ساخت تروجان و ویروس با ویژوال بیسیک

بعد از حدود 2 سال دارم آپ میکنم !!

آآآآآآآآآ چقدر گرد و خاک! واو اون عکبوت روووووووو..... هلــــــــــــــــــــــــــــــپ !! یکی بیاد کمکم کنه این جارو تروتمیز کنم

امیدوارم هنوز اطلاعاتم به روز باشه !!!

فقط آقایون/خانومایی که تشریف میارین اینجا انتظار نداشته باشین اینجانب خیلی حرفه ای به موضوع نگاه کنم،صرفاٌ در حد مهدکودک میتونم بهتون کمک کنم L چون اطلاعاتمون در زمینه پروگرامینگ {غرب زده !!(بله ؟!!!)} وری بسیار کمه،اهم.... بلــــــــــــه !

خــــــــــــــــــــــب....

اما حالا بریم سر این آپ

البته قبل از شروع باید عرض کنم چون به قوانین کپی رایت (حق چاپ و نشر اطلاعات) احترام میگذارم لذا از دوستان عزیزی که مستقیم یا غیر مستقیم به من در تهیه این مطالب کمک کردند تشکر میکنم.

علیرضا نظر آهاری(برنامه نویس و متخصص تست نفوذ) عضو گروه امنیتی آشیانه

حرکت سرخ (Red Move)

برو بکس سایت ایرانویج

و .......

با وجود هزاران نرم افزار جاسوسی درسراسر دنیا که هر روز اطلاعات افراد را می دزدند تصمیم گرفتم که طی 2 یا 3 آپ در رابطه با آشنایی با این نرم افزارها بنویسم تا علاقمندان و برنامه نویسان با این دسته از نرم افزارها بیشتر آشنا شوند و راه های بهتر و موثرتری را برای مقابله با آن ها پیدا کنند.

در این مطالب سعی می کنم با مثال های مختلف طرز کار این برنامه ها را توضیح دهم،البته مطالبی که گفته می شود،مبانی و پایه برنامه های جاسوسی می باشند و هکرها و برنامه نویسان هر روز روش های جدید و پیچیدتری برای بهتر کردن برنامه های خود پیدا می کنند.در این مطالب فرض شده است اطلاعات شما ازکامپیوتر،اینترنت و برنامه نویسی در حد متوسط و بالاتر است.همچنین مثال ها به زبان Visual Basic می باشند،در داخل مثال ها توضیحات کافی داده شده است.

(با توجه به استفاده از برنامه ویژوال بیسیک 6 ،سیستم عامل را ویندوزXP فرض میکنیم)

قسمت اول (آپ اول) شامل :

معرفی Spyware

1:ویژگی های Spywareها

2:نصب خود روی کامپیوتر هدف

3:دستکاری ویندوز برای اجرای فایل سرور هنگام راه اندازی سیستم عامل

قسمت دوم (آپ دوم) شامل:

1:جمع آوری اطلاعات (سرقت اطلاعات)

2:روش های جمع آوری (سرقت) اطلاعات به همراه روش های مقابله با سرقت اطلاعات

قسمت سوم (آپ سوم) شامل:

1:نحوه فرستادن اطلاعات جمع آوری شده توسط Spyware

2:هنرمهندسی اجتماعی (Social engineering) به انضمام یک کتاب الکترونیکی (EBook) نوشته شده توسط گروه آشیانه درباره همین موضوع

Spyware

خب میدونین که چی هست ؟! نمیدونینن؟ باشه مجبوریم بگیم چی هست دیگه …

اول از همه باید بگم بیشتر جوجه هکرهای محترم (اینجوری نگاه نکن خودمم یکیشونم !!) بیشتر برای اذیت کردن کلاینت ها از این نرم افزارهای مسخره استفاده میکنند

البته لازم به ذکر است که همین نرم افزارهای نسبتاً بی مزه کلی کار میتونن انجام بدن که به نظر من مهمترینش لاگ کردنUser + password حساب های بانکی میباشد !!((ابته تصور نکنین که یک شبه میتونین میلیاردر شین،چون تو ایران، ملت ترجیح میدن واسه انجام کارهایی که با کامپیوتر کمتر از 2 دقیقه وقت میبره 2 ساعت تو صف بانک وایستن ولی دست به کیبورد نزنن!!))

