6 Antworten in diesem Thema

[rat123]

kekbotHTTP ist jetzt ein aktuelles Projekt von mir geschrieben in pure C++ und ein wenig inline assembler. 

 

Aktuelle Features (Safe Bot Loader): The Safe Bot Loader checks for the safety of the execution environment and unpacks main bot resources

[Implemented] Safe Environment Checkup

[Implemented] Anti Debug/Anti Virtualization/Anti VM/Anti Disasm/Anti Dump

[Implemented] Anti Memory Modification / Analysis

[Implemented] UAC Elevation with SE technique

[Implemented] Runs all bot resources if environment is safe

 

Aktuelle Features (Main Bot): The main bot runs in a zombie process of a trusted windows application

[Implemented] Stable Networking (HTTP/HTTPS)

[Implemented] System information grabber (PC-Name, IP, OS, Architecture, Elevation, Unique HardwareID)

[Implemented] Ring3 Rootkit without drops (x86/x64)

[Implemented] .NET Disabler ( Prevents .NET applications from running on target machine completely )

[Implemented] Anti Debug/Anti Virtualization/Anti VM/Anti Disasm/Anti Dump

[Implemented] Advanced Anti Botkiller 

[Implemented] Safe Stub Updater (Bypasses HIPS)

[Implemented] BTC Wallet Stealer

[Implemented] Download & Execute (Hidden/Visible)

[Implemented] Download & Execute with Parameters (Hidden/Visible)

[Implemented] Download & Inject (No drops, HIPS Bypass)

[Implemented] Download & Install (Hidden, application will run on reboot)

[Implemented] Url Visit (Hidden/Visible)

[Implemented] Bot Uninstaller

 

Aktuelle Features (Persistence Watchdog): Monitors active bot resources and recovers missing/corrupted parts of the bot if needed 
[Implemented] Injected Watchdog Instance
[Implemented] Anti Debug/Anti Dump
[Implemented] Anti Memory Modification / Analysis

[Implemented] Protects botkiller injection
[Implemented] Protects registry entries
[Implemented] Protects bot files

[Implemented] Persistence runtime of the bot ( no, I'm not just restarting the bot executable like a skid )

 

Aktuelle Features (Botkiller Watchdog): Detects active malicious threats and removes them (worked on all bots tested yet, including big bots)
[Implemented] Injected Botkiller Instance
[Implemented] Anti Debug/Anti Dump
[Implemented] Anti Memory Modification / Analysis
[Implemented] Injection/RunPE Detector

[Implemented] Heursitic Scan/Startup Scan/Open TCP Connections Scan

[Implemented] Active handles scan

[Implemented] Process dumper (x86/x64)

[Implemented] Secure techniques to remove the active threat

[Implemented] Aggresive malware remover module (Module which will be injected to corrupt the runtime and trigger runtime instability)
[Implemented] Anti .NET (Detects .NET processes and kills them instantly)

[Implemented] Full 32/64 bit support

 

[Info] Multithreaded

[Info] Thread safe dispatch routines

[Info] No dependencies (no C-Runtime, no .NET, no JVM/JRE)

 

TODO list:  

[In Progress] Rewriting usermode rootkit (full inline hooking instead of IAT hooking)

[Queued] Communication Encryption

[Queued] Formgrabber (removed due to incompatibility)

[Queued] C&C Panel

[Queued] kekbot Builder

 

Changelog:

[11.06.2016] Overworked all execution routines and fixed some critical parts

[09.06.2016] Removed CRT completely from all bot resources.

