Chez les editeurs d'anti virus, il existe des bataillons d'ingenieurs commandos surentrainés
qui sont payés des fortunes pour surveiller l'appariton de nouveaux troyens, et en extraire une signature
puis la mettre en update chez l'utilisateur. Sans compter avec les sites bénévoles mais quasi-professionnels
de sécurité informatique, bref tout ceci fait qu'il existe une veille telle qu'a partir du release d'un nouveau
serveur, au bout d'une semaine environ toutes machine connectée digne de ce nom pourra le détecter.

Alors, quelles solutions s'offrent a nous ?

premierement, beaucoup répondent qu'il suffit de programmer son propre troyen. C'est vrai, encore faut il savoir
sous quelle forme ceci est fait, et quelle est la véritable fonctionnalité du produit en question. Or on voit
rarement ces memes personnes publier leur sources, ce qui permet difficilement de se faire une opinion.

Deuxièmement, et c'est ce a quoi nous nous attacherons ici, on fera confiance au programmeur d'un server
reconnu et éprouvé par tous, et nous allons nous permettre de le modifier afin de changer sa signature.
En effet, c'est grace a cette empreinte que les antivirus comparent avec leur base de donnée que la detection
se fait.

Description d'une attaque par troyen

Ce qui sera expliqué ici est un ensemble de techniques. Dans certains cas, l'application d'une d'entre elle
seulement suffira, dans les autres il faudra toutes les appliquer, parfois plusieurs fois.
Tous les servers sont différents, il vous faudra donc vous adapter a ce sur quoi vous travaillez.
Comme dans la nature, ceux qui ne s'adapterons pas...mourrons.

voici les outils qu'il va falloir se procurer :

ScoolBus
Hex workshop éditeur hexadécimal
Windasm32 desassembleur win32dsm900
UPXshell compresseur/décompresseur

Tout ceci est comme d'habitude téléchargeable sur le site de téléchargement. Vous y trouverez aussi
la version non détectée de schoolbus.




Préparation :

Comme on veut manipuler des fichiers contenant un code hostile, il va falloir dire a son chien de
garde de se tenir tranquille.
Préparons donc notre environnement de travail :
avant le travail
1* désactivez l'autoprotect de votre antivirus
2* créez un dossier dans lequel on fera ces manipulations, disons ...\tests
3* dans votre antivirus, excluez ce dossier des scans. Ainsi vous pouvez laisser votre travail tranquillement
pour y revenir par la suite.
pendant le travail
1* laisser l'autoprotect enlevé. Les tests successifs se feront a la main, en demandant un scan de fichier
a l'antivirus.
2* préparez dans le dossier \tests une copie du serveur (on ne la modifiera pas, elle sert de témoins),
puis une deuxième (celle ci servira a chaque étape, et sera testée)
3* si plusieurs manipulations sont necessaires, n'hesitez pas a renommer le serveur de test de facon claire,
afin de pouvoir s'y retrouver dans les différentes étapes. Par exmple, dans le repertoire test on pourra trouver : 
copie du server
server 1000 bytes 00
server 1000 bytes 00 decompression 1
server 1000 bytes 00 decompression 1 compression 1
server 1000 bytes 00 decompression 1 compression 1 decompression 2

c'est un exemple. Il va falloir avoir une certaine organisation pour ce travail, sinon on s'y perd.

Ajout de bytes blancs :


le fait d'ajouter un certain nombre de 00 en fin de fichier augmente la taille du serveur, mais a la compression
celle ci diminue énormement, sans pour autant modifier le comportement du programme en lui même.
De plus, ceci modifie les checksums CRC et MD5, qui sont utilisés par de nombreux serveurs de mails afin de
détecter les menaces.
Il ne s'agit pas de rajouter le plus grand nombre possible de bytes, cela n'a aucun interet, mais de trouver
quel nombre est suffisant pour faire cette modification. Ne rajoutez donc pas 30Mo là ou 30 bytes suffisaient !

