[SRC] Bypass TR\Dropper.Gen

[Bozok]

Author/Coder: Slayer616

Dieser SC wird euch zeigen wie man simpel Antivirs Dropper.Gen Detection bypasst! Zwar tut dieser SC nur einen String schreiben aber es ist leicht es in einen "Crypter" zu verwandeln! Es ist von Vorteil außerdem starke Verschlüsselungsroutinen wie BlowFish oder Rijndael zu benutzen!

Gibt Credits wenn ihr Teile des SC benutzt!

Download: http://rapidshare.com/files/206896451/BypassAntivir.rar

[Nobody.]

Habs mir mal angesehen & just for fun compiled.

TR\Dropper.Gen

[Bozok]

^wird public = Detected

[scratsch]

Ich versuche derweil das ganze FUD zu bekommen was schon ganz gut funktioniert aber sagmal ich verstehe das noch nicht ganz:

ShellExecute Me.hwnd, "Open", "res.exe", "-addoverwrite ad.exe, d.exe, af.exe, Inf, 667,", App.Path & "\", 0
'Shell Chr(34) & App.Path & "\res.exe" & Chr(34) & " -addoverwrite stub.exe, crypted.exe, appendedfile.exe, Inf, 667, "

Woher kommt diese ad.exe?
Bzw. wenn ich mir die Auskommenteire reihe darunter anschaue ok:
stub.exe ist klar, crypted.exe ist meine spätere Ausgabe aber was ist dann wieder appendedfile.exe?
Vielleicht kannst du das ganze etwas erklären

[Perishand]

Appendedfile ist die Datei, die an die ad.exe angefügt werden muss um am ende die d.exe zu ergeben. Ich scheitere noch, wenn ich mehrere Dateien hinzufügen will.

[boterfreak]

Reupp pls ist down

[Malw0rm]

Bypass? Weisste überhaupt was des is?

Für TR/Dropper muss man einfach nur den PE-Header ändern, dafürn brauchste keinen großen Scriptcode.

BlowFish und Rijandael sind bei mir beide detected, man sollte sich am besten ne eigene
Verschlüsselung suchen.

wird public = Detected

Kann nicht detected werden, da diese Meldung nur kommt, wenn die Datei größer/kleiner ist als im PE angegeben

[Lemontree]

Oder mal eine selbst schreiben...