XProfan

- Página 1 -

Andre
Rohland

@Peter (Pájaro carpintero):

Cuestión 1.) Ungefähr así algo como Mach Por favor, no Mist...
Cuestión 2.) Das son el sogenanten Condiciones de uso de Microsoft
Cuestión 3.)Nein !!!, qué Usted vermutlich media son el sogen. Terminate and Stay Resistent Programas, dieses hier überlebt con Sicherheit no Reset... .
Cuestión 4.) Yo a IF weitergeleitet, blanco auch no así genau, qué él así meint... .
Cuestión 5.) bastante trivial: si qué Böses con el Code machst... .

Saludo André

05.03.2009 ▲

Andre Rohland

@Peter (Pájaro carpintero):

Cuestión 5.) bastante trivial: si qué Böses con el Code machst...

Geh doch simplemente veces su de, dass él ya ahora ya viel bösere Codes escribir podría, como Usted Usted tal vez wiederum vorstellen kannst.

Lo son no Sicherheit (sicheren Betriebssysteme) y Aufklärung schadet selten.

05.03.2009 ▲

@Andre: Tal vez hacer wir el primero a una klaren Anwendungsbeispiel fest welches nützlich ser kann.

Hast Usted hierzu una Concepto?

05.03.2009 ▲

- Página 2 -

Matthias
Arlt

Andre Rohland

...que un y diesselbe programmiertechnische Verfahrensweise a guten Zwecken ( = Spezialfälle ), como a bösen Zwecken ( = injizieren de Malwarecode z.B. en explorer.exe, svchost.exe etc.) verwendet voluntad kann...

Das liegt nun veces en el Wesen el Sache a se...y dies en allen Bereichen auch jenseits el Programación. Un leidige, aber unabänderbare Tatsache.

Andre Rohland

Sei Usted Por favor, auch darüber en el Klaren, dass no sólo unsere Comunidad esta Contribución lesen kann, pero cada, el irgendwo en el Netz esta Contribución findet...

Yo verstehe durchaus Su Intention y diesbzgl. Zurückhaltung. Nur, all el podría una potentieller Interessent aber andernorts auch erfahren. Und él sería vmtl. todavía weit más fündig, como hier. Denn todavía bewegt se (X)Profano (m.M.n. ungerechtfertigt) más en el Randbereich el allg. Wahrnehmung. Der didaktische Nutzen uno Offenlegung dürfte por lo tanto una befürchteten Negativ-Effekt (sofern dieser überhaupt eintritt) en Weitem überwiegen...

El mögliche Alternative...Yo weiß qué, sags pero no, hatten wir ya. Und ellos ha se lediglich sólo como destruktiv erwiesen...

Saludo
Matthias

WinXP SP2, Win7 - XProfan 10/11/FreeProfan32 - Xpia

06.03.2009 ▲

E.T.

@Andre: Tal vez hacer wir el primero a una klaren Anwendungsbeispiel fest welches nützlich ser kann.

So una Anwendungsbeispiel wäre sí ggf. auch no schlecht, en a testen, como div. Sicherheits-Software así umgeht, si una laufendes Programa injiziert se (rein Test-mäßig

Grüße aus Sachsen... Mario
WinXP, Win7 (64 Bit),Win8(.1),Win10, Win 11, Profan 6 - X4, XPSE, und 'nen schwarzes, blinkendes Dingens, wo ich das alles reinschütte...

06.03.2009 ▲

Andre
Rohland

Das wäre entonces wohl mein derzeitiges Projekt,
Yo aber desafortunadamente todavía no fertig...

1.) Der Hintergrund...

es una Teenager con el Problema Schule versus Computergaming.
Man trifft se eben así en MMORPGs ( a.k.a Onlinegaming ) y va entonces entsprechend früh a Bett ( manchmal incluso ya en 01.00 Uhr).
Dabei ignoriert uno großzügig el Umstand, dass uno en 06.00 Uhr aufzustehen y una Schulweg de ca. 7 km a bewältigen ha. El schulischen Ergebnisse übernächtigter Teenies brauche Yo sicherlich no auszuführen...

( Bitte aber ahora no guten Ratschläge a Erziehung uno 18-jährigen Teenagers... )

2.) Spezialfall y Legitimität des Projektes...

