txt. Маскировка вирусов *.exe to *.txt Маскировка exe файла

Статья показывает, как можно обхитрить внимательного пользователя, знакомого с азами социальной инженерии, следящего даже за расширениями файлов и ни в коей мере не призывает к использованию данной информации в незаконных целях. Цель - запустить исполняемый файл, выдав его за текстовый документ в zip-архиве, а если запустить вряд ли получится, то не дать распаковать или скрыть файл.

На хабре уже есть статья про возможности изменения порядка чтения Unicode-символов с помощью байта RLO. В ней рассказывается, что, пользуясь стандартным проводником Windows, сложно заметить подмену (спуффинг) имени файла. В ней идет речь об укрытии реального расширения файла. Также есть статья о фичах встроенного в Проводник архиватора.

Мне, как человеку, всегда следящему за расширениями открываемых файлов, стало интересно, а есть ли программы, предупреждающие об этом? В частности, защищены ли архиваторы? И что могут сделать злоумышленники, чтобы обойти защиту.

В качестве подопытного возьмем исполняемый файл с расширением exe, назовем его «Об успtxt.exe ».

После буквы «п» в режиме редактирования имени файла в контекстном меню проводника выберем «Вставить управляющий символ Юникода» и выберем RLO. В результате отображаемое имя файла изменится на «Об успexe.txt».

7-Zip 9.20/15.06

WinRAR 5.3

Встроенный в проводник Windows

Как видно, 7-zip сразу сдался, WinRAR порадовал стрелочкой, а встроенный в проводник архиватор не поддерживает RLO. Теперь думаем, а можно ли как-то и последними двумя архиваторами осуществить спуффинг? Для этого открываем заархивированный файл в HEX-редакторе, одновременно читая спецификацию формата ZIP.

При сжатии файла в zip имя файла дублируется 2 раза.

И вот здесь есть большое поле для творчества.

Во-первых, можно во втором вхождении затереть символы байта RLO. Тогда WinRAR отобразит имя файла «Об успexe.txt» и откроет его как текстовый документ. Однако же если пойти дальше изменить расширение.txt на.jpg, то вплоть до версии WinRAR 4.20 эта псевдокартинка будет запущена как приложение. В WinRAR 5.3b2 данной уязвимости уже нет.

Открыв файл с затертым во втором вхождении RLO во встроенном в проводник Windows архиваторе, можно наблюдать, что имя файла стало почти читаемым - не читаются только русские буквы. Чтобы имя стало читаемым, заменим их кодировку или напишем латинские. Однако, нам не надо, чтобы пользователь открыл программу как текстовый документ.

Чтобы архиватор Проводника перестал видеть файл, достаточно в имени файла указать один из зарезервированных файловой системой NTFS символов (например, <). Однако, это не спасет от просмотра архива WinRAR-ом. Что же делать? Добавить null-байт в начало имени файла!

Тогда случится маленькое чудо: WinRAR 5.3b отобразит файл как папку «Локальный диск», перейдя в которую внутри архиватора, WinRAR автоматически распакует наш файл с RLO символом в имени (имя для распаковки берет из первого вхождения!) в директорию «Temp\ Rar$*» и заботливо покажет в проводнике исполняемый файл как текстовый документ! Заметьте, что после закрытия архиватор заботливо попытается удалить этот файл как любой другой распакованный во временный каталог.

Можно одновременно сделать его таким, чтобы он был читаем архиватором Проводника. Тогда вместо null надо прописать другой непечатаемый символ.

Резюме

• 7-Zip 15.06 отображает имя файла из первого вхождения (с RLO символом). Исполняемый файл представлен как текстовый документ. Даже если у вас включено отображение расширений зарегистрированных типов файлов. Двойной клик в окне архиватора запустит исполняемый файл.
• Внутренний архиватор Windows не видит данного конкретного файла. Другие файлы видит.
• WinRAR 5.3b отображает файл как папку «Локальный диск», перейдя в которую внутри архиватора, WinRAR автоматически распаковывает наш файл с подменным именем (с RLO символом) - имя для распаковки берет из первого вхождения - в директорию «Temp» и заботливо показывает в проводнике исполняемый файл как текстовый документ!

Но не все так печально. 7-Zip, к примеру, вплоть до версии 9.20 отображает имя файла из второго вхождения. Однако, если имя файла во втором вхождении не менять и сделать не Zip-архив, а какой-то редкий, из этих трех архиваторов открываемый только 7-Zip, и положить его в наш Zip-архив (не находите знакомый шаблон - релиз сломанной программы, куда кладется обычно куча архивов с файлами readme.txt?), тогда атака получится и на него. Более того, версия 9.20 также некорректно отображает имя файла, начинающегося с null, и не даст его ни прочитать, ни распаковать.

