Folder sploit: модный деструктив

Олег Толстых aka NSD

Xakep, номер #065, стр. 065-078-3

Вживляем трояна в «папку»

Итак, хакер нашел нужного ему троянского коня и отконфигурировал его должным образом. Теперь ему необходимо сконвертировать trojan.exe в BinHex-кодировку и запихнуть его в только что подготовленную «папку». Для этого он скачивает утилиту BinHex (www.nsd.ru/soft/1/folder_exploit_and_binhex.zip ) «производства» аж начала 90-х годов. Несмотря на древнее происхождение, тулза оказалась незаменимой. С ее помощью можно дешифровать или зашифровать произвольный файл в BinHex-кодировку. Хакера больше интересует последнее. Он запускает софтинку, нажимает кнопку F2 (bin2hex) и выбирает нужный файл (у нас он будет называться trojan.exe).

После этого троян мгновенно шифруется, и в той же папке появляется новый файл - trojan.hqx. Дело осталось за малым – нужно всего лишь открыть trojan.hqx в блокноте и перенести все содержимое файла а соответствующее место нашей псевдопапки, а именно под строку «(This file must be converted with BinHex 4.0)».

Процесс впаривания

После этих нехитрых манипуляций папка-эксплойт с трояном готова к бою. Теперь ее нужно зазиповать и отправить жертве по почте. Подделка адреса отправителя плюс капля социальной инженерии со стороны хакера – и вислоухий юзер/админ/директор_банка ее открывает, чтобы просмотреть содержащиеся в ней файлы, в результате чего запустится встроенный троян, который, в свою очередь, пересылает все пассы на мыльник хаксора. Поскольку она выглядит как обыкновенный каталог, атакуемому пользователю и в голову не придет, что тут может быть какой-то подвох – ведь это же простая, безобидная директория! ;)

Хочу защититься

Это очень серьезный баг. Даже отключение ActiveX’a и установка всех патчей с windowsupdate.microsoft.com не заткнет дыру. Как я уже говорил, брешь закрывает только SP2, а русский второй сервис-пак выйдет только летом! Так что на данный момент уязвимы все пользователи с отечественной виндой и все юзеры с английской виндой, которые не успели поставить SP2. В любом случае, старайся избегать открытия вложенных в письма файлов.

INFO

Видеозапись (VisualHack) номера является вспомогательным пособием к этой статье. В нем наглядно демонстрируется, как на практике хакер может создать такую «папку» с трояном.