Я знаю, что многие любят придумывать что-то свое и что самое интересное, что начинают потом в ЭТО, свято верить.
Надеюсь все отнесутся к написанному с юмором %))) И да, пишу все это естественно на правах нуба
Может где уже up этом и писали в привате или на форумах под хайдами, короче.. похер нах, здесь все честно а сталобыть и истена
начнем по традиции с жертвы, сцылко
http://demonteam.narod.ru/download/zsb.rar
PASS: 666
что есмь такое, а все очень просто - это часть билдера зевса %))) его полный функционал на вкладке Information
сегодня мы раскроем тайны пайпа.. ВЫ не знает что это такое? – читайте RTFM в MSDN, хотя я и сам в этой теме "не шарю" %)))
мы увидим часть "исходного" кода и попытаемся понять, что это за такое и нах оно нам нужно
и так, начнем атаку на клоунов. начать, пожалуй, советую смеха ради, да и забавы тоже с ЛК и их чудо киллера
http://www.kaspersky.ru/support/viruses/so...e&qid=208636281
сие "Чудо" убивает потенциальную тачку наглухо(теоретически), а сталобыть бот "стучаццо" больше не будет
5 марта с утречка после пива они его создали, ~месяц на кодинг, месяца 2 они его ловили, еще раньше где-то о нем слышали
А статейку застрочили только через полгода, когда басня про ZBot стала не актуальна
В итоге: всех-нах-победиле %))
Ну вот, бредисловие вступительное было, а теперь и к самой сути:
Автор зевса создал интерфейс(IPipe) на основе пайпов для общения билдера с ботом
Бот - это "сервер"
Билдер - это "клиент"
Information как раз функу IPipe и юзает для отображения инфы о боте и его удаления в "тест-режиме"
Код интерфейса пайпа
Параметр cmd - команда посланная боту
Команда 0x01(VersionBot) возвращает dword версии бота, которая жестко вшивается как константа в бота
и то, что мы видим в окне "Spyware status on this system"
Example: Version: 1.1.1.1
Команда 0x02(NameBot) возвращает строку с именем бота которую, пишем в конфиге(config.txt)
entry "StaticConfig"
botnet "ZBot"
end
то, что мы видим в окне "Spyware status on this system"
Example: Botnet: ZBot или Botnet: -- default –
Команда 0x03(RemoveBot) деинициализирует бот + происходит киляние файлов sdra64.exe, local.ds, user.ds
Эти действия происходят при нажатии на кнопку "Remove spyware from this system"
Команды 0x0B, 0x0C и 0x0D возвращают строки с путями и именами файлов sdra64.exe, local.ds, user.ds
то, что мы видим в окне "Spyware status on this system"
Example:
Loader: C:\WINDOWS\system32\sdra64.exe
Config: C:\WINDOWS\system32\lowsec\local.ds
Log: C:\WINDOWS\system32\lowsec\user.ds
ЗЫ: хз. может потом, еще че-нить из "исходников" сюда выложу..
Надеюсь все отнесутся к написанному с юмором %))) И да, пишу все это естественно на правах нуба
Может где уже up этом и писали в привате или на форумах под хайдами, короче.. похер нах, здесь все честно а сталобыть и истена
начнем по традиции с жертвы, сцылко
http://demonteam.narod.ru/download/zsb.rar
PASS: 666
что есмь такое, а все очень просто - это часть билдера зевса %))) его полный функционал на вкладке Information
сегодня мы раскроем тайны пайпа.. ВЫ не знает что это такое? – читайте RTFM в MSDN, хотя я и сам в этой теме "не шарю" %)))
мы увидим часть "исходного" кода и попытаемся понять, что это за такое и нах оно нам нужно
и так, начнем атаку на клоунов. начать, пожалуй, советую смеха ради, да и забавы тоже с ЛК и их чудо киллера
http://www.kaspersky.ru/support/viruses/so...e&qid=208636281
сие "Чудо" убивает потенциальную тачку наглухо(теоретически), а сталобыть бот "стучаццо" больше не будет
5 марта с утречка после пива они его создали, ~месяц на кодинг, месяца 2 они его ловили, еще раньше где-то о нем слышали
А статейку застрочили только через полгода, когда басня про ZBot стала не актуальна
В итоге: всех-нах-победиле %))
Ну вот, бредисловие вступительное было, а теперь и к самой сути:
Автор зевса создал интерфейс(IPipe
) на основе пайпов для общения билдера с ботомБот - это "сервер"
Билдер - это "клиент"
Information как раз функу IPipe и юзает для отображения инфы о боте и его удаления в "тест-режиме"
Код интерфейса пайпа
Код:
#define PIPE_PREFIX L"\\\\.\\pipe\\"
#define PIPE_NAME L"_AVIRA_2109"
LPVOID HeapAlloc(size_t dwByte)
{
return ::HeapAlloc(hHeap, HEAP_ZERO_MEMORY, dwByte+4);
}// end « HeapAlloc »
void HeapFree(LPVOID lpMem)
{
if(lpMem) ::HeapFree(hHeap, NULL, lpMem);
}// end « HeapFree »
/**
* Parameter: cmd
* 0x01 - VersionBot
* 0x02 - NameBot
* 0x03 - RemoveBot
* 0x04 - CurrentProcessIdLoader
* 0x05 - [...]
