[C#] как спрятать свое чудо от антивирусов ?

[MangaM]

Знаю что можно накинуть обфускатор и мусорного кода, но хотелось бы чего то еше, по сколько после обфускатора чистый exe начинает детектиться и приходится изьебнуться чтоб он стал чистым. Хотелось бы написать свой криптор для .NET но не понимаю в какую сторону вообще гуглить и с чего начать. Если кто-то знает за крипторы для .NET, то подскажите дураку, и подбросьте пару советов как еше можно обходить АВ по мимо крипторов и обфускаторов ?

 

[user]

зачем писать криптор если на руках есть исходный код ? да и написть хороший криптор задача не из простых, если интерес как это всё работает то загугли например C# reflective loader ну и по форуму достаточно много информации для изучения

 

[CheckerChin]

Ну если вы пишите криптор на C# для C#, то вот это:

Assembly.Load ÐеÑод (System.Reflection)

ÐагÑÑÐ¶Ð°ÐµÑ ÑбоÑкÑ.

docs.microsoft.com

Шифрование надеюсь сами загуглите...

 

[DildoFagins]

На фреймворке 4.8 всё, что загружает CLR (не важно через Assembly.Load или через другие методы, все вызовы в итоге вызывают один и тот же метод) отправляется на сканирование через AMSI, так что перед вызовом хорошо бы AMSI отрубить. И ETW тоже, поскольку информацию о загруженных в память Assembly всякие process explorer'ы получают из ETW обычно.

 

[y2k4c3]

I know that you can throw an obfuscator and garbage code, but I would like something else, how much after the obfuscator a clean exe starts to be detected and you have to beat it to make it clean. I would like to write my own cryptor for .NET, but I don’t understand in which direction to google and where to start. If someone knows about cryptors for .NET, then tell the fool, and throw a couple of tips on how else you can bypass AB by cryptors and obfuscators?

You can try different types of injection before deployment of the full malware. See for example scarecrow on git

 

[MangaM]

На фреймворке 4.8 всё, что загружает CLR (не важно через Assembly.Load или через другие методы, все вызовы в итоге вызывают один и тот же метод) отправляется на сканирование через AMSI, так что перед вызовом хорошо бы AMSI отрубить. И ETW тоже, поскольку информацию о загруженных в память Assembly всякие process explorer'ы получают из ETW обычно.

а если фрейм 4.5 ?

 

[DildoFagins]

а если фрейм 4.5 ?

По-моему только с 4.8 ввели AMSI для дотнета, мое замечание про ETW касается всех фреймворков, даже какого-то неимоверно старого, типа 2.0.

 

[McCoder]

Рефлексия даст онли скантайм, она ни как не спасёт тебя от рана. В любом случаи лучше юзать RunPE, на гите дохуя исходов на базе winapi под .net

 

[MangaM]

По-моему только с 4.8 ввели AMSI для дотнета, мое замечание про ETW касается всех фреймворков, даже какого-то неимоверно старого, типа 2.0.

как отключить ETW ?

 

[DildoFagins]

как отключить ETW ?

Похукать EtwEventWrite, много реализаций есть на github, в том же donut'е. Плюс есть complus_etwenabled переменная окружения, но это, наверное, актуально только для дотнетов и павершеллов (тк complus префикс имеет).

 

[MangaM]

Похукать EtwEventWrite, много реализаций есть на github, в том же donut'е. Плюс есть complus_etwenabled переменная окружения, но это, наверное, актуально только для дотнетов и павершеллов (тк complus префикс имеет).

ты берешь падаванов ?

 

[AngelStar]

Похукать

анхуки впринципе необходимы,
аваст какой-нибудь на них работает