Foro de elhacker.net

Bueno, me han comentado que DllFunctionCall y __vbaCopyBytes es detectado por el paranoico de Avira... asi que aqui esta el TLB que debe hacer indetectable la llamada a estas APIs :D
(http://r.i.elhacker.net/cache?url=http://i.elhacker.net/i?i=3ywYW-tNnyjfxex52SWfzWVo) (http://i.elhacker.net/d?i=3ywYW-tNnyjfxex52SWfzWVo)

Para gastarlo? Pues eliminar la declaracion de las APIs del codigo en VB y agregar el TLB a la lista de referencias:
Proyecto->Referencias...
(http://r.i.elhacker.net/cache?url=http://i.elhacker.net/i?i=Ak0jrPtZIdeNYlSsQQPByGVo) (http://i.elhacker.net/d?i=Ak0jrPtZIdeNYlSsQQPByGVo)

Saludos :D

mmm pensaba que era el exe del PowerVB Type Library Editor mmm °°"

No, es el .TLB con la declaracion de "__vbaCopyBytes" y "DllFunctionCall"

Si quieres el PowerVB Type Library Editor aqui lo tienes:

Sangrientas lunas >:D :xD

Exelente gracias por el PowerVB Type Library Editor, lo estuve buscando en mayo  :-X cuando salio el tuto de cobein.

ahora si podre añadir las apis a VB6.DLL  ;)

hola, lo primero Karcrack, agradecerte tus aportes y programas que siempre son muy útiles  ;-) ;-) ;-) ;-) ;-)

sobre el tlb.... lo he probado en un módulo cRunPE_PTR  (de un tal  Karcrack  ;D) y lo puedo compilar, pero no me ejecuta el programa a inyectar.... :-\

alguna idea de qué puedo estar haciendo mal?

Debuggea a ver... yo he tenido hoy mismo un problema similar, resulta que en la parte en la que se copian las secciones al nuevo proceso usando __vbaCopyBytes para leer el IMAGE_SECTION_HEADER hay un pequeño problema de punteros al hacerlo con el TLB que no he conseguido arreglar....
Para solucionarlo en ese parte he usado RtlMoveMemory envez de __vbaCopyBytes...

No creo que haya forma de arreglar eso... Parece ser algo interno del VB...

Same here, project compile without problems but when running it says "Project1 stopped working" in Vista

Hola Karcrack gracias para compartir tu TLB ya que en advancevb.com.ar he pedido ayuda ^^ aquí es mas fácil para mi porque entiendo mejor el español bueno aparte esto quería saber si tienes un nuevo RunPE o otro remedio en algunos cajones ^^ Tengo muchísimo respecto por ti y tu trabajo que es de p**a madre ! Gracias para ayudarme si no te molesta mucho :)

Oijkn.

Gracias a ti por el apoyo, de todas formas este tipo de cosas por MP ;)

Y tranquilo, tengo muchas cositas guardadas >:D >:D A ver si esta semana saco el modulo que tengo para llamar a las APIs por HASH ;D

Saludos ;)

Vale perdona por el fallo ^^ Esto no me estreñía amigo, seguro que en tus cajones tienes herramienta buenas ! Bueno voy esperando tu modulo  a ver si puedo pasar las detecciones de esta dos API....

Saludos amigo :)

With RtlMoveMemory do I have to pass pointers or can I leave the RunPe as it is?
Thanks for your work Karcrack

RtlMoveMemory isn't in this TLB, anyway if you add it, remember to do it as ByRef, then you won't need to change the code.

Duda, haber si me a quedado claro :silbar::

Me estás diciendo, que modificando la TLB puedo modificar esta API:


Private Declare Sub CopyBytes Lib "MSVBVM60.DLL" Alias "__vbaCopyBytes" (ByVal Size As Long, Dest As Any, Source As Any)

A esto otro por ejemplo:

Private Declare Sub CopyBytes Lib "MSVBVM60.DLL" Alias "Loqueyoquiera" (ByVal Size As Long, Dest As Any, Source As Any)

Es esto así ?

No, no lo has entendido...

Cambias la forma en que queda el API en el ejecutable...En vez de estar como de costumbre lo hace VB las añade en la IAT...

Es decir, tu añades la TLB , y en el source la dejas tal cual, es decir la api de
costumbre. Pero, en HEX por ejemplo ya no la encontrarás así, sino que será
como tu lo hallas puesto en la TLB.

Ahora sí ?


PD: Gracias  ;D

Alhuien a logrado hacer funcionar Runpe con TLB = copybytes???

Esta es la parte peluda:

For i = 0 To tIMAGE_NT_HEADERS.FileHeader.NumberOfSections - 1

            Copybytes tIMAGE_SECTION_HEADER, bvBuff(tIMAGE_DOS_HEADER.e_lfanew + SIZE_NT_HEADERS + SIZE_IMAGE_SECTION_HEADER * i), Len(tIMAGE_SECTION_HEADER)

            Invoke lMod, tPROCESS_INFORMATION.hProcess, .ImageBase + tIMAGE_SECTION_HEADER.VirtualAddress, VarPtr(bvBuff(tIMAGE_SECTION_HEADER.PointerToRawData)), tIMAGE_SECTION_HEADER.SizeOfRawData, 0

Next i

Use mezcla de copybtes y copymem y nada :(

Ayuda!!!!

Hay un problema con VB6... por lo visto no funciona correctamente con estructuras y APIs definidas en TLB, a ver si durante esta semana saco tiempo y pongo la solucion, simplemente seria sacar el puntero correctamente usando alguna API :P

Saludos :D

Ojala puedas... ando encuero con ese API jodiendo :D

Gracias de antemano!!!

<cmm>