Mensajes

Bueno, le comente a Elektro hacker para hacer un ofuscador para la utilidad.

Para ello voy a iniciar un pequeño "log", de las detecciones de los antivirus y cambios que se realicen para evadirlos.

LINK:http://foro.elhacker.net/scripting/datos_analisis_av_continuado_virulator_rutinas_ofuscacion_nuevas-t367258.0.html

Nos vemos por el foro.

Primer scan del archivo main:

Virulator 1.0c- 18/06/2012

SHA256:   4a99d68c76d7f9d7812c4360294148805f0d70622a25e330277b7dece8c5d68d
SHA1:   e23ffba2a2ad7bba7b52ac76e3fc334d0ba2f1a6
MD5:   48bb0d3b6f23dbc1ffece80e42ec3612
Tamaño:   109.7 KB ( 112372 bytes )
Nombre:   virulator.bat
Tipo:   unknown
Detecciones:   4 / 40
Fecha de análisis:    2012-07-18 19:45:53 UTC ( hace 1 minuto )

AhnLab-V3   -   20120718
AntiVir   -   20120718
Antiy-AVL   -   20120717
Avast   VBS:QHost-D [Trj]   20120718
AVG   Hosts   20120718
BitDefender   -   20120718
ByteHero   -   20120716
CAT-QuickHeal   -   20120718
ClamAV   Trojan.Qhost-264   20120718
Commtouch   -   20120718
Comodo   -   20120718
DrWeb   -   20120718
Emsisoft   -   20120718
ESET-NOD32   -   20120718
F-Prot   -   20120718
F-Secure   -   20120718
Fortinet   -   20120718
GData   VBS:QHost-D   20120718
Ikarus   -   20120718
Jiangmin   -   20120718
K7AntiVirus   -   20120718
Kaspersky   -   20120718
McAfee   -   20120718
McAfee-GW-Edition   -   20120718
Microsoft   -   20120718
Norman   -   20120718
nProtect   -   20120718
PCTools   -   20120718
Rising   -   20120718
Sophos   -   20120718
SUPERAntiSpyware   -   20120718
Symantec   -   20120718
TheHacker   -   20120717
TotalDefense   -   20120717
TrendMicro   -   20120718
TrendMicro-HouseCall   -   20120718
VBA32   -   20120718
VIPRE   -   20120718
ViRobot   -   20120718
VirusBuster   -   20120718

*Notas: Buscar información acerca de Qhost y sus funciones.

Se irán añadiendo las modificaciones y los respectivos escaneos.

2-

----------

SHA256:   d5895764cd489edf0b9699de3f9ac90c6c82e69687fea95f7d68a13b53097992
SHA1:   f1c20e88816f33fc1c29ec0308ff66a69928ea43
MD5:   7a5f29c59317841d1c91dac118b56482
Tamaño:   8.2 KB ( 8367 bytes )
Nombre:   virulator.bat
Tipo:   unknown
Detecciones:   1 / 44
Fecha de análisis:    2012-10-10 18:35:29 UTC ( hace 0 minutos )

Agnitum   -   20121010
AhnLab-V3   -   20121010
AntiVir   -   20121010
Antiy-AVL   -   20121009
Avast   -   20121010
AVG   -   20121010
BitDefender   -   20121010
ByteHero   -   20121009
CAT-QuickHeal   -   20121010
ClamAV   -   20121010
Commtouch   -   20121010
Comodo   -   20121010
DrWeb   BATCH.Virus   20121010
Emsisoft   -   20120919
eSafe   -   20121009
ESET-NOD32   -   20121010
F-Prot   -   20121010
F-Secure   -   20121003
Fortinet   -   20121010
GData   -   20121010
Ikarus   -   20121010
Jiangmin   -   20121009
K7AntiVirus   -   20121010
Kaspersky   -   20121010
Kingsoft   -   20121008
McAfee   -   20121010
McAfee-GW-Edition   -   20121010
Microsoft   -   20121010
MicroWorld-eScan   -   20121010
Norman   -   20121010
nProtect   -   20121010
Panda   -   20121010
PCTools   -   20121010
Rising   -   20121009
Sophos   -   20121010
SUPERAntiSpyware   -   20121010
Symantec   -   20121010
TheHacker   -   20121009
TotalDefense   -   20121010
TrendMicro   -   20121010
TrendMicro-HouseCall   -   20121010
VBA32   -   20121009
VIPRE   -   20121010
ViRobot   -   20121010

Sorprendente-mente ahora solo es detectado por dr.web :S

Bueno, por lo visto o el código a cambiado o los antivirus han cambiado.

