🚀 go-pugleaf

kajus44 nabazgrał:
> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt - wszytkie
> na dysku C przejrzane, logi z cportu też, coś ominąłem?

Ä spräwđziłëś wërsję nőtätnikä? 

Dnia Mon, 4 Feb 2008 10:51:39 +0100, Skrypëk napisał(a):

> kajus44 nabazgrał:
>> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
>> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt - wszytkie
>> na dysku C przejrzane, logi z cportu też, coś ominąłem?
> 
> Ä spräwđziłëś wërsję nőtätnikä?

Nie, ale program hakierski NOTEPAD.EXE nie ma znanych dziur i słabych
punktów tak jak drugie z narzędzi włamywacza komputerowego SENDMAIL.
Proszę o konstruktywne otpowiedzi a nie o trolowanie, które to podpada pod
paragraf 202 KK i grozi nałożeniem PLONKOWNICY wraz z banem na polski
usenet.

On 4 Lut, 10:39, kajus44 <kajus44usu...@wp.pl> wrote:
> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt - wszytkie
> na dysku C przejrzane, logi z cportu też, coś ominąłem?

ja tam sie nie znam ale COŚ powinno go wykryć. jesli nie ufasz
anywirusom itp. to sam posprawdzaj wszystkie procesy, usługi które
działają, nie wiem... kombinuj  :D

gagarin ośmielił się napisać:
> On 4 Lut, 10:39, kajus44 <kajus44usu...@wp.pl> wrote:
>> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
>> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt - wszytkie
>> na dysku C przejrzane, logi z cportu też, coś ominąłem?
> 
> ja tam sie nie znam ale COŚ powinno go wykryć. jesli nie ufasz
> anywirusom itp. to sam posprawdzaj wszystkie procesy, usługi które
> działają, nie wiem... kombinuj  :D
a nie lepiej sprawdzic haki zainstaowane via SetWindowsHookEx() 99% 
keyloggerow uzywa tej fn, noo mozesz miec rowniez false-positive'y 
poniewaz wiele gier tego uzywa...

chyba byl soft AntyKeyLogger ktory monitorowal/blokowal to.

f1j@k_? ośmielił się napisać:

> a nie lepiej sprawdzic haki zainstaowane via SetWindowsHookEx() 99% 
> keyloggerow uzywa tej fn, noo mozesz miec rowniez false-positive'y 
> poniewaz wiele gier tego uzywa...
> 
> chyba byl soft AntyKeyLogger ktory monitorowal/blokowal to.
aa jesli jestes przynajmniej nieco programista to uzyj 
SetWindowsHookEx() z paramem WH_DEBUG albo hacz globalnie samo 
SetWindowsHookEx()

kajus44:

> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt - wszytkie
> na dysku C przejrzane, logi z cportu też, coś ominąłem?

Jeśli chodzi o Windows XP, to szukałem ostatnio metody na ukrycie
procesu z menedżera zadań i wyszło, że nie jest to wcale takie proste.
Trzeba wstrzykiwać kod w sam taskmgr.exe, ale wtedy pewnie proces
zobaczysz w innym programie. Polecam CodeStuff Starter - w nim pokazuje
od razu ścieżkę do pliku. Inna, skuteczniejsza metoda polegała na
wstrzyknięciu kodu u źródła, chyba bezpośrednio w jądro, żeby dane
o procesie nie były nigdzie widocznie. W tym przypadku plik był w użyciu
więc to kolejna przeszkoda. A windowsowa 'ochrona plików systemowych'
działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.

Tak więc co chcę przez to powiedzieć - istnieje spora szansza, że jeśli
keylogger jest, to będzie widoczny w menedżerze zadań. Może być pod
identyczną nazwą, jak jakiś oczywisty proces systemowy, ale wtedy
będzie znajdował się z innym katalogu.

Druga rzecz, ten keylogger musi jakoś wysyłać swoje dzienniki, tak więc
można przeanalizować ruch sieciowy, ale oczywiście na pierwszym
komputerze za komputerem zarażonym, z uwagi na możliwość infekcji
zatajającej informacje o ruchu sieciowym.