خب حالا بریم سر بحث اصلیمون((مگه تا حالا کجا بودیم ؟!!))

تعریف کلی: به نرم افزارهای جاسوس که اطلاعاتی را از کامپیوتر هدف به صورت مخفیانه جمع آوری می کنند و به مهاجم تحویل میدهند Spyware میگویند.

حالا چه اطلاعاتی؟! این اطلاعات میتونه هر چیزی باشه برای مثال : نوع سیستم عامل،یوزرهای روی سیستم،IP سیستم ،آدرس ایمیل ها وپسوردهاشون،اطلاعات سخت افزاری و هر چی که کاربر میتونه ببینه !!!!

البته Spywareها رو نباید با Trojanها اشتباه گرفت ! فیلم Troy رو که دیدین ؟! خب باید عرض کنم که این تروجان ریشه تو تاریخ داره !! قضیه همون اسب اس که به عنوان هدیه میدن به مردم تروا بعد سربازهای دشمن از تو اسب چوبی میریزن تو شهر ......... (کلاس تاریخ راه انداختی ؟!) بلــــــــــــه ؟!!!! داشتم میگفتم،تروجان ها دریچه ایی(بک دور) را برای هکرهای محترم (ارادتمندیم!) تو سیستم قربانی (تارگت*) باز میکنند.البته بسیاری از رفتارهای این دو دسته از نرم افزارها شبیه به هم می باشد. حالا کی لاگر (Key Loger) را هم به این لیست اضافه کنید (سورس کد یک کیلاگر نسبتاً قوی رو تو پست های قبلی گذاشتم)

Spywareها دارای یک سرور(همون فایلی که به تارگت بدبخت میدین)میباشند که تمامی این کارها را نجام میدهد(واو چه کارهای مهمی !!) در حقیقت کل بحثمون تو این فایل جمع میشه ،معمولاً حجمش بیشتر از 40 کیلوبایت نیست که البته به برنامه نویسش بستگی داره. (اگه بدن من بنویسم بیشتر از 2 مگابایت میشه!!) بیشتر Spywareها دارای یک ویرایشگر((Editor نیز هستند که تنظیمات مورد نظر شما را روی سرور ثبت میکنند،تنظیماتی مانند:آدرس ایمیل مهاجم،دستکاری قسمت های مختلف ویندوز مثل از کار انداختن فایروال،رجیستری ویندوز،پیغام های قلابی و .... البته این ادیتور را برای Spyware مورد نظرمون یک برنامه نویس متبحر مینویسه که برای عموم مردم اعم از برنامه نویس یا کاربر عادی کامپیوترمنتشر میشه ! اما شما بعد ازاین مقاله خودتون سعی میکنین که یک Spyware بنویسین پس ادیتوری در کار نیست. هرگونه تنظیماتی که بخواین تو سورس کد برنامه وارد میکنید و کدها را کامپایل میکنید،تقریباً میشه گفت یه Spyware خصوصی مینویسین !! خب حالا بریم واسه بررسی سرور....

ویژگی های برنامه های Spyware

بارزترین مشخصه ی این برنامه ها مخفی بودن آنها از دید کاربر است.

Spywareها معمولاً 3 کار عمده انجام می دهند:

1-نصب بی سر و صدای(بدون اجازه) خود روی سیستم عامل.

2-دزدیدن اطلاعات کاربر.

3-ثبت و فرستادن اطلاعات دزدیده شده به مهاجم.(مثلاً در یک فایل و فرستادن از طریق ایمیل)

هر برنامه ای که بتونه این 3 کار را بهتر و بدون جلب توجه کاربر انجام دهد،جاسوس بهتری خواهد بود.برای انجام این کارها می توان ویژگی هایی از قبیل پیغام خطای تقلبی ((Fake Message در موقع اجرا،مخفی بودن در Task Manager و Msconfig،رد شدن از Firewall،از کار انداختن Regedit و .... را به آنها اضافه کرد. (البته الان این کارها چندان جواب نمیده چون کاربرهای محترم آنچنان حرفه ای تشریف دارن که سه سوته متوجه میشن !!)

1-نصب بی سر و صدا (بدون اجازه) خود روی سیستم عامل

اولین کاری که فایل سرور باید انجام دهد نصب خود روی سیستم قربانی است، طوری که که فایل همواره در سیستم قربانی در حال اجرا باشد تا بتواند اطلاعات قربانی را جمع آوری کند.

