Kaspersky process injection and termination - DEMO

[BioHazard]

سلام
یک کاری شروع کرده بودم به اسم KIS Destruction Ú©Ù‡ اگر خدا بخواد قرار paper بشه ØŒ فعلا در Øد DEMO هست Ùˆ هیچ کدوم از PoC هارو رو منتشر نمیکنم... هدف موضوع هم پیدا کردن راهی برای دور زدن Sandbox این kaspersky بود

خلاصه موضوع رو بگم:

توی هردو فیلم ، ما جلوی خود Kaspersky و آپدیت شده ، توی یک پروسه دیگه (با همون روش های معمول) یک کدی تزریق میکنیم که یک درایور بدون digital certificate رو روی سیستم نصب کنه ..... و اون درایور کارش پیدا کردن پروسه های Kaspersky و تزریق کد یا از دسترس خارج کردن برنامه هست.
نکته : کلا هدف این بوده Ú©Ù‡ Øتی Kasper به فایل مشکوک نشه Ùˆ اخطار Suspicous نده

Injection Demo
RodFile
Deposit

Termination Demo
RodFile

موفق باشید ;)

پیوست : اگر قرار انتقاد کنید ،بجای دعوا Ùˆ Ù„ØÙ† توهین آمیز ØŒ خواهشا با زبون آدم انتقاد کنید،وگرنه اصلا Øوصله تØمل ندارم

[--Elite--]

در صورت داشتن دسترسی در Ø³Ø·Ø Ø³ÛŒØ³ØªÙ…ØŒ روش های مختلفی برای انجام این کار هست Ú©Ù‡ منØصر Ùˆ Ù…Øدود به کسپر هم نخواهد بود. مزیت روش شما چیه نسبت به روش های موجود؟ چون کد یا ØªÙˆØ¶ÛŒØ ÙÙ†ÛŒ ندادید مشخص نیست از کدوم روش استفاده کردید.
بطور مثال با دستکاری هوک های SSDT که یکی از روش های رایج غیر فعال کردن آنتی ویروس ها بدون نیاز به Kill کردن پروسه اونهاست

البته نمیدونم نسخه های جدید (2012 و 2013) کسپر همچنان این مشکل رو دارن یا رفع شده..؟

مثال برای روش های مشابه :
http://www.matousec.com/info/article...y-software.php

[BioHazard]

آنتی ویروس Kaspersky به داستان Injection در Ø³Ø·Ø User mode خیلی جالب گیر میده ØŒ کد اینجکتی رو بررسی میکنه Ùˆ :
1- اگر کد اینجکتی harm بود ، برنامه رو متوقف به عنوان ویروس در نظر میگیره
2- اگر کد اینجکتی harm نباشه ، در بعضی مواقع اجازه اینجکت کردن رو نمیده ولی به عنوان ویروس نمیگیرتش ، یا اگر در مواقع مختلف دیگه مثل داشتن Digital Certificate اجازه اینجکت کردن رو میده

توی فیلم ما یک کدی اینجکت میکنیم که یک درایور لود کنه !! نه برنامه ی ما Digital Certificate داره و نه چیزه دیگه !! اینجکشن هم با روش های معمول بوده. کد هم کد مشکوکی بوده ، اجرای یک درایور بدون Digital Certificate

Ùˆ Øالا همین آنتی ویروس به لود شدن درایور Øساسه ØŒ یعنی شما Kaspersky رو تازه نصب کنید Ùˆ برنامه DbgView یا ProcessExplorer از Sysinternal خود شرکت Microsoft دانلود کنید Ùˆ اجرا کنید ØŒ Kaspersky به شما اخطار میده Ú©Ù‡ برنامه داره یک درایور اجرا میکنه ! ولی توی فیلم دیدید هیچ اخطاری مبنی بر اجرای درایور دیده نشد (من توی Settings چیزی دست نزدم ØŒ اگر Ø´Ú© دارید ØŒ براتون دوباره فیلم میگیم ).

نکته ی دیگه ای هم که هست ، شاید توی فیلم یادم رفته نشون بدم ، ما از خود توابع Hook شده Kaspersky استفاده میکنیم و آدرس Original رو بدست نمیاریم.

