Druckbare Version
Sollte vor allem für die "Crypter" Schreiber interessant sein ;)
Eigentlich geht es im Paper darum, wie man korrekt an eine Exe angehängten Daten in den PE-Header einbindet:
etwas Theorie, dann Praxis - bis hin zum "händischen" Korrigieren mittels Hexeditor. Nebenbei verschwindet auch die TR/Dropper.Gen Meldung http://board.scenecoderz.cc/images/s.../icon_wink.gif.
http://ebfe.de.vu/manualfix.pdf
Sau genial wie sich hier keiner dafür interessiert... haben keine Ahnung ^^
qewl...
endlich mal nen ngutes tut dafür ;D
thx!
jo viele werden den weg scheuen weil es keine 1-klick lösung ist^^
du wirfst perlen v or die säue ebfe...
@Volumen
Sorry aber so wie es aussieht hast du noch weniger Ahnung als die, die nichts posten. Sonst würdest du nicht hier rumspammen.
@TS
Danke für dein Tutorial.
hammer geiles tutorial sehr leicht zu verstehen hat mir echt weitergeholfen :)
sind das die einzigsten werte die man bei einem dropper ändern muss oder gibt es noch ein paar mehr ???
wie bist du eig darauf gekommen das die sectionalignment und filealignment teilbar sein müssen ???
nochmal ein großes lob an dich
Hilfreiches Tut muss man schon sagen:
PE Aufbau schön kompakt erklärt
Sections noch schöner erklärt
Im Praxisteil musste ich mich ein wenig zusammenreißen um alles zu verstehen, allerdings hab ich g00gle zum Freund<3
Schön erklärt auf jeden Fall
Also ich habe mit eeinem 50€ crypter meinen bifi server 100%fud gemacht so nun es hat icq ico und wenn ich mit reshacker es ändern will erkennt avira es als t/dropper.gen und das tutorial habe ich nicht ganz verstanden könnte mir einer bei meinem problem einfach sagen was zu ändern ist iu was?
ja das is wirklich gut hat auch viel geholfen danke
mfg
EBFE hats echt drauf und das geilste iss, er teilt sein wissen auch mit anderen !!!
THX EBFE, beeindruckst mich immer wieder alter ;)
Super Geiles TUT,... sehr gut erklärt und alles,... auch sehr Anfängerfreundlich,... n bissl googeln und schon hat man alles kapiert ^^ Funktioniert auch perfekt,... THX! Hab schon ewig was gegen die scheiß Dropper Meldung gesucht ^^
hallo bitte kann mir einer näher erläutern wie man das genau macht ihr könnt mich als behindert beleidigen weil ich frage aber ich bin niedriger als anfänger was hexen usw betrifft -.-
Dann würd ich mich an deiner stelle erstmal in die Matherie einarbeiten,... denn ne "1-Klick-Lösung" gibts ned und ehm ja,... sowas dauert,... ansonsten frag ma beim Verkäufer deines Crypters ob er dir Support gibt ^^
den verkäufer find ich nimmer der hat mit fake icq geaddet und dann wieder gelöscht aber der crypter geht und is kein trojaner drin ich kann zwar icon wechseln aber bei jpeg icon gehts net und ich hab bissl erfahrung im hexxen und bin auch nicht der 1-klick typ aber ich habe halt nur das tutorial nich ganz kapiert weil da so viele sachen standen das ich das wichtigste nicht erfassen konnte wenns zb n video tut wäre .. kein probv aber das hab ich nich so drauf :)
lol rofl hax, erschieße dich bitte @ vorposter
Danke für deine mühe EBFE
So, nach einiger Internetabstinenz ein paar Antworten :)
Eigentlich sind das die Werte, die Avira im Moment für die Droppererkennung nimmt. Kann sein, dass andere Scanner zusätzliche Prüfungen haben oder dass bei Avira in Zukunft noch etwas hinzukommt.Zitat:
Zitat von G0dLik3
Sind aber im Prinzip alle Werte die geändert werden müssen, falls man Daten an eine Exe anhängt und das Ganze "korrekt" sein sollte.
Steht in der MS Doku zum PE Format: ;)Zitat:
wie bist du eig darauf gekommen das die sectionalignment und filealignment teilbar sein müssen ???
Bzw. verstehe ich Alignment (http://en.wikipedia.org/wiki/Data_structure_alignment) eigentlich immer als "vielfaches/restlos_teilbar"
Danke :)Zitat:
nochmal ein großes lob an dich
Danke,Zitat:
Zitat von fred777
Das Tut wurde unter einem gewissen Zeitdruck geschrieben - eventuell sind einige Teile wirklich unklar. Wenn du kurz erwähnen würdest, was unverständlich war, kann ich das überarbeiten.
link down
Nur weil der automatisch eingesetzter Redirector von FH im Moment spinnt, ist der Link immer noch nicht down ;).