Pratique :
Dans l'éditeur hexadécimal, ouvrez la copie de travail :

voici une vue de la fin du fichier serveur de schoolbus.

A ce stade, on peut rajouter les bytes blancs par ::edit::_____::insert::





Sauvegarder, et tester par un scan de votre antivirus préferé.



Dans le cas qui nous interresse, vous verrez que cela ne suffit pas a rendre schoolbus indetectable.
Cependant ceci marche avec de nombreux serveurs, virii etc...
Ce qui m'amène a ma transition vers une autre méthode : la compression...
Compression UPX :

Si vous avez l'habitude de manipuler des serveurs, vous remarquerez qu'avec des fonctions équivalentes, certains
pèsent entre une vingtaine et une cinquantaine de Ko, tandis que d'autres en font quelques centaines.
Certains concepteurs de troyens vantent la petite taille de leur serveur, ce qui permet de passer inapercu dans
le cas d'un bind avec un autre fichier etc...
Ceci est vrai, cependant une autre raison de cette petite taille se trouve rarement expliquée :
Il est possible d'appliquer un type de compression de puissances différentes a un executable, et de le rétrécir
considérablement tout en ayant comme résultat un nouvel executable, tout aussi fonctionnel (contrairement au cas
des archives Zip, Rar, etc qui ne sont pas executables directement, et perdent donc leur interet dans notre cas).
Ce type de compression, la compression UPX est une puissante alternative pour leurer les antivirus.

Malheureusement, les concepteurs qui fournissent ces servers de quelques dizaines de Ko les ont donc déja
compressés car il connaissent cette technique. Résultat : les éditeurs d'antivirus ont relevé la signature
du serveur compressé, et comme ils ne sont pas idiots, celle du serveur décompressé.

On est mal ?
Pas du tout !

en effet, a la compression l'utilisateur choisit la force avec laquelle le fichier sera compressé. En général, la
plus élevée (niveau 9, avec compression maxi). En revanche, lorsqu'on a un fichier compressé, il est impossible
de savoir avec quel niveau il a été compressé en premier.
Conclusion : les antivirus connaissent la signature d'un fichier compressé a une certaine taille, mais pas aux
autres niveaux disponibles.

Je résume, deux solutions :
1* fichier non compressé : compresser a differents niveaux, en commancant
du plus élevé, et essayer jusqu'a trouver le bon.
2* fichier compressé : décompresser avec UPX, puis recompresser a différents niveaux. Au passage, envoyez quelques
bytes blancs, ce ne peut pas faire de mal...


Comme on a fait pas mal de manipulations jusqu'ici, je vous rappelle de bien nommer intelligament vos
fichiers d'essai sinon vous allez etre perdu, appliquer des modifications a un fichier déja modifier, voir
annuler les modifications effectuées... Ne venez pas pleurer apres car ce ne marche pas !

Bref, on fait tout ceci. Dans notre cas, le serveur de schoolbus fait 320 Ko, ce qui signifie
qu'il n'est pas compressé. On lui applique donc une compression de niveau 9, et on obtient un fichier de 18Ko.
Testez-le avec cette méthode...!!! SuRpRiSe !!!
Modification assembleur de la signature :

Foolfox ayant posté une explication claire a ce sujet, je la livre ici telle quelle : 
1.rechercher la signature correspondante a l'AV
(je vous rappelle que toutes ces definitions sont
sur votre HD)

2.localiser la sequence trouvee dans le soft.

3.modifier le programme au niveau asm pour modifier
la signature. Pas besoin d'etre une bete, il suffit de
modifier la sequence d'opcodes pour que l'AV ne
retrouve pas exactement la sequence qu'il cherche.
Il faut toutefois preserver la fonctionnalite.

exemple:

code original:
Code:

MOV EAX,0



nouveau code:
Code:

XOR EAX,EAX 

Conclusion :

L'ensemble de ces approches sera a adapter, tester, utilisées seules ou entre elles selon le serveur
sur lequel vous travaillez.
Comme d'habitude, si vous avez d'autres idées, des remarques, postez les a la suite de ce tuto.
Si vous avez des questions, merci de les poser dans la partie Hacking.

