Отчет тестирования бота "Suicide: DDoS-bot by RKL aka Cr4sh"
Мне выпала честь протестировать бота, посему вот мой отчет: Система для тестов:
локальная сеть из 2х компьютеров:
__________________________________________
WinXP SP1 (SP2) - система с ботом
Антивирус Касперского Professional 5.0.149
антивирусные базы за 24 августа 2005г.
Outpost Firewall 2.5.369.4608 (369) (правила по умолчанию)
or WinXP брандмауэр (настройки по умолчанию)
__________________________________________
WinXP SP2 - сервер
Apache 1.3.33
ircd 1.1.2.4
__________________________________________
Сеть:
Беспроводная сеть 54Мбит/c
__________________________________________
В целом мне бот понравился, хотя конечно есть небольшие недоработки, разберем по пунктам
С антивирем проблем никаких, не палится, прекрасно работает после сжатия любым упаковщиком,
либо после склейки. По поводу фаерволов, здесь уже возникают небольшие траблы.
При тестировании с "WinXP брандмауэр" никаких проблем не было, но так как это подобие фаервола,
бот был протестирован на Outposte, тут уже появились проблемы:
Во-первых, как я поднял, icmp ddos здесь основан на echo-reply, а по умолчанию исходящие
пакеты данного вида запрещены и, соответственно, ddos не проходит, но это еще пол беды.
Во-вторых, бот инжектируется в explorer, что сразу определил Outpost и заблокировал его.
При работе бота процессом EXPLORER открываются установленные порты для SOCKS и BINDCMD,
кроме этого висит постоянное соединение с irc сервером и примерно раз в 15 секунд идет обращение к
Web интерфейсу, ну это мои самые большие замечания, теперь разберем по пунктам все, что описано в возможностях.
>>Управление ботом через web и IRC
Все отлично работает, никаких проблем ни с вебом, ни с irc нет.
>>Поддержка в IRC несколько одновременно работающих ботмастеров
Работает
>>Аутентификация по IRC c помощью ключа
Работает, правда есть небольшое замечание. При генерации хэша
почему-то надо писать "hash.exe :ircname key", зачем ставится это
лишнее двоеточие я так и не понял, но иначе бот тебя не распознает
>>Разделение ботмастеров по уровню прав доступа
Работает, поддерживается root и простой юзер
>>Инжектирование кода в другой процесс
Как я говорил выше, внедряется в explorer.exe
>>Маскировка в системе методом перехвата API-функций CreateProcessW,<br>
>>RegEnumValue, FindNextFileA, FindNextFileW
К сожалению это не работает, и процессы, и записи в реестре видны
Вот автозагрузка бота:
Вот настройки бота в реестре:
Вот видимость в проводнике:
>>ICMP-флудер
Не считая траблов с фаером, флуд прекрасно работает
>>биндшелл
В отличае от ПИНЧА, прекрасно работает!
>>SOCKS-прокси
Прекрасно работает, никаких сбоев
>>функция скачивания и запуска произвольного файла
Работает
>>общение с пользователем захваченной тачки через MessageBox =)))
Функция, на мой взгляд, абсолютно не нужная, но, тем не менее, работает
>>функция самоуничтожения
Работает, правда удаление заключается только в остановке процесса и удалении
записи об автозагрузке, при этом сам файл и записи настроек в реестре остаются,
кроме того, т.к. код инжектируется в explorer то сам эксплорер падает и не всегда подымается
назад, при этом бедному юзеру остается наблюдать отсутствие рабочего стола =)
Ну вот и все мои претензии)
Вердикт:
Безусловно, это отличный бот, правда, еще совсем молодой.
Я думаю, мелкие неприятности авторы быстро исправят.В отличие от большинства троянов и ботов его отличает стабильность в работе
и безпроблемная работа bind и socks, чего так не хватает в других проектах.
С уважением madnet.
Ddos Bot
Похожие темы
Линейный вид
