elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Sigue las noticias más importantes de seguridad informática en el ttwitter! de elhacker.NET


+  Foro de elhacker.net
|-+  Seguridad Informática
| |-+  Análisis y Diseño de Malware (Moderador: fary)
| | |-+  Que es un RunPE?
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] 2 Ir Abajo Respuesta Imprimir
Autor Tema: Que es un RunPE?  (Leído 12,573 veces)
x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Que es un RunPE?
« en: 29 Septiembre 2011, 18:01 pm »

buenas tengo esa duda :P pensaria que se encuentra facil en google pero busque por una hora y no encontre nada :S es mas encontre codigos y todo eso pero exactamente quiero saber caracteristicas detalles osea lo principal que es lo que hace :P gracias
espero no haberme equivocado en la sección siempre e visto el tema creo que es de malware no :P
En línea

el-brujo
ehn
***
Desconectado Desconectado

Mensajes: 21.111


La libertad no se suplica, se conquista


Ver Perfil WWW
Re: Que es un RunPE?
« Respuesta #1 en: 29 Septiembre 2011, 20:53 pm »

Tu pregunta es más de Ingeniería Inversa, pero en Malware también vale.

Los dos moderadores Karcrack y    [Zero] les gusta el tema xD

Abril Negro 2008: Taller de Formato PE by Ferchu
http://foro.elhacker.net/analisis_y_diseno_de_malware/abril_negro_2008_taller_de_formato_pe_by_ferchu-t208278.15.html

[Documento]Formato PE bajo Windows - Español
http://foro.elhacker.net/windows/documentoformato_pe_bajo_windows_espanol-t332157.0.html

Qué es CFF Explorer?
http://foro.elhacker.net/ingenieria_inversa/que_es_cff_explorer-t335659.0.html

[Taller] Así funcionan los crypters: cifrando malware a mano  
http://foro.elhacker.net/analisis_y_diseno_de_malware/taller_asi_funcionan_los_crypters_cifrando_malware_a_mano-t262806.0.html

[Taller] Introduccion al Diseño de Rutinas de Encriptacion
http://foro.elhacker.net/analisis_y_diseno_de_malware/taller_introduccion_al_diseno_de_rutinas_de_encriptacion-t273035.0.html

Modificando cabeceras "for Fun and Profit"
¿Que es el formato PE?
http://foro.elhacker.net/hacking_avanzado/modificando_cabeceras_for_fun_and_profit-t181258.0.html

Para más adelante:

Abril Negro 2008: Taller de ASM
http://foro.elhacker.net/analisis_y_diseno_de_malware/abril_negro_2008_taller_de_asm-t208188.0.html

Ejecución de Archivos desde Memoria [Base Relocation]
http://foro.elhacker.net/analisis_y_diseno_de_malware/ejecucion_de_archivos_desde_memoria_base_relocation-t264564.0.html

[Taller] Api Hooking en modo usuario
http://foro.elhacker.net/analisis_y_diseno_de_malware/taller_api_hooking_en_modo_usuario-t262962.0.html
« Última modificación: 29 Septiembre 2011, 20:56 pm por el-brujo » En línea

skapunky
Electronik Engineer &
Colaborador
***
Desconectado Desconectado

Mensajes: 3.667


www.killtrojan.net


Ver Perfil WWW
Re: Que es un RunPE?
« Respuesta #2 en: 29 Septiembre 2011, 21:16 pm »

No es que sea de malware, pero va relacionado por su úso, aquí te dejo un documento impresionante sobre RunPe, lo recomiendo a todo el mundo ya que se explica todo.



Descargar ebook "Formato Portable executable bajo windows"
« Última modificación: 29 Septiembre 2011, 21:59 pm por skapunky » En línea

Killtrojan Syslog v1.44: ENTRAR
el-brujo
ehn
***
Desconectado Desconectado

Mensajes: 21.111


La libertad no se suplica, se conquista


Ver Perfil WWW
Re: Que es un RunPE?
« Respuesta #3 en: 29 Septiembre 2011, 21:47 pm »

me has leído el pensamiento xDD

He puesto ese mini libro en el segundo enlace:

[Documento]Formato PE bajo Windows - Español
http://foro.elhacker.net/windows/documentoformato_pe_bajo_windows_espanol-t332157.0.html

Lo publicaron en el foro de Windows y ni lo ví xD

Lo he añadido a la web y su descarga sin esperas:

http://ns2.elhacker.net/timofonica/manus/Formato_de_ficheros%20ejecutables%20_Formato%20PE_.pdf
En línea

x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Re: Que es un RunPE?
« Respuesta #4 en: 29 Septiembre 2011, 22:44 pm »

andenle gracias tios ;D
En línea

The Swash

Desconectado Desconectado

Mensajes: 194


Programmer


Ver Perfil WWW
Re: Que es un RunPE?
« Respuesta #5 en: 30 Septiembre 2011, 01:39 am »

Buena tarde,
Con respecto a las respuestas, todas están erradas, pero vamos no del todo y no es por desmeritarles. En realidad el RunPE obviamente tiene estrecha relación con el Formato PE, pero no es exactamente eso.
El famoso RunPE es una técnica la cual permite ejecutar archivos ("on the fly" - Karcrack), es decir sin necesidad de que el archivo ocupe tamaño físico, esto se hace porque el archivo está plasmado en un buffer en memoria. Esta técnica es usada en malware generalmente en Cifradores, los cuales tienen en su cuerpo el archivo cifrado, luego en memoria lo descifran y lo ejecutan, y esto no llamará mucho la atención.

