Runtime in VB.Net

[Sawyer]

Ich seh das Problem einfach in dem IL code... Dass der erst noch umgewandelt werden muss... Deswegen ist ein RT crypter für mich im moment unmöglich^^
Aber meine Meinung hat nichts zu heißen! Bin ja kein pro...

Das ist ja nicht das problem die besagte Funktion erledigt das bereits , es compiliert den code Nativ und dann kommt er in den speichern
Ich sehe darin kein Problem , bezüglich RT.

MfG

[blackberry]

Wo ist eigentlich das Problem?
Wenn man die nötigen Funktionen (CreateProcess, NtUnmapViewOfSection, VirtualAllocEx, WriteProcessMemory, GetThreadContext, SetThreadContext, ResumeThread) importiert kann man sehr leicht eine Datei in den Speicher laden (zumindest klappt das mit nativen Programmen).
Das ist mit VB(.NET) möglich.

Wenn man einen echten Crypter schreiben will - der seine Stub in die Datei injeziert braucht man die Assembler-Sprache, aber das Injezieren (also "Builden" wenn ihr so wollt) ist ebenfalls mit VB(.NET) möglich.

Wem das zuviel Arbeit ist, der soll es einfach lassen.
Fertig!

[Inj3ct]

also du meinst sozusagen inline asm ?

[l0dsb]

Inline-Assembler ist in .NET nativ logischerweise nicht möglich, aber die Stub muss ja nicht direkt mit im Code stehen.

[EBFE]

Das ist der "Großvater" der heute üblichen RunPE/CreateProcessEX usw. "Runtimemodule".
http://www.security.org.sg/code/loadexe.html
Ist von 2004. Was davon genau soll sich nun nicht mit NET umsetzen können?

Das Prinzip ist deshalb so beliebt, weil man die bestehenden Module nicht wirklich verstehen muss und nur bisschen Junkcode/API"crypting" betreiben. D.h aber auch, dass nur weil jemand "Crypter" schreiben kann, muss er noch lange nicht das Prinzip/Funktionsweise verstanden haben (oder sich gar damit beschäftigt ).
Die einzige Schwierigkeit bei NET ist das Fehlen der PE-Header Definition. Das ist aber auch bei VB6 so gewesen (man schaue sich das VB6-RunPE Modul genau an , Großteil der Deklarierungen wird nie gebraucht). Und man kann eigentlich für die paar Manipulationen auch ohne solche Definitionen auskommen. Man muss halt nur auf veränderte Datentypen achten (http://dotnet-forum.de/KnowledgeBase...in-vb-net.aspx ). Wahrscheinlich gibt es solche Übersetzunen eher schon, nur will keiner den Source posten. Und das ist verständlich - wieviele "Möchtegerncryptercoder" haben denn eine GUI um Cobains Code gebastelt und das als eigenen Crypter verkauft?