код самого простого вируса
Пишем свое вредоносное ПО. Часть 1: Учимся писать полностью «не обнаружимый» кейлогер
Хакерский мир можно условно разделить на три группы атакующих:
1) «Skids» (script kiddies) – малыши, начинающие хакеры, которые собирают известные куски кода и утилиты и используя их создают какое-то простое вредоносное ПО.
2) «Byuers» — не чистые на руку предприниматели, тинэйджеры и прочие любители острых ощущений. Покупают услуги по написанию такого ПО в интернете, собирают с ее помощью различную приватную информацию, и, возможно, перепродают ее.
3) «Black Hat Сoders» — гуру программирования и знатоки архитектур. Пишут код в блокноте и разрабатывают новые эксплоиты с нуля.
Может ли кто-то с хорошими навыками в программировании стать последним? Не думаю, что вы начнете создавать что-то, на подобии regin (ссылка) после посещения нескольких сессий DEFCON. С другой стороны, я считаю, что сотрудник ИБ должен освоить некоторые концепты, на которых строится вредоносное ПО.
Зачем ИБ-персоналу эти сомнительные навыки?
Знай своего врага. Как мы уже обсуждали в блоге Inside Out, нужно думать как нарушитель, чтобы его остановить. Я – специалист по информационной безопасности в Varonis и по моему опыту – вы будете сильнее в этом ремесле если будете понимать, какие ходы будет делать нарушитель. Поэтому я решил начать серию постов о деталях, которые лежат в основе вредоносного ПО и различных семействах хакерских утилит. После того, как вы поймете насколько просто создать не детектируемое ПО, вы, возможно, захотите пересмотреть политики безопасности на вашем предприятии. Теперь более подробно.
Для этого неформального класса «hacking 101» вам необходимы небольшие знания в программировании (С# и java) и базовое понимание архитектуры Windows. Имейте ввиду, что в реальности вредоносное ПО пишется на C/C++/Delphi, чтобы не зависеть от фреймфорков.
Кейлогер – это ПО или некое физическое устройство, которое может перехватывать и запоминать нажатия клавиш на скомпрометированной машине. Это можно представить как цифровую ловушку для каждого нажатия на клавиши клавиатуры.
Зачастую эту функцию внедряют в другое, более сложное ПО, например, троянов (Remote Access Trojans RATS), которые обеспечивают доставку перехваченных данных обратно, к атакующему. Также существуют аппаратные кейлогеры, но они менее распространены, т.к. требуют непосредственного физического доступа к машине.
Тем не менее создать базовые функции кейлогера достаточно легко запрограммировать. ПРЕДУПРЕЖДЕНИЕ. Если вы хотите попробовать что-то из ниже следующего, убедитесь, что у вас есть разрешения, и вы не несёте вреда существующей среде, а лучше всего делать это все на изолированной ВМ. Далее, данный код не будет оптимизирован, я всего лишь покажу вам строки кода, которые могут выполнить поставленную задачу, это не самый элегантный или оптимальный путь. Ну и наконец, я не буду рассказывать как сделать кейлогер стойким к перезагрузкам или пытаться сделать его абсолютно не обнаружимым благодаря особым техникам программирования, так же как и о защите от удаления, даже если его обнаружили.
Для подключения к клавиатуре вам всего лишь нужно использовать 2 строки на C#:
Вы можете изучить больше про фунцию GetAsyncKeyState на MSDN:
Для понимания: эта функция определяет нажата клавиш или отжата в момент вызова и была ли нажата после предыдущего вызова. Теперь постоянно вызываем эту функцию, чтобы получать данные с клавиатуры:
Что здесь происходит? Этот цикл будет опрашивать каждые 100 мс каждую из клавиш для определения ее состояния. Если одна из них нажата (или была нажата), сообщение об этом будет выведено на консоль. В реальной жизни эти данные буферизируются и отправляются злоумышленнику.
Умный кейлогер
Погодите, а есть ли смысл пытаться снимать всю подряд информацию со всех приложений?
Код выше тянет сырой ввод с клавиатуры с любого окна и поля ввода, на котором сейчас фокус. Если ваша цель – номера кредитных карт и пароли, то такой подход не очень эффективен. Для сценариев из реального мира, когда такие кейлогеры выполняются на сотнях или тысячах машин, последующий парсинг данных может стать очень долгим и по итогу потерять смысл, т.к. ценная для взломщика информация может к тому времени устареть.
