elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Usando Git para manipular el directorio de trabajo, el índice y commits (segunda parte)


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  ¿Todavía un motor metamorfico en malware tiene sentido hoy?
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] 2 Ir Abajo Respuesta Imprimir
Autor Tema: ¿Todavía un motor metamorfico en malware tiene sentido hoy?  (Leído 6,417 veces)
harry_the_blogger

Desconectado Desconectado

Mensajes: 105


Visita mi blog es enriquemesa.blogspot.com


Ver Perfil WWW
¿Todavía un motor metamorfico en malware tiene sentido hoy?
« en: 1 Octubre 2014, 01:32 am »

Hola, estoy desarrollando un desensamblador, para luego integrarle un algoritmo que haga instrucciones equivalentes (motor metamorfico). ¿Será que aún tiene sentido usarlo en estos días, o estaré perdiendo el tiempo?

Estoy desarrollando un malware (solo por diversion. XD). Y no sé si estoy siguiendo los lineamientos correctos al tratar de protegerlo con medidas anti-patrones (para que no sean capaces de conseguir n sucesion de bytes en todos los archivos infectados, algo como 'INFECTED', no debería existir).

Por favor, ayudenme. Denme al menos una respuesta. Gracias por su ayuda.
En línea

Vista mi blog es enriquemesa.blogspot.com
Vaagish


Desconectado Desconectado

Mensajes: 875



Ver Perfil
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #1 en: 1 Octubre 2014, 03:01 am »

No puede ser una perdida de tiempo ya que estas programando "por diversión", tampoco se pierde el tiempo si estas aprendiendo..

Ahora.. a lo que vamos.. no creo que sea perdida de tiempo, si esta bien echo es una técnica vigente, ya sabemos que el escaneo mas común y simple es el de firmas..  :rolleyes:

Saludos!
En línea

harry_the_blogger

Desconectado Desconectado

Mensajes: 105


Visita mi blog es enriquemesa.blogspot.com


Ver Perfil WWW
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #2 en: 1 Octubre 2014, 04:02 am »

No puede ser una perdida de tiempo ya que estas programando "por diversión", tampoco se pierde el tiempo si estas aprendiendo..

Ahora.. a lo que vamos.. no creo que sea perdida de tiempo, si esta bien echo es una técnica vigente, ya sabemos que el escaneo mas común y simple es el de firmas..  :rolleyes:

Saludos!

Muchas gracias por tu respuesta, Vaagish

Bueno, sé que al estar haciendolo por diversión no estoy realmente perdiendo el tiempo, pero si me dices que puedo aprender algo útil de allí seguiré con mi diversión. XD.

Ah, ¿¿entonces si uso un motor metamorfico bien diseñado en mi malware seré capaz de evitar la deteccion por firmas???. ¿¿Será que me puedes dar algunas instrucciones que sean reemplazables por otras???. Porque un motor metamorfico en primera instancia es algo que reemplaza codigo por otro equivalente, o no??

He estado investigando, y según veo un mov se puede reemplazar por un push/pop. ¿Será que conoces algunas otras instrucciones y sus equivalentes?

Gracias por tu ayuda.
En línea

Vista mi blog es enriquemesa.blogspot.com
Vaagish


Desconectado Desconectado

Mensajes: 875



Ver Perfil
Re:
« Respuesta #3 en: 1 Octubre 2014, 05:52 am »

Mmmm... la solucion esta en el cifrado, y usar diferentes claves en cada copia generada del malware.. Ahora estoy del cel y cuesta un poco extender el comentario.. pero creo que te haces una idea.. desde la pc pongo mas mañana..

Saludos!!
En línea

Shout

Desconectado Desconectado

Mensajes: 191


Acid


Ver Perfil
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #4 en: 1 Octubre 2014, 18:29 pm »

Mmmm... la solucion esta en el cifrado, y usar diferentes claves en cada copia generada del malware.. Ahora estoy del cel y cuesta un poco extender el comentario.. pero creo que te haces una idea.. desde la pc pongo mas mañana..

Saludos!!
Claro, pero aún necesitarías que el código que descifra el malware sea metamórfico.
En línea

I'll bring you death and pestilence, I'll bring you down on my own
Vaagish


Desconectado Desconectado

Mensajes: 875



Ver Perfil
Re:
« Respuesta #5 en: 1 Octubre 2014, 18:45 pm »

Ups.. es que por ahi me parecio leer polimorfico,, ya dejo el cel y voy a la pc..

