Крипторы (только в этом топике)

[User312]

Исходя из своих догадок и опыта попытаюсь объяснить принцип работы проги Av Devil от SEDDTO.

Проверяя файл она создает какието тестовые .tmp файлы и если антивирус на них реагирует то продолжает поиски пока не дойдет до чистых значений. Вот так вот находятся сигнатуры... То есть работает даже на новых троянах и крипторах а также и с новыми антивирусами (хотя тут спорно, на моем KIS'е 7.0.0.125 не работал, а вот на Nod32 все норм... думаю на KAV будет рабить) Если разбемся... то поиски сигнатур можно будет сильно облегчить =)

[Killerkod]

Выкладывай сюда эту прогу, всем народом разбирать будем;)

[[-=OniX=-]]

попробовоть то надо:)

[User312]

Выкладывай сюда эту прогу, всем народом разбирать будем;)
Ты секретики зажал? зажал... вот теперь я пока не разберусь в паблик хер выложу :)

[Killerkod]

Ааа... так это ты? Ну не выкладывай, один фиг найду если она есть... Потом выложу.

[Грот]

я думаю я закончу ваш спор http://dlbaze.org/show_451.html


и перевод примерный
Описание: AV Devil используется, чтобы Сканировать в серверах RAT offsets. Можно обрабатывать ее позже в редакторе HEX и получать сервер таким образом

[User312]

Ладно пх, выкладываю ссылку сразу на 3 версии AV Devil
http://www.rapidshare.ru/558726
Статья на русском как юзать:
http://blietzcrieg.front.ru/av1.html

Разбираемся, о ваших успехах просьба отписаться в этой теме ^_^

[stalin]

бррр =\\\ открываете омереку ?))) http://st.biz.ly/sigs.html статейка по автоматическому поиску сигнатур =\\\ аля использование софтин по типу AV Devil, SignatureZero и т.п. :PP лукайте

[REDvp]

User312ъ
какой пароль-то?

[Black dead]

User312ъ
какой пароль-то?

пасс на архив dlbaze.org

[User312]

Ooops забыл пароль сказать :)
ПАСС НА АРХИВ avfuck
вскоре выложу еще программ из этой темы, вообще их достаточно много, штук 5 мб наберется.. ждите :)

[spawn89]

spawn89 Гм. Понятненько. Интересно только от куда они эти "сигны с какого по какой байт" взяли. :) Не уж-то опытным путем )))

А Парсить AVP базы было бы круто )
ну я вапче встречал сайты и форумы где сидят мазафакеры-реверсеры и вскрывают всю заразу кот находют...
а птом сигнатуры собирают в "базы" и рассылают антивирусникам...
на каком то форуме видел как припарировали покупные криптары, недогадываясь что у другой копии уже другие сигнатуры...

[User312]

Продолжая тему Offsets Finders (Поисковики сигнатур)

Прочитал я значит статейку Сталина ( http://st.biz.ly/sigs.html )... very good.

Правда SignatureZero работает очень медленно по сравнению с Av Fucker 3 beta...

Вот линк для ленивых :) пользуйтесь!
http://rapidshare.com/files/87829367/AVFuckerbeta3.rar.html (пароль avfuck)

[Lamia]

В тему:
http://www.xakep.ru/magazine/xa/105/112/1.asp

[alexman90]

User312 супер... спасиб что дал почитать)) и спасибо Сталину! Lamia и тебе спасибо)) за маитериал полезный)

[Petr]

нужен криптор чтобы не палил касперский, реально?

[Slip]

Что значит не палил? При файловом сканировании или проактивно?

[Petr]

И при скане и при работе

[Slip]

Первое - эксперименты с крипторами/пакерами, второе только руками и за $$$$

[Грот]

от каспера легко прятать он в основном по сигнатурап палит возми любой криптор который не так давно в паблике криптони им свой трой открой дизбалансером поменяй немного код не нарушая его работоспасобность и готово

р.с возми к примеру криптор FreeCryptor 03 003 или SCrypt v.0.2.c

[Killerkod]

Только при запуске проактивка всеравно спалит.

[Belfigor]

Только при запуске проактивка всеравно спалит.

верно , только Каспер палит ещё в одном случаи , если включен эвристик , на днях тестих, при не включёном эвристике не палит , млин включил эвристик , тут же гад завижял , мол трой (модификация) :(

[stalin]

сменой даты вырубается проактивка =\\\\\

[Hellsp@wn]

смена даты на новых версия кашперского не канает :) не обольщайтесь...

[Mo4x]

hs_alex
Кого интересует, как спрататься от Av, стучите 490-222-752 (или в ПМ)
Спрятать что трой иле вирус ну это не важно надеюсь что было бы
прилично ствоей стороны поделится твоими знаниями в том как спрятать трой,вирус от Ав со стальными тем болие + не помешают тебе для поднятия статуса .

[hs_alex]

Свой пост отменяю, бес попутал, срочно понадобились мани. Тему палить не буду. Могу только сказать, что Каспера можно аккуратненько положить, чтобы не вякал, далее делай, что хочешь. Второе - я добился, что при включенной детальной эвристике, проверка (незашифрованного и несжатого) файла проходит на Ура, палится только во время работы доступ к защищенному хранилищу и "Hidden data send".
Желаю всем удачи.

[zl0y]

Специально для тех криптует руками,сделал генератор мусора...
генерит опкоды вида:
9C9D
88DB
87C9
FC
FC

что эквалиентно коммандам ассемблера:

PUSHFD
POPFD
MOV BL, BL
XCHG ECX, ECX
CLD
CLD
генерит в HEX опкодах,подгонять под массивы типа array в delphi или db в ассемблере я не стал,так как может кто то будет вставлять через HEX редактор,опкоды идут по 1 на строчку,тоесть 1 строка это целый опкод,мусор не модифицирует флаги,значения регистров и.т.д(тоесть не влияет на код) и следите за оффсетами,когда вставляете мусор !!! Все это добро можно утянуть тут : http://slil.ru/25454029 24kb,в архиве .exe+исходники :) также генератор мусора можно использовать как основу для ваших движков...все в ваших руках ;)

[Black dead]

zl0y что то твой генератор не бычит у меня , да и вирус тотал потом показал давольно страный отчет с этого генератора
AhnLab-V3 2008.2.6.10 2008.02.05 -
AntiVir 7.6.0.62 2008.02.08 TR/Crypt.ULPM.Gen
Authentium 4.93.8 2008.02.08 -
Avast 4.7.1098.0 2008.02.08 Win32:JunkPoly
AVG 7.5.0.516 2008.02.08 -
BitDefender 7.2 2008.02.09 -
CAT-QuickHeal None 2008.02.08 -
ClamAV 0.92 2008.02.09 -
DrWeb 4.44.0.09170 2008.02.08 -
eSafe 7.0.15.0 2008.01.28 suspicious Trojan/Worm
eTrust-Vet 31.3.5522 2008.02.08 -
Ewido 4.0 2008.02.08 -
FileAdvisor 1 2008.02.09 -
Fortinet 3.14.0.0 2008.02.08 -
F-Prot 4.4.2.54 2008.02.08 -
F-Secure 6.70.13260.0 2008.02.08 -
Ikarus T3.1.1.20 2008.02.09 Trojan-Dropper.Win32.MultiJoiner.17
Kaspersky 7.0.0.125 2008.02.09 -
McAfee 5226 2008.02.08 New Malware.bl
Microsoft 1.3204 2008.02.09 -
NOD32v2 2861 2008.02.09 -
Norman 5.80.02 2008.02.08 -
Panda 9.0.0.4 2008.02.08 -
Prevx1 V2 2008.02.09 -
Rising 20.29.22.00 2008.01.30 -
Sophos 4.26.0 2008.02.09 Mal/HckPk-A
Sunbelt 2.2.907.0 2008.02.09 VIPRE.Suspicious
Symantec 10 2008.02.09 -
TheHacker 6.2.9.213 2008.02.09 -
VBA32 3.12.6.0 2008.02.09 -
VirusBuster 4.3.26:9 2008.02.08 -
Webwasher-Gateway 6.6.2 2008.02.09 Trojan.Crypt.ULPM.Gen
Additional information
File size: 13714 bytes
MD5: 1c4f63dafbcc51fc5a048ee98c6193c2
SHA1: c8ee422f5ba26514e21f075d68a1ab9a51745b4e
PEiD: -
packers: UPX
packers: UPX

[zl0y]

zl0y что то твой генератор не бычит у меня , да и вирус тотал потом показал давольно страный отчет с этого генератора
AhnLab-V3 2008.2.6.10 2008.02.05 -
AntiVir 7.6.0.62 2008.02.08 TR/Crypt.ULPM.Gen
Authentium 4.93.8 2008.02.08 -
Avast 4.7.1098.0 2008.02.08 Win32:JunkPoly
AVG 7.5.0.516 2008.02.08 -
BitDefender 7.2 2008.02.09 -
CAT-QuickHeal None 2008.02.08 -
ClamAV 0.92 2008.02.09 -
DrWeb 4.44.0.09170 2008.02.08 -
eSafe 7.0.15.0 2008.01.28 suspicious Trojan/Worm
eTrust-Vet 31.3.5522 2008.02.08 -
Ewido 4.0 2008.02.08 -
FileAdvisor 1 2008.02.09 -
Fortinet 3.14.0.0 2008.02.08 -
F-Prot 4.4.2.54 2008.02.08 -
F-Secure 6.70.13260.0 2008.02.08 -
Ikarus T3.1.1.20 2008.02.09 Trojan-Dropper.Win32.MultiJoiner.17
Kaspersky 7.0.0.125 2008.02.09 -
McAfee 5226 2008.02.08 New Malware.bl
Microsoft 1.3204 2008.02.09 -
NOD32v2 2861 2008.02.09 -
Norman 5.80.02 2008.02.08 -
Panda 9.0.0.4 2008.02.08 -
Prevx1 V2 2008.02.09 -
Rising 20.29.22.00 2008.01.30 -
Sophos 4.26.0 2008.02.09 Mal/HckPk-A
Sunbelt 2.2.907.0 2008.02.09 VIPRE.Suspicious
Symantec 10 2008.02.09 -
TheHacker 6.2.9.213 2008.02.09 -
VBA32 3.12.6.0 2008.02.09 -
VirusBuster 4.3.26:9 2008.02.08 -
Webwasher-Gateway 6.6.2 2008.02.09 Trojan.Crypt.ULPM.Gen
Additional information
File size: 13714 bytes
MD5: 1c4f63dafbcc51fc5a048ee98c6193c2
SHA1: c8ee422f5ba26514e21f075d68a1ab9a51745b4e
PEiD: -
packers: UPX
packers: UPX
там пакованный upx+своим криптором.
Вобще проблемы невижу в папке source есть второй .exe он ничем не запакован,все должно работать,проверь :)

[BEast]

Тем более там есть исxодник.
Если паранойя совсем замучала, изучи его и откомпиль сам. ;)
zl0y, спс за сорс, будет время - почитаю.

[Black dead]

там пакованный upx+своим криптором.
Вобще проблемы невижу в папке source есть второй .exe он ничем не запакован,все должно работать,проверь :)


zl0y у мню он тоже не работает :mad:

[zl0y]

Вот перезалил...http://slil.ru/25454089 проверь еще раз :)

[Slip]

Не работает =\ Xpsp2.

В оконной процедуре всегда возвращай FALSE.

Функция GenerateRubbish чем-то напомнила морфиновскую GenerateRubbishCode :)

[Грот]

у меня все работает ОС 2000 респект

[Isis]

WinCrypt v1.0
http://pearmor.com/up_files/image/winkript.png

Download:
http://rapidshare.com/files/91402351/winkript.rar

Файлы не проверен!!!
Я не несу ответственность за его использование и последствия!!!

-----------------------------------------------------------

Krypton the Krypter v0.5
http://pearmor.com/up_files/image/Krypton.png

Download:
http://rapidshare.com/files/91401661/Krypton.rar

Файлы не проверен!!!
Я не несу ответственность за его использование и последствия!!!

-----------------------------------------------------------

Alex Protector 1.0
http://pearmor.com/up_files/image/Alex.png

Download:
http://rapidshare.com/files/91402067/Alex.rar

Файлы не проверен!!!
Я не несу ответственность за его использование и последствия!!!

-----------------------------------------------------------

DarkCrypt 1.2 Private
http://pearmor.com/up_files/image/DarkCrypt.png

Download:
http://rapidshare.com/files/91399710/DarkCrypt.rar

Файлы не проверен!!!
Я не несу ответственность за его использование и последствия!!!

-----------------------------------------------------------

FlyCrypter 1.0
http://pearmor.com/up_files/image/f1ycryptor.jpg

Download:
http://rapidshare.com/files/91399745/flycryptor.rar

Файлы не проверен!!!
Я не несу ответственность за его использование и последствия!!!
© underground.com

[Грот]

DarkCrypt 1.2 Private это знаменитая переделка криптора глофа

одного я не понял FlyCryptor1 версии выкладываешь а скрин 4версии ???

[x_iLLuSiOn]

ни одним криптором не удалось нормально закриптовать пинч от каспера :/

[~Real F@ck!~]

хм, тут много написанно как "редактировать" крипторы опен соурс\не опен соурс. Так что юзай тему.

[Killerkod]

ни одним криптором не удалось нормально закриптовать пинч от каспера :/
А ты попробуй взять два криптора. Сначала одним криптануть, потом другим. Мож получится?

[cash$$$]

можно просто заархивиравать трой с паролем (антивире не могут проверять запароленные архивы) и в тексте письма указать пароль к архиву

[zl0y]

можно просто заархивиравать трой с паролем (антивире не могут проверять запароленные архивы) и в тексте письма указать пароль к архиву
SFX или RAR,ZIP,ACE,UHA,7-ZIP архивы для запуска извлекают файл в %Temp% папку,любой ав у которого кое как развиты хуки запросто словит виря :)

[Killerkod]

Вот вам криптор чтоб прятать файлы от касперыча.

Вот скрин проверки на джотти:
http://i028.radikal.ru/0802/a0/16a0a4fa1313.jpg

Результат не очень, но пробуйте в сочитании с другим криптором, чтоб добиться хорошего результата!

Качать тут:
http://ifolder.ru/5380149 [123]

[Shawn1x]

Fri Cryptor Polymorph v1[1].0
http://img517.imageshack.us/img517/9819/62046344xx4.jpg (http://imageshack.us)
http://img517.imageshack.us/img517/9819/62046344xx4.cb666a1bdf.jpg (http://g.imageshack.us/g.php?h=517&i=62046344xx4.jpg)

Fri Cryptor Polymirphv[1].0 (http://rapidshare.com/files/92354292/Fri_Cryptor_Polymorph_v1_1_.0.rar.html)

Качаете на свой страх и риск

[gold-goblin]

Fri Cryptor Polymirphv[1].0
платный вроде....
надо глофа спросить выкладывал он его или уплыл сам =)

[Shawn1x]

Fri Cryptor Polymirphv[1].0
платный вроде....
надо глофа спросить выкладывал он его или уплыл сам =)
Он уже палится практически всеми антивирусами

[NeXArmAor]

А я рискнул....короче,нихера это не Fri Cryptor...это наёпка,которая дропит в папке с криптуемым файлом Трой под названием Crypt.exe...по крайней мере у меня ни один файл не закриптовался. Фуфло(

[Lamia]

Хуего криптуем!Там тофарищи лоадер!

0040B208 . 68 74 74 70 3>ASCII "http://sypercasi"
0040B218 . 6E 6F 2E 63 6>ASCII "no.com/file/file"
0040B228 . 32 2E 65 78 6>ASCII "2.exe",0
0040B22E 00 DB 00
0040B22F 00 DB 00
0040B230 . 68 74 74 70 3>ASCII "http://sypercasi"
0040B240 . 6E 6F 2E 63 6>ASCII "no.com/file/file"
0040B250 . 31 2E 65 78 6>ASCII "1.exe",0
0040B256 00 DB 00
0040B257 00 DB 00
0040B258 . 68 74 74 70 3>ASCII "http://sypercasi"
0040B268 . 6E 6F 2E 63 6>ASCII "no.com/file/file"
0040B278 . 33 2E 65 78 6>ASCII "3.exe",0
0040B27E 00 DB 00
0040B27F 00 DB 00
0040B280 . 68 74 74 70 3>ASCII "http://sypercasi"
0040B290 . 6E 6F 2E 63 6>ASCII "no.com/file/file"
0040B2A0 . 34 2E 65 78 6>ASCII "4.exe",0
0040B2A6 00 DB 00
0040B2A7 00 DB 00
0040B2A8 26 DB 26 ; CHAR '&'
0040B2A9 3D DB 3D ; CHAR '='
0040B2AA 4F DB 4F ; CHAR 'O'
0040B2AB 38 DB 38 ; CHAR '8'
0040B2AC . C2 8237 RETN 3782
0040B2AF B8 DB B8
0040B2B0 F3 DB F3
0040B2B1 24 DB 24 ; CHAR '$'
0040B2B2 42 DB 42 ; CHAR 'B'
0040B2B3 03 DB 03
0040B2B4 17 DB 17
0040B2B5 9B DB 9B
0040B2B6 3A DB 3A ; CHAR ':'
0040B2B7 83 DB 83
0040B2B8 . 68 74 74 70 3>ASCII "http://sypercasi"
0040B2C8 . 6E 6F 2E 63 6>ASCII "no.com/file/file"
0040B2D8 . 35 2E 65 78 6>ASCII "5.exe",0

0040D160 . 5A 3A 5C 58 5>ASCII "Z:\X\Mode Crypt\"
0040D170 . 62 69 74 73 6>ASCII "bitsloader.exe",0

[Lamia]

Вот анпакнутый и раскриптованный файл!
http://slil.ru/25481480
Короче это фейк с лоадером!Запакованный аспаком
и криптованный модефецированным фри круптором!

[n0153r]

Fri Cryptor Polymorph v1[1].0
http://img517.imageshack.us/img517/9819/62046344xx4.jpg (http://imageshack.us)
http://img517.imageshack.us/img517/9819/62046344xx4.cb666a1bdf.jpg (http://g.imageshack.us/g.php?h=517&i=62046344xx4.jpg)

Fri Cryptor Polymirphv[1].0 (http://rapidshare.com/files/92354292/Fri_Cryptor_Polymorph_v1_1_.0.rar.html)

Качаете на свой страх и риск
Боян }:) проверяй перед тем как что-нить кидать на фоурм...

[xhar]

RCryptorPrivateVersion 1.3

Не палиться на АнтиВире с последними обновлениями.Спасибо =)

[Geronimo...]

Подскажите пожалуйста кто знает в чем проблема –
пять месяцев назад я без проблем криптовал и скреплял разные файлы, и отправлял на email , но сегодня эти и даже новосделаные почему-то не проходят с одного email на другой ( к примеру “rambler.ru”). Может это Файрвол палит ? То что делать ? Ведь антивирусные проги для меня не проблема – тоесть от них криптовать у меня нет особой нужды. И отчеты не приходят, проверяю на своем компе.
СПАСИБО !

[SQL]

ZeldaCrypt.PKDooM2007
http://img176.imageshack.us/img176/6381/zeldapu1.jpg
Cкачать (http://rapidshare.com/files/83092774/ZeldaCrypt.PKDooM2007.rar.html)

Pussy Crypter v2
http://i26.tinypic.com/6od3ya.jpg
Скачать (http://p4ppfzjnr5dkyll9izqubbw.usercash.com/)

Simple Crypter v2
http://i32.tinypic.com/2w33sx2.jpg
Скачать (http://p4ppys8xvmuvw2fm3s3ged.usercash.com/)

NoodleCrypt 2.0
http://i27.tinypic.com/s3n9es.jpg
Скачать (http://p4ppvbpyg2qybjnbcl8odn.usercash.com/)

- Deamon Crypt V2 Public (mod) (http://www.file-upload.net/download-661648/Daemon-Crypt-V2---FUD.rar.html)

- STUD 1.0 (encriptador) пароль : swerat.com (http://medlem.spray.se/marjinz1/studv1.0.rar)

- Themida V1.8.0.0 demo - CRACKED (encriptador) (http://rapidshare.com/files/4559817/Thda1.8dm0crckd.7z.html)

- Private exe Protector 2.0 (http://www.setisoft.com/ru/redirect.php?dlid=90)

[--exe--]

Последние 2, не крипторы а пакеры...

[Killerkod]

ZeldaCrypt.PKDooM2007 прикрепляет к криптуемуму файлу лоадер

[SQL]

K!Cryptor 0.11
http://i27.tinypic.com/e9ui3n.jpg

Download (http://p4pp5aoutlarjwzkzfv0.usercash.com)

[Lamia]

K!Cryptor 0.11
http://i27.tinypic.com/e9ui3n.jpg

Download (http://p4pp5aoutlarjwzkzfv0.usercash.com)
Ты дурак или что?

[x_iLLuSiOn]

че там?

[xxChaoSxx]

Ты дурак или что?
а что случилось то ? :)

[_Sniper_]

а что случилось то ? :)
Фейк наверно

[Грот]

Фейк наверно

в таких случиях ножно проверять а не тратить время на никчемный пост

сори за ОФ ТОП :)

А по делу вроде все норм паковка FSG 2.0

можно распаковать но лень возиться с импортом
без распаковки говорить пока не очем

фаил чист :)

[Грот]

размыщление о криптографии
взял я как то криптор RCryptor 1.6с и задался целью унать как же всетаки детектяк антивири
так как этот криптор в паблике то можно смело тестить на джоти (хотя это тоже зло)
итак открываем криптованый пинчь от слеша в ольги при этом отключаем анализ (чтоб не мутил воду)и смотрим 3 цикла декриптора
т.е к каждой секции криптор пременил свой алгоритм криптовки хор итак начинаем их уберать забивая нопами и видм и отпровляем на проверку (моя цель не прятать от каспера так как у него эвристик почти не работает и он детектит только по стабу по этому он нас не интересует стоит немного изменить стаб и все про каспера забыли) прокручу вперед нудную проверку и вот результат все палят только по первому циклу дальше наверное их не интересует смотрим цикл декрипта

13178015 B8 00101413 MOV EAX, pinch.13141000
1317801A 3D 007E1413 CMP EAX, pinch.13147E00
1317801F 74 06 JE SHORT pinch.13178027
13178021 8030 D7 XOR BYTE PTR DS:[EAX], 0D7
13178024 40 INC EAX
13178025 ^ EB F3 JMP SHORT pinch.1317801A

думаю разберать его нет смысла и так все ясно хотя для навечков напишу чтоб было понятно

MOV EAX, pinch.13141000 вставляет значение 13141000 в операнд EAX (13141000 это значение соотвецтвует началу кода криптованой программы т.е пинча)
CMP EAX, pinch.13147E00 сравнивает значение операнда EAX с 13147E00 (естественно оно отличаеться потому как мы только что воткнули туда 13141000 )
JE SHORT pinch.13178027 так как после сравнения выше результат был не равны по этому ничего не делаем если же подходит то прыгаем и цикла дальше (13147E00 это значение конца кода тоесть секции кода)
XOR BYTE PTR DS:[EAX], 88собственно дешифровка (берет значение еах из дампа а там находиться криптованый кусок програмы раскриптовывает и ставит на место)
INC EAX прибовляет 1 к EAX (если там было 13141000 то будет 13141001 что соотвецтвует второму символу кода криптованой программы)
JMP SHORT pinch.1317801A это прыжок на (CMP EAX, pinch.13147E00) и цикл повторяеться
за исключением того что в еах значение 13141001 и происходит декодировка второго символа
ИТД как ты понял после так этого цикла все байты криптованой
программы кода реаскриптовываються и значение еах становиться 13147E00 тогда при сравнении нас выкидывает из цыкла

надеюсь сечас стало все понятно так как я убил на эту писанину 2 мин
если нет то СРОЧНО прекрати читать дальше и посмотри мультики по ТНТ будет полезнее

ой о чем это я ах да криптовка теперь о решении задачи есть 2 варианта а то и больше если быть точнее то нод детектит именно вот это XOR BYTE PTR DS:[EAX], 0D7 ну а если еще точнее то его эвристик заходить по этому алгоритму 0D7
ракриптовывая этот кусок программы и арет вывод нужно запутать эвристик так чтобы нод замучился искать хе хе и не только он
к примеру можно закриптовать этот кусок предварительно вставив туда декриптор если хватит места ибо его там не очень много я имею в виду свободного можно попробовать закинуть цифру алгоритма в стек и ли еще куда ну это вам решать удачной криптовки


п.с
если что не так извеняйте голова болит жудко (похмелье) Парни с праздником вас !

[Gy9vin]

сегодня криптонул криптером 3 месячной давности вот результаы

AhnLab-V3 2008.2.22.0 2008.02.22 -
AntiVir 7.6.0.67 2008.02.22 -
Authentium 4.93.8 2008.02.24 -
Avast 4.7.1098.0 2008.02.23 -
AVG 7.5.0.516 2008.02.24 -
BitDefender 7.2 2008.02.24 -
CAT-QuickHeal 9.50 2008.02.22 (Suspicious) - DNAScan
ClamAV 0.92.1 2008.02.24 -
DrWeb 4.44.0.09170 2008.02.24 -
eSafe 7.0.15.0 2008.02.21 suspicious Trojan/Worm
eTrust-Vet 31.3.5557 2008.02.23 -
Ewido 4.0 2008.02.24 -
FileAdvisor 1 2008.02.24 -
Fortinet 3.14.0.0 2008.02.24 -
F-Prot 4.4.2.54 2008.02.23 -
F-Secure 6.70.13260.0 2008.02.23 Suspicious:W32/Malware!Gemini
Ikarus T3.1.1.20 2008.02.24 -
Kaspersky 7.0.0.125 2008.02.24 -
McAfee 5236 2008.02.22 -
Microsoft 1.3204 2008.02.24 -
NOD32v2 2898 2008.02.23 unpack error
Norman 5.80.02 2008.02.22 Suspicious_F.gen
Panda 9.0.0.4 2008.02.24 -
Prevx1 V2 2008.02.24 -
Rising 20.32.62.00 2008.02.24 -
Sophos 4.26.0 2008.02.24 Sus/UnkPacker
Sunbelt 3.0.893.0 2008.02.23 -
Symantec 10 2008.02.24 -
TheHacker 6.2.9.228 2008.02.23 -
VBA32 3.12.6.1 2008.02.21 -
VirusBuster 4.3.26:9 2008.02.24 Packed/FSG
Webwasher-Gateway 6.6.2 2008.02.24 Win32.Malware.gen#FSG (suspicious)

[iddqd]

даже 6/32 - плохой результат, хотя для паблика..... так себе

[Killerkod]

Если кому надо, криптану нахаляву пинча от слеша 2.99. Другие не криптану!
Результат крипта так себе... Но каспер и нод не палят.
Кому надо, пишите в личку и давайте сразу линк на скачку файла в архиве под пассом. Как криптану, напишу с линком для скачки

[ZavodiJIo]

тут важно не то, сколько запалили, а сколько нет, а важно что запалило... Для меня если после крипта каспер, нод, аваст не палят, то это гуд.

[Killerkod]

Вот такой результат:
A-Squared Found nothing
AntiVir Found TR/Spy.Gen
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found PSW.Ldpinch.11.AS
BitDefender Found MemScan:Trojan.PWS.LDPinch.TJR
ClamAV Found nothing
CPsecure Found Troj.PSW.W32.LdPinch.cds
Dr.Web Found Trojan.Packed.152
F-Prot Antivirus Found Possibly a new variant of W32/new-malware!Maximus
F-Secure Anti-Virus Found nothing
Fortinet Found nothing
Ikarus Found Suspect code-parts (probable variant)
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found LdPinch.gen1
Panda Antivirus Found nothing
Rising Antivirus Found nothing
Sophos Antivirus Found Mal/Basine-C
VirusBuster Found nothing
VBA32 Found nothing
Кому надо, также криптану пинча от слеша. Пишите в личку и оставляйте сразу линк для скачки пинча в архиве

[Грот]

Если кому надо, криптану нахаляву пинча от слеша 2.99. Другие не криптану!
Результат крипта так себе... Но каспер и нод не палят.
Кому надо, пишите в личку и давайте сразу линк на скачку файла в архиве под пассом. Как криптану, напишу с линком для скачки

Killerkod а идея хороша вот только сколько твой сервис по криптовке продержиться если все начнут его тестить кто нить да и кинет на вирус тал

а по делу воть после твоего крипта если сжать фаил spack ом эфект будет круче палить будет только 4 антивиря

[Killerkod]

Если спалят, то почищу заново)))Мне это надо лишь для набора опыта...

[Грот]

скоро антивири начнут палить метод криптовки и чистка не поможет (конечно можно взять другой криптор и приготовиться к чистке)

[Pernat1y]

скоро антивири начнут палить метод криптовки и чистка не поможет (конечно можно взять другой криптор и приготовиться к чистке)
не думаю. большинство крипторов используют все те-же aPLib и lzma, которым уже немало лет.
но ведь не паляться-же )

[LEE_ROY]

дее, аплиб и лзма юзают пакеры а не крипторы, крипторы вбольшинстве своем юзает ксор, иногда рц4.

[Грот]

вот у глоффа в крипторе такая защита была а спалили всетаки хотя эвристик стаб так и не прошел просто палят не сам стаб нужно менять алгоритм шифровки
к стати о крипторе глоффа взял ся я его разабрать как же он всетаки раскриптовывает программу итак как обычно открываем в олге смотрип калл переход на стаб жмемь ф7 и мы в нем
далие идет цикл модификации сигментных регистров обычная ловушка для аверов
13178032 90 NOP
13178033 40 INC EAX
13178034 90 NOP
13178035 8A10 MOV DL, BYTE PTR DS:[EAX]
13178037 90 NOP
13178038 891424 MOV DWORD PTR SS:[ESP], EDX
1317803B 90 NOP
1317803C 90 NOP
1317803D D90424 FLD DWORD PTR SS:[ESP]
13178040 90 NOP
13178041 90 NOP
13178042 D9FA FSQRT
13178044 90 NOP
13178045 D95C24 FC FSTP DWORD PTR SS:[ESP-4]
13178049 90 NOP
1317804A 8B5C24 FC MOV EBX, DWORD PTR SS:[ESP-4]
1317804E 90 NOP
1317804F 81F3 C2FC1D1C XOR EBX, 1C1DFCC2
13178055 ^ 75 DB JNZ SHORT pinch.13178032
на ней мы заострять внимание не будем идем дальше

13178071 B9 10781413 MOV ECX, pinch.<ModuleEntryPoint>
13178076 C741 0C 2424E2B>MOV DWORD PTR DS:[ECX+C], B4E22424
1317807D C741 08 E230101>MOV DWORD PTR DS:[ECX+8], 121030E2
13178084 C741 04 4C10121>MOV DWORD PTR DS:[ECX+4], 1612104C
1317808B C701 CCF614C3 MOV DWORD PTR DS:[ECX], C314F6CC

если вы посмотрите в дамп ECX+C то увидите там начало программы от куда
мы ушли на стаб теперь хе мы вставляем туда вот эти значения разбирать это не будем кому
интиресно вернеться туда и посмотрит (там появились новые команды)
больше с этим возиться не будем идем дальше

13178093 68 177F1314 PUSH 14137F17
13178098 68 F8F8F8F8 PUSH F8F8F8F8
1317809D 68 07690707 PUSH 7076907
131780A2 68 07171314 PUSH 14131707
131780A7 68 8C030707 PUSH 707038C
131780AC 68 12861314 PUSH 14138612
131780B1 68 13060707 PUSH 7070613
131780B6 68 53811314 PUSH 14138153
131780BB 68 9C070707 PUSH 707079C
131780C0 68 628C1314 PUSH 14138C62
131780C5 68 07110707 PUSH 7071107
131780CA 68 07971314 PUSH 14139707
131780CF 68 07170707 PUSH 7071707
131780D4 68 07771014 PUSH 14107707
131780D9 68 EBFBF8E7 PUSH E7F8FBEB
131780DE 68 03230084 PUSH 84002303
131780E3 68 84C7EBC6 PUSH C6EBC784
131780E8 68 5F84EB87 PUSH 87EB845F
131780ED 68 CE4FFFF8 PUSH F8FF4FCE
131780F2 68 008E1627 PUSH 27168E00
131780F7 68 D9D0C4EC PUSH ECC4D0D9
131780FC 68 9E4F0FF9 PUSH F90F4F9E
13178101 68 0E4F27F8 PUSH F8274F0E
13178106 68 87100B6B PUSH 6B0B1087
1317810B 68 103E4F27 PUSH 274F3E10
13178110 68 2B2726EE PUSH EE26272B
13178115 68 7E4FF900 PUSH 0F94F7E
1317811A 68 018E161F PUSH 1F168E01
1317811F 68 8E26D100 PUSH 0D1268E
13178124 68 2B070707 PUSH 707072B
13178129 68 84C387EF PUSH EF87C384
1317812E 68 9797730F PUSH 0F739797
13178133 68 5F84EB87 PUSH 87EB845F
13178138 68 97863B23 PUSH 233B8697
1317813D 68 9784C32F PUSH 2FC38497
13178142 68 7305ECF8 PUSH F8EC0573
13178147 68 873F9797 PUSH 97973F87
1317814C 68 84C70047 PUSH 4700C784
13178151 68 9F318C04 PUSH 48C319F
13178156 54 PUSH ESP

на первый взглят можно подумать а зачем кидает в стек куча цифр
а это всего навсего набор инструкций
которые нужно раскриптовать
но как же это сделать??? а вот как!!

13178157 68 9C000000 PUSH 9C (помещает значение цикла в стек)
1317815C 59 POP ECX (достает и ставит куда нужно)
1317815D 83740C 03 07 XOR DWORD PTR SS:[ESP+ECX+3], 7 собственно раскриптовка
13178162 ^ E2 F9 LOOPD SHORT pinch.1317815D цикл а будет повторяться 9C раз
после мы падаем на ретн и самое верхнее письмо скажет нам куда прыгнуть а именно 0012FF24
а это и есть в стек и начинаем выполнять те комады которые мы
туда закинули (гениально придумано)

если тут я не прав поправте меня ибо не уверен на 100%

кому интересно вот эти команды мы закидываем в стек

0012FF25 FF12 CALL DWORD PTR DS:[EDX]
0012FF27 009F 318C0484 ADD BYTE PTR DS:[EDI+84048C31], BL
0012FF2D C700 47873F97 MOV DWORD PTR DS:[EAX], 973F8747
0012FF33 97 XCHG EAX, EDI
0012FF34 73 05 JNB SHORT 0012FF3B
0012FF36 EC IN AL, DX ; I/O command
0012FF37 F8 CLC
0012FF38 97 XCHG EAX, EDI
0012FF39 84C3 TEST BL, AL
0012FF3B 2F DAS
0012FF3C 97 XCHG EAX, EDI
0012FF3D 863B XCHG BYTE PTR DS:[EBX], BH
0012FF3F 235F 84 AND EBX, DWORD PTR DS:[EDI-7C]
0012FF42 ^ EB 87 JMP SHORT 0012FECB
0012FF44 97 XCHG EAX, EDI
0012FF45 97 XCHG EAX, EDI
0012FF46 73 0F JNB SHORT 0012FF57
0012FF48 84C3 TEST BL, AL
0012FF4A 87EF XCHG EDI, EBP
0012FF4C 2B07 SUB EAX, DWORD PTR DS:[EDI]
0012FF4E 07 POP ES ; Modification of segment register
0012FF4F 07 POP ES ; Modification of segment register
0012FF50 8E26 MOV FS, WORD PTR DS:[ESI] ; Modification of segment register
0012FF52 D100 ROL DWORD PTR DS:[EAX], 1
0012FF54 018E 161F7E4F ADD DWORD PTR DS:[ESI+4F7E1F16], ECX
0012FF5A F9 STC
0012FF5B 002B ADD BYTE PTR DS:[EBX], CH
0012FF5D 27 DAA
0012FF5E 26:EE OUT DX, AL ; I/O command
0012FF60 103E ADC BYTE PTR DS:[ESI], BH
0012FF62 4F DEC EDI
0012FF63 27 DAA
0012FF64 8710 XCHG DWORD PTR DS:[EAX], EDX
0012FF66 0B6B 0E OR EBP, DWORD PTR DS:[EBX+E]
0012FF69 4F DEC EDI
0012FF6A 27 DAA
0012FF6B F8 CLC
0012FF6C 9E SAHF
0012FF6D 4F DEC EDI
0012FF6E 0FF9D9 PSUBW MM3, MM1
0012FF71 D0C4 ROL AH, 1
0012FF73 EC IN AL, DX ; I/O command
0012FF74 008E 1627CE4F ADD BYTE PTR DS:[ESI+4FCE2716], CL
0012FF7A FFF8 ??? ; Unknown command
0012FF7C 5F POP EDI
0012FF7D 84EB TEST BL, CH
0012FF7F 8784C7 EBC60323 XCHG DWORD PTR DS:[EDI+EAX*8+2303C6EB>
0012FF86 0084EB FBF8E707 ADD BYTE PTR DS:[EBX+EBP*8+7E7F8FB],>
0012FF8D 77 10 JA SHORT 0012FF9F
0012FF8F 14 07 ADC AL, 7
0012FF91 17 POP SS ; Modification of segment register
0012FF92 07 POP ES ; Modification of segment register
0012FF93 07 POP ES ; Modification of segment register
0012FF94 07 POP ES ; Modification of segment register
0012FF95 97 XCHG EAX, EDI
0012FF96 131407 ADC EDX, DWORD PTR DS:[EDI+EAX]
0012FF99 1107 ADC DWORD PTR DS:[EDI], EAX
0012FF9B 07 POP ES ; Modification of segment register
0012FF9C 628C13 149C0707 BOUND ECX, QWORD PTR DS:[EBX+EDX+7079C>
0012FFA3 07 POP ES ; Modification of segment register
0012FFA4 53 PUSH EBX
0012FFA5 8113 14130607 ADC DWORD PTR DS:[EBX], 7061314
0012FFAB 07 POP ES ; Modification of segment register
0012FFAC 1286 13148C03 ADC AL, BYTE PTR DS:[ESI+38C1413]
0012FFB2 07 POP ES ; Modification of segment register
0012FFB3 07 POP ES ; Modification of segment register
0012FFB4 07 POP ES ; Modification of segment register
0012FFB5 17 POP SS ; Modification of segment register
0012FFB6 131407 ADC EDX, DWORD PTR DS:[EDI+EAX]
0012FFB9 6907 07F8F8F8 IMUL EAX, DWORD PTR DS:[EDI], F8F8F80>
0012FFBF F8 CLC
0012FFC0 17 POP SS ; Modification of segment register
0012FFC1 7F 13 JG SHORT 0012FFD6
0012FFC3 14 F5 ADC AL, 0F5
а вот что стало с нимипосле раскриптовки

0012FF25 FF12 CALL DWORD PTR DS:[EDX]
0012FF27 0098 368B0383 ADD BYTE PTR DS:[EAX+83038B36], BL
0012FF2D C007 40 ROL BYTE PTR DS:[EDI], 40 ; Shift constant out of range 1..31
0012FF30 8038 90 CMP BYTE PTR DS:[EAX], 90
0012FF33 90 NOP
0012FF34 74 02 JE SHORT 0012FF38
0012FF36 EB FF JMP SHORT 0012FF37
0012FF38 90 NOP
0012FF39 83C4 28 ADD ESP, 28
0012FF3C 90 NOP
0012FF3D 813C24 5883EC80 CMP DWORD PTR SS:[ESP], 80EC8358
0012FF44 90 NOP
0012FF45 90 NOP
0012FF46 74 08 JE SHORT 0012FF50
0012FF48 83C4 80 ADD ESP, -80
0012FF4B E8 2C000000 CALL 0012FF7C
0012FF50 8921 MOV DWORD PTR DS:[ECX], ESP
0012FF52 D6 SALC
0012FF53 07 POP ES ; Modification of segment register
0012FF54 06 PUSH ES
0012FF55 8911 MOV DWORD PTR DS:[ECX], EDX
0012FF57 1879 48 SBB BYTE PTR DS:[ECX+48], BH
0012FF5A FE07 INC BYTE PTR DS:[EDI]
0012FF5C 2C 20 SUB AL, 20
0012FF5E 21E9 AND ECX, EBP
0012FF60 17 POP SS ; Modification of segment register
0012FF61 3948 20 CMP DWORD PTR DS:[EAX+20], ECX
0012FF64 8017 0C ADC BYTE PTR DS:[EDI], 0C
0012FF67 6C INS BYTE PTR ES:[EDI], DX ; I/O command
0012FF68 0948 20 OR DWORD PTR DS:[EAX+20], ECX
0012FF6B FF99 4808FEDE CALL FAR FWORD PTR DS:[ECX+DEFE0848] ; Far call
0012FF71 D7 XLAT BYTE PTR DS:[EBX+AL]
0012FF72 C3 RETN
0012FF73 EB 07 JMP SHORT 0012FF7C
0012FF75 8911 MOV DWORD PTR DS:[ECX], EDX
0012FF77 20C9 AND CL, CL
0012FF79 48 DEC EAX
0012FF7A F8 CLC
0012FF7B FF58 83 CALL FAR FWORD PTR DS:[EAX-7D] ; Far call
0012FF7E EC IN AL, DX ; I/O command
0012FF7F 8083 C0ECC104 2>ADD BYTE PTR DS:[EBX+4C1ECC0], 24
0012FF86 07 POP ES ; Modification of segment register
0012FF87 83EC FC SUB ESP, -4
0012FF8A FFE0 JMP EAX
0012FF8C 0070 17 ADD BYTE PTR DS:[EAX+17], DH
0012FF8F 1300 ADC EAX, DWORD PTR DS:[EAX]
0012FF91 1000 ADC BYTE PTR DS:[EAX], AL
0012FF93 0000 ADD BYTE PTR DS:[EAX], AL
0012FF95 90 NOP
0012FF96 14 13 ADC AL, 13
0012FF98 0016 ADD BYTE PTR DS:[ESI], DL
0012FF9A 0000 ADD BYTE PTR DS:[EAX], AL
0012FF9C 65:8B1413 MOV EDX, DWORD PTR GS:[EBX+EDX]
0012FFA0 9B WAIT
0012FFA1 0000 ADD BYTE PTR DS:[EAX], AL
0012FFA3 005486 14 ADD BYTE PTR DS:[ESI+EAX*4+14], DL
0012FFA7 131401 ADC EDX, DWORD PTR DS:[ECX+EAX]
0012FFAA 0000 ADD BYTE PTR DS:[EAX], AL
0012FFAC 15 8114138B ADC EAX, 8B131481
0012FFB1 04 00 ADD AL, 0
0012FFB3 0000 ADD BYTE PTR DS:[EAX], AL
0012FFB5 101413 ADC BYTE PTR DS:[EBX+EDX], DL
0012FFB8 006E 00 ADD BYTE PTR DS:[ESI], CH
0012FFBB 00FF ADD BH, BH
0012FFBD FFFF ??? ; Unknown command
0012FFBF FF10 CALL DWORD PTR DS:[EAX]
0012FFC1 78 14 JS SHORT 0012FFD7
0012FFC3 13F5 ADC ESI, EBP


и вот появляеться новый цикл раскриптовки

0012FF3C 90 NOP
0012FF3D 813C24 5883EC80 CMP DWORD PTR SS:[ESP], 80EC8358
0012FF44 90 NOP
0012FF45 90 NOP
0012FF46 74 08 JE SHORT 0012FF50
0012FF48 83C4 80 ADD ESP, -80
0012FF4B E8 2C000000 CALL 0012FF7C
0012FF50 83C4 10 ADD ESP, 10



0012FF7C 58 POP EAX
0012FF7D 83EC 80 SUB ESP, -80
0012FF80 83C0 EC ADD EAX, -14
0012FF83 C10424 07 ROL DWORD PTR SS:[ESP], 7
0012FF87 83EC FC SUB ESP, -4
0012FF8A FFE0 JMP EAX

каждый из этих циклов можно разбирать я этого делать не буду дабы этот материал не для новечков

пока можно поразмышлять над этим
п.с
особая благодарность salamandra

[D1mka]

чувачки поделитесь криптором шоб нод непалил :)

[Pernat1y]

FreeCryptor gloff'a вроде не палиться

[Pernat1y]

пинч обыкновенный. Слэша
File: pinch.exe
SHA-1 Digest: fcea9e7ae4a2c0d74a90e4df285ddc26426ab0a3
Size: 41984 bytes
Detected Packer: None
Status: Infected or Malware (Confidence 77.27%)
Date Scanned: Wed Feb 27 21:29:57 +0000 2008

пинч + RLPack + FreeCryptor
File: pinch_crypted.exe
SHA-1 Digest: 8821af5ecd741a1d28f6f6d1742af31fe43a61b1
Size: 17580 bytes
Detected Packer: None
Status: Infected or Malware (Confidence 13.64%)
Date Scanned: Wed Feb 27 21:33:36 +0000 2008
(палиться Avira AntiVir, CPSecure, Sophos Sweep)


RLPack берем тут http://www.reversinglabs.com/download.html
FreeCryptor http://www.soft.glofff.com/

результаты крипта НЕ тестим на вирустотале и прочих

[x_iLLuSiOn]

а пинч от васьки на smtp данным способом не криптуется чтоб непалился? прост ща нет времени проверять

[nenormalnii]

почему-то при паковке самого пинча(слеша), пакер пишет что он уже сжат...

[Pernat1y]

почему-то при паковке самого пинча(слеша), пакер пишет что он уже сжат...
в смысле? билдер у них сжат UPX'ом
сам пинч жметься нормально с дефолтными настройками крипторов
хотя можеш на всякий случай PEID'ом глянуть...

[Atrakcion]

ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found PSW.Ldpinch.11.AS
BitDefender Found nothing
ClamAV Found nothing
CPsecure Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
F-Secure Anti-Virus Found nothing
Fortinet Found nothing
Ikarus Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found LdPinch.gen1
Panda Antivirus Found nothing
Rising Antivirus Found nothing
Sophos Antivirus Found Mal/Basine-C
VirusBuster Found nothing
VBA32 Found nothing


такой результат у моего троя, но клеить начинаю с фоткой - палится начинает по-черному :(

народ кто чем клеит?
зы ясное дело что приват джойнеры есть - не мой вариант

[Killerkod]

Зайди в тему про джоинеры и скачай последних парочку... Там есть чистые

[Pernat1y]

такой результат у моего троя, но клеить начинаю с фоткой - палится начинает по-черному :(

народ кто чем клеит?
зы ясное дело что приват джойнеры есть - не мой вариант

nsis'ом клей.
зы. какой криптор на джотти проверял?

[Atrakcion]

nsis'ом клей.
зы. какой криптор на джотти проверял?

фрикриптор с пакером

[Pernat1y]

фрикриптор с пакером
на предыдущей странице русским языком писал, что НЕ надо проверять на вирустотале и джотти.
через неделю оно будеть палиться всем подряд.
спасибо

[GOPPA]

на предыдущей странице русским языком писал, что НЕ надо проверять на вирустотале и джотти.
через неделю оно будеть палиться всем подряд.
спасибо
Абсолютно согласен. Я ранее криптовал в ручную постоянно, и проверял там. Примерно через неделю начинал палится. Сразам как проверишь отчёты на хост летят в течении примерно 2-х недель с виртуалок. Потом я на свои виртуалки поставил наши ходовые антивири...Протестил, и уже 4 месяца без палева. Замануха так сазать.. Облегчаем им работу таким образом.

[Gara]

а посоветуйте тогда где проверять а то просто может есть группа желающие кто будит проверять на своих машинах (группа желающих затем что как многие понимают что если поставить от 2 антивирах и болие, комп будит глючить)

[Lamia]

А нах!Если ты сам криптуеш?Но вышлиш ты пару раз,но и что!

[Pernat1y]

еще можеш поискать KIMS (последняя версия вроде 1.2)
оф. сайт - indetectables.net, провда их сейчас досят вроде )
она может скачивать движки антивирусов и проверять ими файл. получаеться что-то типа portable-версии антивируса, без установки и резидентного модуля

[=faraon=]

В тему: что за новые крипторы мато... э.. какието.. метоморфы чтоли.. чем они отличаются от поли?
Люди у меня мысль такая.. правда не в тему.. А что если написать простенькую проверку на вирусы типа вирустотал, только чтобы туда не чего не отправлялось?

[Killerkod]

Метаморфные крипторы не новые))) Там метод крипта совсем другой. И каждый раз криптуются по новому (не только сигна менятся как в поли). А написать проверку ет как? Есть проверки такие, просто платные...

[--exe--]

Видел где-то программу, которая позволяет установить несколько антивирусов на одну машину и делать проверки по-типу вирустотала, только локально, но она 2006 года выпуска и очень сырая. Найти бы что-нибудь по-новее было бы шикарно...

[~Real F@ck!~]

=faraon= метаморфный криптор по логике несуществует

[Pernat1y]

http://www.cracklab.ru/f/index.php?action=vthread&topic=10402&forum=7&page=-1
http://www.wasm.ru/forum/viewtopic.php?pid=152368

[MRAK9]

есть такая бага в антивирях(при проверке некоторых файлов системы антивирь видет что они от Microsoft или че-нить подобное... и автоматом ставит им зачет) так вот суть в том, что при крипте прогами Microsoft`а обычных файлов(типо изображений или видео) криптор дает им код(который приписывается к началу файла) и ативирь так же автоматом ставит зачет. Если их крипты делают такое, то есть ли способы передрать этот метод на крипт exe`ов?

[Pernat1y]

нету такого. антивири и в системных файлах иногда вири находят. потом пытаються быстренько руки поровнять )

[SQL]

Cryptic v1.5 Modded by Paloxus ( 7/32 ) (http://rapidshare.com/files/96005161/Cryptic_v1.5-Modded.exe.html)

Skull v1 UD by Mareek (http://rapidshare.com/files/94834949/Skull_v1_mod_by_Mareek.zip.html)

Skull v1 first time pub (http://rapidshare.com/files/94253663/Skull_v1.rar.html)

[Modd] OrbZ Crypter v1.x [FUD] (http://rapidshare.com/files/94242844/orbz_crypter_modd_haZl0oh.rar.html)

PW: haZl0oh4codesoft

KiRoV Crypter (http://rapidshare.com/files/87570442/kirovcryptderv3.rar)

http://www.imgimg.de/uploads/kirov40574566JPG.jpg

Marjinz Crypter+UD stub (http://xirror.com/spread/41484917/marinz-crypter.zip.html)
Passwort: codesoft.dl.am

UCrypt (http://rapidshare.com/files/87096902/UCrypt_.rar)

eXcalibur v1.03 (http://rapidshare.com/files/88827472/eXcalibur_v1.03.rar)

Tubby PI Cryptor - haZl0oh (http://rapidshare.com/files/48283601/final_tubby_PI_Crypt.rar)

PrivatePatcher fast FUD (http://rapidshare.com/files/84994485/Privat-Patcher.rar.html)

(c)с форума codesoft

[SQL]

Cryptic [A3arTh Edition]

http://nokhbah.org/up-pic/uploads/33783e9136.png

http://nokhbah.org/up-pic/uploads/34157b3ce1.png

Download (http://rapidshare.com/files/97479663/Crypt___A3arTh__.zip.html)

[CMEPTb]

Cryptic [A3arTh Edition] чота у меня после него пинч перестал работать пишет run time error 9 subscript out of range и не отправляет отчет пинч 2.99 от слеша

[Lamia]

Криптором,это назвать нельзя!Догодайтесь сами! :)

[z99k44]

Cryptic [A3arTh Edition] чота у меня после него пинч перестал работать пишет run time error 9 subscript out of range и не отправляет отчет пинч 2.99 от слеша
тоже самое и у меня.
выложите плиз самый последний любой не палящий криптор, который в паблике.

[CMEPTb]

Lamia а чо там к нему что то прилеплено чтоли ?

[CMEPTb]

тоже самое и у меня.
выложите плиз самый последний любой не палящий криптор, который в паблике.
KiRoV Crypter вроде каспером не палица и отчеты посылает щас 2 отчета пришло хоть пинч 31 человек скачал остальные не проверял

[Lamia]

Lamia а чо там к нему что то прилеплено чтоли ?
Да нет!Там всё чисто!Просто принцип другой!

[tusman]

Народ а ктонить знает где за wmz могут криптануть пинч что бы не чем не палился ?
если кто знает скиньте в личку или в асю 378002000
Спасибо !

[CMEPTb]

значит так KiRoV Crypter нод не пали каспер не палит аваст не палит авира не палит нортон не палит ZoneAlarm не палит McAfee не палит в общем помоему вполне нормальный крипт ::) это я из отчетов почерпнул

[Pernat1y]

http://forum.antichat.ru/showpost.php?p=605055&postcount=575
палиться Avira AntiVir и Sophos Sweep

[Jey]

С рапиды не качает =( Да и ака нету... выложите последние крипторы одним архивом куданить кроме рапиды... заранее спасибо

[Мистерео]

http://forum.antichat.ru/showpost.php?p=605055&postcount=575
палиться Avira AntiVir и Sophos Sweep
Седня нодом палился
Каспер пока не палит.
Знач остается только ждать )

[Pernat1y]

Седня нодом палился
жаль. ждем пока кто-то криптер почистит.
вон Глофф обещал, когда освободиться ;)

[Vlad3d]

сори.... а почему у меня после крипта пинч не работает? или он для троянов?)

[Pernat1y]

чем криптил?
зы. а пинч не троян? )

[JayKa]

Ребят вот отрыл приватный FriCryptor Polymorph.... Не знаю фэйк или нет. Пропустил через антипинч - вроде не ругался... Так что проверяем...

http://81.176.70.59/download?id=1680650

P.S> Ктонить может выложить ProRat 1.9 SE? (желательно патченый под дллки) или с Возможностью оного... :rolleyes:
Я пробовал и простой SE (мож не тот?) и FX18.. После патча DLLки всёравно лезут((

[Black dead]

не робит после его пинч

[Killerkod]

Это фейк выбрасывающий на выходе вероятно настроенный пинч или какойто даунлоадер.
Вроде в этой теме данную фигню уже выкладывали?
Вот резулт проверки того что выкинул этот фейк при якобы крипте:
http://www.virustotal.com/ru/analisis/5dcca488af513146951710d8436b8395

[JayKa]

Жаль( А насчёт ProRat никто не подскажет?

[zl0y]

http://81.176.70.59/download?id=1680650
||
||
\/
Downloader.Delphi.xxx
(Лоадер лоадит 5 файлов при помощи гавно технологии BITss и кривых рук загружает на камп ламоюзера файлы из папки /file/ все пять штук /file/file1..5.exe
||
||
\/
file1.exe - Win32.Pinch -> Тут гейт: www.sypercasino.com/peng/install.php
file2.exe - http://www.virustotal.com/analisis/e3bea74e1a7b17f3689617f540d6aec4 кажеться (Иллюжон ддос бот).
file3.exe - Not found(404)
file4.exe - Not found(404)
file5.exe - Not found(404)

Автору стоит позаботиться о нормальной криптовке его зверушек :)

[JayKa]

Мде) А я уж обрадовался такой халяве) Ща буду чистить каки...

Кстати откуда почистить?

ЗЫ: Crypt.exe был удален сразу, не запускался. Сам полиморф был запущен в отдельной от pack и crypt папке... Вроде я в норме? :confused:

[Vlad3d]

попробовал кучу крипторов и после всех он перестает работать почему так?

[Мистерео]

какими крипторами ты криптовал напиши.

[JayKa]

Ктот просканьте на трои данный бэкдор)

http://hackerzsoft.3x.ro/download.php?fileID=66

ZombieRat 1.2

[XaCeRoC]

Вот куча крипторов.

_http://ifolder.ru/5662768

пасс antichat.ru

[Pernat1y]

Ктот просканьте на трои данный бэкдор)

http://hackerzsoft.3x.ro/download.php?fileID=66

ZombieRat 1.2
архив битый

вроде особо троянской активности у клиента не наблюдаеться

[JayKa]

У меня норм качалось... Да и прога не очень( Для пользователей Yahoo Messenger подходит... А так не смысла...

Мне бы ProRat без выпадающих DLLок... А то отдельно вроде их и не криптонуть.

[icegex]

+-< Patch ProRAT <--[ St [18.02.07 15:51]
| [ Многие сетуют на то,что после скрытия сервака, dll ]
| [ всеравно продолжают палиться, а так же что сервак ]
| [ может работать и без них. Это маленький патчик который ]
| [ не даёт вылезти дллкам. Исходник прилагается. ]
| [ льём Patch Pro-RAT (линк на рапиду, thx salamandra) ]
p/s http://rapidshare.com/files/14390063/Patch_ProRAT_Anti_dll.rar.html

st.biz.ly

[Lamia]

Воть видео как это вручьную можно организовать!А то версии разные,а значит и адреса!Сами уж разберётесь,благо что там ничего сложного нет!
http://slil.ru/25564549

[prox1kk]

Воть видео как это вручьную можно организовать!А то версии разные,а значит и адреса!Сами уж разберётесь,благо что там ничего сложного нет!
http://slil.ru/25564549
Я так понимаю - тут написано как криптовать в ручную? :)

[Lamia]

Нет С!Там правятся всего два байта,для того что б дллки у про рата не вылазили!Каждый сам может это зделать!

[EstChe]

Люди плиз помогите, у мя проблемка! Хотел юзать FreeCryptor от глофа, но он не запускается=( Я его анпакнул, хотел почистить, а мне он сообщение пишет "FUCK YOU BICH"! Че это такое?

[Shawn1x]

Люди плиз помогите, у мя проблемка! Хотел юзать FreeCryptor от глофа, но он не запускается=( Я его анпакнул, хотел почистить, а мне он сообщение пишет "FUCK YOU BICH "! Че это такое?
Пошел ты cука

[Belfigor]

Люди плиз помогите, у мя проблемка! Хотел юзать FreeCryptor от глофа, но он не запускается=( Я его анпакнул, хотел почистить, а мне он сообщение пишет "FUCK YOU BICH"! Че это такое?

у меня такое было с этим криптором , когда я ловил вирус , которые почпокал ехе файлы , а это пишет "FUCK YOU BICH" это понятно почему :D , скорей всего у Глоффа стоит защита кода , а так как код повреждён , вот по этому и выдаёт такое сообщение , а тебе выдаёт потому что ты
Я его анпакнул

зы скачай чистый FreeCryptor , и почисти свою машину ;)

[EstChe]

Спасибо щас займусь=)

[Lamia]

Ёпт!Выложить чтоль приметивный крипт!Антевери палить не будут некоторые!Давно не занималась!

