Прячем вирус в файл ЛЮБОГО типа

И так, нам понадобится

• Winrar Archiver
• JPG
• HxD Hex Editor

Следуйте нашим шагам:
1. Устанавливаем HxD и кидаем его иконку в папку с вирусом

2. Берем вирус и архивируем его, с настройками никаких траблов, просто заархивируйте в Zip формат.

3. Теперь берем этот самый Архив и перетаскиваем его на иконку HxD

4. Открывается вот такое окно, где мы видим весь код, тут идем во вкладку Search > Find или жмем Ctrl+F

5. Пишем в окно поиска "Полное название вашего вируса.exe"
Ищем, он найдет 2 записи, одно в самом низу другое сверху кода, нам нужно нижнее значение, так что не перепутайте, тут меняем exe на то расширение которое нужно, я поменял на Jpg

6. Теперь сохраняем все это, и открываем наш архив, и видим вот такую картину

Как видите отображается .jpg, рядом во вкладке Type пишет что это Рисунок JPEG.

Данная статья написана в ознакомительном плане. Каждый несёт ответственность за использование материалов))

 

[Talomir]

А чё просто не переименовать расширение файла, без архива? Будет то-же самое, лучше - найти софт, который запускает реакцию системы на файл по MAGIC из содержимого файла, а не по расширению. А сам софт - регистрирует расширение в системе. Вот в его типы файлов вирь и переименовывать. Так не будет проблемы, что в архиве - одно расширение, а после распаковки - другое.

Получится: при клике на файл.ext стартует софт, анализирует файл, находит MAGIC 'exe' и запускает реакцию системы на этот MAGIC - запускается exe файл с расширением не exe, то есть вирь.

Посмотреть DLL функцию Windows анализа MAGIC файлов, и подобрать софт, использующий эту функцию. Вся работа!

 

[Talomir]

In files​

Main article: Для просмотра ссылки Войди или Зарегистрируйся

See also: Для просмотра ссылки Войди или Зарегистрируйся

Magic numbers are common in programs across many operating systems. Magic numbers implement Для просмотра ссылки Войди или Зарегистрируйся data and are a form of Для просмотра ссылки Войди или Зарегистрируйся to the controlling program that reads the data type(s) at program run-time. Many files have such constants that identify the contained data. Detecting such constants in files is a simple and effective way of distinguishing between many Для просмотра ссылки Войди или Зарегистрируйся and can yield further run-time Для просмотра ссылки Войди или Зарегистрируйся.

