Делаем бота саморазмножающимся. В этой статье я расскажу, как на халяву получить инсталлы вашего трояна\бота. Как то, не очень давно, я прочитал на сайте Касперского (просто кладезь полезной информации (я не шучу)), про вирус Parite.b (с этим вирусом у меня связанны неприятные воспоминания, но не буду об этом). Чем меня заинтересовала эта информация? Тем, что было написано, что широким распространением этот вирус обязан червям. Как так? Оказывается, что вирус заражает черви, и они переносят его по всей сети. Появилась идея - почему бы не заразить черви не бесполезным вирусом, а полезным софтом? Сказано-сделано - берем любой джойнер, и склеиваем червь с трояном\ботом. И обламываемся . Почему? Потому что джойнеры извлекают из запущенного файла чистый червь (без трояна) и троян. Далее червь распространяется по компам без нашей полезной нагрузки. Как же быть? И тут на помощь приходит замечательная программа inPEct! Что она делает? Она позволяет внедрить в файл-жертву(червь) полезный груз (троян). При запуске, она не распаковывает оба файла в какую-нибудь папку, а распаковывает только полезный груз. Файл-жертва запускается сам (без кидания в Temp\Windir\Systemdir). То есть червь так и остается вместе с внедренным трояном. Естественно, когда червь копирует себя по сети, на флешку, и т.д., он копируется вместе с внедренным трояном. Черви можно найти на зараженных сайтах. Например на сайтах из этого списка - www.malwaredomainlist.com Итак, на хирургическом столе - червь Radminer троян PoisonIvy Все очень просто - открываем inPEct, в качестве жертвы выбираем червь, в качестве трояна - PoisonIvy. Убираем галку Enable "smart" feature. Нажимаем "inPEct!". В папке Output появился файл. Далее кидаем этот файл на дедики, либо распространяем другими способами. После этого червь начнет самораспространяться, и вы увидите новых ботов в клиенте PI. Червь не очень хорош, я привел его только для примера. Самораспространяется слабо, но все же результаты есть! Конечно же, вместо inPEct, вы можете применить любой другой инфектор (они встречаются на сайтах вирмейкеров). Но рекомендую использовать виртуалку (инфекторы часто заражены сами). Файлы к статье - Radminer и inPEct - Код: http://www.sendspace.com/file/a2eqf8 Пасс - exploit.in Без криптовки файлов у вас ничего не получится! Нужно закриптовать бот и червь хотя бы пабликом. ВНИМАНИЕ! Антивирусы часто пишут то, что не соответствует действительности! Например, они пишут Email-Worm(то есть червь), а на самом деле, это спам-бот. Он не саморазмножается, а просто спамит по заданию хозяина! Не обожгитесь на этом! © haxdef для exploit.in
Очень понравилась статья, вобщем как обычно все твои статьи на высоте)! Несколько вопросов: 1.Если склею 2 файла джойнером после склейки файл можно криптовать или я его тока сломаю? 2.Если я таким образом привенчу к своему боту, трояну и т.д несколько червей с помощью inPEct и джойнера, буду приклеивать червей пока вес файла не будет 600кб можно так зделать или не желательно?вить эфективность будет выше так как много разных червей и распростроняются они по разному. 3.не совсем по теме, склееные файлы или джойнером или криптованные можно сжимать UPX или это следует делать до склейки и криптовки по отдельности каждый?
все зависит от криптера и джойнера, в идеале - сначала крипуем троя, склеиваем, криптуем склеенный файл. Но часто файлы бьются. Особенно при работе с пабликом. не пробовал этот способ, наверное можно. тут так же все зависит от криптера, лучше сжимать вообще чистые файлы, до крипта/склейки. Так же можно комбинировать. Тут дело опыта - главное.
Не внимательность Щас буду ставить эксперементы, попробую для начало привентить 3 разных червя. за разъяснения сенкс.
+1 Ибо радминер сам по себе хорош,что начинает сканить и брутить радмины. а потом появляется палевность в разделе с: с названием log.txt Было бы здорово если можно было бы найти червя похожий на parite ибо это штука зловещная, с которым я неоднократно марался. или какого-нибудь червя схожим функционалом,а именно: находит exe файлы и модифицирует их путем того что он склеивает еще и вредоносный exe файл.С уважением!
onthar, спасибо,у меня вопросик,если parite склеить с данлоадером при помощи inpect то работать должен?
Подскажите инжектор какйнибуд на подобие InPect Одскажите инжектор какйнибуд на подобие InPect, а то у меня не работает, не идет распространения, и даже бот не отстукивает
