Mensajes

pues digamos que creas un pequeño programa que aparentemente no tenga nada que ver con el original, este creara el proceso de tu programa "original" y depsues con DebugActiveProcess lo depura. al estar en depuracion cuando quieran acceder a el les dira acceso denegado. de todos modos t lo pueden injectar en el que carga el programa.

si puedes pararlo, depura tu propio proceso. te haces un "lanzador" que depure el ejecutable y no podran injectarle.

Los cursos no sirven, son una kk, preferible ser autodidacta.

hombre tampoco le digas eso, es como si le dices que estudie mecanica y que informatica por su cuenta, que estudiar no vale la pena. si no se quiere dedicar a la programacion vale, pero si quiere en un futuro dedicarse a eso mejor que estudie, aprenda y tenga un titulo que lo acredite. vamos pienso yo.

las dll de visual basic no son dlls "normales" de windows, te dira que no encuentra la entrada del procedimiento tal ya que no exporta las funciones.

pones el index a 0, despues cargas el control con load control, le das las propiedades que necesite y listo para ser usado.

si mas o menos.

Pero esto es obvio que no es asi...proek, de que serviria enkriptarlo???

por logica la funcion que descifra tiene que estar sin cifrar, pq si el ordenador reconoce una instruccion como 6 y cifrada vale 8 no tiene ni idea de que le estas diciendo. ¿de que te sirve? pues desensambla un programa con upx por ejemplo y veras la rutina de descompresion pero ¿y el codigo original?

si dices que el malware es con c/c++ creo que delphideberia entrar tb ya que es comodo y deja usar asm "inline" de forma mas comoda que c/c++. desde mi punto de vista.

mas o menos es como dices pero no del todo.

supongamos que el codigo del ejecutable original esta en 4500 (ficticio). ahora tu pones tu codigo en 4800 (el que descifra) pues el entrypoint del programa a de ser 4800 (esto no es asi ya que las direcciones no son igual en disco que en memoria pero para explicarlo mas o menos sobra).

ahora tu rutina tendria un puntero a 4800 que es donde estaria el inicio de los bytes cifrados, los desencriptas y saltas a esa direccion una vez la descompresion se a realizado.


lee el formato PE, y desde luego en vb no voy a decir que no se pueda, pero que es un trabajo de chinos si te lo digo.

logico, tiene que apuntar a tu rutina para descifrar el codigo.

esque no guardas el codigo en una segunda zona (puede que alguno asi lo haga) pero poniendo el upx de ejemplo. digamos que el añade al ejecutable a comprimir la rutina de compresion y lo modifica el entrypoint para que apunte a esa rutina para que lo descomprima en cada ejecucion.

digamos que lo que hace es mirandolo de forma simpel asi:

inicio del programa (rutina que descomprime)

codigo
codigo
codigo
......
jmp direccion original donde empieza el codigo del programa.

tb te puedes encontrar compresores que añadan sus propias cabeceras y descompriman las originales en ejecucion o "poco a poco" todo depende.