Энциклопедия Spyware

Ms-Rem (Ms-Rem@yandex.ru)

Хакер, номер #085, стр. 085-124-3

У формграбберов существует небольшой подвид - TAN-грабберы. Их особенность в том, что они нацелены на пользователей банковских систем и умеют распознавать перехватываемую информацию и выделять и отправлять хозяину только нужные данные. Еще они умеют не только получать эти данные, но и блокировать их посылку на сайт банка, чтобы хозяин счета не смог им воспользоваться до того, как его ограбят. Самые продвинутые TAN-грабберы умеют отключать различные защиты на сайте банка (такие как ограничение доступа по IP), имитируя действия пользователя по установке настроек аккаунта. Эта разновидность шпионских программ наиболее опасна, так как направлена на кражу реальных денег. Хочу тебя предостеречь от разработки и продажи подобных программ, так как это прямая дорога за решетку. Даже у нас в России очень активно ведется охота на кардеров.

[парольные трояны]

Многим хакерам (пользователям spyware) абсолютно нет дела до личной жизни пользователя и даже до его кредитных карт. Ему нужно просто спереть у него мыло, асю или что-нибудь в этом роде. Для этих целей и существуют парольные трояны вроде очень популярного Pinch'а. Чаще всего работают они по одному и тому же не очень сложному принципу - просто выдирают все пароли из хранилища ;).

В Windows NT существует специальная служба для хранения приватных данных, которая называется ProtectedStorage. Именно эту службу использует Internet Explorer для хранения паролей и текста для автозаполнения форм. Эту же службу используют MSN Messenger и MS Outlook для хранения своих секретных данных. В общем, создателям троянов нужно поблагодарить великую и ужасную компанию Microsoft, которая дошла до идеи хранить все пароли в одном месте, чем сильно облегчила им жизнь. Для просмотра содержимого ProtectedStorage можно использовать программу Protected Storage Explorer, но тебя, наверное, интересует не утилита, а принцип ее работы. Что ж, рассказываю.

Для работы с ProtectedStorage используются функции из библиотеки pstorec.dll, входящий в состав винды. Начинается все с функции PStoreCreateInstance, которая создает объект класса IPStore. Здесь, как ты понимаешь, мы встречаемся с этим проклятым ООП. Но не стоит падать и биться в истерике от этого. Достаточно понять, что класс просто представляет собой структуру, в которой находятся указатели на его методы. Если определить эту структуру, то можно вызывать методы класса, не используя С++ и возможности ООП, а значит, можно писать на чистом API очень маленькие программы, что немаловажно для создателя троянов.

Итак, приступим к делу. Для начала нам нужно загрузить pstorec.dll, импортировать функцию PStoreCreateInstance и создать экземпляр класса IPStore:

typedef HRESULT (WINAPI *tPStoreCreateInstance)

(IPStore **, DWORD, DWORD, DWORD);

HMODULE hpsDLL;

hpsDLL = LoadLibrary("pstorec.dll");

tPStoreCreateInstance pPStoreCreateInstance;