Buenas, tengo problemas.. xD

Comprendo perfectamente el metodo, y he echo pruebas con archivos haciendo saltos en la memoria y tal y todo perfect. Bueno con el archivo importante para el que quiero hacer el cambio, cuando selecciono el offset (dentro del olly) en el file No me permite View Image in Disambler (no sale para clikar), en otros offsets si que sale, pero en ese que tengo que cambiar no....

Que puedo hacer? otra forma de llevarlo a cpu?
Yo creo que el problema es porque esta bastante comprimido el exe? (igual es absurdo lo que he dicho , pero es la unica logica que le veo). Gracias.

Bueno, veo que nadie me ha podido ayudar, pero con tiempo he descubierto el motivo "supuestamente". Con el fileanalizer me salio que la cabecera del archivo, terminaba en el offset 200 (hexadecimal) , y yo tome dicho valor en binario, cuando realmente el valor binario era 512. Tonces el problema que habiar venia en relacion aque , segun deduzco, el olly no permite modificar el archivo de cabecera, ya que coincide justo el rango de cuando permitir modificar, y yo lo que intentaba era usar el metodo rit, con parte de la cabezera.... Tonces ahora me pregunto... porke aisle 2 offsets , con firma de antivirus en la cabecera? supongo que me habria colado en algun lado xD.

sip. esta muy comprimido, con el poco peso del troyano era de esperar. El topo no me detecto ningun hueco libre en modo ejecutable xD. Ahora no puedo seguir probando, haber si el domingo me pongo y te comento, ya que tengo que iniciar de nuevo todo el proceso, por el problema ese que tube con la cabecera.

La cabecera PE normalmente no se comprime, asi que no creo que tenga nada que ver con  eso.

El Bifrost y algún otro troyano cambian la parte de la cabecera correspondiente al DOS stub. Se trata de un mini ejecutable de 16bits que lo único que hace es sacar un mensaje que dice que ese programa no puede funcionar en modo DOS y que se añade al compilar el archivo para cumplir con el estandard PE. Si miráis esa zona en cualquier otro ejecutable con un editor HEX veréis la frase que os comento.

Como es algo que jamás se usa en entornos de 32 bits pues se convierte en espacio susceptible de ser usado para otras cosas. En el caso del Bifrost creo recordar se usaba para meter una firma de autoría del grupo que lo creó, y al hacerlo lo convirtieron en un lugar útil de donde sacar una firma Anti-Viral.

Digo útil porque con solo empezar a escanear el archivo enseguida se localiza la firma, es muy rapido. Pero también podría decir inútil precisamente por el gran talón de aquiles que es el método de firmas, ya que una vez que sabes lo que es y para que sirve esa zona es trivial modificarla. Como es una zona que no sirve para nada con que se cambie byte por cualquier otro ya se consigue que no sea detectado y que ese cambio no tenga efectos (visibles en situaciones normales) en la ejecución del PE.

Por cierto, se puede modificar la cabecera con el Olly sin ningún problema, de hecho tiene un visualizador de cabeceras PE incorporado:

1) Sacais el visor del ejecutable con:  boton drcho> View> Executable File
2) En la ventana del ejecutable que acabáis de sacar os vais hasta los primeros bytes y alli boton drcho> special> PE header
3)Seleccionáis y moficiáis lo que querais con Binary> Edit.


Un saludo.

Esta tarde tendre acceso a mi pc, portanto podre ponerme denuevo al tema. COmo bien dice EON , al tocar cualquier byte de la cabezera, el archivo se corrompe, aunque habra que mirarlo de forma mas detallada, e intentar modificarla segun dice TaU.

Bueno, e cambiado a hacer indetectable el ivy.... pero o0. Sacos las firmas, hago los saltos... y al volver a analizar el archivo, me encuentra las firmas , en los nuevos offsets que puse :S. Alguien consiguio hacer el ivy indetected?

Olas...yo tengo un problema menor con olly cuando hago metodo rit.Sucede que aislo la firma,el editor muestra 26b2-26d2,voy al olly y doy view executables , ctrl+g y 26b2 y no sale opcion dissambler,asi que en su lugar doy CPU Dump y en la pantalla que emerge puedo visualizar los MOV del tuto de octalh pero al inicio de la lista tengo 2 MOV mas que no se si son los de la firma,continuo con los de octalh y hago copy&paste a los nop del topo y el primer MOV cae en 1000701a.
Regreso y hago JMP en el primer MOV original( el que sale en el tuto de octalh) doy las ubicaciones y luego me voy a hacer el retorno a 1000701c y lo mando a la ubicacion del segundo MOV(el primero ya es JMP).
Hasta ahi creo que voy bien,(creo) luego intento guardar los cambios en el primer salto y manda una confirmacion,y voy al segundo salto y no tengo la opcion ALL MODIFICATION con lo que no me queda mas que dejar inconcluso.

Porfavor algo de ayuda soy novato en asm y lo del themida es una opcion que no considero para hacer mi server indetectable.
Tengo avast 4.8 e intento modificar el crypter del tuto de octalh.HEEELP!!!