[VB6 Source] Dr.True Crypt Runtime Crypter Example

Hi also is ja mein erster Post ^^
Dachte mir ich mach gleich mal ein schönes Willkommensgeschenk.
Hab mal nen guten RT crypter gecodet den ich hier als openscr poste
zum lernen und nicht für ripper !

Aber diesbezüglich habe ich ne Frage :
obwohl ich schon sehr lange code und mich gut auskenne raff ich eins ent ihr kennt ja sicher dieses TR.Dropper.Gen von avira ich hab auch ne methode um es zu umgehen aber die will ich hier net pub machen bevor sie auch noch detectet also hab ich die realign Pe Header function genommen hat auch wunderbar geklappt bis vor 10-20 min dann ises trotzdem dadurch detectet warum ? Ich weis avira erkennt das eof aber kennt jemand ne methode wie man wieder Fud machen kann also irgendwas wenn jemand eine kennt kann er sich gerne melden ich geb dann auch meine preis also hier erstmal der Link danke im voraus !

Viel Spaß

http://uploaded.to/?id=95wnx5

Kritik erwünscht

Mfg
The - Wall

und

Ein Frohes neues Jahr euch allen !

Hallo,

um hier unnötigen Spam zu vermeiden habe ich ihn gleich auf NoVirusThanks.org geuppt. Tut mir leid dir gegenüber jedoch denke ich kannst du verstehen das manche mistrauisch sind, da du erst 1 Post hast.


Scan:


File Info

Report generated: 1.1.2009 at 22.32.09 (GMT 1)
Filename: Dr.TrueCryptsource.rar
File size: 96 KB
MD5 Hash: FC29C2C302E437AD29142FFFFE244E4B
SHA1 Hash: 5FDC7B546F31FFE1A674002732265CA0E7A08114
Packer detected: Not a valid PE file
Self-Extract Archive: Nothing found
Binder Detector: Nothing found
Detection rate: 0 on 23

Detections

a-squared - Nothing found!
Avira AntiVir - Nothing found!
Avast - Nothing found!
AVG - Nothing found!
BitDefender - Nothing found!
ClamAV - Nothing found!
Comodo - Nothing found!
Dr.Web - Nothing found!
Ewido - Nothing found!
F-PROT 6 - Nothing found!
G DATA - Nothing found!
IkarusT3 - Nothing found!
Kaspersky - Nothing found!
McAfee - Nothing found!
MHR (Malware Hash Registry) - Nothing found!
NOD32 v3 - Nothing found!
Norman - Nothing found!
Panda - Nothing found!
Solo Antivirus - Nothing found!
Sophos - Nothing found!
TrendMicro - Nothing found!
VBA32 - Nothing found!
Virus Buster - Nothing found!

Scan report generated by
NoVirusThanks.org

Anti Vir erkennt die art und weiße wie du die Stub & den Server bindest!
Setzt die Stub in die mitte und move den EP drauf, dann ists wieder Antivir UD! ;)

cool thx könntest du mir vielicht via pm nen kleines beispeil geben weil ich checknet wie man die stub in die mitte setzen soll der PE-Header muss doch immer oben sein wäre dir sehr dankbar kann dir dann auch meine fud methode sagen

Deswegen movest du auch den EP drauf, damit die .exe wieder funktioniert!
Und die zweite UD Methode (die was wahrscheinlich du verwendest) ist, einfach eine Res zur Stub hinzufügen. Kein großes Geheimnis.

Added after 5 minutes:

aja und die Stub von deinem Crypter hab ich mir mal kurz angeschaut, ist mehr oder weniger auch nur ein Cryptosy RIP!
Aber wenigstens haste Credits gegeben ;)

öh das musst du verwechseln das is kein ripp also die module sin ja frei verfügbar und wo soll sonst was von cryptosy sein ? aber egal will kein streit

Sind 1zu1 die selben Module wie im Cryptosy Crypter von Cobain!

' Author : Cobein
' Mail : cobein27@hotmail.com
' WebPage : http://www.advancevb.com.ar
' Usage : At your own risk
' Requirements: None
' Distribution: You can freely use this code in your own
' applications, but you may not reproduce
' or publish this code on any web site,
' online service, or distribute as source
' on any media without express permission.

Also wenn sowas drinne steht kann man es dann so wie ich es gemacht habe nicht als rip bezeichnen und ich hab ja auch noch credits gegeben

Zitat:

---

Zitat von Epiphone

..., ist mehr oder weniger auch nur ein Cryptosy RIP!
Aber wenigstens haste Credits gegeben ;)

---

jo also ab hier bitte nur noch credits oder pluspunkte kein spam mehr

Jo aber es ist ja fast 1:1 :(

slayer hast ne pm

"zum lernen,, nicht für ripper"..du hast die souce selber gerippt ..is vom christmas crypt von nero von hackhound also laber nicht son scheiss

wie alle sich hier gegenseitig ihre crypter rippen, der christmas crypt ist auch gerippt, wie ihr alle abgeht, könnt ihr euch nicht mal damit beschäftigen anstatt zu copy&pasten?

