VX API

verwaltet von VX-Underground | Folgen Sie uns auf Twitter | Laden Sie Malware -Beispiele auf der Seite VXUG/Muster herunter

VX-API

Version: 2.01.015

Entwickler: Smelly__VX

Der VX-API ist eine Sammlung böswilliger Funktionen, die bei der Entwicklung der Malware helfen. Es wird empfohlen, das gesamte Repo zu klonen und/oder herunterzuladen und dann die Visual Studio -Lösungsdatei zu öffnen, um die Funktionalität und Konzepte einfach zu untersuchen.

Einige Funktionen können von anderen in der Lösungsdatei vorhandenen Funktionen abhängen. Durch die Verwendung der hier bereitgestellten Lösungsdatei erleichtert es, zu ermitteln, welche anderen Funktionen und/oder Header -Daten erforderlich sind.

Sie können dies auf eine Weise verwenden, die Sie möchten. Sie müssen diese gesamte Lösung nicht für Ihre Malware-Proof-of-Concepts- oder Red-Team-Engagements verwenden. Streifen, kopieren, einfügen, löschen oder bearbeiten Sie diesen Projektinhalt so viel, wie Sie möchten.

Liste der Funktionen

Anti-Debug

Funktionsname	Originalautor
Adfclosehandleoninvalidaddress	Checkpoint -Forschung
AdfiseCreateProcessDebugeventCodeset	Checkpoint -Forschung
AdfopenProcessoncsrss	Checkpoint -Forschung
CheckRemotedebuggerPresent2	Reactos
IsdebuggerPresentEx	stinkend
IINTELHARDWAREBREAKPOINTPRESEST	Checkpoint -Forschung

Kryptographie verwandt

Funktionsname	Originalautor
Hashstringdjb2	Dan Bernstein
Hashstring -Fowlernollvovariante1a	Glenn Fowler, Landon Curt Noll und Kiem-Phong Vo
Hashstringfenkinsonatime32bit	Bob Jenkins
HashstringLoselose	Brian Kernighan und Dennis Ritchie
Hashstringrotr32	T. Oshiba (1972)
Hashstringsdbm	Ozan Yigit
Hashstringsuperfasthash	Paul Hsieh
HashstringUnNOunNGenerichash1a	Unbekannt
Hashstringsiphash	Ristbs
Hashstringmurmur	Ristbs
Createmd5HashfromFilepath	Microsoft
CreatepseudorandOMintEger	Apple (C) 1999
Createpseudorandomstring	stinkend
HashFileByMsifileHashtable	stinkend
CreatepseudorandOMIntergerfromntdll	stinkend
LzmaximumCompressBuffer	stinkend
LzmaximumDeCompressBuffer	stinkend
LzStandardCompressBuffer	stinkend
LzStandarddeCompressBuffer	stinkend
XpressHuffMaximumCompressBuffer	stinkend
XpressHuffMaximumDeCpressBuffer	stinkend
XpressHuffStandardCompressBuffer	stinkend
XpressHuffStandardDeCpressBuffer	stinkend
XpressMaximumCompressBuffer	stinkend
XpressMaximumDeCpressBuffer	stinkend
XpressSpandardCompressBuffer	stinkend
XpressSpandardDeCompressBuffer	stinkend
ExtractFilesFileFromCabintotarget	stinkend

Fehlerbehandlung

Funktionsname	Originalautor
GetLasterrorFromteb	stinkend
GetLastntstatusFromteb	stinkend
RtlntStatustodoSerrorviaimport	Reactos
GetLasterrorFromteb	stinkend
SetlasterRorinTeb	stinkend
SetLastntStatusinTeB	stinkend
Win32fromhresult	Raymond Chen

Ausweichen

Funktionsname	Originalautor
AMSIBYPASSVIAPATTERNSCAN	Zeromemoryex
DelayedExecutionExecuteDisplayoff	Am0nsec und Smelly__VX
Hookenginerestorheapfree	RAD9800
Masqueradepebasexplorer	stinkend
REMEDLLFRompeB	RAD9800
RemoveregisterDllnotification	Rad98, Peter Winter-Smith
SleepobfuscationviavirtualProtect	5Pider
RtlSetBaseUnicodecommandline	Thewover

