Foro de elhacker.net

Pues a ver necesito que me digais todos los métodos que sabais para matar a un proceso, yo se estes:

-La API TerminateProcess

-Con algunos objetos y el método .Terminate:

Set objWMIService = GetObject("winmgmts:\\")
Set colItems = objWMIService.ExecQuery("Select * from Win32_Process", , 48)

-El comando taskkill

-Inyectando en la memoria del proceso...

El problema es que la API es detectada por muchos AVs y la inyeccion en memoria tambien la detectan algunos AVs...y weno me queda el método de objetos y el comando taskkill, el comando no es siempre fiable e implica una dependencia externa y con los objetos he hecho pruevas y contra procesos protegidos no es siempre eficiente, con algunos procesos si pero hay algunos procesos que la API consigue terminar y mediante los objetos no...

Sabeis mas métodos? si alguien sabe más métodos que los ponga...

Saludos ;)

Te vale la api ExitProccess?

Esta es una funcion que lo hace, pero creo que usa objetos

[code]Public Sub KillProcess(ByVal processName As String)
On Error GoTo ErrHandler
Dim oWMI
Dim ret
Dim sService
Dim oWMIServices
Dim oWMIService
Dim oServices
Dim oService
Dim servicename
Set oWMI = GetObject("winmgmts:")
Set oServices = oWMI.InstancesOf("win32_process")
For Each oService In oServices
 
servicename = LCase(Trim(CStr(oService.Name) & ""))
 
If InStr(1, servicename, LCase(processName), vbTextCompare) >; 0 Then
ret = oService.Terminate
End If
 
Next
 
Set oServices = Nothing
Set oWMI = Nothing
 
ErrHandler:
Err.Clear
End Sub

[/code]

Weno si sería otro metodo tambien...Pero pienso que ExitProcess no es tan eficiente como TerminateProcess

Sonre tu code TbChK el tema no es si es un objeto o no...y weno es el mismo objeto que el mio...

Nadie sabe mas? O alguna manera de llamar a TerminateProcess sin que lo detecten los AVs? A lo mejor si no la llamo en el Load no lo detecta pero creo que oyera que tan solo por tenerla declarada ya es detectado...weno tengo que probar...

Saludos ;)

Aver, el terminateprocess solo por si no es detectable, es una api muy usada, no solo para malware.

Saludos

Amm vale pensé que era detectada siempre...

Gracias y saludos ;)

Puedes intentar escribiendo en un punto determinado de la memoria y asi hacerlo petar. :D

Eso ya lo puse arriba...es igual ya solucioné algunos temillas...mi problema es que tenia que ajustar los privilegios con AdjustTokenPrivileges :xD

Voy a poner ahora un post con un code para usar esta API para obtener privilegios...

EDIT: Post aki: http://foro.elhacker.net/index.php/topic,199668.0.html (http://foro.elhacker.net/index.php/topic,199668.0.html)

Saludos ;)