[VB.NET] Bekomme TR/Dropper.GEN nicht weg

[Slawa]

Hallo, wie der Titel schon sagt, bekomme ich den Dropper nciht weg, anch dem ICON changen und und version Info changen wird er nciht mehr als Dropper erkannt.

Stub ist 0/25 gecodet. Nach dem Builden wird die server.exe erkannt nur von avira.

Hat jemand einen vorschlag, bisher habe ich viel probiert und gelesen, trash code eingefügt mit Kommentaren, nichts gebracht.

Gruß

Slawa

Danke

[Planxty]

Da .Net section gehe ich davon aus dass du's selbst geschrieben hast. Hast du schon versucht einfach strings umzubenennen und neue imports zu machen die eig nicht gebraucht werden?

[Slawa]

Da .Net section gehe ich davon aus dass du's selbst geschrieben hast. Hast du schon versucht einfach strings umzubenennen und neue imports zu machen die eig nicht gebraucht werden?

Hey, natürlich habe ich das gecodet, Strings habe ich umbenannt, Imports rein, eine ganze Liste voller Imports, trash code auch rein.... was sind eig. so deine Möglichkeiten?

Gruß

Slawa

P.S. Hoffentlich bekomm ich das hin bei dem prog...

[NoNameMT]

Nur so zur Info:

Von Kommentaren einfügen wird der Server nicht mehr und nicht weniger erkannt, da die Kommentare nicht mitcompiliert werden ;) Deswegen wirken sie sich gar nicht auf die ausführbare Datei aus.

Back 2 Topic:

Soul Collector hat mal nen ganz netten Text dazugeschrieben:
STEP 1:

Change Assembly

Well first what I do is changing assembly. I think this is most important think you do, well maybe.

Well lest say that we are using my public Keylogger Tutorial (http://www.hackforums.net/showthread.php?tid=191132) which is I think 1/24 or 2/24. I think was detected by Avira & Mcafee.

I will now explain some ways to bypass Anti-Viruses with assembly and make it FUD again.

When you open project click Project > then NameOfProgram Properties > then click button Assembly Information... > Then change it, I suggest you to use some legit program's assembly.

For this example I will use assembly of HJT's tool.

Title: Hijack This
Description: Hijack This
Company: Trend Micro Inc
Product: Hijack This
Copyright: © 2007 Trend Micro Inc
Assembly Version: 2 00 0002
File Version: 2 00 0002
Neutral Language: English (United States)

http://i46.tinypic.com/xd5nau.png
That's how it should look assembly of HJT.

Well this will bypass some Anti-Viruses like AviraAv, AVG & Avast.

STEP 2:

Add icon to our application


Well next thing you should do is add a icon if you didn't that already and it will make it less UD and more FUD.


When you open project click Project > then NameOfProgram Properties > then click button Icon Scrollbox > Then click <Browse...> > And choose icon

http://i48.tinypic.com/14l0jme.png

Well I guess this will maybe work, for me sometimes works sometimes doesn't.

STEP 3:

Add junk code and make file bigger


Well next step is easy too. So what we going to do next is adding some junk or any kind of source code to our project. That would 100% make it less UD and more FUD. Lets say that we are making a key logger and we get 1/24 UD. Well now lets add this code to our stub or whatever it is and it will make it FUD.

IMPORTANT: The comments you add wont make it bigger or make it more UD.

So lets say that we are making key logger and we want to use GMail, so lets make a a FTP backup. The code for FTP can be found in this thread (http://www.hackforums.net/showthread.php?tid=196070). Remember its not important to be FTP just any code except comments.

STEP 4:

Changing strings

Well I think this is best way to make your stub FUD again. Well you need to know what you doing, you cant just like that change a string of program. If you change wrong or don't do this correctly your application can maybe crash.

Well lets say we are using a RC4 encryption module:
Code:

Private Function rc4(ByVal message As String, ByVal password As String) As String

Dim i As Integer = 0
Dim j As Integer = 0
Dim cipher As New StringBuilder
Dim returnCipher As String = String.Empty

Dim sbox As Integer() = New Integer(256) {}
Dim key As Integer() = New Integer(256) {}

Dim intLength As Integer = password.Length

Dim a As Integer = 0
While a <= 255

Dim ctmp As Char = (password.Substring((a Mod intLength), 1).ToCharArray()(0))

key(a) = Asc(ctmp)
sbox(a) = a
Math.Max(Interlocked.Increment(a), a - 1)
End While