[09.06.2016] Botkiller is now independent from the main bot
[09.06.2016] Added seperate loader for the main malware
[09.06.2016] Added random delay for SE Elevation
[09.06.2016] Added seperate installation path when elevated successfully
[08.06.2016] Added mutex control of instance
[08.06.2016] Added UAC elevation with SE technique (first attempt)
[07.06.2016] Reworked network protocol (little improvements)
[07.06.2016] Updated botkiller (now works on WOW64 completely with 32/64 bit)
[06.06.2016] Improved anti virtualization
[06.06.2016] Improved dropper technique
[06.06.2016] Added BTC wallet stealer
[04.06.2016] Added safe stub updater
[03.06.2016] Simple Anti-Dump added
[03.06.2016] Download & Inject detects .NET applications automatically and chooses best host process
[03.06.2016] Persistence stability improved
[03.06.2016] Malware now runs from zombie process
[02.06.2016] Improved injection method
[02.06.2016] Added bot uninstaller
[02.06.2016] Removed Formgrabber due to compatibility issues
[01.06.2016] Added Download & Inject and Download & Install
[31.05.2016] Changed Download&Execute (dynamic APIs)
[31.05.2016] General fixes and improved stability
[30.05.2016] Bidirectional process protection (main <> watchdog && watchdog <> main)
[29.05.2016] Persistence module has been added
[29.05.2016] If the botkiller has no success when removing the detected bot, the botkiller dumps the threat from memory and sends to C&C
[29.05.2016] Updated killer-module
[28.05.2016] Botkiller now blocks communication to suspicious hosts contacted by the detected bot (by the HOSTS file)
[28.05.2016] Botkiller now supports 32/64 Bit architectures
[27.05.2016] Overworked the botkiller routine (fixed memory leaks and critical parts which could cause a runtime instability)
[27.05.2016] Anti Botkill prevents usermode hooks on it's own process
[27.05.2016] Anti Botkill now detects handles to it's own process and attacks the process.
[27.05.2016] Botkiller now detects suspicious handles from other processes and analyzes it's behaviour

[27.05.2016] Inital build of kekbotHTTP

 

 

Current Status: Bot Development

 

 

Die erste Version von kekbotHTTP wird Freeware, jedoch ohne Formgrabber, Anti Botkill, Full Ring3 Rootkit (abgespeckte Version), Persistence Watchdog.

 

 

Updates, etc. werden in diesem Post bearbeitet.

Release Date gibt es noch nicht.

 

Bei Fragen oder Anmerkungen, Jabber: siehe Signatur

 

MfG

[Rastajan]

[Queued] kekbot Builder

Soll der auch in C++ sein? Kann bzgl. Builder/Stub via resource aushelfen, aber ich bezweifle dass sowas ein Problem für dich darstellen sollte.

Bzgl. [Queued] Communication Encryption: An was hattest du gedacht? Asynchron oder nur Synchron?

 

Gruß.

 

Edit: PS: Die Funktionen sind auch alle etwas zu schön um wahr zu sein und warum sollte man sowas (auch wenn es nur die erste Version ist) als Freeware releasen?

Bearbeitet von Rastajan, 07 June 2016 - 20:53 Uhr.

[rat123]

Soll der auch in C++ sein? Kann bzgl. Builder/Stub via resource aushelfen, aber ich bezweifle dass sowas ein Problem für dich darstellen sollte.

Bzgl. [Queued] Communication Encryption: An was hattest du gedacht? Asynchron oder nur Synchron?

 

Gruß.

 

Edit: PS: Die Funktionen sind auch alle etwas zu schön um wahr zu sein und warum sollte man sowas (auch wenn es nur die erste Version ist) als Freeware releasen?

 

Der Builder wird auch in C++ sein, brauche da keine Hilfe. Danke trotzdem. 

Verschlüsselung hatte ich an RC4 gedacht, also synchron.

 

Die Freeware wird folgende Funktionen nicht beinhalten:

• Formgrabber
• Advanced Botkiller (vielleicht)
• Anti Botkill
• Ring3 Rootkit (abgespeckt)
• Persistence Watchdog
• BTC Stealer
• UAC Elevation mit SE

[Rastajan]

Die Freeware wird folgende Funktionen nicht beinhalten:

• Formgrabber
• Advanced Botkiller (vielleicht)
• Anti Botkill
• Ring3 Rootkit (abgespeckt)
• Persistence Watchdog
• BTC Stealer
• UAC Elevation mit SE

 

Selbst ohne diese Funktionen, somit wäre es ein astreiner Loader in C++.

Sei es drum, viel Erfolg mit deinem Projekt. Solltest du Anregungen oder Hilfe brauchen...

[pi^2]

Ich wittere hier alte Schule und ein tadelloses Endprodukt.

Vorallem zu dem Beschluss einer Freeversion zieh ich den virtuellen Hut.

 

Zwecks Panel darfst du mich (falls es dann soweit ist) gerne anschreiben.

[nninja]

Hört sich geschrieben schöner an als es wirklich ist.

Yet another Botnet wäre wohl auch ein passender Name.

Würde mir Details über das Usermode Rootkit wünschen (Hooking?, Funktionen? etc.)

Bearbeitet von nninja, 10 June 2016 - 01:03 Uhr.

[rat123]

Hört sich geschrieben schöner an als es wirklich ist.

Yet another Botnet wäre wohl auch ein passender Name.

Würde mir Details über das Usermode Rootkit wünschen (Hooking?, Funktionen? etc.)

 

PN'd