Enfin, sauf cas exceptionnel, inutile de me demander en mp un travail particulier, demandez le plutot en publique.
Ici on travaille pour tous et non pour un.

Bon courage !

Au vu des réactions suite à l’explication des méthodes qui permettent de rendre un code hostile indetectable aux antivirus, je me rend compte qu’on est allés un peu vite, en passant directement aux applications pratiques, sans passer par une phase d’explication des mécanismes qui régissent les principes de détection.

Je vais donc essayer aujourd’hui de combler ce manque, en esperant être aussi complet que possible.
Pour être clair, j’appellerais ici les anti virus AV, et les troyens, virii, etc…, Hostile.

Que les puristes ne m’en veuillent pas si j’utilise un vocabulaire parfois tres généraliste dans ce qui va suivre. En effet, je vais essayer de rendre la compréhension de tout ceci accessible au plus grand nombre.

Au menu :
Méthode de detection de l’anti virus (AV) Le principe de la modification détermination des signatures utilisées par l’AV 
détermination et localisation au sein de l’hostile 
Modifier la signature de l’hostile Conclusion


Méthode de detection de l’anti virus (AV)

Comme pré-requis, vous devez savoir que les Av reconnaissent un élément hostile (un troyen par exemple) par analyse d’un ou plusieurs morceaux de code binaires, qu’on appelle signature. Celle-ci devra être bien sûr caractéristique de l’hostile.
On appellera Offset de signature le lieu où est placé ce code dans le programme.
Or, le premier problème dans notre démarche future est que chaque AV va utiliser sa propre méthode pour reconnaître l’hostile. Comprennez que tout AV considérera une signature différente. Les opérations qui seront décrites ici devront donc être répétées, voire adaptées à la cible, plus précisement à l’AV qui en assure la protection. Un hostile non détecté par Norton peut tout a fait l’être chez KAV.

Le principe de la modification

La démarche qui consiste à modifier l’hostile pour qu’il passe inapercu aux yeux de l’AV s’inscrit en trois temps :
- détermination des signatures utilisées par l’AV
- localisation de cette signature au sein de l’hostile
- modification de celle-ci

Jusqu’ici, et vu comme cela, ca à l’air assez simple. Cependant, pour ceux qui ont suivit, quelques problèmes se profilent déjà, dont la nécessiter de connaître le stockage de la base de données de signatures de l’AV, être capable de situer precisement ces signatures au sein de l’hostile, et enfin pouvoir modifier le code sans altérer le fonctionnement du programme.


détermination des signatures utilisées par l’AV 

Il s’agit ici d’étudier l’AV qui protège la cible. Pour cela, rien de mieux que de l’installer chez soi, et l’observer afin de connaître l’emplacement dans le repertoire d’installation où sont stockées les données de signature. Dans le cas de KAV, il s’agira de %repertoire racine%\KAV Shares Files\Bases\. On y trouvera des fichiers en .AVC. Ceux-ci devront être decryptés (si je retrouve le programme, je le mettrait en dl.)

détermination et localisation au sein de l’hostile 

Une approche est alors la suivante : il s’agit d’installer dans le même repertoire le programme AVPOFFSET.EXE et l’hostile. Si je dis cela, c’est surtout pour la suite du travail.
La suite se fait en ligne de commande sous DOS, par l’usage AVPOFFSET Hostile.exe.
Le travail prend un certain temps, et devrait retourner un résultat similaire : 
hostile.exe infected: [infection]

Signature 1 found :
Offset : 411758 ( 7CF8eh)
Length : 7 ( 7h)
checksum: (1FAB89C2h)


