[gen-hackman] List_Killem

salut mOe , si tu peux me revenir pour une question qui me tarabuste.........

le fait de ne pas mettre un service en "désactivé" avec "sc config" mais le stopper et le supprimer directement , cela a-t-il un incidence sur le fonctionnement du tool ?

ok bonsoir mOe ,

retenu....merci de cette claire explication très significative :)

ca va me permettre de revoir certains parametres

et reecrire toutes les redirections ^^

Salut Gen

Perso je pense que c'est entre autre pour éviter de laisser le choix au système dans le cas ou 2 fichiers dans un dossier porteraient le même nom et limiter les risques d'erreur.

Ex:
tools\swreg.exe et tools\swreg.cmd

Dans ce cas là par exemple, si dans ton code tu ne précise pas l'extension, c'est l'exe (s'il existe) qui sera lancé en priorité, sinon dans le cas contraire le système au lieu de te renvoyer un retour console genre "fichier introuvable" et passer à la commande suivante, va malgrès tout insister en essayant de lancer tools\swreg.cmd.
Donc en précisant l'extension, tu annules ce risque et les conséquences possibles que ça peut engendrer.

De plus il peut y avoir un autre risque supplémentaire aussi, si tes outils se trouvent dans le même dossier que ton script de base.

Ex :

C:\List_Killem\1.exe
C:\List_Killem\start.cmd
Et un virus dans C:\windows\system32\1.exe ...

Si ton script contient une commande "1.exe >>Rapport.txt" et que pour une raison ou une autre C:\List_Killem\1.exe n'existe pas ou plus, bin le système va aller systématiquement tenter de piocher du côté de C:\windows\1.exe ou C:\windows\system32\1.exe si présent et aura donc relancé le virus par la même occasion :-)

C'est aussi pour limiter les risques, que souvent les tools sont dans un dossier bien distinct :

Ex :

C:\List_Killem\Tools\1.exe
et
C:\List_Killem\start.cmd qui contient "cd %~dp0 ... bla, bla, bla ... Tools\1.exe >>Rapport.txt"

Dans ce cas si le fichier C:\List_Killem\Tools\1.exe n'existe pas tu auras un message d'erreur classique tout en évitant que le système n'aille voir ailleurs :-)

Bonne continuation !

++

une petite question à celui qui voudra repondre :

do SWREG.EXE ADD HKEY

pourquoi mettre .EXE alors que ca marche sans ?

non mOe je prend cela comme des conseils pas d'inquietude :)

Gen...Désolé si tu l'as mal pris, mais je n'ai vraiment pas dit çà sur un "mauvais" ton critique.
Le fait est que ton tool m'a zappé la suppression du driver principal de l'infection ainsi que winupro, mdelk, wintems...
Et même s'il ne s'agissait que d'une 04 qui avait relancé l'infection au reboot, il y aurait eu d'ailleurs au moins dans tes backups des traces de mise en quarantaine lors du passage en runonce pour les fichiers cités plus haut et là c'est pas le cas, désolé.

Bref, s'il ne s'agit que des LEGACY, perso effectivement avec swreg il m'est arrivé aussi de buter sur des suppressions.
Dans mon cas cela aura été les sous-clés qui posaient problèmes, peut-être est-ce pareil pour toi ?.

Ex :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GEN
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GEN\0000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_GEN\0000\Control

Erreur en tentant de supprimer directement LEGACY_GEN malgrès les droits modifiés.
Par contre en commencant les suppressions individuellement en allant de control, 0000 puis LEGACY_GEN, là ça a fonctionné.
A tester pour toi...

@Cédric

Comme je te le disais plus haut, il s'agissait juste de partager une info et rien d'autre...
Quant à Gen je trouve normal de lui faire une remontée en passant, après avoir essayé son outil mais ça s'arrêtera là.
On cours tous après le temps lol et quelque part c'est pas plus mal ainsi :-)

Amicalement à vous.
@12C4

Hello Olivier ,

Ps : Désolé je suis tres ocupé en ce moment , nouvelle femme , nouveau site , nouveau tool , nouveau enfants .. etc ....

Dur dur de tout gerer et tu me connais ;)

Je te felicite pour le partage de la soluce mais tu m enleveras pas de l idéée que ce ci ne me plait pas :)

Toi et moi avons "partageons" beacucoup de choses niveau batch voir autre ;)

J espere que ça va durer avec Gen ;),

Tu sé Olivier , tout ce que tu m appris , je n ai su le transmettre , j espere qu avec toi je serai apte a le faire ;)

Mes amitié ...

Cédric .

C'est seulement en essayant de traiter les LEGACY que ca foire ?

oui

e viens de reproduire ton test (XPX86 et vistaX86) mais perso la suppression/modif des droits semble fonctionner correctement avec Swreg.
C'est seulement en essayant de traiter les LEGACY que ca foire ?

il me semble qu'une clé rootkitée ne voulais pas sauter dans mes tests et j'ai reussi comme ca aussi

Oui d'accord mais à la base si le root est actif au moment ou tu essayes de virer les clés c'est un peu normal que ça foire.
Je m'explique...
Je viens de faire un test de suppression avec ton outil sur un XP infecté par Bagle.
Rootkit moyen mais parfait pour un début.
Le soucis c'est qu'après nettoyage l'infection s'est rechargée faute d'avoir pu arriver à la neutraliser en totalité...
Donc c'est pas vraiment évident de savoir si le problème vient de Swreg ou pas si tu vois ou je veux en venir.
Et sur ce coup regini n'y aura rien changé malheureusement.
En fait il faudrait pouvoir voir çà sur un example concret tout en étant sur que le tool fasse le job au niveau du traitement des fichiers...

