Foro de elhacker.net

Hola, cómo podría evitar que (una vez instalada la aplicación), me la eliminen? O hacer que si la eliminan, se cree nuevamente..

Alguna idea?

Lee sobre las tecnicas de un Rootkit.

Nota: Esto va en Analisis de Malware!¡.

Dules Lunas!¡.

crear otro proceso que verifique si el .exe esta corriendo.
si no esta, lo crea otra vez.

esa es la parte logica, ahora debes buscar como generar un .exe , como verificar procesos, etc..

para evitar que te la eliminen abrela como binary as 1
cuando la quieran borrar dira que el archivo esta en uso :D

PD: Caen con un unlocker y cagaste

Kernel hijo... kernel.

algo mas util?....

Lo que puedes hacer es inyectar una dll en el Explorer.exe o algun programa, de tal manera que si te eliminan X archivo (llamese mp3, bat, dat, dll, aux, ase, el que sea) lo puedas reconstruir... es decir aplicar la idea de nukje pero con un poco mas de dificultad para er eliminada.

Dulces Lunas!¡.

¿Modo usuario? jaajajaja...

Cualquier simple antivirus lo bloquea.

No tiene que ser precisamente en modo usuario quisas uno en Ring 0, por medio de la creacion de un driver...

Dulces Lunas!¡.

Si el tío leyera el libro: Rootkits: Subverting the windows kernel.

Lograría hacer ello mucho más fácil.

Oculta el fichero desde un módulo kernel y ya está... será imposible que la eliminen, y mucho más si oculta su proceso.

Y a que te referís a eso? yo creo que nadie entendio tu "ayuda" :silbar:

esto podria servir :
Hookear zwdeletefile

edit:
Yo creo que esas palabras son las mas inutiles que e visto el dia de ahora

modo kernel por explicarlo bien facil, es como el salon VIP del windows  :xD, tenes acceso a interceptar todas las I/O de los procesos, acceso al hardware y memoria..etc, al contrario de lo que es un programa comun en visual basic que corre en modo usuario, por citar un ejemplo simple, los antivirus trabajan en modo kernel. creo que no es posible o corriganme si me equivoco hacer un driver o modulo que se ejeucte en modo kernel en VB6, en C++ obvio se puede.

saludos.

Hasta donde se NO HAY atributos exclusivos para el kernel (hablando con respecto a los archivos), y aun que los hubiera los AV desentes tienen un driver en con los privilegios de RING 0... lo mas viable hasta ahora es tener un 2do app... o simplemente hookear el api que ya menciono RHL - 该0在.

Pero dejad esto, este tema va en Analisis de Malware, seguro hay traen mas tacticas para evadir la eliminacion del archivo X.

Nota: Es mas facil hacer un Driver en C en mi consideración, a vb6 ya lo dejo para GUI...

Dulces Lunas!¡.

@seba123neo: Sí, estás en lo correcto, es imposible usar VB6 u otros lenguajes considerados de alto nivel para compilar un módulo kernel. A duras penas sirven para comunicarte con el mismo, hecho bajo C y ensamblador.

@RHL: Ve a hacer intentos de trolling a otro lado crío, ni a los tobillos ;)... parece que lo que tu "no logras entender" otros lo comprenden fácilmente (llegando a alimentar mi "ayuda" haciéndola más comprensible).

@BlackZeroX: Sí, correcto. Y es mejor dejar el tema hasta aquí o que el moderador lo mueva de sección, el creador del tema debería leer este enlace (http://www.codeproject.com/Questions/279190/How-to-Hide-files-and-folders-at-kernel-level) y esperar opiniones de otros usuarios, aquí le recomendaría hablar con Eternal Idol, es un crack en el tema de los módulos kernel ;D.

Salud.

ring0, kernel, drivers, root kit.... visual basic...

que han fumado? :silbar:

Nada de eso es posible en visual basic.
Cualquiera que lo haya sugerido, estuvo totalmente fuera de  lugar.
(hay que mirar el subforo donde se encuentran antes de responder barbaridades)

Advacevb, Puro API, etc :P

Nada es imposible :)

+1 :)

De que se puede se puede, que te va a costar un huevo (Más pasos de lo común, dolores de cabeza, evitar usar las funciones de vb6 como son &, mid, split, usar type library para las APIS en la IAT, usar Outputdebugstring y DebugView, detener la compilacion de vb6 y asi tomar el archivo objeto y despues seguir con la DDK respectiva, linkear,  que si no se compilo bien, que se te paso un paso, etc...) es otro tema y excesivamente complejo, mejor pasar de largo en este lenguaje y hacerlo en C.

Dulces Lunas!¡.

Hola,
continuando con el tema original :P

yo lo que hago, es autocopiar el ejecutable a varias partes del sistema (cuantas mas mejor :P ) y cada una, verifica si se borró alguna otra, y la restaura.
Ahi, no seria imposible eliminnarla, pero seria muchoi mas dificil :P

sobre todo si es fud :P