Cita de: WikipediaUn archivo con extensión .apk (Application PacKage File) es un paquete para el sistema operativo Android. Este formato es una variante del formato JAR de Java y se usa para distribuir e instalar componentes empaquetados para la plataforma Android...

Un archivo .apk normalmente contiene lo siguiente:

    AndroidManifest.xml
    classes.dex
    resources.arsc
    res (carpeta)
    META-INF (carpeta)
    lib (carpeta)
   
El Formato APK es básicamente un archivo comprimido ZIP con diferente extensión por lo cual pueden ser abiertos e inspeccionados usando un software archivador de ficheros como 7-Zip, Winzip, WinRAR o Ark.

• AndroidManifest.xml
  

• classes.dex
  

• resources.arsc
  

• res
  

• META-INF
  

Cita de: ESETSimplocker es un troyano apuntado a móviles, uno de la los primeros de esta clase que tiene por objetivo los dispositivos móviles con Android. Este código malicioso explora la tarjeta SD residente en busca de ciertos tipos de archivos (.jpeg, .jpg, .png, .bmp, .gif, .pdf, .doc, .docx, .txt, .avi, .mkv, .3gp, .mp4), encripta estos archivos utilizando AES, y luego demanda un rescate de parte del usuario a cambio de la descripción de esos archivos vulnerados. El resultado determina que hasta que el rescate sea pagado, los usuarios no podrán acceder a su archivos personales (fotografías, descargas, canciones , etc.).

Uso: java -jar AXMLPrinter2.jar <Archivo xml binario>

Uso: java -jar APKParser.jar <Archivo apk> 

• Android:versionCode =  Indica la versión de nuestra aplicación
  
• Android:versionName =  Indica la versión de nuestra aplicación mostrada al usuario
  
• package = Es el nombre del paquete Java que contiene el elemento raíz de nuestra aplicación
  
• uses-permission = Esto declara los permisos que necesita la aplicación para funcionar.
  
• permission = Esto declara los permisos que las actividades o servicios que necesita.
  
• application = Esto define nombre, actividades, icono, etc.
  

• android.permission.INTERNET = Permite a las aplicaciones abrir sockets de red
  
• android.permission.ACCESS_NETWORK_STATE = Permite que las aplicaciones accedan a información sobre redes
  
• You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login_PHONE_STATE = Permite acceso de sólo lectura al estado del teléfono.
  
• android.permission.RECEIVE_BOOT_COMPLETED = Permite que una aplicación para recibir el ACTION_BOOT_COMPLETED que se emite después de que el sistema termine de iniciarse.
  
• android.permission.WAKE_LOCK = Permite el uso de PowerManager WakeLocks mantener procesador de dormir o la pantalla de oscurecimiento
  
• android.permission.WRITE_EXTERNAL_STORAGE = Permite que una aplicación escriba en el almacenamiento externo
  
• You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login_EXTERNAL_STORAGE = Admite una aplicación que lee de almacenamiento externo.
  

DEX2JAR



JD-GUI:Decompiler(Haz Clic para ver el VIDEOGIF)
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

ANDROID VIRTUAL

adb.exe install <tu archivo .apk>

Instalando APK


Simplocker Instalado


Pantalla Principal


Archivos Encryptados

Cita de: Wikipedia
Un ransomware es un tipo de programa informático malintencionado que restringe el acceso a determinadas partes o archivos del sistema infectado, y pide un rescate a cambio de quitar esta restricción. Algunos tipos de ransomware encriptan los archivos del sistema operativo inutilizando el dispositivo y coaccionando al usuario a pagar el rescate.

• Para evitar ser Eliminados, modifican valores en registro para que no se pueda iniciar en modo seguro(F8).
  
  

    
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\minimal
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

• Restringir el uso de herramienta utilies  de Windows:
  
  

  REGEDIT(Editor de Registros), TASKMGR(Administrador de Tareas), CMD()

  
  
• Tambien modificar el inicio("explorer.exe"):
  
  
  

  HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

  
  
  
  
  Aqui podemos ver como es un Builder de este  tipo de Malware:
  
  
  
  
  
  Muchos se preguntarán: ¿Es posible desinfectarse?.
  
  Depende del tipo de Variante de este Malware, podria llegar a solucionarse o no.
  
  Hoy vamos a ver el comportamiento de una de estas variantes de Malware.
  
  Aqui la muestra:
  
  
  
  
  
  
  Actualmente es detectado segun VirusTotal => [45/52]
  
  
  
  
  
  
  Decir que al intentar pasarlo por .Reflector se puede notar que  esta empaquetado(SmartAssembly 6.6.3.41), podriamos intentar desempaquetarlo,para luego mediante Reversing obtener mucha más info(pero solo veremos que es lo que hace).
  