-- 
JuSeV

Gadu-Gadu: 2662065

sumar ośmielił się napisać:

> Jeśli chodzi o Windows XP, to szukałem ostatnio metody na ukrycie
> procesu z menedżera zadań i wyszło, że nie jest to wcale takie proste.
> Trzeba wstrzykiwać kod w sam taskmgr.exe, ale wtedy pewnie proces
> zobaczysz w innym programie. 

nie obraz sie ale pierdoly opowiadasz.
Gdy wstrzykujesz kod to po co wstrzykujacy (ja nazywam to 'loader') nie 
musi juz nigdzie siedziec. Po prostu uzywasz CreateRemoteThread() no 
oczywiscie po przekopiowaniu kodu do procesu docelowego. Problemem (i to 
duzym) jest to ze nie beda ci sie zgadac adresy, no chyba ze caly kod 
zawrzesz w dllce a "wepchniesz" tylko kod zaladowania dllki. To jest w 
sumie proste.
Najlepiej wstzryknac kod do wszystkich procesow (i ich przyszlych dzieci 
- wow fajnei brzmi), no ale madcodehook radzi sobie swietnie. A ladowac 
sie najlepiej jeszcze przed zalogowaniem, i rowniez w trybie awaryjnym.
Dodatkowo ukrywasz swoje pliki i wpisy w regsach i jestes niewidoczny :)
Oczywiscie mozna jeszcze jakos cie znalzc, jak ja to mowie poprzez 
'analize anomalii' ale to juz nieco inna bajka

Polecam CodeStuff Starter - w nim pokazuje
> od razu ścieżkę do pliku. Inna, skuteczniejsza metoda polegała na
> wstrzyknięciu kodu u źródła, chyba bezpośrednio w jądro, 
żeby dane
> o procesie nie były nigdzie widocznie. 
albo najlepiej DKOM, wtedy sam system nie do konca wie ze taki proces 
jest :)
W tym przypadku plik był w użyciu
> więc to kolejna przeszkoda. A windowsowa 'ochrona plików systemowych'
> działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.
> 
ee :)
> Tak więc co chcę przez to powiedzieć - istnieje spora szansza, że jeśli
> keylogger jest, to będzie widoczny w menedżerze zadań. 
jak napisalem wczesniej kodu nie trzyma sie w odrebnym procesie jesli ma 
to byc cool, i menedzer zadan i wszelkie inne softy (lacznie z avirami) 
sa do wywalenia, no chyba ze nie siedzisz na userze z prawami admina...
Może być pod
> identyczną nazwą, jak jakiś oczywisty proces systemowy, ale wtedy
> będzie znajdował się z innym katalogu.
> 
ee przeciez i tak bedzie widac, ew. MZ nie pozwoli zabic.
> Druga rzecz, ten keylogger musi jakoś wysyłać swoje dzienniki, tak więc
> można przeanalizować ruch sieciowy, ale oczywiście na pierwszym
> komputerze za komputerem zarażonym, z uwagi na możliwość infekcji
> zatajającej informacje o ruchu sieciowym.
> 
chyba nie zdajesz sobie z tego sprawy ile danych leci przez net nawet 
przy normalnym uzywaniu neta, a jesli bedziesz pchac dane przez web i to 
raz na dzien + ew szyfrowac to se mozesz szukac

f1j@k_? ośmielił się napisać:

> chyba nie zdajesz sobie z tego sprawy ile danych leci przez net nawet 
> przy normalnym uzywaniu neta, a jesli bedziesz pchac dane przez web i to 
> raz na dzien + ew szyfrowac to se mozesz szukac
chyba ze soft-psuj nie bedzie zezwalal na pokazywaniu swojego ruchu...

Pamietaj ze mozesz nie byc panem swpojego pct i o tym nawet nie 
wiedziec, to ze wiekszosc softow-szkodnikow jest do bani nie znaczy ze 
nie ma takich ktore sa dopracowane, tylko zapewne akurat osoby ktore sie 
na tym znaja i potrafia duuuzo beda akurat atakowac twojego kompa

kajus44 nabazgrał:
> Dnia Mon, 4 Feb 2008 10:51:39 +0100, Skrypëk napisał(a):
>
>> kajus44 nabazgrał:
>>> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
>>> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt -
>>> wszytkie na dysku C przejrzane, logi z cportu też, coś ominąłem?
>>
>> Ä spräwđziłëś wërsję nőtätnikä?
>
> Nie, ale program hakierski NOTEPAD.EXE nie ma znanych dziur i słabych
> punktów tak jak drugie z narzędzi włamywacza komputerowego SENDMAIL.
> Proszę o konstruktywne otpowiedzi a nie o trolowanie, które to podpada pod
> paragraf 202 KK i grozi nałożeniem PLONKOWNICY wraz z banem na polski
> usenet.

Czy jesteś socjalistą? Pytam poważnie.

f1j@k_?:

> sumar ośmielił się napisać:

Czy ludzie zawsze będą negować, zamiast starać się pomóc?

-- 
JuSeV

Gadu-Gadu: 2662065

f1j@k_?:

> nie obraz sie ale pierdoly opowiadasz.
> Gdy wstrzykujesz kod to po co wstrzykujacy (ja nazywam to 'loader') nie 
> musi juz nigdzie siedziec. Po prostu uzywasz CreateRemoteThread() no 
> oczywiscie po przekopiowaniu kodu do procesu docelowego. Problemem (i to 
> duzym) jest to ze nie beda ci sie zgadac adresy, no chyba ze caly kod 
> zawrzesz w dllce a "wepchniesz" tylko kod zaladowania dllki. To jest w 
> sumie proste.

Czyli mamy trzy pliki:

loader.exe
taskmgr.exe
keylogger.exe

Po zarażeniu taskmgr.exe przez loader.exe oczywistym jest, że loader.exe
można już wyrzucić, ale czy wtedy proces keylogger.exe nie będzie widoczny
w innych programach pokazujących procesy?

>> A windowsowa 'ochrona plików systemowych'
>> działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.

> ee :)

Co to znaczy?

> jak napisalem wczesniej kodu nie trzyma sie w odrebnym procesie jesli ma 
> to byc cool

Czyli co? Nawet nie warto zrobić 'sfc /scannow'? Lepiej od razu
przewiercić dysk i zajebać gnoja?

> chyba nie zdajesz sobie z tego sprawy ile danych leci przez net nawet 
> przy normalnym uzywaniu neta, a jesli bedziesz pchac dane przez web i to 
> raz na dzien + ew szyfrowac to se mozesz szukac

Czyli że jak postawię sobie po drodze do podejrzanej stacji dodatkową
stację ze snifferem i będę analizował ruch z podejrzanej stacji, na
której wyłączyłem absolutnie wszystko, co mogłoby nawiązywać ten ruch,
to, jeśli jakiś się pojawi, nie będzie to znaczyło, że jest niepożądany?
A jak raz na dzień, to bardzo często. Wystarczy analizować ruch przez
24 godziny.

-- 
JuSeV

Gadu-Gadu: 2662065

Dnia Tue, 5 Feb 2008 01:01:14 +0100, Skrypëk napisał(a):

> kajus44 nabazgrał:
>> (...)
> 
> Czy jesteś socjalistą? Pytam poważnie.

Pije socjalną kawę, to chyba jestem, co nie?

Dnia Mon, 04 Feb 2008 20:45:03 +0100, f1j@k_? napisał(a):

> aa jesli jestes przynajmniej nieco programista to uzyj 
> SetWindowsHookEx() z paramem WH_DEBUG albo hacz globalnie samo 
> SetWindowsHookEx()

A nie da się jakoś z GOTO i IF THEN? Bo ja tyle pamiętam z BASICa

sumar pisze:
> f1j@k_?:
> 
>> sumar ośmielił się napisać:
> 
> Czy ludzie zawsze będą negować, zamiast starać się pomóc?
> 
pisac "ośmielić"!=negować