درمورد 2012 که فیلمش هست و به 2 دلیل از 2013 به 2012 مهاجرت کردم:
1- توی 2013 گزینه ÛŒ Safe run Øذف شده
2- با ویندوز 7 ، مشکل Startup داره

ولی 2013 هم مشکل داره ;)

پیوست : با همین روش یک Keylogger خیلی ساده هم نوشتم Ú©Ù‡ Øتی نصف کد خودشو از قبیل آپلود کردن ØŒ Keylog کردن Ùˆ ... اینجکت میکرد Ùˆ آنتی ویروس نه تنها Kasper بلکه میتونم بگم 100% آنتی ها نمیگیرن

[Mamooli]

آقا من یه سوالی داشتم از شما Ú©Ù‡ متخصص این کارید...چیکار کنیم Ú©Ù‡ کلا از دست این اینجکت کردنا Ùˆ بای پس کردن های خیلی Ù…Øرمانه دشمنان اسلام خلاص بشیم؟

[--Elite--]

ممنون از توضیØات

[l4tr0d3ctism]

روش های زیادی برای بالا بردن قدرت ویروس Ùˆ ... وجود داره روش هایی برای بالا بردن قدرت یک کد Ùˆ یا برنامه Ùˆ ... وجود داره Ú©Ù‡ اگه امتØان کنه درست Øسابی به نتیجه Ù…ÛŒ رسه

اما اگه یکم ذهنت خلاق باشه

مثلا فایل روی run ass administrator اجرا کنی

بعد بهتره از نوع سرویس اجرا بشه

بهتره در رجیستری Startup بشه

بهتره با فرمان at اجرا بشه

یا شاید بهتر باشه Ú©Ù‡ قبلش Ù…ØÙ„ startup شدن آنتی ویروس رو پیدا Ú©Ù†ÛŒ در رجیستری Ùˆ اون value رو Øذف Ú©Ù†ÛŒ

این کار میشه با فرمان reg delete انجام داد


l----------------
درسته Ú©Ù‡ آنتی ویروس ها موتور جستجو دارند اما Øرف اینجاست Ú©Ù‡ برای شناسایی ویروس جدید همیشه به DB خودشون Ú©Ù‡ همون update ها یاشن متکی هست

Ù…Øافظت از این آپدیت ها وظیفه ÛŒ پروسه های اون آنتی ویروسه

خوب شما بیاد پروسه رو kill کنید و بعد آپدیت ها رو بنویسید

اینکارو با یک فایل bat و یا vbs انجام بدید

Øتی اگه از رجیستری هم بلد باشید Ù…ÛŒ تونید Ú©Ù‡ با تغییر مقادیر اون آنتی ویروس رو غیر فعال کنید ولی همش بر میگرده به اینکه بتونید پروسه رو Øذف کنید Ùˆ یا نه یا شاید بتونید موقط pause کنید ؟؟

به داخل پروسه ی اصلی آنتی ویروس inject کنید و بعد اقدام به تغییر در مقادیر ذخیره شده آنتی ویروس در رجیستری کنید

------------------------

نود32 یکی تدابیری Ú©Ù‡ ایجاد کرده برای Update ها نیست بلکه یک پروسه ÛŒ سیستمی گذاشته Ú©Ù‡ یکی از وظایفش اینه Ú©Ù‡ ازkey های رجیستری Ù…Øافظت میکنه

کیهاش که برای Enabl;e و disable کردن قسمت های آنتی ویروس هست از نوع Dword هست که همون 0 و 1 کردن اونها باعث فعال یا غیر فعال شدنشون میشه

اما خوب اینجا پروسه ی سیستمی نمی زاره که end کردنش نیاز به دانش زیادی در ضمینه ی هک و کرک داره

اما غیر ممکن نیست میشه end نشه pause شاید بشه
-----------------------------
ولی بهترین روش توی ویندوزها استفاده از همون روشی هست Ú©Ù‡ برنامه هایی مانند netsupport ازش استفاده Ù…ÛŒ کنند یعنی برنامه ÛŒ خودشون رو توی Welcom Screen بالا میاوردن Ú©Ù‡ همون Ø³Ø·Ø Ø³ÛŒØ³ØªÙ… میشه با این فرق Ú©Ù‡ خیلی از آنتی ویروس ها تو این Ù…Øیط اجرا نمیشن

البته بگم Ú©Ù‡ این kasper هم اجرا میشه اینØا

ولی شاید این روش ها هیچ کدوم کار نکنن ولی در کل منظورم اینه که اگه آدم کمی فکرش باز باشه روش ها رو پیدا میکنه

[cyb3r]

huh?

run ass administrator

بلهههه؟؟

[d3co0d3r]

ملا نقطه گیر !

الان وسط یه بØØ« علمی خوب ØŒ فقط مشکل شما اینه Ú©Ù‡ :

ass  !=  as