[VB.NET] Bekomme TR/Dropper.GEN nicht weg

[Slawa]

Hallo, wie der Titel schon sagt, bekomme ich den Dropper nciht weg, anch dem ICON changen und und version Info changen wird er nciht mehr als Dropper erkannt.

Stub ist 0/25 gecodet. Nach dem Builden wird die server.exe erkannt nur von avira.

Hat jemand einen vorschlag, bisher habe ich viel probiert und gelesen, trash code eingefügt mit Kommentaren, nichts gebracht.

Gruß

Slawa

Danke

[Planxty]

Da .Net section gehe ich davon aus dass du's selbst geschrieben hast. Hast du schon versucht einfach strings umzubenennen und neue imports zu machen die eig nicht gebraucht werden?

[Slawa]

Da .Net section gehe ich davon aus dass du's selbst geschrieben hast. Hast du schon versucht einfach strings umzubenennen und neue imports zu machen die eig nicht gebraucht werden?

Hey, natürlich habe ich das gecodet, Strings habe ich umbenannt, Imports rein, eine ganze Liste voller Imports, trash code auch rein.... was sind eig. so deine Möglichkeiten?

Gruß

Slawa

P.S. Hoffentlich bekomm ich das hin bei dem prog...

[NoNameMT]

Nur so zur Info:

Von Kommentaren einfügen wird der Server nicht mehr und nicht weniger erkannt, da die Kommentare nicht mitcompiliert werden Deswegen wirken sie sich gar nicht auf die ausführbare Datei aus.

Back 2 Topic:

Soul Collector hat mal nen ganz netten Text dazugeschrieben:

STEP 1:

Change Assembly

Well first what I do is changing assembly. I think this is most important think you do, well maybe.

Well lest say that we are using my public Keylogger Tutorial which is I think 1/24 or 2/24. I think was detected by Avira & Mcafee.

I will now explain some ways to bypass Anti-Viruses with assembly and make it FUD again.

When you open project click Project > then NameOfProgram Properties > then click button Assembly Information... > Then change it, I suggest you to use some legit program's assembly.

For this example I will use assembly of HJT's tool.

Title: Hijack This
Description: Hijack This
Company: Trend Micro Inc
Product: Hijack This
Copyright: © 2007 Trend Micro Inc
Assembly Version: 2 00 0002
File Version: 2 00 0002
Neutral Language: English (United States)


That's how it should look assembly of HJT.

Well this will bypass some Anti-Viruses like AviraAv, AVG & Avast.

STEP 2:

Add icon to our application


Well next thing you should do is add a icon if you didn't that already and it will make it less UD and more FUD.


When you open project click Project > then NameOfProgram Properties > then click button Icon Scrollbox > Then click <Browse...> > And choose icon



Well I guess this will maybe work, for me sometimes works sometimes doesn't.

STEP 3:

Add junk code and make file bigger


Well next step is easy too. So what we going to do next is adding some junk or any kind of source code to our project. That would 100% make it less UD and more FUD. Lets say that we are making a key logger and we get 1/24 UD. Well now lets add this code to our stub or whatever it is and it will make it FUD.

IMPORTANT: The comments you add wont make it bigger or make it more UD.

So lets say that we are making key logger and we want to use GMail, so lets make a a FTP backup. The code for FTP can be found in this thread. Remember its not important to be FTP just any code except comments.

STEP 4:

Changing strings

Well I think this is best way to make your stub FUD again. Well you need to know what you doing, you cant just like that change a string of program. If you change wrong or don't do this correctly your application can maybe crash.

Well lets say we are using a RC4 encryption module:
Code:

Private Function rc4(ByVal message As String, ByVal password As String) As String

Dim i As Integer = 0
Dim j As Integer = 0
Dim cipher As New StringBuilder
Dim returnCipher As String = String.Empty

Dim sbox As Integer() = New Integer(256) {}
Dim key As Integer() = New Integer(256) {}

Dim intLength As Integer = password.Length

Dim a As Integer = 0
While a <= 255

Dim ctmp As Char = (password.Substring((a Mod intLength), 1).ToCharArray()(0))

key(a) = Asc(ctmp)
sbox(a) = a
Math.Max(Interlocked.Increment(a), a - 1)
End While

Dim x As Integer = 0

Dim b As Integer = 0
While b <= 255
x = (x + sbox(b) + key(b)) Mod 256
Dim tempSwap As Integer = sbox(b)
sbox(b) = sbox(x)
sbox(x) = tempSwap
Math.Max(Interlocked.Increment(b), b - 1)
End While

a = 1

While a <= message.Length

Dim itmp As Integer = 0

i = (i + 1) Mod 256
j = (j + sbox(i)) Mod 256
itmp = sbox(i)
sbox(i) = sbox(j)
sbox(j) = itmp

Dim k As Integer = sbox((sbox(i) + sbox(j)) Mod 256)

Dim ctmp As Char = message.Substring(a - 1, 1).ToCharArray()(0)

itmp = Asc(ctmp)

Dim cipherby As Integer = itmp Xor k

cipher.Append(Chr(cipherby))
Math.Max(Interlocked.Increment(a), a - 1)
End While

returnCipher = cipher.ToString
cipher.Length = 0

Return returnCipher

End Function


So to change it on whole source you will need one little program that is in Visual Basic.

Click Edit on tab > then click Quick Replace or click Ctrl+H > then this should pop up:



In 1st textbox write name of Integer, Boolean or String you want to replace and in 2nd write replace word. Use whatever you want it wont harm our application but remember, don't change important strings or the application will crash. Fore example we are making builder & stub. We coded it and its UD, don't change important strings from, but even if you do make sure that they are same in stub and in builder

So for this example we are used:
Dim i As Integer, yea its integer but this is just example how to change it easly.

End

Vllt hilft dir das ja

Quelle: Klick Mich

[Slawa]

Das ist irgendwie klar, aber das TUT bring mich nicht weiter, das was er schreibt, wurde schon versucht, strings zu ändern nützt mir hier wenig, da der code erst frisch ist d.h. noch nie genutzt worden.

Gruß

Slawa

[inmate]

Die detection kommt wenn die Dateigröße im PE Header nicht mit der originalen Dateigröße übereinstimmt.Du musst ne Section im PE Header adden in der größe der angehängten Datei.

[Slawa]

Die detection kommt wenn die Dateigröße im PE Header nicht mit der originalen Dateigröße übereinstimmt.Du musst ne Section im PE Header adden in der größe der angehängten Datei.

Inmate ich habe das mit dem PE header gewusst, aber kann das nicht realisieren, ich würde mich sehr freuen, wenn du das mal erklären würdest, ich habe dir schon vor einer woche eine PM geschrieben.


Danke

[krusty]

[ame="http://www.youtube.com/watch?v=CxBB9LQspkA"]YouTube- Anti Dropper [VB .NET] by Till7[/ame]
dataaaa, till7 hat n video drüber gemacht.

[inmate]

Weiss ich und ich habe bewusst nicht drauf geantwortet , du lernst seit ca 1 Monat VB sowas kann man einfach nicht nach 1 Monat VB verwirklichen
Du hast letztens erst einen .exe Pumper realeast , wo du selber zugegeben hast das du ihn nicht gecodet hast und jetzt wagst du dich schon an einen Crypter ? Das geht einfach nicht.

[Slawa]

YouTube- Anti Dropper [VB .NET] by Till7
dataaaa, till7 hat n video drüber gemacht.

Hey Krusty, dieses Video kenne ich schon länger als dieses Bord, diese Methode funktioniert schon lange nicht mehr, bzw. till7 hat es mir gezeigt, aber es ist nicht gegangen..


Gruß

Slawa

Weiss ich und ich habe bewusst nicht drauf geantwortet , du lernst seit ca 1 Monat VB sowas kann man einfach nicht nach 1 Monat VB verwirklichen
Du hast letztens erst einen .exe Pumper realeast , wo du selber zugegeben hast das du ihn nicht gecodet hast und jetzt wagst du dich schon an einen Crypter ? Das geht einfach nicht.

Was meinst du mit Crypter? ich habe einen einfachen server builder jetzt selbst hinbekommen, den code hab ich selber geschrieben