Magazyn NoName
Numer 6 (05/00)
http://www.noname.zum.pl

Menu:
  • Spis treści
  • Następny artykuł
  • Poprzedni artykuł
  • Prenumerata Magazynu NoName
    Więcej informacji...

    Prosiak

    Tekst ten został napisany w celach edukacyjnych, autor, ani też redakcja nie ponoszą żadnej odpowiedzialności za skutki bezpośrednio bądź pośrednio wynikające z jego przeczytania.

    Kiedy jeszcze nie miałem w swoim kompie żadnego kompilatora, nie wspominając już o przewodnikch w programowaniu, a 'C' była dla mnie tylko literką alfabetu bawiłem się Trojanami cudzej produkcji, według mnie najbardziej godym uwagi są programy polskie, mam na myśli Prosiak'a (pozdrawiam przy okazji jego autora - Pawła, co do programu to ciekawe czy pojawi się następna edycja, bo rzeczywiście obecne zasługują na miano bety, przykro mi to stwierdzić ale mają kilka błędów), z tego co wiem to został napisany w Delphi, i nie wiem czy jest celowo zabezpieczony przed dekompilacją, czy też kompilator miał złe przełączniki =;) ale pełno w nim śmieci. Może dość już tych narzekań, widocznie jestem poprostu zazdrosny że przedemną ktoś napisał pierwszego popularnego polskiego trojana, ja nie próżnuję pisze własnego - Warchlak'a - muszę go jeszcze zoptymalizować, więc nie liczcie że pojawi się jakaś alfa czy beta, wydam tylko wersję końcową, ale nikt nie powiedział że na ver 1.0 się skończy ;). Wracając do opisywanego obiektu. Prosiak jest programem do zdalnej administracji (sic! ;) hehe - jak to ładnie brzmi) komputerami w systemie win 9x, najlepiej steruje się nim wcześniej zdefiniowanymi skryptami (nie mówię tu o skryptach zapisywanych w rejestrach ofiary), uruchamianymi z dowolnego programu który potrawi wysyłać polecenia do wybranego celu (jeżeli chciałbyś taki program zbuduj go sam, dodaj obsługę sczytywania poleceń z plików, obiektu typu ComboBox i pola Edit), jest to spowodowane kolejną niedorubką w kliencie - GUI jak GUI, ale nie wykorzystuje wszystkich poleceń. Wspomniałem o skryptach zapisywanych w rejestrze ofiary, są przydatne, można sprawić żeby sprawdzały czy ofiara jest akurat online, jeśli tak to zostanie wysłane powiadomienie na wybrany adres, skrypt taki można tak przerobić żeby nie wysyłał jednego listu, ale powtarzał tę czynność nieustannie, w ten sposób będziemy regularnie zapychać komuś skrzynke pocztową, a jak sprawdzą nagłówek wiadomości, to kogo IP się dopatrzą? Jak już jesteśmy przy IP, to serwer udostępnia funkcję proxy, pod tą nazwą kryje się procedura umozliwiająca tunelowanie IP, a co to jest to już każdy wie. Prosiak jest w porządku ze wzgledu na swoje właściwości regionalne, ponieważ to polski program, jest nie doceniany, skanery typu Shopos, NortonAntyvirus 2000, czy też starsze edycje Mks_Vir'a go nie wykrywają, przez co naiwni, co o regedit'cie nie słyszeli myślą że antywir ich ochroni.

