HZV Mag #3 - HZV / Hackerzvoice / The Hackademy

aussitôt à l’emplacement mémoire pointé par
EDI. Enfin nous incrémentons EDI, les allocations
mémoire étant réalisées les unes après les
autres (si l’on se réfère à notre code) en incrémentant
EDI de 4, nous pointons maintenant
sur l’espace alloué à aCreateFileA. Cependant
pour trouver l’adresse de la chaîne de caractères
qui pointe vers "CreateFileA", ce n’est pas aussi
simple. En effet il va falloir trouver la fin de la
chaine "CloseHandle", qui est terminée comme
il se doit pas un octet nul, afin de pointer vers
le début de la chaine "CreateFileA", d’où mon
morceau de code incrémentant ESI et cherchant
l’octet nul. Une fois l’octet nul trouvé, on recommence
le processus afin de trouver l’adresse de
la seconde fonction et ainsi de suite. En ce qui
concerne la ligne comparant ESI à 0FFh, il s’agit
en fait d’une sentinelle, elle est nécessaire car
notre procédure de recherche doit s’arrêter
une fois toutes les fonctions trouvées, 0FFh
est donc la valeur qui indique à notre procédure
de se stopper une fois son travail achevé.
MessageBox
HZV Mag #3
Infecteur Win32: - par Kernel Junky
A partir de ce moment, nous avons récupéré
quasiment toutes les fonctions nécessaires,
sauf notre fonction MessageBox, qui permet
l’affichage d’une boîte de dialogue. En fait c’est
parce qu’elle ne se trouve pas dans la librairie
kernel32.dll, mais dans user32.dll, une autre
librairie du système Microsoft. C’est pour cela
qu’il va falloir que nous fassions une autre
procédure permettant un scan des fonctions
de user32.dll, rassurez-vous cela sera plus facile
que lors du scan de kernel32.dll, car nous
avons dorénavant tous les outils nécessaires
en main. Pour commencer il faut que nous
trouvions l’adresse de user32.dll, nous allons
donc utiliser pour cela la fonction LoadLibrary
pour récupérer l’adresse de celle-ci.
Le code est plutôt simple, nous faisons pointer
EAX sur la chaîne de caractères correspondant
à "user32.dll" puis nous la mettons sur la
pile, nous appelons par la suite LoadLibraryExA
afin de récupérer son adresse (plus facile que
l’exploration du PEB, hein ?). Ensuite nous faisons
pointer EDI sur la chaîne de caractères
correspondant à "MessageBoxA" que nous plaçons
sur la pile, ainsi que l’adresse de user32.
dll. Puis nous appelons GetProcAddress, nous
nous retrouvons donc avec l’adresse de MessageBoxdans
EAX, que nous sauvegardons.
:
HMODULE WINAPI LoadLibraryEx(
__in LPCTSTR lpFileName,
__reserved HANDLE hFile,
__in DWORD dwFlags
);
:
GetMessageBox:
lea eax, sUser32
push 2h
push 0
push eax
call aLoadLibrary
mov aUser32, eax
lea edi, sMessageBox
push edi
push aUser32
call aGetProcAddress
mov aMessageBox, eax
Recherche d’exécutables
Ç retour au sommaire
Maintenant, nous allons doter notre virus d’une
fonction lui permettant de trouver des cibles,
mais attention, pas n’importe quels fichiers, des
fichiers exécutables. Pour cela nous allons utiliser
deux fonctions : FindFirstFile et FindNextFile.
Comme nous pouvons le constater, la fonction
FindFirstFile prend en paramètre une chaine de
caractères. Cette chaine peut être un nom de
fichier ou une wildcard, ici le plus intéressant
serais de passer "*.exe" afin de récupérer les
exécutables du répertoire courant. La fonction
prend également en paramètre un pointeur
vers une structure que la fonction va se
charger de remplir (Je vous laisse faire des recherche
pour plus de détails sur la structure).
10