Crypterlı Rat Yapımı?

Kodu sıfırdan kendin yazarsın. Bu ilk dikkat etmen gereken. O zaman zaten virustotal gibi siteler seni yakalayamaz.

Ardından üç dikkat etmen gereken savunma var;

Debugger'lar: Bunların log almasını engellemek için benim yöntemim hafızada rastgele bir adrese paso anlamsız veri yazmak.

Sandbox: Bilinen bütün sandbox'ları bulmanın kolay işaretleri var. Sandbox içinde iken trojan aktive olmamalı, programın uslu durmalı.

Sanal bilgisayarlar: Bu biraz uğraştırıyor. Genelde CPU, BIOS modeli, sadece tek çekirdekli olması gibi şüpheli şeyleri birleştirip anlayabiliyoruz. İnternette bakınca "red_pill"i göreceksin, boşuna deneme artık onu yutmuyorlar. Benim "şimdilik" güvenilir bir yöntemim var ama gelişmeleri çok yakından takip etmek lazım.

zztri' Alıntı:

Kodu sıfırdan kendin yazarsın. Bu ilk dikkat etmen gereken. O zaman zaten virustotal gibi siteler seni yakalayamaz.

Ardından üç dikkat etmen gereken savunma var;

Debugger'lar: Bunların log almasını engellemek için benim yöntemim hafızada rastgele bir adrese paso anlamsız veri yazmak.

Sandbox: Bilinen bütün sandbox'ları bulmanın kolay işaretleri var. Sandbox içinde iken trojan aktive olmamalı, programın uslu durmalı.

Sanal bilgisayarlar: Bu biraz uğraştırıyor. Genelde CPU, BIOS modeli, sadece tek çekirdekli olması gibi şüpheli şeyleri birleştirip anlayabiliyoruz. İnternette bakınca "red_pill"i göreceksin, boşuna deneme artık onu yutmuyorlar. Benim "şimdilik" güvenilir bir yöntemim var ama gelişmeleri çok yakından takip etmek lazım.

Genişletmek için tıkla ...

Hocam eyvallah güzel açıklama fakat benim şuan ne yapmam gerek baştan başlayıp saglam birşey çıkarmam için?

Rat yazmak kolay iş değil bence.En az bir dil bilmek gerekir diye düşünüyorum.

zztri' Alıntı:

Benim "şimdilik" güvenilir bir yöntemim var ama gelişmeleri çok yakından takip etmek lazım.

Genişletmek için tıkla ...

Virustotalden kacmak gibi bir durum söz konusu değil ki hocam adamlar heryerde
Ama stubu calıstırınca virustotal ve jotti sitelerine erişimi kapatmak ise kastınız evet Süper olur.

CebastianTR' Alıntı:

Hocam eyvallah güzel açıklama fakat benim şuan ne yapmam gerek baştan başlayıp saglam birşey çıkarmam için?

Genişletmek için tıkla ...

Ustam üç ayrı sitede, 3 kez sıfırdan nasıl trojan yazılır kod örnekleriyle anlattım. 3 site de kapandı.

Tövbe ettim, ne zaman konu olarak bunu yazsam, o site "tık" gidiyor. Vallahi anlatmam.

AMC' Alıntı:

Rat yazmak kolay iş değil bence.En az bir dil bilmek gerekir diye düşünüyorum.


Virustotalden kacmak gibi bir durum söz konusu değil ki hocam adamlar heryerde
Ama stubu calıstırınca virustotal ve jotti sitelerine erişimi kapatmak ise kastınız evet Süper olur.

Genişletmek için tıkla ...

Hocam ben geçen sene virüstotalde 1 tane bile çıkartmadım hepsini geçmişti fakat şimdi o programları ve yöntemi bulamıyorum

zztri' Alıntı:

Ustam üç ayrı sitede, 3 kez sıfırdan nasıl trojan yazılır kod örnekleriyle anlattım. 3 site de kapandı.

Tövbe ettim, ne zaman konu olarak bunu yazsam, o site "tık" gidiyor. Vallahi anlatmam.

Genişletmek için tıkla ...

Onlardan biri cs mi acaba )

zztri' Alıntı:

Ustam üç ayrı sitede, 3 kez sıfırdan nasıl trojan yazılır kod örnekleriyle anlattım. 3 site de kapandı.