Dim x As Integer = 0

Dim b As Integer = 0
While b <= 255
x = (x + sbox(b) + key(b)) Mod 256
Dim tempSwap As Integer = sbox(b)
sbox(b) = sbox(x)
sbox(x) = tempSwap
Math.Max(Interlocked.Increment(b), b - 1)
End While

a = 1

While a <= message.Length

Dim itmp As Integer = 0

i = (i + 1) Mod 256
j = (j + sbox(i)) Mod 256
itmp = sbox(i)
sbox(i) = sbox(j)
sbox(j) = itmp

Dim k As Integer = sbox((sbox(i) + sbox(j)) Mod 256)

Dim ctmp As Char = message.Substring(a - 1, 1).ToCharArray()(0)

itmp = Asc(ctmp)

Dim cipherby As Integer = itmp Xor k

cipher.Append(Chr(cipherby))
Math.Max(Interlocked.Increment(a), a - 1)
End While

returnCipher = cipher.ToString
cipher.Length = 0

Return returnCipher

End Function


So to change it on whole source you will need one little program that is in Visual Basic.

Click Edit on tab > then click Quick Replace or click Ctrl+H > then this should pop up:

http://i48.tinypic.com/1zptb34.png

In 1st textbox write name of Integer, Boolean or String you want to replace and in 2nd write replace word. Use whatever you want it wont harm our application but remember, don't change important strings or the application will crash. Fore example we are making builder & stub. We coded it and its UD, don't change important strings from, but even if you do make sure that they are same in stub and in builder

So for this example we are used:
Dim i As Integer, yea its integer but this is just example how to change it easly.

End
Vllt hilft dir das ja ;)

Quelle: Klick Mich (http://www.hackforums.net/showthread.php?tid=202695)

[Slawa]

Das ist irgendwie klar, aber das TUT bring mich nicht weiter, das was er schreibt, wurde schon versucht, strings zu ändern nützt mir hier wenig, da der code erst frisch ist d.h. noch nie genutzt worden.

Gruß

Slawa

[inmate]

Die detection kommt wenn die Dateigröße im PE Header nicht mit der originalen Dateigröße übereinstimmt.Du musst ne Section im PE Header adden in der größe der angehängten Datei.

[Slawa]

Die detection kommt wenn die Dateigröße im PE Header nicht mit der originalen Dateigröße übereinstimmt.Du musst ne Section im PE Header adden in der größe der angehängten Datei.


Inmate ich habe das mit dem PE header gewusst, aber kann das nicht realisieren, ich würde mich sehr freuen, wenn du das mal erklären würdest, ich habe dir schon vor einer woche eine PM geschrieben.


Danke

[krusty]

YouTube- Anti Dropper [VB .NET] by Till7
dataaaa, till7 hat n video drüber gemacht.

[inmate]

Weiss ich und ich habe bewusst nicht drauf geantwortet , du lernst seit ca 1 Monat VB sowas kann man einfach nicht nach 1 Monat VB verwirklichen ;)
Du hast letztens erst einen .exe Pumper realeast , wo du selber zugegeben hast das du ihn nicht gecodet hast und jetzt wagst du dich schon an einen Crypter ? Das geht einfach nicht.

[Slawa]

YouTube- Anti Dropper [VB .NET] by Till7 (http://www.youtube.com/watch?v=CxBB9LQspkA)
dataaaa, till7 hat n video drüber gemacht.


Hey Krusty, dieses Video kenne ich schon länger als dieses Bord, diese Methode funktioniert schon lange nicht mehr, bzw. till7 hat es mir gezeigt, aber es ist nicht gegangen..


Gruß

Slawa


Weiss ich und ich habe bewusst nicht drauf geantwortet , du lernst seit ca 1 Monat VB sowas kann man einfach nicht nach 1 Monat VB verwirklichen ;)
Du hast letztens erst einen .exe Pumper realeast , wo du selber zugegeben hast das du ihn nicht gecodet hast und jetzt wagst du dich schon an einen Crypter ? Das geht einfach nicht.

Was meinst du mit Crypter? ich habe einen einfachen server builder jetzt selbst hinbekommen, den code hab ich selber geschrieben

[krusty]

bei mior funktioniert es wunderbar.

[Slawa]

bei mior funktioniert es wunderbar.

Krusty, PM an dich, adde mich mal, ich kann wirklich nicht mehr, geht nicht....

[Th3_Cr4xX]

Slawa du hast das nicht gecodet wenn ich mir deine Beiträge zu dem Thema ma anschaue.
BTT: Hast dir das YT-Video jetzt wenigstens ma angeguckt?

[Slawa]

Slawa du hast das nicht gecodet wenn ich mir deine Beiträge zu dem Thema ma anschaue.
BTT: Hast dir das YT-Video jetzt wenigstens ma angeguckt?


