API von Reg.exe

[Olli]

Zitat von Metal_Snake2:

@Olli

Ich hab dem Autor vom OSAM geschrieben aber er antwortet nicht. Naja warum jetzt reg.exe die versteckten Einträge findet ist klar
aber wie es OSAM schaft ist mir schleierhaft.

Hat jemand ne idee?

Warum kann es nicht der gleiche Grund sein?

Das einzige was ich bisher nicht begreife ist, dass eine injezierte DLL so wichtig sein soll, wenn doch der SSDT-Hook viel besser ist und man ohne eigenen Treiber nichts dagegen machen kann ...

Uebrigens koennte das OSAM-Programm ja schon nen Treiber haben. Huckepack, so wie ich es bspw. in meinem Hooktutorial erklaert habe.

[richard_boderich]

@Olli

Die Frage ist, was macht man, wenn das Rootkit via SSDT alle ZW Key Funktionen hookt. Dann kommt man doch um einen Driver gar nicht herum und dann ist doch auch die Frage welcher zuerst geladen wird? Der von der Malware oder der Eigene.
Außerdem müsste es doch auch Maßnahmen gegen DLL Injection geben oder etwa nicht?

PS:
Kann man sich dieses Hooktutorial irgendwo runterladen?

mfG Richard

@Metall Snake

Wie wäre es denn die Registry binär zu Öffnen und die Funktionen um auf Keys zu zugreifen selbst zu implementieren?

[Olli]

Zitat von richard_boderich:

@Olli

Die Frage ist, was macht man, wenn das Rootkit via SSDT alle ZW Key Funktionen hookt. Dann kommt man doch um einen Driver gar nicht herum und dann ist doch auch die Frage welcher zuerst geladen wird? Der von der Malware oder der Eigene.
Außerdem müsste es doch auch Maßnahmen gegen DLL Injection geben oder etwa nicht?

Syscalls passieren ueblicherweise nur aus dem Usermode heraus. Solange kein Hotpatching innerhalb der eigentlichen Funktion sondern nur in der SSDT stattfinden ist es nicht allzu kritisch. Allerdings koennte ein neu geladener Treiber sofort gepatcht werden. Das waere aber aeusserst komplex.

Zitat von richard_boderich:

Kann man sich dieses Hooktutorial irgendwo runterladen?

Hook tutorial Assarbad

Zitat von richard_boderich:

Wie wäre es denn die Registry binär zu Öffnen und die Funktionen um auf Keys zu zugreifen selbst zu implementieren?

Schwer, weil die Hives normalerweise exklusiv geoeffnet werden. Wie man vom RootkitRevealer weiss, geht es - aber's ist schwer.

[Metal_Snake2]

hmm also das ist doch mal ne idee die hives binär einzulesen. Hat jemand nen link oder ne idee davon weil dan kann ich mir all
die Kernelmode spielereien sparen, die mit Delphi eh nicht zu machen sind ich von c/c++ und ddk oder wdk und co keine
ahnung habe.

[Olli]

Zitat von Metal_Snake2:

hmm also das ist doch mal ne idee die hives binär einzulesen. Hat jemand nen link oder ne idee davon weil dan kann ich mir all
die Kernelmode spielereien sparen, die mit Delphi eh nicht zu machen sind ich von c/c++ und ddk oder wdk und co keine
ahnung habe.

Dreimal darfste raten wie der RootkitRevealer an die Hives im laufenden System rankommt ... ... obwohl VSS koennte es eventuell auch ermoeglichen. Allerdings ggf. nicht mit einem Abbild der echten Registry in dem Moment sondern eben einem aelteren ...

[richard_boderich]

@Olli

Danke erstmal für die Infos. Noch zwei Fragen

1. Ist es möglich ein Reload der NTDLL durchzuführen bzw. eine 2 Instanz zu Laden und diese anstatt der gehookten zu verwenden?

2. Könntest du nochwas zu möglichen Maßnahmen gegen DLL Injection ausführen?

mfG Richard

[Olli]

Zitat von richard_boderich:

1. Ist es möglich ein Reload der NTDLL durchzuführen bzw. eine 2 Instanz zu Laden und diese anstatt der gehookten zu verwenden?

Ich meine es sollte gehen, bin aber bei NTDLL nicht 100% sicher. Frag mal lieber brechi (Forenbenutzer hier).

Allerdings hilft das logischerweise nix gegen SSDT-Hooks, die zuvor ja im Gespraech waren.

Zitat von richard_boderich:

2. Könntest du nochwas zu möglichen Maßnahmen gegen DLL Injection ausführen?

Auch da waere brechi sicher der bessere Ansprechpartner.

[Dezipaitor]

Und wie sieht es nun aus?

[Die Muhkuh]

Die werden sich schon melden, wenn sich was tut. Brauchst jetzt nicht jeden Thread aus der Senke holen

[DeddyH]

Ist ja schlimmer als taktaky mit seinen Ressourcen damals.