Tövbe ettim, ne zaman konu olarak bunu yazsam, o site "tık" gidiyor. Vallahi anlatmam.

Genişletmek için tıkla ...

Hocam inanki çok ihtiyacım var be

CebastianTR' Alıntı:

Hocam ben geçen sene virüstotalde 1 tane bile çıkartmadım hepsini geçmişti fakat şimdi o programları ve yöntemi bulamıyorum

Genişletmek için tıkla ...

Hocam sen onu virustotale atıyorsun 1 gün sonra 24/ 56 olmuyormu onu merak ediyorum

AMC' Alıntı:

Rat yazmak kolay iş değil bence.En az bir dil bilmek gerekir diye düşünüyorum.


Virustotalden kacmak gibi bir durum söz konusu değil ki hocam adamlar heryerde
Ama stubu calıstırınca virustotal ve jotti sitelerine erişimi kapatmak ise kastınız evet Süper olur.

Genişletmek için tıkla ...

Kaçmaya gerek yok ki.. Sıkıyorsa bulsunlar.

.NET Framework, bir yönden çok paşadır. Normalde C C++ ile vs. kendi appdomain'inize, yani çalışan programınıza dışardan kod inject edeceğinizde bütün adresleri kaydırmanız gerekir, ölümdür, ben yapmam..

.NET'te ise kodu hard diske hiç bir şekilde yazmadan hafızaya aktarır, anında çalıştırırsınız.

Şimdi adım bir; bulaşıcı parçamız ile asıl tu kaka işleri yapan parçamız ayrı programlar olsun. Bulaşıcı parçamız da 10 dakika boyunca sadece hafızaya rastgele veriler yazarak oyalansın. Netice: virüs total: 0/57. Tabii sandbox ve virtual pc kontrollerini de yapıyoruz, eğer bunların içinde isek trojanımız sessiz sedasız bulaşma işlemini sonlandırıyor.

Adım iki; tu kaka verimizi indirdiğimiz anda çalıştıralım. Hard diske girmezse, virüs taramaların otomatik taramaları devreye girmez.

Adım üç; ???????

Adım dört; profit!

AMC' Alıntı:

Hocam sen onu virustotale atıyorsun 1 gün sonra 24/ 56 olmuyormu onu merak ediyorum

Genişletmek için tıkla ...

Son trojanımın virüstotali. Direkt olarak saldırgan parçaya ait, bulaşıcı parçaya değil. Haftalar önce ilk kez kontrol ettim...

https://www.virustotal.com/en/file/...557904f2736acc77551cdb55/analysis/1459192997/

Haa 2/57 oldu çünkü obfuscate ettim. Sadece "Hello World" diyen bir programı obfuscate edin, o da minimum 1, 2 virüs taramaya yakalanır. Ama buna da kimse aldırmaz.

Analiz ederken, trojanım uslu uslu duruyor. Aralarından sandbox'a atan olursa - avast vs. - onu algılayıp zaten hiç saldırganlık yapmıyor. Virüs taramalar da "e temiz bu" deyip geçiyorlar.

zztri' Alıntı:

Son trojanımın virüstotali. Direkt olarak saldırgan parçaya ait, bulaşıcı parçaya değil. Haftalar önce ilk kez kontrol ettim...

https://www.virustotal.com/en/file/...557904f2736acc77551cdb55/analysis/1459192997/

Haa 2/57 oldu çünkü obfuscate ettim. Sadece "Hello World" diyen bir programı obfuscate edin, o da minimum 1, 2 virüs taramaya yakalanır. Ama buna da kimse aldırmaz.

Analiz ederken, trojanım uslu uslu duruyor. Aralarından sandbox'a atan olursa - avast vs. - onu algılayıp zaten hiç saldırganlık yapmıyor. Virüs taramalar da "e temiz bu" deyip geçiyorlar.

Genişletmek için tıkla ...

Başkan bunları senden daha ayrıntılı nerden öğrenebilirim ?

CebastianTR' Alıntı:

Başkan bunları senden daha ayrıntılı nerden öğrenebilirim ?

Genişletmek için tıkla ...

Bir daha kesinlikle sıfırdan trojan yapımı konusu yazmayacağım. Bu Trojan, başka bir sitede o konuyu yazarken aynı zamanda yazdığım trojanın virüstotali.. O zamanlar "sonradan yakalıyorlar mı 1 ay sonra bakayım" diye bir notepad++ dosyasına kaydetmiştim.

O site sitenin sahibi arkadaş farklı bir hostta, .NET tabanlı sıfırdan forum kodu yazmak istediğinden dolayı site kapandı. Kendisindeki yedeklerden sorup bulursam direkt olarak konuyu gönderirim.

bana çok acil lazımdı ya.... benim şimdi ne yapmam gerek ne önerirsin başkan

zztri' Alıntı:

Son trojanımın virüstotali. Direkt olarak saldırgan parçaya ait, bulaşıcı parçaya değil. Haftalar önce ilk kez kontrol ettim...

https://www.virustotal.com/en/file/...557904f2736acc77551cdb55/analysis/1459192997/

Haa 2/57 oldu çünkü obfuscate ettim. Sadece "Hello World" diyen bir programı obfuscate edin, o da minimum 1, 2 virüs taramaya yakalanır. Ama buna da kimse aldırmaz.

Analiz ederken, trojanım uslu uslu duruyor. Aralarından sandbox'a atan olursa - avast vs. - onu algılayıp zaten hiç saldırganlık yapmıyor. Virüs taramalar da "e temiz bu" deyip geçiyorlar.

Genişletmek için tıkla ...

Demek istediğiniz yanlıs anladım galiba hocam maruz göründe ben ilk olarak sunu anladım rat serverini vt ye atarsak zaten adamlar sandbox ile denemiyorlar gercek pc üzerinde işlem yapmıyorlar mı?
Onun haricinde suanda bir stub yapılsa dahi dediğiniz sandbox engellense bile yakaanmıyor mu ?
3. güne patlıyor öyle değil mi ? Yanlıs anlamayın sadece aklıma yatmadı av şirketleri bu kadar nasıl düsüncesiz olabiliyorlar profesyonel ekiplerin sacma bir hataya düsmesini anlayamıyorum.
Okudugun icin teşekkürler.
Edit bulursanız hocam bana da gönderirseniz teşekkürlerimi sunarım.Eywallah

AMC' Alıntı:

Demek istediğiniz yanlıs anladım galiba hocam maruz göründe ben ilk olarak sunu anladım rat serverini vt ye atarsak zaten adamlar sandbox ile denemiyorlar gercek pc üzerinde işlem yapmıyorlar mı?
Onun haricinde suanda bir stub yapılsa dahi dediğiniz sandbox engellense bile yakaanmıyor mu ?
3. güne patlıyor öyle değil mi ? Yanlıs anlamayın sadece aklıma yatmadı av şirketleri bu kadar nasıl düsüncesiz olabiliyorlar profesyonel ekiplerin sacma bir hataya düsmesini anlayamıyorum.
Okudugun icin teşekkürler.
Edit bulursanız hocam bana da gönderirseniz teşekkürlerimi sunarım.Eywallah

Genişletmek için tıkla ...

Yok patlamaz.

Tabii bir kaç püf noktası daha var.

Mesela keylogger çalıştıracak 'tu kaka' parçamız değil mi. GetAsyncKeystate, girilen her kodu okuduk.. bunları yazdık... maile attık! AHA ESET DEVREYE girdi.. Maile atmayalım. Sql sunucusuna raw veri olarak atalım. ESET o zaman kıllanmaz. Gördüğü tuşları dinleyen - şüpheli ama tek başına çok şüpheli değil - ve de veritabanına yazan - tamamen masum - bir program. Tam olarak bu heuristic dedikleri halt nasıl çalışıyor bilmiyorum ama bazı hareketleri beraber yapmamak lazım.

- getasnykeystate kesinlikle alarm kaldırıyor. Ama tek başına bir o var diye programını kapatmıyor.
- İnternetten dosya indiren programlar anında şüpheli konuma düşüyor. Ama program indirmek zorunda değiliz. Bize herhangi bir şekilde bir byte[] almak gerekiyor sadece. Her yere saklarız.
- Aynı domain'e fazla kod yüklemek de şüphe uyandırıyor. Farklı appdomainler açarsak bir şey olmuyor.

Yani olay deneyimlere dayanarak, ESET'in "yeter ulan sen kesin trojansın" dediği noktayı bulup bir tık aşağısında kalmak...