Управление RAT

Ms-Rem

Хакер, номер #079, стр. 079-108-2

Очень популярным и удобным способом является управление сетью через IRC (децентрализованности - ноль). Суть способа такая: все зараженные машины подключаются к IRC-серверу и заходят на специальный канал, откуда хакер командует сразу всеми жертвами. В зависимости от реализации RAT-инструкции, он может передавать как через топик канала, так и через чат (приватный или публичный). Основные достоинства этого метода - быстрая реакция ботнета на команды, относительно простая реализация и высокий уровень безопасности хакера (так как для IRC не требуется высокой скорости соединения, для управления жертвами хозяин ботнета может выходить на канал через длинную цепочку прокси-серверов, что сильно понизит его шансы быть пойманным). Однако и без недостатков не обошлось. К примеру, могут возникнуть проблемы с отсылкой результатов работы трояна (бота). На канале может быть сколько угодно ботов (десятки тысяч), и если все они вдруг получат команду, допустим, «отослать пароли», то своим ответом в виде сообщения они банально зафлудят хакера. Вот почему для получения результатов работы должна быть предусмотрена отдельная система, устойчивая к большому трафику. Также разработчику следует предусмотреть возможность обновления списка каналов и IRC-серверов, так как и их могут закрыть довольно быстро.

Создание полностью децентрализованного протокола управления для ботнета (подобно пиринговым сетям) тоже возможно, хотя сложность разработки тут на порядок выше. Сложность вкупе с большим (наверное, самым большим) временем реакции сети на команды – основной минус этого подхода. Однако его фишка в том, что практически невозможно разрушить такой ботнет или отыскать его владельца (даже если он не использует прокси). В конце статьи я довольно подробно рассмотрю один из вариантов реализации протокола полностью децентрализованной сети.

[реализация]

Для реализации описанных методов понадобится некоторое представление о сетевом программировании. Если ты раньше писал сетевые программы на компонентах Delphi, то спешу тебя огорчить: толку от них здесь будет мало. Может быть, компоненты в некоторых случаях и удобны, но в RAT они абсолютно неприменимы, так как здесь важен малый размер скомпилированного файла, а также его быстрая и стабильная работа. Поэтому хочешь не хочешь, а придется обходиться тем, что дает API. Писать только на нем сначала может показаться тяжеловато, однако позже, когда выработается привычка, ты сможешь легко и быстро работать с Сетью, при этом не заморачиваясь использованием кошмарных надстроек над оригинальными интерфейсами операционной системы.