Como esconder definitivamente um trojan de um anti-vírus

Hoje as pessoas confiam demais em programas para sua segurança. Seja um firewall, um sistema de IDS ou mesmo um anti-vírus. Só que muitas vezes apenas os programas não são suficientes, pois eles também são falhos. Vamos fazer um teste com um famoso anti-vírus do mercado, o Norton 2003. Isso não vai fazer diferença pois todo anti-vírus é vulnerável a esse problema. Usarei o servidor de um cavalo de tróia(trojan) que abre e recebe conexões na porta 666 do seu computador. Poderia ser qualquer outro. O nome do arquivo servidor é server.exe . Vou passar o Norton nele para ver o que acontece.

 

O Anti-Vírus encontrou o trojan. Reclamou de “infecção encontrada” e o apagou. Sorte que fiz uma cópia dele. Vamos dar uma olhada na estrutura do Server.exe . Para isso usarei o excelente PE Explorer ou Resource Explorer, ambos podem ser conseguidos em http://www.heaventools.com . Esses softwares permitem que eu “enxergue” o que existe dentro do arquivo binário e consiga até manipular alguns dados.

 Usando o PE Explorer então, vou apagar todas as imagens existentes dentro do Server (bitmaps e cursores), todas as janelas de diálogo que ele possa ter, modificarei algumas strings e um pouco do código em Pascal (como o nome dos componentes e seu caption). Poxa consigo fazer tudo isso com esse programa? Sim, consegue. Mesmo após retirarmos todo esse “lixo”, o programa ainda roda. Está na hora do segundo tratamento dado ao Server, comprimir o seu tamanho usando o programa Petite (http://www.un4seen.com/petite/ ).

om, mandei comprimir o programa e ele ficou com cerca de 30 a 50% maior do que seu tamanho original. Não, essa não é uma compressão do tipo ZIP ou coisa do gênero. O Petite praticamente realoca o arquivo, tornando-o totalmente diferente do que era antes… mas ainda funcional. Salvamos o novo arquivo comprimido como servercompress.exe . Vamos repassar o Norton 2003 para vermos agora :

Prontinho. O anti-vírus não encontrou nenhuma infecção. Isso porquê o AV procura padrões conhecidos de vírus e trojans nos arquivos. É como se ele olhasse uma foto e procurasse por ela dentro de arquivos. Como nós modificamos muito a nossa “foto” original, o programa não detectou nada. Os cavalos de tróia de hoje conseguem até barrar firewalls como Zone Alarm. Como ? Eles possui um pequeno banco de dados com o nome de processos de programas comumente usados como Zone Alarm, Norton Internet Security, Tiny Firewall, etc. Antes do trojan tentar abrir a porta e o firewall detectar, ele procura entre os processos que estão sendo executados no computador aqueles que estão na sua lista. Se encontrar algum deles, o trojan os fecha (claro que o trojan precisa ter permissão para isso, mas na maioria dos usuários comuns isso vai acontecer) e pode até substituir o ícone da barra de tarefas por um falso, exatamente igual ao do firewall que ele acabou de fechar.

Citarei outras técnicas em outras matérias futuramente. A nossa próxima matéria agora será como identificar e retirar trojans do computador sem precisar de anti-vírus e firewalls.

Leia Mais

Aprenda Capturar conversas do MSN

Olá,
nesse tutorial vou mostrar uma técnica simples de ser realizada que pode servir para você monitorar as conversas
do MSN ou utilizar de xereta mesmo.

Vamos ao que interessa!

1º

Vamos utilizar o programa “Etherboss MSN Monitor MSN Sniffer”.

Esse programa tem a seguinte Função:
Capturar conversas no MSN, utilizado em rede para capturar as conversas,
salva as conversas em documentos HTML para análise futura.

2º

Após fazer o download vamos agora instalar o programa.
A parte de instalação é muito simples, bem básico, creio que eu não preciso utilizar imagens nem eu descrever aqui
os passos, pois é simples.
Basta executar, clicar em NEXT, Escolher o Diretório para instalação, Finish.

