- Автор темы
- Добавить закладку
- #21
1. По админке - в ближайшие дни (как немного освобожусь) качну какие есть и посмотрю код. На вид обе неплохие, но лично я бы брал от 2к8.
2. По боту. Давайте с чего-то начнем, например сначала опишем логику работы бота, а потом попробуем это накодить. Сразу уточняю - я никогда не кодил малварь и не особо пользовался ею, опыт у меня тут минимальный, поэтому вероятно, что в идее будут какие-то недочеты и глупости. Просьба не писать в теме вида "ты полный дурак, кто же так пишет", критиковать, только с указанием ошибок - вида "WinExec палится и не работает в таком-то случае, бери ShellExecute" (ну и т.д.). Короче говоря - если код кривой, то пишите, пожалуйста, критику и пояснения, а не просто ругань и оскорбления.
Итак, бот запускается на компьютере. Для начала, я думаю, не лишним будет проверить, не на зараженную машину ли мы попали (хотя в случае нерезидента это мало актуально может быть, но хз даже..). Можно проверить через мьютекс.
Что тут делать, даже не знаю - можно уведомить админку, что лоады в 100500 рук, можно самоудалится, или убить копию.
Далее, следует проверить, не на виртуалку/машину авера/реверсера мы попали. Каких-то зиродей техник по детекту виртуалок я не знаю, поэтому можно посмотреть, например список процессов/заголовки окон/сами ехе файлы (поискать среди них wireshark, olly, ida и т.п.). Да, примитивизм, но и то годится. Заметив интересные программы, можно не удалятся (ибо авер заподозрит что-то), а перейти в режим отстука на какие-то совершенно левые адреса (генерировать урл или взять какой-то первый попавшийся сайт, пусть ищут админку). Но не брать гугл или адоб, а то аверы поймут, что тут что-то не так. Впрочем, опять же повторюсь, это сугубо мысли, не подтвержденные практикой.
Далее, можно скопировать себя куда-то подальше, например в %temp%, а исходный файл удалить (опять же, имеет ли в этом смысл при запуске нерезидента - не знаю). Я написал немного кода, алгоритм - бот запускает себя, смотрит где он. Если не в темпе - копирует себя в темп, запускает скопированный файл и передает ему два параметра - Del путь к себе. Копия при запуске смотрит, не передали ли ей параметры, если да - то удаляет исходный файл.
Далее, собственно отстук в админку. Таймаут можно брать минут 10, или задавать его в админке (тогда надо хранить в переменной, которая меняется в зависимости, что ответила админка). Скачивание не должно быть через UrlDownloadToFile, ибо как мне известно, это палится всеми аверами. Лучше использовать вининет/winhttp(его мало кто использует, если кто будет кодить, имейте ввиду, что поддерживается только юникод). Ну или сокеты, если кто-то грамотный напишет на них безглючное скачивание файла. Лично я выбрал бы уже оттестированные и проверенные вининет/винхттп.
Хотя вот вижу, что в вининет есть баги (https://xss.pro/index.php?topic=22621 ). Впрочем, для нерезидента мб это не критично (пробовать 2 попытки подключения, а кеширование картинки не страшно, ибо грузим только 1 раз).
Потом, копирование и запуск скачанного файла - какую функцию взять, даже не знаю, можно CreateProcess, или ShellExecute, или без разницы. Бот удаляет себя.
2. По боту. Давайте с чего-то начнем, например сначала опишем логику работы бота, а потом попробуем это накодить. Сразу уточняю - я никогда не кодил малварь и не особо пользовался ею, опыт у меня тут минимальный, поэтому вероятно, что в идее будут какие-то недочеты и глупости. Просьба не писать в теме вида "ты полный дурак, кто же так пишет", критиковать, только с указанием ошибок - вида "WinExec палится и не работает в таком-то случае, бери ShellExecute" (ну и т.д.). Короче говоря - если код кривой, то пишите, пожалуйста, критику и пояснения, а не просто ругань и оскорбления.
Итак, бот запускается на компьютере. Для начала, я думаю, не лишним будет проверить, не на зараженную машину ли мы попали (хотя в случае нерезидента это мало актуально может быть, но хз даже..). Можно проверить через мьютекс.
Код:
.data
mutex db "GoogleUpdater",0
invoke CreateMutex,NULL,0,addr mutex;создаем мьютекс
invoke GetLastError;смотрим, была ли ошибка
cmp eax,ERROR_ALREADY_EXISTS;если да - значит уже такой же бот запущен
je copy_launched;сообщаем в админку или удаляемся или хзДалее, следует проверить, не на виртуалку/машину авера/реверсера мы попали. Каких-то зиродей техник по детекту виртуалок я не знаю, поэтому можно посмотреть, например список процессов/заголовки окон/сами ехе файлы (поискать среди них wireshark, olly, ida и т.п.). Да, примитивизм, но и то годится. Заметив интересные программы, можно не удалятся (ибо авер заподозрит что-то), а перейти в режим отстука на какие-то совершенно левые адреса (генерировать урл или взять какой-то первый попавшийся сайт, пусть ищут админку). Но не брать гугл или адоб, а то аверы поймут, что тут что-то не так. Впрочем, опять же повторюсь, это сугубо мысли, не подтвержденные практикой.
Далее, можно скопировать себя куда-то подальше, например в %temp%, а исходный файл удалить (опять же, имеет ли в этом смысл при запуске нерезидента - не знаю). Я написал немного кода, алгоритм - бот запускает себя, смотрит где он. Если не в темпе - копирует себя в темп, запускает скопированный файл и передает ему два параметра - Del путь к себе. Копия при запуске смотрит, не передали ли ей параметры, если да - то удаляет исходный файл.
Далее, собственно отстук в админку. Таймаут можно брать минут 10, или задавать его в админке (тогда надо хранить в переменной, которая меняется в зависимости, что ответила админка). Скачивание не должно быть через UrlDownloadToFile, ибо как мне известно, это палится всеми аверами. Лучше использовать вининет/winhttp(его мало кто использует, если кто будет кодить, имейте ввиду, что поддерживается только юникод). Ну или сокеты, если кто-то грамотный напишет на них безглючное скачивание файла. Лично я выбрал бы уже оттестированные и проверенные вининет/винхттп.
Хотя вот вижу, что в вининет есть баги (https://xss.pro/index.php?topic=22621 ). Впрочем, для нерезидента мб это не критично (пробовать 2 попытки подключения, а кеширование картинки не страшно, ибо грузим только 1 раз).
Потом, копирование и запуск скачанного файла - какую функцию взять, даже не знаю, можно CreateProcess, или ShellExecute, или без разницы. Бот удаляет себя.
