книги хакеры / журнал хакер / 081_Optimized

Один из его плюсов то, что наша DLL может быть запущена от процесса System при старте системы. При этом хакер получает полный доступ к системе, но, правда, лишается доступа к шифрованным файлам пользователя (на NTFS). Обойти это ограничение он может с помощью запуска DLL при входе пользователя в систему (с включенной имперсонацией), либо сделав инжект в пользовательский процесс. Также хакеру, вероятно, будет полезно то, что есть возможность определить несколько функций в одной DLL, которые будут вызываться при разных системных событиях, к примеру, при старте системы и при входе пользователя в систему. Итак, для запуска своей DLL нам необходимо создать в Winlogon\Notify раздел с произвольным именем. Обязательными параметрами этого раздела будут являться Asynchronous, DllName, Impersonate и один или несколько параметров, отвечающих за событие , при котором DLL будет загружена. Параметр Asynchronous (REG_DWORD) определяет тип вызова функций из DLL. При значении 0 функции будут вызываться из основного потока процесса winlogon.exe, и загрузка системы не сможет быть продолжена до тех пор, пока функция не вернет управление. При значении 1 функция будет вызвана асинхронно, в отдельном потоке, а, следовательно, она сможет никогда не возвращать управление системе. Параметр DllName определяет путь к загружаемой DLL. Если DLL находится в системной папке, то можно прописать только ее имя. Параметр Impersonate определяет права доступа потока, в котором будет вызвана наша функция. При значении 0 поток получит права системы, а при значении 1 — права пользователя, с которым связано произошедшее событие. Рассмотрим теперь типы событий и имена соответствующих им ключей в реестре.

Logon — событие входа пользователя в систему, его применение целесообразно тогда, когда требуется выполнять действия от имени пользователя. Logoff — выход пользователя из системы.

ScreenSaver — запуск скринсейвера, следует применять тогда, когда нужно выполнять действия, приводящие к большой загрузке системы (а, следовательно, заметные пользователю).

StopScreenSaver — завершение работы скринсейвера.

Shutdown — завершение работы системы, на это событие можно повесить сохранение каких-либо данных.

StartShell — запуск оболочки, происходит при старте explorer.exe. Обрати внимание, это событие не эквивалентно Logon, так как может быть вызвано несколько раз из-за рестарта оболочки при возникающих сбоях.

PostShell — событие, возникающее после запуска оболочки.

Startup — старт системы, наверняка хакер будет использовать именно это событие для загрузки трояна. Следует заметить, функция повешенная на это событие, будет всегда вызываться от имени системы, независимо от значения параметра Impersonate.

Lock — событие блокировки рабочей станции, оно возникает при смене пользователя без выхода из системы, либо при блокировке с помощью клавиш Win+L (Windows XP).

Unlock — разблокировка рабочей станции, либо переключение на другого залогиненного в системе пользователя.

Disconnect — отключение рабочей станции от домена. Reconnect — подключение рабочей станции к домену.

Как видишь, набор событий весьма велик, и на каждое можно повесить свой обработчик. Это позволит отслеживать действия пользователя и выбирать наиболее удачный момент для запуска той или иной функции трояна.

library Run;

uses windows;

procedure ExecuteNotepad(); var

St: TStartupinfo;

Pr: TProcessInformation; begin

ZeroMemory(@St, SizeOf(St)); St.cb := SizeOf(St);

St.lpDesktop := PChar('winsta0\default');

CreateProcess(nil, 'notepad.exe', nil, nil, false, 0, nil, nil, St, Pr); end;

exports ExecuteNotepad;

begin end.

Эта DLL содержит только одну функцию — ExecuteNotepad, которая вешается на событие Logon. Для установки надо скопировать эту DLL в папку \windows\system32 и выполнить REG-файл следующего содержания (думаю, содержимое этого файла будет тебе понятно и без моих комментариев):

Windows Registry Editor Version 5.00

[ H K E Y _ L O C A L _ M A C H I N E \ S O F T W A R E \ M i c r o s o f t \ W i n d o w s NT\CurrentVersion\Winlogon\Notify\Run] "Asynchronous"=dword:00000001

"Impersonate"=dword:00000000

"DllName"="run.dll"

"Logon"="ExecuteNotepad"

писанных. Большинство юзеров даже не подозревают о наличии каких-то там Shell Extention, а те, кто о них знает, вряд ли смогут найти трояна среди большого количества записей, сделанных другими программами. Большим плюсом также является то, что об этом методе антивирусы не знают ниче- го, и при добавлении Extention не выдают предупреждений пользователю.