Давайте предположим, что я хочу заполучить учетные данные Facebook или Gmail для последующей продажи лайков. Тогда новая идея – активировать кейлоггинг только тогда, когда активно окно браузера и в заголовке страницы есть слово Gmail или facebook. Используя такой метод я увеличиваю шансы получения учетных данных.
Вторая версия кода:
Этот фрагмент будет выявлять активное окно каждые 100мс. Делается это с помощью функции GetForegroundWindow (больше информации на MSDN). Заголовок страницы хранится в переменной buff, если в ней содержится gmail или facebook, то вызывается фрагмент сканирования клавиатуры.
Этим мы обеспечили сканирование клавиатуры только когда открыто окно браузера на сайтах facebook и gmail.
Еще более умный кейлогер
Давайте предположим, что злоумышленник смог получить данные кодом, на подобии нашего. Так же предположим, что он достаточно амбициозен и смог заразить десятки или сотни тысяч машин. Результат: огромный файл с гигабайтами текста, в которых нужную информацию еще нужно найти. Самое время познакомиться с регулярными выражениями или regex. Это что-то на подобии мини языка для составления неких шаблонов и сканирования текста на соответствие заданным шаблонам. Вы можете узнать больше здесь.
Для упрощения, я сразу приведу готовые выражения, которые соответствуют именам логина и паролям:
Эти выражения здесь как подсказка тому, что можно сделать используя их. С помощью регулярных выражений можно искать (т найти!) любые конструкции, которые имеют определенный и неизменный формат, например, номера паспортов, кредитных карт, учетные записи и даже пароли.
Действительно, регулярные выражения не самый читаемый вид кода, но они одни из лучших друзей программиста, если есть задачи парсинга текста. В языках Java, C#, JavaScript и других популярных уже есть готовые функции, в которые вы можете передать обычные регулярные выражения.
Для C# это выглядит так:
Где первое выражение (re) будет соответствовать любой электронной почте, а второе (re2) любой цифро буквенной конструкции больше 6 символов.
Бесплатно и полностью не обнаружим
В своем примере я использовал Visual Studio – вы можете использовать свое любимое окружение – для создания такого кейлогера за 30 минут.
Если бы я был реальным злоумышленником, то я бы целился на какую-то реальную цель (банковские сайты, соцсети, тп) и видоизменил код для соответствия этим целям. Конечно, также, я запустил бы фишинговую кампанию с электронными письмами с нашей программой, под видом обычного счета или другого вложения.
Остался один вопрос: действительно такое ПО будет не обнаруживаемым для защитных программ?
Я скомпилировал мой код и проверил exe файл на сайте Virustotal. Это веб-инструмент, который вычисляет хеш файла, который вы загрузили и ищет его в базе данных известных вирусов. Сюрприз! Естественно ничего не нашлось.
В этом основная фишка! Вы всегда можете менять код и развиваться, будучи всегда на несколько шагов раньше сканеров угроз. Если вы в состоянии написать свой собственный код он почти гарантированно будет не обнаружим. На этой странице вы можете ознакомиться с полным анализом.
Основная цель этой статьи – показать, что используя одни только антивирусы вы не сможете полностью обеспечить безопасность на предприятии. Нужен более глубинная оценка действий всех пользователей и даже сервисов, чтобы выявить потенциально вредоносные действия.
В следующих статья я покажу, как сделать действительно не обнаружимую версию такого ПО.
Создаем вирус-шутку через блокнот.
Ближе к делу: я буду рассказывать что эта шутка вообще делает, буду вставлять скрины и все объяснять. Напомню, это ознакомительный пост! В других постах я буду конкретно писать, как создать такой-то вирус.
Вирус-шутка это программа, которую создают в блокноте. Т.е. пишешь там команды и сохраняешь их определенных форматах. Если все правильно сделано, без ошибок, то вирус-шутка сработает. Кстати, «вирус-шутка» это условное название. В блокноте можно создать и игру, и крестики нолики, часы.
ПРЕДУПРЕЖДЕНИЕ. Перед созданием вируса отключите Анти-Вирус.
