http://forum.esetnod32.ru Новое в теме Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Fri, 01 May 2026 02:20:20 +0300 Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Редактор ресурсов для для изменения любого ресурса в файлах PE (EXE, DLL, ...) и создания ресурсов сценариев (Res файлы).
http://soft.oszone.net/program/11258/ResEdit/
13.02.2014 18:12:51, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message75738/ http://forum.esetnod32.ru/messages/forum17/topic10414/message75738/ Thu, 13 Feb 2014 18:12:51 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
примеров подмены файлов в темах не так уж и много.
rpcss.dll, taskmgr.exe, userinit.exe

+ на анализ файлов совсем мало времени остается.
но смысл, думаю есть, хотя бы просмотр ресурсов выполнять для характерных троянов, чтобы проверить, есть ли характерные черные метки в ресурсах этих файлов или нет их. (причем, не лепить сразу в образ, а самостоятельно изучать на примере троянов из карантина.)
---------
24.12.2013 19:43:21, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74642/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74642/ Tue, 24 Dec 2013 19:43:21 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.

====quote====
santy пишет:
я думаю, для начала надо научиться применять эти инструменты практически при решении проблем.
=============
на практике на а это месяцы уйдут...
необходимо искусственно интенсифицировать процесс.
путём воссоздания рабочих условий - создание обстановки и  действий максимально приближенных к реальным.
24.12.2013 12:09:00, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74620/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74620/ Tue, 24 Dec 2013 12:09:00 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
я думаю, для начала надо научиться применять эти инструменты практически при решении проблем.
24.12.2013 05:46:16, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74617/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74617/ Tue, 24 Dec 2013 05:46:16 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Как насчёт обсуждения ?
23.12.2013 22:52:30, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74611/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74611/ Mon, 23 Dec 2013 22:52:30 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
http://www.heaventools.ru/pe-explorer-resource-editor.htm
Хороший вариант про зависимости.
http://www.heaventools.ru/pe-explorer-dependency-scanner.htm
23.12.2013 22:51:08, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74610/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74610/ Mon, 23 Dec 2013 22:51:08 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
pe explorer
http://www.heaventools.ru/pe-explorer.htm

explorer suite
http://www.ntcore.com/exsuite.php
23.12.2013 22:23:09, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74609/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74609/ Mon, 23 Dec 2013 22:23:09 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Одну тему можно и обсудить ?
Не так и часто ведутся такие обсуждения.
на АМ? - чтобы народ не нервировать.
Того же Smit-а
----------
Предложение актуально для файлов типа .exe и ряда dll
----------
Просто предлагаю скачать программы - открыть разные файлы - сравнить ...
И написать своё мнение...
Santy
Если предложение заслуживает внимания и доп обсуждения открой тему на АМ...
23.12.2013 21:46:33, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74608/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74608/ Mon, 23 Dec 2013 21:46:33 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
не вижу смысла обсуждать это здесь . Иначе получится один большой офтоп. А раздел предназначен не для офтопа, а для оказания помощи пользователям. Что мешает тебе открыть тему на АМ?
23.12.2013 21:20:37, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74607/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74607/ Mon, 23 Dec 2013 21:20:37 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Santy
А что есть надёжные методы определения для rpcss.dll ?
Хоть один кроме отсутствия Ц.подписи ?
---
Не нужно...
23.12.2013 21:13:26, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74606/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74606/ Mon, 23 Dec 2013 21:13:26 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Сравни: чистый rpcss.dll


====quote====
Length Of Struc: 0394h
Length Of Value: 0034h
Type Of Struc:   0000h
Info:            VS_VERSION_INFO
Signature:       FEEF04BDh
Struc Version:   1.0
File Version:    5.1.2600.5755
Product Version: 5.1.2600.5755
File Flags Mask: 0.63
File Flags:      
File OS:         NT (WINDOWS32)
File Type:       DLL
File SubType:    UNKNOWN
File Date:       00:00:00  00/00/0000

    Struc has Child(ren). Size: 824 bytes.

Child Type:         StringFileInfo
Language/Code Page: 1033/1200
CompanyName:        Microsoft Corporation
FileDescription:    Distributed COM Services
FileVersion:        5.1.2600.5755 (xpsp_sp3_gdr.090206-1234)
InternalName:       rpcss.dll
LegalCopyright:     © Microsoft Corporation. All rights reserved.
OriginalFilename:   rpcss.dll
ProductName:        Microsoft® Windows® Operating System
ProductVersion:     5.1.2600.5755

Child Type:         VarFileInfo
Translation:        1033/1200

=============

и rpcss.dll ( Win32.Patched)


====quote====
Length Of Struc: 0394h
Length Of Value: 0034h
Type Of Struc:   0000h
Info:            VS_VERSION_INFO
Signature:       FEEF04BDh
Struc Version:   1.0
File Version:    5.1.2600.5755
Product Version: 5.1.2600.5755
File Flags Mask: 0.63
File Flags:      
File OS:         NT (WINDOWS32)
File Type:       DLL
File SubType:    UNKNOWN
File Date:       00:00:00  00/00/0000

    Struc has Child(ren). Size: 824 bytes.