Zitat:

---

Zitat von Lappenlui

s vom christmas crypt von nero

---

Der hat den Source auch geripped.

oh nein der w0red wird nun auch böse zu den Rippern... Man macht seine Freunde nicht fertig! Verstehst du das nicht?

slayer, halt doch einmal deine fresse, wenn du meinst ich hätte was gerippt, denke es halt, es ist es aba nicht... du hast keinen einzigen beweis, ausser eine ziehmlich veraltete stub vom alten crypter, du hattest nie die neue also halt die schnüss, und werd mal älter, und ich benutze deine downloadroutine überhaubt nicht, und von persistenc ganz abgesehen, weil deine ganz einfach umgangen werden kann... also lass es sein... wie arm muss man sein, wenn man leute aus dem eigenem team dumm anmacht, trotz dass man keine beweise hat...

Das anschaun-wieder antworten ;)
Natürlich kann das jeder anschaun ist nicht nur für Slay...

Link: http://www.file-upload.net/download-.../slay.rar.html

Stellen wir fest : Wer von wen gerippt hat ist nicht klar ersichtlich, wenn er Credits gegeben hat dann ist es doch auch kein Problem oder?

Kurze Zusammenfassung:
Slay sagt: Wall = Ripper
Slayer sagt: Slay = Ripper
Slay sagt: Slay =/= Ripper
Slayer gibt Beweise

wenn du ja so ein guter debugger bist, schau mal pls ob ich die resbind apis überhaubt benutze? nein tue ich nicht, wozu auch geht ja auch mit loadresdata, also wozu die umstände?... und ja, du hast ne alte stub, para wird dir auch wohl gesagt haben, das es die alte ist, und nicht vom c0be... und weil ich apis benutze, die andere in ihren sources benutzen, wie z.b prozessnext und so, daran erkennst du das es genau die funktion ist? hömma, dann bist du ja sowas von leet... aber da muss ich dich entäuschen, den, dann schau dir mal andere programme an, von iwem, und schau mal, ob die nicht auch vlt. diese apis benutzen... sind das dann auch ripper? weil man eine API benutzt, die jemand anderes auch benutzt? Überleg dir lieber nochmal alles... deine Meinung interressiert mich auch nicht, du kannst denken was du willst...
Ich hör hier jetzt auf, ich will nicht auf dein Nievo runter, der andere Leute schon ohne klare Beweise, als Ripper beschimpft... Kommst wohl mit mir nicht kla, ist ok, ich brauch dich nicht, und du brauchst mich nicht, aber was du abziehst is lächerlich, das können dir alle sagen... Scheinst wohl zuviel langeweile zu haben... schau mal nach draußen, da haste vlt. mehr Spass...

Jo ich schreib die APIs rein und benutze sie nicht wozuauch...
die C:\exec\exe habe ich auch nur so aus spass an der Freude drinne... Natürlich und der Code ist natürlich auch 100 % von dir!
Wenns dich nicht interressieren würde würdest du dich nicht so aufregen...
Auch ja ich bin auch nicht l33t.
Jo das mit LoadResdata biste auch nur draufgekommen weil ich Paranoid gesagt habe das das auch so geht ;)

lol xDD, nein digga, kannst ja para fragen, ob ers mir überhaubt gesagt hat, hat er nicht... und das ich überprüfe ob diese datei da ist, wegen anubis, ist ja wohl nicht verboten, oder doch?

Oh Mann, Leute, ist mal gut, oder? Fakt ist, dass dieser und ähnliche Sources seit Gezeiten wohl im Internet zu haben sind - ihr werdet auch nicht persönlich herausgefunden habt, dass man Prozesse im suspended state unmappen kann...

Credits wären in beiden Fällen angebracht. :)

Das ist es halt... er behauptet all self coded(natürlich auch eig. Injection xD)
w0red wenn du überhaupt eine Ahnung von dem Windows-Aufbau hast würde ich mich wundern.
@;): Natürlich nutzen viele Leute das und nur die wenigsten wissen wie es geht(Slay natürlich auch nicht seit dem Gespräch mit ihm weiß ich dass). Natürlich gibt es andere Methoden als ZUERST prozesse zu starten dann reinzuschreiben...

Ich kanns echt net glauben ey...

Wie kann man sich nur mit C&P so toll fühlen?
Ich hab mir Stub + Builder mal angesehen das ist ALLES C&P.
Sogar Teile von meinem CryptableSeduction kann ich darin wiederfinden!
Noch nichtmal die Funktionsnamen wurden geändert.
Alles 1 zu 1 C&P.
Wie soll denn jemand von dir etwas lernen ???
Das einzige was man von dir lernen cann ist strg + c uns strg + v.

So geug aufgeregt

kann mir jemand sagen wie ich den wieder fud bekomme habe schon fehler codes ein gebaut dann ep verschon dann wirt er nur noch von avg erkannt aber wenn ich den was crypte wirt er dann noch avn antivir erkannt was kann ich noch machen?

reupp pls