1) Создание вируса: Для начала откройте блокнот.
2) В блокноте начинайте писать команду. Для начала скопируйте этот текст туда:
msgbox»Ты не против, если я буду жить у тебя в компе?»,32+4,»Вопрос»
msgbox»Ок, ты не против»,64,»Я понял»
msgbox»Ок, ты не против»,64,»Я понял»
msgbox»Это шутка, это НЕ вирус 🙂 ХАХАХАХА»,64,»Я пошутил»
msgbox»Или же нет. «,64,». «
Я НЕ ЖЕЛАЮ ВАМ ЗЛА! ЭТОТ ВИРУС НЕ МОЖЕТ ПРИНЕСТИ ВАМ И ВАШЕМУ КОМПУ ВРЕДА!
4) Теперь у вас на Рабочем столе должен появиться вот такой значок:
6) У вас должен открыться вирус-шутка. Если же не работает, то два варианта: либо у вас включен Анти-Вирус, либо ваш комп не поддерживает это.
7) НЕ ПУГАЙТЕСЬ! ВИРУС-ШУТКА НЕ ПРИНЕСЕТ ВРЕДА. Теперь вам осталось читать то, что там написано, и кликать по кнопкам (любым).
Вы можете изменить в команде вируса текст. Например вместо «Windows удалить?» можно написать «ставьте лайки!». Удачи вам, экспериментируйте со своими вирусами!
И так, как я обещал, это был ознакомительный пост. Вскоре я выложу пост, где подробно опишу все значения, как все делать и т.д. Отпишитесь в тапках как вам мой пост, киньте скрины своего вируса. Мне будет интересно 😀
сука! у меня винда удалилась!
ТС, у вас тоже снегопад? Занятия в школах отменили?
Мне хочется узнать все подробно как это работает что обозначает msgbox, цифры 64; 32+4
VBA макрос еще бы присобачил в виде екселя, что бы кошмарил тупыми вопросами!
также можно сделать чтобы он не закрывался
а если уже не шутка то можно оффнуть диспетчер задач команда
REG ADD «HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System» /f /v «DisableTaskMgr» /t REG_DWORD /d 0
Я такие шутки на Юкозах лет 8-10 назад видел.
PS: про дисковод уж тогда бы запилил.
Друзья, напишите то, как я объяснял. Понятно или нет.
Школьник добрался до учебников? Похвально, но баян.
Комната полная женщин и один парень(кому повезло?)
На работе вводят QR-коды, у нас все жуткие антипрививочники. Один мужик переживает:
— Жена на порог не пустит, если узнает, что привился.
— А ты ей скажи, что купил.
— Точно! А десятку пропить можно!
Вот так и становятся прививочниками.
Ответ на пост «Упростил»
Зарегистрировался на Мамбе в 2013. Так просто, поглазеть на девчонок. Часто попадалась девушка, которую знал в лицо, но никак не мог вспомнить откуда). Через пару дней вспомнилось, что мы учились в школе в параллельных классах.
Я написал ей, предложил погулять. Она согласилась.)
Оказалось, в тот день она зашла в приложение чтобы удалить страницу, а я как раз успел с ней связаться.
Помимо того, что мы учились в одной школе с первого по одиннадцатый класс, так еще мы с ней родились в один день, в одном роддоме, живём в одном районе.
Короче сплошные совпадения)
Вот уже восемь лет вместе) Прошли вместе с ней огонь и воду, и медные трубы.
Тут каждый сам за себя
Огнетушитель в студию
Деток нам *бучих)
Наткнулся на пару постов, как люди с первой встречи в приложении переросли в семью.
А у нас было немного иначе. Мы оба были танковыми задротами, играли в одном клане. И вот однажды, мы с ребятами собирались на небольшую «сходку» у меня дома, чисто по приколу позвали и её. Она из другого города. Думали не поедет к мужикам одна (хотя у нас вроде все адекватные были, большинство семейные и 35-40 лет). Но внезапно согласилась. Понравилась сразу, симпотная, общительная. Потом оказалось, что в отпуске уже третью неделю сидела и готова была хоть куда рвануть, лишь бы не дома)))
Переночевала (гусары молчать, всё культурно было). Уехала, стали иногда общаться в тимспике (прога для общения голосом). Потом с телефоном что-то было у неё, помогал, по пару часов бывало трещали. Потом призналась, что таким образом искала повод подкатить на разговор.
