Авторская статья [C++] Нативный криптор своими руками

[Alexuiop1337]

Привет, сегодня я расскажу как сделать простой криптор на C++ БЕЗ использования .NEТ и прочей чепухи.

Из чего состоит любой криптор, как проект:
1) Стаб - это шаблон с готовыми функциями
2) Билдер - та программ, которая заполняет шаблон

Функционал билдера:
- Шифрование файла (вируса) с помощью XOR
- Pump файла. Реализован будет через "factor".
- Заполнения шаблона

Функционал стаба:
- Распаковка и запуск файла в памяти
- Защита от виртуальной машины
- Мутация (рандомная) кода (кривая)

1. Начнем с общей подготовки:

1) Для начала создадим проект (на C++, никакого шарпа):

(нажимаем "ок")
2) Далее создаем еще один проект и общий хедер (в котором будет зашифрованный ключ):

3) Теперь подключаем хедер, исходный код, которого можно найти здесь: https://pastebin.com/yrBHGBur
Данный хедер отвечает за шифрование данных. Таким образом реверсер не сможет просмотреть содержание (константных) строк.
*Использование:

#include "xor.h" //сверху

XorStr("Тут ваш текст");

Подключаем наш хедер и объявляем переменную-ключ:

4) Чтобы определится какой ключ нам нужен воспользуемся онлайн хешатором:

5) В итоге хедер должен выглядеть вот так:

2. Далее билдер:

1) Определимся как будет работать билдер:
Запись байтов файла для крипта в переменную -> Памп, если надо -> XOR ресурсов -> Запись настроек в ресурсы -> Запись байтов в ресурсы

2) Создадим Main.cpp для билдера и подключим заголовки:

3) Шаг 1 - Запись байтов файла для крипта в ресурсы:

1. Сделаем так, чтобы стаб копировался и не приходилось делать кучу однотипной работы все время:

2. Считаем байты в vector<unsigned char>

4) Шаг 2 - Памп, если надо:

5) Шаг 3 - XOR байтов (написал отдельную функцию, которую потом скопирую в стаб):

6) Шаг 4 - Записываем настройки:

7) Шаг 5 - Записываем байты:

Готово! Исходный код будет внизу темы (для тех кому лень читать).

3. Теперь перейдем к стабу:

Оформим Main.cpp:

Добавим RunPe.h с этим содержимом https://pastebin.com/VjGRxxj3

1) Определимся, как будет работать стаб:
Определение настроек -> Определение ВМ (опционально) -> Раскриптовка файла -> Инжект в себя же или в attrib.exe -> Мутация кода

2) Начнем с определения настроек, для этого нам понадобится функция для чтения байтов из ресурсов:

Теперь загрузим настройки:

3) Проверяем на ВМ:

4) Завершающий код, где мы дешифируем и инжектим файл:

*Я не забыл про мутацию кода, она будет в проекте, который можно скачать в конце темы.
===========================================================
Проверим работоспособность криптора:

Отлично, все работает!

Скачать проект: https://www.sendspace.com/file/9559cu

Статья написана для конкурса от @ims0rry .

 

[Xaos]

А что по детектам у готового файла?

 

[Alexuiop1337]

А что по детектам у готового файла?

Неожиданно для меня, но virus check mate сдох вместе с nodistribute.

 

[saidbek]

какой детект после крипта ?

 

[Eredel]

Весьма полезно, еще бы записывать байты файла для крипта не в ресурсы, а в секцию например.

Не забывайте про тулсет (для работы на всех Windows, лучшая Vistal Studio для компила - Microsoft Visual C++ 2008 Express) и про размер кода, обязательную сборку под /MT . Имеет смысл почитать про уменьшение веса стаба, если это возможно
https://foxovsky.ru/all/pishem-prostoy-klipper-buffer-changer-na-chistom-c/
Пример уменьшения веса, а так же пример написания просто клиппера на чистых сях.

И рекомендация @Alexuiop1337 , все опен сорс проекты заливай на гитхаб, просто и доступно скачать твой проект

 

[User_67537]

Пару вопросов набегает) 1) как почистить стаб? 2) КАкой детект после крипта?

 

[c0dpro]

/del,проблема решина

 

[CypherZ]

Хех
Небось специально ониме на аву поставил, чтобы сорику понравится)
Ну и естесна покажите детект!!!

 

[c0dpro]

Хех
Небось специально ониме на аву поставил, чтобы сорику понравится)
Ну и естесна покажите детект!!!

Детект огромен у меня Avira,ESET-NOD32,AVG,Avast сразу спали а до крипта только аваст палил ! все конфиги перепробовал , даже накидывал много веса и тп

 

[danaforevr]

Детект огромен у меня Avira,ESET-NOD32,AVG,Avast сразу спали а до крипта только аваст палил ! все конфиги перепробовал , даже накидывал много веса и тп

Ммм,то есть это криптор который добавляет детекты? Круто,ничего не сказать.

 

[Alexuiop1337]

Ммм,то есть это криптор который добавляет детекты? Круто,ничего не сказать.

Я не знаю как он проверял, и пруфов он не приложил

 

[c0dpro]

Я не знаю как он проверял, и пруфов он не приложил

зачем мне врать ? мне на вт чекнуть ? а да дополню 10ка тож спалила, тут 2 варианта 1. стаб упиздошили( что мало вероятно за сутки) 2. скрипт паблик !

 

[˜”*°•VeteR•°*”˜]

Кидайте в телегу файл,я чекну,но скажу сразу,ничего хорошего там не будет,каждый стаб должен быть уникальным,иначе смысла в этой теме нет,а уникален,это значит другой код,либо снятие детектов с существующего,а это ох как не просто.

 

[CypherZ]

Кидайте в телегу файл,я чекну,но скажу сразу,ничего хорошего там не будет,каждый стаб должен быть уникальным,иначе смысла в этой теме нет,а уникален,это значит другой код,либо снятие детектов с существующего,а это ох как не просто.

если каждый стаб уникален, получается это полиморф?))

 

[˜”*°•VeteR•°*”˜]

если каждый стаб уникален, получается это полиморф?))

Полиморф,это когда ты делаешь одним стабом,а на выходе каждый файл имеет уникальный код.

 

[Morphin1]

Спалится при звпуске на настоящей машине.
Неоднократно уже обсуждались эти RunPE , и прочие запуски в памяти

 

[cry_or_die]

Использование Api - удачи))
Любой Hips сожрет файл, если только для красивого скана, не более того.

 

[Fathak]

Толи я херовый скрипткиди толи код кривой вообщем не компилится у меня.
Как я понимаю надо искать ошибку в коде?

 

[Sviat228]

Топ пабликикрипт)) мой ехе всего 1 детект теперь)

 

[M_R_X_0]

подскажите плиз, как это решить