Av fucker

Av fucker es un programa que permite facilitar el proceso de busqueda de firmas detectadas por los antivirus de cualquier archivo, para despues dejar indetectable ese archivo que supuestamente es algun malware.

¿Que hace AV Fucker?
Toma un archivo malware (puede ser un virus, troyano, etc.) y va haciendo copias del mismo sobrescribiendo un byte con 0 y dejando constancia del offset modificado en el nombre de archivo (el numero de offset está en decimal).
Al finalizar tendremos miles de copias del malware en una carpeta.
Luego debemos escanear la carpeta con un antivirus "configurado para que borre automáticamente los archivos infectados". Cuando terminemos encontraremos que algunos servers no se borraron porque no los detectó.
Estos servers no detectados pueden no funcionar !!!, porque se les ha modificado un byte.
Una vez que tienen estos archivos, aunque no anden, pueden probar cambiando el offset detectado por algo que se asemeje más al byte original.
Esta etapa es de prueba y error como hacíamos con el AVPOffset de Senna.

¿Como se usa?
1) En el campo "Source File" selecciona el archivo malware (virus, troyanos, etc).
2) En "Destination Folder" selecciona la carpeta donde los archivos serán creados.
3) Selecciona "Start offset" y "End Offset". Este es el rango de offset que será modificado. Por cada offset que se modifica se crea un archivo así que esto está directamente relacionado con la cantidad de espacio en disco duro que será necesaria para completar la opración.
Cuando el archivo de origen es grande es recomendable ajustar los offset para hacer el proceso en varias etapas. Ten en cuenta que, por ej. un server de unos 100 Kb x 100000 copias (la cantidad de bytes) ocuparía como 10 GB en nuestro disco.
En cuanto al offset de inicio no te recomiendo que lo bajes de 1000 ya que todos los ejecutables empiezan de forma similar, por lo que no es relevante para buscar que es lo que detecta el antivirus.
4) Presiona "Calculate" para ver cuantos archivos serán creados y el espacio que ocuparán en el disco rígido.
5) Presiona "Start !!!" para iniciar el proceso.

En la ventanita de abajo podrás ver el progreso de la operación, también podrás cancelarla si lo deseas.
Al finalizar se escuchará done.wav para avisarte que ya ha terminado.

Ahora deberemos escanear la carpeta con el antivirus "configurado para que borre automáticamente los archivos infectados". En lo demás me remito a lo que escribí más arriba sobre "Que hace AV Fucker".

¿Que pasa si al terminar todos los rangos el Antivirus detectó y borró todo?
Esto puede suceder porque el antivirus detecta más de una cadena, lo que es más frecuente en antivirus buenos y troyanos muy conocidos. Se ha reportado que esto es más fecuente en los troyanos con método de inyección en exe.
La solución es con un editor hexadecimal reemplazar la mitad de los bytes del archivo con "0" (ceros), siempre arrancando del offset 1000. Escanear para ver si sigue detectado y si es así volver a probar con el "AV Fucker" en el rango de offset que no tocamos. Si se vuelve a fracasar hacer lo mismo del editor con la otra mitad del archivo o con un pedazo más grande.
Quien ya haya usado un editor hexadecimal para burlar antivirus sabrá de lo que hablo, de lo contrario creo que igual pueden captar la idea.

Descarga:
Av fucker beta 3 (rapidshare)
Av fucker beta 3 (megaupload)