_http://ebfe.de.vu/manualfix.pdf
vergib mir ^^ thx für link
vergib mir ^^ thx für link
vergib mir ^^ thx für link
Bitte Re-Up, ich wäre sehr dankbar ;)
Mein Hoster spinnt gerade oO
Die PDF ist im Moment unter
_http://ebfe.de.vu//manualfix.pdf
erreichbar.
Btw: inzwischen reicht diese Art von Fixing anscheinend nicht mehr aus. Auch wenn das Paper damit nicht überflüssig wird (das korrekte Anpassen der Sections ist halt nur noch ein Schritt von einigen anderen) ;)
jepp.
jetzt muß auch das verhältnis der sections nicht absolut auseinandergehen.
nun, wär nett was das jemadn genauer erläutern könnte, bzw. nen link hat!Zitat:
Zitat von wacked
@Krutius:
Section .text [10 kbyte]
Section .code [30 Kbyte]
Section .rsrc [400 Kbyte]
=> Detection[Verhältnis .code zu .rsrc ist ungefähr 1:13]
aber
wenn:
Section .text [10 kbyte]
Section .code [30 Kbyte]
Section .rsr1 [30 Kbyte]
Section .rsr1 [30 Kbyte]
Section .rsr2 [30 Kbyte]
Section .rsr3 [30 Kbyte]
Section .rsr4 [30 Kbyte]
Section .rsr5 [30 Kbyte]
Section .rsr6 [30 Kbyte]
Section .rsr7 [30 Kbyte]
Section .rsr8 [30 Kbyte]
Section .rsr9 [30 Kbyte]
Section .rs10 [30 Kbyte]
Section .rs11 [30 Kbyte]
Section .rs12 [30 Kbyte]
Section .rs13 [30 Kbyte]
Section .rs14 [10 Kbyte]
Dann ist das Verhältnis der Sections zueinander nicht groß genug damit Antivir es erkennt.
wow echt sehr schön und gut geschriebenes tutorial, aber das ist man ja nicht anders von dir gewohnt
vorallem schön, wenn gleich beim ersten versuch der erfolg da ist, hat alles wunderbar geklappt
ähm, könnte vielleicht noch jemand mal erklären, wie ich die Sections splitten kann?
würde mich auch interessieren :D ..will mein wissen erweitern :D
Hat das zufällig noch Jemand auf Festplatte ?
ist nicht mehr erreichbar.. bitte reupp. :)
Werde ich gleich hochladen.
Kleinen Moment..
So hier bitteschön meine Schätzchen :D
http://ul.to/l47ye8
wow das ging ja flott. :D
dankeschön. :)
http://img3.imagebanana.com/img/l6rt5lu9/Unbenannt.PNG
eine verschwörung..? :P
was steht in dieser pdf drinnen das ich da absolut nicht ran kommen kann? xD
E: Hat jetz funktioniert :D
Wie ich Uploaded hasse :D
Netload Serious Filehosting - Netload
Jetzt aber : )
aber vielleicht finde ich es ja auf meinen alten Platten irgendwo :PZitat:
Error
Code: ER_NFF_020720120420
Mögliche Ursachen:
* Im Link ist ein Schreibfehler
* Die Datei wurde vom Eigentümer gelöscht.
* Die Datei wurde gelöscht / gesperrt.
Da leider keine Downloads mehr funktionieren, würde ich mich über einen Reupload freuen^^
danke
würde mich auch über nen reup freuen - thx!
Kann mich den Vorpostern nur anschliesen!
Diese Art der Heuristik-prävention funktioniert nicht mehr.
Zumindest nicht mehr seitdem ich es das letzte mal getested hatte, und das ist schon ziemlich lange her..
Falls es euch trotzdem interresieren sollte:
Das Paper habe ich zwar nicht mehr aber
ich hatte anhand dieses Tuts zwei Tools geschrieben die Exakt den Anweisung in EBFE's Paper folgen. In diesem Thread ist auch die Kurzfassung der Techniken die verwendet wurden zu finden.
Mehr braucht es als halbwegs intelligenter Mensch nicht..
Hat jemand eine Alternative Methode?
Man könnte den Thread-Ersteller auch anschreiben. Vielleicht hat er dieses Meisterstück noch.
Wenn er nicht hier online ist, dann ist er auf einem anderen Board meist noch aktiver.
*hust* B2H *hust*
Auf Back2Hack ist EBFE noch am ehesten aktiv.