Mensajes

[ftp]

Bien, yo tengo un bat k lo k hace es recoger informacion de una victima...ahora lo k falta es como puedo conseguir yo esa informacion, es decir, formas de enviar esa información a mi...

Solo se me ocurre mediante ftp...lo malo es k aún no he encontrado la manera de crear un propio server FTP ni ninguno gratuíto por aí...

Al tema...me gustaría k me dijerais como puedo enviar yo ese archivo a mi ordenador mediante Internet...solo se me ocurre FTP. ¿¿que mas formas hay??

[tasklist /NH]

Weno, eso serviría si conoces que aplicacion tiene espacio...pero es k mira...realmente yo lo k quiero hacer es guardar en varias variables el nombre de los procesos en ejecución...y en otra variable el PID de la variable.

Mi idea es ejecutar un tasklist /NH que tendrá esta salida:

Código [Seleccionar] Expandir

System Idle Process            0 Console                 0        16 KB
System                         4 Console                 0       220 KB
smss.exe                     904 Console                 0       392 KB
csrss.exe                    972 Console                 0     6.412 KB
winlogon.exe                 996 Console                 0     1.080 KB
services.exe                1040 Console                 0     7.320 KB
lsass.exe                   1052 Console                 0     2.808 KB
svchost.exe                 1212 Console                 0     6.904 KB
svchost.exe                 1264 Console                 0     6.920 KB
svchost.exe                 1388 Console                 0    22.568 KB
svchost.exe                 1572 Console                 0     5.784 KB
svchost.exe                 1652 Console                 0     6.604 KB
spoolsv.exe                 1792 Console                 0     9.172 KB
svchost.exe                  732 Console                 0     5.000 KB
nod32krn.exe                 780 Console                 0    22.200 KB
explorer.exe                 812 Console                 0    12.920 KB
nvsvc32.exe                  804 Console                 0     3.812 KB
svchost.exe                  940 Console                 0     6.864 KB
wdfmgr.exe                   544 Console                 0     1.800 KB
nod32kui.exe                1972 Console                 0     1.264 KB
TBPANEL.exe                  228 Console                 0       896 KB
ctfmon.exe                   352 Console                 0     1.904 KB
wmplayer.exe                 360 Console                 0     5.312 KB
alg.exe                     2440 Console                 0     6.024 KB
usnsvc.exe                  2876 Console                 0     2.704 KB
Virtual PC.exe              2320 Console                 0     5.668 KB
msnmsgr.exe                 1512 Console                 0    22.292 KB
MessengerDiscovery Live.e   4044 Console                 0     4.900 KB
firefox.exe                 2956 Console                 0    67.508 KB
wmiprvse.exe                3100 Console                 0     8.104 KB
cmd.exe                     2128 Console                 0     4.408 KB
tasklist.exe                2132 Console                 0     6.628 KB

Pues yo lo que quiero es almacenar en una variable pro1 el valor de uno de los procesos y en una variable pid1 el PID de este proceso.
Despues serían las variables pro2 y pid2 para el siguiente proceso...
Y así sucesivamente asta reunir todos los procesos con su PID...

El problema es sobre todo el tema de los espacios, tu aki no sabes en k kaso el ejecutable tiene espacio...despues el problema de que se acorten los procesos con nombre muy largos weno, supongo k no tendrá solución...

¿Como sería entonces para lo k yo quiero?

[C:\]

Como puedo solucionar esto?

Código [Seleccionar] Expandir

for /D %%A IN (C:\*) DO for /R "%%A" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp

Lo que quiero hacer es cojer de C:\ la lista de directorios con un FOR y pasarselo a otro FOR que realizará una accion en sus subcarpetas.
Ya sé k como con FOR /D voy a conseguir las subcarpetaas y despues voy a analizar estas se podría hacer de esta manera:

Código [Seleccionar] Expandir

for /R "C:\" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp

Pero esto no me sirve por unas razones, concretamente pork hay carpetas de C:\ que quiero excluír...es decir, el primer for guarda en %%A las subcarpetas de C:\ y despues le pasa al segundo FOR las subcarpetas que por ejemplo cumplan un cierto atributo...pero esto no importa...la cuestion es komo puedo pasarle la variable %%A a el segundo FOR, puesto que en el code que puse al principio %%A no se expande...Yo prové varias maneras pero nada:

Código [Seleccionar] Expandir

for /D %%A IN (C:\*) DO (for /R "%%A" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp)

Código [Seleccionar] Expandir

for /D %%A IN (C:\*) DO (
for /R "%%A" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp
)

Código [Seleccionar] Expandir

for /D %%A IN (C:\*) DO (
for /R "!!A" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp
)

Código [Seleccionar] Expandir

for /D %%A IN (C:\*) DO (
set tm=%%A
for /R "%tm%" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp
)

Código [Seleccionar] Expandir

for /D %%A IN (C:\*) DO (
set tm=%%A
for /R "!tm!" %%Q IN (*) DO echo "%%Q" | find "archivo" >> tmp.tmp
)

Pues ninguno de estos me funciona, por el tema de las extensiones de comando para usar !variable! ya lo habia comentado aki y no me funcionaba eso de que dentro de un parentesis si pones !variable! y tienes las extensiones de comando activadas...eso lo digo por los dos ultimos ejemplos k puse k no funcionan sobre todo...



¿¿Posibles soluciones??

[wmplayer.exe]

Weno, este es un BATCH de SirDarkCat de hace un tiempo para extraer el PID de los procesos:

Código [Seleccionar] Expandir

@echo off
FOR /F "tokens=1,2" %%i IN ('tasklist') DO (
IF "%%i"=="cmd.exe.exe" (
SET pid1=%%j
)
IF "%%i"=="wmplayer.exe" (
SET pid2=%%j
)
IF "%%i"=="MessengerDiscovery Live.exe" (
SET pid3=%%j
)
)
echo %pid1%
echo %pid2%
echo %pid3%


Pues tiene un problema k necesito solucionar...funciona siempre bien, excepto en el caso de k el .exe tenga un espacio en el nombre...

Por ejemplo en el ejemplo k puse arrivano se extraera bien el %pid3% de "MessengerDiscovery Live.exe"

El problema viene en que la variable %%i es la linea de caracteres asta k encuentrta un espacio, la variabl %%f es la siguiente, por eso cuando el proceso tiene un espacio en el medio coje como el PID "Live.exe" en este caso, ya k %%f será "Live.exe"

La salida de tasklist es así:

Código [Seleccionar] Expandir

Nombre de imagen             PID Nombre de sesión Núm. de  Uso de memor
========================= ====== ================ ======== ============
System Idle Process            0 Console                 0        16 KB
System                         4 Console                 0       220 KB
smss.exe                     904 Console                 0       392 KB
csrss.exe                    972 Console                 0    10.608 KB
winlogon.exe                 996 Console                 0     1.620 KB
services.exe                1040 Console                 0     7.268 KB
lsass.exe                   1052 Console                 0     1.480 KB
svchost.exe                 1216 Console                 0     6.904 KB
svchost.exe                 1272 Console                 0     6.744 KB
svchost.exe                 1396 Console                 0    25.504 KB
svchost.exe                 1612 Console                 0     5.572 KB
svchost.exe                 1716 Console                 0     6.612 KB
spoolsv.exe                 1812 Console                 0     7.740 KB
svchost.exe                  504 Console                 0     4.976 KB
nod32krn.exe                 572 Console                 0    22.048 KB
nvsvc32.exe                  620 Console                 0     3.952 KB
svchost.exe                  656 Console                 0     6.676 KB
wdfmgr.exe                   708 Console                 0     1.780 KB
alg.exe                     1892 Console                 0     5.912 KB
explorer.exe                 792 Console                 0    52.800 KB
nod32kui.exe                1672 Console                 0     2.260 KB
TBPANEL.exe                 1692 Console                 0     5.460 KB
ctfmon.exe                  1584 Console                 0     5.836 KB
MessengerDiscovery Live.e    324 Console                 0     9.028 KB
usnsvc.exe                  3636 Console                 0     2.596 KB
LVCOMSX.EXE                 3220 Console                 0     4.616 KB
firefox.exe                 2464 Console                 0   111.456 KB
HelpCtr.exe                 3020 Console                 0     2.992 KB
HelpSvc.exe                 3984 Console                 0    13.948 KB
HelpHost.exe                2936 Console                 0    10.792 KB
cmd.exe                     3096 Console                 0     4.400 KB
cmd.exe                     1596 Console                 0     1.628 KB
wmplayer.exe                2836 Console                 0     6.128 KB
cmd.exe                     3256 Console                 0     4.396 KB
tasklist.exe                2480 Console                 0     6.620 KB
wmiprvse.exe                1360 Console                 0     7.896 KB

Pues por ejemplo de wmplayer.exe cojerá como PID 2836 por lo k funcionará...pero el de MessengerDiscovery Live.e Solo cojerá MessengerDiscovery como ejecutable en %%i y como PID Live.e que es %%f

Aún por encima de eso me acabo de dar cuenta de otra cosa, si el ejecutable tiene el nombre muy largo no lo cojerá correctamente...supongo k esto se puede aumentar aumentando el bufer de ancho de la consola...tengo k provar...

