Профессиональные backdoors

Хакер, номер #024, стр. 024-044-1

Рудоманов Василий (wider@ugansk.ru)

В последнее время появились какие-то две мании: у вебмастеров - мания порталостроения, а у юзеров - мания трояновпаривания. И те и другие уже иссякли в фантазии, и поэтому вебмастера шлепают абсолютно одинаковые сайты под гордым названием "Портал!", а юзеры впаривают друг другу одних и тех же троянов, которые затем гордо обнаруживают даже устаревшими апдейтами AVP. Нда... Скучно, девушки. А ведь есть очень хорошая маза - не просто впаривать трояна, а делать профессиональный backdoor, который и AVP не просканит, и юзер не заметит.

Выбор составляющих backdoor

Когда встанет вопрос какой backdoor поставить, то сразу же забудь обо всех самых популярных троянах мира типа BO, BO2K, NetBus Pro, Sub7, Donald Dick и прочих. Любой троян, про который знают более чем 5 человек, является неудачным. Самый лучший троян - твой личный троян, ну или на крайняк тот, который написал твой друг-гуру.

При составлении своего трояна забудь о всяких интересных и "полезных" вещах, таких как открывание cd-rom, выключение монитора, чат с жертвой. Backdoor нужен для того, что определяет его название - back door - незаметный проход, задняя дверь, запасной вход. Вот именно эту функцию он и должен обеспечить. А все развлечения занимают лишний код и увеличивают сложность backdoor. И не забывай очень важного плюса этой ситуации: никакой антивирус не скажет про твою замечательную программу, что она подсунутая гадость.

Посмотри пример одного человека, который размышлял так, как следует размышлять каждому:

Мне понадобилось как-то узнать пароль root'а на одном UNIX'е. По стандартному методу мышления мне надо ломать саму машину, где стоит UNIX. Но если она очень хорошо защищена, то это не так легко сделать, если вообще возможно. Но если вспомнить про человеческую незащищенность и социальную инженерию, то все UNIX-машины становятся доступны. Я сделал следующее: написал backdoor под windows, который делал буквально следующее: он записывал все набранное на клавиатуре и давал доступ к диску. ВСЕ. Ничего лишнего. Получился этакий FTP-сервер с логой того, что написано на компьютере. После этого я скачал все файлы с рабочей станции этого человека и взял логу того, что он писал. Этого оказалось достаточно, потому что там был аккаунт на UNIX-машину и пароль root'а. Его пароль был прописан в почтовом клиенте. А пароль root'а лежал в логе (когда он удаленно заходил на его сервер, он вводил этот пароль). В итоге была взломана машина UNIX. Хотя никакие стандартные методы проникновения замечены не были.

Вывод: нужно думать более глобально, не ограничивать свое внимание только на объекте (жертве), а думать обо всех машинах в сети, а также о тех людях, которые сидят за этими машинами. Поэтому во многих ситуациях достаточно прочитать веб-сайт жертвы и написать backdoor.

Определи, к чему и для чего ты хочешь получить доступ. Если нужно скопировать всю информацию и то, что вводил юзер с клавиатуры, - ограничься упрощенным FTP-сервером и кей-логгером. Этого хватит.

Если ты хочешь постоянно наблюдать за жертвой, то встрой еще функцию screenshot`а, чтобы смотреть жертве на экран. Встрой поддержку socks-соединения, чтобы работать не напрямую, а через socks-сервер, скрыв свой IP. Встрой шифрование передаваемых данных и проверку паролем доступа к backdoor`у жертвы. Если необходимо, можешь добавить удаленное управление реестром.