Evadir el antivirus

[yovaninu]

Hola que tal, espero puedan orientarme con este tema.

El avira (y lo mas seguro otros antivirus) me esta detectando mi proyecto en VB de troyano como malware, lo sé, era de esperarse ya que las llamadas a la API o al registro de Windows lo hago asi, sin ningun tipo de cifrado o algo parecido. Mi pregunta es: ¿Hasta la fecha hay algun metodo efectivo que ayude a saltarse el antivirus?.. He leido sobre cifrar el proyecto pero al menos el de Karcrack no me ha funcionado, deja muchas lineas en rojo, tambien lo de las llamadas a las APIS no de la forma convencional sino de una tal que el antivirus no lo detecta, aun asi el tema no me ha quedado muy claro y por eso el motivo del post.

Desde ya gracias por su ayuda.

Saludos.

[x64core]

hola buenas pues eso es algo dificil aunq hay muchas tecnicas
primeramente un buen cifrado estaria bien a todas las cadenas q puedas
y con eso de llamar a las apis puedes usar un metodo para llamar a las Apis por su nombre:

code by cobein:

Código (vb) [Seleccionar] Expandir

Declare Sub RtlMoveMemory Lib "kernel32" (dest As Any, src As Any, ByVal L As Long)
Declare Function CallWindowProcA Lib "user32" (ByVal addr As Long, ByVal p1 As Long, ByVal p2 As Long, ByVal p3 As Long, ByVal p4 As Long) As Long
Declare Function GetProcAddress Lib "kernel32" (ByVal hModule As Long, ByVal lpProcName As String) As Long
Declare Function LoadLibraryA Lib "kernel32" (ByVal lpLibFileName As String) As Long

Function CallApiByName(ByVal sLib As String, ByVal sMod As String, ParamArray Params()) As Long
On Error Resume Next
   Dim lPtr                As Long
   Dim bvASM(&HEC00& - 1)  As Byte
   Dim I                   As Long
   Dim lMod                As Long
 
   lMod = GetProcAddress(LoadLibraryA(sLib), sMod)
   If lMod = 0 Then Exit Function
 
   lPtr = VarPtr(bvASM(0))
   RtlMoveMemory ByVal lPtr, &H59595958, &H4:              lPtr = lPtr + 4
   RtlMoveMemory ByVal lPtr, &H5059, &H2:                  lPtr = lPtr + 2
   For I = UBound(Params) To 0 Step -1
       RtlMoveMemory ByVal lPtr, &H68, &H1:                lPtr = lPtr + 1
       RtlMoveMemory ByVal lPtr, CLng(Params(I)), &H4:     lPtr = lPtr + 4
   Next
   RtlMoveMemory ByVal lPtr, &HE8, &H1:                    lPtr = lPtr + 1
   RtlMoveMemory ByVal lPtr, lMod - lPtr - 4, &H4:         lPtr = lPtr + 4
   RtlMoveMemory ByVal lPtr, &HC3, &H1:                    lPtr = lPtr + 1
   CallApiByName = CallWindowProcA(VarPtr(bvASM(0)), 0, 0, 0, 0)
 
End Function

para usarla la funcion el primer parametro debe de ser la libreria que pertenece la API ( kernel32, user32, ect) el segundo el nombre de la API ( sleep,createprocess, ect) , el tercer los parametros de la api como vez en la funcion el ultimo argumento es un array asi q no importa cuantos parametros tenga la api la funcion se acoplara a ellos

Código [Seleccionar] Expandir

Function CallApiByName(ByVal sLib As String, ByVal sMod As String, ParamArray Params()) As Long


cifra los nombres de las api talvez te sirva mi ayuda 

[yovaninu]

Opte por reescribir el servidor dese cero y me doy con la sorpresa de que lo que AVIRA detecta como malware es el CSocketMaster, lo puse en un proyecto en blanco y al tratar de generar el exe, el antirus salta. Hay opciones para esto?

[yovaninu]

En fin... como dice Raul va a ser un tanto dificil burlar al antivirus... supongo que ahora me toca probar a tratar de hacer indetectable el server, no veo otra opcion, mi consulta ahora es ¿cual metodo uds me recomiendan?, hay muchos que abundan por la red y preferiria espera a una opinion de ustedes para iniciar con uno de ellos como son el Metodo Rit,Modificacion Hexadecima,Crypters entre otros.

[BlackZeroX]

Hay una manera para el CSocketMaster... solo debes modificar las apis de Cierto modo para que no lo detecte, o mas simple, seria reescribir otra clase para sockets...

Dulces Lunas!¡.

[yovaninu]

Hay una manera para el CSocketMaster... solo debes modificar las apis de Cierto modo para que no lo detecte, o mas simple, seria reescribir otra clase para sockets...

Dulces Lunas!¡.

Ojala pudieras orientarme mas al respecto... y una consulta black... he notado que CSockeMasterPlus al parecer no es detectado... a parte de que este ultimo usa un arreglo para su funcionamiento ¿cual es la diferencia con el Csocketmaster?, pienso reescribir mi server con el plus y necesito una opinion favorable para hecerlo

Saludos