Универсальный шпион

Петя и Волк (ICQ#135511)

Хакер, номер #072, стр. 072-074-2

После этого смело устанавливай keylogger.exe на компьютер жертвы. Сделать это можно кучей разных способов, начиная от банального впаривания по e-mail, заливкой трояна через открытые шары и заканчивая использованием Folder Sploit и багов в браузере IE, позволяющих запускать у посетителя зло-страницы любые приложения. Мы уже неоднократно писали о каждом из этих способов, так что советую тебе обратиться к архиву старых журналов на сайте www.xakep.ru, заюзав поиск.

После того как ты запустил серверную часть нашего кейлогера на компьютере жертвы, осталось только ждать логов в ящике, указанном в настройках. Письма будут приходить с разной периодичностью, зависящей от интенсивности работы пользователя и настройки максимального объема лога.

После конфигурирования я всем очень советую любую засылаемую программу, будь то RAT или шпион, как следует упаковать. Это снижает вероятность определения программы эвристическим антивирусом и уменьшает объем. Волк обычно делает это с помощью всем известного UPX’а. Наш KeySpy сжался в два раза - недурно для программы с объемом сорцов более чем в две тысячи строк, правда? :)

Внутренности кейлогера

Так много хитрых технологий понапихано в шпион, что не рассказать хотя бы о части из них было бы безумием. Начну, пожалуй, с собственного SMTP-движка.

Из-за появления огромного числа разного рода мыльных червяков и спам-ботов общедоступные серверы типа mail.ru начали закрывать возможность отправлять письма без аутентификации, ставить ESMTP-демоны и требовать регистрации на сервере. Троянописцев и подобных им людей, давно пользующихся услугами отправки почты у этих серваков, это очень расстроило и заставило придумать способ обойти эту гребаную аутентификацию. Собственно, все уже было придумано до нас создателями архитектуры почтовой системы. Абсолютно любой SMTP-сервер принимает для доставки письма, адресованные локальным пользователям, не требуя ни аутентификации, ни чего бы то ни было еще. Думаю, несложно догадаться, почему так сделано. Если же это для тебя загадка, подробное объяснение можно найти в соответствующей врезке.

Трудности этого случая заключаются в определении, к какому smtp-серверу нужно подключаться, чтобы отправить письмо. Дело в том, что, вопреки твоим ожиданиям, домен, стоящий справа от @, обычно не является адресом smtp-сервера этого домена. Как же получить нужный хост? Как раз для этого есть служба DNS – стоит только запросить MX-запись необходимого домена, как все проблемы отпадают.

Наш шпион реализует подобный способ, для того чтобы не пришлось все время держать в программе адрес работающего smtp с паролем и логином.

Также кейлогер использует очень интересную технологию внедрения собственного кода в чужой процесс (возможно, в будущих номерах Х ты сможешь прочесть о ее реализации). Эта технология нужна для того, чтобы шпион не светился в списках, а сидел тихо в каком-нибудь explorer.exe или lsass.exe и никого не трогал. С помощью этой технологии, по идее, исключается возможность убить программу в процессе работы, так как для этого пришлось бы убивать всюе систему.