Srodne teme
Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.

Sta mislite o ovom "Trojanu" Ocene i kritike!

[es] :: Zaštita :: Sta mislite o ovom "Trojanu" Ocene i kritike!

Strane: < .. 1 2 3 4 5

[ Pregleda: 13008 | Odgovora: 80 ] > FB > Twit

Postavi temu Odgovori

Autor
Pretraga teme: Traži
Markiranje Štampanje RSS

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.



+1 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!19.03.2005. u 22:51 - pre 232 meseci
Sta je bilo???
Al ne znate da zamenite xx sa tt ili vas mrzi da pisete. Samo pogledajte trojana!!!
Strava je!!!
Veni Vidi Vici
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
*.selcuk.edu.tr.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!19.03.2005. u 23:02 - pre 232 meseci
850kb :) haha odlcan ti je trojanac, a mogo bi da razmislis o prelasku na C ??
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
*.selcuk.edu.tr.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!20.03.2005. u 13:34 - pre 232 meseci
Pa ti onda okaci samo server koji ce mi klijent, cu ja da gledam u pasulj da li je server u okrviru tih 850 100kb ili zauzima svih 850kb...
 
Odgovor na temu

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.



+1 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!20.03.2005. u 16:18 - pre 232 meseci
Pa ovo nije mesto za sirenje trojanca(servera), vec da pogledaju ljudi kako to radi, mislim i server i klijent. Bilo bi malo glupo da samo ja imam klijenta, i sta vi da radite sa serverom?
Veni Vidi Vici
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
193.140.140.*



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!20.03.2005. u 18:07 - pre 232 meseci
Pa ti stvarno mislis da neko ima vremena da reversa taj server i vidi sta sve on zaista radi?
Ako oces ocene kritike onda das source, u suprotnom ne vidim kakve komentare ocekujes?

mali update : Dzaba da izbacujes nove i nove verzije kad NOD32 detektuje, prvo resi taj problem pa pravi nove verzije.
 
Odgovor na temu

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.



+1 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!22.03.2005. u 21:40 - pre 232 meseci
Sto si ti pametan, pa napisi ti source, a ne ja da dam source, a posle vi kopirate i kurcite se da ste vi napisali (svaka cast izuzecima, znaju oni ko su). Cilj je kako on radi, ako ti se Deroko ne svidja, nemoj vise da posecujes ovaj forum!
Veni Vidi Vici
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
193.140.140.*



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!23.03.2005. u 13:17 - pre 232 meseci
dobro trazio si deo source pa evo ti na :
Code:

__give_me:                                
                     pop     edi

                     lea    esi, au_str
                     call   RtlInitUnicodeString, esi, edi
                     
                     push   0
                     lea    esi, au_str
                     push   esi
                     push   1
                     push   3
                     push   256*2
                     lea    esi, path
                     push   esi
                     lea    esi, ioblock
                     push   esi
                     push   null
                     push   null
                     push   null
                     push   dir_handle
                     @sysenter     NtQueryDirectoryFile, 11
                     
                     
                     lea    esi, path
                     mov    eax, [esi.FileNameLength]
                     lea    edi, [esi.FileName]
                     mov    word ptr[edi+eax], null
                     call   OpenAndInfect,  edi, dir_handle
                     
                    
__next_file_search:
                     push   null
                     push   null
                     push   1
                     push   3
                     push   256*2
                     lea    esi, path
                     push   esi
                     lea    esi, ioblock
                     push   esi
                     push   null
                     push   null
                     push   null
                     push   dir_handle
                     @sysenter     NtQueryDirectoryFile, 11


na evo ti kod iz prc-ko.xp pa ne smaraj vise sa tim da ja pojma nemam...
A ti se pitaj sta ovaj kod radi, a za vise poseti phearless #2 zine za vise objasnjenja i full source...
Mislim ako uopste i shvatis o cemu je ovde rec...
I da, upravu si, hocu da kopiram tvoj super kod, zivot mi je bas pust bez novih VB trojana.

ps. nemoj da mi ukrades kod plz, jer sam se stvarno pomucio citajuci NT internale... Nemoj molimte da ovo stavis u svoj trojan ili u neki virus, jer stvarno nije u redu da ceo moj rad uzmes za sebe..
Jel zvuci smesno, daaaaaa :)))
 
Odgovor na temu

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.



+1 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!23.03.2005. u 22:11 - pre 232 meseci
Ma opasni ste vi:
#ugs @ irc.krstarica.com:6661
Veni Vidi Vici
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
193.140.140.*



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!23.03.2005. u 22:42 - pre 232 meseci
clap clap clap znas copy/past clap clap clap
 
Odgovor na temu

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.



+1 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!24.03.2005. u 16:40 - pre 232 meseci
Sta sam kopirao? Ne razumem zasto ne bih znao to .
To sto se skupljate na irc serveru krstarice je lepo, ali ne moj da potdcenjujes tudje radove, ako hoces lepo komentarisi kao sto si pisao, ili ne moj da pises.
Veni Vidi Vici
 
Odgovor na temu

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 00:15 - pre 232 meseci
Da, moraš postati kod ako misliš imalo kvalitetnih komentara. Nemaš se šta sramiti, i puno pametniji ljudi i od mene i od tebe su pablikalizirali svoje kreacije :)
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
193.140.140.*



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 00:45 - pre 232 meseci
Lopov : sada su ti u modi rootkitovi, a oni se ne pisu u vb :) c/c++ i asm...
Iskren da budem ne znam koji su VB fajlovi u pitanju jer vb ne koristim, ali sam u zipu video gomilu za kopiranje sto nikad neces videti uz trojan pisan u C ili jos gore u cistom asm(nize od ove "dlake" moze samo ako si mazohista:))
 
Odgovor na temu

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 01:45 - pre 232 meseci
Citat:
l0P0v: vremena od kada je pisan tekst, novi rekord za broj servera spojenih na jedan klijent = 788


Jučer sam bio na IRC kanalu na kojem je bilo ~ 30 000 botova. Klijent je IRC-based, botovi su napisani u C/asm.

Minimo se čini ima par dobrih featurez, ali sve od toga je već viđeno ili nije uopće teško implementirati.

Citat:
2. Once run, the server cannot be scanned by any anti-virus application.


Baš me zanima kako je ovo riješio u VB-u majketi?

AV skeneri koriste filesystem hookove u ring0, nema teoretske šanse da je ovo napravio u čistom VB-u.

Citat:
3. Screw AV killing, MiniMo servers can prevent any app from ever starting again. All programs need to ask your server for permission before they can run.


Niti ovo se ne može teoretski bez asm-a i ring0 koda.

Nadalje, VB trojanci imaju vrlo ograničene mogućnosti morfiranja za sakrivanje od AV. Koliko znaš VB trojana koji koriste externi polimorfni engine? Ili se mogu bindati sa proizvoljnim programima? Pošto VB programi ne mogu biti offset-independent, vrlo je ograničeno i morfiranje sa nekim popularnijim pakerima/kripterima.
 
Odgovor na temu

l0P0v

Član broj: 49052
Poruke: 31
*.dialup.neobee.net.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 02:12 - pre 232 meseci
Citat:
Sundance:
Jučer sam bio na IRC kanalu na kojem je bilo ~ 30 000 botova. Klijent je IRC-based, botovi su napisani u C/asm.


Ok ali ima bitne razlike u svemu ovome. Trojanac je, i klijent i server u vb6. Znas li sta je 788 servera zakacenih na klijentu napisanom u vb6? +Mega sporost samog vb6 jezika... Sve bi teoretski trebalo da se srusi na 10+ servera :) jer je vb6 bedan za takve stvari ali evo dokaza da je moguce.

Citat:

2. Once run, the server cannot be scanned by any anti-virus application.

Baš me zanima kako je ovo riješio u VB-u majketi?

AV skeneri koriste filesystem hookove u ring0, nema teoretske šanse da je ovo napravio u čistom VB-u.



Nisi jedini koga ovo zanima :)
Ja sam se smarao nedelju dana i uspeo pomocu eksternog fajla da uradim da mi fajl bude 'inscanable' i zaista, skeniran sa KAVom, kav pokazuje da je skeniranje zavrseno a scanned files = 0

Citat:

Nadalje, VB trojanci imaju vrlo ograničene mogućnosti morfiranja za sakrivanje od AV. Koliko znaš VB trojana koji koriste externi polimorfni engine? Ili se mogu bindati sa proizvoljnim programima? Pošto VB programi ne mogu biti offset-independent, vrlo je ograničeno i morfiranje sa nekim popularnijim pakerima/kripterima.


Ja se slazem da je vb6 inferioran i ogranicen jezik u poredjenju sa drugim jezicima ali opet, to ne znaci da se u vb6 ne moze uraditi dobar trojanac.
Ljudi se uglavnom odlucuju za bolje jezike od vb6 (->delphi) zbog injectiona ali i to je vec uradjeno u vb6 (CIA trojanac).

Nema razloga za toliko skrivanje od AV-a. Kad napises program, on nije detektovan kao virii. Kad ga dograbe, malo promenis kod i eto te na pocetku. Da ti iskreno kazem, niko ustvari i ne razmislja o AV-ima. Uglavnom su se FWi smatrali za problem pa je napisan injection.
Atentator v1.0 - RAT
hxxp://atentator.netfirms.com/index.htm
 
Odgovor na temu

Sundance

Član broj: 7510
Poruke: 2559
*.sava.sczg.hr.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 09:19 - pre 232 meseci
Citat:
l0P0v: Ja sam se smarao nedelju dana i uspeo pomocu eksternog fajla da uradim da mi fajl bude 'inscanable' i zaista, skeniran sa KAVom, kav pokazuje da je skeniranje zavrseno a scanned files = 0


Samo za KAV ili za sve AV na svijetu (kako piše tamo u opisu onog trojana)? Jel se može znat što si točno radio da prodiskutiramo malo o teoriji?

Citat:
Ja se slazem da je vb6 inferioran i ogranicen jezik u poredjenju sa drugim jezicima ali opet, to ne znaci da se u vb6 ne moze uraditi dobar trojanac.
Ljudi se uglavnom odlucuju za bolje jezike od vb6 (->delphi) zbog injectiona ali i to je vec uradjeno u vb6 (CIA trojanac).


Istina. Ne kažem ja da su svi VB programeri loši niti da se u njemu ne može napraviti relativno kvalitetan trojan, samo kažem gdje mu je mjesto u "hijerarhiji" :P

Nego, DLL injection je stari trik i danas tona sw FW-ova detektira ubacivanje DLL-a u tuđi adresni prostor i tona HIDS alata hookira CreateRemoteThread. Sad je l33t iz ring0 šetanje EPROCESS strukturama, kreiranje APC, kopiranje trojana u SharedUserData i patchanje userland niti sistemskih procesa u letu da izvrše tvoj kod pod svojim kontekstom :)

Citat:
Kad napises program, on nije detektovan kao virii. Kad ga dograbe, malo promenis kod i eto te na pocetku


Pa ono, za konkretno trojanac na ovoj temi to baš i nije slučaj :))))
 
Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.83.eunet.yu.



+67 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 12:07 - pre 232 meseci
ne bih da flejmam vise vec da konkretno pojasnim djmakiju sta treaba da se radi da bi taj trojan lepo radio a sto se tice reverseovanja samog trojana mislim da nije ni potrebno jer sam sto posto siguran da bi mogao da vidim sve stringove i dll-ove i funkcije koje koristi ako ga samo otvorim u notepadu sto znaci djmaki ulozi malo vise rada na protiv RE | deroko ovde je napisao veoma jak tekst za ph02 na tu temu ako se nevaram (Runtime Decription Engine )

umesto da postas neve verzije trojana sa vecim brojem opcija
bolje poradi na tome da ga AV ne detektuje a to je vec posao

 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
193.140.140.*



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 17:18 - pre 232 meseci
:)
Upravo to, moras izbeci detekciju AV software, kad to izbegnes pravis nove verzije do mile volje jer znas da imas stealth trojanac koji je upotrebljiv, mislim, ja mogu da isklucim NOD32 da ga ne detektuje ali sta ces kad se obican korisnik kune u AV software :)
 
Odgovor na temu

djmaki
Stefan Djordjevic
Smederevo

Član broj: 24749
Poruke: 430
*.ptt.yu.



+1 Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 20:26 - pre 232 meseci
Slazem se sa Jimijem.
Veni Vidi Vici
 
Odgovor na temu

l0P0v

Član broj: 49052
Poruke: 31
*.dialup.neobee.net.



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 20:54 - pre 232 meseci
Citat:
Sundance:
Samo za KAV ili za sve AV na svijetu (kako piše tamo u opisu onog trojana)? Jel se može znat što si tocno radio da prodiskutiramo malo o teoriji?


Nisam zainteresovan za ovu diskusiju iz prostog razloga sto sam na tankom ledu tj. nisam uspeo da uradim ono sto sam nameravao. Ono sto sam ja radio nema veze sa Minimom i nacinom na koji taj trojanac pravi da mu server bude 'inscanable'. Server mora biti pokrenut da bi 'inscanable' imalo smisla. U mom slucaju, meni fajl nije skeniran ali onda ne moze ni da se pokrene dok sa druge strane, pokrenuti fajl ne mogu da uradim. Jednom kad uspem, ako ikad, onda cemo moci da pricamo o tome :)
Ja ne znam kako je autor Minima to uradio a svoj fajl nisam mogao da testiram na svim AV-ima jer sam onda imao KAV instaliran.
Nadam se da razumes da taj Minimo server sam po sebi nije 'inscanable' ali kad se pokrene, onda nesto uradi sam sebi i AV ne moze da mu pristupi. 'Pricalo' se nesto da se nekako 'zakljucava'. Ako zelis mogu ti dati Minimo server pa ceprkaj po njemu.

Citat:

Nego, DLL injection je stari trik i danas tona sw FW-ova detektira ubacivanje DLL-a u tudi adresni prostor


Hm, mozes li mi navesti par FWa koji to detektuju pa da testiram?

Citat:
EArthquake
umesto da postas neve verzije trojana sa vecim brojem opcija
bolje poradi na tome da ga AV ne detektuje a to je vec posao


Za AV ima vremena, kad jednom napise vise od 80% koda sam, nece imati problema sa tim. NOD32 ce morati da instalira da zaj3be heuristiku.
Sa druge strane, trojanac nema file manager, nema nikakav notifikacioni sistem, nema nekih funkcija zbog kojih bi neko uzeo da ga koristi. Mislim da bi na tome trebao da poradi.
Da ne ispadne da flejmujem trojanca, ne mislim ja da je los ili nesto, kad uzmemo u obzir da ogromna vecina korisnika trojanaca nisu u zivotu napisali liniju koda i da nemaju blage veze kako (bilo koji) trojanac funkcionise, mislim da je covek na dobrom putu.

Citat:
jer sam sto posto siguran da bi mogao da vidim sve stringove i dll-ove i funkcije koje koristi ako ga samo otvorim u notepadu


Ja nesto mislim da dll-one neces videti :)

Mislim da je pogresno sto trazite source, pogledajte samo kako se replicira virii tutorijal sto ga je cookie pisao, skoro me cudi kako nema 1k novih vb6 crva 'made in serbia'.
Atentator v1.0 - RAT
hxxp://atentator.netfirms.com/index.htm
 
Odgovor na temu

deroko

Član broj: 48499
Poruke: 123
193.140.140.*



Profil

icon Re: Sta mislite o ovom "Trojanu" Ocene i kritike!25.03.2005. u 21:02 - pre 232 meseci
pa sto odma ne rece nego smo se raspisali na 4 strane :)
 
Odgovor na temu

[es] :: Zaštita :: Sta mislite o ovom "Trojanu" Ocene i kritike!

Strane: < .. 1 2 3 4 5

[ Pregleda: 13008 | Odgovora: 80 ] > FB > Twit

Postavi temu Odgovori

Srodne teme
Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.