elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Guía actualizada para evitar que un ransomware ataque tu empresa


+  Foro de elhacker.net
|-+  Programación
| |-+  Programación General
| | |-+  .NET (C#, VB.NET, ASP)
| | | |-+  Programación Visual Basic (Moderadores: LeandroA, seba123neo)
| | | | |-+  Ayuda: Programar módulos para un AV-Killer
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: 1 2 3 4 [5] 6 7 8 Ir Abajo Respuesta Imprimir
Autor Tema: Ayuda: Programar módulos para un AV-Killer  (Leído 23,290 veces)
Hendrix
In The Kernel Land
Colaborador
***
Desconectado Desconectado

Mensajes: 2.276



Ver Perfil WWW
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #40 en: 23 Octubre 2007, 10:51 am »

Mek, para finalizar el driver del Kav tengo que usar el IoDeleteDevice, no es asi??? Pero en este caso necesitaria el DeviceObject del Kav, como lo saco??? :-\

Eso de haber tantisimas apis y no saber trabajar con casi ninguna me da rabia  :xD no hay mas remedio que trabajar con ellas y aprender  :)


En línea

"Todos los días perdemos una docena de genios en el anonimato. Y se van. Y nadie sabe de ellos, de su historia, de su peripecia, de lo que han hecho, de sus angustias, de sus alegrías. Pero al menos una docena de genios se van todos los días sin que sepamos de ellos". - Juan Antonio Cebrián
<?BRoWLi?>

Desconectado Desconectado

Mensajes: 109


Kien mira por ti?


Ver Perfil WWW
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #41 en: 23 Octubre 2007, 14:31 pm »

Citar
Ya, pero es que no me gusta C. Lo he intentado pero me aburre con suma facilidad, me quedo con VB

Es como comparar a un futbolista juvenil local, con un futbolista profesional e internacional.


En línea

Si TRaTaS D SeR JusTo SoLo Es JuSTo EL CoRaZóN, LoS DeMaS OrGaNoS TRaTaRaN De KiTaRLe La RaZoN - DobleV
Piratas.com.es
Xerok1!

Desconectado Desconectado

Mensajes: 228



Ver Perfil
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #42 en: 23 Octubre 2007, 16:59 pm »

voy a por el norton  :P :P :P  :xD :xD...esty en ello ya..os ire contando los progresos...cuando tenga tiempo ;)
un saludo! :) :)
En línea

[Firma]Esperando haber si acaba el concurso de firmas y la pongo[/Firma]
byebye


Desconectado Desconectado

Mensajes: 5.093



Ver Perfil
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #43 en: 23 Octubre 2007, 21:56 pm »

Citar
Mek, para finalizar el driver del Kav tengo que usar el IoDeleteDevice, no es asi??? Pero en este caso necesitaria el DeviceObject del Kav, como lo saco???

eso yo le veo problemas pq a saber donde tiene ese metido el morro lo cierras y despues pantallazo. lo mejor es y lo probe con el sxe que no dejaba injectar, es hookear las funciones que el hookea y no darle a el el control. y no todas las funciones con matar el proceso y poco mas yo creo que bastaria.

saludos.

PD: te dejo una funcion par hookear la funcion que le pases por argumento

Código:
proc GetAddr n
     mov eax, 4
     mov ecx,[n]
     mul ecx
     mov ecx,[KeServiceDescriptorTable]  ;LocaLizar KiServiceTable
     mov ecx,[ecx]                       ;KierviceTable
     add eax,ecx
     ret
endp         


despues la uss asi:

Código:
push 7ah    ; Numero de la funcion
     call GetAddr
     mov ecx, _NtOpenProcess  ;Direccion de la funcion que remplaza a la original
     mov [eax], ecx   ; y la escribes en la direccion que toca (que nos devolvio la funcion)


se me olvido ponerte que era el numero de la funcion. si desensamblas zwopenprocess veras esto:

Código:
77F65E55 >  B8 7A000000     MOV EAX,7A
77F65E5A    BA 0003FE7F     MOV EDX,7FFE0300
77F65E5F    FFD2            CALL EDX
77F65E61    C2 1000         RET 10


ves el numero? pues eso es lo que interesa de cada funcion. este numero no es fijo pero se puede leer en runtime.
« Última modificación: 23 Octubre 2007, 22:13 pm por ̿̿̿̿̿̿̿̿̿ » En línea

Hendrix
In The Kernel Land
Colaborador
***
Desconectado Desconectado

Mensajes: 2.276



Ver Perfil WWW
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #44 en: 24 Octubre 2007, 00:10 am »

Asi de simple nos cepillariamos el hookeo a la zwopenprocess??? :o

TEndre que ponerme a leer bastante sobre hooking en kernel land, ya que me es bastante complicado, este cambio de "land" es bastante grande  :xD

Me recomiendas algo en español??? (Se que hay poca cosa :S)

Si no me tender que conformar con los tochos que hay por hay "in english"...

