Prosty trojan

[razor291]

Witam

Chcialbym wyslac prostego trojana pewnej osobie , myslalem nad teamviever + blind z jpg .Wypali?

[F3nix]

I tak ostateczna forma musi być plikiem wykonywalnym (aplikacją). Więc jak zbindujesz ze zdjęciem to w efekcie otrzymasz plik z rozszerzeniem exe. Ewentualnie z innym danego systemu operacyjnego (wykonywalnym).

PS: Jest to zły pomysł bo skoro chcesz to KOMUŚ wysłać jak to określiłeś, to zgodnie z art 267kk grożą Ci 3 lata więzienia i zadośćuczynienie. Drugi artykuł to ten dotyczący tajemnicy korespondencji.

[steo]

Niekoniecznie exe. Tak jak w przypadku Tesli po otworzeniu obrazka uaktywnia się.

[4dm1n]

I ma rozszerzeni .jpg/.jpeg i czysty system niezainfekowany Microsoft Windows uruchamia go? Jesteś pewien?

Co prawda pamiętam krytyczny błąd MS04-028 z przed 12 lat lub tożsamy dotyczący bmp, słyszałem też o interpretatorach plików jpeg wykonujących zaszyfrowany kod (komputer musi być najpierw zainfekowany interpretatorem więc bezsensu rozwiązanie). Słyszałem o ransomware, które zmienia rozszerzenie plików na mp3/jpg przed zaszyfrowaniem ich.

Jednak nie słyszałem jeszcze o żadnym błędzie w dzisiejszych bibliotekach systemowych do obsługi jpeg umożliwiających wykonanie kodu, a taka luka obiła by się echem jak przed laty. Jakieś źródło do takiej informacji potwierdzonej?

[F3nix]

Też mam taką wątpliwość co do wykonywania zdjęć w systemie...

[steo]

https://www.agenttesla.com/en/

[4dm1n]

Mylisz się nadal, to nie jest "po otworzeniu obrazka". To narzędzie co wysłałeś ma zaimplementowane extension spoofera. Ten magiczny "obrazek" nadal w kolumnie typ w systemie operacyjnym widziany jest jako aplikacja, tak samo w właściwościach. Nie odbiega to niczym innym od pliku wykonywalnego. Zdjęcie ma miniaturke, a nie ikonkę w zasobach. Do tego tak drastycznie to zwiększa wykrywalność, praktycznie do 100%.

Jeśli chcesz taką sztuczkę wykonać razor291 to wpisz w google RTLO. Jest to prosta metoda polegająca na dodaniu odpowiedniego znaku w nazwie pliku. Dzięki temu ukrywane jest rozszerzenie i z przykładowego zdjecie.jpeg.exe robi się zdjęcie.jpeg, ale system nadal to widzi jako aplikacje, a antywirus wyje w niebogłosy.

Teraz nawet większość aplikacji jest zabezpieczonych przed tym i prezentuje oczywiście całą nazwę pliku z rozszerzeniem całym (np: Firefox). Więc wysyłając to na Fejsie lub mailem będzie zdjecie.jpeg.exe i ostrzeżenie od antywirusa. Sensowniej już użyć rozszerzenia wygaszacza ekranu .scr, który też jest plikiem wykonywalnym ale mniej znanym szaremu userowi.

[steo]

A więc się pomyliłem.
W każdym razie, nawet jeśli jest to plik wykonywalny, po uruchomieniu ten obrazek się uruchomi, wraz z niespodzianką.
Do co rozszerzeń, w Windzie można włączyć wyświetlanie wszystkich rozszerzeń plików.