🚀 go-pugleaf

sumar ośmielił się napisać:

> Jeśli chodzi o Windows XP, to szukałem ostatnio metody na ukrycie
> procesu z menedżera zadań i wyszło, że nie jest to wcale takie proste.
> Trzeba wstrzykiwać kod w sam taskmgr.exe, ale wtedy pewnie proces
> zobaczysz w innym programie. 

nie obraz sie ale pierdoly opowiadasz.
Gdy wstrzykujesz kod to po co wstrzykujacy (ja nazywam to 'loader') nie 
musi juz nigdzie siedziec. Po prostu uzywasz CreateRemoteThread() no 
oczywiscie po przekopiowaniu kodu do procesu docelowego. Problemem (i to 
duzym) jest to ze nie beda ci sie zgadac adresy, no chyba ze caly kod 
zawrzesz w dllce a "wepchniesz" tylko kod zaladowania dllki. To jest w 
sumie proste.
Najlepiej wstzryknac kod do wszystkich procesow (i ich przyszlych dzieci 
- wow fajnei brzmi), no ale madcodehook radzi sobie swietnie. A ladowac 
sie najlepiej jeszcze przed zalogowaniem, i rowniez w trybie awaryjnym.
Dodatkowo ukrywasz swoje pliki i wpisy w regsach i jestes niewidoczny :)
Oczywiscie mozna jeszcze jakos cie znalzc, jak ja to mowie poprzez 
'analize anomalii' ale to juz nieco inna bajka

Polecam CodeStuff Starter - w nim pokazuje
> od razu ścieżkę do pliku. Inna, skuteczniejsza metoda polegała na
> wstrzyknięciu kodu u źródła, chyba bezpośrednio w jądro, 
żeby dane
> o procesie nie były nigdzie widocznie. 
albo najlepiej DKOM, wtedy sam system nie do konca wie ze taki proces 
jest :)
W tym przypadku plik był w użyciu
> więc to kolejna przeszkoda. A windowsowa 'ochrona plików systemowych'
> działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.
> 
ee :)
> Tak więc co chcę przez to powiedzieć - istnieje spora szansza, że jeśli
> keylogger jest, to będzie widoczny w menedżerze zadań. 
jak napisalem wczesniej kodu nie trzyma sie w odrebnym procesie jesli ma 
to byc cool, i menedzer zadan i wszelkie inne softy (lacznie z avirami) 
sa do wywalenia, no chyba ze nie siedzisz na userze z prawami admina...
Może być pod
> identyczną nazwą, jak jakiś oczywisty proces systemowy, ale wtedy
> będzie znajdował się z innym katalogu.
> 
ee przeciez i tak bedzie widac, ew. MZ nie pozwoli zabic.
> Druga rzecz, ten keylogger musi jakoś wysyłać swoje dzienniki, tak więc
> można przeanalizować ruch sieciowy, ale oczywiście na pierwszym
> komputerze za komputerem zarażonym, z uwagi na możliwość infekcji
> zatajającej informacje o ruchu sieciowym.
> 
chyba nie zdajesz sobie z tego sprawy ile danych leci przez net nawet 
przy normalnym uzywaniu neta, a jesli bedziesz pchac dane przez web i to 
raz na dzien + ew szyfrowac to se mozesz szukac