Lo son haufenweise sogen. Kindersicherungsprogramme, el el Computerzeit einteilen y el Computer a una cierta Tiempo herunterfahren, el todos como legitim eingestuft voluntad.
Sie teilen se en zwei Hauptgruppen:
- el überwiegende Teil arbeitet con Zugriffsbeschränkungen ( Systemeinstellungen, Uhrzeiteinstellung, Taskmanager verbieten usw.) meist via Registry-Hacks oder Policies.
- el kleinere Teil greift tiefer en el Sistema una, el Restriktionen son no siempre nachvollziehbar y en el Fehlerfall auch como Admin no siempre rückgängig a hacer.

Diese Situation empfinde Yo como unbefriedigend.
Das Sperren des Taskmanagers halte Yo z.B. para más que bedenklich, porque el User el Möglichkeit entzogen se, una fehlerhaften Prozess a final y el Systemstabilität a obtener. Stattdessen restos bajo Umständen sólo una Neustart übrig.
Was para Ejemplo, si yo gerade 13 Páginas para una Hausarbeit mühevoll zusammengeschrieben habe y Abgabetermin bedenklich nahe liegt...

Spezialfall ?

Yo denke ya, de folgenden Gründen:
- mein Sohn se todos Rechte como Admin en seinem Computer behalten y después de Belieben en seinem Sistema schalten y walten puede, salvo el Umstand, dass el Kiste a Vorabenden de Schultagen eben 21.50 Uhr herunterfährt.
- dazu se sólo esta una Función gebraucht, el Funktionsumfang üblicher Programas es überflüssig y bremst el Sistema u.U. sólo de, qué el Schlachten el heiligen Kuh uno cada Gamefreaks gleichkommt...
- Yo möchte en el El sistema no se Kernel-Mode-Code fremder Anbieter ausführen dejar, el Yo no wirklich kontrollieren kann
- el Programa dient ausschließlich privaten Zwecken, una kommerzielle Verwendung es no vorgesehen.

3.) Ein Anwendungsbeispiel

liegt eigentlich ya antes. El prozess2.exe se später el Tarea tomar, el Computer a Schultagen en 21.50 Uhr herunterzufahren. Sie se por el injizierten Code überwacht y quizás neu comenzó.

El einzubauende(n) Función(en):
- Uhrzeit de el Internet holen ( deshalb Yo el Daytime Protocol Unit geschrieben )
- verbleibende Tiempo a 21.50 Uhr en Sekunden umrechnen
- GetTickCount + verbleibende Tiempo en Variable speichern y todos 30s con GetTickCount vergleichen
- Countdown ca. 1 min antes el Herunterfahren einleiten (z.B Piep encima Systemlautsprecher)
- Herunterfahren

Hier es el aktuelle Ver código fuente de Prozess2.exe
Kompilieren Marca Separación

windowstyle 24
Window 600,100
WindowTitle Back to Live Prozess ( prozess2.exe )
cls ($00FF00)
color 0,10
Font 2

if %Parcount

    color 4,10
    print Du hast versucht mich zu killen, pfui Teufel !
    print
    print Zum Schließen bitte zuerst Muttertier.exe beenden... .

else

    color 0,10
    print Programm wurde ordnungsgemäß zum ersten Mal gestartet.

endif

waitkey
end

Bitte beachtet, dass el Abfrage el Parameteranzahl voraussetzt, dass Prozess2 a Exe kompiliert se.

Damit habt Ihr ahora una Anwendungsbeispiel, welches Ihr incluso verändern, ausbauen y testen könnt.

Fortsetzung heute Nachmittag...
André

07.03.2009 ▲

Andre
Rohland

Fortsetzung...

El Überschrift des Beitrages sagte lo zwar ya, pero yo möchte lo más bien una vez más erklären:
- Direct Code Injection bedeutet, dass weder Hooks verwendet voluntad, todavía Características de DLL irgendwo gemappt voluntad, pero
- lo se ausführbarer Code direkt en el Speicherbereich uno Prozesses geschrieben y ausgeführt.

El Método a direkten Injizierung des Codes es (para se genommen) bastante simplemente, el problema es el Code incluso.
Er muss a se unabhängig y ausführbar ser, lo kann also no Exe-Expediente ser ( pero nativer Bytecode ).
Como fällt uns allen eigentlich sólo Ensamblador una... .