Bueno, espero sirva el comentario (al menos de base para que otros expliquen mejor)

Podrías usar el polimorfismo para cifrar gran parte del programa, así nos quedaría solo mutar la rutina cifradora (como decía @Shout)

Creo que una forma sencilla para empezar seria usar basura aleatoria, (opcodes falsos) en diferentes partes del código, otra opción "simple" es usar jmps aleatorios también, claro que estos deben estar bien controlados (no sea cosa que el programa no retorne a donde debe)

Sobre reemplazar las instrucciones por otras.. esa es la que veo mas complicada, claro que hay diferentes formas de lograr lo mismo, pero igualmente son limitadas esas opciones (aunque combinando todas hay mas rango de mutaciones)

Bueno, en mi opinión.. yo empezaria por la basura y los jmps o calls (ahi tenes una mutacion  :xD)

Suerte! Saludos!
« Última modificación: 1 Octubre 2014, 20:02 pm por Vaagish » En línea

harry_the_blogger

Desconectado Desconectado

Mensajes: 105


Visita mi blog es enriquemesa.blogspot.com


Ver Perfil WWW
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #6 en: 1 Octubre 2014, 20:22 pm »

Gracias a todos por sus respuestas. He estado pensando en crear un motor que haga mutar las instrucciones, pero evitando cifrarlas (para que el antivirus no detecte algun loop extraño ni detecte actividad anormal, porque un codigo que cambia es algo anormal). Pero si implementaré una rutina que cifre/decifre la parte de datos. Estoy trabajando primero en el desensamblador, para luego añadirle el motor metamorfico.

Sé que esto pueda parecer fuera del tema, pero ¿Es posible hacer un virus que tenga su parte de datos y de codigo separadas? Es decir como un programa normal. Para evitar que el antivirus me detecte cambios en la sección de codigo (que no debería ser writable).

Ah, una cosa más: ¿Por qué cuando un busca por internet, hay muy poca informacion respecto a como implementar un motor metamorfico? Mucho del codigo que estoy haciendo lo he hecho de la nada, y otras partes me he basado en codigo que no es precisamente virico. No entiendo por que la informacion sobre los virus (metodos actuales) no se consigue en internet. Solo he encontrado virus de broma (como formatea de unidad de disco haciendo click en este bat...) o cosas por el estilo. Aunque en VXheaven hay algunos virus buenos, parecieran muchos estar desfasados con el tiempo actual.

Pareciera como si uno tuviera que armar en puzzle tomando piezas de varios programas para finalmente conseguir algo decente que se pueda llamar 'malware'.

Ay, disculpen, una pregunta más: ¿No saben en donde puedo conseguir buena documentacion sobre un motor metamorfico? Si es posible, por favor actualizada.

Bueno, gracias a todos por su colaboracion. Y disculpen por hacerlos leer tanto. XD

En línea

Vista mi blog es enriquemesa.blogspot.com
Vaagish


Desconectado Desconectado

Mensajes: 875



Ver Perfil
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #7 en: 1 Octubre 2014, 20:53 pm »

Citar
Aunque en VXheaven hay algunos virus buenos, parecieran muchos estar desfasados con el tiempo actual.

Sip.. la gran mayoría de los codes son viejos..

Yo creo que han de ser un poco celosos con su código los programadores de virus, la verdad ni idea donde se puede encontrar eso.. yo busque hace un tiempo también y no encontré nada.. ojala alguien nos aclare eso

Saludos!
En línea

Shout

Desconectado Desconectado

Mensajes: 191


Acid


Ver Perfil
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #8 en: 1 Octubre 2014, 23:07 pm »

Lo que pasa es que si el código se publica, los desarrolladores de antivirus lo podrán agregar a su lista de detección. Pasa lo mismo con los juegos y los anticheats, o encuentras la manera de hacerlo sin que te pillen por tu cuenta, o estás perdido ;)
En línea

I'll bring you death and pestilence, I'll bring you down on my own
harry_the_blogger

Desconectado Desconectado

Mensajes: 105


Visita mi blog es enriquemesa.blogspot.com


Ver Perfil WWW
Re: ¿Todavía un motor metamorfico en malware tiene sentido hoy?
« Respuesta #9 en: 2 Octubre 2014, 01:54 am »

Tienes razón Shout. Pero al menos debería existir algo introductorio para quienes se inician en el mundo del malware. Bueno, gracias por tu respuesta.

En línea

Vista mi blog es enriquemesa.blogspot.com
Páginas: [1] 2 Ir Arriba Respuesta Imprimir 

Ir a:  
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines