Клавиатурный шпион +silent install +config

[Wolf]

Собственно нужна помощь в след. деле.
Покопался, нашел нормальный (по моей оценке 8/10) клав. шпион Elite Keylogger. Но ситуация такова, что нужно как нибудь сделать "silent" установку, что бы не привлекать внимание пользователя и где бы была "вшита" настройка отправки отчета по ftp/mail. Даже не эту обязательно, и другая бы погнала, но главное silent+config.

[specteh]

Присоеденяюсь к вопросу, только я немного протестировал "Elite Keylogger" не думаю что это лучший вариант так как сильно уж он заметен в системе, если только ставить на совсем голую машину без какой либо системы защиты.

[LordKostjan]

Через локалку можно?

[Wolf]

Цитата: Сообщение от LordKostjan Через локалку можно?

Думаю, можно и через локалку.Вопрос в том как в эту софтину так установить и вшить в установочный пакет конфигурацию. Читал инфу, есть проги для создания установочных пакетов. Но неплохо бы какой-то мануал именно под эту или подобную прогу.

[Deementor]

Wolf, Первое, что приходит на ум и то, что может помочь в данном вопросе без лишних заморочек, это создание portable версии. Как создать portable версию, тебе поможет запрос в гугле: создание portable программ, а для манипуляций с "автозапуском" и поиска приемлемого способа запуска программы, тебе поможет этот мануал:
Читать

Автор: Михаил Борин

Существует немало способов автозагрузки программ. Ниже приведены несколько вариантов для ознакомления, возможно это поможет вам, если возникнет необходимость найти и удалить какую-либо программу из автозагрузки.

Способы автозагрузки и отключение списков автозагрузки:

Реестр - в реестре автозагрузка представлена в нескольких местах:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run] - программы, которые запускаются при входе в систему.
Данный раздел отвечает за запуск программ для всех пользователей системы.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce] - программы, которые запускаются только один раз при входе пользователя в систему. После этого ключи программ автоматически удаляются из данного раздела реестра. Данный раздел отвечает за запуск программ для всех пользователей системы.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnceEx] - программы, которые запускаются только один раз, когда загружается система. Этот раздел используется при инсталляции программ, например для запуска настроечных модулей.
После этого ключи программ автоматически удаляются из данного раздела реестра. Данный раздел отвечает за запуск программ для всех пользователей системы.

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run] - программы, которые запускаются при входе текущего пользователя в систему

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce] - программы, которые запускаются только один раз при входе текущего пользователя в систему. После этого ключи программ автоматически удаляются из данного раздела реестра.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServices] - программы, которые загружаются при старте системы до входа пользователя в Windows.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServicesOnce] - программы отсюда загружаются только один раз, когда загружается система.

Например, чтобы автоматически запускать Блокнот при входе текущего пользователя, открываем Редактор реестра (regedit.exe), переходим в раздел

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run]
и добавляем следующий ключ:

"NOTEPAD.EXE"="C:\WINDOWS\System32\notepad.exe "

Использование групповой политики для автозапуска: - Откройте оснастку "Групповая политика" (gpedit.msc), перейдите на вкладку "Конфигурация компьютера - Административные шаблоны - Система". В правой части оснастки перейдите на пункт "Запускать указанные программы при входе в систему". По умолчанию эта политика не задана, но вы можете добавить туда программу: включаем политику, нажимаем кнопку "Показать - Добавить", указываем путь к программе, при этом если запускаемая программа находится в папке ..WINDOWS\System32\ то можно указать только название программы, иначе придется указать полный путь к программе. При этом в системном реестре в разделе [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies] создается подраздел \Explorer\Run с ключами добавленных программ. Пример:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer\Run]

"1"="notepad.exe"

"2"="iexplore.exe"

В итоге получаем запуск Блокнота и Internet Explorer для всех пользователей.

Аналогично задается автозапуск для текущих пользователей, в оснастке "Групповая политика" это путь "Конфигурация пользователя - Административные шаблоны - Система", а в реестре раздел

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\Run]

При этом программы из этого списка не отображаются в списке программ, доступных для отключения в msconfig.exe, а также определяются не всеми менеджерами автозагрузки.