Examples

• Для просмотра ссылки Войди или Зарегистрируйся Для просмотра ссылки Войди или Зарегистрируйся (Для просмотра ссылки Войди или Зарегистрируйся) and Для просмотра ссылки Войди или Зарегистрируйся binaries start with hex CAFEBABE. When compressed with Для просмотра ссылки Войди или Зарегистрируйся the bytes are changed to CAFED00D.
• Для просмотра ссылки Войди или Зарегистрируйся image files have the Для просмотра ссылки Войди или Зарегистрируйся code for "GIF89a" (47 49 46 38 39 61) or "GIF87a" (47 49 46 38 37 61)
• Для просмотра ссылки Войди или Зарегистрируйся image files begin with FF D8 and end with FF D9. JPEG/Для просмотра ссылки Войди или Зарегистрируйся files contain the Для просмотра ссылки Войди или Зарегистрируйся code for "JFIF" (4A 46 49 46) as a null terminated string. JPEG/Для просмотра ссылки Войди или Зарегистрируйся files contain the Для просмотра ссылки Войди или Зарегистрируйся code for "Exif" (45 78 69 66) also as a null terminated string, followed by more Для просмотра ссылки Войди или Зарегистрируйся about the file.
• Для просмотра ссылки Войди или Зарегистрируйся image files begin with an 8-Для просмотра ссылки Войди или Зарегистрируйся signature which identifies the file as a PNG file and allows detection of common file transfer problems: \211 P N G \r \n \032 \n (89 50 4E 47 0D 0A 1A 0A). That signature contains various Для просмотра ссылки Войди или Зарегистрируйся characters to permit detecting unwarranted automated newline conversions, such as transferring the file using Для просмотра ссылки Войди или Зарегистрируйся with the ASCII Для просмотра ссылки Войди или Зарегистрируйся instead of the binary mode.Для просмотра ссылки Войди или Зарегистрируйся
• Standard Для просмотра ссылки Войди или Зарегистрируйся audio files have the Для просмотра ссылки Войди или Зарегистрируйся code for "MThd" (MIDI Track header, 4D 54 68 64) followed by more metadata.
• Для просмотра ссылки Войди или Зарегистрируйся or Для просмотра ссылки Войди или Зарегистрируйся scripts may start with a Для просмотра ссылки Войди или Зарегистрируйся (#!, 23 21) followed by the path to an Для просмотра ссылки Войди или Зарегистрируйся, if the interpreter is likely to be different from the one from which the script was invoked.
• Для просмотра ссылки Войди или Зарегистрируйся executables start with 7F E L F
• Для просмотра ссылки Войди или Зарегистрируйся files and programs start with "%!" (25 21).
• Для просмотра ссылки Войди или Зарегистрируйся files start with "%PDF" (hex 25 50 44 46).
• Для просмотра ссылки Войди или Зарегистрируйся files and the Для просмотра ссылки Войди или Зарегистрируйся of the Для просмотра ссылки Войди или Зарегистрируйся Для просмотра ссылки Войди или Зарегистрируйся (Portable Executable) files start with the characters "MZ" (4D 5A), the initials of the designer of the file format, Для просмотра ссылки Войди или Зарегистрируйся. The definition allows the uncommon "ZM" (5A 4D) as well for dosZMXP, a non-PE EXE.Для просмотра ссылки Войди или Зарегистрируйся
• The Для просмотра ссылки Войди или Зарегистрируйся superblock format is identified as either 19 54 01 19 or 01 19 54 depending on version; both represent the birthday of the author, Для просмотра ссылки Войди или Зарегистрируйся.
• The Для просмотра ссылки Войди или Зарегистрируйся of bootable storage devices on almost all Для просмотра ссылки Войди или Зарегистрируйся Для просмотра ссылки Войди или Зарегистрируйся has a code of 55 AA as its last two bytes.
• Executables for the Для просмотра ссылки Войди или Зарегистрируйся and Для просмотра ссылки Войди или Зарегистрируйся handheld video game systems have a 48-byte or 156-byte magic number, respectively, at a fixed spot in the header. This magic number encodes a bitmap of the Для просмотра ссылки Войди или Зарегистрируйся logo.
• Для просмотра ссылки Войди или Зарегистрируйся software executable Для просмотра ссылки Войди или Зарегистрируйся files running on Amiga classic Для просмотра ссылки Войди или Зарегистрируйся machines all started with the hexadecimal number $000003f3, nicknamed the "Magic Cookie."
• In the Amiga, the only absolute address in the system is hex $0000 0004 (memory location 4), which contains the start location called SysBase, a pointer to exec.library, the so-called Для просмотра ссылки Войди или Зарегистрируйся of Amiga.
• Для просмотра ссылки Войди или Зарегистрируйся files, used by the Для просмотра ссылки Войди или Зарегистрируйся and Для просмотра ссылки Войди или Зарегистрируйся for Для просмотра ссылки Войди или Зарегистрируйся executables, contain the Для просмотра ссылки Войди или Зарегистрируйся code for "Joy!" (4A 6F 79 21) as a prefix.
• Для просмотра ссылки Войди или Зарегистрируйся files begin with either II or MM followed by Для просмотра ссылки Войди или Зарегистрируйся as a two-byte integer in little or big Для просмотра ссылки Войди или Зарегистрируйся byte ordering. II is for Intel, which uses Для просмотра ссылки Войди или Зарегистрируйся byte ordering, so the magic number is 49 49 2A 00. MM is for Motorola, which uses Для просмотра ссылки Войди или Зарегистрируйся byte ordering, so the magic number is 4D 4D 00 2A.
• Для просмотра ссылки Войди или Зарегистрируйся text files encoded in Для просмотра ссылки Войди или Зарегистрируйся often start with the Для просмотра ссылки Войди или Зарегистрируйся to detect Для просмотра ссылки Войди или Зарегистрируйся (FE FF for big endian and FF FE for little endian). And on Для просмотра ссылки Войди или Зарегистрируйся, Для просмотра ссылки Войди или Зарегистрируйся text files often start with the UTF-8 encoding of the same character, EF BB BF.
• Для просмотра ссылки Войди или Зарегистрируйся Bitcode files start with BC (0x42, 0x43)
• Для просмотра ссылки Войди или Зарегистрируйся files start with IWAD or PWAD (for Для просмотра ссылки Войди или Зарегистрируйся), WAD2 (for Для просмотра ссылки Войди или Зарегистрируйся) and WAD3 (for Для просмотра ссылки Войди или Зарегистрируйся).
• Microsoft Для просмотра ссылки Войди или Зарегистрируйся (mostly known as one of the older formats of Для просмотра ссылки Войди или Зарегистрируйся documents) files start with D0 CF 11 E0, which is visually suggestive of the word "DOCFILE0".
• Headers in Для просмотра ссылки Войди или Зарегистрируйся files begin with "PK" (50 4B), the initials of Для просмотра ссылки Войди или Зарегистрируйся, author of Для просмотра ссылки Войди или Зарегистрируйся compression utility Для просмотра ссылки Войди или Зарегистрируйся.
• Headers in Для просмотра ссылки Войди или Зарегистрируйся files begin with "7z" (full magic number: 37 7A BC AF 27 1C).