Signature 2 found:
Offset : 415732 ( 7CF3AB)
Length : 255 ( FFH)
Checksum: (231ADD51H) 

Nota : pour toute manipulation sur les serveurs de troyen, il sera obligatoire que celui-ci soit décompressé auparavent, si vous avez a faire à un hostile compressé.
Il est assez fréquent que pour des raisons pratiques de légereté de l’hostile afin de l’envoyer, ou tout simplement dans une démarche d’indetection de l’auteur (voir les discutions précedentes sur le sujet), l’hostile soit déjà compressé, ou, dans le cas d’un générateur de server pour un troyen, que le générateur produise un fichier compressé.
On pourra appliquer différents outils de décompression, parmis lesquels :
UPX
StudPE (lui analysera l’outil utilisé à l’origine de la compression)
Un-pack, qui marche toujours, bien que surtout connu sous Win 98.

Nota II : Dois-je préciser de désactiver l’AV ?...

Une autre approche sera ce qu’on appelle Splitting.
Cette méthode se fait en aveugle et suppose une bonne experience, ne serais ce que pour savoir où mettre le doigt au sein de l’hostile.
Il s’agira en effet de remplacer à taton, puis en focussant la procédure, l’offset de la signature.
On peut pour cela remplacer sur l’offset des bouts du binaire par des zéros ou des NoPs, puis tenter la detection par AV. En cas d’indetection, on a tapé dans la signature. Il s’agit alors de recommencer en ne modifiant qu’une partie de ce qu’on a modifié plus haut. Si il est encore indetectable, on recommence sur un bout encore plus petit, etc… jusqu'à trouver le plus petit bout de code qui, modifié, permet l’indetection. C’est la signature « purifiée », dont on connaît à présent l’offset précis.
Je shématise, pour bien comprendre :
azertyuiopqsdfghjklmwxcvbn
*
modification d’un bout
*
azertyuiopqs00000000wxcvbn
*
…et encore :
*
azertyuiopqs00000klmwxcvbn
*
…jusqu’ à trouver le plus petit bout :
*
azertyuiopqs0000jklmwxcvbn
*
dfgh était donc la signature, son offset est « entre s et k »

Cette démarche se fera avec l’aide d’un éditeur hexadécimal, WinHex, ou HexWorkshop, etc, vous avez le choix des armes !

Cependant, on voit bien la limite du Splitting : il faut au moins savoir à peu pres où frapper. Pour cela, intervient pour une grande part l’experience du manipulateur, sa connaissance des AV, et des structures d’un programme.
En effet, il existe plusieurs méthodes d’approche pour savoir où modifier, sachant que certains AV cherchent la signature dans l’ entry point du programme, le lieu de l’execution de la première commande, tandis que d’autres se focalisent plutot sur les ressources du programme.

J’ajoute a tout ceci que si vous voulez conserver un hostile viable, il ne faudra pas modifer les entêtes, ce qui aurait pour effet de transformer l’hostile en boullie de bytes peut être indetectable, mais surtout inutile…

Quoi qu’il en soit, considérons que nous avons connaissance a present de l’offset de la signature (on l’aura remise telle qu’elle si on a utilisé la méthode de splitting).

Modifier la signature de l’hostile

Je me répete, mais avant d’aller plus loin, je rappelle qu’on va travailler ici dans le but de cacher une signature bien précise à un AV bien précis. Si vous avez de la chance, ceci suffira pour la plupart des AV, sinon, il faudra recommencer…

Bref, on arrive ici au nœud du probleme qui en interpelle plus d’un, la modification assembleur de l’hostile.
Au préalable, celui-ci sera désassemblé (cas de la modification « à froid »), ou débuggé (cas de la modification « a chaud »)
Vous l’avez comprit, il faudra se procurer un désassembleur ou un debugger. Je vous laisse chercher, peut être en mettrais- je aussi en dl dans les publiques.

