Избежание детекта

[odessey0x1f]

Добрый день жители codeby!

Недавно прочитал один блог, в котором говорилось об обнанужении зловреда в системе средствами антивируса и windows защитника, а именно :

"...... Один из лучших способов избежать антивирусной защиты - полностью отключить создание процесса и просто использовать WINAPI. Но это потребовало бы тщательной обработки ваших полезных данных, и их было бы сложно перенести для кодирования оболочки. Это основная причина, по которой авторы вредоносных программ пишут свои вредоносные программы на языке C и выбирают только полезные нагрузки в шеллкоде.... ...."

Из этого можно сделать вывод, что способ который используется для вызова оболочки cmd это - CreateProcess !

Во всех примерах бэкдора используется именно CreateProcess для вызова cmd.

Также в шеллкоде на асм используется системный вызов.

Исходя из вышесказанного можно сделать вывод -

"ДЛЯ УПРАВЛЕНИЯ ЗАРАЖЕННЫМИ ОПЕРАЦИОННЫМИ СИСТЕМАМИ НУЖНО САМОСТОЯТЕЛЬНО ПИСАТЬ УПРАВЛЕНИЕ ЭТО ОС ИСПОЛЬЗУЯ API"

Значит такие команды как ls, cd, dir, rm, mkdir,
ни и конечно же - download, update,

НУЖНО ПИСАТЬ САМОМУ ?

 

[Pernat1y]

Значит такие команды как ls, cd, dir, rm, mkdir,
ни и конечно же - download, update,

НУЖНО ПИСАТЬ САМОМУ ?

Зачем? Написано-же, "использовать winapi".

 

[odessey0x1f]

Зачем? Написано-же, "использовать winapi".

Так значит не нужно использовать CreateProcess и вызываь оболочку?
Почему в примерах всегда используют этот способ?

 

[Pernat1y]

Так значит не нужно использовать CreateProcess и вызываь оболочку?
Почему в примерах всегда используют этот способ?

Зависит от того, что бы хочешь получить.
Если работать с файлами, то для этого есть соответствующие апи - CopyFile, MoveFile, DeleteFileA и прочие.
Если тебе нужен шелл, то да, запускать cmd через тот же CreateProcess. Также рекомендуют посмотреть исходники Far