Автозапуск из особого списка - Программы могут запускаться и из следующего раздела реестра:

[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]

Параметры:

"load"="programma" - программы, запускаемые до входа пользователя в систему:

"run"="programma" - программы, запускаемые после входа пользователя в систему.

Эти параметры - аналог автозагрузки из Win.ini в Windows 9х. Пример: запускаем Internet Explorer до входа пользователя в систему и Блокнот после входа пользователя в систему:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"load"="iexplore.exe"

"run"="notepad.exe"

Не обрабатывать список автозапуска для старых версий - Настраивается с помощью групповой политики: "Конфигурация компьютера - Административные шаблоны - Система - Не обрабатывать список автозапуска для старых версий", если эту политику включить, то не будут запускаться программы из следующих разделов реестра:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\Run]

При использовании этой политики в реестре создается следующий ключ:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer]
"DisableLocalMachineRun"=dword:00000001

Аналогично устанавливается политика для текущих пользователей: "Конфигурация пользователя - Административные шаблоны - Система - Не обрабатывать список автозапуска для старых версий" с тем отличием, что в реестре эта опция включается в ином месте:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer]

"DisableLocalUserRun"=dword:00000001

Игнорировать списки автозагрузки программ, выполняемых однажды - Настраивается с помощью групповой политики: "Конфигурация компьютера - Административные шаблоны - Система - Не обрабатывать список автозапуска программ, выполняемых однажды", если эту политику включить, то не будут запускаться программы запускаемые из списка

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunOnce]

Если эта политика включена, в реестре создается следующий ключ:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\policies\Explorer]

"DisableLocalMachineRunOnce"=dword:00000001

Так же настраивается политика для текущих пользователей: "Конфигурация пользователя - Административные шаблоны - Система - Не обрабатывать список автозапуска программ, выполняемых однажды" Параметры реестра:

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\policies\Explorer]

"DisableLocalUserRunOnce"=dword:00000001

Назначенные задания - программы могут запускаться с помощью "Мастера планирования заданий". Посмотреть список установленных заданий, а также добавить новое можно так: "Пуск - Все программы - Стандартные - Служебные - Назначенные задания" - при этом откроется папка ..\WINDOWS\Tasks, в которой отображены назначенные задания. Чтобы добавить новое задание, нужно дважды щелкнуть левой кнопкой мыши по значку "Добавить задание". Запуск программ с помощью этого мастера возможен однократно, при входе в Windows, при включении компьютера, а также по расписанию.

Папка "Автозагрузка" - это папка, в которой хранятся ярлыки для программ запускаемых после входа пользователя в систему. Ярлыки в эту папку могут добавляться программами при их установке или пользователем самостоятельно. Существует две папки - общая для всех пользователей и индивидуальная для текущего пользователя. По умолчанию эти папки находятся здесь:

..\Documents and Settings\All Users\Главное меню\Программы \Автозагрузка - это папка, программы из которой будут запускаться для всех пользователей компьютера.

..\Documents and Settings\Username\Главное меню\Программы\Автозагрузка - это папка, программы из которой будут запускаться для текущего пользователя (здесь он назван Username).

Посмотреть, какие программы у вас запускаются таким способом, можно, открыв меню "Пуск - Все программы - Автозагрузка". Если вы создадите в этой папке ярлык для какой-нибудь программы, она будет запускаться автоматически после входа пользователя в систему. Если при входе пользователя в систему удерживать нажатой клавишу "Shift", то программы из папок "Автозагрузка" запускаться не будут.

Смена папки автозагрузки- Windows считывает данные о пути к папке "Автозагрузка" из реестра. Этот путь прописан в следующих разделах:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\User Shell Folders]

"Common Startup"="%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка" - для всех пользователей системы.

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\User Shell Folders]

"Startup"="%USERPROFILE%\Главное меню\Программы\Автозагрузка" - для текущего пользователя.

Сменив путь к папке, мы получим автозагрузку всех программ из указанной папки. Например:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\User Shell Folders]

"Startup"="c:\mystartup" - система загрузит все программы, ярлыки которых находятся в папке c:\mystartup\, при этом папка "Автозагрузка" все так же будет отображаться в меню "Пуск", а если у пользователя в ней ничего не было, то он и не заметит подмены.

