Спайварь на C#. Как устроены средства слежения за пользователями

Боль­шая часть того, что мы реали­зуем в этой статье, есть толь­ко в Metasploit и в Cobalt Strike. Пер­вый написан на Ruby, а исходни­ки вто­рого зак­рыты. Дру­гих реали­заций я с ходу и не назову, а ведь хочет­ся иметь корот­кие и акку­рат­ные при­меры кода, которые мож­но без проб­лем добавить в собс­твен­ную прог­рамму.

Впро­чем, у меня получи­лось самос­тоятель­но все реали­зовать на C#, а некото­рые прог­раммы — на C++ и PowerShell.

Скриншот рабочего стола

Пер­вооче­ред­ная задача — скрин­шоты. Нуж­но уви­деть, что откры­то у текуще­го поль­зовате­ля, в каких прог­раммах он работа­ет и чем сей­час занима­ется.

Ка­залось бы, такая три­виаль­ная задача дает­ся в вось­мом клас­се в качес­тве лет­ней домаш­ки на пас­кале, но не тут‑то было. Авто­ры мно­жес­тва реали­заций забыва­ют об одной инте­рес­ной детали. Догадал­ся, о какой?

По­ка дума­ешь, покажу тебе при­мер кода на PowerShell. Даже с его помощью мож­но сде­лать скрин­шот текуще­го рабоче­го сто­ла.

Скрипт работа­ет пре­дель­но прос­то — ими­тиру­ет нажатие кноп­ки Print Screen.

В интерне­те мож­но даже встре­тить вари­ант с авто­мати­чес­кой отправ­кой кар­тинки на веб‑сер­вер.

Ну как, догадал­ся, что не учел автор? У поль­зовате­ля может быть нес­коль­ко монито­ров! Нап­ример, как у меня.

Что, если хит­рый сисад­мин ута­щил к себе нес­коль­ко монито­ров и поль­зует­ся ими в свое удо­воль­ствие? Мы из‑за это­го рис­куем упус­тить важ­ную информа­цию из виду!

Это нак­ладыва­ет некото­рые огра­ниче­ния на выбор наших инс­тру­мен­тов. Если прос­то слать нажатие Print Screen через Windows.Forms, то получа­ем изоб­ражение с текуще­го монито­ра, что нас не устра­ивает.

По­лучить кар­тинку со всех экра­нов мож­но, если обра­тить­ся к свой­ству AllScreens. Оно лежит в System.Windows.Forms.Screen. На выходе я хочу получить один боль­шой скрин­шот, содер­жащий изоб­ражения со всех монито­ров, поэто­му не обой­тись без System.Drawing.