IExpress全力打造“免檢”木馬
IExpress小檔案
出身:Microsoft
功能:專用于制作各種 CAB 壓縮與自解壓縮包的工具。
由于是Windows自帶的程序，所以制作出來的安裝包具有很好的兼容性。它可以幫助木馬傳播者制造不被殺毒軟件查殺的自解壓包，而且一般情況下還可偽裝成某個(gè)系統(tǒng)軟件的補(bǔ)丁(如IE的hotfix)來迷惑人。
到哪里尋找永遠(yuǎn)都不會(huì)被查殺的捆綁方法或工具?遠(yuǎn)在天邊，近在眼前?？汕f別忘了與你朝夕相處的Windows。此次所要介紹的捆綁工具就是Windows自帶的一個(gè)小巧的軟件IExpress(適用于2000和XP系統(tǒng))。
原理
IExpress使用了多種不同的自解壓縮文件技術(shù)對(duì)軟件更新文件進(jìn)行打包，這些自解壓包能夠自動(dòng)運(yùn)行程序包中包含的EXE程序。IExpress技術(shù)是Microsoft使用的一項(xiàng)技術(shù)，用于為某些Microsoft Internet Explorer版本、某些Windows版本以及其他多種產(chǎn)品創(chuàng)建軟件更新程序包。
如何確定某個(gè)軟件更新程序包是否使用了IExpress呢?方法如下:
1.右鍵單擊該程序包，然后單擊“屬性”。
2.在“常規(guī)”選項(xiàng)卡中，查看“描述”。使用了IExpress技術(shù)的軟件更新程序包中會(huì)包含“Win32 Cabinet Self-Extractor”字樣。
實(shí)際操作
在這一部分，筆者將以實(shí)例的形式為大家詳細(xì)講解捆綁木馬的整個(gè)過程。
第一步
在“運(yùn)行”對(duì)話框中輸入IExpress就可啟動(dòng)程序(圖1)。
在開始的時(shí)候會(huì)有兩個(gè)選項(xiàng)供你選擇，一個(gè)是創(chuàng)建新的自解壓文件(Create new Self Extraction Directive file)，另一個(gè)是打開已經(jīng)保存的自解壓模板“.sed”文件(Open existing Self Extraction Directive file)。我們應(yīng)該選擇第一項(xiàng)，然后點(diǎn)擊“下一步”按鈕。
第二步
接下來選擇制作木馬自解壓包的三種打包方式(圖2)，它們分別是建立自解壓并自動(dòng)安裝壓縮包(Extract files and run an installation command)、建立自解壓壓縮包(Extract files only)和建立CAB壓縮包(Create compressed files only)。
因?yàn)槲覀円谱鞯氖悄抉R解壓包，所以應(yīng)該選擇第一項(xiàng)。在輸入壓縮包標(biāo)題后點(diǎn)擊“下一步”按鈕。
第三步
在“確認(rèn)提示”(Confirmation prompt)這一環(huán)節(jié)，軟件會(huì)詢問在木馬程序解包前是否提示用戶進(jìn)行確認(rèn)，由于我們是在制作木馬程序的解壓包，當(dāng)然越隱蔽越好，選擇第一項(xiàng)“不提示”(No prompt)，這么做的目的是讓中招人毫無防備。點(diǎn)擊“下一步”按鈕，在接下來的添加“用戶允許協(xié)議”(License agreement)中添加一個(gè)偽裝的用戶協(xié)議迷惑中招者，選擇“顯示用戶允許協(xié)議”(Display a license)，點(diǎn)擊“Browse”選擇一份編輯好的TXT文檔，此文檔可以用微軟公司的名義來編輯，設(shè)置完畢后點(diǎn)擊“下一步”。這一步的目的是迷惑對(duì)手并隱藏木馬安裝的過程。
第四步
