Este documento proporciona instrucciones para crear virus informáticos y rootkits de manera ilegal. Describe métodos como el uso de SEO para propagar malware, técnicas de encriptación y mutación de código, formas de controlar botnets, esconderse en sistemas mediante rootkits, y expandir virus a otros equipos.

2. Virus arte de algunos. - Alberto García de Dios

3. INDICE Métodos de control SEO es tu amigo Encriptación y mutaciones Bypassingtheworld Infección y entrada Código inteligente y auto actualizable Rootkit escóndete en el sistema Enlaza tu virus Expande tu virus El virii debería ser arte

4. Métodos de control ¿Cómo podemos controlar un bot si se lo hemos añadido a nuestro virus?.

6. Aplicaciones web para la programación de botnet

7. Programación de aplicaciones web para control de botnet

9. Es necesario acceso total a un servidor

10. Es mas estable y rápido

11. Es menos complejo o “enrevesado”

14. La finalidad es control remoto troyano

15. Transferir gran cantidad de datos

16. Control de tipo webcam, pantalla remota

19. La pornografía es un método muy utilizado ya que tiene una gran cantidad de visitas. Los usuarios cuando ven pornografía son mas incautos. Algunos la visitan desde maquinas virtuales

22. Hacer una encuesta sobre “crepúsculo” y estar en las primeras páginas encontradas por google llama en su gran mayoría a un público mas incauto.

24. Hay técnicas de “moral relajada” que entre otros lugares puedes encontrar en “el lado del mal”.

26. Encriptación y mutaciones Shellcodecrypt/decrypt Como funciona un packer Soy mutante

28. Tiene uno o mas bucles de descifrado para modificar los bytes codes.

29. Escribiendo el código, crearíamos una cadena de bytes con los opcode de la shellcode en un “segundo” código que seria el decrypter.

32. Copia a una carpeta temporal o con privilegios y posterior desempaquetado y descifrado en caso de estarlo.

34. Sección o “Stub” con opción “read/write” siendo descifradas en tiempo de ejecución

39. Podemos utilizar la propia firma o una cadena especifica para la búsqueda “ db ‘JennyLab’, 0 ”

40. Si escribimos al final de un archivo PE, no ocurre nada lo cual nos permite incluso meter datos para la mutación.

42. DNS Bypassingallfirewalls Envío de 29 bytes comprimidos de forma totalmente indetectable y pasando por cualquier firewall que no tenga el servidor DNS aislado.

45. Si tu dominio no esta en una blacklist no es muy habitual encontrar filtrados por whitelist.

48. Haciendo hooking de la capa NDIS podemos hacer el sniffer de protocolos de capas inferiores como STP.

50. Podemos utilizar “ReDuh” en el servidor web con que haga el túnel de http a tcp

51. ReDuh usa un archivo javascript con unas funciones básicas. “startReDuh”, “getData”, “killReDuh”, “createSocket”, “newData”, “debug”

53. Alguno virus han utilizado cosas como redes sociales, grupos etc...

65. En caso de ser el ejecutable o no estar dividido en módulos, podemos inyectar código y cerrar el proceso padre antes de que sea sobrescrito o borrado.

73. La explotación de un overflow también puede ser utilizada para la descarga y ejecución de nuestro virus.

76. Haciendo hook a API’s de procesos cómo (ZwOpenProcess, NtOpenProcess). Podrá esconder su presencia como proceso.

78. La función “unescape()” de javascript nos permite decodificar cadenas esto dificulta levemente el análisis.

81. Búsqueda de recursos compartidos tipo “IPC$”.

82. Mensajería instantánea

84. Envío de las pulsaciones a la ventana

86. Remplazo de archivo PDF malintencionados

89. GriYo: EntryPointobscuring

90. Z0MBIE: Infección de imágenes ISO.

91. La mayoría del malware “comercial” no aporta mucho y en casó de hacerlo quien lo saca a la luz son las personas que lo analizan.

92. No publicar virus para que no lo usen comercialmente