Mensajes

Código [Seleccionar] Expandir

http://www.cobein.com/wp/wp-content/2010/08/Zombie.zip

El dominio advancevb se cayó pero sigue estando toda la copia en el de Cobein

Código [Seleccionar] Expandir

http://cobein.com/wp/?p=567
Aquí tienes otro método para cargas las APIs dinámicamente y abajo del todo esta el TLB que necesitas Por cierto, no necesitas declarar dos veces RtlMoveMemory() aunque la utilices en distintos módulos... desde el TLB queda como función Public

[TheSwash]

La parte que te detecta como bien dice TheSwash es la estructura más básica del PE... Lo que ocurre es que si modificas eso el Avira ya no detecta el fichero como un ejecutable válido y ya no lo analiza...

Cual es el nombre de la detección?

Primero de todo tienes que saber que parte de la cabecera te detecta... tal vez tengas dos secciones ejecutables o ese tipo de cosas que a los AVs no les gusta

Utiliza esta pequeña modificación:

Código [Seleccionar] Expandir

http://foro.elhacker.net/programacion_visual_basic/asmvb6invoke_llamas_apis_sin_declararlas_kinvokebas-t290072.0.html;msg1489017#msg1489017
Esta mucho menos quemada

Si dices que te lo detecta antes de agregar la información debe ser con total seguridad cuestión de las importaciones de VB6... Ves quitando APIs a ver cuales te detecta... o mételas todas en un TLB...

Utiliza un código más reciente, ese esta quemadisimo

Tristemente no tengo tiempo ahora para ponerme a debuggear esto... De todas formas no veo donde estas parcheando la vTable... :S Es decir... la función FrameCallBack() no tienes porque declararla si estas usando código ASM... puedes pasar directamente el puntero al array de Bytes que contiene el código y se ejecutará... Que es lo que hace ese código ASM?

Por otra parte, las funciones que hay en las clases no funcionan del mismo método a la hora de recibir y devolver variables... el stack guarda otra información despues de los punteros.. y para devolver variables no se mete el resultado en EAX sin más... se mete en otra dirección y se indica el tipo en EAX... es algo extraño xD De aquí unos días tendré tiempo libre... entonces lo miraré

Elige un Antivirus... instalatelo en una máquina virtual... toma un snapshot del registro, añade un fichero a la lista de excepción de forma manual... toma otro snapshot del registro... compara... y TACHÁN! Conseguido! Si escribe en el registro sabrás ya en que clave... en caso de que utilice un fichero propio no descubrirás nada raro...

No debe darte ningún problema siempre que la máquina virtual tenga acceso a internet... eso sí... has de tener en cuenta que no sirve localhost/127.0.0.1 sino que debes poner la IP externa o algún DNS como no-ip...
También podrías conectarte creando una red local entre la máquina virtual y la anfitriona... pero me parece trabajo sin sentido

Que código utilizas para hacer las llamadas de forma dinámica? Tal vez uses uno muy quemado... te recomiendo modificar un poco esos códigos ya que enseguida los AVs les ponen firmita...