Tema
Boje
Pismo
Registracija

Novo

Forum kao aplikacija na telefonu

Dodajte forum na početni ekran i koristite ga kao aplikaciju, sa menijem na dnu ekrana.

Kako se dodaje

Sta mislite o ovom "Trojanu" Ocene i kritike!

Odgovori Nova tema
Štampanje RSS teme Kopiraj vezu do teme Podeli na Facebook-u Podeli na X-u (Twitter) Idi na poslednju poruku
  • 80 odgovora
  • 19.805 pregleda

Najnovija ↓

Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 19.03.2005. u 23:51 · pre 263 meseca #41
Sta je bilo???
Al ne znate da zamenite xx sa tt ili vas mrzi da pisete. Samo pogledajte trojana!!!
Strava je!!!
Potpis
Veni Vidi Vici
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 20.03.2005. u 14:34 · pre 263 meseca #43
Pa ti onda okaci samo server koji ce mi klijent, cu ja da gledam u pasulj da li je server u okrviru tih 850 100kb ili zauzima svih 850kb...
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 20.03.2005. u 17:18 · pre 263 meseca #44
Pa ovo nije mesto za sirenje trojanca(servera), vec da pogledaju ljudi kako to radi, mislim i server i klijent. Bilo bi malo glupo da samo ja imam klijenta, i sta vi da radite sa serverom?
Potpis
Veni Vidi Vici
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 20.03.2005. u 19:07 · pre 263 meseca #45
Pa ti stvarno mislis da neko ima vremena da reversa taj server i vidi sta sve on zaista radi?
Ako oces ocene kritike onda das source, u suprotnom ne vidim kakve komentare ocekujes?

mali update : Dzaba da izbacujes nove i nove verzije kad NOD32 detektuje, prvo resi taj problem pa pravi nove verzije.
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 22.03.2005. u 22:40 · pre 263 meseca #46
Sto si ti pametan, pa napisi ti source, a ne ja da dam source, a posle vi kopirate i kurcite se da ste vi napisali (svaka cast izuzecima, znaju oni ko su). Cilj je kako on radi, ako ti se Deroko ne svidja, nemoj vise da posecujes ovaj forum!
Potpis
Veni Vidi Vici
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 23.03.2005. u 14:17 · pre 263 meseca #47
dobro trazio si deo source pa evo ti na :
Code:

__give_me:                                
                     pop     edi

                     lea    esi, au_str
                     call   RtlInitUnicodeString, esi, edi
                     
                     push   0
                     lea    esi, au_str
                     push   esi
                     push   1
                     push   3
                     push   256*2
                     lea    esi, path
                     push   esi
                     lea    esi, ioblock
                     push   esi
                     push   null
                     push   null
                     push   null
                     push   dir_handle
                     @sysenter     NtQueryDirectoryFile, 11
                     
                     
                     lea    esi, path
                     mov    eax, [esi.FileNameLength]
                     lea    edi, [esi.FileName]
                     mov    word ptr[edi+eax], null
                     call   OpenAndInfect,  edi, dir_handle
                     
                    
__next_file_search:
                     push   null
                     push   null
                     push   1
                     push   3
                     push   256*2
                     lea    esi, path
                     push   esi
                     lea    esi, ioblock
                     push   esi
                     push   null
                     push   null
                     push   null
                     push   dir_handle
                     @sysenter     NtQueryDirectoryFile, 11


na evo ti kod iz prc-ko.xp pa ne smaraj vise sa tim da ja pojma nemam...
A ti se pitaj sta ovaj kod radi, a za vise poseti phearless #2 zine za vise objasnjenja i full source...
Mislim ako uopste i shvatis o cemu je ovde rec...
I da, upravu si, hocu da kopiram tvoj super kod, zivot mi je bas pust bez novih VB trojana.

ps. nemoj da mi ukrades kod plz, jer sam se stvarno pomucio citajuci NT internale... Nemoj molimte da ovo stavis u svoj trojan ili u neki virus, jer stvarno nije u redu da ceo moj rad uzmes za sebe..
Jel zvuci smesno, daaaaaa :)))
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 24.03.2005. u 17:40 · pre 263 meseca #50
Sta sam kopirao? Ne razumem zasto ne bih znao to .
To sto se skupljate na irc serveru krstarice je lepo, ali ne moj da potdcenjujes tudje radove, ako hoces lepo komentarisi kao sto si pisao, ili ne moj da pises.
Potpis
Veni Vidi Vici
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 01:15 · pre 263 meseca #51
Da, moraš postati kod ako misliš imalo kvalitetnih komentara. Nemaš se šta sramiti, i puno pametniji ljudi i od mene i od tebe su pablikalizirali svoje kreacije :)
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 01:45 · pre 263 meseca #52
Lopov : sada su ti u modi rootkitovi, a oni se ne pisu u vb :) c/c++ i asm...
Iskren da budem ne znam koji su VB fajlovi u pitanju jer vb ne koristim, ali sam u zipu video gomilu za kopiranje sto nikad neces videti uz trojan pisan u C ili jos gore u cistom asm(nize od ove "dlake" moze samo ako si mazohista:))

Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 02:45 · pre 263 meseca #53
Citat:
l0P0v: vremena od kada je pisan tekst, novi rekord za broj servera spojenih na jedan klijent = 788


Jučer sam bio na IRC kanalu na kojem je bilo ~ 30 000 botova. Klijent je IRC-based, botovi su napisani u C/asm.

Minimo se čini ima par dobrih featurez, ali sve od toga je već viđeno ili nije uopće teško implementirati.

Citat:
2. Once run, the server cannot be scanned by any anti-virus application.


Baš me zanima kako je ovo riješio u VB-u majketi?

AV skeneri koriste filesystem hookove u ring0, nema teoretske šanse da je ovo napravio u čistom VB-u.

Citat:
3. Screw AV killing, MiniMo servers can prevent any app from ever starting again. All programs need to ask your server for permission before they can run.


Niti ovo se ne može teoretski bez asm-a i ring0 koda.

Nadalje, VB trojanci imaju vrlo ograničene mogućnosti morfiranja za sakrivanje od AV. Koliko znaš VB trojana koji koriste externi polimorfni engine? Ili se mogu bindati sa proizvoljnim programima? Pošto VB programi ne mogu biti offset-independent, vrlo je ograničeno i morfiranje sa nekim popularnijim pakerima/kripterima.
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 03:12 · pre 263 meseca #54
Citat:
Sundance:
Jučer sam bio na IRC kanalu na kojem je bilo ~ 30 000 botova. Klijent je IRC-based, botovi su napisani u C/asm.


Ok ali ima bitne razlike u svemu ovome. Trojanac je, i klijent i server u vb6. Znas li sta je 788 servera zakacenih na klijentu napisanom u vb6? +Mega sporost samog vb6 jezika... Sve bi teoretski trebalo da se srusi na 10+ servera :) jer je vb6 bedan za takve stvari ali evo dokaza da je moguce.

Citat:

2. Once run, the server cannot be scanned by any anti-virus application.

Baš me zanima kako je ovo riješio u VB-u majketi?

AV skeneri koriste filesystem hookove u ring0, nema teoretske šanse da je ovo napravio u čistom VB-u.



Nisi jedini koga ovo zanima :)
Ja sam se smarao nedelju dana i uspeo pomocu eksternog fajla da uradim da mi fajl bude 'inscanable' i zaista, skeniran sa KAVom, kav pokazuje da je skeniranje zavrseno a scanned files = 0

Citat:

Nadalje, VB trojanci imaju vrlo ograničene mogućnosti morfiranja za sakrivanje od AV. Koliko znaš VB trojana koji koriste externi polimorfni engine? Ili se mogu bindati sa proizvoljnim programima? Pošto VB programi ne mogu biti offset-independent, vrlo je ograničeno i morfiranje sa nekim popularnijim pakerima/kripterima.


Ja se slazem da je vb6 inferioran i ogranicen jezik u poredjenju sa drugim jezicima ali opet, to ne znaci da se u vb6 ne moze uraditi dobar trojanac.
Ljudi se uglavnom odlucuju za bolje jezike od vb6 (->delphi) zbog injectiona ali i to je vec uradjeno u vb6 (CIA trojanac).

Nema razloga za toliko skrivanje od AV-a. Kad napises program, on nije detektovan kao virii. Kad ga dograbe, malo promenis kod i eto te na pocetku. Da ti iskreno kazem, niko ustvari i ne razmislja o AV-ima. Uglavnom su se FWi smatrali za problem pa je napisan injection.
Potpis
Atentator v1.0 - RAT
hxxp://atentator.netfirms.com/index.htm
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 10:19 · pre 263 meseca #55
Citat:
l0P0v: Ja sam se smarao nedelju dana i uspeo pomocu eksternog fajla da uradim da mi fajl bude 'inscanable' i zaista, skeniran sa KAVom, kav pokazuje da je skeniranje zavrseno a scanned files = 0


Samo za KAV ili za sve AV na svijetu (kako piše tamo u opisu onog trojana)? Jel se može znat što si točno radio da prodiskutiramo malo o teoriji?

Citat:
Ja se slazem da je vb6 inferioran i ogranicen jezik u poredjenju sa drugim jezicima ali opet, to ne znaci da se u vb6 ne moze uraditi dobar trojanac.
Ljudi se uglavnom odlucuju za bolje jezike od vb6 (->delphi) zbog injectiona ali i to je vec uradjeno u vb6 (CIA trojanac).


Istina. Ne kažem ja da su svi VB programeri loši niti da se u njemu ne može napraviti relativno kvalitetan trojan, samo kažem gdje mu je mjesto u "hijerarhiji" :P

Nego, DLL injection je stari trik i danas tona sw FW-ova detektira ubacivanje DLL-a u tuđi adresni prostor i tona HIDS alata hookira CreateRemoteThread. Sad je l33t iz ring0 šetanje EPROCESS strukturama, kreiranje APC, kopiranje trojana u SharedUserData i patchanje userland niti sistemskih procesa u letu da izvrše tvoj kod pod svojim kontekstom :)

Citat:
Kad napises program, on nije detektovan kao virii. Kad ga dograbe, malo promenis kod i eto te na pocetku


Pa ono, za konkretno trojanac na ovoj temi to baš i nije slučaj :))))
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 13:07 · pre 263 meseca #56
ne bih da flejmam vise vec da konkretno pojasnim djmakiju sta treaba da se radi da bi taj trojan lepo radio a sto se tice reverseovanja samog trojana mislim da nije ni potrebno jer sam sto posto siguran da bi mogao da vidim sve stringove i dll-ove i funkcije koje koristi ako ga samo otvorim u notepadu sto znaci djmaki ulozi malo vise rada na protiv RE | deroko ovde je napisao veoma jak tekst za ph02 na tu temu ako se nevaram (Runtime Decription Engine )

umesto da postas neve verzije trojana sa vecim brojem opcija
bolje poradi na tome da ga AV ne detektuje a to je vec posao

Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 18:18 · pre 263 meseca #57
:)
Upravo to, moras izbeci detekciju AV software, kad to izbegnes pravis nove verzije do mile volje jer znas da imas stealth trojanac koji je upotrebljiv, mislim, ja mogu da isklucim NOD32 da ga ne detektuje ali sta ces kad se obican korisnik kune u AV software :)
Re: Sta mislite o ovom "Trojanu" Ocene i kritike! 25.03.2005. u 21:54 · pre 263 meseca #59
Citat:
Sundance:
Samo za KAV ili za sve AV na svijetu (kako piše tamo u opisu onog trojana)? Jel se može znat što si tocno radio da prodiskutiramo malo o teoriji?


Nisam zainteresovan za ovu diskusiju iz prostog razloga sto sam na tankom ledu tj. nisam uspeo da uradim ono sto sam nameravao. Ono sto sam ja radio nema veze sa Minimom i nacinom na koji taj trojanac pravi da mu server bude 'inscanable'. Server mora biti pokrenut da bi 'inscanable' imalo smisla. U mom slucaju, meni fajl nije skeniran ali onda ne moze ni da se pokrene dok sa druge strane, pokrenuti fajl ne mogu da uradim. Jednom kad uspem, ako ikad, onda cemo moci da pricamo o tome :)
Ja ne znam kako je autor Minima to uradio a svoj fajl nisam mogao da testiram na svim AV-ima jer sam onda imao KAV instaliran.
Nadam se da razumes da taj Minimo server sam po sebi nije 'inscanable' ali kad se pokrene, onda nesto uradi sam sebi i AV ne moze da mu pristupi. 'Pricalo' se nesto da se nekako 'zakljucava'. Ako zelis mogu ti dati Minimo server pa ceprkaj po njemu.

Citat:

Nego, DLL injection je stari trik i danas tona sw FW-ova detektira ubacivanje DLL-a u tudi adresni prostor


Hm, mozes li mi navesti par FWa koji to detektuju pa da testiram?

Citat:
EArthquake
umesto da postas neve verzije trojana sa vecim brojem opcija
bolje poradi na tome da ga AV ne detektuje a to je vec posao


Za AV ima vremena, kad jednom napise vise od 80% koda sam, nece imati problema sa tim. NOD32 ce morati da instalira da zaj3be heuristiku.
Sa druge strane, trojanac nema file manager, nema nikakav notifikacioni sistem, nema nekih funkcija zbog kojih bi neko uzeo da ga koristi. Mislim da bi na tome trebao da poradi.
Da ne ispadne da flejmujem trojanca, ne mislim ja da je los ili nesto, kad uzmemo u obzir da ogromna vecina korisnika trojanaca nisu u zivotu napisali liniju koda i da nemaju blage veze kako (bilo koji) trojanac funkcionise, mislim da je covek na dobrom putu.

Citat:
jer sam sto posto siguran da bi mogao da vidim sve stringove i dll-ove i funkcije koje koristi ako ga samo otvorim u notepadu


Ja nesto mislim da dll-one neces videti :)

Mislim da je pogresno sto trazite source, pogledajte samo kako se replicira virii tutorijal sto ga je cookie pisao, skoro me cudi kako nema 1k novih vb6 crva 'made in serbia'.
Potpis
Atentator v1.0 - RAT
hxxp://atentator.netfirms.com/index.htm
Odgovori
Prijavite se da biste odgovorili u ovoj temi.PrijavaRegistracija

Premeštanje teme