Como funciona un RunPE:
  • Comprobar que es un ejecutable válido (MZ & PE/x0/x0 Signature).
  • Crear un nuevo proceso suspendido (Generalmente con el mismo ejecutable).
  • Desasignar la proyección del archivo en ese proceso, ImageBase. (Limpiar el ejecutable del proceso).
  • Obtener contextos (Registros).
  • Reservar en memoria la dirección del ImageBase del ejecutable con un tamaño del campo SizeOfImage. (ImageBase y SizeOfImage del archivo a ejecutar).
  • Escribir la cabecera y las secciones alineadas por el campo SectionAlignment.
  • Editar EAX en los registros leídos por la dirección del punto de entrada del archivo a ejecutar.
  • Editar EBX + 8 por el ImageBase del ejecutable a cargar (Cambiar base de la imagen del nuevo proceso).
  • Editar con el nuevo contexto (Escribir registros).
  • Iniciar el proceso suspendido.

Un saludo.
En línea

x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Re: Que es un RunPE?
« Respuesta #6 en: 30 Septiembre 2011, 06:01 am »

:o interesante
sera que es posible cargar solamente trozos de codigos desifrados para que los AVs no los detecten tan facil? y si fuera asi pero en vb no se puede verdad :P solo en c++
y asm ? :P
aunq noce pero e visto varios codigos en vb :P
En línea

kisk

Desconectado Desconectado

Mensajes: 55



Ver Perfil
Re: Que es un RunPE?
« Respuesta #7 en: 30 Septiembre 2011, 06:18 am »

:o interesante
sera que es posible cargar solamente trozos de codigos desifrados para que los AVs no los detecten tan facil? y si fuera asi pero en vb no se puede verdad :P solo en c++
y asm ? :P
aunq noce pero e visto varios codigos en vb :P
Claro que es posible y en vb si se puede verda karcrack ?pero es mucho mas lio es mejor hacerlo en asm o c++ a esta tecnica se le llama inyeccion de codigo en memoria algo complejo para empezar por ahi dejame decirte
Mahazar dejo unos tutos espectaculares si lo encuentro te los subo
Saludos
« Última modificación: 30 Septiembre 2011, 06:20 am por kisk » En línea

La vieja escuela me da nostalgia la nueva me da naucias dime cual es la escuela si ambas me deprimen (8)
x64core


Desconectado Desconectado

Mensajes: 1.908


Ver Perfil
Re: Que es un RunPE?
« Respuesta #8 en: 30 Septiembre 2011, 06:32 am »

Claro que es posible y en vb si se puede verda karcrack ?pero es mucho mas lio es mejor hacerlo en asm o c++ a esta tecnica se le llama inyeccion de codigo en memoria algo complejo para empezar por ahi dejame decirte
Mahazar dejo unos tutos espectaculares si lo encuentro te los subo
Saludos


ok se te agradeceria tio ;D ya veo que es muy buena tecnica esta  >:D
En línea

kisk

Desconectado Desconectado

Mensajes: 55



Ver Perfil
Re: Que es un RunPE?
« Respuesta #9 en: 30 Septiembre 2011, 06:40 am »

A claro que es muy buena el Poison Ivy usa esta tecnica y mira uno de los mejores rats que existe
Saludos
En línea

La vieja escuela me da nostalgia la nueva me da naucias dime cual es la escuela si ambas me deprimen (8)
Páginas: [1] 2 Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
RunPE Killer V. 1.0 By Psymera
Ingeniería Inversa
psymera 6 6,868 Último mensaje 17 Septiembre 2009, 18:25 pm
por Arkangel_0x7C5
Ayuda creacion RunPE VB6
Análisis y Diseño de Malware
fary 3 4,122 Último mensaje 28 Enero 2011, 22:33 pm
por fary
Puedo modificar este trozo de Runpe??
Programación Visual Basic
xivan25 0 1,550 Último mensaje 21 Octubre 2011, 02:02 am
por xivan25
Duda RunPE
Análisis y Diseño de Malware
[Kayser] 2 2,655 Último mensaje 10 Diciembre 2011, 13:34 pm
por [Kayser]
Ayuda RunPe win7
.NET (C#, VB.NET, ASP)
Cromatico 8 4,173 Último mensaje 30 Noviembre 2012, 13:19 pm
por Cromatico
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines