Hola, me pregunto si esto se puede hacer...
si alguien puede explicar o dar un ejemplo Agradezco

quieres que busque por ti ?
no pué .. usa el buscador del foro o usa google
saludos

Encripta los Strings
llama las Apis dinamicamente etc...
hay muchas formas de Indetectar un còdigo fuente.
Salu2

relacionado con este tema, tngo una duda, he buscado muxo, y he visto muxos ejemplos de crypters, yo estoy indetectando
el stub, pero lo que ocurre es que cuando escaneo el stub solamente, no detecta nada el avira, que es el unico antivirus que me keda para hacerlo FUD, pero luego cuando lo encrypto un programa si que detecta el maldito Dropper.Gen o ago asi

hay una sentencia que no he visto "encriptada" ni llamada dinamicamente en el Runpe de los crypters que he visto y es la sgte
es la sentencia que esta dentro del bucle "for"
CpyMem Pish, abexefile(Pidh.e_lfanew + Len(Pinh) + Len(Pish) * i), Len(Pish)
o lo que es lo mismo
RtlMoveMemory Pish, abexefile(Pidh.e_lfanew + Len(Pinh) + Len(Pish) * i), Len(Pish)

pq no se puede encriptar esta sentencia???


Gracias

violgore escribió:relacionado con este tema, tngo una duda, he buscado muxo, y he visto muxos ejemplos de crypters, yo estoy indetectando
el stub, pero lo que ocurre es que cuando escaneo el stub solamente, no detecta nada el avira, que es el unico antivirus que me keda para hacerlo FUD, pero luego cuando lo encrypto un programa si que detecta el maldito Dropper.Gen o ago asi

hay una sentencia que no he visto "encriptada" ni llamada dinamicamente en el Runpe de los crypters que he visto y es la sgte
es la sentencia que esta dentro del bucle "for"
CpyMem Pish, abexefile(Pidh.e_lfanew + Len(Pinh) + Len(Pish) * i), Len(Pish)
o lo que es lo mismo
RtlMoveMemory Pish, abexefile(Pidh.e_lfanew + Len(Pinh) + Len(Pish) * i), Len(Pish)

pq no se puede encriptar esta sentencia???


Gracias

No se puede por que no es un String , los String son los que vienen en medio de "" por ejemplo "Hola" pero no seria un String si fuera simplemente Hola sin "" , esta seria un Integer o un Boolean

Creo q no me has entendido bien

hay otras instrucciones similares a esta que se pueden encriptar
por ejemplo asi

callapi("kernel32", "RtlMoveMemory", ...... y lo que sigue)

pero al hacerlo asi, me da error en tiempo de ejecucion, he hecho varias pruebas, pero
hay algo q se me keda detras, supongo que al pasar algun valor , o es q a lo mejor el
abexefile(......) en este caso no se puede pasar como puntero.??????

Gracias

violgore escribió:Creo q no me has entendido bien

hay otras instrucciones similares a esta que se pueden encriptar
por ejemplo asi

callapi("kernel32", "RtlMoveMemory", ...... y lo que sigue)

pero al hacerlo asi, me da error en tiempo de ejecucion, he hecho varias pruebas, pero
hay algo q se me keda detras, supongo que al pasar algun valor , o es q a lo mejor el
abexefile(......) en este caso no se puede pasar como puntero.??????

Gracias

En la instruccion que me acabas de dar perfectamente se puede encriptar "kernel32" y "RtlMoveMemory" , yo lo he hecho y nunca me ha devuelto un error , a lo mejor es el algoritmo que estas usando para encriptar, O si no puedes hacer asi:

En dos variables guardar las frases encriptadas de "Kernel32" Y "RtlMoveMemory" por ejm:
Dim A as string
Dim B as String
A = "&/GIG)OH66" 'La frase "Kernel32" encriptada
B = "JIOJ/(OLP**^L(&" 'La frase "RtlMoveMemory" encriptada

y en otras dos variables guardar las frases desencriptadas de "Kernel32" Y "RtlMoveMemory" ejm:
Dim C as String
Dim D as String
C = DesenCriptar(A)
D = DesenCriptar(B)

La funcion completa quedaria asi:

Public Function Inyeccion() ' o como se llame la funcion.
Dim A as string
Dim B as String
Dim C as String
Dim D as String
A = "&/GIG)OH66" 'La frase "Kernel32" encriptada
B = "JIOJ/(OLP**^L(&" 'La frase "RtlMoveMemory" encriptada
C = DesenCriptar(A)
D = DesenCriptar(B)
callapi(C, D, ...... y lo que sigue)
End Function

intentalo asi y me avisas si te srivio
salu2

La idea es muy buena, pero te comento, ahora mismo tengo la funcion así


For i = 0 To Pinh.FileHeader.NumberOfSections - 1
--> Call llamaapi("kernel32", "RtlMoveMemory", VarPtr(Pish), exefichero(Pidh.e_lfanew + Len(Pinh) + Len(Pish) * i), Len(Pish))
Call llamaapi(ReC4_String(libre, "pass"), ReC4_String("T;¶–É!¤HäTp«°¬1", "pass"), Pi.hProcess, Pinh.OptionalHeader.ImageBase + Pish.VirtualAddress, VarPtr(exefichero(Pish.PointerToRawData)), Pish.SizeOfRawData, 0)
End If

Next


e incluso así a pelo escrito, me da error.
Yo supongo que el error me viene porque paso alguna variable mal, es decir, la tendria que pasar como varptr
o como byval , no tengo ni idea.

Gracias, ahh por cierto el resto de apis del Runpe si que las he encriptado y tal, pero esta es la unica que se me resiste