Esto era para ver como los antivirus lo detectaban más cada vez y ir viendo en que se fijaban.

Visto que les da igual en general lo que ejecuta el archivo tan solo con cambiar el orden y rellenar muy posiblemente dr.web saldría de la lista. Otra posibilidad es que sea una funcion especifica de batch o una implementacion de la propia aplicación, en cuyo caso se verá cuando pruebe la parte de batch del ofuscador que preparo.

Si la próxima prueba que hago dr.web sale y queda totalmente limpio dejaré de postear aquí escaneos ya que tendré la función que hace saltar dr.web(en caso que no sea por checksum o algun tipo de firmas) y se incluira como la parte de batch del ofuscador que preparo.

Si no pues se ira viendo a ver que hacen los antivirus.

Advertencia:Esto es un experimento, cualquier parecido con algo profesional es pura casualidad.

Pifiaste, hay mucha complicidad de la policía .... billete de por medio arreglan, ¿o por qué pensas que las redes de tratas están con tanta libre circulación? hay policías que incluso investigan y desde arriba le bajan la orden de "no" .... o incluso por prejuicios propios no se investiga las redes de pederastas (es un HORROR que haya chicas trans de menos de 14-15 años prostituyéndose y por que son trans no se les considere menores ni a eso abuso infantil)
Qué ganas de criticar por criticar, no dejan pasar una viejo .... incluso si toca hablar de algo que no saben

Saludos.

Si, no tendría que incluir a todo el mundo es cierto.

Pero por ejemplo aquí en España han cojido a una red de policías y técnicos de inteligencia del CNI que traficaban con datos de las personas.

Me retracto:
si quieren detener pederastas que se hagan policías y que no se vuelvan corruptos.

La gente no entiende que si das datos de personas que ya seguía la policía puedes hacer que se esfumen sin dejar rastro? Lo mejor seria enviarlo a la policía y no publicarlo en internet hasta que ellos digan.

Bueno a veces las cosas no son muy grises...

Con dos cojones xDD

La gente no entiende que si das datos de personas que ya seguía la policía puedes hacer que se esfumen sin dejar rastro?

Me parece que se están pasando, tanto aparentar para que, si quieren detener pederastas que se hagan policías no?

No se es bastante ambiguo...

gracias m0rf, supongo que los diccionarios tienen que estar en fomato txt ...
Asique lo probaré, un saludo!

Exacto es .txt a menos que la aplicación que utilices utilice otro formato.

Pruebalo haciendo un diccionario con 4 words, que una de ellas sea tu key en el router o en el server al cual intentes acceder.

Si solo lo quieres para ver si funciona puedes hacerlo así. Ahora si estas auditando un sitio de verdad, el generador de diccionarios te va a ir bastante bien. Aunque no soy muy amigo de usar la fuerza bruto.

Saludos.

enviale la IP de la policia PERUANA , nos harías un gran favor !!



saludos.

Ante todo respeto, puede parecer que me excedo con mis respuestas pero es lo mejor para el usuario.

Solo quiero demostrarle que por ese camino no va muy bien, aunque todos los caminos tienen un principio, sea malo o bueno.

No he recibido respuesta por cierto, seguramente duerme o no le iba bien, ya le dije por mp.

Esa risa que sale en el chat... me recuerda al chat del lammo ese Cascahuevos y su pagina "juankea msn"...

No te creas un super-mega-juanker porque no lo eres.. ni te comportes como tal porque da pena..

Saludos

Ahora es cuando le paso la ip y me explota el router xDD

R1 revisión 1
R2 revisión 2

Para saber las diferencias mira el changelog.

Saludos.