Ну в общем вот, через 2 недели у нас 5-я годовщина, на танки уже несколько лет как забили)) Можно кидать тапками)
P.S. Знаю точно, что из клана вышла ещё минимум одна семейная пара)
Маска
Ответ на пост «Надо чтоб это увидели девушки»
Бесит
Попытка дать люлей не удалась
В Люберцах 3 кавказца наехали на русского, пытались замесить толпой, но на помощь прибежали неравнодушные
C 11.11, ребят!
С Великой Распродажей, ребят!
Озон подсуетился и выпустил рекламу в стиле 90-х:)
В продолжении тренда Pikabu «Были времена! Все рекламировались, как умели «
Ну и конечно ручки-загребучки. Куда без них)
«I feel good»
Пластилиновый рукожоп
Месть кассирши
Дискриминация
Про воспоминания о «прекрасной» жизни в деревне:-)
В сеть утекла предварительная обложка журнала Time
В связи с арестом, пост более актуальный. Рыцари свежего, это повтор)
Продвинутый грузовик с новосибирскими номерами
Как по мне, это довольно сильно отвлекает других водителей от дороги, но идея конечно крутая и довольно прикольная.
11 июля пенсионеры Рачковские впервые приехали в аэропорт, чтобы улететь в Турцию. «У вас есть что декларировать?» — спросила сотрудница таможни у жены, когда та пересекла зеленую линию коридора. «У меня — нет, муж сейчас подойдет», — ответила она. Тут и муж Александр поспешил пересечь зеленую линию: «Компьютер и деньги». Но было поздно. История в деталях выглядит драматично.
Александру Рачковскому в начале года исполнилось 65 лет. Весной у них с супругой умер сын, инвалид 1 группы, который жил с ними вместе с многолетним уходом со стороны родителей. Когда-то именно для него Александр купил дом с участком, и семья проводила там время.
Эту сумму Александр придумал потратить в Турции, поменяв на жилье.
В суде он объяснил все так:
— Я просмотрел множество сайтов, были разные варианты инвестиций: Болгария, Россия, Грузия. Остановились на Турции, потому что дешевле, теплее, Средиземное море. Получил предложения, и ехали смотреть варианты. Для этого взял с собой деньги.
Довольно решительно для пенсионера — пассивный доход за границей. Это единственное, что выбивается из первых впечатлений о Рачковском. Со стороны это уставший, расстроенный человек с тихим, вздыхающим голосом, инвалид II группы. Который первый раз приезжает в аэропорт (летал до этого при СССР), волнуется за жену, которая последние 5 или 6 лет сидела дома с сыном, совершая «микровылазки» на улицу, и делает этот глупый шаг, «чтобы уточнить».
— Вину признаете? — спрашивает судья Партизанского района Минска Макаревич.
— В том, что по незнанию заступил за линию зеленого коридора.
В суде зачитали стенограмму записи с камеры «Дозор», которая была на форме сотрудницы таможни в тот день.
Сотрудник таможни: Здравствуйте, вам декларировать ничего не надо?
Жена Рачковского: У меня — нет, муж сейчас подойдет туда.
Рачковский: Я подойду.
Сотрудник таможни: Куда вы пойдете?
Рачковский: В красный.
Сотрудник таможни: Вам надо было сразу в красный. Поясните, что вы хотели декларировать?
Рачковский: Я еще не зашел, вот я вышел обратно.
Сотрудник таможни: Вы зашли уже в зеленый. Что вы хотите декларировать?
Рачковский: Деньги и компьютер.
Сотрудник таможни: Хорошо. Какую сумму?
Рачковский: 70 тысяч.
Дальше уже не читали. Судья прокомментировал скрин с записи камеры наблюдения: «Видно, что Александр Николаевич пересек зеленую черту (пусть изображение черно-белое, тем не менее) и стоит ориентировочно в 30 сантиметрах за ней».
В своих показаниях Александр Рачковский сказал следующее:
— Мне было известно про коридоры: я слышал и читал о необходимости декларировать суммы свыше 10 тысяч долларов перед вылетом. И собирался это делать. С собой у меня был документ купли-продажи для доказательства законного происхождения суммы и проект договора с турецкой компанией.
