🚀 go-pugleaf

sumar pisze:
> f1j@k_?:
> 
>> nie obraz sie ale pierdoly opowiadasz.
>> Gdy wstrzykujesz kod to po co wstrzykujacy (ja nazywam to 'loader') nie 
>> musi juz nigdzie siedziec. Po prostu uzywasz CreateRemoteThread() no 
>> oczywiscie po przekopiowaniu kodu do procesu docelowego. Problemem (i to 
>> duzym) jest to ze nie beda ci sie zgadac adresy, no chyba ze caly kod 
>> zawrzesz w dllce a "wepchniesz" tylko kod zaladowania dllki. To jest w 
>> sumie proste.
> 
> Czyli mamy trzy pliki:
> 
> loader.exe
> taskmgr.exe
> keylogger.exe
> 
> Po zarażeniu taskmgr.exe przez loader.exe oczywistym jest, że loader.exe
> można już wyrzucić, ale czy wtedy proces keylogger.exe nie będzie widoczny
> w innych programach pokazujących procesy?
> 
przede wszystkim przy podejsciu o jakim ja pisze to mamy
loader.exe, taskmgr.exe keylogger.dll, dll dokleja sie do kazdego 
procesu w systemie (w pamieci)
O Boże! nieco wyobrazni, jest tylko tak jak Ty chcesz zeby bylo.
Jezeli chcesz miec proces keylogger.exe to ok, przechwyc api (tzn 
wepchnij nowa wersje ten fn do kazdego procesu) i ukrywaj ten proces.
W tym wypadku to sa api:
Process32First() Process32Next() ale rowniez EnumProcesses() nie 
pamietam z czego korzysta MZ. Oczywiscie lepiej haczyc nizsze api czyli 
Nt czyli NtQuerySystemInformation()
>>> A windowsowa 'ochrona plików systemowych'
>>> działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.
> 
>> ee :)
> 
> Co to znaczy?
"ee tam" bo co ma jedno do drugiego? to co ty piszesz oznacza 
przeskanowanie czy pliki (tu exe) sa poprawne a nie to co jest w pamieci 
jest poprawne, bo tego juz w zasadzie sie nie da.
> 
>> jak napisalem wczesniej kodu nie trzyma sie w odrebnym procesie jesli ma 
>> to byc cool
> 
> Czyli co? Nawet nie warto zrobić 'sfc /scannow'? Lepiej od razu
> przewiercić dysk i zajebać gnoja?
> 
Rob co chcesz (zapewne Twoj PC) Najlatwiej zrobic format, zainstalowac 
antykeyloggera i siedziec na userze o najzniszych prawach a przelaczac 
sie na administratora tylko gdy musisz. Chociaz jesli ci shit wlazl w 
BIOS... - raczej teoria
>> chyba nie zdajesz sobie z tego sprawy ile danych leci przez net nawet 
>> przy normalnym uzywaniu neta, a jesli bedziesz pchac dane przez web i to 
>> raz na dzien + ew szyfrowac to se mozesz szukac
> 
> Czyli że jak postawię sobie po drodze do podejrzanej stacji dodatkową
> stację ze snifferem i będę analizował ruch z podejrzanej stacji, na
> której wyłączyłem absolutnie wszystko, co mogłoby nawiązywać ten ruch,
> to, jeśli jakiś się pojawi, nie będzie to znaczyło, że jest niepożądany?
> A jak raz na dzień, to bardzo często. Wystarczy analizować ruch przez
> 24 godziny.
> 
ale musisz wiedziec co ma sie pojawic! - to jest problem.

Chyba sie jednak pogubilem, Ty jestes pewnien ze masz keyloggera ale nie 
widzisz czy pytasz teoretycznie? Keylogger w wiekszosci przypadkow to 
jest hak na klawiature, wiec wystarczy lookac na haki, problem w tym ze 
jezeli cos ci wlezie a masz prawa admina to moze ci zrobic burdel i np 
oklamywac cie. Ale nie jest tak zle bo jesli jestes ofiara czegos 
ogolnoswiatowego to antywoiry beda to jakos wykrywac (raczej) i zapewne 
dostaniesz szczepionki wczesniej niz to to ciebie dojdzie. jesli 
natomiast bedzie to dedykowany atak, tzn ktos przygotuje programik a ty 
go odpalisz to zaden avir ci tego nie wykryje poniewaz nie jest raczej w 
stanie spr czy to cos jest dobre czy zle, bo hakow na klawiature 
(niestety) uzywa wiele "dobrych" programow.