Как проверить есть ли стиллер на компьютере. Что такое «стиллер» и как защитить себя от него? Метод заражения Stealer
Опытные игроки в онлайн-играх знают, что такое стиллер, как не словить его и даже как создать. Однако создание и распространение карается законом, поэтому лучше не заниматься таким. Так что же такое стиллер? Это программный код, который служит для кражи паролей и прочих данных с компьютера. Раньше данные отправлялись на сниффер, но сейчас уже активно по Интернету распространены коды, которые отправляют краденное на почту.
В большинстве случае стиллерам подвергаются игроки в самп. Что такое стиллер, уже было сказано, но как же происходит сам процесс? Первым делом человек создает код на каком-либо языке программирования, затем использует знания криптографии и скрывает стиллер таким образом, чтобы его не нашли антивирусы. Он может быть везде, даже в самой обычной картинке! Рассмотрим пример на многопользовательской версии игры GTA San-Andreas.
Например, игроку надоедают стандартные модели в игре, он решает их заменить на более красивые. Далее, игрок в поисковой системе вбивает свой запрос, и ему показываются варианты. Это могут быть форумы и известные сайты. С форумов ничего качать не стоит, так как там никакого доверия к пользователям. Вы их не знаете, соответственно, какой файл они вам дадут на скачивание — тоже.
Такая же ситуация с сайтами, где предоставляют на скачивание различные модели. Конечно, есть сайты, которые заслужили доверие, но и там надо быть осторожным. Лучше файл перед скачиванием проверить через сервис «ВирусТотал». Но больше всего стиллеры «вшивают» в cleo-скрипты. Игроков, которые используют чит-программы, много, все они используют cleo. А ведь что самое главное, антивирусы их и определяют как вирус, так как это чит. Получается, вы никак не сможете узнать, что кроется в cleo-скрипте. Значит, делаем вывод, что качать их определенно не стоит.
Как браузеры хранят наши данные
Браузеры превратились в важный интернет-шлюз для работы и шопинга, а также для личной жизни, и зачастую оттуда можно позаимствовать куда больше конфиденциальных сведений, чем из других программ.
Разработчики браузеров стремятся защитить информацию, которую им доверили. Для этого они шифруют информацию, а расшифровать ее можно только на том устройстве и из того аккаунта, в котором вы эту информацию сохранили. Так что если просто украсть файл с данными автозаполнения, то воспользоваться им не получится – в нем все надежно зашифровано.
По умолчанию разработчики браузеров предполагают, что свои устройство и аккаунт вы хорошо защитили, поэтому программа, запущенная с вашего аккаунта на вашем компьютере, может без проблем достать и расшифровать сохраненные данные. Ведь она действует как бы от вашего имени. Но к сожалению, это относится и к зловреду, проникшему на устройство и запущенному под вашей учетной записью.
C:UsersПользовательAppDataRoamingMozillaFirefoxProfilesqx1fqa6b.Default User файл «cookies.sqlite»
Скопировали. Теперь качаем программу WebBrowserPassView и запускаем, всё. Видим на каких сайтах какие учётные записи и какие там пароли и используем их во благо и в целях безопасности)
А на этом пожалуй всё, не забывай, что усложнять жизнь с выполнением батников на чужом компьютере стоит только если это действительно необходимо, а в остальных случаях (когда есть возможность) проще запустить WebBrowserPassView и сразу увидеть все пароли.
Заключение
Сегодня мы пофантазировали на тему, как мог бы выглядеть Stealer на C#, рассмотрели его возможное внутреннее устройство и преследуемые цели. Замечу, что в ходе экспериментов мой антивирус начал подавать сигнал тревоги, только когда был добавлен метод Encrypt, до этого программа могла отправлять файл по FTP куда угодно. С появлением опции отправки по почте имя определяемой «малвари» изменилось на «троян»… а вот про то, как с этим борются хакеры, читай в предыдущих выпусках ][ в статье про крипторы :).
Сорцы проекта ждут тебя на dvd.xakep.ru. Чтобы не слишком радовать скрипткиддисов и не раздражать служителей закона, напрямую они не компилируются. Придется исправить кое-какие минимальные ошибки. Так что все грехи — на твоей совести!
Впервые опубликовано в журнале «Хакер» от 02/2015.
Автор: Dywar, mrdywar@gmail.com
WARNING
Весь код в статье приводится исключительно в образовательных целях и для восстановления собственных утерянных паролей. Похищение чужих учетных или других личных данных без надлежащего письменного соглашения карается по закону.
Итак, браузеры, в основе которых лежит Chrome или Firefox, хранят логины и пароли пользователей в зашифрованном виде в базе SQLite. Эта СУБД компактна и распространяется бесплатно по свободной лицензии. Так же, как и рассматриваемые нами браузеры: весь их код открыт и хорошо документирован, что, несомненно, поможет нам.
В примере модуля стилинга, который я приведу в статье, будет активно использоваться CRT и другие сторонние библиотеки и зависимости, типа sqlite.h. Если тебе нужен компактный код без зависимостей, придется его немного переработать, избавившись от некоторых функций и настроив компилятор должным образом. Как это сделать, я показывал в статье «Тайный WinAPI. Как обфусцировать вызовы WinAPI в своем приложении».
Что скажет антивирус?
Рекламируя свои продукты, вирусописатели часто обращают внимание потенциальных покупателей на то, что в данный момент их стилер не «палится» антивирусом.
Тут надо понимать, что все современные и более-менее серьезные вирусы и трояны имеют модульную структуру, каждый модуль в которой отвечает за что-то свое: один модуль собирает пароли, второй препятствует отладке и эмуляции, третий определяет факт работы в виртуальной машине, четвертый проводит обфускацию вызовов WinAPI, пятый разбирается со встроенным в ОС файрволом.
Так что судить о том, «палится» определенный метод антивирусом или нет, можно, только если речь идет о законченном «боевом» приложении, а не по отдельному модулю.
Как защитить себя?
Для начала нужно поставить хороший антивирус, ведь он хоть как-то защищает. Без антивируса вы будете «ловить» все подряд. В Интернете часто пишут, что такое стиллер и как его создать, даже предоставляют программы для их создания. Но зачастую программы не работают, а в них самих есть стиллер. Каждый скачиваемый файл нужно проверить обязательно, чтобы не потерять свои данные. Также существуют программы, которые удаляют стиллер с компьютера. Рекомендуется еще проверять ПК на наличие вирусов с помощью специальных утилит, например, DrWeb Cure It.
В сети интернет мало информации о том, что такое «Стиллеры» и как ими пользоваться. Нужно помнить о том, что они создаются не просто так, ради забавы. Основной их целью является добыча полезной информации с компьютера жертвы для последующей продажи. Создавать и использовать «Стиллер» определенно не стоит, так как за это могут привлечь к ответственности, в том числе и к уголовной. Нужно остерегаться «Стиллера», максимально защитив свой компьютер и не качать файлы с неизвестных источников.
Храните ваши пароли в облаке, пароль от которого вы будете знать на память, это самый надежный способ защитить свои данные. Никогда не сохраняйте пароли и не используйте никакие автозаполнения форм, когда вы например используете обменники валют в автозаполнение могут попасть данные вашей карты, ваш номер телефона и e-mail.
О стиллерах
В большинстве случае стиллерам подвергаются игроки в самп. Что такое стиллер, уже было сказано, но как же происходит сам процесс? Первым делом человек создает код на каком-либо языке программирования, затем использует знания криптографии и скрывает стиллер таким образом, чтобы его не нашли антивирусы. Он может быть везде, даже в самой обычной картинке! Рассмотрим пример на многопользовательской версии игры GTA San-Andreas.
Например, игроку надоедают стандартные модели в игре, он решает их заменить на более красивые. Далее, игрок в поисковой системе вбивает свой запрос, и ему показываются варианты. Это могут быть форумы и известные сайты. С форумов ничего качать не стоит, так как там никакого доверия к пользователям. Вы их не знаете, соответственно, какой файл они вам дадут на скачивание — тоже.
Такая же ситуация с сайтами, где предоставляют на скачивание различные модели. Конечно, есть сайты, которые заслужили доверие, но и там надо быть осторожным. Лучше файл перед скачиванием проверить через сервис «ВирусТотал». Но больше всего стиллеры «вшивают» в cleo-скрипты. Игроков, которые используют чит-программы, много, все они используют cleo. А ведь что самое главное, антивирусы их и определяют как вирус, так как это чит. Получается, вы никак не сможете узнать, что кроется в cleo-скрипте. Значит, делаем вывод, что качать их определенно не стоит.
Главный урок, который я извлёк
После произошедшего я всерьёз задумался о безопасности своего компьютера и о том, как избежать подобного в дальнейшем. Конечно, это первый такой случай за много лет, но даже так эта ситуация заставила меня сильно нервничать и потратить несколько дней на разбирательства и устранение последствий. В следующий раз может получиться так, что времени заниматься подобным просто не будет и мне пришлось бы идти на компромиссы.
В первую очередь — антивирус
Раньше я был убеждённым противником антивирусов, так как был уверен, что подхватить вирус настолько сложно, что приходится делать это чуть ли не специально. Теперь же я всегда держу на готове встроенный антивирус Windows, который с выходом десятой версии операционки очень похорошел и стал надлежащим образом выполнять свою работу. Но ещё более лучшим решением для простых пользователей будет установка стороннего проверенного антивируса, и здесь стоит помнить, что лучший — не всегда популярный. Изучите отзывы и обзоры антивирусного ПО и выберите то, которое сочтёте подходящим.