Mit el MASM32 ha se Ensamblador-Programación ya fast a uno Hochsprache entwickelt, lo liegt also nahe, esta Ensamblador utilizarse.

Wenn Yo bastante ehrlich ser se, Voy a para eigenständige XProfan-Programas, de Perfomancegründen en Ensamblador-Routinen zugreifen auch weiterhin el XPIA de Franco uso.

Das funktioniert desafortunadamente en unserem Falle no, wir brauchen überwiegend el Low Level- Syntax des Assemblers, porque lo voluntad no todos Elemente el High Level-Syntax unterstützt.

Wer also correcto pushen y poppen kann es bastante klar en el Vorteil. (tschuldigung).

Im Klartext heißt el entonces wohl: Lo se una kleines Tutorial geben necesario, welches el de Euch geäußerten Wünsche a el Nachvollziehbarkeit erfüllen se... . Como tener Yo sí qué eingeproggt !

@IF:
War el así en etwa Su Intention ?

@E.T. (Mario):
Yo poner veces nochne Exe rauf, con el Usted el Comportamiento de AV-Programmen versuchen kannst a testen, allerdings sólo morgen... .

Soviel para Heute, warte en Eure Respuesta.

Saludo
André

07.03.2009 ▲

E.T.

Hab el veces con el Ejemplo de Post1( [...]

) getestet:
FreeAV (Avira) scheind el überhaupt no a interés (bedenklich ??

). Zumindest podría Yo en keinem Log qué encontrar. FreeAV kontrolliert m.E. sólo sólo, si en el (el) Expediente(n) una Schadcode drinn es. Wird una schädlicher Code sólo beim Injizieren erstellt (como viele Trojaner, Viren etc: en efecto hacer), sería el Avira ggf. nada merken (por lo tanto de me sólo a Test-Zwecken benutzt

).

Scanner con Überwachung el Programa-Aktivitäten merken ya, el como qué passiert, auch el injizieren se registriert y überwacht:
Kaspersky z.B. registriert fein säuberlich el Aktivitäten, überprüft el Datein y el código, y si nix verdächtiges gemacht o Code gefunden se, entonces lässt lo gewähren. Am Log puede ser muy schön sehen, que aquí alles gecheckt se :

(El langen Pausen zwischen el Programa-Starts resultieren de deem Deep-Scann...)
Das injizieren uno laufenden Prozesses con algo kann also ya bastante schön missbraucht voluntad (auch de Profano-Progs heraus), una guter Scanner sería el aber en cada Fall merken y el Ausführung des Codes verhindern (hoffe Yo, a ahora wars en me así).
Aber el puede ser sí bastante ligeramente testen, indem uno el guten Code beim injizieren simplemente veces a la Testvirus beifügt (sería mich doch liso interés, Andre, baust Si es usted el veces en deinem Ejemplo para mich una??

injector-test.png	8 kB

Hochgeladen:	08.03.2009

Ladeanzahl:
		Descargar

Grüße aus Sachsen... Mario
WinXP, Win7 (64 Bit),Win8(.1),Win10, Win 11, Profan 6 - X4, XPSE, und 'nen schwarzes, blinkendes Dingens, wo ich das alles reinschütte...

Andre
Rohland

Nochmal una Programa para testen...

Yo weise ausdrücklich en folgendes hin:

- Das Programa dient ausschließlich dazu, a ermitteln, como se Programas comportamiento, en el Code injiziert se, o. como Antiviren-Software en solche Code Injections reagiert !
- Das aufmerksame Lesen aller Beiträge a diesem Thema, besonders pero la de IF gegebenen Hinweise en su ersten Antwort para Thema ( bezüglich Injizierung de Code en M$-Programas ) es absolute Pflicht !!!
- tal vez überflüssig, porque ya erwähnt, aber nochmals: Yo übernehme keinerlei Verantwortung, el ( hoffentlich no blindwütige ) Benutzung des Programms es en propio Gefahr !

Descripción des Programms:

Das Programa lässt el Auswahl uno laufenden Prozesses a y injiziert una Ensamblador-Rutina, el una Messagebox aufruft. Beim Anklicken de OK erscheint el Messagebox después de ca. 2 Sekunden erneut, beim Anklicken de Abbruch se el Hilo con el Ensamblador-Rutina final.