Intentare hacer practicas con el Driver del Kav  :-\

En línea

"Todos los días perdemos una docena de genios en el anonimato. Y se van. Y nadie sabe de ellos, de su historia, de su peripecia, de lo que han hecho, de sus angustias, de sus alegrías. Pero al menos una docena de genios se van todos los días sin que sepamos de ellos". - Juan Antonio Cebrián
nhaalclkiemr


Desconectado Desconectado

Mensajes: 1.678


Máximo exponente 9DB9F1AEED2FADBDE 997BBE20FEDA92


Ver Perfil WWW
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #45 en: 24 Octubre 2007, 15:09 pm »

A ver si cuando alguien consiga algo postea el driver o algo...o por privado al menos :-[

Freeze, recuerda "Imposible is nothing"

Saludos ;)
En línea

StasFodidoCrypter 1.0 - 100% (old)
StasFodidoCrypter 2.0 - 85% (deserted)
Fire AV/FW-Killer - 97% (deserted)
R-WlanXDecrypter 1.0- 100%
byebye


Desconectado Desconectado

Mensajes: 5.093



Ver Perfil
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #46 en: 24 Octubre 2007, 18:02 pm »

Citar
Asi de simple nos cepillariamos el hookeo a la zwopenprocess???

no, asi de simple hookeas el kernel. pero claro si kav ya a hookeado tb lo jodes a el ya que no se llamara a su funcion. en español no hay nada almenos publico o esta muy escondido. pero vamos te explico yo aqui en un momento como hookear la ssdt.

localizamos la base de el kernel:

Citar
lkd> dc nt
804d4000 00905a4d 00000003 00000004 0000ffff  MZ..............

OK,804d4000h

Citar
lkd> dd KeserviceDescriptorTable
8054c540  80502da8 00000000 0000011c 805033c4

OK, 80502da8h =KiServiceTable vamos a ver que nos espera aqui.


Código:
lkd> dd 80502da8
80502da8  80596d42 8057f565 8057d419 805c281a
80502db8  805754d4 806188d8 8061aa48 8061aa85
80502dc8  8056c5ec 806272c6 806183d4 8057c753
80502dd8  806123bb 8057d77a 80577729 8060bd61
80502de8  8057d532 8058feb9 805617f0 805536d3
80502df8  805100c5 8060fd31 8056720f 804e9362
80502e08  8057ac7a faa87818 8057d3e4 8062be5e
80502e18  8061b5a9 80597234 8062c08a 805759e6


lo ves? un array de punteros a funciones, de ahi que en la funcion que puse multiplicase por 4 para llegar a la posicion de la funcion (4 bytes por elemento). pues solo tenemos que escribir ahi la direccion de nuestra funcion, y si te fijas todas las direcciones empiezan por 80XXX como vimos antes la base, entonces se puede verificar que funciones estan hookeadas. antes de escribir verifica el registro CR0 no tenga el bit de proteccion de escritura y te de un pantallazo.

y eso es todo, no es nada complicado lo malo es la escasa o nula informacion. pero tocando se aprende jeje.

saludos.
« Última modificación: 24 Octubre 2007, 18:04 pm por ̿̿̿̿̿̿̿̿̿ » En línea

Hendrix
In The Kernel Land
Colaborador
***
Desconectado Desconectado

Mensajes: 2.276



Ver Perfil WWW
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #47 en: 24 Octubre 2007, 18:28 pm »

Machas gracias tio, sobretodo por el tiempo que empleas explicandome esto, lo que e entendido, sila funcion no empieza por 80 es que esta hookeado,no?? Y otra cosa, como "dumpeas" esto??? que programa usas para hacerlo??

Muchas gracias ;)
En línea

"Todos los días perdemos una docena de genios en el anonimato. Y se van. Y nadie sabe de ellos, de su historia, de su peripecia, de lo que han hecho, de sus angustias, de sus alegrías. Pero al menos una docena de genios se van todos los días sin que sepamos de ellos". - Juan Antonio Cebrián
byebye


Desconectado Desconectado

Mensajes: 5.093



Ver Perfil
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #48 en: 24 Octubre 2007, 18:38 pm »

claro, si te fijas la base del kernel era 80XX pues tiene que esta dentro de, si no es que esa funcion esta hookeada. uso windbg, kernel debug > pestaña local.
En línea

Hendrix
In The Kernel Land
Colaborador
***
Desconectado Desconectado

Mensajes: 2.276



Ver Perfil WWW
Re: Ayuda: Programar módulos para un AV-Killer
« Respuesta #49 en: 24 Octubre 2007, 20:04 pm »

Bua, en el Windbg se tiene que hacer por conexion de PC's, no??? eso es lo que no me gusta :S

Bueno, muchas gracias  ;)
En línea

"Todos los días perdemos una docena de genios en el anonimato. Y se van. Y nadie sabe de ellos, de su historia, de su peripecia, de lo que han hecho, de sus angustias, de sus alegrías. Pero al menos una docena de genios se van todos los días sin que sepamos de ellos". - Juan Antonio Cebrián
Páginas: 1 2 3 4 [5] 6 7 8 Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Modulos para ww2.0.2
Wireless en Linux
marisiverce 0 1,623 Último mensaje 15 Abril 2011, 02:55 am
por marisiverce
Ayuda implementando modulos
ASM
Vaagish 0 2,323 Último mensaje 14 Mayo 2013, 22:06 pm
por Vaagish
[PHYTON-AYUDA] ¿Donde guardar modulos para luego importarlos?
Scripting
Santi__ 2 2,057 Último mensaje 25 Febrero 2016, 20:47 pm
por LaThortilla (Effort)
ayuda con modulos
Programación General
kerberos91 1 2,278 Último mensaje 28 Septiembre 2018, 03:49 am
por Captain Nemo
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines