Duda sobre los antivirus

[Senior++]

Buen amigos tengo una duda que no entiendo por que pasa...

imaginaros yo tengo 1 server de un troyano y ahora yo se lo envio a alguien y ahora ese alguien lo ejecuta (le da doble clic) ahora todo bien su antivirus no lo detecta bla bla bla y ahora cuando reinicia ya no tengo el control sobre ese usuario.. luego instalo su antivirus a ver si ya es detectado mi Antivirus pero veo que no es detectado

Entonces por que al reiniciar el pc me lo detecta a que se debe eso?


Saludos

[WaAYa HaCK]

Puede ser porque en general los AV tienen dos modos de detección: Runtime y Scantime.
Si le envías a alguien un server y no lo detecta, es posible que sea indetectable por Runtime. En cambio, algunos AV crean un log del sistema y, al iniciar, crean otro y lo comparan. Si algo ha cambiado, inician un escaneo. Entonces, si tu server es detectable por Scantime, lo encuentra y lo borra.

Saludos!

PD: Algunos crypters dejan el server indetectable en Runtime y Scantime, pero cuidado de que no te jodan el server.

[Senior++]

y como se si ese crypter es Runtime y Scantime.?

Saludos

[SuperDraco]

No es por eso. (De todas formas puedes comprobar en el log si sale algo o no sale nada.)

Posibilidad 1: Al server no le has añadido/Configurado las opciones para mantenerse después de cada reinicio.

Posibilidad 2: Tiene UAC activado. (Con uac activado ya puedes ejecutar los troyanos que quieras, que si indicas que se instalen en "System32" o carpetas protegidas de windows... al reiniciar se eliminan todos los archivos y es como si no hubiera existido nunca, y obviamente, como si nunca se hubiera infectado).


Solución a la posibilidad 1: Es obvia.  

Solución a la posibilidad 2: Intenta usar otra ruta por defecto, por ejemplo "Program files", o intenta usar Vista UAC Maker.

y como se si ese crypter es Runtime y Scantime.?

Leete la descripción del cripter o Preguntale al autor.


saludosss

[Senior++]

Bueno te explico el que yo uso es el ProSpy 2011

osea que tengo marcada la Opcion iniciar servidor con windows
y el Mutex

Listo solo eso.. del Uac no me dice nada.
otra cosa.. el problema es cuando el tio/a reinicia el ordenador.. (es amigo mio)

entonces yo le dije que si al reiniciar le decia el antivirus algo..

Y me dijo que si que le salia eliminando archivos

entonces yo le dije que se descargara de nuevo el server y el antivirus no lo detecto . Entonces no le veo logica ninguna ya que el antivirus no lo detecta

Bueno gracias

[SuperDraco]

Pues si el AV dice que lo detecta, Pues va a ser que si que lo detecta...

No pierdas el tiempo, acabas antes buscando otro crypter o dejando el stub que usas FUD, sacale firmas o con el ollydbg.