Como el aufrufende Programa después de Start el Rutina en un otro Prozess termina, así esta eigenständig weiterläuft, es no Speicherfreigabe en Beendigung des RemoteThreads ! Man debería deshalb tal vez no gerade 1000-veces en el selben Prozess injizieren, si dieser no zwischendurch veces geschlossen y neu comenzó se, sonst macht uno de uno Mücke una Elefanten...

XProfan-Teil

- Vervollständigung uno ya como Incluir vorliegenden Ensamblador-Rutina ( Bereichsvariable )con el Adressen el Características( Messagebox ), ( ExitThread ) y ( Sleep ), sowie más Parametern dafür
- Öffnen uno Prozesshandles con PROCESS_ALL_ACCESS - Rechten ( OpenProcess )
- Reservierung virtuellen Speichers, 1000 Bytes ( VirtualAllocEx )
- Startadresse des reservierten Speicher en el ASM-Rutina ( Bereichsvariable ) escribir
- 200 Bytes el Bereichsvariable ( ASM-Rutina ) en el reservierten Speicher de Startadresse con ( WriteProcessMemory ) escribir
- RemoteThread starten con Startadresse el Rutina ( CreateRemoteThread )
- incluso final

Ensamblador-Teil

label:
- Messagebox Weiter ?
- OK --> sleep 2000 ---> Springe a label:
- Abbruch ExitThread,0 incluso final

Un ausführlichere Descripción va wohl sólo en un entsprechenden Tutorial con konkretem Ver código fuente como Ejemplo. Propuestas para Beispiele y Tutorial ???

Saludo
André

InjectCodeTest.rar	356 kB

Hochgeladen:	08.03.2009

Ladeanzahl:
		Descargar

Andre
Rohland

Hoppla, Mario

Usted warst con su Contribución una klein wenig más rápido como Yo.

Gleich veces a Deiner Cuestión: Definitiv NEIN !

1.) Yo no wirklich Idea, cómo una Testvirus schreibt...
2.) hay überhaupt Testviren ??? Für mich es Virus = Virus. Testvirus hört se para mich más a como: una bißchen schwanger oder una bißchen tot...
3.) Vorausgesetzt, lo gäbe una Testvirus, así dürfte él ( porque él doch sólo una Testvirus es ) no Schaden en Deinem Sistema anrichten... ? In diesem Falle sería sin embargo Su Kaspersky más pennen y se en una Protokollierung dieser Aktivität beschränken, porque lo no bekannten Schadroutinen findet ?
4.) Offenlegung, Erklärung el konkreten Mechanismen y na sí, nun incluso auch todavía Tutorial Yo no umsonst a una moralische Verantwortung geknüppert y Diskussionsbeiträge/ Meinungen dazu gefordert...
5.) bin Yo fest su überzeugt, dass Usted una Guter bist y Su Cuestión a mich wegen derselben Bedenken erfolgte, el Yo anfangs a Diskussion gestellt habe

Ein guter Scanner ??? HÄ ???

Also: Meines Wissens hängen todos AV-Programas el aktuellen Desarrollo neuer Viren una Tick después de y uno nennt dies auch el Produktivkraft des Verbrechens. Schließlich muss el neue Virus untersucht, analysiert y letztlich necesario Erkennungsroutinen geschrieben voluntad. Reine Viren son de paso en el Szene relativ out, uno konzentriert se neuderdings stärker en el Programación de Würmern, que incluso verbreiten y vestecken puede. Den real Malware-Code invitar ellos meist sólo de el Netz herunter ( keylogger, Contraseña-Spione...).

Nur relativ wenige AV-Scanner versuchen se ( en el sogen. ON ACCESS - Modus = Zugriffe/ Dateistarts, etc... ) a el Erkennung de Malware-Code. Es nämlich nada así simplemente, porque wo fängt porque eigentlich el SchadCode a ???

Ein Ejemplo para Usted, por qué Su Kaspersky en bien geproggter Malware (Virus) versagen podría:
( Yo versuchs también brevemente a hacer...)

Mein Programa, una winziger, unscheinbarer Kernel-Mode-Treiber verändert con el sogen. DKOM-Método ( = Direct Kernel Object Manipulation ) el Verkettung de Systemstrukturen, z.B. con el Ergebnis, dass para el Sistema una ganzer Ordner incl. aller Archivos nada existent es.

