Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.

ActiveX Startup Metoda - u cemu je problem ?

[es] :: Zaštita :: ActiveX Startup Metoda - u cemu je problem ?

Strane: 1 2

[ Pregleda: 3518 | Odgovora: 26 ] > FB > Twit

Postavi temu Odgovori

Autor

Pretraga teme: Traži
Markiranje Štampanje RSS

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon ActiveX Startup Metoda - u cemu je problem ?02.10.2004. u 16:02 - pre 238 meseci
Ovako, prvo virus vidi da li postoji odredjeni key u HKCU\Microsoft\Active Setup\Installed Components\ime_keya
Ako postoji, on ga izbrise
Zatim, ulazi se u petlju koja non-stop vrti proceduru koja kreira key HKLM\Microsoft\Active Setup\Installed Components\ime_keya i u njemu vrednost StubPath koja sadrzi putanju do virusa na hard disku.
Kad restartujem racunar (ili se log-offujem), explorer.exe se pokrene i virus se uspesno pokrene takodje, ali niti se vidi ikonice, taskbar itd... sve dok ne ubijem virus iz task manager-a

Gde gresim >
 
Odgovor na temu

VRKY

Član broj: 21087
Poruke: 4690
*.net.htnet.hr



+8 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 10:33 - pre 238 meseci
Ne znam jesi li to namjerno napravio ili si pogriješio.
Nije ovako:
HKCU\Microsoft\Active Setup\Installed Components\ime_keya
Nego:
HKCU\Software\Microsoft\Active Setup\Installed Components\ime_keya
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 13:30 - pre 238 meseci
Lose sam gore napisao, treba HKCU\Software\... i HKLM\Software\...
Btw, problem i dalje stoji, ko zna neka pomogne plz
 
Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12851



+4784 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 13:37 - pre 238 meseci
Citat:
Gde gresim >
Verovatno u kodu.
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 13:56 - pre 238 meseci
Evo koda koji dodaje key u HKLM\Microsoft\...\Installed Components\CLSID :
Code:

procedure AddToStartup;
var
  hndKey : HKEY;
begin
  If RegCreateKeyEx(HKEY_LOCAL_MACHINE, 'SOFTWARE\Microsoft\Active Setup\Installed Components\{3bf42070-b3b1-11d1-b5c5-0000f8051515}', 0, nil,
                    REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, nil, hndKey, nil) <> ERROR_SUCCESS Then
    Exit;
  RegSetValueEx(hndKey, 'StubPath', 0, REG_SZ,
                '"C:\WINDOWS\System32\virus.exe"', Length('"C:\WINDOWS\System32\virus.exe"') + 1);
  RegCloseKey(hndKey);
end;

Malo sam uprostio gornju proceduru, da bi bila jasnija.
Ova procedura se vrti u repeat..until petlji (izvrsava se konstanto, na svakih 100 mS)

Zatim, na pocetku virusa, stoji naredba :
Code:

RegDeleteKey(HKEY_CURRENT_USER, 'SOFTWARE\Microsoft\Active Setup\Installed Components\{3bf42070-b3b1-11d1-b5c5-0000f8051515}');

Ona brise taj isti key, samo iz HKCU.

Jos jednom, ovo sve radi, ali kad restartujem comp, nakon pojavljivanja kursora, explorer.exe se startuje, virus se startuje kao njegovo 'dete' i onda se nista ne dogadja... Sve dok ne ubijem proces koji virus pravi...
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 14:09 - pre 238 meseci
Inace, mogu da resim problem tako sto cu kad se virus startuje da ga re-executujem, ali mislim da to nije najelegantije resenje...
 
Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12851



+4784 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 14:16 - pre 238 meseci
Ja sad bas ne mogu da se setim sta su tacno te "Installed Components" (podseti me), pa ne bih mogao da adekvatno pretpostavim sta je problem.

Kada sam pomenuo kod mislio sam na kod virus.exe-a.
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 14:38 - pre 238 meseci
Ne razumem... Na koji si ti kod mislio ??
 
Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12851



+4784 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 14:47 - pre 238 meseci
Paa... kod koji kad kompajliras dobijes virus.exe.
OK, sad pretpostavljam da onaj kod koji si dao je deo tog koda na koji sam ja mislio.
U svakom slucaju, pretpostavljam da virus.exe radi nesto sto nisi predvideo (ili radi na los nacin). Kao sto rekoh, ne mogu bas dobro da pretpostavim jer se ne secam sta predstavljaju Installed Components.
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?03.10.2004. u 14:51 - pre 238 meseci
E jbga...
Nista, onda cu da koristim ono re-executovanje...
 
Odgovor na temu

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr



Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?06.10.2004. u 02:55 - pre 238 meseci
Da, tocno tako - MORAS napraviti re-execute inace se nece dalje normalno dizati :) i meni je ovo bilo glupo ali hej - slucajno generiran kljuc je pravo cudo naci medju hrpom onih MS shitova :) Pogotovo ako se MIJENJA pri svakom startup-u :)

Ali Marko, imam za tebe jedan novi bombonchich :)
http://www.sysinternals.com/ntw2k/info/tips.shtml#registryhidden

Mislim da dosad nijedan crv nije koristio nativne API-je za sakrivanje od regedit-a :) Koristeci ovo, mogao bi koristiti i uobicajene srartup kljuceve, samo sto ih onda korisnici ne bi mogli maknuti rucno sa regedit, vec iskljucivo sa specijaliziranim programima :)
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?06.10.2004. u 02:58 - pre 238 meseci
Thnx na odgovorima !
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?06.10.2004. u 03:22 - pre 238 meseci
Citat:
Ali Marko, imam za tebe jedan novi bombonchich
http://www.sysinternals.com/ntw2k/info/tips.shtml#registryhidden

Mislim da dosad nijedan crv nije koristio nativne API-je za sakrivanje od regedit-a Koristeci ovo, mogao bi koristiti i uobicajene srartup kljuceve, samo sto ih onda korisnici ne bi mogli maknuti rucno sa regedit, vec iskljucivo sa specijaliziranim programima


ql !
Ali dzabe kad ja ne znam C++ bas dobro (primer je pisan u C++-u)...
Ako bi neko mogao da mi prevede kod ili bar da pojasni malo detaljnije sta treba da uradim (recimo, 1. Nadji entry-point funkcija sa GetProcAddress itd...) bio bih mu zahvalan...
 
Odgovor na temu

VRKY

Član broj: 21087
Poruke: 4690
*.net.htnet.hr



+8 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?06.10.2004. u 21:14 - pre 238 meseci
Pozdrav:
Slučajno sam našao nešto što bi ti moglo odgovarati (kao primjer) .Napravljeno je u VB a ti znaš nešto VB pa se nadam da ćeš razumjeti...
Prikačeni fajlovi
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?08.10.2004. u 19:58 - pre 237 meseci
Hvala vam, pogledacu kasnije ovo

poz
 
Odgovor na temu

VRKY

Član broj: 21087
Poruke: 4690
*.net.htnet.hr



+8 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?08.10.2004. u 20:08 - pre 237 meseci
Ja sam isprobao ono što sam uplodao i radi. Mislim da je to ono što tražiš... Javi je li...
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?09.10.2004. u 01:07 - pre 237 meseci
Hvala na iscrpnom objasnjenju Sundance, ali imam jedan problem - kako da pozovem NTCreateKey funkciju ? Kad pokusam da pozovem :
Code:
NTCreateKey(@SoftwareKeyHandle, KEY_ALL_ACCESS, @ObjectAttributes,
              0, nil, REG_OPTION_NON_VOLATILE, @Disposition);
Delphi izbaci gresku Missing operator or semicolon... Problem je sto kompajler ne zna sta je NTCreateKey... Ja sam NTCreateKey deklarisao kao promenljivu tipa pointer i stavio NTCreateKey := GetProcAddress(blabla)....
 
Odgovor na temu

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr



Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?09.10.2004. u 01:49 - pre 237 meseci
Trebas je deklarirati kao pokazivac (pointer) na funkciju (tj. na sam API). Ne znam koja je tocno sintaksa za to pod Delphi-em (vidi u helpu), ali mislim da ces trebati navesti i tipove parametara. Kompajler prijavljue gresku jer ne zna sto da pozove, trebas mu dat do znanja da se radi o funkciji kojoj ces sam naci adresu.
 
Odgovor na temu

VRKY

Član broj: 21087
Poruke: 4690
*.net.htnet.hr



+8 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?09.10.2004. u 07:06 - pre 237 meseci
Jel ti što pomogao onaj moj uplod?
 
Odgovor na temu

reiser

Član broj: 7895
Poruke: 2314



+102 Profil

icon Re: ActiveX Startup Metoda - u cemu je problem ?10.10.2004. u 14:31 - pre 237 meseci
Taj primer ne radi nista posebno, osim kreiranja/brisanja startup kljuceva...
 
Odgovor na temu

[es] :: Zaštita :: ActiveX Startup Metoda - u cemu je problem ?

Strane: 1 2

[ Pregleda: 3518 | Odgovora: 26 ] > FB > Twit

Postavi temu Odgovori

Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.