Fingerabdruck

Funktionsname	Originalautor
GetCurrentLocaleFromteb	3xp0rt
GetNumberoflinkeddlls	stinkend
GetOSBuildNumberFrompeB	stinkend
GetosmajorversionFrompeB	stinkend
GetosminorversionFrompeB	stinkend
GetOSplatformIDFrompeB	stinkend
IsnvidiagraphicsCardpresent	stinkend
IsProcessrunning	stinkend
IsProcessrunningasadmin	Vimal Shekar
GetPidfromntQuerysystemInformation	stinkend
GetPidFromWindowsTeralService	modexp
GetPidfromwmicMinterface	Aalimian und Modexp
GetPidfromenumProcesses	stinkend
GetPidFrompidbuteForcing	modexp
GetPidfromntQueryFileInformation	Modexp, Lloyd Davies, Jonas Lyk
GetPidFrompidbuteForcingExw	Smelly__VX, Lloyd Davies, Jonas Lyk, Modexp

Helferfunktionen

Funktionsname	Originalautor
CreateLocalAppdataObjectPath	stinkend
CreatewindowsObjectPath	stinkend
GetCurrentDirectoryFromUserProcessparameter	stinkend
GetCurrentProcessidfromteb	Reactos
GetCurrentusiersid	Giovanni Dicanio
GetCurrentWindowTextFromUserProcessParameter	stinkend
GetFileSizeFrompath	stinkend
GetProcessheapfromteb	stinkend
GetProcessPathfromloaderloadModule	stinkend
GetProcessPathFromUserProcessparameter	stinkend
GetsystemWindowsDirectory	Geoff Chappell
Ispathvalid	stinkend
Recursivefindfile	Lukas
SetProcesprivileGetoken	Microsoft
Isdllgeladen	stinkend
TryloadDllmultimethod	stinkend
CreateTheadandwaitforCompletion	stinkend
GetProcessBINYNAMEFROMHWNDW	stinkend
GetByTearrayfromFile	stinkend
Ex_getHandleondeviceHttpcommunication	x86matthew
IsregistryKeyValid	stinkend
FASTCALLEXECUTBINYSHELLEXECUTEX	stinkend
GetCurrentProcessidfromOffset	Ristbs
Getpebaseaddress	stinkend
LDroadgetProcedureaddress	C5Pider
Ispektion	stinkend
AddSectionTopeFile	stinkend
Writedatatopesection	stinkend
GetPectionssizeInByte	stinkend
Readdatafrompektion	stinkend
GetCurrentProcessnoForward	Reactos
GetCurrentThreadnoForward	Reactos

Bibliotheksladung

Funktionsname	Originalautor
Getkusershareddata	Geoff Chappell
GetModuleHandleex2	stinkend
Getpeb	29a
Getpebfromteb	Reactos
GetProcaddress	29A Volume 2, C5Pider
GetProcaddressDJB2	stinkend
GetProcaddressFowlernollvovariant1a	stinkend
GetProcaddressJenkinSonatatime32bit	stinkend
GetProcaddressLoselose	stinkend
GetProcaddressROTR32	stinkend
GetProcaddressSdbm	stinkend
GetProcaddressSuperfasthash	stinkend
GetProcadDressOnNownGenerichash1	stinkend
GetProcaddressSiphash	Ristbs
GetProcaddressMurmur	Ristbs
GetrtluserProcessparameter	Reactos
Getteb	Reactos
RtlloadpeHeaders	stinkend
ProxyworkItemloadlibrary	Rad98, Peter Winter-Smith
ProxyRegisterWaitloadlibrary	Rad98, Peter Winter-Smith

LSASS Dumping

Funktionsname	Originalautor
MPFGetLSapidfromServiceManager	modexp
MPFGetLSapidfromregistry	modexp
MPFGetLSapIdFromNamedPipe	modexp

Netzwerkkonnektivität

Funktionsname	Originalautor
UrdownloadTofileSynchronous	Hans Passant
CONVERTIPVV4IPADDRESSSTRUCTURETOSTRING	stinkend
CONVERTIPVV4stringtounsignedLong	stinkend
SendicmpechomessAgetoipv4Host	stinkend
CONVERTIPVV4IPADDRESSUNGSIGNEDLONGTOSTRING	stinkend
Dnsgetdomainnamepv4addressString	stinkend
Dnsgetdomainnamepv4Addressunsignedlong	stinkend
GetDomAinNameFromunsignedLongipvv4Address	stinkend
GetDomAinNameFromIPV4AddressAsstring	stinkend

Andere

Funktionsname	Originalautor
OleGetClipboardData	Microsoft
MPFCOMVSSDELETSHADOWVOLUMEBACKUPUPS	AM0NSEC
MPFCOMMODIFYSHORTCUTTARGET	Unbekannt
MPFCommonitorChromesessiononce	stinkend
MpfextractMaliciousPayLoadFromZiPFilenopassword	Codu

Prozesserstellung

Funktionsname	Originalautor
CreateRCessfromihxHelppaneserver	James Forshaw
CreateProcessfromihxInteractiveUctionUser	James Forshaw
CreateRCessFromishellDispatchInvoke	Mohamed Fakroud
CreateProcessFromShelLexeCutEnexPlorerProcess	Microsoft
CreateProcessViantCreatUserProcess	Captmeelo
CreateProcessWithCfGuard	stinkend und Adam Chester
CreateProcessByWindowsrhotkey	stinkend
CreateProcessByWindowsrhotkeyex	stinkend
CreateProcessfrominfSektioninstallstringnocab	stinkend
CreateProcessFrominfSetUpCommand	stinkend
CreateRCessfrominfSektioninstallstringnocab2	stinkend
CreateProcessfromieframeopenurl	stinkend
CreateProcessFrompcwutil	stinkend
CreateProcessfromshdocvWopenurl	stinkend
CreateProcessFromShell32Shellexecrun	stinkend
MpFexecute64bitpebaryInmemoryFromByTearrayNoreloc	aaaddress1
CreateProcessFromwmiwin32_processw	CIA
CreateProcessFromZiPldrrouteCall	stinkend
CreateProcessFromUrlFileProtocolHandler	stinkend
CreateProcessfromurlopenurl	stinkend
CreateProcessfrommshtmlw	stinkend

Prozessinjektion

Funktionsname	Originalautor
Mpfpicontrolinjection	SafeBreach Labs
Mpfpiqueuserapcviaatombomb	SafeBreach Labs
MPFPiWriteProcessMemoryCreferemotetHhread	SafeBreach Labs
MPFPROCESSINPITIONVIAPROCESSREFEKTION	Tiefer Instinkt

Stellvertreterfunktionen

Funktionsname	Originalautor
Iecreatefile	stinkend
CopyFileviaSetUpCopyFile	stinkend
CreateFileFromdScopyfromsharedFile	Jonas Lyk
DeletedirectoryAndSubdataviadelnode	stinkend
DeleteFileWithCreateFileFlag	stinkend
IsProcessrunningasadmin2	stinkend
Iecreatedirectory	stinkend
IedeleteFile	stinkend
Iefindfirstfile	stinkend
IegetFileTtributesex	stinkend
IemoveFileex	stinkend
Ieremovedirectory	stinkend

Shellcode -Ausführung

Funktionsname	Originalautor
MPFSCEVIAIMENumInputContext	Alfarom256, Aahmad097
MPFSCEVIACERTFINDCHAININSTORE	Alfarom256, Aahmad097
MPFSCEVIAenumPropsexw	Alfarom256, Aahmad097
MPFSCEVIACREATREADPOOLWAIT	Alfarom256, Aahmad097
MPFSCEVIACRYPTENUMOIDINFO	Alfarom256, Aahmad097
MPFSCEVIADSA_ENUMCallback	Alfarom256, Aahmad097
MPFSCEVIACARATETIMERQUEUTIMER	Alfarom256, Aahmad097
MPFSCEVIAEVTSUBSBIME	Alfarom256, Aahmad097
MPFSCEVIAFLSALLOC	Alfarom256, Aahmad097
MPFSCEVIAInitonceExecuteonce	Alfarom256, Aahmad097
MPFSCEVIAENUMCHILDWINDOWS	Alfarom256, Aahmad097, WRA7H
MPFSCEVIACDEFFORMENU_CREATE2	Alfarom256, Aahmad097, WRA7H
MPFSCEVIACERTENUMSYSTEMSTORE	Alfarom256, Aahmad097, WRA7H
MPFSCEVIACERTENUMSYSTEMSTORELOCATION	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumDateFormatsw	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumDesktopWindows	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumDesktopsw	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumdirtreew	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMDISPLayMonitors	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumfontfamilieSexw	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMFONTSW	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumLuageGroupocalesw	Alfarom256, Aahmad097, WRA7H
MPFSceviaenumObjects	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMRESOURCETYPESEXW	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMSYSTEMCODEPAGESW	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMSYSTEMGEOID	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMSYSTEMLUGRAGEGROUPSW	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMSYSTEMLOCALESEX	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMTHREADWINDOWS	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAenumTimeFormatsex	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAenumuilanguagesw	Alfarom256, Aahmad097, WRA7H
MPFSCEViaEnumWindowStationsw	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMWINDOWS	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAenumerateloadedModules64	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAK32EnumpageFilesw	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAENUMPWRSCHEMES	Alfarom256, Aahmad097, WRA7H
MPFSCEViamessageBoxindirectW	Alfarom256, Aahmad097, WRA7H
MPFSCEVIACHOOSECOLORW	Alfarom256, Aahmad097, WRA7H
MPFSCEVIACLUSWORKERCREATE	Alfarom256, Aahmad097, WRA7H
MPFSceviasymenumProcesses	Alfarom256, Aahmad097, WRA7H
MPFSCEVIAIMAGETGETDEGESTREAM	Alfarom256, Aahmad097, WRA7H
MPFSCEViAverifierenumeratereSource	Alfarom256, Aahmad097, WRA7H
MPFSCEVIASYMENUMUMSOURCEFILES	Alfarom256, Aahmad097, WRA7H

Streichmanipulation

Funktionsname	Originalautor
Bytearraytochararray	stinkend
Chararraytobytearray	stinkend
ShlwapicharstringTowcharstring	stinkend
Shlwapiwcharstringtocharstring	stinkend
Charstringtowcharstring	stinkend
Wcharstringtocharstring	stinkend
RtliniTeMptyunicodestring	Reactos
Rtlinitunicodestring	Reactos
Caplockstring	Simonc
Copymemoryex	Reactos
SecurestringCopy	Apple (C) 1999
StringCompare	Apple (C) 1999
StringConcat	Apple (C) 1999
StringCopy	Apple (C) 1999
StringFindSubstring	Apple (C) 1999
StringLength	Apple (C) 1999
StringLocatechar	Apple (C) 1999
StringRemovesubstring	stinkend
Stringterminatestringatchar	stinkend
StringToken	Apple (C) 1999
Zeromemoryex	Reactos
ConvertCharacterStRINGToinTeGerusingntdll	stinkend
MemoryFindMemory	Kamilcuk

UAC -Bypass

Funktionsname	Originalautor
UACBYPASSFODHELPERMETHOD	winscriping.blog

Rad98 Hakenmotor

Funktionsname	Originalautor
InithardwareBreakPointEgine	rad98
StilldownHardwareBreakPointEgine	rad98
ExceptionHandlerCallbackroutine	rad98
SethardwareBreakpoint	rad98
InsertDescriptorEntry	rad98
RemedescriptorEntry	rad98
SnapshotinSertHardwareBreakPoInthookintotarGethread	rad98

Generisches Shellcode

Funktionsname	Originalautor
GenericShellCodeHellbelldMessageBoxa	SafeBreach Labs
GenericShellCodeHellbelloworldMessageboxaebfbloloop	SafeBreach Labs
GenericShellCodeOpenCalcexitThread	Msfvenom