PE EXE

[karabas-barabas]

главное чтоб тебе подходило на c++ в 2-3 строчки можно функу накатать и потом рипнуть asm код если в асме не силен

 

[karabas-barabas]

кстати тут заходила тема про стадии создания процесса , вот выкладываю из исходников винды в которых сегодня капался, может кому-то пригодиться аналог CreateProcessW

exfile.ru/115487

 

[Chococream]

---

 

[Chococream]

---

 

[karabas-barabas]

либо юзать стаб, который будет распаковвывать файл и запускать его.

что под этим подразумеваешь ? распаковка на диск и запуск через WinExec ?

 

[Chococream]

karabas-barabas
Смешно

Грузить пе лоадером файл(естественно с анти* мутнёй) и запускать его в памяти либо юзать стаб, который будет распаковвывать файл и запускать его.

Это фраза значит, если вы не поняли:
Допусти ксор секции, постановка новой секции с декриптором и прочей анти* мутнёй(ксор по желанию можно заменить на любой другой алго) и запуск непосредственно из декриптора.
Также есть стабы, которые прячут файлы в отдельных секциях или ресурсах, а потом уже работая как пе_лоадер запускают файл в память.

Вот хотелось бы услышать мнения по поводу плюсов и минусов данных способов.

 

[karabas-barabas]

многие трои любят инжектировать свое тело в другие процессы...
если такого троя криптануть upx то при инжекте он слетит в памяти другого процесса...
так что этот фактор нужно учитывать...стараться не сипользовать в шифровщике абсолютных значений. Смторя какого троя... который не инжектит свое тело можно использовать pe loader... хз надо на практике проверять

 

[Chococream]

Спс за подсказки.
Понакачал себе крипторов - сижу понемногу изучаю.
Пока основной скелет написал, но вот с оболочкой(фэйсом) опять заковырки выходят. Что посоветуете, мб на дельфях формы кидать ?

 

[karabas-barabas]

я вот делал - реализовывал весь алгоритм в длл, и на C# колбасил форму - и делал тока LoadLibrary/GetProcAdress и вызывал нужную функу в длл

 

[accelerator]

Допусти ксор секции, постановка новой секции с декриптором и прочей анти* мутнёй(ксор по желанию можно заменить на любой другой алго) и запуск непосредственно из декриптора.
Также есть стабы, которые прячут файлы в отдельных секциях или ресурсах, а потом уже работая как пе_лоадер запускают файл в память.

Вот хотелось бы услышать мнения по поводу плюсов и минусов данных способов.

Однозначно второй способ лучше, у первого есть преимущество только в том что его проще реализивать. По сути, в первом варианте свой лоадер и не используется, Windows загрузчик спроецирует ехе в память, а декриптор расшифрует секции и передаст управление на OEP. В таком варианте АВ задетектит ехе по структуре, по сигнатурам из секций, которые не закриптовались, вплоть до детекта по РЕ заголовку. Во втором же случае шифруется весь ехе-файл.