Правка фаила hosts

[BlackSage]

Проблема вот в чем. Пишу маленькую программу-шутку которая добавляет значение в windir/sys32/dirvers/etc/hosts.
К сожалению некоторые антивирусы страшно палят это при попытки изменить файл
И я хотел-бы спросить у вас, не посоветуете ли какого-либо механизма воздействовать на этот файл в обход антивируса.
Буду рад любым предложениям.

 

[warlok]

возьми криптани чемнить или пакером запакуй

 

[VIDESH]

Как я понял, вопрос состоит не в палевности файла, а в том, что антивирь отслеживает изменения файла hosts другими приложениями.

Вывод: нужно отрубить антивирь, или попасть в его доверенную зону.

Неплохо было бы указать антивирь, на который рассчитывается

 

[karabas-barabas]

он наверно имеет ввиду проактивные защиты а не паленность самого троя...
попробуй сделать чтобы прога делала спец батник который будет делать правку хостс, к твоему большому сожалению никто тебе одэя и привата не расскажет... для каждой защиты надо свой подход делать, против киса можно попробовать через rundll32 запустить код , не знаю против аутпоста жив ли еще метод снятия хуков в ring3... ну и самоудаление как рулило так и рулит...

p.s. не нужно делать 100% пробив,чтобы самые сложные защиты пробивать, сделай чтоб 70-80% пробивало без проблем

да еще почитай статью про обход кис7 на васме, нужно каким либо образом попасть в память доверенного процесса , а оттуда уже править хостс

 

[BlackSage]

VIDESH
karabas-barabas - именно.
Спасибо огромное за ответы, попробую реализовать.
И да, почитаю васм.
Антивирус - TrendMicro. (нод как и ожидалось не реагирует)

 

[karabas-barabas]

стремный авер какой-то, попробуй инжектиться следующими способами: класически, через контекст, без writeprocessmemory, глобальную ловушку, appinint's. может прокатит шота против этого авера

 

[MAXNM]

эммммм

ну вот ->

#include <stdio.h>
void main()
{
    FILE *fp; 
    const char *fname = "e:/windows/system32/drivers/etc/hosts";     
    if ((fp = fopen(fname, "a")) == NULL) return;     
    fprintf(fp, "\n1.1.1.1 one.ru");
    fclose(fp);    
}

могет ченить такое) у меня вроде ниадин ав его не палит о_О

 

[karabas-barabas]

могет ченить такое) у меня вроде ниадин ав его не палит о_О

Это же 0day! нафига ты его в паблик выложил ???!!! ты реальную фишку спалил :cry2:

 

[MAXNM]

ну, фаелвол только нахуй посылает

нод32+аутпост

 

[BlackSage]

0day ))
Палит конечно же... ничего. я работаю в этом направлении, будут результаты сообщу!
MAXNM - всеравно спасибо за предложение.