[Killerkod]

Не знал куда выложить, выложу сюды...
Вот написал патчег к RCryptor 1.1 by Vaska
Немного меняет код криптора и он меньше палится))) Каспер и доктор молчат в тряпочку))) На остальных не тестил, дабы не спалить...
В общем качаем, патчим и юзаем;)
http://webfile.ru/1797389
Пасс 123456

[Грот]

у меня такое было с этим криптором , когда я ловил вирус , которые почпокал ехе файлы , а это пишет "FUCK YOU BICH" это понятно почему :D , скорей всего у Глоффа стоит защита кода , а так как код повреждён , вот по этому и выдаёт такое сообщение , а тебе выдаёт потому что ты

зы скачай чистый FreeCryptor , и почисти свою машину ;)

так это и был чистый просто зщита проверяет размер фаила и если он больше чем 32*624 байт то программа тебя материт для чистки нужно распаковать после естественно измениться вес эти изминения веса нужно внести в программу

вот выкладываю взломаную версию 03.002 (http://depositfiles.com/files/3394049)
теперь о изминениях программа готова для редактирования стаба
после чистки криптор нужно упаковать upack и получит размер (32*668 байт) просто кинуть на консольный и вы получите размер указаный выше только тогда программа перестанет вас материть удачи в криптовке ну вроде и все

[SQL]

AC Crypter [Private]

http://img167.imageshack.us/img167/4895/accrypterfv4.jpg

Download (http://rapidshare.com/files/98269452/AC_Crypter_Privat.rar)

[Private] Scantime Crypt0r v0.5

http://imagehit.net/files/qjhnps7v7nem6h83yeie.jpg

Download (http://rapidshare.com/files/97486751/Scantime_Crypt0r_Private_0.5.rar.html)

[CMEPTb]

[Private] Scantime Crypt0r v0.5 закриптованый им пинч пишет порядковый номер не найден AC Crypter [Private] вроде нормально каспер не палит отчеты шлет читаемые

[GlOFF]

[Private] Scantime Crypt0r v0.5 закриптованый им пинч пишет порядковый номер не найден
Значит плохая обработка таблицы импорта. Упакуй свой пинч. UPX, PEC2 и другими, а потом криптуй обычно помогает в таких случаях.

// ВСЕМ ЗА ВЫЛОЖЕННЫЙ АКТУАЛЬНЫЙ КРИПТОР +++++!!!

[JayKa]

Ребят, тот патч для ProRat что был вами выложен у меня не пашет.

V 1.9 : Fix-18...

Если у вас работало на другой версии, пжлста сообщите на какой, или лучше выложите...

Спасибо)

ЗЫ: Отдельное спасибо за крипторы)

[Vid0k]

Полный архив крипторов собранных с этого и других форумов и сайтов
список вошедших в него крипторов:
ABCj
AC_Crypter_Privat
Alex
alexprot
AlphaCodeCrypter
amokk_exe_joiner
ASD
AsdPack2
ASPack_2.12
Astaroth
asylum_binder
Binder_by_KillerTomate_&_d1ng0d0gt0r
BlindSpotv1.0 Source Visual C++
Celsius_Crypt_2 S.E
coolbinder_2.2
Crypt
Crypt [ A3arTh ]
Crypter_3.1
Crypters_limpios_XaCeRoC
Cryptor_InterFac
Daemon-Crypt-V2---FUD
DalKrypt v1.0
DarkCryp
Deception4_FUD
dl-excalibur
ees_binder_1.0
ExE SaX 0.91
exe_2_lnk
exe_bundle_2.8
EXEcrypt v1.0
ExeStealth_NEW
eXPressorProfessional1.5.0.1
Ext Changer
F.B.I
fast_upx_0.1
fategate_exejoiner
fc
FFC_1.6
file_injector_2
filecrypter
freshbind_2.0
Fri_Cryptor_Polymorph_v1_1_.0
Icon Changer
Icon Manager
IconChanger37 + Patch
Inliner
interlaced_2.0
JABT_Binder
JABT1.2.1
kaOs undetecter
Kriptirnik
Kriptors
Krypton
Magic Binder v1.2
microjoiner_1.5
moruk creW Binder PubliC Edition
MVMv1.0_stub.stealthed.by.kokaiin
mz_crypt
nakedbind_1.0
Nephron Binder
NME 1.1
NTPacker
NW_Binder_Source_Code
Open Crypter_ 2.01.0
OPENSC Crypter
OSC-Crypter-haZl0oh
PiCrypther
PlutoCrypt
Pohernah_3_cracked_full_by_haZl0oh
Pussy Crypter_pub_stub_v1
RCryptor_All
Redbinder2.0.1
s_binder_1.0
Scantime_Crypt0r_Private_0.5
Sexe Crypter
SkDUndetectabler3
Source
Sources
stealth_tools_2.0
StrAnGe CrYpTeR
Stripper 2.07f
Super_Binder
SyperCrypt
TAOD
telock
tElock 0.98
Themida
Themida_v1.8.5.5_cracked
trojanz_undetected
unGHF_0.3_with_src
unhidepe
UnLimited Crypter 1.0
unstealthpe
UnTheMida
UPX_Tool_1.02_Install
upx300w
UPX-iT 1.6.2
VBscrypt
winkript
X-Crypter_1.2_S-B
X-Crypter-LVL-6
yab_2.0
yoda's Crypter 1.3
_Cryptor InterFac
1337 EXE Binder
acrypt
AT4RE aSm Protecter 1.0
averC 1.02
crypt
Crypter
Cryptic v2.1
cryptofilez
DarkAvengard Crypter
dex-crypt.private
execrypt
FETiOPv3.0.AII
FreeCryptor_0.3b_build3
Fuck_U
h4ck-y0u_FUD
iNF[CRYPT]
L0rD Crypter - haZl0oh-release
MaskPE
Minke_1.0.1
Morphnah_beta2
Mortal Team Crypter v2
N-Code
NoodleCrypt 2.0
PEncrypt4
Poly!Crypt2.8
ppxpe101
protector
RPolyCrypt 1.4.1
RPolyCrypt 1.4.2
Russian_Cryptor
S1mb10zP0ly
Scramble-Tool
Simple Crypterv2
SkD Undetectabler 3
SkD_Undetectabler_2
Super Crypt 1.0 By ZloY
U_exesax-gui
USC_2.1.1 Partial Cleaning Patch
VBPECrypt
WindOfCrypt

все что здесь выложено
было скачано по паблик ссылкам прошу авторов
крипторов не ругать=))
Внимание:проверяйте крипторы на малварь
ибо я не успел всех их проверить так что
я не несу ответсвенности за это!!!!!
(Сюда так же могли попасть джойнеры и пакеры
считай это как бонус=)))
пасс: antichat.ru

http://ifolder.ru/5710158

http://ifolder.ru/5710329

Не знаете где можно достать акки на рапиду
а то я замотался ждать по 4о минут

[CMEPTb]

Не знаете где можно достать акки на рапиду
а то я замотался ждать по 4о минут


так а пинч для чего сделали ??? покидай по разным форумам и будет тебе акк на рапиду ::)

[Грот]

я занимаюсь криптографией не ради того чтоб фпихнуть трой ламеру

а для того чтобы понять как работает криптор и какие способы использовать для запутывания чтоб эвристик антивирей непрошел (чем круче изврашение тем лудше и не важно как толи это будет забрасыванием в стек инструкций (как у глофа) или к каждой секции свой алгоритм (как у васьки) вроде все.

[Shawn1x]

AssassinCryptor v1.3
http://img170.imageshack.us/img170/1441/77345844lx1.jpg (http://imageshack.us)
Скачать \ Download (http://rapidshare.com/files/99708307/AssassinCryptor_v1.3.rar.html)
Присутствует чужой код(асириса)

[Mo4x]

Полный архив крипторов собранных с этого и других форумов и сайтов
список вошедших в него крипторов:

Пере залейте этот пак крипторов на рапиду спасибо .
Кто то ваще проверял на различную заразу которую могли пихнуть в крипторы ?

[EstChe]

AssassinCryptor v1.3
http://img170.imageshack.us/img170/1441/77345844lx1.jpg (http://imageshack.us)
Скачать \ Download (http://rapidshare.com/files/99708307/AssassinCryptor_v1.3.rar.html)
Присутствует чужой код(асириса)


А чем палиться? Мой аваст не палит, но он и многие другие крипторы не палит!

[Shawn1x]

А чем палиться? Мой аваст не палит, но он и многие другие крипторы не палит!
Нод32 и каспер вроде тоже молчит

[EstChe]

Тогда супер! СПАСИБ=)

[CMEPTb]

AssassinCryptor v1.3 что то пытаюсь им пинча криптануть и критор вылетает с ошибкой у кого такая же трабла ?

[EstChe]

Если поставить в крипторе легко, то криптит норм! Каспер не палит! А при установке сложно вылетает с ошибкой!

[CMEPTb]

Если поставить в крипторе легко, то криптит норм! Каспер не палит! А при установке сложно вылетает с ошибкой!

я и так и так пробовал все равно вылетает \ а ты после крипта пинч проверял работает ? или что ты там криптовал ?

[EstChe]

Да, пинч пашет норм! У друга на каспере тестанул и на панде! Не палит

[CMEPTb]

Да, пинч пашет норм! У друга на каспере тестанул и на панде! Не палит

блин а чо у мя то вылетает ? :mad: :confused:

[CMEPTb]

короче так я сжал пинч ASPackом после чего пинч закриптовался нормально :D

[CMEPTb]

Перезалейте KiRoV Crypter на депозит
он палица уже всем чем можно

[EstChe]

Около 5 постов выше! AssasinCryptor!
Не палит нод, панда аваст и каспер, остальные не знаю, не на ком протестить!

[Killerkod]

AssasinCryptor каспер палит. еще как палит)))

[CMEPTb]

AssasinCryptor каспер палит. еще как палит)))
вчера не палил щас еще раз проверю

[CMEPTb]

не закриптованный понч не палит каспер 7.0.1.321 базы от 16.03.2008

[brasco2k]

AssassinCryptor v1.3
http://img170.imageshack.us/img170/1441/77345844lx1.jpg (http://imageshack.us)
Скачать \ Download (http://rapidshare.com/files/99708307/AssassinCryptor_v1.3.rar.html)
Присутствует чужой код(асириса)

BitDefender - Packer.Pohernah.C

xDD -Название приперло

http://virusscan.jotti.org/ - тут проверял много чо палит

[CMEPTb]

BitDefender - Packer.Pohernah.C

xDD -Название приперло

http://virusscan.jotti.org/ - тут проверял много чо палит

спасибо огромное теперь все палить будут молочина :mad:

[AlexDee]

спасибо огромное теперь все палить будут молочина :mad:
кто палить будет? да никто!!! просто нада знать где проверять :D

[tusman]

кто палить будет? да никто!!! просто нада знать где проверять :D
а ты кажись сам его быстрей спалиш !
потому как ламеров долбаных уродав которые проверяют на долбанном вирустотале и таму падобнаму здесь сидит пол форума !
панимаю на нулледе под хайд прячют и всякие дибилы которые не знают чё такое криптор тему не поганят !
А своё никто засунь себе в ... !

[Vid0k]

Пере залейте этот пак крипторов на рапиду спасибо .

Перезалил _http://rapidshare.com/files/100109412/Kriptor_s.rar.html

Забейте уже наконец на вирустотал и прочую хрень проверяйте у себя
хорош палить крипторы
Multi AVs Fixer _http://activespy.org/forum/index.php?topic=1061.0
Mini AV Scanner _http://activespy.org/forum/index.php?topic=1166.0

[Pernat1y]

юзайте армадиллу/тэмиду и прочие продвинутые протекторы

[Грот]

юзайте армадиллу/тэмиду и прочие продвинутые протекторы

гдето я подобное уже слышал
этож надо темиду на пинча травить чтоб потом вес до 1,5 мегов получался
да....
не для этого темида используеться!
хотя кто ничего лудшего найти не может, юзайте

[Gara]

Люди че вы паритесь хай палят они, просто перестать выкладывать крипторы и все, и ламо все уйдет в накаут, я сибе чищу кпторы и меняю стаб если это необходимо и авиры сидят и в х*й не дуют, я суда свои не выкладываю если выложить можно заново начинать чистить криптор, если ламо верит в то что вирустотал, вирусскан и д.р. подобные сервера не отпровляют отчет то пусть верят тогда и пусть ответят на вопрос как они заробатывают деньги
1 за електричество плотить надо
2 за нет плотить надо
3 зарплату сотрудникам плотить надо
и т.д.
Деньги получают от анивирусных компаний, если они отправят отчеты от антивирусников о том что появился новый вирус или новый криптор и т.д. и т.п. то им платят лаве за это. Вы свою Соброжалку включайте хоть когда нибуть когда отпровляете на проверку. Если вы хотите проверять и без этого жить не можете то проверяйте на платных серверах. большенство из них не отпровляют отчеты анивирусным компаниям так как зарплату и все остальне и бурут за счет клиентов которые оплачиват такие услуги.
P.s. ЛАМО вы хоть нам не срите

[Killerkod]

Учимся правильно криптовать паблик крипторами;)
Берем два криптора, я взял FreeCryptor by GLOFF 0.2b 002 и Morphnah beta2
Скачать можно тут:
http://rapidshare.com/files/100175776/1.rar.html
Или тут:
http://webfile.ru/1808310
Пасс - 123321

Криптуем сначала морфом, а потом фрикриптором

Вот результат проверки:
http://i029.radikal.ru/0803/55/30f2c41c86ac.jpg

Как видите популярные аверы молчат, а именно это нам и надо)))

Дальше думайте сами, можно использовать другие крипторы и добиться лучшего результата...

