Discussione Malware Codificare Backdoor/Malware già creato in precedenza

[BillyBoy_K]

Buon giorno, avendo trovato un encoder in ruby non rilevato dagli AV ero interessato a conoscere un modo diciamo "pratico" (es. comando da terminale, qualche tool su kali) senza scendere nella programmazione non avendo ancora abbastanza nozioni, per poter codificare per esempio una classica backdoor già esistente. Finora l'ho fatto sempre creando il file con il classico msfvenom dando il flag -e seguito dall'encoder per esempio: -e x86/shikata_ga_nai, quindi in fase di costruzione, si può fare anche con un file già pronto?

 

[Baud]

Assolutamente, il principio è lo stesso, nascondere le istruzioni maligne. Gli encoder che utilizza msfvenom vengono applicati a degli shellcode, ovvero a delle istruzioni con lo scopo di aprire una shell sul tuo sistema target, il risultato è un insieme di caratteri non riconducibile al codice di partenza per evitare che questo venga rilevato da un antivirus qualora il file fosse scansionato. Il trucco qui è che in realtà il codice è solo stato "mascherato", infatti, una volta lanciato, il programma sarà tranquillamente in grado di ri-convertire quell' apparentemente innocuo gruppo di caratteri in codice ed eseguirlo. Che tu lo faccia tramite msfvenom ad un file sorgente o con un programma esterno su un altro programma pre-compilato, il risultato non cambia. I programmi che fanno quello che cerchi sono detti "crypter", in quanto crittografano o comunque rendono illeggibile il codice maligno, solo per poi re-interpretarlo e renderlo eseguibile di nuovo quando dovuto.

Ironicamente, il 99% dei crypter che troverai online verranno rilevati immediatamente da qualunque antivirus perchè questi programmi vengono tenuti costantemente sott'occhio, appena ne esce uno e acquista popolarità ci saranno ricercatori intenti ad aggiungerlo al database di programmi maligni del loro antivirus, rendendo questi crypter abbastanza inutili. Per questo la tua unica speranza se proprio ne vuoi uno funzionante sarebbe comprarne uno da un market specializzato, o scrivere il tuo. Se sei interessato ho pubblicato qualche anno fa un documento su come farne uno semplice semplice: https://www.inforge.net/forum/resources/the-crypter-blueprint.14467/

 

[BillyBoy_K]

Assolutamente, il principio è lo stesso, nascondere le istruzioni maligne. Gli encoder che utilizza msfvenom vengono applicati a degli shellcode, ovvero a delle istruzioni con lo scopo di aprire una shell sul tuo sistema target, il risultato è un insieme di caratteri non riconducibile al codice di partenza per evitare che questo venga rilevato da un antivirus qualora il file fosse scansionato. Il trucco qui è che in realtà il codice è solo stato "mascherato", infatti, una volta lanciato, il programma sarà tranquillamente in grado di ri-convertire quell' apparentemente innocuo gruppo di caratteri in codice ed eseguirlo. Che tu lo faccia tramite msfvenom ad un file sorgente o con un programma esterno su un altro programma pre-compilato, il risultato non cambia. I programmi che fanno quello che cerchi sono detti "crypter", in quanto crittografano o comunque rendono illeggibile il codice maligno, solo per poi re-interpretarlo e renderlo eseguibile di nuovo quando dovuto.

Ironicamente, il 99% dei crypter che troverai online verranno rilevati immediatamente da qualunque antivirus perchè questi programmi vengono tenuti costantemente sott'occhio, appena ne esce uno e acquista popolarità ci saranno ricercatori intenti ad aggiungerlo al database di programmi maligni del loro antivirus, rendendo questi crypter abbastanza inutili. Per questo la tua unica speranza se proprio ne vuoi uno funzionante sarebbe comprarne uno da un market specializzato, o scrivere il tuo. Se sei interessato ho pubblicato qualche anno fa un documento su come farne uno semplice semplice: https://www.inforge.net/forum/resources/the-crypter-blueprint.14467/

Beh sicuramente scriverselo sarebbe la soluzione migliore come anche nel crearsi una propria backdoor da zero, ma non sono ancora in grado purtroppo sto iniziando a studiacchiare qualcosa ma ce ne vuole ancora di tempo...l'altra sera nella sezione malware di Github ho visto che c'era proprio una cartella dedicata ai crypter quindi non mi resta che iniziare a spulciare sperando di trovare qualcosa di ancora valido.
Grazie del link, ci darò un'occhiata!