Хотя бы проверяйте файлы через VirusTotal
Перед запуском подозрительных файлов, скачанных из сомнительных источников, пропускайте их через VirusTotal. Это удобный бесплатный сервис, который использует вирусные базы огромного количества антивирусов, тем самым являясь, по сути, самым мощным антивирусным средством, существующим на данный момент. Им пользуются многие сайты, доказывая, что их файлы безопасны, в том числе и Trashbox.
Помимо вышеописанного, после смены паролей нужно отказаться от привычки пользоваться автозаполнением. Именно из-за этой функции и утекают пароли — если на серверах Google они, скорее всего, в безопасности, то при хранении локально на компьютере оказываются доступны всем желающим.
ржу с вас, сами лохи вирусни с лапуховых сайтов наставят (и слепые увидят, еще и запароленное), потом рекомендует прожорливое д#рьмо под названием антивирь, позор и срам. Рутор инфо, тапочек нет, рутрекер орг, рслоад, торрент геймс нет — проверенные ресурсы.
я не лазю по неизвестным ресурсам и не запускаю подозрительные исполняемые файлы, уязимости перекрыты через avz и другие утилиты.
Смешной, твой говнорутор в первых рядах по распространению вирусов)
А такие умники как ты, словя жирный вирус серьёзно ломающий систему, потом сами же бегут вперёд паровоза оплачивать подписку нода 32)
По мне так майки заплатками от мелдаун и спектр снизили производительность больше чем требует антивирус. И надо постараться откл. защитник так чтобы он не возобновлял работу.
Где комменты о том, что во всем правообладатели виноваты, если бы не их нежелание выпускать софт на одном только энтузиазме, то никто бы не искал кейгены всякие лол
Сначала скачивал и ставил «друг», но позже автор пальнулся
«Тот самый файл, который я скачивал, вызвал тревогу у 23-ёх антивирусов»
Интересно, как главным объектом обсуждений стал факт скачивания вируса 🙂 Рассказ об этом занимает один пункт
Да я сам в шоке эту проблему решили 60 лет назад сделав антивир на микрокоде процика но капитализм делает свае дело
Пхах, разумеется антивирус будет не лишним, главное контролировать его(настроить), что бы он каждый день судорожно не сканировал диск на наличие вирусов и у вас не будет проблем от него.
Автор, что за чушь ты несёшь?)
Ты просто неопытный пользователь, который решил что он крутой системный админ. Нагуглил инфы и сделал ненужный пост, употребляя умные слова, значения которых ты сам не знаешь. Пишу, потому что прочитал статью и смеюсь — так что принимай критику нормально. Незачем дезинформировать людей. Специально создал аккаунт тут, ради этого коммента.
Давай разберём подробно.
1) Сутки чистил компьютер — чел, после такого лучше ставить начисто Винду, или пройтись нормальным антивирусом, после чего выполнить проверку целостности системных файлов винды, промониторить реестр. То, что ты чистил сутки — только из-за твоей некомпетентности в вопросе. В крайнем случае, есть безопасный режим. Чистая Винда с дальнейшим восстановлением данных из бекапа старой ОС — заняло бы пол дня максимум, с установкой всего (всего!) софта.
2) Сайт казался нормальным — в каком месте?) Любой человек, который имеет хоть малейшие знания об ИБ скажет, что страничка не вызывает ну никакого доверия, слишком уж она пустая, простая. Не говоря уже о том, что если сайт не знаешь — не качай с него ничего) С проверенных источников надо, эх.
3) Код, крадущий пароли из Chromium-основанных браузеров. Ты действительно думаешь, что злоумышленник, который выпустил в прод свой вирус — оставит комменты на русском? Совершенно надёжно и безопасно, как швейцарские часы, бл#ть. Нашёл в интернете пример? Так укажи в статье, что это просто скрин-пример.
4) Посмотри на характеристики своего компа. (а точнее, ноутбука, правильно?) О каком запуске программ с нейронками идёт речь? Чёрт, да есть куча онлайн-сервисов с нейронками, хоть по апскейлу видео-фоток, так и по полной генерации чего-то с нуля.
5) Стиллер может содержать в себе функции. — чё? Это тогда не стиллер, а более продвинутый вирус. Работа стиллера в том, чтобы похитить данные as is — и всё, ничего более. От слова Steal — воровать, stealer — похититель.
6) В телеграмме ничего такого не произошло — потому что читай документацию, смотри инциденты, которые уже имели место быть. Могут только мониторить переписки, а если поставил локальный и облачный пароль — то вообще ничего.
Могу и подробнее расписать, дать рекомендации, но есть ли смысл? Статья чисто о том, как кто-то думал что знает больше, чем обычные пользователи, а оказалось немножко не так)
Добра всем, и меньше подобных инцидентов.