[xdx]

Пора тут добавлять хайд потомучто это уже не в какие ворота не лезет

[12usver12]

to Killerkod когда ужо начнешь крипторы чистить ? :)

[xdx]

Есть чё нить чтоб аваст не палил

[Pernat1y]

гдето я подобное уже слышал
этож надо темиду на пинча травить чтоб потом вес до 1,5 мегов получался
да....
не для этого темида используеться!
хотя кто ничего лудшего найти не может, юзайте
если в тэмиде юзать несложную виртуальную машину, то получаеться ~400кб, что не так и много. тоже и с армадиллой

Пора тут добавлять хайд потомучто это уже не в какие ворота не лезет
+1

[CMEPTb]

тэмиду помоему нод палит а вот от каспера самое то

[Грот]

to Killerkod когда ужо начнешь крипторы чистить ? :)

крипторы не джуниоры здесь так просто не обайдешься перестановкой инструкций
тут нужно добавлять серьезные извращения чтоб эвристик не проходил побольше мусора ну можно доп криптовку стаба воткнуть и перекинуть ОЕР в другое место можно использовать алгоритм и способ крипта как в крипторе AssassinCryptor v1.3 131780D2 57 PUSH EDI ; pinch.13141200
131780D3 8B1F MOV EBX, DWORD PTR DS:[EDI]
131780D5 8B4F 04 MOV ECX, DWORD PTR DS:[EDI+4]
131780D8 68 B979379E PUSH 9E3779B9
131780DD 5A POP EDX
131780DE 42 INC EDX
131780DF 8BC2 MOV EAX, EDX
131780E1 48 DEC EAX
131780E2 C1E0 05 SHL EAX, 5
131780E5 BF 20000000 MOV EDI, 20
131780EA 4A DEC EDX
131780EB 8BEB MOV EBP, EBX
131780ED C1E5 04 SHL EBP, 4
131780F0 2BCD SUB ECX, EBP
131780F2 8B6E 08 MOV EBP, DWORD PTR DS:[ESI+8]
131780F5 33EB XOR EBP, EBX
131780F7 2BCD SUB ECX, EBP
131780F9 8BEB MOV EBP, EBX
131780FB C1ED 05 SHR EBP, 5
131780FE 33E8 XOR EBP, EAX
13178100 2BCD SUB ECX, EBP
13178102 2B4E 0C SUB ECX, DWORD PTR DS:[ESI+C]
13178105 8BE9 MOV EBP, ECX
13178107 C1E5 04 SHL EBP, 4
1317810A 2BDD SUB EBX, EBP
1317810C 8B2E MOV EBP, DWORD PTR DS:[ESI]
1317810E 33E9 XOR EBP, ECX
13178110 2BDD SUB EBX, EBP
13178112 8BE9 MOV EBP, ECX
13178114 C1ED 05 SHR EBP, 5
13178117 33E8 XOR EBP, EAX
13178119 2BDD SUB EBX, EBP
1317811B 2B5E 04 SUB EBX, DWORD PTR DS:[ESI+4]
1317811E 2BC2 SUB EAX, EDX
13178120 4F DEC EDI
13178121 ^ 75 C8 JNZ SHORT pinch.131780EB
13178123 5F POP EDI
13178124 891F MOV DWORD PTR DS:[EDI], EBX
13178126 894F 04 MOV DWORD PTR DS:[EDI+4], ECX

этот цикл повторяеться много кратно и так много раз пока в конечном итоге не получишь раскриптовааный код вроде усе

[tusman]

сообщение от AlexDee
Гыгы ну ты и ламеррр!!! во нубья то развелось
а терь поясни в чём я не прав ?
ламер скорее ты так как если ты не знаешь что после того как их проверяют на вирустотале они начинают политься то тогда здесь ламеров много и ты тогда форумом ошибся !
да в большинстве я нуб и что с того ?
но в этой теме не один раз выкладывали криптор и не один раз просили не проверять на этом вирустотале ! а кто то видно читать не умеет берёт и палит криптор :( пару дней и писец !
а по твоим словам я смотрю ты профи офигенный !
может ты хочеш сказать что всякие полудурки типо тебя на вирустотале не проверяют и что он начинает полится не из за вирустотала ?
если я в чём та не прав то выскажись !

[xdx]

уже задумываюсь о приватном крипторе раньше был от Васьки неплохой вроде а щас он паблик есть что нить подобное?

[Timati]

AssassinCryptor v1.3
http://img170.imageshack.us/img170/1441/77345844lx1.jpg (http://imageshack.us)
Скачать \ Download (http://rapidshare.com/files/99708307/AssassinCryptor_v1.3.rar.html)
Присутствует чужой код(асириса)
Его юзайте!shawnix самый крутой кодер

[Isis]

http://img3.imagebanana.com/img/ys1ar31w/whwcrypterpiceaaf775bjpqu8.jpg

Viruslist: http://img3.imagebanana.com/img/ggb22soo/VirusTotalKostenloseronlineVirenundM.png

http://rapidshare.com/files/97955583/White_Widdow_-_Crypter_v_1.5.rar

Файл не проверен!

[Грот]

я бы не юзал такой склейки и вируса там конечно нет но стаб (215*552 байт)
это уж слишком а так вполне нормальный криптор на дельфине нечем не пакован
для дальнейшего анализа нужно тестить послушаем мнение большенства

[SQL]

SharK_Crypter 0.1

http://img329.imageshack.us/img329/2553/sinttulo1kk6.jpg

Cкачать (http://rapidshare.com/files/100526874/SharKCrypter.rar.html)

[CMEPTb]

http://img3.imagebanana.com/img/ys1ar31w/whwcrypterpiceaaf775bjpqu8.jpg

Viruslist: http://img3.imagebanana.com/img/ggb22soo/VirusTotalKostenloseronlineVirenundM.png

http://rapidshare.com/files/97955583/White_Widdow_-_Crypter_v_1.5.rar

Файл не проверен!
палица каспером как Trojan.Win32.Small.abz

[CMEPTb]

http://img151.imageshack.us/img151/9016/roguecryptyl5.jpg

каспер не палит остальные не знаю

http://rapidshare.com/files/99231689/RogueCrypt_v1.0.rar.html

[SQL]

Hacking.gvu.cc Crypter

http://img3.imagebanana.com/img/m4wafuq3/thumb/crypterVT.bmp.png (http://img3.imagebanana.com/view/m4wafuq3/crypterVT.bmp.png)

DL Link:
http://rapidshare.com/files/100664138/Hacking.gvu.cc_Crypter.exe.html

[Spac0om]

sql
Что то у меня даже не запускается твой криптор.

[xdx]

Hacking.gvu.cc Crypter

http://img3.imagebanana.com/img/m4wafuq3/thumb/crypterVT.bmp.png (http://img3.imagebanana.com/view/m4wafuq3/crypterVT.bmp.png)

DL Link:
http://rapidshare.com/files/100664138/Hacking.gvu.cc_Crypter.exe.html
если это тотал вирус то уже он всем палится...

[xdx]

Ну да мой аваст уже это доказал

[exit]

Когда же наконец то народ осазнает, что вирустотал и ему подобное зло! Зачем проверять от всего хлама что там есть? Ведь максимум нужно чтоб не палил каспер, веб, нод и аваст, остальные в топку! Неужели так трудно весь этот набор поставить на вертуалку и юзать проверку от туда?

[CMEPTb]

Когда же наконец то народ осазнает, что вирустотал и ему подобное зло! Зачем проверять от всего хлама что там есть? Ведь максимум нужно чтоб не палил каспер, веб, нод и аваст, остальные в топку! Неужели так трудно весь этот набор поставить на вертуалку и юзать проверку от туда?
помоему об этом без полезно говорить все равно найдеца какой нибудь умник который сольет на вирус тоталь и радостно поведует об этом всему форуму :mad:

[JayKa]

+1... Нужно фильтровать доступ в раздел... Соответственно для получения доступа нужно залить чистый непалящийся криптор... И разделу +, и не бум палиться...

[Pernat1y]

+2. только некоторые сами, тут-же проверяют чистый непалящийся криптор на тотале...

[GOPPA]

Я об этом давно говорил......Не только вирус тотал...Докуя всяких наподобе... Щя у меня на виртуалках стоят все наши... Проблем нет уже 4 меяца...Не палит никто. Уже забыл как криптовал. Тут на фруме полюбас есть сами знаете кто!

[Killerkod]

Если вы хотите чтоб у вас не палилось покупайте приватные крипторы! Паблик есть паблик! Люди всеравно будут проверять на тотале и ему подобных, от этого никуда не деться...

[Spac0om]

Люди,нужен криптор который не палит Нод )
Буду благодарен )

[Мистерео]

SQL залей плиз на slil.ru или rapidshare.ru

[loUs]

а какой самы луши криптор?

[Spac0om]

Не работает у меня SharK_Crypter 0.1
Пишет что не хватает файла для запуска.

[XaCeRoC]

SharK_Crypter 0.1 после крипта файл пишет ошибку.

[Spac0om]

Вот перезалил, может заработает!
http://ifolder.ru/5832827
http://www6.zippyshare.com/v/96791300/file.html
http://rapidshare.com/files/101407520/SharKCrypter.rar.html
Не работает он у меня :(

[ReVOLVeR]

_http://www.ddwshop.com/book/av_undetector.rar

[ReVOLVeR]

antivirus tester
пример установленного скрипта
http://www.ddwshop.com/book/bl/index.php
криптор на пхп заливаем заражонный фаил в папку со скрипто и криптуем его...

[Spac0om]

криптор на пхп заливаем заражонный фаил в папку со скрипто и криптуем его...
Он мне только файлы портит :(
Может кто обьяснит как ним пользоватся ?(

[SQL]

http://img513.imageshack.us/img513/4820/dibujoww3.gif

LINK (http://w15.easy-share.com/8108121.html)

[Black dead]

SQL перезалей его а то с http://w15.easy-share.com/8108121.html , ошибку при переходе на скачку выдает 500 - Internal Server Error

[SQL]

SQL перезалей его а то с http://w15.easy-share.com/8108121.html , ошибку при переходе на скачку выдает 500 - Internal Server Error

http://rapidshare.com/files/102243941/VB_Crypter_Modded.rar.html

[Ivan99999]

Этот криптор нодом палится(

[Black dead]

Sql спасиб но и сам криптор док вебом палицо как трой

[SQL]

Pestil
Properties :
------------

* Pestil uses XOR encryption and 3 different compression algoritm.
* Small stub.
* Pestil preserve EOF data automatically.So you can also crypt Flux,Bifrost,Poison Ivy,etc.. servers.
* Tested on Vista.