  
  
  
  
  Lo siguiente que haremos será ejecutar en un entorno Controlado:
  
  lo ejecutaré en mi VirtualBox, con WinXP(previamente hice un .backup de la Misma).
  
  
  
  Vemos que despues de ejecutar nos muestra el siguiente mensaje.
  
  
  
  
  
  
  
  
  
  
  
  
  Para una Nueva extension, crea los siguientes Valores:
  
  
  
  
  

  
  HKLM\SOFTWARE\Classes\.LOCKED\: "BQBDQKUSAWICLUB"
  HKLM\SOFTWARE\Classes\BQBDQKUSAWICLUB\: "LOCKED"
  HKLM\SOFTWARE\Classes\BQBDQKUSAWICLUB\DefaultIcon\: "C:\DOCUME~1\User\CONFIG~1\Temp\NBj27xt2TijUNe8.exe,0"
  HKLM\SOFTWARE\Classes\BQBDQKUSAWICLUB\shell\open\command\: "C:\DOCUME~1\User\CONFIG~1\Temp\NBj27xt2TijUNe8.exe"
  

  
  
  Autoinicio:
  
  

  
   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Alcmeter: "C:\DOCUME~1\User\CONFIG~1\Temp\NBj27xt2TijUNe8.exe"

  
  
  
  
  
  
  
  
  
  y que comienza a cifrar todo los archivos con extensiones conocidas(Dumpeando el proceso tambien se puede observar las extensiones afectadas).
  
  

  
  *.exe *.zip *.rar *.7z *.tar *.gzip *.jpg *.jpeg *.tif *.psd *.cdr *.dwg *.max *.bmp *.gif *.png *.doc *.docx *.xls *.xlsx *.ppt *.pptx *.txt *.pdf *.djvu *.htm *.html *.mdb *.cer *.p12 *.pfx *.kwm *.pwm *.1cd *.md *.mdf *.dbf *.odt *.vob *.iso *.ifo *.csv *.torrent *.mov *.m2v *.3gp *.mpeg *.mpg *.flv *.avi *.mp4 *.wmv *.divx *.mkv *.mp3 *.wav *.flac *.ape *.wma *.ac3 *.epub *.eps *.ai *.pps *.pptm *.accdb *.pst *.dwg *.dxf *.dxg *.wpd *.dcr *.kdc *.p7b *.p7c *.raw *.cdr *.qbb *.indd *.qbw
  

  
  
  Ademas cambia el modo como se abre los archivos.
  
  
  
  
  
  Ficheros que se Crean
  
  
  
  
  ya sabemos con funciona, ahora si las 2 preguntas mas importantes:
  
  
  ¿Cómo desinfectarse?.
  
  Primero vamos a borrar todo rastro de este Malware, vamos a regedit y eliminamos el autoinicio, y tambien desde "Classes" para quitar la extension .LOCKED()
  
  ¿Comó Desbloquear los Archivos?
  
  Pues gracias a You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login, que nos brinda herramientas gratuitas, utilizaremos una de ellas "xoristdecryptor" una herramienta bastante util que combate con este tipo de Malware's con la que se puede llegar a decifrar los ficheros. La pueden descargar desde:
  
  
  You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
  
  
  
  
  
  
  
  
  
  
  
  Y listo con esto ya tenemos de nuevo funcionando nuestro Sistema.
  
  
  

  [I]Eso es todo amigos,trate de ser lo más claro en la explicación y espero que sirva de ayuda, cualquier duda, sugerencia, critica, aqui estamos para ayudar. [/I]

  
  
  
  
  Recomendaciones:
  
  
  
  
  •   Mantener siempre un antivirus actualizado, si bien no siempre es efectivo esto nos podrá ayudar evitar posibles infecciones.
    
  • Cualquier Fichero descargado de la Red( Keygen, crack o similares), en lo posible ejecutarlo en un entorno Controlado, Maquinas Virtuales(VBOX,VMWARE,ETC) o Sandbox(si bien no son 100% seguros pero esto podria llegar a minimizará el daño a tu PC).
    
  
  
  
  Autor: Fudmario.
  
  
  PD: "Si alguien decide llevar este tutorial a otros lados, se pide respetar el Autor y la Fuente de la misma".

• Detector de Rat's:
  Nos permite detectar si tenemos algun rastro de Rat/Worms en nuestra PC en esta versión se ha implementado la opcion de limpiar los rastros.
  