Si on se rend à l’offset qu’on a découvert comme renfermant la signature (éventuellement même avec un éditeur hexadécimal), on trouvera soit la représentation hexadécimale des instructions assembleur, soit les instructions assembleur elles mêmes, c'est-à-dire (ceci est un exemple) :

Hexa 8D45F8, ou Assembleur LEA EAX,Dword ptr [ebp-08] 

cette animal est une inscription dans le registre. Le but est donc ici de trouver une instruction équivalente.

LEA EAX,Dword ptr [ebp-08] ==> Mov EAX,Dword Ptd ds:[ebp-08] 

C’est ce genre de modification, écrire une commande qui fera le même travail, mais ne sera pas celle d’origine, attendue par l’AV, qui rendra l’hostile indetectable puisque sa signature aura changé.
Il existe biens sur de nombreux exemples, et selon les AV, l’offset à modifier etc… Dire que pour le troyen « troyenutilisé », il faut se rendre à l’offset xxx, et modifier azerty par qwerty afin de le rendre universellement indetectable ne serais pas completement vrai.

 Toutefois, il est encore possible d’aborder une autre forme de modification sans faire appel à l’assembleur.
On passera ici uniquement par l’hexadécimal, en se branchant sur l’offset de signature, et en regardant la correspondance Ascii.
On peut avoir de la chance, et tomber sur quelque chose comme
756E5365727669636573000000FFFFFFFF (hexadecimal)
RunServices....... (Ascii)

C’est le genre de signature qui ne détecte pas par l’action du programme comme plus haut, mais par la présence d’un texte précis (nota : ne cherchez pas systématiquement RunService, c’est un exemple fictif…)
Ca peut paraître étonnant, mais le fait de remplacer lettre pour lettre, sous peine de crasher le code, ce bout de texte qui fait office de signature peut largement suffire à leurrer l’AV.

Cela vous parait incroyable ? C’est pourtant une des genre de signature le plus utilisé par Norton ! Qui parmis vous utilise Norton AV ?...

Conclusion
Les méthodes de modification en profondeur d’un code n’ont rien de facile, et sans quelques bases minimum en assembleur, en connaissance des structures d’un programme, en experience face au fonctionnement même des protections, ne vous imaginez surtout pas que n’importe qui puisse s’attaquer à ce genre d’exercice de style.
C’est la dure Loi de la lance et du bouclier : plus le bouclier est solide (et je vous assure que les éditeurs d’AV ne sont pas que des idiots, loin de là), plus le concepteur de la lance devra avoir un niveau de connaissances techniques approfondit…

Tuto SubSeven 2.2 trojan

Subseven est un trojan, comme tel il est souvent critiqué car selon certains hackers (ou personnes se disant hacker), le trojan est un programme de débutant, certes son utilisation est d'une facilité déconcertante, mais sa puissance est égal à sa simplicité ; C'est l'une des attaques les plus utilisés sur l'Internet, il est conseillé d'apprendre à programmer vos trojans vous même mais en attendant je vous conseil d'essayer Subseven, un petit bijoux de trojan.

Téléchargeable ici (Tester par Sebdelkil)

Constitution :

SUBSEVEN 2.2 est composé de 3 programmes : le client, le serveur et l'éditeur de server. Le client est celui que l'on utilise depuis son pc pour envoyer et recevoir les infos du serveur. Le serveur (server.exe) est le fichier qui ouvre le port (27374). Ne l'exécutez pas sur votre machine (à vos risques et périls) L'éditeur de server (editserver.exe) vous permet de configurer le serveur selon vos besoins. Il est entièrement personnalisable.