* 0x06 - [...]
* 0x07 - [...]
* 0x08 - [...]
* 0x09 - [...]
* 0x0A - [...]
* 0x0B - PathLoader
* 0x0C - PathConfig
* 0x0D - PathLog
* 0x0E - %)))
*/
DWORD IPipe(DWORD cmd, LPDWORD data, LPDWORD size)
{
HANDLE hPipe;
LPVOID Buffer;
DWORD ret = -1;
WCHAR PipeName[sizeof PIPE_PREFIX+sizeof PIPE_NAME];
lstrcpyW(PipeName, PIPE_PREFIX);
lstrcpyW(PipeName+sizeof PIPE_PREFIX/2-1, PIPE_NAME);
bool skip=1;
while(TRUE)
{
hPipe = CreateFileW(PipeName, GENERIC_READ|GENERIC_WRITE,
FILE_SHARE_WRITE|FILE_SHARE_READ, NULL, OPEN_EXISTING, 0, NULL);
if(hPipe != INVALID_HANDLE_VALUE) break;
if(!skip) return ret;
WaitNamedPipeW(PipeName, NMPWAIT_WAIT_FOREVER);
skip=0;
}
DWORD r = PIPE_READMODE_MESSAGE;
DWORD sz = 0;
if(SetNamedPipeHandleState(hPipe, &r, NULL, NULL)
&& WriteFile(hPipe, &cmd, 4, &r, 0)
&& WriteFile(hPipe, &sz, 4, &r, 0)
&& WriteFile(hPipe, NULL, sz, &r, 0)
&& ReadFile(hPipe, &ret, 4, &r, 0) && r == 4)
{
sz=0;
if(ReadFile(hPipe, &sz, 4, &r, 0) && r == 4)
{
if(sz > 0)
{
Buffer = HeapAlloc(sz);
if(Buffer && ReadFile(hPipe, Buffer, sz, &r, 0) && sz == r)
{
if(data && size)
{
*data = (DWORD)Buffer;
*size = sz;
}
else
{
HeapFree(Buffer);
}
}
else
{
ret = -1;
HeapFree(Buffer);
}
}
}
else
{
ret = -1;
}
}
CloseHandle(hPipe);
return ret;
}// end « IPipe »Команда 0x01(VersionBot) возвращает dword версии бота, которая жестко вшивается как константа в бота
и то, что мы видим в окне "Spyware status on this system"
Example: Version: 1.1.1.1
Команда 0x02(NameBot) возвращает строку с именем бота которую, пишем в конфиге(config.txt)
entry "StaticConfig"
botnet "ZBot"
end
то, что мы видим в окне "Spyware status on this system"
Example: Botnet: ZBot или Botnet: -- default –
Команда 0x03(RemoveBot) деинициализирует бот + происходит киляние файлов sdra64.exe, local.ds, user.ds
Эти действия происходят при нажатии на кнопку "Remove spyware from this system"
Команды 0x0B, 0x0C и 0x0D возвращают строки с путями и именами файлов sdra64.exe, local.ds, user.ds
то, что мы видим в окне "Spyware status on this system"
Example:
Loader: C:\WINDOWS\system32\sdra64.exe
Config: C:\WINDOWS\system32\lowsec\local.ds
Log: C:\WINDOWS\system32\lowsec\user.ds
ЗЫ: хз. может потом, еще че-нить из "исходников" сюда выложу..
