Mensajes

[Este metodo modifica el ejecutable para que nada mas abrirse se cierre, agregando un RET al pimer byte ejecutado.]

Buenas tardes

Hoy os presento este metodo de 'corrupcion' de ejecutables. Desde que vi el metodo que posteo Mad estuve pensando:

Código [Seleccionar] Expandir

http://foro.elhacker.net/analisis_y_diseno_de_malware/metodo_ifeo_bug_image_file_execution_options-t249670.0.html

Este metodo modifica el ejecutable para que nada mas abrirse se cierre, agregando un RET al pimer byte ejecutado.

Que tiene de especial?

• Solo modifica un Byte
• Trabaja con el PE

Problemas? Solo uno:

• Necesitas permisos de escritura en el fichero, si esta abierto no podras...

Pasos a seguir para aplicar este metodo:

• Se obtiene el Entry Point RVA del fichero
• Se pasa a RAW
• Se reemplaza el primer BYTE por un RET (C3h)

Aqui teneis el codigo en VB:

Código [Seleccionar] Expandir

http://foro.elhacker.net/programacion_vb/sourceret_exe_corruption_corrompe_cualquier_ejecutable-t251138.0.html;msg1211626#msg1211626


Saludos

XCryptor, no cortes los creditos de Cobein...

Siempre lo hace

que pena no seleccione el codigo bien, ademas  dice: este codigo es de Cobein, no lo ves ahi muy claro, y ya modifique el source. y para ricardovinzo a ver donde he ripeado codigo, muestramelo quiero ver algun post donde haya ripeado codigo o donde no haya colocado al autor.

no puedes decirlo sin pruebas.

saludos

PD: y esto es lo que uno se gana por querer colaborar que le digan code ripper o script kiddie !al carajo¡ 

Nadie dijo que lo hicieras intencionado no?

XCryptor, no cortes los creditos de Cobein...

He estado pensado, y con tu programa habria problemas ademas de con las variantes unicode de las APIs con las APIs que utilizan numeros #X

No?

Creo que al poner:

Código [Seleccionar] Expandir

125*2*2
No confundes a ningun AV... ya que el FASM ya te lo calcula y pone el 500, talvez haciendo otras cosas, como por ejemplo esto, si que marees mas al AV:

Código (asm) [Seleccionar] Expandir

    xor ebx, ebx
    mov ecx, 500
@@: inc ebx
    loop @B

Creo que tendrias que explicar que la mayoria de Emuladores de los AVs se saltan algunas APIs... como esta... asi que, los AVs no duermen

Saludos

Muchas gracias

Estaba cansado de tener que hacer los Imports a mano cuando no estaban declaradas algunas APIs

A mi me gusta pensar que la solucion mas sencilla es la mejor

Código (vb) [Seleccionar] Expandir


    'No acepta Ms
    Dim Hora1       As Date
    Dim Hora2       As Date
    Dim HoraR       As Date
   
    Hora1 = "12:01:25"
    Hora2 = "3:05:35"
    HoraR = Hora1 + Hora2

[1]

1

Código (vb) [Seleccionar] Expandir

    Dim vItem       As Variant
   
    For Each vItem In Split(Text1.Text, vbCrLf)
        List1.AddItem vItem
    Next vItem
2

Código (vb) [Seleccionar] Expandir

    Dim sItems()        As String
    Dim i               As Long
   
    sItems = Split(Text1.Text, vbCrLf)
    For i = LBound(sItems) To UBound(sItems)
        List1.AddItem sItems(i)
    Next i

[Menú>Complementos>Administrador de complementos...]

VB ya lleva un editor de recursos incorporado

Menú>Complementos>Administrador de complementos...


+Info

Saludos

A mi tambien me ocurre, pero pense que era porque tenia varias pestañas abiertas

Tampoco es una cosa muy molesta