EDITER LE SERVEUR
Tout ce que vous pourrez faire (ou ne pas faire) dépend entièrement des caractéristiques affectées au serveur.
Ouvrez editserver.exe. Choisissez "normal mode" (attendez un peu avant de vous attaqué à la config en mode avancé)

PORT
C'est le port que le serveur ouvrira pour vous permettre de vous connecter à la victime. Le port par défaut est 27374. Ce port fonctionne très bien. Vous pouvez en choisir un autre entre 1 et 65536. Choisissez bien car de nombreux port sont utilisés par d'autre applications (Ex : 80 (http), 21 (ftp), 23 (telnet)).Si vous choisissez un port déjà utilisé par une autre application, vous créerait un conflit et votre serveur ne sera pas opérationnel.

PASSWORD
Choisissez un mot de passe (cela vous évitera de vous faire piquer vos victimes par d'autres personnes)
Re_enter password: pour verifier( vous avez l'habitude)

VICTIM NAME
Ce nom vous permettra de vous rappeler qui est la victime (pour le cas ou vous en auriez des centaines...).

PROTECT PASSWORD
Le premier mot de passe est demandé uniquement lorsque quelqu'un se connecte avec le client. Le protect password est plus important. Il est demandé chaque fois que quelqu'un veut visualiser ou modifier le serveur. Par exemple, si je me connecte sur la victime, je crack le mot de passe (enfantin jusqu'a la version 2.1) et je veux modifier le serveur ou le supprimer, il me demande le protect password, très dur à cracker. De plus, si la victime se rend compte qu'elle est infectée et qu'il n'y a pas de protect password, elle pourra lire les infos du serveur (donc votre mail, icq ou IP...)

MELT, WAIT FOR REBOOT, SERVER NAME
"melt server after installation permet au serveur de s'installer dans Windows puis de s'effacer. Ainsi, le fichier téléchargé par la victime disparaît. Cette fonction est à proscrire. Elle crée un doute - un fichier qui disparait, c'est pas tous les jours que ça arrive (quoi qu'avec Windows, on aura vu pire lol)
" Wait for Reboot " est par contre très interessant. Lorsque la victime clique sur le serveur, celui ci s'installe mais ne s'inscris pas dans la base de registre. Donc, si la victime est méfiante, elle va vérifiée sa base de registre.Grâce à cette option, la victime ne verra pas les modifications effectuées par le serveur car elles se feront au prochain redémarrage de windows.

"server name" est le nom du fichier qui se copiera dans C:/windows/system.

Il est très important d'utiliser un nom personnalisé afin de pouvoir passer le firewall. Par exemple, si la victime croit avoir télécharger WinDVD 2000, il faut lui donner un nom en rapport avec le logiciel téléchargé. [dvdupdate.exe ou dvdnet.exe.....]. Pourquoi me direz vous ? Parce que par défaut, le serveur prend des noms du genre ikfgh.exe ou ixwzkt.exe et lorsque le firewall demande : "voulez vous que ixwzkt.exe accède à Internet port 27374" la réponse est toujours non. Par contre, dvdupdate.exe on l'autorise plus facilement, à tort héhé)

STARTUP METHOD
Cliquez ensuite sur "startup method", Il s'agit des méthodes que Windows va utiliser pour ouvrir le server à chaque démarrage. Par défaut, "registry run service" (base de registre) et " Marklord " sont coché. Enlever "Marklord" (je ne sais pas trop ce que sait et ca marche tres bien sans) Remplacer la par "win.ini" et/ou system.ini. Si la victime n'utilise pas win 95 ou win 98, cochez explorer en plus.


NOTIFICATIONS
Très important : Cliquez sur notification, La notification est l'option qui va vous permettre d'être prévenu à chaque fois que votre victime se connectera au net. Il y a 5 possibilités, que vous pouvez toutes utilisées en même temps si vous le souhaitez.


ICQ NOTIFY
La plus facile et en plus très fiable. Vous devez installez ICQ sur votre pc. Ensuite, vous vous inscrivez : vous allez obtenir un numéro UIN.C'est ce numéro que vous devez tapez. Dés lors, à chaque fois qu'une de vos victimes se connectera, le serveur vous enverra un message instantané sur votre "pager" (ICQ) qui comprendra son nom, son ip, le password, le port.