Weno, el tema k mas me interesa es el del problema k se causa cuando el ejecutable tiene un espacio (o mas) por medio...y weno lo de k si el ejecutable es largo se acorta tambien me imprta...

¿Como areglariais eso?

Saludos

[TList]

Pienso k no existe, prueva TList pero este pienso k es para windows 2000, para home pienso k no existe

[tskill]

Prueva con el tskill

En Windows XP Home Edition no existe el taskill, pero en su lugar hay el tskill

En Windows XP Proffesional solo existe el taskkill

El problema: independientemente del offset hasta las instrucciones consideradas como maliciosas, ciertos AVs no miran el offset si no, si contiene una serie de instrucciones independientemente de la localización de estas.

Eso es la heurística, no conseguireis nada modificando offsets para libraros de la heurística, para libraros de la heurística tendreis que ingienaroslas para saber que funcion del codigo es "sospechosa" para un AV y sustituirla por una alternativa


Este programa debería servir para detectar el offset que hace detectable al troyano, no para volverlo indetectable, una vez conocido el offset el resto lo tiene que hacer el user como mejor considere, aunke si k se puede añadir un editor hexadecimal...

y está claro que en ningun momento por mucho que partas no se puede modificar el contenido original...

Yo no se mucho de VB...pero weno...daré las ideas que pueda...

Lo que veo mas dificil en el proyecto y estaría muy bien es que el programa te analizase el automaticamente los archivos...o k los enviara al KIMS o Virustotal (siempre opcion voluntaria) para comprobar en cada caso...explico mejor mi idea:

-Primero analiza el archivo y guarda los resultados...lo parte en dos y analiza los dos...el k no sea detectado por el AV se desecha y el k sigue a ser detectado se vuelve a partir en 2, y así sucesivamente...cada vez un cachito (o varios) asta k al partir no sea detectado por nada...eso significa que acabas de partirlo al medio (los offset k son detectados) entonces vuelve a cojer un conjunto mas amplio y analiza, e intenta conseguir los offset que son detectados...

En vez de dos cachos se podría poner una opcion modificable...para poder elegir partir en vez de 2 por ejemplo 5 o en las partes que quieras...para acelerar el proceso...ademas así pruevas de varias maneras y mal será que si una vez lo partes en 2, otra en 3, otra en 5 y otra en 7 en alguna de ellas no partas el offset...

El problema es si parte en dos los offset que son detectados (es raro y puedes hacer lo k dije antes) Pues eso significa que donde partiste está el offset...y como sabes? Pues si al analizar las dos partes el AV no te detectará ninguna de las dos es k aí partiste el offset.


Saludos y suerte

[staff@elhacker.net]

Pues el otro dia sin hablar con nadie una amiga me envio esta divertida animación de bush



Oculto las direcciones originales para que ningun graciosillo ande a crear mas variantes por aí...

Os voy enviar ahora el archivo a staff@elhacker.net

EDIT: El link ya no está disponible...

Era esté:

http://videosgratis.gratishost.com/bush.exe

Por cierto...si buscais bush.exe en Google seguro k aparece algo...voy a mirar...

Saludos

Pues a mi una amiga me enviava eso de bush.exe pero pensé k sería un virus cualkiera...ahora ya no le pasa...k pena...llego a saber y lo bajo...ahhh...voy mirar en el historial de conversaciones

Después si lo encuentro os lo mando y yo tambien lo analizaré en una maquina virtual...

Saludos

Pienso k depende de la resolucion...Miar yo tengo de resolución 1600x1200 y lo veo mucho mas grande, existe la scroll bar inferior pero se todo mi avatar...yo pensaba k se veia igual a resoluciones inferiores pero ya vi en la imagen que pusiste que no

Esta imagen es como veo yo mi avatar:



La verdad es k me decepciona bastante pork mi avatar es bastante pekeño...yo a resoluciones altas (1600x1200) los veo casi todos bien (no todos) pero ya veo como lo ven la gente k tiene resoluciones mas bajas (la mayoría)

Saludos