FRAGE 1: Como se Kasper esta Archivos ( con su ON ACCESS oder sólo bastante con el ON DEMAND- Método untersuchen puede ?

Selbst si:
In diesem Ordner befindet se simplemente veces gar kein Virus, pero una einfaches Proggi, welches todos Festplatten formatiert... ( = guter Code ? ).

FRAGE 2: Springt Kasper etwa a, si el Festplatte oder una Partion formatieren möchtest ???
(Yo glaube no...)

Aber más: Mein kleiner böser Treiber es con großer Wahrscheinlichkeit de Kaspersky nada untersucht voluntad puede, porque él en el untersten Ausführungsschicht des Systems se ejecuta ( = ring 0 ), d.h. él se ausgeführt, bevor lo überhaupt a una Login de Windoof kommt.

Und ya otra vez el Selbst si:

Lo voluntad sí sólo unos pocos Zeigeroperationen ausgeführt... . Wenn Kasper el alles verbieten sería, entonces Gute Nacht..., porque en efecto legitime Treiber así algo ausführen, z.B. en direkten I/O-Port-Operationen ( Ratón-Kontrollprogramme usw. ).

Und otra vez más:
Mein kleiner böser Treiber hockt nun auch después de el Anmeldung en el Sistema rum y wartet darauf, dass Yo ihn veces algo frage... .
Zum Ejemplo danach, Yo el format.exe en el ausgeblendeten Ordner aufrufen kann... !!!!!!!!

This could be My Way ???:
Como podría el trabajo ???
Also: Yo starte z.B. Explorer.exe en Sistema.ini como Shell, con un Parámetro.
Dieser es natürlich el Injector.exe. Damit User X No dazwischenpfuscht, verbiete Yo ihm igual veces el Zugriff en el Sistema.ini...

FRAGE 3:
Muckt Kasper etwa en, si con el Befehl cacls.exe en el Eingabeaufforderung el Zugriff en una Ordner/ Expediente sperrst ?
(wohl kaum...)

Und otra vez una Schritt zurück:
Der Kasper stellt nun zwar fest, que un Prozess (z.B. en Explorer.exe ) eingeschleust worden es, kann aber así nichts anfangen, como jede Operation genauso de otro ( lieben ) Prozessen ausgeführt voluntad podría y protokolliert el sólo veces a Sicherheit - hahaha.

Und nun el absolute Hammer:
Für el Ermittlung el Möglichkeiten para Starten de format.exe benötigt el eingeschleußte Prozess ( ASM-Code )sólo Millisekunden.
Noch bevor Usted auch sólo para Lesen des Protokolls de Kaspersky-AV überhaupt kommst, es format.exe doch ya comenzó... .

Sorry para el Horrorversion, pero yo gehe mittlerweile su de, dass AV-Programas mehr una Art de Selbstberuhigung son...

FRAGE 4: Noch weitere Fragen ?

Sei no traurig, porque Yo Usted hier así una Abfuhr erteilen muß... .

Sollten nosotros hier gemeinsam a dieser Problematik verständigen puede, así lo una Tutorial geben, con el Usted tiefer en el ganzen Problemas eindringen y tal vez incluso Su eigenen Testvirus escribir kannst, wovon Yo Usted aber después de como antes dringend abraten sería... .

Nochmals @ALLE:
Tal vez versteht sí después de diesem Ejemplo ahora cada, por qué Yo una solche Diskussion gefordert habe, el desafortunadamente teilweise no bastante así ernst genommen wurde, Yo esperado hätte.

Um el auch nochmals klarzustellen:
- wer lesen kann, es sicherlich en el Lage, media letzten Beiträgen a entnehmen, dass Yo grundsätzlich bereit bin, mein Wissen a vermitteln ( como Yo no weiß, en welchem programmiertechnischen Level el Leser dieses Themas bewegen, Yo incluso una Tutorial en Erwägung elaborado...)
- Wollt Ihr el wirklich ???
- Ein, si auch todavía así kleines, Tutorial a escribir bedeutet correcto Arbeit, especialmente Yo mich no siempre kurz fassen kann...

- Ohne Sugerencias, Vorstellungen encima una Demo-Projekt se ejecuta deshalb nichts... .