De plus, subseven à une fonction de connection automatique à partir du pager qui vous évitera des copier/coller.

E-MAIL NOTIFY
C'est le même principe que pour ICQ mais par mail.


IRC NOTIFY

Permet de partager les victimes sur un channel irc. Peut être utile pour formenter une attaque en utilisant les victimes comme relais ou pour démultiplier l'attaque. Ainsi,si il y a 100 hackers possédant 10 victimes chacun, au lieu de 100 machines qui attaquent simultanément, on passe à 100x10=1000. On peut aussi plus simplement s'amuser entre amis sur un channel privé.


SIN NOTIFY
Pour ceux qui ont une adresse IP permanente (modem-cable, cable, T1 etc...). SIN signifie Static Ip Notification. Elle s'utilise avec le programme SIN.exe


CGI NOTIFY
Contrairement à certains qui juge cette option inutile et complexe, je la trouve remarquable. Elle ferait taire bon nombre de mauvaise langue qui compare subseven à hack'a'tack ou mosucker 2.2. Cette option permet de créer une liste de toutes les victimes qui sont en lignes. Ainsi, si vous vous êtes connecté après votre victime, ICQ ne peut pas de vous dire qu'elle est connectée (certains me diront que si, je répondrais dans la limite de 39 messages). En créant vote script cgi, vous créer une liste du type mosucker 2.2 et hack'a'tack (moins rapide qu'en cgi)

Liste des VARIABLES
En mode avancé. Si vous souhaité obtenir comme message:" hello, yakk est connecté port 27374.Son Ip est 127.0.0.1, le mot de pass est YAKK." Il faut tapez:"yakk est connecté $port . Son Ip est $IP , le mot de pass est $PASSWORD ."

Voici la liste des variables connues :
$ip - l'ip de la victime
$port - le port ouver dans l'ordi de la victime
$password - le mot de passe du server
$victim_name - Nom de la victime
$username - Le nom d'utilisateur Windows
$protect_password -protect password
$server_version - la version du server
$sysdir - le chemin windows/system du server
$windir - la chemin windows
$connection - le type de connection [lan/modem/proxy].

BINDED FILES
Permet de coller un fichier à votre serveur. Si vous avez coller un photo, le server s'installe pendant que la photo apparaît (idem pour mp3 ou exe), cliquez sur "add executed file", choisissez le fichier à coller.

PLUGINS
La grande nouveauté de cette version. A la base le serveur ne peut qu'ouvrir le port, de cette façon, le serveur est de très petite taille. Le mieux est d'envoyer le serveur sans aucun plugins, puis une fois la victime infectée, soit vous les uploader un par un, soit vous les uploader sur un site perso. Dans ce cas, cliquer sur "add web plugins" et tapez l'url des plugins.

RESTRICTIONS
Permet de restreindre le server à certaine commande. Par exemple, si vous utilisé subseven pour partager votre pc avec un ami mais que vous ne souhaitez pas qu'il connaisse vos mots de passe, il suffit de cliquer sur "enable allowed feature" puis "allowed feature" et de sélectionner les options que vous souhaiter que le serveur exécute. Toutes les fonctions non sélectionner ne seront pas autoriser.

E-MAIL
"email all pressed key" nécessite le pluggin "s7keys.dll". cette fonction vous envoie par mail toutes les touches que la victimes a tapée sur son clavier. Les fonction password et recorded password nécessite le pluggin "s7passwords.dll", elles permettent de recevoir les mots de passe de la victime

EXE ICON/OTHER
"enable fake error message" : à l'ouverture du serveur, la victime recevra le message d'erreur que vous aurez préalablement configuré.
La fonction "download from web" vous permet de télécharger n'importe quel fichier sur la victime.

"change server icône" Permet d'attribuer un nouvel icône au server.

SAUVEGARDER LE SERVER
Cliquer sur "Save as..." et choisissez l'emplacement.