  Lista de Detecciones(1/2 Deteccion Simple 2/2 Completa):
  
  
  
  • Spynet v2.6         [2/2]
    
  • DarkCometRat v5.3.1  [1/2]
    
  • Bozok Rat 1.4.1      [1/2]
    
  • Bozok Rat 1.4.3     [1/2]
    
  • Bozok Rat 1.5       [1/2]
    
  • Cybergate v1.07.5   [2/2]
    
  • CyberSpread-v-2.0   [2/2]
    
  • Cybergate v1.04.0   [2/2]
    
  • Cybergate v1.02.0   [2/2]
    
  • Cybergate v1.01.18  [2/2]
    
  • Cybergate v1.00.1   [2/2]
    
  • Cybergate v3.4.2.2  [2/2]
    
  • Worm v2.4 Hacker_Pan [2/2]
    
  • L6-Rat Beta 1        [2/2]
    
  • nJRat v0.6.4         [2/2]
    
  • nJRat v0.7d          [2/2]
    
  •   H-Worm Plus by Houdini  [2/2]
    

• USB:
  Nos permite analizar nuestro pendrive en busca de worm, tambien tiene las opciones de: Quitar atributos de ocultos,Eliminar archivos con extensión (.lnk,.vbs,vbe), inhabilitar el Autorun.Inf.
  
• Inicio de Windows:
  
  Nos permite detectar las aplicaciones  de inicio de Windows(HKCU,HKLM,StartUp file), con la opcion de abrir la ruta del Fichero, Eliminar el Valor del Registro.
  
• Visor & Capturador de Procesos:
  
  Nos permite obtener los procesos ejecutados y la opción de Matar el Proceso de diferentes formas, tambien nos permite capturar aplicaciones que se ejecutan.
  
• Visor de Eventos:
  
  Captura Eventos de Creación, Modificación, Eliminación & Cambio.
  
• Bloqueo/Desbloqueo de Carpetas:
  
  Bloqueay desbloquea accesos  a carpetas.
  

• .NetFramework 2 o Superior.
  
• .Ejecutar con Privilegios Adminstrativos.
  
• Compatible:Win7 & Win8
  

Citar
Generalmente los servers de los diferentes Rat's ,al generar el server muchas veces se puede randomizar cosas como: Claves de StarUp, Mutex, Ruta de instalación,etc... pero en algunas cosas matienen constantes como archivos, Valores en registro.

Lo que hace esta Herramienta es básicamente es buscar esas constantes(en esta versión usamos los nombre ficheros del keylogger, rutas usuales que dejan los Rat's) y si coincide indica en el log a que rat se trata.

TEST: njRAT by njq8



TEST: H-WORM by HOUDINI.




Para los desconfiados:

VirusScan

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login




Descarga: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Contraseña: byfudmario

• Verificar si estan cargadas ciertas DLLs (Ej: SandBoxie => SbieDll.dll).
  
• Verificar la Existencia de algunos ficheros(Ej: Driver-VirtualBox => VBoxMouse.sys).
  
• Verificar si algunos procesos estan en ejecución(Ej: VBoxService.exe, VMWareUser.exe, Wireshark.exe, etc.).
  
• Verificar el identificador del Disco Principal.
  
• Deteccion de Breakpoints, Presencia de Anti-Debuggers, etc...
  

'Ruta del Fichero:
%WinDir%\system32\VBoxMRXNP.dll
'Por:
%WinDir%\system32\POIUYT.dll 'Randomizar el Nombre del Fichero.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VBoxSF\NetworkProvider

%WinDir%\system32\drivers\VBoxMouse.sys

%WinDir%\system32\drivers\FLGKHJ.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\VBoxMouse

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\VBoxMouse

System32\DRIVERS\VBoxMouse.sy
por:
System32\DRIVERS\FLGKHJ.sys

%WinDir%\system32\vboxservice.exe
por

%WinDir%\system32\RNDSRVC.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\VBoxService
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\VBoxService
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VBoxService

HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\VirtualBox Guest Additions

HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\RANDOMGUESTADDITIONS_fudmario

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0

HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System

ANTES:



AHORA:

Dependency Walker

Web:
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login


PeStudio

PeStudioPrompt -file:input -xml:report

Web:
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login




OllyDBG

• Hide Debugger => Este Plugin emplea diverso métodos para ocultar  a OllyDbg de detectores de Debugger, incluidos: IsDebuggerPresent(), FindWindow() y EnumWindows(), TerminateProcess(),...
  