    Teraz uwaga dla początkujących:

    1) Hackerzy korzystają z własnych backdoor'ów, a tak wogóle to włamują się na *nixy, bo nikt poważny nie ma Winshita, pozatym nie mówią o tym co robią

    2) Postaraj się o książki mające w tytule "C++" and "Network" and "Windows", wszystko przeczytaj i przetestuj

    3) Zainstaluj sobie Linux'a, ale dla większego bezpieczeństwa proponuje OpenBSD, pamiętaj RTFM!, wszystko dobrze skonfiguruj a ułatwisz sobie życie

    4) Szukaj w sieci różnegorodzaju cookbook's ;) na tematy które Cie interesują

    5) Stosuj rozważnie assemblera, pamiętaj że C jest bardziej elastyczne i może byc kompilowane po małych przeróbkach w wielu systemach


    Ale jeśli sądzisz że jeszcze nie jesteś gotowy, a chciałbyś się trochę pobawić to:

    1) ściągnij archiwum z Prosiakiem

    2) Skonfiguruj serwer i podczep go do jakiegoś instalatora, nie wiesz jak, poszukaj w sieci lub naucz się sam.

    3) Napisz jakieś _dobre_ skrypty i zapisz je na kompie ofiary

    4) Będziesz teraz powiadamiany automatycznie o tym że ofiara jest w sieci, podłączasz się i...
    a) kopiujesz katalog "Moje dokumenty" na swój dysk
    b) łączysz się na port telnet'a i masz prompt dosa =;)
    c) nie dręczysz ofiary, jak już czymś Ci zawinił to modyfikujesz tak autoexec, żeby po 100 uruchomienu sformatował dysk (ale to jest chamskie, ale co zrobić jak ktoś jest Ci winny kase i nic go nie rusza, choć lepiej przenieś mu katalog na którym mu zależy do %winbootdir%\system - tam napewno nie sprawdzi, i wymuś kase, ale uważaj - bywają niebezpieczni)


    FAQ:

    Jak skonfigurować serwer?

    1) Serwer EXE - ddraw.drv - niektóre skanery traktują to jako "...System GUI..." i za nic nie chcą wywalić z pamięci

    2) Service - Microsoft DirectDraw Control - hehe

    3) Włącz opcję - Nie uruchamiaj serwera po instalacji

    4) Wyłącz opcję - Loguj klawisze do pliku - spowalnia i powoduje błędy

    5) Reszte opcji chyba rozumiesz?


    Jak usunąć Prosiaka?

    1) Wykryj go za pomocą programu test.exe

    2) Poszukaj na własną rękę - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices oprócz kilku lamerów których znam, wszyscy mają to puste, no chyba że ktos apacha stąd startuje, ale z drugiej strony, jeżeli ktoś ma tam z 17 (sic!) wpisów to i tak nie zauważy

    3) Usuń wpis z rejestru, zresetuj komputer i usuń plik wykryty przez test.exe, wskazywany również przez podejrzany, a już usunięty wpis w rejestrze


    Jak dać nauczkę temu co dał Ci trojana?

    1) Podrzuć mu innego

    2) Napisz fake serwer, przetestuj wcześniej jak można floodować klienta

    3) Dla dresiarzy ;) - zabierz swojego bejzbola i ić mu pokazadź ;)



    PS: Jeżeli chciałbyś wspierać polskich programistów, to przyślij mi jakąs ciekawą procedurke, a napewno zostanie umieszczona w Warchlaku, jeżeli kod zostanie już uzupełniony i zoptymalizowany to udostępniem go zainteresowanym, pamietaj że jest to C++, z wstawkami w assemblerze, ale wersję 2.0 planuję przepisać całkowicie w tymże języku.

    Co planuję:
    - Całkowity dostęp do rejestru
    - Zastosowanie pluginów, rozszerzających możliwości programu
    - Procedurę pakującą i szyfrującą - pierwsza będzie stosowana tylko fizycznie, a druga oprócz tego w pamięci, po czym kilka pętli, kod rozszyfrowany i skok pod nowy adres. Zastanawiam się także nad mutującą, ale zrobię to tak że maksymalnie 100h nopów będzie dodanych, czeba będzie także popracować nad instrukacjmi zastępczymi.

    Mateusz Klatt
    e-mail: mateusz_klatt@poczta.fm



    Początek artykułu



    Magazyn NoName

    Copyright (c) 1999 - 2000 NoName