Также в обзоре не указан архиватор WinZip. Если честно, он мне не понравился размером, внешним видом и рекламой в незарегистрированной версии. Однако же в плане предупреждения пользователя об исполняемых файлов и файлов с неправильными именами он выдержал все проверки.
Файл sample.zip - пример создания такого архива. Внутри - программа с иконкой блокнота, запускающая блокнот. Больше ничего не делает. Прячется от встроенного в проводник архиватора, заставляет автоматически распаковать WinRAR 5.3, отображает расширение.txt в 7-zip версии 15
Еще один пример — Sample 2 для всех версий 7-zip, WinRAR 3.8, проводника Windows. Везде файл с расширением *.txt

Здравствуйте!
Хочу предоставить Вашему вниманию статью!
Сразу скажу, что оформление может немного подводить, но я считаю, что гораздо важнее содержание статьи, чем ее оформление...
Итак приступим!
Все наверное после сборки "беспалевного" выря обламывались, я имею в виду случаи, когда его просто нереально было впарить..ivo:
И со мной было аналогично..(короткое время)
Итак, к чему все это я..В даннном мануале мы будем пытаться мутить и колдовать с расширениями файлоф и исполняемый файлов любого формата..
Да, ведь вирус может иметь форматы: *.exe *.scr *.com ну вот вроде основные.... *xD*
НУ вообщем для начала работы я беру "вирус" формата *.exe
Конкретно в примере я тспользую модифицированную сборку "Краха"
Из его идей просто взял самоудаляющийся "инсталлер"....:dance4:
Итак мы приступим!для начала качаем или создаем вырь под свой конфиг...:thx:

НУ а потом качаем программу!

Да нужна программа, конечно можно и вручную сделать, то что я наметил, но с прогой проще и надежнее...
КАЧАЕМ
Так вот скачали..в архиве 4 файла....

Так вот запускаем программу не ссым))):angry:
И видим.....

И вот....Это программа создаст 2 файла..Смотрим на скрин ниже...

Итак, в первом поле мы должны указать исходный файл *.exe
Во второе поле мы должны вписать некоторое имя файла..напишем readme.txt
Следовательно этот файл и будет запускать ламус
А второй файл называем file.info
Ну чтобы запутать и проюзера:thxдалее мы избавимся от него)
После того как все сделали...Жмем на кнопку...

Вообщем после работы программы мы получим 2 файла..

Не забываем закрыть программу, а то она нам мешаться будет))
А теперь я поясню, что же сделала наша прога..
Вообщем как ни странно, все просто!:thx:
Она этот файл *.exe переименовала в *.info
НО прога не только переименовывает, но и сздает некий второй файл..конечно он формата *.lnk
То есть ярлык, но на это мало кто обратит внимание..те более если ярлык подобрать соответствующий....:thx:
(текстовика)
Ну а дальше в поле данного ярлыка.... "Объект" данного ярлыка она прописывает " %windir%\system32\cmd.exe /c file.info "
А в поле "Рабочая папка" пишет " %currentdir% "
Ну тут я думаю все понятно
ТО есть наш файл file.info заапускается как *exe через командную строку(cmd)

ДУмаю все поняли что к чему:thx:
Дальше мы тыкаем на кнопку "Сменить значок"...
На скрине выше его видно....
В поле "Искать значик...." Вставляем это " %SystemRoot%\system32\SHELL32.dll "
И выбираем значок обычного текстовика...

Жмем везде ок..и мы получаем 2 файла...

Но ведь 2 файла впаривать сложнее, чем 1:thx:
На данном этапе мы можем впарить жертве обычный архив или папку..в нее напихать 3-4 картинки..добавить туда данные 2 файла..и ВСЕ*mrgreen*
НО мы пацаны крутые и не ищем легких путей:af:
Тогда продолжаем!
МЫ сделаем чуток проще...
Во-первых..сделаем файл file.info "скрытым"(надеюсь знаете как это сделать)
Свойства: Атрибуты/Скрытые..
И теперь, если у жертвы не включен просмотр скрытых файлов, то она даже его не увидит!(впаривать надо папку целиком, так как надо чтобы данные 2 файла были вместе)
Но опять же на этом мы не ограничимся!oO
МЫ шифруемся по полной...
Еще как вариант выбрать формат второго файла *.nfo
А первый к примеру видео..ну комбинаций море...
Но тут мы получаем некую возможность.oO
А именно(ведь хакеры включают просмотр скрытых папок )
Следовательно они просекут что к чему!
Но мы ведь хотим крутых пациков найти(сами подумайте нафига сканить самому деды)
Если можа накрыть комп "хакера" и радоваться "жизни":angry:
Итак, если вы смогли сделать все, что я описывал выше, то значит идем дальше.... :crazy:
ТУт мы будем пользоваться выше описанными действими, чтобы реализовать некие хитрости:af:
А именно, далее пойдет много интересного))
Все что было до этого только цветочки.oO
Вообщем следующим нашим шагом будет сделать одновременный запуск не только вируса, но и текстовика)

Согласитесь..если после нажатия на иконку тектовика откроется тектовик, юзер будет спокоен, а мы рады пришедшим отчетам:) Вообщем суть остается той же, но перед тем как все это делать, мы должны сделать самараспак..

