Virusi i bratija

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Vreme je da pocnem da pisem malo o tim silnim virusima sa kojima radim svaki dan, mozda nekom bude zanimljivo za citanje.

U zadnje vreme sam se dosta bacio na programiranje, pravim neke programe koji trebaju da nam sluze u Ambulanti.
Prekjuce mi je trebalo nesto informacija o native Windows aplikacijama. To su one aplikacije koje mogu da se izvrsavaju bez upotrebe Win32 podsistema.
Za one koji ne znaju, pri podizanju Windowsa izvrsavaju se exe fajlovi koji uopste ne koriste Win32 funkcije vec iskljucivo funkcije kernela. To su recimo Winlogon.exe i bratija. WinNT arhitektura omogucava ucitavanje razlicitih podsistema pri startovanju Windowsa, ali je MS odradio samo Win32 podsistem onako ljudski, dok su POSIX i OS/2 podsistemi totalno zapostavljeni. Da je ljudski odradjen POSIX podsistem, portovanje Linux aplikacija na Windows bi bilo pitanje minuta, a ne meseci rada.

Elem, da se vratim mom programiranju.
Otvorim Google i ukucam "delphi NtProcessStartup". Svega par rezultata, nema bas puno ljudi koji pisu drajvere ili native aplikacije u Delphiju. Kliknem desno dugme na svaki od linkova i odaberem "Open Link in new tab" (Firefox here). Pocese polako da se otvaraju sajtovi i u jednom momentu mi Firefox ponudi download fajla sa jako simpaticnim imenom - "=" (znak jednako, bez navodnika)...
Skinem fajl i zaboravim na njega... do sinoc...

Ajde rek'o da pogledam sta ima u njemu:
<script language=vbscript>
function rechange(k)
s=Split(k,",")
t=""
For i = 0 To UBound(s)
t=t+Chrw(eval(s(i)))
Next
rechange=t
End Function
t="60,104,116,109,........112,116,62,13,10"
document.write rechange(t)
</script>
Gore sam preskocio jedno 70kb brojki, ali sam ostavio sustinu.

Neko ce da zapita sta je ovo. Evo ovako, gornja funkcija ce da dekodira one silne brojke i da ih uz pomoc document.write prosledi browseru kao dokumenat.
Pregledam malo po netu da li mogu da nadjem neki emulator za skript jezike, nadjoh neki Mozillin JScript interpreter, ali mora da se kompajlira u Visual Studiju... (psovka).
Nista, upalim Lazarus i napisem malo programce koje ce da mi prevede one brojke u citljiv tekst.
Sada, za one koji nisu u toku, skript jezici tipa JScript i VBS mogu bez spoljnih funkcija da dekodiraju Unicode (kod u znak) i ASCII (hex i dec).
Gore je ocigledno bio ASCII dekadni niz, posto nije bilo ni jednog heksadecimalnog broja.
Elem, upotrebim moj programcic i pocnem prevodjenje. Fino, dekodirani dokumenat pocinje cuvenim VML eksploitom za Internet Explorer (MS06-055), pa blok kodiranih podataka, pa nekodiran deo za skidanje jednog EXE fajla sa jednog kineskog sajta, pa opet jos jedan kodirani blok koji se pri dekodiranju pokazao da je u stvari ADODB eksploit (MS06-014).
Skinem program sa linka koji sam malopre dobio posle dekodiranja i posaljem ga na VirusTotal na skeniranje - ni jedan antivirus ga ne prepoznaje.
Nista, predacu slucaj drugarima koji imaju malo vise vremena i znanja...

Nakon par sati mi se javi kolega antnet i kaze da su stringovi u tools.exe citljivi (exe ciji sam link nasao u exploitu).
Kako bre? Pa KAV mi je rekao da je pakovan?
Otvorim i pogledam, kad ono stvarno, vidljive su URL adrese deset fajlova koje ce taj tools.exe da skine.
Skidaj brze bolje te fajlove (nalovili smo 8 od 10, dva su vec sklonili, ili ce tek da ih ubace).

Ja odem na spavanje, a antnet je nastavio da secira fajlove koji su bili XOR kodirani. Malopre sam video da je izanalizirao vec 6 fajlova, i svi do jednog sluze za kradju passworda za World Of Warcraft i neke OnLine pokere.

I tako slucajno ulovim kineske kradljivce WOW naloga, bez da sam ih uopste trazio

E da, zaboravio sam da vam kazem kakve je to veze imao Google, moje potraga za NtCreateProcess i kradljivci naloga:
Jedan od linkova koji mi je Google izbacio je bio prema jednom kineskom forumu, koji je pa zaradjivao pare od pop-upova koje je povlacio sa googlesyndication (zloglasni spamerski sajt koji nema veze sa pravim Googletom), a jedna od reklama je trebala da "uvali" kradljivca.

Gde su se zeznuli?
Pogledajte onaj segment koda koji sam postavio, deklarisali su script kao VBScript (kog moj Firefox i onako ne razume), a upotrebili su JScript funkcije, tako da zbog te greske ovo njaverovatnije ne bi radilo ni na IE-u (necu da proveravam ).
Ziveo Firefox koji nema pojma sta je VBScript, pa mi je ponudio download umesto da proba da interpretira script