Новые веяния в бэкдорах

Я не хвалюсь тем, чего у меня нет, - сказал он,
- и не выдаю себя за знатока морского дела и судоходства

Д.Ф.Купер

Если не все, то многие встречались с бэкдорами и троянскими конями. Сейчас
атрибутом почти каждого троянского коня стала расширенная функциональность. И
если раньше, когда в основном были распространены операционные системы
Windows 9x, было достаточно просто скрыть процесс от глаз пользователя, то
сейчас это стало достаточно сложно. В последнее время широкое распространение
получили операционные системы линейки Windows NT. Данные системы отличаются
гораздо болеё серьёзной защитой , отличающейся от защиты Windows 9x на порядки. Большинство пользователей считает, что от зоркого ока Task Managera не
спрячется ни один процесс. Но это истина лишь отчасти, возможен перехват
системной функции, которую использует Task Manager. Это позволит подменить
её результаты, например убрать сведения об одном из процессов. Но и это не
всё, возможно инжектирование кода в другой процесс. Данная техника убивает
двух зайцев одним ударом. Давайте разберёмся с этой техникой поподробнее,
помимо сокрытия процесса (по сути, как такового процесса и нет вовсе) данная
техника позволяет обойти брандмауэр. Каким образом? Достаточно инжектировать
код в процесс, для которого созданы политики безопасности и воспользоваться
данными политиками. Вот например, для Internet Explorer разрешены порты,
где-то в районе 30000 тысяч. Если в него инжектироваться и открыть порт
скажем 26384, то firewall покорно промолчит. Но как быть если Internet Explorer
не запущен? Не ждать же нам, пока его запустят. Поэтому мы инжектируем наш код
в процесс EXPLORER.EXE и откроем 20 порт, этот порт для данного процесса
разрешён и зарегистрирован как ftp-data. Это канал данных для протокола передачи
файлов. Теперь давайте перейдём к практическим аспектам, давайте определимся,
как мы будем инжектировать код в наш процесс. Я это сделал при помощи выделения
памяти в адресном пространстве EXPLORER.EXE и создания удалённого потока.
Первое, что нужно сделать для того, чтобы инжектировать код в процесс это
открыть наш процесс. А открывать мы его будем функцие WIN API
OpenProcess. Данной функции в качестве параметра передается ПИД (PID) открываемого процесса,
идентификатор. Чтобы узнать ПИД процесса существует несколько методов:

1) С помощью библиотеки Process Status Helper (PSAPI)
2) С помощью ToolHelp32 API
3) С помощью недокументированной функции ZwQuerySystemInformation
4) Через счетчики производительности
5) С использованием интерфейсов Windows Management Instrumentation

Task Manager получает сведения о процессах от функции
ZwQuerySystemInformation. Мы же будем использовать документированные функции ToolHelp32
API. Для получения ПИДа EXPLORER.EXE нам нужно вначале сделать снимок системы, и
после этого перебирать процессы (подобно тому, как это делается с файлами при
помощи функций FindFirstFile и FindNextFile).

Рассмотрим, как это делается на примере функции на ассемблере:

Здесь и далее в тексте используется FLAT ASSEMBLER (fasm 1.57), для компиляции
достаточно будет вставить код в его редактор и нажать комбинацию клавиш CTRL+F9.

Далее, после получения ПИДа процесса нужно открыть его, выделить в нём память,
записать в память код и передать на него управление. Рихтер в своей книге описал
этот метод достаточно подробно, но он передавал в чужое
адресное пространство не код, а имя библиотеки и загружал её LoadLibrary. Но этот метод нам не
подходит по 2-м причинам:

1) Необходимость 2-х файлов *.exe и *.dll, что не очень удобно (можно было бы конечно их склеить а потом "откусить" *.dll)

2) В адресном пространстве была бы видна неизвестная *.dll , а сейчас
filrewall'ы этого очень не любят.

Теперь рассмотрим подпрограмму инжектирования кода в
EXPLORER.EXE:

Но у Рихтера после инжектирования *.dll не возникало никаких проблем,
потому что в *.dll содержится таблица перемещаемых элементов и все переходы по
ней правятся и работают. А нам придется создать переносимый код, почти как у
вируса. Но в отличии от вируса мы можем позволить себе просто сохранить в нашем
коде адреса необходимых функций. Потому как они перенастраиваются после каждого
запуска программы (загрузчиком), в разделе импорта.

Рассмотрим код, который отвечает за сохранение адресов функций WIN
API:

Теперь перейдём к реализации самого инжектируемого кода, он создаётся
следующим образом. Вначале доступ к всем используемым данным перенастраивается,
через дельта смещение. Сами WIN API функции будут вызываться следующим образом:

mov eax, Адрес_функции
call eax

Сам алгоритм бэкдора следующий: инициализируем сокеты, создаём сокет,
привязываем его к 20 порту, после этого ждём соединения. Когда соединились
создаётся процесс CMD.EXE с перенаправленным вводом и выводом на сокет, после
завершения процесса закрываем соединение и всё повторяем заново. Это для того,
чтобы наш бэкдор не получился одноразовым.

Рассмотрим инжектируемый код:

Но, как же код запустится после перезагрузки или после крушения
EXPLORER.EXE? Здесь, увы, я пока что новинками поделиться не могу, всё делается через классику
жанра - запись в реестре в ключик автозапуска.

Рассмотрим функцию инфицирования системы:

Нужно заметить, что данный бэкдор на некоторых версиях Windows 2000 не работает,
по всей видимости из-за перенаправления ввода и вывода на сокет.

Далее идёт полный листинг троянского коня, которого достаточно сложно
обнаружить.

;%%%%%%%%%%%%%%%%%%%%%%%;
; WIN(XP/2k3).BACKDOOR.ABYRVALG V. 0.1 
; (x) 2005 СЛОН http://sl0n.dzena.net ;

; (+) Не виден в списке задач ;
; (+) Обходит брандмауэры ;
; (+) Прописывается в регистре и поселяется в директории Windows ;
; (+) Открывает CMD.EXE на 20 порту из процесса EXPLORER.EXE ;
;%%%%%%%%%%%%%%%%%%%%%%%;

Программы данного класса, получили широкое распространение не только у хакеров,
но и у системных администраторов, которые незримо следят за нерадивыми
пользователями. Так же, некоторые разновидности программ этого рода встречаются
в Интернет кафе. Поэтому, чтобы не попасться под "горячую" руку вашем системному
администратору, обновляйте как можно чаще ваши firewall и антивирусы.