مراحل نصب:

1-کپی کردن خود در سیستم قربانی.

2-دستکاری سیستم عامل برای اجرای فایل هنگام راه اندازی سیستم(ایجاد StartUp ).

1-کپی کردن خود در سیستم قربانی.

معمولاً پوشه های ویندوز یا سیستم عامل جای مناسبی برای جاخوش کردن سرور هستند.با استفاده از توابع Api میتوانیم آدرس این پوشه ها را بدست آوریم (مثال 1). البته باید آدرس فایل سرور را که کاربر ان را اجرا کرده است را نیز بدست بیاوریم(مثال2).بعد از بدست آوردن آدرس فایل سرور و پوشه سیستم عامل میتوانیم فایل سرور را با هر نامی که میخواهیم در پوشه سیستم کپی کنیم،مثال 3 این کار را انجام می دهد.

2-دستکاری سیستم عامل برای اجرای فایل سرور هنگام راه اندازی سیستم(ایجاد StartUp ).

راه های زیادی برای ایجاد StartUp وجود دارد که معمول ترین آن ها ایجاد یک کلید در رجیستری میباشد. (روش های مختلف دیگری برای این کار وجود دارد که در ضمیمه ی شماره 1 مثال های آن آورده شده است)

برخی از مسیر های رجیستری برای این کار عبارتند از:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunSevices]

برای دست یابی به این مسیر ها در منوی Start بر روی Run کلیک کرده و کلمه ی Regedit را تایپ کرده و Enter را فشار دهید.

در پنجره ی سمت چپ یکی از آدرس های بالا مثلاً :

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

را دنبال کنید.

در پنجره ی سمت راست نام و آدرس برخی از فایل هایی را که هم اکنون به هنگام لود شدن ویندوز در کامپیوتر شما اجرا میشود را میبینید.برای امتحان به صورت دستی،در پنجره ی سمت راست،راست کلیک کرده و از منوی New گزینه ی String value را انتخاب کنید و یک نام مانند Paint را به آن بدهید.بعد روی گزینه ی ایجاد شده دابل کلیک کرده و آدرس فایل Paint ویندوز را در قسمت Value Data بنویسید(C:\WINDOWS\system32\mspaint.exe) یا (mspaint.exe) (مقداردهی رشته) و بعد OK کنید.حال اگر سیستم خود را راه اندازی کنید خواهی دید که به هنگام بالا آمدن ویندوز برنامه نقاشی نیز اجرا خواهد شد.

بنا براین اگر فایل سرور بتواند یک چنین تغییری در رجیستری ویندوز اعمال کند و برنامه ای که در کامپیوتر هدف کپی کرده ایم را در هر بار شروع ویندوز اجرا کنیم،عملاً سرور را روی سیستم قربانی نصب کرده ایم.مثال 4 نحوه ی ایجاد کلید در رجیستری را نشان میدهد و مثال 5 تمام مراحل نصب را یک جا دارد.در حقیقت مثال 5 یک فایل سرور ساده است که فقط خود را روی سیستم قربانی نصب میکند اما هیچ چیز را به سرقت نمیبرد و هیچ تغییری در سیستم نمیدهد.

اما مشکل مورد استفاده در مثال 5 این است که کلید ایجاد شده در برنامه MSconfig دیده میشود که بعداً راه حلی برای این مشکل ارائه خواهم داد.

(ضمیمه شماره 2 یک ماژول برای روش های مختلف StartUp است که مطالعه آن را به عهده خودتان میگذارم.)

مثال ها

خب آپ اول تموم شد،آپ طولانی بود خسته نباشید (همچنین!!)

در پایان قسمت اول امیدوارم که استفاده ی کافی برده باشید،شرمنده اگه مطالب تکراری بود. اگه سوالی،مشکلی یا نظری داشتین تو کامنت ها بزارین تو آپ بعدی حتماً جواب خواهم داد،دلمون به همین کامنت ها خوشه،دلمون رو نشکونین،در ضمن اگه دوستان مایلند تبادل لینک کنند لینک وبلاگشون + اسمی که با اون لینکشون کنم رو تو کامنت ها بذارین و .. .... .. قربان همگی..........