Detection
The Unix utility program Для просмотра ссылки Войди или Зарегистрируйся can read and interpret magic numbers from files, and the file which is used to parse the information is called magic. The Windows utility TrID has a similar purpose.

 

[Bupyc_ Plus]

In files​

Main article: Для просмотра ссылки Войди или Зарегистрируйся

See also: Для просмотра ссылки Войди или Зарегистрируйся

Magic numbers are common in programs across many operating systems. Magic numbers implement Для просмотра ссылки Войди или Зарегистрируйся data and are a form of Для просмотра ссылки Войди или Зарегистрируйся to the controlling program that reads the data type(s) at program run-time. Many files have such constants that identify the contained data. Detecting such constants in files is a simple and effective way of distinguishing between many Для просмотра ссылки Войди или Зарегистрируйся and can yield further run-time Для просмотра ссылки Войди или Зарегистрируйся.

Examples

• Для просмотра ссылки Войди или Зарегистрируйся Для просмотра ссылки Войди или Зарегистрируйся (Для просмотра ссылки Войди или Зарегистрируйся) and Для просмотра ссылки Войди или Зарегистрируйся binaries start with hex CAFEBABE. When compressed with Для просмотра ссылки Войди или Зарегистрируйся the bytes are changed to CAFED00D.
• Для просмотра ссылки Войди или Зарегистрируйся image files have the Для просмотра ссылки Войди или Зарегистрируйся code for "GIF89a" (47 49 46 38 39 61) or "GIF87a" (47 49 46 38 37 61)
• Для просмотра ссылки Войди или Зарегистрируйся image files begin with FF D8 and end with FF D9. JPEG/Для просмотра ссылки Войди или Зарегистрируйся files contain the Для просмотра ссылки Войди или Зарегистрируйся code for "JFIF" (4A 46 49 46) as a null terminated string. JPEG/Для просмотра ссылки Войди или Зарегистрируйся files contain the Для просмотра ссылки Войди или Зарегистрируйся code for "Exif" (45 78 69 66) also as a null terminated string, followed by more Для просмотра ссылки Войди или Зарегистрируйся about the file.
• Для просмотра ссылки Войди или Зарегистрируйся image files begin with an 8-Для просмотра ссылки Войди или Зарегистрируйся signature which identifies the file as a PNG file and allows detection of common file transfer problems: \211 P N G \r \n \032 \n (89 50 4E 47 0D 0A 1A 0A). That signature contains various Для просмотра ссылки Войди или Зарегистрируйся characters to permit detecting unwarranted automated newline conversions, such as transferring the file using Для просмотра ссылки Войди или Зарегистрируйся with the ASCII Для просмотра ссылки Войди или Зарегистрируйся instead of the binary mode.Для просмотра ссылки Войди или Зарегистрируйся
• Standard Для просмотра ссылки Войди или Зарегистрируйся audio files have the Для просмотра ссылки Войди или Зарегистрируйся code for "MThd" (MIDI Track header, 4D 54 68 64) followed by more metadata.
• Для просмотра ссылки Войди или Зарегистрируйся or Для просмотра ссылки Войди или Зарегистрируйся scripts may start with a Для просмотра ссылки Войди или Зарегистрируйся (#!, 23 21) followed by the path to an Для просмотра ссылки Войди или Зарегистрируйся, if the interpreter is likely to be different from the one from which the script was invoked.
• Для просмотра ссылки Войди или Зарегистрируйся executables start with 7F E L F
• Для просмотра ссылки Войди или Зарегистрируйся files and programs start with "%!" (25 21).
• Для просмотра ссылки Войди или Зарегистрируйся files start with "%PDF" (hex 25 50 44 46).
• Для просмотра ссылки Войди или Зарегистрируйся files and the Для просмотра ссылки Войди или Зарегистрируйся of the Для просмотра ссылки Войди или Зарегистрируйся Для просмотра ссылки Войди или Зарегистрируйся (Portable Executable) files start with the characters "MZ" (4D 5A), the initials of the designer of the file format, Для просмотра ссылки Войди или Зарегистрируйся. The definition allows the uncommon "ZM" (5A 4D) as well for dosZMXP, a non-PE EXE.Для просмотра ссылки Войди или Зарегистрируйся