КОДИНГ 120]

создаем место в файле

создать свою DLL и прописать ее в специальном месте реестра. При вызове соответствующего контекстного меню эта DLL будет загружена и ей будет передано управление. Ничто не помешает хакеру прописать туда троянскую DLL, причем, даже не создавая новые пункты в меню — это, оказывается, не обязательно. Список таких DLL храниться в разделе реестра HKEY_CLASSES_ROOT\Directory\shellex\ContextMenuHandlers. Для каждой DLL там создается свой подраздел, в котором параметром по умолчанию является некоторый уникальный CLSID. Сама DLL приписывается в разделе реестра HKEY_CLASSES_ROOT\CLSID. Допустим, CLSID хакерской DLL будет EBDF1F20-C829-9999-8233-0020AF3E97A9, тогда для ее автозапуска надо создать раздел HKEY_CLAS-SES_ROOT\CLSID\{EBDF1F20-C829- 9999-8233-0020AF3E97A9}\-InprocServer32. Параметром по умолчанию должен являться путь к DLL. Также потребуется создать параметр ThreadingModel и установить его в значение Apartment. Следующий раздел, где хакеру необходимо будет прописать свою DLL, — HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers. Он определяет Shell Extention, выполняемый при выпадении контекстного меню на любом файле.

В итоге, для установки своего расширения контекстного меню, вернее, автозагрузки трояна с его помощью хакеру нужно выполнить REG-файл следующего содержания:

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{EBDF1F20-C829-9999-8233- 0020AF3E97A9}\InprocServer32]

@="trojan.dll"

"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers\CoolTrojan] @="{EBDF1F20-C829-9999-8233-0020AF3E97A9}"

[HKEY_CLASSES_ROOT\Directory\shellex\ContextMenuHandlers\CoolTrojan] @="{EBDF1F20-C829-9999-8233-0020AF3E97A9}"

[сиcтемные службы] В Windows NT помимо пользовательских приложений существуют еще и системные службы. Это программы, которые запускаются до входа пользователя в систему и работают независимо от его действий. Естественно, и здесь найдется местечко для загрузки трояна. Список установленных служб хранится в разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services. Для каждой службы создается свой подраздел в реестре, а в нем следующие ключи: DisplayName — имя службы, отображаемое в MMC, консоли администрирования служб. Чтобы не палить троян, хакеры пишут здесь ÷òî-íè- будь максимально правдоподобное.

ErrorControl — критичность ошибок службы для работы системы. Этот параметр обычно устанавливается в ноль.

ImagePath — путь к исполнимому файлу службы.

ObjectName — имя пользователя, от которого будет запущена служба. Интереснее всего поставить LocalSystem.

Start — тип запуска. Для автозапуска службы при старте системы надо установить 2. Type — тип службы. Этот параметр отличает службы от драйверов. Для организации автозапуска некоторого приложения, здесь следует указать значение 16, что будет означать, что это Win32-служба.

Обобщая вышесказанное можно написать REG-файл, устанавливающий службу.

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CoolTrojan] "Type"=dword:00000010

"Start"=dword:00000002

"ErrorControl"=dword:00000000

"ImagePath"="C:\WINDOWS\system32\trojan.exe"

"DisplayName"="CoolTrojan"

"ObjectName"="LocalSystem"

После копирования файла trojan.exe в папку WINDOWS\system32 и выполнения этого REG-файла троян будет установлен в систему. Запущен он будет после следующей ее перезагрузки.

Этот метод прост в применении и может показать весьма неплохие результаты. Но грамотный администратор всегда проверяет списки установленных служб, и в этом случае, хакера могут обломать.

[подмена и заражение файлов] Одним из наиболее незаметных для пользователя и администратора методов автозагрузки является замена одного из загружаемых файлов своим, с последующим запуском оригинального файла. Для этого хакеру нужно сначала переименовать подменяемый файл, а затем записать вместо него свой. Проще всего это сделать в слу- чае с EXE-файлами, íî, по-моему, интереснее подменять DLL. Это немного сложнее, зато такую подмену обнаружить будет куда тяжелее. Заменяющая DLL должна экспортировать функции с такими же именами, как и оригинальная. Проще всего реализовать подобный экспорт, описав все функции заменяемой DLL как external. Чтобы ты мог лучше понять механизм замены, ниже я приведу пример DLL, которой можно подменить sclgntfy.dll прописанную в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sclgntfy, предварительно переименовав ее в sclgntfi.dll.

[XÀÊÅÐ 09 [81] 05 >

ПАРА МЕСТ В РЕЕСТРЕ?

Довольно интересным параметром реестра в плане автозапуска является AppInit_DLLs в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows. Этот параметр хранит список DLL, подгружаемых к любому процессу, использующему user32.dll (а таких большинство). Хакеру будет очень кстати прописать в этот раздел троянскую DLL, если ему требуется, чтобы она работала одновременно во всех пользовательских процессах в системе. Правда, к программированию такой DLL следует подходить со всей возможной осторожностью, малейшая ошибка в ней может привести к падению всей системы. Еще одно заме- чательное место для автозагрузки — это раздел реестра

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\Control\Sessi on Manager, параметр BootExecute. В нем хранится список приложений выполняемых при старте системы, до запуска сервера подсистемы (csrss.exe). Значением по умолчанию является autocheck autochk *. Использование этого раздела реестра для своих нужд осложнено тем, что на этой стадии загрузки системы недоступны функци Win32 API, и программа должна использовать ТОЛЬКО Native API и не содержать в импортах ничего, кроме ntdll.dll. Стандартными способами неподготовленному че- ловеку написать такую программу на Delphi не выйдет, но если прочесть мою статью «Delphi всемогущий», то и с этим проблем не возникнет.

CODING 122]

[XÀÊÅÐ 09 [81] 05 >