Unhandled Exception

El PC con el que cuento en la actualidad estaba empezando a darme algún que otro problema y la placa a dar signos de agotamiento así que después de barajar opciones y teniendo en cuenta que el presupuesto con el que cuento ahora es bastante escaso (debido a que en la actualidad estoy estudiando y no curro) y además necesitaba una solución rápida para seguir trabajando, decidí invertir lo minimo para insuflarle algo de vida otra vez.

Tenía por casa un viejo netbook del año 2009 al cual no le daba mucho uso y decidí de hacerle una puesta a punto para ver si aún podía servir para algo. El hardware es muy modesto en la línea de los netbooks de la época: un Atom con un rendimiento parecido a un Pentium M o equivalente a un Pentium 4 a 3 GHz si lo prefieres junto a un Giga de RAM. 

En algún momento te ha petado el ordenador debido a algún fallo del sistema o por culpa de un virus y ya no te carga el SO? Bueno, si te ha ocurrido ya sea a ti o a algún familiar o conocido esta entrada va dirigida a vosotros. No es un caso aislado el que se produce ante un fallo grave del sistema debido a ya sea un virus u otro factor el que produce el hecho de no poder cargar el sistema para recuperar los datos o tratar de limpiar la infección. En estos casos es de gran ayuda contar con un método para cargar otro sistema en memoria y trabajando desde este intentar salvar los archivos para luego formatear o en caso de virus desinfectarlo. 

Navegando por algunos foros de Hacking de habla hispana he encontrado este código de [Zero] que establece un hook sobre la API FindNextFileW en explorer ocultando los archivos que empiecen por la almohadilla. He de reconocer que he tenido que esforzarme un poco en comprender a fondo su funcionamiento y es que hace mucho que no programo en ensamblador y mi nivel en este lenguaje no es que sea precisamente excelente. Después de sufrir un poco he conseguido comprenderlo por completo y me he animado a publicarlo ya que se trata de un código interesante. El código en cuestión no es más que el de un sencillo rootkit en modo usuario. Pero que es un rootkit??

Excelente articulo que he extraido y adaptado de http://www.securitybydefault.com   "Para evadir la detección de malware por parte de los programas Antivirus, en adelante AVs, se utilizan diferentes técnicas, una de ellas es el uso de 'crypters'. Éstos permiten cifrar cualquier archivo binario para hacerlo 'invisible' a los AVs. Los 'crypters' son usados por los delincuentes para evitar la detección de los AVs e infectar los ordenadores, llevando a cabo todo tipo de tropelías, pero también pueden ser utilizados, entre otros casos, en el contexto de una auditoría de seguridad. En definitiva, si queremos asegurarnos de volver 'indetectable' un determinado binario que es detectado por multiples AVs, necesitamos un 'crypter' indetectado o FUD (Full UnDetectable).

En esta serie de papers hablaré sobre el formato de archivo de los ejecutables del sistema Windows ya que se trata de un tema muy importante cuando se quieren analizar ciertos aspectos del funcionamiento del malware asi como del reversing de programas, áreas en las cuales me estoy iniciando. Intentaré ser conciso y terminar la serie de papers cubriendo todos los detalles que entraña dicho formato. Espero que resulte interesante también para vosotros y que seáis comprensivos conmigo ya que aun soy un novato y puede que este cometiendo errores al realizarlos. Agradeceré correcciones y mejoras sobre estos. Empecemos...