        mov  eax, [DS:eax+0x10]
        mov  eax, [DS:eax+0x3C]
        ;EAX = Ruta

Repito, buen trabajo ;D

Por cierto... E0N te dio permiso? :xD... imagino que si... :P

Saludos ;D
En línea
bizco


Desconectado Desconectado

Mensajes: 698


Ver Perfil
Re: Poliformic Small joiner 1.1v
« Respuesta #4 en: 20 Mayo 2009, 16:18 »
para l de la ruta http://undocumented.ntinternals.net/UserMode/Undocumented%20Functions/NT%20Objects/Process/PEB.html y en el peb el campo interante es esta struct http://www.nirsoft.net/kernel_struct/vista/RTL_USER_PROCESS_PARAMETERS.html . mucho software peca de eso ya que esos datos son modificables y puedes falsificar tanto el nombre del ejecutable como la ruta.
En línea
YST


Desconectado Desconectado

Mensajes: 963


I'm you


Ver Perfil WWW
Re: Poliformic Small joiner 1.1v
« Respuesta #5 en: 20 Mayo 2009, 18:58 »
Cita de: Karcrack en 20 Mayo 2009, 16:11
Por cierto... E0N te dio permiso? :xD... imagino que si... :P

Si si me dio permiso , aparte que lo unico que "robe" fue la gui y hasta fcierto punto no mas.

Si la ruta se extrae como lo pusiste karcrack :P
En línea


Yo le enseñe a Kayser a usar objetos en ASM
~~
Ex-Staff
*
Desconectado Desconectado

Mensajes: 2.983


Ver Perfil WWW
Re: Poliformic Small joiner 1.1v
« Respuesta #6 en: 20 Mayo 2009, 19:41 »
Buen trabajo, pero por favor, lee las normas, se tiene que publicar el código, esto es análisis y diseño de malware no uso de aplicaciones (me toca hacer el papel de moderador xD)
En línea
YST


Desconectado Desconectado

Mensajes: 963


I'm you


Ver Perfil WWW
Re: Poliformic Small joiner 1.1v
« Respuesta #7 en: 20 Mayo 2009, 20:41 »
Cita de: E0N en 20 Mayo 2009, 19:41
Buen trabajo, pero por favor, lee las normas, se tiene que publicar el código, esto es análisis y diseño de malware no uso de aplicaciones (me toca hacer el papel de moderador xD)
El codigo de el stub lo pueden sacar con el resource editor y el codigo de el joiner no lo voy a publicar :-\ , si rompe alguna regla entonces borra el posr :( .
En línea


Yo le enseñe a Kayser a usar objetos en ASM
Hendrix
In The Kernel Land
Colaborador
***
Desconectado Desconectado

Mensajes: 2.270



Ver Perfil WWW
Re: Poliformic Small joiner 1.1v
« Respuesta #8 en: 21 Mayo 2009, 12:35 »
Cita de: ctlon en 20 Mayo 2009, 16:18
para l de la ruta http://undocumented.ntinternals.net/UserMode/Undocumented%20Functions/NT%20Objects/Process/PEB.html y en el peb el campo interante es esta struct http://www.nirsoft.net/kernel_struct/vista/RTL_USER_PROCESS_PARAMETERS.html . mucho software peca de eso ya que esos datos son modificables y puedes falsificar tanto el nombre del ejecutable como la ruta.

Exacto, pero esta información también es modificable... Hace unos meses, Lympex y yo estábamos programando un pequeño rootkit que hacia exactamente esto, modificar estructuras (estas y algunas más) para intentar lograr invisibilidad ante el RootkitUnhooker. Haber si retomamos el proyecto  ;D

Buena información ctlon  ;)

Un Saludo  :)
En línea
"Todos los días perdemos una docena de genios en el anonimato. Y se van. Y nadie sabe de ellos, de su historia, de su peripecia, de lo que han hecho, de sus angustias, de sus alegrías. Pero al menos una docena de genios se van todos los días sin que sepamos de ellos". - Juan Antonio Cebrián
~~
Ex-Staff
*
Desconectado Desconectado

Mensajes: 2.983


Ver Perfil WWW
Re: Poliformic Small joiner 1.1v
« Respuesta #9 en: 21 Mayo 2009, 14:54 »
De las reglas:

Citar
C) El desarrollo de herramientas o librerías de código abierto, cuyo objetivo sea única, y exclusivamente, para apoyar los últimos 2 puntos.

He hablado con YST por privado y me a comentado que liberará el código dentro de poco, pero que ahora va a estar unos días off, así que edito el link de descarga y en breves volverá a estar la descarga disponible de lo binarios y el código fuente ;)
En línea
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  
Powered by SMF 1.1.16 | SMF © 2006-2008, Simple Machines