Профессиональные backdoors

Хакер, номер #024, стр. 024-044-2

Другими словами, если ты собрался не в игрушки играть, а получить реальный доступ к чужой машине, да еще и хочешь долго оставаться незамеченным, то и твой backdoor должен весить минимум и выполнять только нужные тебе функции.

Plug-ins

Использование плагинов одно из лучших решений. Ведь никогда не знаешь, что может понадобится впоследствии, а просчитать все с самого начала часто бывает нереально. Поэтому на начальном этапе жертве посылается только база. Такая база, которая вообще нечего не умеет. Но к ней можно подключиться и пристраивать плагины. Можно это сделать в виде отдельных exe-файлов, а можно в виде dll. Ты подключаешься к своему трояну-базе и вводишь команду: скачать плагин file manager, чтобы управлять файлами. Он качает и тут же ставит.

Stealth-backdoors

А теперь перейдем к стелс-технологии. Заключается она в том, чтобы обмануть юзера во время установки трояна и в тех случаях, когда юзер обнаружит троян и захочет его удалить.

Итак, приступим. Первый вариант может быть таким.

Возьмем небольшую программу, которая занимает от 15 до 35 килобайт в зависимости от языка и компилятора. Эта программа нечего не делает. Она нечего не отсылает по почте, и к ней нельзя подключиться. Все это делается специально для того чтобы обезопасить сохранность этой проги от злостных реверс-инженеров. При запуске, а лучше через неделю после запуска, она соединяется с прописанным в ней FTP или WWW-сервером. Скачивает с него некую модифицированную программу (например, internat.exe - переключение кодировки) с встроенным трояном. Я делал так: клал на FTP-сервер несколько версий этого internat`а: w95en.exe - w95 англ., w95ben.exe - w95 OSR2 англ., w95ru.exe - w95 рус., w95bru.exe - w95 OSR2 рус., w98en.exe - w98 англ., w98ru.exe - w98 рус., w98seen.exe - w98 SE англ., w98seru.exe - w98 SE рус., w2ken.exe - w2000 англ., w2kru.exe - w2000 рус.; и качал соответствующий. После скачивания эта первоначальная программа заменяет родной internat той программой, которая скачалась, и удаляется. При перезагрузке наш троян запускается как internat.exe, его даже видно в task list. Ни у кого нет никаких подозрений. При этом порты он никакие не открывает, но раз в 30 минут принимает почту с определенного аккаунта, который в нем прописан. Если почта есть, он проверяет ее принадлежность к себе, если принадлежность обнаруживается, то он исполняет команды, которые ты там указал. Например, запустить FTP-сервер или скачать программу из сети и запустить ее. Или удалиться. Или закачать лог-файл на FTP-сервер. ВСЕ что угодно. ВСЕ, что ты сам встроишь в свой backdoor.

Второй вариант такой.

Небольшая программа (30-60 кб) при запуске соединяется с прописанным в ней FTP-сервером, скачивает с него некую модифицированную программу (например, internat.exe - переключение кодировки) с встроенным троянцем. При перезагрузке соединяется со специальным сервисом, который ты запускаешь на какой-нить UNIX-машине, и ждет команд от него, а ты уже на этот сервер посылаешь свои команды, при этом на машине жертвы никак не узнают именно твой IP-адрес. Поэтому вычислить тебя будет крайне тяжело, только через промежуточный сервер. А если промежуточный сервер запускать на каком-нибудь сервере, который не играет для тебя никакой роли (например, взломанный shell-box), то ты в любой момент сможешь удалить на нем все логи и свой софт.