Download (http://rapidshare.com/files/53147429/Pestil.rar.html)

Pluto-crypt

Download (http://www.box.net/shared/63kcddpj0o)

Power Crypt V2

http://img455.imageshack.us/img455/7867/pc2oe6.jpg

Download (http://rapidshare.com/files/54557940/PowerCrypt_v2.0.rar.html)

[Shawn1x]

[AssassinCryptor v1.4 ENG and AssassinCryptor v1.4 RUS
http://img214.imageshack.us/img214/3910/18584479ca6.jpg (http://imageshack.us)
http://img214.imageshack.us/img214/4566/54348163bi9.jpg (http://imageshack.us)
Скачать \ Download (http://rapidshare.com/files/102455909/AssassinCryptor_v1.4.rar.html)
Пристутствует чужой код(асириса)

[Vid0k]

Shawn1x ты его уже выкладывал:)

[SQL]

http://img401.imageshack.us/img401/629/23tm2ch2.jpg

Скачать (http://rapidshare.com/files/102686153/Cryptic_v2_1_.3__mod_.rar.html)

http://img72.imageshack.us/img72/5193/sinttulo1jn6.jpg

Скачать (http://rapidshare.com/files/102686374/Cube_Crypter.rar.html)

[Мистерео]

SQL залей на Depositfile плз

[gold-goblin]

блин мой любимы Pestil выложили в приват......
А я то думал почему он палится начал

SQL проверяй что выкладываеш.....
твой Criptic 2.3 это Backdoor.Win32.VanBot.lp

[Mo4x]

Вот тут часто выкладывают свежие крипторы :) (http://forum.ninjaspy.org/index.php?showforum=85&prune_day=100&sort_by=Z-A&sort_key=last_post&topicfilter=all&st=0)

Click smile.

[Belfigor]

SQL проверяй что выкладываеш.....
твой Criptic 2.3 это Backdoor.Win32.VanBot.lp

да и уже и на Pestil Каспер тоже визжит как на трояна :D

зы у меня после всех этих крипторов сервак ProRatа не пашет , и вообще мне ещё не попался криптор чтобы ProRat работал , только после Gloff криптора работал на 5 с + ! :)

[НTL]

А как сделать так чтобы пинч ни один антивирус не запоолили???
Можно ли один вирус прогнать через большое количество киперов??? Чтобы антивирус у жертвы его не палил

[zeon]

А как сделать так чтобы пинч ни один антивирус не запоолили???
Можно ли один вирус прогнать через большое количество киперов??? Чтобы антивирус у жертвы его не палил
Нет ничево ни возможного, тебе нада воспользоваться услугами криптования вирей. Тобиш твоего пинчя, токих предложений довольно таки многа на рынки It
посмотри в разделе на форуме Покупка, Продажа, Обмен, Раздача

[НTL]

Нет ничево ни возможного, тебе нада воспользоваться услугами криптования вирей. Тобиш твоего пинчя, токих предложений довольно таки многа на рынки It
посмотри в разделе на форуме Покупка, Продажа, Обмен, Раздача

А можно как нить самому это сделать??
Например прогдань через несколько киперов???

[Killerkod]

Через каких киперов? Мож крипторов?
Если ты через несколько прогонишь, то файл может перестать работать.
Лучше обратись к комунить кто криптует хорошо и все...

[НTL]

Нет ничево ни возможного, тебе нада воспользоваться услугами криптования вирей. Тобиш твоего пинчя, токих предложений довольно таки многа на рынки It
посмотри в разделе на форуме Покупка, Продажа, Обмен, Раздача

:( http://forum.antichat.ru/thread54036.html :(

[xdx]

предлгаю сделать следущие просто кому надо криптер тот пишет чтоб отправили в пм а тот высылает будет удобней бесит уже любой криптер свежий становится уже нечем а норм крипторов за 10$ не найдешь

[Мистерео]

Зеркала на AssassinCryptor 1.4 (Eng|Rus)
Скачать|Depositfiles.com (http://depositfiles.com/files/4415049)
Скачать|Slil.ru (http://slil.ru/25632382)

[Lis_ka]

Кто знает норм криптор для Xcontrol? перепробовал кучу всего но не чего не помагает, либо палится либо тупо не запускается, вообще пинчи криптую VB_Crypter_Modded, по крайней мере Dr Web не палит, про др. не знанаю не пробовал.

[~Real F@ck!~]

В паблике ты хорошего не найдёшь!

Хороший понятие растяжимое, по качеству крипта, в паблике существует большое кол-во крипторов, вот только действующие сигнаруты занесены в базу антивирусных компаний. Так что утверждать что хороших крипторов в паблике нет - абсурд. Можно найти криптор с полиморфизмом, и попробовать его почистить.

[~Real F@ck!~]

Я тебя понял в принципе, но немного подправил )

[Lis_ka]

Старый хак-софт например Xcontrol скорее всего не предназначен для новых крипторов, да и джонеры не катят на него, а хотелось бы побаловаться с этой штукой, вещь оч не плохая, я по локалке 1 раз только смог закинуть на 1 день, а потом серв перестал отвечать по ходу спалился, но мне хватило!

[Killerkod]

А помоему джоинеры годятся под любой софт. Да и крипторы можно найти такие чтоб подходили...

[Lis_ka]

Что можеш посоветовать к этой софтини к примеру.

[satana8920]

Я знаю хороший криптор-Приват! В паблике ты хорошего не найдёшь!
я с тобой не согласен!!! можно найти хорошие исходники паблик криптора и поменять сигнатуру криптовки
вот тогда будет рулеззз = )

[~Real F@ck!~]

я с тобой не согласен!!! можно найти хорошие исходники паблик криптора и поменять сигнатуру криптовки
вот тогда будет рулеззз = )

есть разница между нахождением готового криптора, и криптора в котором нужно что то изменить. непутой

[Killerkod]

Что можеш посоветовать к этой софтини к примеру.
А ты скажи что за софтина, как работает... глядишь и подскажу;)

[~Real F@ck!~]

За сколько можно хорошо криптануть пинч,самое дешёвое?И сколько сейчас приватные крипторы стоят?

Крипт сейчас уже дело недешёвое, качественный крипт ты сможешь сделать от 10 и более Wmz.

Качественный криптор ты можешь преобрести от 50 Wmz, правда все криптографы уже сейчас начинают понимать что их труд малоокупаем, и начинают осозновать "себе" цену, так что подорожание крипторов будет неизбежным.

[Грот]

вот есть хорошее придложение от Глоффа

Наивысшее качество криптовки. Pinch - 15 wmz Zeus - 25 wmz; как такового стаба нет
получаеться вся программа это стаб в которой расположены секции усли кому интересно могу выложить криптованый таким способом калк о покупке обрасчаться непосредственно к Глоффу

[Lis_ka]

Пробуйте VB_Crypter_Modded, каспер и веб не палит проверял, про другие антивири не знаю, этот криптор вроде делали не русские мастера а из за бугра, по ходу потаму его ещё и не занесли в антивирусные базы, ссылку не дам не помню где качнул юзайте поиск.

[Lis_ka]

А ты скажи что за софтина, как работает... глядишь и подскажу;)

Я Xcontrol имел ввиду, выше читай!

[НTL]

Какой криптор поможет от нового каспера?????

[Pernat1y]

вот. нашел недавно на забугорном форуме
http://img3.imagebanana.com/img/nrbr6uat/shot.png
сорцы на делфе инсайд )
линк http://rs173.rapidshare.com/files/99149188/Mimoza_1_00.rar

зы. особо не смотрел и не тестил. смотрите сами...

[Lis_ka]

Всё равно чурка это написал или из раши чел главноё чтоб вещь хорошая была! Но я так думаю что шуршит ща какой нибудь Госпадин Касперский по нашему античату да высматривает ссыли которые мы даем, а потом анализирует и добавляет в новые базы например на следующую неделю.
А вообще забугорным софтом тоже не надо пренебрегать, он долго не палится, проверено.

[Lis_ka]

А ты что забугорным софтам не разу не пользовался?

[Pernat1y]

Чурки чтоли Русские крипторы пишут ?
нет. судя по сайту (которого уже нет :( ) делали русские

Всё равно чурка это написал или из раши чел главноё чтоб вещь хорошая была! Но я так думаю что шуршит ща какой нибудь Госпадин Касперский по нашему античату да высматривает ссыли которые мы даем, а потом анализирует и добавляет в новые базы например на следующую неделю.
А вообще забугорным софтом тоже не надо пренебрегать, он долго не палится, проверено.

угу. пусть шурший. если кому-то сильно приспичит, то в сорцах можно сигнатуры поменять...

[Vid0k]

.HaLV Crypter

http://img260.imageshack.us/img260/7214/crypteryu9.th.jpg (http://img260.imageshack.us/my.php?image=crypteryu9.jpg)

Download (http://rapidshare.com/files/104047173/Halv_Crypter.rar.html)

[Lis_ka]

.HaLV Crypter

http://img260.imageshack.us/img260/7214/crypteryu9.th.jpg (http://img260.imageshack.us/my.php?image=crypteryu9.jpg)

Download (http://rapidshare.com/files/104047173/Halv_Crypter.rar.html)


Это чё? А то я не могу скачать перезалей на http://fuser.ifolder.ru/

[Vid0k]

1.Это криптор...
2.http://ifolder.ru/5975261

[Folc]

.HaLV Crypter
Download
Тоже не качаетсо, перезалейте плиз...

[Folc]

HaLV Crypter
Кто юзал отпишитель о работе плиз и есть вообще смысл качать?

[GlOFF]

HaLV Crypter -> http://www.sendspace.com/file/0d6rmf

avcheck.biz показал...
Report
File:
Pinch.exe
Received:
2008-04-01 10:43:29
Current status:
finished
Result:
6/14 returns infected statusAntivirus Version Last update Result
VirusBuster 4.3.23:9 2008-4-1 10:25:29 ok
f-prot 3.16.16 2008-3-31 17:52:3 ok
BitDefender v7.60825 2008-4-1 8:21:51 ok
AVG 7.5.51 2008-4-1 4:28:49 Trojan horse Dropper.VB.ACJ
F-Secure 4.65 build 5502 2008-4-1 6:15:14 Backdoor.Win32.Rbot.jlm [AVP]
Sophos AV 4.27.0 2008-3-28 6:42:51 ok
DrWeb 4.33.0.09211 2008-4-1 10:30:31 ok
ClamAV 0.92/6526 2008-4-1 9:20:21 Trojan.Mybot-10161
Avast! 080331-0 2008-3-31 18:1:17 ok
KAV 5.7.13 2008-4-1 9:19:32 Backdoor.Win32.Rbot.jlm
Avira 2.1.11-73 2008-4-1 6:50:14 TR/Dropper.Gen
McAfee VirusScan v5263 2008-3-31 1:20:0 ok
ArcaVir 1.0.5 2008-3-31 11:55:18 Trojan.Rbot.Jlm, Trojan.Rbot.Jlm
ESETS Nod32 2.71.10 2008-4-1 10:35:19 ok

Additional information:
File size:
47623 bytes
MD5:
55f7e6c5f6fb2f2ce3dddffb57939004
SHA1:
9f2e21e12c4f9ac8978a37b8

Nod32, Avast, Dr.web не видят :) Kaspersky в теме :(

[Мистерео]

да каспер в последнее время вобще все подряд начал палить ._.

[Pernat1y]

да каспер в последнее время вобще все подряд начал палить ._.
ужос. все пропало :D
мою связку всеравно не палит )

[Killerkod]

А вы попробуйте немного почистить стаб криптора и каспер палить не будет. Просто лаборатория касперского работает оперативно и добавляет новые сигнатуры очень быстро и все)))

[GlOFF]

Просто лаборатория касперского работает оперативно и добавляет новые сигнатуры очень быстро и все)))
"Школьники\Студенты" добавляют в сигнатуры первые байты от OEP )))

[SQL]

Cryptitґs 1[1][1].0 - By princeali (mod x polifemo)
http://img262.imageshack.us/img262/8383/princepj8.jpg
http://img241.imageshack.us/img241/1601/screenhunter01apr030009af8.gif

Cкачать (http://rapidshare.com/files/104456021/Cryptit__1169_s_1_1__1_.0_-_By_princeali__mod_x_polifemo_.rar.html)

[Jey]

Не пинайте сильно, но что за сервис онлайн проверки на скрине ?

[Sated]

Virustotal.com
Только,если хочеш что б твой криптор пожил по дольше,то не нужно проверять на онлайн проверках.

[Killerkod]

это не онлайн проверка. Такое себе на тачку ставят