Volgens mij mist de helft van het filmpje want het is mij niet duidelijk hoe je de geencrype ascii decrypt? Kan je dit no geven toelichten?

De ASCII code laat ook een gedeelte zien dat niet gecrypt is. Dus wat ik bedoel te vertellen, is dat een crypter niet altijd alle strings crypt. En dat je d.m.v. de ASCII kan achterhalen wat niet gecrypt is. Dit is inderdaad een foutje in het filmpje, dat is precies het gedeelte dat ingezoomt is en dat je niet kan zien wat ik selecteer.

Zodra de 'bewerk' functie werkt van de HackerTube sectie, zal ik het nieuwe filmpje uploaden.

http://live.sysinternals.com/strings.exe < tool om de strings in een binary file te zien.

strings is ook onderdeel van gcc (ook aanwezig in mingw, een versie van gcc voor Windows).

strings program.exe > strings.txt
notepad strings.txt

gcc strings en ook Sysinternals strings laten geen 8 bit gecrypte strings zien. Sysinternal ondersteunt wel unicode.

Een echte vent gebruikt natuurlijk een hex viewer of een debugger. Met name in een debugger kun je ook strings herkennen die niet bestaan uit ASCII. Als je een beetje ervaring hebt of krijgt zul je snel zien wat verdacht is.

en als die exe nu opnieuw gepacked is ? wat heel vaak gebeurd.. dan veranderd de signature en zal een virusscanner m niet herkennen, tenzij er door de exe tegelijk "te veel" "verdachte" api's worden aangeroepen,(wat dan weer slecht code werk van de schrijver van de file is) , dan zal een goede heuristics module een melding geven.. maar de meeste van die scanners hebben die niet.

mvg

Mystic^

@ redactie, voorgaande post van mij hoorde bij het onderwerp "Check of een executable een virus bevat" ;)

Mystic^

@Vandaag, 14:23 door Anoniem

Yup, ik zal ook wat video's maken dat over debuggen / hex editen etc. gaan. Helaas heb ik weinig tijd i.v.m. mijn examens op school.

My friend is od -x

ps: het is niet mogelijk om de leesbare code en data van een .exe te zien welke gebruik maakt van een eigen encryptie mechanisme. De enige code die dan leesbaar is is het encryptie algorithme zelf.

Niet alle virussen etc. worden met een krachtige algoritme gecrypt, en blijven er nog delen over die je d.m.v. ASCII kunt bekijken. Natuurlijk zijn er ook andere mogelijkheden zoals hexen etc.

Ook als een exe een eigen encryptie gebruikt is te zien wat er gebeurd. Bedenk dat de code namelijk decrypt moet worden om überhaupt te kunnen draaien. Door een breakpoint te zetten na de decrypt routine of de decrypt routine te reverse engineeren kun je de rest analyseren.

Klopt,

Er is altijd wel een oplossing! Voor een botnet worm kan je bijvoorbeeld WireShark gebruiken om zo achter het IP te komen.

Voor degenen die nog niet zo ervaren zijn: draaien van decompressors/decryptors en spelen met de debugger doe je in een aparte omgeving die geen contact heeft met de buitenwereld. De meeste decompressors/decryptors draaien de code, vaak zonder daar van melding te maken.

kan iemand deze acsii code kraken

673f:kg8

673:kg8 encrypted with :

RIPEMD-160 hashes?

http://www.asciitable.com/

RIPEMD-160 was niet goed.

volgens mij moest je doen 685i>pm? (min) 673:kg8 of andersom

Een echte vent is niet anoniem.

man check je file gewoon online op www.virustotal.com

Men kan ook de executable gewoon lezen met bijvoorbeeld Total Commander.

Sandboxie http://www.sandboxie samen met BSA http://bsa.qnea.de/

Spirit, dat zijn geen crypted strings maar gewoon single byte chars. Het is gemakkelijk te herkennen omdat er maar 1 char wijzigt in een rij van bijvoorbeeld 4 bytes.

Je moet ze dan ook niet met een strings-achtige tool uit context halen, maar gewoon met een hex-editor in context bekijken.

Bedenk dat niet alle rijen alfabetische tekens in executables strings zijn.