Во-вторых, мне нужно было обратиться к инспектору — в красном коридоре никого не было. Единственный человек, у которого я мог спросить о декларировании денег, — сотрудница за «зеленой» стойкой.
Да, я признаю вину в том, что по незнанию заступил в зеленый коридор. Я думал, что «коридор» — это коридор, а не зеленая линия на полу.
Когда меня спросили, нужно ли мне что-то декларировать, я сразу сказал да. Ведь я стоял, не пробегал. И сказал, что мне нужно в красный коридор. Но мне ответили, что я уже в зеленом и назад дороги нет.
Я добровольно предъявил все деньги. Совершенно не было никакого желания и повода их скрывать. У меня были документы, подтверждающие происхождение.
Сотрудница таможни, остановившая Рачковских, была вызвана в качестве свидетеля.
— В тот день я работала в зале вылета. Шел рейс в Анталию. Я находилась в зеленом коридоре и проводила выборочный контроль. В зеленом коридоре следовала дама, я спросила, есть ли у нее товары, которые подлежат декларированию. Она ответила, что нет, но у супруга есть. Буквально через пару секунд он подошел и сказал — да. Я спросила, почему он не пошел по красному коридору. Он потом пояснял, что беспокоился за жену.
Она подтвердила, что в красном коридоре не было сотрудника на входе.
— У нас расписан весь зал вылета. Никто там и не обязан был находиться. Я обычно становлюсь рядом и одновременно контролирую красный коридор, а коллега находится дальше.
Перед оглашением решения защитник Рачковского обратился к суду с просьбой освободить его подзащитного от административной ответственности.
— Изъятые деньги были получены законным путем. На руках были конкретные объекты недвижимости. Он не отрицает, что заступил за линию. Но важно понять форму вины — это неосторожность. Мой клиент впервые был в аэропорту, имел большую сумму денег, находился в стрессовом состоянии. Все это в совокупности привело к составу административного правонарушения. Он добровольно во всем признался, отвечал на вопросы и предоставил все деньги, дав пояснения. Если суд не увидит, что можно освободить от ответственности, просим не применять конфискацию с учетом всех обстоятельств.
Суд постановил привлечь Александра Рачковского к административной ответственности по части 2 ст. 15.5 КоАП.
— Наложить административное взыскание в виде штрафа в размере 10 базовых величин с конфискацией в доход государства наличных денежных средств, не задекларированных в установленном порядке, — на сумму 60 800 долларов и 400 рублей. 10 тысяч долларов вернуть Александру Николаевичу.
Решение суда может быть обжаловано в Минском городском суде.
Создаем вирус в блокноте
NGaming
.pisya
Удаляет все с доп. носителей
Удаляет все что хранится в реестре
Останавливает доступ в Интернет пользователя. Чтобы получить доступ обратно напишите IPconfig /renew в CMD
Отправляет сообщение и выключает компьютер
Простой вирус, который заставляет компьютер дать ошибку.
Сохранить как файл.VBS
Форматируются диски менее чем за 5 секунд. Только D, Е и С
Останавливает компьютер каждый раз при его включении
А теперь более опасные батники:
Заставляет систему упасть один раз потом компьютер не может быть перезапущен. Он удаляет все необходимое для запуска системы
НЕ ИСПОЛЬЗУЙТЕ НА СЕБЕ
Этот вирус отключает Интернет навсегда
NGaming
.pisya
prorok
Have a nice day
Justman
Даэдрот такой
NGaming
.pisya
grinex
aka Logequm
Удаляет все с доп. носителей
Удаляет все что хранится в реестре
Останавливает доступ в Интернет пользователя. Чтобы получить доступ обратно напишите IPconfig /renew в CMD
Отправляет сообщение и выключает компьютер
Простой вирус, который заставляет компьютер дать ошибку.
Сохранить как файл.VBS
Форматируются диски менее чем за 5 секунд. Только D, Е и С
Останавливает компьютер каждый раз при его включении
А теперь более опасные батники:
Заставляет систему упасть один раз потом компьютер не может быть перезапущен. Он удаляет все необходимое для запуска системы
НЕ ИСПОЛЬЗУЙТЕ НА СЕБЕ
Этот вирус отключает Интернет навсегда