sumar pisze:
> f1j@k_?:
> 
>> nie obraz sie ale pierdoly opowiadasz.
>> Gdy wstrzykujesz kod to po co wstrzykujacy (ja nazywam to 'loader') nie 
>> musi juz nigdzie siedziec. Po prostu uzywasz CreateRemoteThread() no 
>> oczywiscie po przekopiowaniu kodu do procesu docelowego. Problemem (i to 
>> duzym) jest to ze nie beda ci sie zgadac adresy, no chyba ze caly kod 
>> zawrzesz w dllce a "wepchniesz" tylko kod zaladowania dllki. To jest w 
>> sumie proste.
> 
> Czyli mamy trzy pliki:
> 
> loader.exe
> taskmgr.exe
> keylogger.exe
> 
> Po zarażeniu taskmgr.exe przez loader.exe oczywistym jest, że loader.exe
> można już wyrzucić, ale czy wtedy proces keylogger.exe nie będzie widoczny
> w innych programach pokazujących procesy?
> 
przede wszystkim przy podejsciu o jakim ja pisze to mamy
loader.exe, taskmgr.exe keylogger.dll, dll dokleja sie do kazdego 
procesu w systemie (w pamieci)
O Boże! nieco wyobrazni, jest tylko tak jak Ty chcesz zeby bylo.
Jezeli chcesz miec proces keylogger.exe to ok, przechwyc api (tzn 
wepchnij nowa wersje ten fn do kazdego procesu) i ukrywaj ten proces.
W tym wypadku to sa api:
Process32First() Process32Next() ale rowniez EnumProcesses() nie 
pamietam z czego korzysta MZ. Oczywiscie lepiej haczyc nizsze api czyli 
Nt czyli NtQuerySystemInformation()
>>> A windowsowa 'ochrona plików systemowych'
>>> działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.
> 
>> ee :)
> 
> Co to znaczy?
"ee tam" bo co ma jedno do drugiego? to co ty piszesz oznacza 
przeskanowanie czy pliki (tu exe) sa poprawne a nie to co jest w pamieci 
jest poprawne, bo tego juz w zasadzie sie nie da.
> 
>> jak napisalem wczesniej kodu nie trzyma sie w odrebnym procesie jesli ma 
>> to byc cool
> 
> Czyli co? Nawet nie warto zrobić 'sfc /scannow'? Lepiej od razu
> przewiercić dysk i zajebać gnoja?
> 
Rob co chcesz (zapewne Twoj PC) Najlatwiej zrobic format, zainstalowac 
antykeyloggera i siedziec na userze o najzniszych prawach a przelaczac 
sie na administratora tylko gdy musisz. Chociaz jesli ci shit wlazl w 
BIOS... - raczej teoria
>> chyba nie zdajesz sobie z tego sprawy ile danych leci przez net nawet 
>> przy normalnym uzywaniu neta, a jesli bedziesz pchac dane przez web i to 
>> raz na dzien + ew szyfrowac to se mozesz szukac
> 
> Czyli że jak postawię sobie po drodze do podejrzanej stacji dodatkową
> stację ze snifferem i będę analizował ruch z podejrzanej stacji, na
> której wyłączyłem absolutnie wszystko, co mogłoby nawiązywać ten ruch,
> to, jeśli jakiś się pojawi, nie będzie to znaczyło, że jest niepożądany?
> A jak raz na dzień, to bardzo często. Wystarczy analizować ruch przez
> 24 godziny.
> 
ale musisz wiedziec co ma sie pojawic! - to jest problem.

Chyba sie jednak pogubilem, Ty jestes pewnien ze masz keyloggera ale nie 
widzisz czy pytasz teoretycznie? Keylogger w wiekszosci przypadkow to 
jest hak na klawiature, wiec wystarczy lookac na haki, problem w tym ze 
jezeli cos ci wlezie a masz prawa admina to moze ci zrobic burdel i np 
oklamywac cie. Ale nie jest tak zle bo jesli jestes ofiara czegos 
ogolnoswiatowego to antywoiry beda to jakos wykrywac (raczej) i zapewne 
dostaniesz szczepionki wczesniej niz to to ciebie dojdzie. jesli 
natomiast bedzie to dedykowany atak, tzn ktos przygotuje programik a ty 
go odpalisz to zaden avir ci tego nie wykryje poniewaz nie jest raczej w 
stanie spr czy to cos jest dobre czy zle, bo hakow na klawiature 
(niestety) uzywa wiele "dobrych" programow.

Dnia Mon, 4 Feb 2008 21:45:09 +0100, sumar napisał(a):

> kajus44:
> 
>> Skąd mogę się dowiedzieć, że mam keylogera? Załóżmy, że antywirus go nie
>> wykrywa, żadne ad awary i inne antyrootkity też nie, pliki txt - wszytkie
>> na dysku C przejrzane, logi z cportu też, coś ominąłem?
> 
> Polecam CodeStuff Starter - w nim pokazuje
> od razu ścieżkę do pliku. 

Pooglądam 

> A windowsowa 'ochrona plików systemowych'
> działa całkiem sprawnie. Na początek uruchom sobie 'sfc /scannow'.