Подмена ярлыка для программы из списка автозагрузки - допустим у вас установлен русскоязычный пакет Microsoft Office. Тогда в папке "Автозагрузка" у вас будет находиться ярлык "Быстрый запуск Microsoft Office" - этот ярлык устанавливается туда по умолчанию. Но вовсе не обязательно этот ярлык ссылается именно на "Быстрый запуск Microsoft Office" - вместо него может быть запущена любая другая программа, тем более что на функциональности Office это не скажется.

Добавление программы к программе, запускаемой из списка автозагрузки - модификация предыдущего варианта - одновременно с загрузкой какой-либо программы из списка автозагрузки у вас будет стартовать другая программа - дело в том, что можно "склеить" два исполняемых файла в один и они будут запускаться одновременно. Существуют программы для такой "склейки". Или ярлык может ссылаться на командный файл, из которого и будут запускаться как оригинальная программа из списка, так и добавленные посторонние программы.

Посмотреть список автоматически загружаемых программ можно, открыв программу "Сведения о системе" (откройте "Пуск - Все программы - Стандартные - Служебные - Сведения о системе" или наберите msinfo32.exe в командной строке) и, перейдя в пункт "Программная среда - Автоматически загружаемые программы". Программа "Свойства системы" отображает группы автозагрузки из реестра и папок "Автозагрузка".

Другая программа, позволяющая посмотреть список программ автозагрузки - "Настройка системы" (для запуска наберите msconfig.exe из командной строки). Эта программа кроме просмотра списка автозагрузки предоставляет возможность отключения всех пунктов автозагрузки (вкладка "Общие") или выборочных программ (вкладка "Автозагрузка").

Примечание: Данная выше информация приведена в справочных целях. Она ориентирована в первую очередь на опытных пользователей, способных восстановить систему после ошибочных изменений в реестре. Если вы не уверены, что в случае ошибочных действий сможете восстановить систему, не используйте приведенную информацию в практических целях, ошибочные действия при внесении изменений в реестр могут серьезно повредить систему и даже привести к её переустановке. Начинающие пользователи для добавления программ в список автозагрузки должны использовать только папку "Автозагрузка" или "Мастер назначенных заданий".

Для того, чтобы не парится с реестром, создай в последствии REG-файл, это просто: скопируй код в любой текстовый редактор. Нажми CTRL+S и сохрани файл с любым именем и расширением .reg, заключая оба в кавычки.
Пример:

Цитата: Windows Registry Editor Version 5.00 ;изменение папки автозагрузки [HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\User Shell Folders] "Startup"="c:\mystartup"

[Wolf]

Deementor, мислышки были, но показалось более накладно. Хотя буду пробовать, если что - отпишусь, может кому пригодится...
Есть у кого-то еще идеи?

[fotonbox]

!!! В тексте ниже есть ссылки, но они не выделяются визуально, почему - х\з.

Цитата: Сообщение от Wolf Deementor, мислышки были, но показалось более накладно. Хотя буду пробовать, если что - отпишусь, может кому пригодится... Есть у кого-то еще идеи?

Почему нет? Если такой вариант в плане антивирусов устроит (НОД там кстати ничего не ловит, проверено на двух машинах), то сделаю инсталлер. Сам продукт называется Local Keylogger Pro 3.1, для меня его функционал избыточен, поэтому пользуюсь простейшей самопиской на .net.
Если нет, присылай дистриб и кряк Elite Keylogger или что хочешь.

К вопросу о маскировке - ВСЕ кейлоггеры используют одни и те же хуки одних и тех же апи, за исключением варианта с HID-клавиатурой, но в природе таких не видел. Посему любой софт может показать кто ловит и какие события. Так что прячься из процессов или регистрируйся как сервис - знающий человек найдет. А обычный юзер и слова-то такого не знает )))

Далее, сейчас заведу тем где-нибудь еще, но здесь в порядке флуда - нужен бук MSI. Даже не сам бук, прогнать софтинки вот отсюда на нем. Очень нужна эмуляция клавиши FN. Так что все, у кого есть сабжик (желательно из линейки X, X430 если точно) - пишите, за труды отблагадарю услугой или материально.