P.S.: @Mario:
Wenn Yo bajo 1.) geschrieben habe, dass Yo ni idea habe, así heisst el no, dass Yo mich con diesem Problema no auseinandergesetzt habe ( bin incluso veces bastante böse gehackt worden...)

Yo habe fertig. Puuuhhh !

Saludo
André

E.T.

Huch, para solch largo Posts es doch Dietmar zuständig

@Andre: Usted sollst me natürlich no Testvirus escribir, algo como gibts bastante oficialmente (de vielen Großen incluso freigegeben): [...]

Dieser Link zeigt en el Erklärungs-Página, no en una Virus !!! Nutze Yo bastante gern, en a zeigen, el el Schutz auch wirklich como es

...Aber más: Mein kleiner böser Treiber es con großer Wahrscheinlichkeit de Kaspersky nada untersucht voluntad puede, porque él en el untersten Ausführungsschicht des Systems se ejecuta ( = ring 0 ), d.h. él se ausgeführt, bevor lo überhaupt a una Login de Windoof kommt....

> Das macht m.E. auch una guten Scanner de, el es antes WIN como !!! Und Los cambios z.B. al Systemstart voluntad nachgefragt bevor esta zugelassen voluntad (como eben el invitar uno unbekannten Treibers), si yo lo entonces natürlich (de Unwissenheit oder auch Dummheit oder qué De todos modos) zulasse, entonces natürlich Gute Nacht.

Aber wir querer sí no encima gute y schlechte Scanner diskutieren, y no darüber,

wann welches AV-Prog aktuell es, el se se lo wohl nie 100-Prozentig geben.

Sei no traurig, porque Yo Usted hier así una Abfuhr erteilen muß... .

Och, el bin Yo gewohnt....

Um veces otra vez para Anfang zurück a kommen:
¿Por qué se porque el, qué du antes hast (el Rechner a bestimmter Tiempo abschalten más o menos) überhaupt por el injizieren uno Anderen Anwendung tener lugar ??
Würde lo como no genügen, (D)una Programa simplemente (antes el Taskmanager) a verstecken ??

Grüße aus Sachsen... Mario
WinXP, Win7 (64 Bit),Win8(.1),Win10, Win 11, Profan 6 - X4, XPSE, und 'nen schwarzes, blinkendes Dingens, wo ich das alles reinschütte...

Andre
Rohland

@Mario:

... Leider eben no simplemente...
Einen Prozess bajo WinXP a verstecken va meines Wissens sólo encima API-Hooking ( via IAT-Patching ) oder DKOM ( Direct Kernel Object Manipulation ) por el Verbiegen de Zeigern en el doppelten Verkettung el EPROCESS-Estructuras, also por Rootkittechnologie, qué meist por Treiberprogrammierung hecho se. El Wahrscheinlichkeit, dass Antiviren-Software Alarm schlägt, es also muy hoch...

Andere Gründe son:
1.) Systemweite Hooks puede se auch bastante negativo en el Systemleistung auswirken.
2.) Mein Kontrollprogramm ha una ( natürlich passwortgeschützte ) Benutzeroberfläche, así Yo Zeitvorgaben ändern kann, o. en el Ferien el Programa vollständig deaktivieren kann. Lo se also sichtbar ser ( sólo eben no el Rutina, el lo überwacht )!
Noch mehr Gründe Yo ya más oben Spezialfall ? genannt.

Si usted el InjectCodeTest.exe comenzó hast y wartest, a ellos se final ha, wirst Usted el laufende ASM-Rutina no bajo Prozessen en el XP-Taskmanager encontrar, ellos befindet se sí en un el ya angezeigten laufenden Prozesse.

Lediglich para el Tiempo el Anzeige el Messagebox se el Rutina bajo Anwendungen en el XP-Taskmanager como Caption adecuado, qué daran liegt, que un Ventana aufgemacht se.

Mi ASM-Kontrollroutine ( exakt el gleiche, como en Injektion.rar ) verwendet indessen kein Ventana...

Mit el Injizierung en una beim Systemstart ausgeführtes Programa ( por ejemplo una Chatprogramm ) es Mi rutina bastante bien aufgehoben y como solche auch no sichtbar.

Saludo
André

09.03.2009 ▲