[ Pobierz całość w formacie PDF ]
.exe i zostawia w kluczu HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run wpis: Millenium = C:\windows\system\reg66.exe .Jest również jedynym koniem trojańskim, który pozostawia wpis w plikuC:/WINDOWS/ win.ini w sekcji [windows]: run=C:\windows\system\reg66.exe .Usuwając te dwa wpisy, resetując komputer i kasując plik usuwamy go z systemu.SK Silencer 1.01Silencer to najnowszy produkt The SmithKlan.Jest jednym z najmniejszych konitrojańskich mających własnego klienta.Nazwą domyślną serwera jest server.exe(34 304 b), którą można dowolnie zmieniać.Ma on charakterystyczną ikonę czerwony trójkąt równoboczny z białym wykrzyknikiem wewnątrz.Klient jest dwarazy większy (78 336 b) i ma radioaktywną ikonę.Program nie jest zbyt rozbu-156 C:\WINDOWS\Pulpit\Szymon\hakerzy\r02a.doc Rozdział 2.f& Hakowanie systemu 157dowany.Jest to również jedyny backdoor ze standardowym GUI, wyglądającym jakwiększość aplikacji Windows.Współpracuje z Windows 95 i 98.Dysponuje jedyniekilkoma standardowymi opcjami:f& Chat uruchomienie CHATA między serwerem a komputerem włamywacza;f& Send KeyStrokes wysłanie kombinacji klawiszy;f& ICQPassJack zdobycie hasła ICQ;f& Run Application uruchomienie aplikacji na serwerze;f& Send Msg wyświetlenie na serwerze okna dialogowego z dowolnąinformacją;f& Hide Taskbar ukrycie paska zadań;f& Disable Ctrl-Alt-Del wyłączenie kombinacji Ctrl+Alt+Del;f& Ping Pong Virus wyświetlenie na serwerze piłeczki pingpongowejodbijającej się od krawędzi ekranu;f& Reboot resetowanie komputera ofiary;f& Run Screensaver włączenie wygaszacza ekranu;f& Show Shutdown Menu uruchomienie procedury zamknięcia systemu.Sposób usunięcia z systemu:SK Silencer jest wykrywany przez markowe programy antywirusowe.Można usunąćgo ręcznie, gdyż SK Silencer nie ma opcji pozwalającej na zainstalowanie się w Reje-strze Systemowym.Włamywacz musi więc dokonać tego ręcznie (nie istnieje wtedystandardowa procedura i wszystko zależy od jego inwencji).Należy się wystrzegaćplików z ikoną i rozmiarem, jaki miały te przedstawione wyżej.Po odkryciu naswoim dysku opisanego serwera należy uruchomić program regedit.exe i znalezćwpis będący ścieżką dostępu do serwera, a następnie usunąć go, zresetować kom-puter i wykasować z dysku konia trojańskiego.StealthSpyC:\WINDOWS\Pulpit\Szymon\hakerzy\r02a.doc 157 158 Hakerzy.W przeciwieństwie do większości koni trojańskich StealthSpy nie jest anonimowy.Jego twórcą jest człowiek nazwisku Andrei Birjukov.I chociaż programy rosyj-skich twórców należą do czołówki najlepszych, to jednak ten pozostawia wiele dożyczenia (chociaż sam autor zastrzega, że jest to dopiero wersja BETA 3).Tak sięzłożyło, że zdobyłem wersję roboczą, w której istnieje wiele białych plam , a uży-cie niektórych opcji kończy wykonywanie programu poprzez jego wyłączenie.Nie-obce są również komentarze odautorskie pokazywane przez aplikację zamiast ocze-kiwanych funkcji.Mimo tych niedociągnięć należy spodziewać się kolejnego, ale na szczęście niezbyt groznego konia trojańskiego.W wersji BETA 3 składa się onz następujących plików: serwera o nazwie telserv.exe (235 520 b), biblioteki tserv.dll,pliku wsadowego doscmd.bat odpowiedzialnego za wykonywanie komend dosowych,klienta telman.exe (137 216 b), który wymaga biblioteki MSVBVM50.DLL oraz plikuMSWINSCK.OCX.Koń trojański ma następujące (ubogie) funkcje:f& Screenshot (zrzut ekranu);f& Menedżer plików (kopiowanie plików na i z serwera);f& Uruchamianie komend dosowych;f& Zamykanie aplikacji;f& Wyświetlanie na serwerze okienka dialogowego;f& Zresetowanie komputera ofiary.Sposób usunięcia z systemu:StealthSpy nie jest wykrywany przez programy antywirusowe.Usunięcie ręczne jest możliwe, ponieważ StealthSpy nie ma opcji pozwalającej na zainstalowanie siędo Rejestru Systemowego
[ Pobierz całość w formacie PDF ]