Em.... till7 hat das vid gemacht, ich habs angeschaut, geht nich, ERROR immer

[krusty]

nichz zu vorlaut werden mein freund!
Inmate hat vollkommen recht und er wäre durchaus im Stande dir zu helfen,
es geht ihm nur langsam ,mir ebenfalls, aufn sack.
-wir haben dir schon bei der builder methode geholfen
-dabei dir antisettings richtig in die stub einzubetten
-und noip zu decrypten und filezilla auszulesen.
Hab dich in Icq geaddet, melde dich, dann machen wir deinen hardcodet stealer fertig.

[Slawa]

xD krusty, ich kenn inmate, der hats drauf das weis eig. auch jeder, jo, ich möchte halt nicht C & Paste, das ist mir wichtig, das muss man ja auch können, sonst bring ja nix, kann man vergessen

EDIT: nicht wir machen den stealer, sondern ich, du kanst es zwar erklären und ich werde es umsetzen, das ist besser so.

danke krusty, echt danke man


Gruß

Slawa

[Th3_Cr4xX]

OMG das gibts doch nicht ! Slawa irgendwann reichts mal mit dem dummen Gelaber!

Hier mal ein paar Zitate von dir:


Hey, ich habe mir einen eigenen E-Mail Bomber gecodet, also ich benutze googlemail und yahoo mail.
Phishing Tool(s) Generator by SlawaFakeMSG Generator zum binden mit eurer Server.exe -

Jo, ist eig. auch keine große sache, sowas zu coden

Ja das funktioniert, als ich mit VB.NT angefangen habe, habe ich das erste mal den Code benutzt und heute benutz ich den fast auch, sogar sehr oft.
ich code aber mit VB.NET 2010 Visual Studio, das ist wahrschinlich noch besser, aber buggt noch bisschen.
Wenn ich bald meinen Phishing tool release, wird bei dir die mail ankommen, ich benutz dann .NET 3.5
Hi, die source habe ich nicht mehr, PC formatiert, aber ich werde, wie ich das schon erwähnt habe einen anderen coden
Hatte noch keine zeit, aber ich erstelle bald einen neuen!
Könnte dir en Fake tool coden...

Hey, natürlich habe ich das gecodet
ich habe einen einfachen server builder jetzt selbst hinbekommen, den code hab ich selber geschrieben
Jo bin auch am coden, ich muss nochmal schauen, wo das gepeichert wird, vielleicht kann man das mit einem stealer decrypten

Also: Ich möchte einen text ganz funktionsuntüchtig machen, wenn eine Checkbox gecheckt wird, was muss ich dazu machen genau?
hab einen Filezilla stealer gecodet
Hey, danke dass du meinen Exe Pumper.NET in deine Sammlung aufgenommen hast, bald werde ich weitere tools coden.

möchte gerne einen einfachen Fake Tool generator coden, der z.B. bei ICQ Fake Tool, das was der User eingibt in den Textboxen an den FTP Server sendet, leider weis ich nicht, wie ich das genau Umsetzen kann
an dem code gibts auch nix zu verstehen, das verstet jeder noob, z.B. so einer wie du!
aha sehr witzig, wollte eig. wissen, wie ich das schreib, muss jetzt noch den stealer fertig coden und die fud stub
Diesen Mailbomber habe ich geschafft zu coden, aber
Das habe ich selber gecodet, ich meine den Source habe ich nicht von Youtube.
fang jetzt das ding an zu coden, also ich möchte zuerst einen extraktor haben, wo man aus der exe das icon rausholt und den changer.. geht das? Naja das reicht, könnt ewig so weiter machen. Was ich damit sagen will:
C&P IST NICHT CODEN!
Schonma aufgefallen, dass wenn du dein 1337ToolzZz "codest" dann wurde der .NET Source 1 Tag vorher geuppt. Sry aber das musst mal sein

[Sawyer]

@Th3_Cr4xX (http://free-hack.com/member.php?u=45006)
Gut das es einmal ein außenstehender ausspricht. Genau aus diesem Grund ist er aus dieser Sektion für 2 Wochen ausgesperrt. Auch wenn er meint das es nicht gerechtfertigt ist, so sehe ich es auch als Bewiesen an, das er vieles nur Kopiert. Ich habe ihn per PN schon mehrfach nahe gelegt, er sollte doch erst einmal die Sprache richtig Lernen, und Praxiserfahrung im Normalen Anwendungsbereich sammeln, und sich später den Szene-Tools widmen. Aber das scheint ihm Relativ egal zu sein.

MfG, Sawyer