Sinon concernant ton script regini tu peux essayer de cette manière :

\Registry\Machine
	Software [x x x x etc...]
	System [x x x x etc...]

Les deux commandes seront groupées en une seule, mais bon sincèrement je crois pas que ce soit vraiment une solution qui s'attaque au problème de base.

@++

sur XP pour virer une clé créée par mes soins dans currentcontrolset à laquelle j'avais retiré tous les droits de tout le monde

ca a été le seul moyen de la supprimer

par contre avec Regini , je n'impose pas les droits sur tout le registre mais uniquement sur HKLM System et software

Swreg n'agit que sur la clé/sous-clé précise pour laquelle tu lui demande de mener une action, ni plus ni moins :-)
Idem pour regini d'ailleurs, sauf que là c'est assez contradictoire car tu lui demande d'agir carrément sur deux branches entières et importantes du registre !

Dans quel cas swreg n'a pas été suffisant pendant tes tests en fait ?
En situation d'infection ? Sur un OS ou une infection en particulier ?

++

Re,

avant d'inserer Regini , en laissant comme ca , je ne supprimais pas les "currentcontrolset" , et depuis ca fonctionne :)

par contre avec Regini , je n'impose pas les droits sur tout le registre mais uniquement sur HKLM System et software

?G3?-?@¢??@?(TM)©®?

Re,

@Gen

Je viens de regarder ton fichier script pour Regini mais la question serait plutôt de savoir si ça fait pas contre emplois avec Swreg ACL ?
Vu que tu modifies systématiquement les droits des clés que tu souhaites supprimer avec Swreg, perso j'ai du mal à suivre ta logique pour ce qui est de l'utilisation de regini en plus de Swreg ?

@Cédric

Tout à fait d'accord :-)
Sauf que si je suis ta logique t'es en train de me dire que ce type de manip serait effectuée sans aucune routine de test préalable du succès de la restauration des clés dans ton code.
Dans ce cas effectivement tu as raison mais bon là seul le codeur est responsable de son manque de précautions avant d'agir. :-)
En fait çà n'a rien à voir avec le type de vaccin genre usbfix/autorun, c'est juste une possibilité de préserver l'accès au safeboot pour l'user durant toute l'étape de la désinfection, ensuite il est tout aussi facile de délocker la clé.

exactly :) ^^

Heu rien à voir non plus avec une espèce de solution miracle et ce n'est pas du tout mon propos d'ailleurs.
La manip empêche uniquement "Tout le monde" y compris le système donc, de supprimer les clés et sous-clés du safeboot et c'est tout lol.
Et donc en aucun cas ça n'empêche les modifs ou ajouts, d'ou aussi ce que je disais tout à l'heure sur la faillibilité de la méthode.
Hormis la rigueur nécessaire pour la bonne exploitation de cette astuce (qui n'est pas de moi mais de Didier stevens) du moins si on y trouve une utilité lol :-), bien évidemment ça implique aussi un minimum de connaissances sur le mode opératoire de(s) l'infection(s) ciblée(s) pour être efficace, logique...
Le but était uniquement de faire (re)découvrir une astuce proportionné et graduelle parmi d'autres tant qu'elle est encore relativement viable face à l'actualité.
Si jamais le modus operandi de suppression du safeboot devait se durcir côté malwares, très surement que cette manip ne serai plus viable, mais dans ce cas il existe d'autres méthodes un peu plus pointues pour un résultat similaire.

Bah ensuite je comprend tout à fait qu'elle ne te tente pas mais mon but n'est pas non plus d'essayer de convaincre de son utilité ou pas et ça tu le sais :-).
Elle fonctionne avec pas mal d'infections qui touchent au safeboot (j'ai pas dis toutes ! lol), fais le test toi-même et perso c'est uniquement pour cette raison que je l'ai posté ici plus à titre d'info qu'autre chose.

@++

itou

Non mais ça reste une super idée de l ami mOe , apres t en fais ce que tu veux mais bon pour ma part je suis pas partant .

Je prefere donner ce taff au helpeur au cas ou .... mais bon .

Ensuite on peut tres bien imaginer un batch pour analyser le safeboot .

On verra bien ce que nous dis Olivier ;)

Je te souhaite bonne suite pour ton tool :)

de toute facons je ne pensais pas en apporter la correction , juste la verification :)

exactly :) ^^

oui....si on vaccine , on peut plus corriger les sous-clés manquantes ensuite....:(

Hello Gen ,

Bah vacciner une clé absente ... c pas possible :)

Mais bon , on sé que Bagle vire les clé , apres on sais pas si une autre infection ne vire pas les sous clé .....

Dans ce cas présent le safeboot ( je pense ) sera tué mais mal testé ....

Donc si un tool dis :

FOR %%A in (
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal"
"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network"
) do Swreg query %%A >nul 2>&1 &&(echo %%~A : OK !!) || (echo %%~A : Not found !!)

Il trouvera forcémént les clé et ensuite vaccinera .... d ou le danger ...

Tu vois ce que je veux dire ?

salut cedric :

Dans mon esprit je me suis imaginé vaciner un safeboot inopérant ....

ou une clé absente , c'est ce que j'etais en train de penser