TDL3/4

[Chococream]

Часть сорцов тдла, третьей версии - только для ознакомления!

Пароль: damagelab_KJSD(csvsdioiw*^

 

[greenzy]

код паблик довольно давно

 

[greenzy]

В архиве лежат: свежий сэмпл расшифрованного драйвера, idb файл ida 6 (более ранние версии не отроют файл), файл с комментариями.
Пока проанализированы (хотя, могу и ошибиться) только функции внедрения dll.
Примерная карта следования:

DriverEntry
|
TDL_Init
|
LoadImageNotify(PsSetLoadImageNotifyRoutine)
|
получение адресов функций
|
APCInjectRoutine(KeInitializeApc)
|
WIInjector
|
DllInject_
|
DllInject

В скором времени будет выложен исходник инжектора и алгоритм скрытия.

 

[greenzy]

Вполне работоспособный кодес для внедрения шелл кода из ядра

 

[Left4Dead]

Драйвер TDL3 (/dm_builder/clean/tdlserv.sys) в некриптованном виде, слил с командного сервера Догмы, возможно пригодится для анализа.

Добавлено в [time]1313398493[/time]
Чья-то попытка восстановить исходник TDL3

 

[greenzy]

реверс четвертой версии
https://xss.pro/index.php?topic=21990

 

[el-]

greenzy, мб перенести её сюда ? дабы была общая тема про тдл ? если думаете развивать ...

 

[greenzy]

да, перенеси её

 

[el-]

слайды с vb2011 про буткиты, в том числе tdl
новая запись в блоге есет про тдл

 

[el-]

http://labs.bitdefender.com/?p=830