• The Для просмотра ссылки Войди или Зарегистрируйся superblock format is identified as either 19 54 01 19 or 01 19 54 depending on version; both represent the birthday of the author, Для просмотра ссылки Войди или Зарегистрируйся.
• The Для просмотра ссылки Войди или Зарегистрируйся of bootable storage devices on almost all Для просмотра ссылки Войди или Зарегистрируйся Для просмотра ссылки Войди или Зарегистрируйся has a code of 55 AA as its last two bytes.
• Executables for the Для просмотра ссылки Войди или Зарегистрируйся and Для просмотра ссылки Войди или Зарегистрируйся handheld video game systems have a 48-byte or 156-byte magic number, respectively, at a fixed spot in the header. This magic number encodes a bitmap of the Для просмотра ссылки Войди или Зарегистрируйся logo.
• Для просмотра ссылки Войди или Зарегистрируйся software executable Для просмотра ссылки Войди или Зарегистрируйся files running on Amiga classic Для просмотра ссылки Войди или Зарегистрируйся machines all started with the hexadecimal number $000003f3, nicknamed the "Magic Cookie."
• In the Amiga, the only absolute address in the system is hex $0000 0004 (memory location 4), which contains the start location called SysBase, a pointer to exec.library, the so-called Для просмотра ссылки Войди или Зарегистрируйся of Amiga.
• Для просмотра ссылки Войди или Зарегистрируйся files, used by the Для просмотра ссылки Войди или Зарегистрируйся and Для просмотра ссылки Войди или Зарегистрируйся for Для просмотра ссылки Войди или Зарегистрируйся executables, contain the Для просмотра ссылки Войди или Зарегистрируйся code for "Joy!" (4A 6F 79 21) as a prefix.
• Для просмотра ссылки Войди или Зарегистрируйся files begin with either II or MM followed by Для просмотра ссылки Войди или Зарегистрируйся as a two-byte integer in little or big Для просмотра ссылки Войди или Зарегистрируйся byte ordering. II is for Intel, which uses Для просмотра ссылки Войди или Зарегистрируйся byte ordering, so the magic number is 49 49 2A 00. MM is for Motorola, which uses Для просмотра ссылки Войди или Зарегистрируйся byte ordering, so the magic number is 4D 4D 00 2A.
• Для просмотра ссылки Войди или Зарегистрируйся text files encoded in Для просмотра ссылки Войди или Зарегистрируйся often start with the Для просмотра ссылки Войди или Зарегистрируйся to detect Для просмотра ссылки Войди или Зарегистрируйся (FE FF for big endian and FF FE for little endian). And on Для просмотра ссылки Войди или Зарегистрируйся, Для просмотра ссылки Войди или Зарегистрируйся text files often start with the UTF-8 encoding of the same character, EF BB BF.
• Для просмотра ссылки Войди или Зарегистрируйся Bitcode files start with BC (0x42, 0x43)
• Для просмотра ссылки Войди или Зарегистрируйся files start with IWAD or PWAD (for Для просмотра ссылки Войди или Зарегистрируйся), WAD2 (for Для просмотра ссылки Войди или Зарегистрируйся) and WAD3 (for Для просмотра ссылки Войди или Зарегистрируйся).
• Microsoft Для просмотра ссылки Войди или Зарегистрируйся (mostly known as one of the older formats of Для просмотра ссылки Войди или Зарегистрируйся documents) files start with D0 CF 11 E0, which is visually suggestive of the word "DOCFILE0".
• Headers in Для просмотра ссылки Войди или Зарегистрируйся files begin with "PK" (50 4B), the initials of Для просмотра ссылки Войди или Зарегистрируйся, author of Для просмотра ссылки Войди или Зарегистрируйся compression utility Для просмотра ссылки Войди или Зарегистрируйся.
• Headers in Для просмотра ссылки Войди или Зарегистрируйся files begin with "7z" (full magic number: 37 7A BC AF 27 1C).

Detection
The Unix utility program Для просмотра ссылки Войди или Зарегистрируйся can read and interpret magic numbers from files, and the file which is used to parse the information is called magic. The Windows utility TrID has a similar purpose.

На родном можно) не все могут в English

 

[Talomir]

_Вирус, на родном не было ответа в нете. Всё, почти всё нашёл, 10 минут заняло.

Функция из Urlmon.dll, называемая FindMimeFromData(), определяет тип файла по магическому числу. То есть если file.png содержит магическое число EXE файла, FindMimeFromData() вернёт тип 'Executable'.

Для написания описанного мной выше вируса достаточно найти, в папке Windows, или в интернете, программы, использующие FindMimeFromData() при открытии файла. Под расширение такой программы EXE и маскировать - переименовывать .EXE в что-то типа .EXT

Я специально не публикую список уязвимых программ, чтобы эту уязвимость не закрыли - кому интересно или надо - дерзайте, я давно уже не пишу вирусы....

 

[Drigun]

На родном можно) не все могут в English

Довольно странно интересоваться подобным и не мочь в инглиш, где на нем все и держится

 

[Bupyc_ Plus]

Довольно странно интересоваться подобным и не мочь в инглиш, где на нем все и держится

Имел в виду аудиторию в целом) разницу понимаете?

 

[NemoOutis]

А если через виртуалку то как?

 

[Talomir]

А если через виртуалку то как?

На виртуалке - так-же, и расчёт чёрного ястреба на клик по содержимому zip архива может сработать, с маскировкой исполняемого файла под картинку, и реакция программы на MAGIC внутри файла данных, как я описал. Поведение вируса на виртуалке почти не отличается от поведения вируса на host системе.