Форум АНТИЧАТ - [Заблуждение] Пароль в ICQ клиенте

[Заблуждение] Пароль в Icq клиенте

29.08.2008, 00:16

white

Постоянный

Регистрация: 26.12.2006

Сообщений: 565

Провел на форуме:
2443185

Репутация: 631

[Заблуждение] Пароль в Icq клиенте

[ Бытует мнение, что если в ICQ клиенте не ставить
галку "Сохранить пароль", то троян не сможет найти
пароль от ICQ номера, т.к. он не сохранён в системе.
Как следствие из этого, пользователи пренебрегают
файерволом. ]

Сегодня раз и навсегда мы разберёмся, как обстоят дела с паролем в ICQ клиентах.
Рассматривать вопрос будем на примере QIP, но это касается всех ICQ клиентов.

Многие уже скачали программу QIP PassCatcher v0.1b, которая, как следует из описания, помогает вспомнить забытый пароль.

QIP PassCatcher v0.1b

Но мало кто, разобрался каким образом программа вспоминает пароль, может и потому, что тема на ру-борде вскоре после создания была удалена.
В этом нам поможет разобраться sai_NT:

Цитата:

Гуглил я тогда API методы работы с окнами. Обнаружил одну незначительную на первый взгляд "оплоху", и заключается она в том, что окно авторизации не закрывается на протяжении всей работы приложения qip.exe, причем даже после удачной авторизации на сервере AOL и дальнейшей работы с этим клиентом. Другими словами мы пользуемся QIP'ом: отсылаем сообщения, принимаем файлы и т.п., а окно себе находится в режиме Hide.

Чем это грозит? Вроде как и ничем особенным, висит окно да и пусть - ведь не мешает. А вот тут-то следует теперь сказать почему это все я назвал "оплохой". Окно (class TManForm) продолжая свое скрытое существование хранит в себе в полях логин/номер айсику (class TComboBox) и пароль (class TEdit), хотя и пароль вроде как под звездочками, но это преграда только для человеских глаз, а не для машинного кода.

Вроде как и это не проблема, если комп не протроянен, за ним никто кроме вас не работает. Но так бывает не всегда. А значит нужно предохраняться и быть на чеку.

Теперь пару слов о стратегии получения логина и пасса от аси. API метод FindWindow возвращает дескриптор окна по имени его класса, т.е. этим кодом

Код:

[code Delphi]
var
  h : THandle;
begin
  h := FindWindow('TManForm', 0);
[/code Delphi]

дескриптор окна авторизации квипа у нас в кармане. Но этого мало и мы идем далее. Поле логина и пароля находятся в рамке (class TGroupBox), теперь найдя дескриптор окна легко можно получить дескриптор рамки, затем дескрипторы поля списка с вписанным в него логином и дескриптор поля со "звездочным" паролем. Код далее приводить не буду. Я думаю понятно по каким причинам.
Отмечу только, что пароль только отбражается звездочками, а на самом деле в этом поле находятся те заветные символы, из которых и складывается пасс.
проверено от клиента 79xxx до 8070

Это предупреждение для тех, кто ещё не в курсе.
Ведь программа, написанная на, изложенном выше принципе, не распознаётся антивирусом. И защититься от этого можно файерволом, который заблокирует попытку отправки отчёта, нового трояна, реализованного на этом принципе...

Последний раз редактировалось white; 29.08.2008 в 01:15..

ANTICHAT — форум по информационной безопасности, OSINT и технологиям