hola

tengo un problema con bifrost y flux,
cuando trato de hacerlo indetectable con el metodo rit en el paso de hacerle un hueco con el programa Topo me deja inserbible el server

porfavor que alguien me ayude a como slocionar este problema

salu2 8)

Otro consejo mas:
-Asegurate que cuando uses topo NO chequees la opcion de redireccionar Entry Point.

Lo de los 100 bytes es relativo, depende el lugar que topo nos indique que podremos utilizar, en un archivo muy pequeño, tal vez no encontremos un espacio de 100 bytes, por lo que si le agregamos mas de lo que se puede seguramente traera inconsistencias. Por el contrario si el archivo es grande, 100 bytes puede ser poco (esto no va a perjudicar el correcto funcionamiento, pero no te olvides que cada salto que haces en esa zona te esta consumiendo 5 bytes, mas lo que te ocupan las instrucciones que moves, estamos hablando de un promedio de 10 bytes (aproximacion) lo que solo te permitiria trasladar 10 firmas mas o menos, algunas mas algunas menos...
Para hacer el bifrost indetectable me vali de un espacio de 200 bytes y casi me quedo corto...
Exitos.

Pues esta claro, te has cargado el server. Algun paso has echo mal, ya que a pesar de que no suelo utilizar un metodo de esos (demasiado largo), si que funciona, y bastante bien (yo tb lo he probado)

Algunas instrucciones como habras leido no pueden trasladarse, como por ejemplo los push, pero tambien es relativo, recuerdo haber llegado a mover jmp inclusive. Para evitarte estos problemas proba moviendo instrucciones del tipo mov, lea, sbb y fijate, esto no te garantiza el exito.
Suerte

Una pekeña correccion, los push si que se pueden desplazar, siempre que usemos jmp para hacer estos desplazamientos.

En hxc me acuerdo que para hacer los saltos usaban CALL y para regresar RETN y ahi no hay k tocar ningun push pork cuando usas call se guarda en la pila la direccion de regreso para k RETN sepa donde volver (o algo asi).

Conclusion:
-Si para realizar los saltos usais JMP podeis mover PUSH, JMPs, ect.. lo unico que no me atreveria a mover seria un CALL
-Si para relaizar los saltos usais CALL no movais PUSH, POP's pork pondreis valores en la pila que es problable k lleven a la inestabilidad .

No estoy muy seguro ehh? pero creo k  es asi.
Otra cosa mas, cuando al lado de una instruccion en el olly dbg pone ">" es que ha esa intruccion apunta un salto por lo que mejor no mover esa instruccion. (podriais corregis los saltos que apunten a la instruccion :S)
Espero que os sirva de ayuda.

lo hice indetectable el flux para nod32 y mcafee el unico problema esque la captura de la pantalla no se puede se desconecta el server,

pero en fin lo hice de la siguiente manera

algunos valores 00 los converti en NOP ahi hice un salto con la firma que detecta el nod32, pero para mcafee no me resultaba hacerle un salto entonces lo que hice fue convertir el offset en NOP. Resulto del todo bien lo unico la captura de la pantalla

cuando sale eso: 0000  ADD BYTE PTR DS:[EAX],AL
 ¿significa que tiene valor cero? ¿o me equivoco?

Salu2

la heuristica de nod32 no la consegui saltar pero bueno lo mas relevante es saltarse norton, mcafee y panda porque son los mas utilizados por usuarios comunes (porque son marcas conocidas)


Salu2