Возьмем наш вырь..и како-либо текстовик... и с помощью проги Bat to exe converter сделаем самараспак.. для этого создаем файл под именем 1.bat где указываем 2 команды... одна будет пускать тектовик, а другая сам файл *.exe после получим файл ексе...

Но есть одно НО:diablo:
Файл тектовик, который внутри должен отличаться по названию..от того что будет создан прогой дальше
Иначе будут баги...
Ну вообщем суть понятна))(скрины не сделал, так как я пишу статью не о тот как сделать самараспак)*mrgreen*

Ну вообщем данный способ с самараспаком корректно работает на 7-ке, на хр присутствуют некоторые глюки...

:dontknow:
Ну вообщем на этом мы сделаем паузу....и обдумаем вышенаписанное...
Ну что? Вообщем это еще не все!

Продолжаем!

oO
Вообщем теперь мы координально избавимся от второго файла!
Как? (спросите Вы)
Да очень просто!
Вообщем суть наших действий такая же...но действовать мы будем более хитро)))
И так мы создаем опять же 2 файла формата(любого, какой пожелаете)
и кидаем их в отдельную папку, за тем в этой папке, мы создаем еще одну папку с именем

Данный знак можно напичатать удерживая клавишу Alt и нахав подряд 0145

Данный знак нужен нам чтобы юзер подумал, что это соринка на экране..
И в данную папку кидаем файл (вирус переименованный)
НУ а дальше вносим изменения в наш ярлык, а именно в поле "Объект" вписываем

%windir%\system32\cmd.exe /c ‘\1.nfo

то есть плюсуем название папки...
Ну а вы спросите нфига себе жизнь усложнять?
А тут то и хитрость!
МЫ опять же делаем папку скрытой, но + ко всему присываиваем пустую авуoO
То есть свойства\ сменить значок..и в стандартных авах виндовса есть пустое поле, тыкаем на него и вуаля!
у нас нету папки!
То есть мы окончательно ставим юзера в тупик!
Примерно получается так..

Я думаю такое просечь почти нереально!
И в итоге мы получаем вирус формата *.ink
или просто текстовик...
ДУмаю на этом все!
По одному из способов я снял видос:af:
По остальныс сниму в скором времени...

Статья написана в память ресурсу xaker26, который прикрыли менты/facepalm
Изначально планировал подарить данную статью тому ресурсу, но как собрался туда скинуть ее, фору прикрыли....

Яхочу показать вам один простой и безопасный способ спрятать файлы с помощью простого трюка в Windows - скрыть файл внутри файла JPG.

Вы действительно можете скрыть любой тип файла внутри файла изображения, включая TXT, EXE, MP3, AVI, или любой другой. Мало того, вы можете хранить большое количество файлов внутри одного файла JPG, а не только один. Это может быть очень удобно, когда вы хотите скрыть файлы и не хотите возиться с шифровальщиками и другими способами по сокрытию файлов .
Для того, чтобы выполнить эту задачу, необходимо иметь установленный на вашем компьютере либо WinZip, либо WinRAR.

Вот шаги для создания скрытого тайника:

Создайте папку на вашем жестком диске, например, C: Test и скинуть туда все файлы, которые вы хотите скрыть. В эту же папку скиньте файл изображения, в который мы будем “впихивать” скрываемые файлы.

Теперь выделите все файлы, которые вы хотите скрыть, щелкните правой кнопкой мыши на них, и выбрать вариант добавления файлов в архив. Только выбрайте файлы, которые вы хотите скрыть, а не файл картику. Создаваемый архив назовите как хотите, например - “Hidden.rar”.

Теперь у вас есть папка, в которой лежит файл JPG и сжатый архив:

Теперь вот самое интересное! Нажмите кнопку Пуск и выберите пункт Выполнить. Введите “CMD” без кавычек и нажмите Enter. Теперь вы должны увидеть окно командной строки. Введите “CD “, чтобы попасть в корневой каталог. Затем введите команду “CD Test” , чтобы попасть в папку “Test”, в которой лежат все наши файлы.

Теперь вводите следующую строку (без кавычек): “copy /b DSC06578.JPG + Hidden.rar DSC06578.jpg ” и нажмайте Enter. Если все прошло успешно, то вы должны получить ответ, как показано ниже:

JPG файл был обновлен со сжатым архивом внутри! Посмотрите размер полученной картинки, вы увидите что он увеличился на ту же сумму что и размер архива.

Вы можете получить доступ к скрытым внутри картинки файлам двумя способами.
Во-первых, просто изменить расширение файла на.RAR и открыть файл с помощью WinRAR.
Во-вторых, вы можете просто щелкнуть правой кнопкой мыши на изображение JPG и выберать “Открыть с помощью”, а затем выбрать “WinRAR”.

Вот и все! Это отличный и простой способ просто потому что не многие знают об этой возможно и даже знающий не сможет заподозрить файлы в вашей картинке.

А кому нет,могут закрыть сразу.