4. Скачать и запустить exe без дропа на диск
Хочешь сказать,что 90% работников сидят на виртуалках?
с покажет с рантаймом я бы поспорил. Есть варик сделать простой крипт. Записать данные в стаб + антиэмуляция. Хоть как-то можно защитить на некоторое время сигнатуру лодыря. Делается прост так. В стаб записывается зашифрованный наш лодырь. После антиэмуляции/антиоткладки в памяти криптор запускает наш зверек. Если она под песочницей то прога обртано отгружается. (не спасет от нода + сканеров памяти, но хотя бы что-то). + в будущем можно прост чистить стаб и все
Как антиэмуляция связана с антиотладкой? И причем тут песочница? И ты знаешь, что такое сигнатура?
прост в вм нету логов жирных и мало замечал, что обычный юзер работает через вм. Лан, там качают и тестят на то работает ли или нет. Я вот отключаю, мб там Квейк пытается реверсить мою прогу xD
Какой в этом смысл? Если все перед тем как проливать с лоадера криптуют билд.
Я планирую использовать планировщик не с целью как-либо скрыться в системе, а просто для автозапуска. Это не так задрочено, как тот же авторан через реестр/startup folder.
Ни как не связана. Это способ защитить программу. Антиэмуляция - от песочниц аверов (если мы под песочницей, то завершаем прогу). Антиоткладка - чтоб не реверсили. Написал с целью чтоб просто защитить прогу на некоторое время, чтоб ОСНОВНОЙ ЛОДЫРЬ не набирал детектов
Каких песочниц? Эмуляция - это не песочница... Почитай теоретическую часть перед тем, как писать.
мало кто криптует билд для того чтоб через лодырь грузить. Я в практике мало замечал такое. В основном грузят +/- кейлогер, клипер, стилер. Они та и детекты на лодырь набирают. Народ думает ай ля, через лодырь подгружу билды, посмотрю как там сложится. В идеале - криптовать нужно и лоадер резидент проживет долго, не спорю. С планировщиком согласен, прост когда я делал - палила. мб криво делал.
мб не правильно выразился, но концепт понятен думаю. Эмулятор антивируса*
От детектов ты таким образом не убежишь. Что будет, если у юзера, который подошёл под твои "аргументы" на ПК окажется установлен какой-нибудь условный аваст? Билд улетит в облако, дядьки-индусы расковыряют твой билд "ага значит этот софт начинает творить непотребства только при наличии того-то того-то, делает ... ..., накинем-ка детект". Нужно косить под легитимный софт.
Кста, как это сделать вообще. Я пытался реверсить легет софты, смотреть в их импорты таблицы и делать примерно такое же у ся. + смотрел как ведет себя программа. Не знаешь материала где об этом почитать?
Не веди себя как малварь, вот и всё.
легко сказать, когда кленты грузят под твой максимально не косящий на малварь лоадер весь красный стилак... Кста, вроде доверие у аверов появляется после того как они просканируют несколько раз прогу (тип убедиться, что это рил продукт, он существует и т.д. здесь мне помогает иногда всякие подписи, сертификаты).
из тех что я видел - да, при чем даже если по итогу доступ есть на пк в офисе, то на пк один хер висит либо рдп на виртуалку, либо цитриксы
С чего ты взял? Еще 3 года назад, когда была эпоха говномайнеров, то каждый добавлял себя в автозагрузку через cmd /c at...
кста, у меня была идея +/- как сделать норм автозагрузку. Тут надо во-первых понять, как служба/процесс начинает действовать/убивается при завершении работы. Концепт заключается в том, что малварь создает ярлык на доверенное приложение в папке автозагрузки, перед выключением путь ярылка меняется на малварь. после включения малварь запускает функуию, которая меняет путь ярлыка на норм приложения. Не тестил пока, руки не доходили. Но многие методы под типу папка автозагрузи, планировщик, реестр уже задроченная тема.
Можно достать все ключи из CurrentVersion\Run, перейти по пути из ключа, заменить оригинальный файл на батник, который запустит твою малварь, оригинальный файл. Но опять же, не факт, что получится это сделать из-под lowil.
lowil скорее всего не получится. нужно подыматься. Но тут тож есть задроченные методы. Вообще РЕЗИДЕНТ лоаедры сложная тема в плане правильного написания, детектов. Кста, ты решил (или знаешь) как ты будешь обходить файрвол? Ну, наверное гейт должен быть по 80 хттп.