Na windowsie 2000 nie działa, wyskakuje błąd, a na XP każe włożyć płytkę CD
której akurat nie mam pod ręką, ale i tak chodzi mi o windowsa 2000 prof.
 
> Tak więc co chcę przez to powiedzieć - istnieje spora szansza, że jeśli
> keylogger jest, to będzie widoczny w menedżerze zadań. Może być pod
> identyczną nazwą, jak jakiś oczywisty proces systemowy, ale wtedy
> będzie znajdował się z innym katalogu.

Miałem raz tak, wirus nazwał się msmsgs ale ulokował się w winnt a nie w
Program Files

> Druga rzecz, ten keylogger musi jakoś wysyłać swoje dzienniki, tak więc
> można przeanalizować ruch sieciowy, ale oczywiście na pierwszym
> komputerze za komputerem zarażonym, z uwagi na możliwość infekcji
> zatajającej informacje o ruchu sieciowym.

Ok, na to nie mam na razie drugiego komputera, cgyba że może być taki ze
starym windowsem 98, nie wiem czy sniffery pójdą na takim.
Na razie najlepsze dla mnie z tego co widzę jest zaopatrzenie się w program
antykeyloggerowy tak jak radzi f1j@k_?
http://www.searchengines.pl/Antykeyloggery-t89694.html  Gmera już mam ale
nie umiem jeszcz poznać wszystkich wpisów z logów.

Dziękuję wszystkim i pozdrawiam serdecznie
! Ó !

Dnia Tue, 05 Feb 2008 12:50:02 +0100, fijak napisał(a):

> jesli 
> natomiast bedzie to dedykowany atak, tzn ktos przygotuje programik a ty 
> go odpalisz 

Albo odpali on sam bo miał dostęp do mojego komputera - i o takie coś mi
chodzi, tego się nie tyle boję, co mam delikatne podejrzenia.
Ale to już OT
Dziękuję jeszcze raz.

Użytkownik "kajus44" <kajus44usunto@wp.pl> napisał w wiadomości 
news:z6xcu8jtrc1.wd2mdizt3ez1$.dlg@40tude.net...
> Dnia Tue, 5 Feb 2008 01:01:14 +0100, Skrypëk napisał(a):
>
>> kajus44 nabazgrał:
>>> (...)
>>
>> Czy jesteś socjalistą? Pytam poważnie.
>
> Pije socjalną kawę, to chyba jestem, co nie?

w jesz kÓPSKA ? 

iwanos nabazgrał:
> Użytkownik "kajus44" <kajus44usunto@wp.pl> napisał w wiadomości
> news:z6xcu8jtrc1.wd2mdizt3ez1$.dlg@40tude.net...
>> Dnia Tue, 5 Feb 2008 01:01:14 +0100, Skrypëk napisał(a):
>>
>>> kajus44 nabazgrał:
>>>> (...)
>>>
>>> Czy jesteś socjalistą? Pytam poważnie.
>>
>> Pije socjalną kawę, to chyba jestem, co nie?
>
> w jesz kÓPSKA ?

sócjalne? 

Dnia Fri, 8 Feb 2008 00:48:56 +0100, iwanos napisał(a):

> Użytkownik "kajus44" <kajus44usunto@wp.pl> napisał w wiadomości 
> news:z6xcu8jtrc1.wd2mdizt3ez1$.dlg@40tude.net...
>> Dnia Tue, 5 Feb 2008 01:01:14 +0100, Skrypëk napisał(a):
>>
>>> kajus44 nabazgrał:
>>>> (...)
>>>
>>> Czy jesteś socjalistą? Pytam poważnie.
>>
>> Pije socjalną kawę, to chyba jestem, co nie?
> 
> w jesz kÓPSKA ?

http://www.kakofonia.pl/PL/PLkiler/JAWOHL.WAV

sumar pisze:
> f1j@k_?:
> 
>> sumar ośmielił się napisać:
> 
> Czy ludzie zawsze będą negować, zamiast starać się pomóc?
> 
postawienie hipotezy, jakoby fijak był człowiekiem jest mocno przesadzone

Diabełson:

> postawienie hipotezy, jakoby fijak był człowiekiem jest mocno przesadzone

zupełnie zapomniałem o tym podziale na ludzi i frajerów

-- 
JuSeV

Gadu-Gadu: 2662065