3º

Bom, com o programa instalado vamos agora aprender como utilizar.
Aviso a vocês que essa é a versão Trial vamos poder utilizar apenas por 15 dias.

Em Config temos algumas opções:

 

General

Show warning when exit program: Mostrar aviso quando sair do programa.

start the programam with minimized main window: Iniciar o programa com a janela principal minimizado.

Start capturing on startup: Iniciar captura quando iniciado.

Start the program on Windows startup: Iniciar o programa com a inicialização do Windows.

Selecione as opções conforme as suas necessidades.

Network Adapter

Bom pessoal aqui visualizamos se o programa reconheceu corretamente a nossa placa de rede e o nosso endereço IP.

IP Filter 

Aqui podemos selecionar IPs que em especial desejamos capturar as conversas.

Após ter configurado conforme a sua necessidade clique em Ok.

Na opção START inicia a capturar as conversas
STOP para a busca.

Exit sair do programa.

Leia Mais

REAL VNC MODO SILÊNCIOSO (OCULTO)

UPDATE 30/07/2012

"Demorei mas encontrei em meus milhões de arquivos o Real VNC e sua modificação para deixá-lo oculto, me preocupei em fazer um upload do programa e sua modificação. Faça o download clicando aqui e continue seguindo os passos abaixo, ignorando os links de downloads do texto."

Salve galera, este aqui é um post muito cobiçado pelos administradores de redes, donos de lan houses, e mais uma cambada a fim de controlar o uso do computador remotamente, sem serem percebidos. Principalmente, quando queremos pegar alguém, funcionário, cliente, parente, amigo “futucando” em coisas erradas no computador.
Chega de “lenga-lenga” vamos ao que interessa, aqui vamos utilizar o programa REAL VNC 4.1.3 x86 (32 bits). Bom, agora basta instalar normalmente e configurar a senha do Server. Isso é muito importante, pois evita que qualquer pessoa que tenha seu ip ou o nome da máquina, caso esteja em rede, acesse o computador. Depois de tudo configurado, vamos seguir até a pasta C:\Arquivos de Programas\RealVNC\VNC4
Nela vamos encontrar dois arquivos de suma importância, o vncconfig.exe e o winvnc4.exe
O vncconfig.exe é responsável pela configuração do Server, para que ele não possa ser acessado, vamos renomeá-lo para vncconfig1.exe , pois o ícone que parece próximo ao relógio do VNC se você der dois cliques nele, ele abre este executável para configurar o servidor, como ele foi renomeado, ele não irá abrir nada.
Agora o winvnc4.exe precisa ser substituído por outro, que eu editei pessoalmente para esse post, nele eu apaguei o menu do ícone do relógio, para impedir que o Server seja fechado, configurado e tal... Para baixá-lo clique aqui. O ícone também foi modificado, mudei para um ícone de HD em rede, para deixá-lo mais natural, caso vocês queriam mudar o ícone dele, basta usar o Resource Hacker. Bom, renomeie o winvnc4.exe original para winvnc4_original.exe e descompacte aquele que você baixou aqui, no mesmo lugar onde está o original. Pronto, agora o REAL VNC é totalmente silencioso, dificilmente alguém perceberá que ele está lá!
Obs.: NÃO UTILIZE O REAL VNC COMO FORMA DE FICAR VIGIANDO CONVERSAR, E-MAILS, FOTOS PESSOAIS, SEJÁ ÉTICO! ESTE PROGRAMA DESTINA-SE PRINCIPALMENTE PARA ASSISTÊNCIA REMOTA, E MONITORAMENTO PROFISSIONAL, OU SEJA, NÃO O UTILIZE PARA ASSUNTOS PESSOAIS NA ENTIDADE ONDE VOCÊ TRABALHA, OU EM CASA, LAN HOUSES ETC..

Leia Mais