  
• IsDebuggerPresent => Permite ocultar de la API de Windows => IsDebuggerPresent
  
  
• OllyDump => Dumpea procesos activos a archivo PE
  
  
• Olly Advanced =>
  

Web
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Plugins
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login





Immunity Debugger

•     A debugger with functionality designed specifically for the security industry
  
•     Cuts exploit development time by 50%
  
•     Simple, understandable interfaces
  
•     Robust and powerful scripting language for automating intelligent debugging
  
•     Lightweight and fast debugging to prevent corruption during complex analysis
  
•     Connectivity to fuzzers and exploit development tools
  

Aquí les dejo  esta coleccion de Temas para sus proyectos en

• 1.vb
  
• Adobe_Theme.vb
  
• Advantium_Theme.vb
  
• av.vb
  
• Avast_Modern_Theme.vb
  
• Beyond_Theme.vb
  
• BitDefender_Theme.vb
  
• Black_Shades_Theme.vb
  
• Blue_Theme.vb
  
• Booster_Theme.vb
  
• Bullion_Theme.vb
  
• CarbonFiber_Theme.vb
  
• Classic_Theme.vb
  
• Classic-Dark_Theme.vb
  
• clsNeoBuxTheme.vb
  
• Cypher_Theme.vb
  
• Dark-Matter.vb
  
• Dev-Point_Theme.vb
  
• Drone_Theme.vb
  
• DynamUIT_Theme.vb
  
• Effectual_Theme.vb
  
• Effectual+GDI+_Theme.vb
  
• Electric_Theme.vb
  
• Exion_Theme.vb
  
• Facebook_Theme.vb
  
• Flat-UI_Theme.vb
  
• Flow_Theme.vb
  
• Fusion_Theme.vb
  
• GameBooster_Theme.vb
  
• Ghost_Theme.vb
  
• Green_Theme.vb
  
• Influence_Theme.vb
  
• Influx_Theme.vb
  
• Leaked_Private_Sky_Dark_Theme.vb
  
• Meph_Theme.vb
  
• Multi-Design_Theme.vb
  
• NamelessTheme.vb
  
• NYX_Theme.vb
  
• Orains_Theme.vb
  
• Origin_Theme.vb
  
• PalaDIn_Theme.vb
  
• Perplex_[Finally Finished]_Theme.vb
  
• Positron_Theme.vb
  
• Prime_Theme.vb
  
• Purity_Theme.vb
  
• Purityx_Theme.vb
  
• Reactor_Theme.vb
  
• Recon_Free_Theme.vb
  
• RecuperareII_Theme.vb
  
• Redemtion_Theme.vb
  
• RockStart_Theme.vb
  
• Sharp_Theme.vb
  
• Simpla_[Pure GDI+]_Theme.vb
  
• Simple_Theme.vb
  
• Simple-Draw_Theme.vb
  
• SLC_Theme.vb
  
• Steam_Theme.vb
  
• Steam2_Theme.vb
  
• Studio_Theme.vb
  
• SubSpace_Theme.vb
  
• Sugar_Release_Theme.vb
  
• Tab_Theme.vb
  
• Teen_Theme.vb
  
• Tennis_Theme.vb
  
• Thief3 You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login_Theme.vb
  
• Thirteen_Theme.vb
  
• Twitch_Theme.vb
  
• Ubuntu_Theme.vb
  
• V2Black_Theme.vb
  
• VI_Custom_Theme.vb
  
• VibeLander_Theme.vb
  
• Visceral_Theme.vb
  
• Vitality_Theme.vb
  
• xVisual_[12Controls-Ligth & Dark Custom]_Theme.vb
  
• Youtube_Theme.vb
  

• Clic en Proyecto -> Agregar Clase o tambien en Agregar elemento Existente y seleccionar el Tema de este Pack(Si sigues lo segundo, saltar al paso 3).
  
  
  
  
  
  
• Si sigues lo primero, copiar todo el código del tema y reemplazarlo y Guardar todo.
  
  
  
  
  
  
• Luego darle a Compilar Solución.
  
  
  
  
• En la parte Izquierda, en el Cuadro de Herramientas Apareceran los controles del tema.
  
  
  
  
  

• Caracteristicas:
  
  
  
  • Kill Process - Normal
    
  • Kill Process - protegindo por BSOD
    
  • Kill Process - Procesos Persistentes(**)
    
  * Boton OFF|ON, Si esta Activado(ON) detecta cualquier proceso que se ejecute y pregunta si desea eliminar.
  ** Si no se ejecuta el explorer click en start
  
  Descarga: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
  Contraseña: byfudmario