Ход конем

Master-lame-master

Хакер, номер #082, стр. 082-058-2

Сделаю небольшое лирическое отступление и расскажу о трояне, который скрывался за сфабрикованным документом. Эксплойт успешно транспортировал файл 1.exe на компьютер жертвы. Под этим именем находился продвинутый формграббер, который умел грабить все вбитые формы за определенный период, а также забирать с компьютера пароли, WM-ключи, сертификаты и прочие полезные вещи. Данный трой жил на зараженной машине ровно два дня, а затем сам себя уничтожал, перед смертью посылая заветные логи на мой e-mail. Таким образом, мне нужно было подождать всего двое суток, чтобы увидеть первые результаты атаки.

[разбор полетов]

Как и ожидалось, в течение двух-трех дней моя почта была завалена всяческими логами. Их, конечно, было не полмиллиона, но 200-300 машин мне точно удалось заразить. В журналах формграббера находилось много всякой ерунды - логи каких-то чатов, аккаунты на порносайты и, разумеется, пароли на почтовые ящики и FTP-сайты. Особенно мне запомнились два человека, которых мне удалось раздеть до нитки (ну и урод же ты! - прим. ред.). Об этих типах я расскажу тебе в красочных подробностях.

[просто Андрей]

На третий день на почту упал лог о компьютере с именем Andrew. Судя по всему, его хозяин проживал в столице, так как машина имела московский айпишник. Лог занимал всего пару килобайт, но информация была довольно ценной - троянец успешно утащил kwm-ключ, три пароля на WWW-ресурсы, а также WM-идентификатор клиента. Я был полностью готов к операции «похищение WMZ».

Первым делом мне пришлось привести в исходный вид kwm-ключик. Он засылался в BASE64-кодировке, которую нужно было перевести в бинарный вид. Для этого я воспользовался online-декодером, который доступен на странице www.motobit.com/util/base64-decoder-encoder.asp. Введя в форму зашифрованный текст, я выбрал тип Encode и назвал файл 1.kwm. По завершению операции, на моем HDD находился рабочий ключик WebMoney. Далее я запустил VPN-соединение и WM-keeper. В последнем ввел WMID, полученный троянцем, и пароль. Что касается пассворда, то я был уверен в его правильности, так как все отснифанные пароли были одинаковыми (keyboard - правда, хороший пароль? :). Переварив первичные данные, кипер попросил указать файл ключей. «Всегда пожалуйста!», - сказал я, и скормил программе свеженький 1.kwm. Через полминуты WM-кипер сообщил, что вход удался, но, к несчастью, затребовал активацию. Я пока отложил этот этап, решив посмотреть, стоит ли игра свеч. Оказалось, что стоит, - на Z-кошельке находилось $1520. Кроме того, на рублевом счете было достаточно средств, чтобы сходить в элитный ресторан :). В общем, слюнки у меня потекли сразу после того, как я визуально оценил баланс.

Но, к сожалению, это все было read-only. Чтобы перевести баблос, нужно было ввести код активации. А для этого надо было иметь доступ к почте. Благодаря троянцу я получил логин и пароль к ящику на mail.ru, куда и направил свой браузер. Однако моя радость была недолгой - на Mail.ru мне сообщили, что аккаунт был зверски удален и предложили мне его восстановить. Я согласился и заново переслал код активации, но безуспешно. Тогда мне в голову пришла идея посмотреть детали аккаунта. И там я увидел совершенно другой e-mail, ведущий в домен третьего уровня *.net.ru (в интересах моего приятеля реальные адреса не разглашаются). Зайдя туда по WWW, я во второй раз разочаровался - домена не существовало. Первые мысли были не самыми оптимистичными, но все же я попробовал выполнить команду host domain.net.ru на моем linux-сервере. Результат показал, что домен существует, но частично :). A-записи для хоста не существовало, но MX-рекорд был. И вел на живой айпишник, где были запущены как POP, так и SMTP-сервис. Законнектившись на 110 порт, я попробовал авторизоваться в виде user/pass. Обломался. Попробовал еще раз, но в виде user@domain/pass. Вуаля! Сервер ответил, что для меня есть 10 новых сообщений, два из которых содержали коды активации.