Child Type:         StringFileInfo
Language/Code Page: 1033/1200
CompanyName:        Microsoft Corporation
FileDescription:    Distributed COM Services
FileVersion:        5.1.2600.5755 (xpsp_sp3_qfe.090206-1316)
InternalName:       rpcss.dll
LegalCopyright:     © Microsoft Corporation. All rights reserved.
OriginalFilename:   rpcss.dll
ProductName:        Microsoft® Windows® Operating System
ProductVersion:     5.1.2600.5755

Child Type:         VarFileInfo
Translation:        1033/1200

=============

23.12.2013 20:50:06, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74605/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74605/ Mon, 23 Dec 2013 20:50:06 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.

====quote====
santy пишет:
Если в разных системах у регедит будет различное чисто иконок?
=============
Это пример.
Можно же задать пустое значение для  Icon
Или по наличию первой из них 100-1-2
По принципу: Да есть иконки...

Если оператору это будет необходимо - то и для каждой системы можно задать значение через ИЛИ.
Если речь об основных системных файлах - то это не так много...
Ещё раз подчёркиваю.
Это ЧАСТЬ информации.
Доп. данные позволят настроить критерий.
Защитить от ложных   определений.
+
У зверья ресурсов практически нет ( это повод для оператора задуматься )
------------
Если говорить Не о работе с образами...
Оператор в контекстном меню выбирает команду: "Просмотр ресурсов файла"
И видит, что файл содержит...
Можно определить подмену для ряда системных файлов.
Рассеять или укрепить своё подозрение ( нет иконок, нет диалогов и т.д )
Всё это нужно оценивать в комплексе...
23.12.2013 19:39:45, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74604/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74604/ Mon, 23 Dec 2013 19:39:45 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
а если в разных системах у регедит будет различное чисто иконок? тогда под каждую систему свой критерий будет?
23.12.2013 19:10:19, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74603/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74603/ Mon, 23 Dec 2013 19:10:19 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
1) Чтобы не увеличивать вес образа автозапуска сохранять минимум информации.

* Отсутствие данных это уже данные.
То, что содержит белый файл.
Данные по: Cursor; Icon; Dialog
Курсоры - вирусу курсоры ненужны...
Если данного ресурса нет в файле...
Иконки - могут быть.
Диалоги - могут быть. ( общее число символов диалога ? например 400 )

Пример легитимного объекта:
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8

Таким образом объект ХХХ.exe
Содержит курсоров: _1_
Иконок _8_

В образе в инфо. видим:
----------
Cursor 100-12
Icon 100-1-2; 101-3-4; 102-5; 205-6-7-8
----------
В белом критерии можем настроить.
И + И + И. ( или )

В сочетании со стандартной информацией.
Директория + имя + производитель + Cursor + Icon
Если вдруг у файла отсутствует/изменено один из параметров... [FILE ID=93649]

23.12.2013 18:03:41, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74595/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74595/ Mon, 23 Dec 2013 18:03:41 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
я думаю, здесь одним примером не обойтись. в какие структуры автозапуска предполагается закачивать инфо, какую именно инфо, какие при этом будут характерные критерии. (пока нет возможности этим заниматься, пока не решены первоочередные задачи.)
23.12.2013 07:14:07, santy.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74586/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74586/ Mon, 23 Dec 2013 07:14:07 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Для сравнения.
1) Зверь. ( я их не собираю - у кого есть сравните с легальными программами )
2) Программа шутка. ( с диалогом )
3) Системный файл. ( просто подмену можно распознать за 5 - ть секунд )
фото примеры в архиве.
пример.zip
22.12.2013 21:30:08, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74578/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74578/ Sun, 22 Dec 2013 21:30:08 +0400 Флудилка обо всем Импорт ресурсов из исполняемых файлов. Расширяем структуру автозапуска. в форуме Флудилка обо всем.
Работа с ресурсами.
Для просмотра ресурса файла в меню выбрать импорт из...

http://soft.oszone.net/program/15716/Resoor/

http://soft.oszone.net/program/3216/Resource_Builder/
22.12.2013 20:43:29, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum17/topic10414/message74577/ http://forum.esetnod32.ru/messages/forum17/topic10414/message74577/ Sun, 22 Dec 2013 20:43:29 +0400 Флудилка обо всем