現(xiàn)在，我們就進(jìn)入了文件列表窗口(Packaged files)。點(diǎn)擊該窗口中的“Add”按鈕添加木馬和將要與木馬程序捆綁在一起的合法程序。根據(jù)剛才編輯的協(xié)議文件的內(nèi)容添加合法程序。例如，你制作的協(xié)議和IE補(bǔ)丁包相關(guān)，那么你就可將木馬和一個(gè)正常的IE補(bǔ)丁包添加進(jìn)來。
隨后進(jìn)入安裝程序選擇窗口，指定解壓縮包開始運(yùn)行的文件(Install Program)和安裝結(jié)束后運(yùn)行的程序(post install command)。例如，在Install Program內(nèi)設(shè)置正常的IE補(bǔ)丁包先運(yùn)行，此時(shí)木馬并未運(yùn)行，在中招者看來的確是一個(gè)IE補(bǔ)丁包。在post install command內(nèi)設(shè)置木馬程序，這樣在IE補(bǔ)丁包安裝完畢時(shí)，木馬程序?qū)?huì)在后臺(tái)執(zhí)行，我們的目的也就達(dá)到了。
第五步
接下來選擇軟件在安裝過程中的顯示模式(Show window)。由于我們的木馬是和合法程序捆綁在一起的，所以選擇“默認(rèn)”(Default)即可。接下來進(jìn)行提示語句(Finished message)的顯示設(shè)置，由于我們做的是木馬捆綁安裝程序，當(dāng)然應(yīng)該選擇“No message”。
第六步
上述設(shè)置完成后，接著設(shè)置自解壓程序的保存位置和名稱。在這里要選擇“Hide File Extracting Progress Animation from User”，以便隱藏解壓縮過程，有助于隱藏某些木馬程序啟動(dòng)時(shí)彈出的命令提示框。最后，設(shè)置在軟件安裝完成后是否重新啟動(dòng)(Configure reboot)，可以根據(jù)實(shí)際需要來選擇。如果你所用的木馬是“即插即用”的，那么就選擇“No reboot”;如果所采用的木馬用于開啟終端服務(wù)，那么可選擇“Always reboot”，同時(shí)選擇“重新啟動(dòng)前不提示用戶”(Do not prompt user before reboot)。
在保存剛才所做的設(shè)置后點(diǎn)擊“下一步”按鈕，即可開始制作木馬自解壓程序。
整個(gè)制作過程是在DOS下進(jìn)行的，在完成度達(dá)到100%后會(huì)彈出提示窗口，點(diǎn)擊“完成”，木馬程序與合法程序的捆綁工作就完成了(格式為EXE)，直接雙擊即可運(yùn)行。你再用殺毒軟件查一查。怎么樣?已經(jīng)完全不會(huì)被查出來了吧。
現(xiàn)在還等什么?趕快利用“木馬屠城”介紹過的網(wǎng)頁木馬傳播技術(shù)或木馬電子書技術(shù)發(fā)布你的木馬去吧。當(dāng)然，你也可以把它作為IE的重要補(bǔ)丁發(fā)送給別人。
不用第三方工具，無需過多的加殼偽裝，讓“Windows”來為我們服務(wù)，為我們捆綁木馬，豈不快哉。
防范措施
可以先檢查可疑的程序包是否采用了IExpress技術(shù)(“原理”部分已介紹)。如果采用了IExpress技術(shù)，那么你就得留心了，此時(shí)可以進(jìn)入命令提示符下使用“IExpress /c”命令來解壓縮文件(不進(jìn)行安裝)以檢查程序包中是否有木馬，同時(shí)還可加上參數(shù)“/t:path”指定解壓路徑。
編后:
普通用戶應(yīng)該提高警惕了，很多木馬制作者了解到用戶對(duì)漏洞的恐懼，利用用戶急著打最新補(bǔ)丁的心理借機(jī)入侵。在看似合法的補(bǔ)丁程序中，極有可能隱藏著木馬程序。所以，在此提醒大家，千萬不要在操作系統(tǒng)和軟件的非官方站點(diǎn)下載補(bǔ)丁程序包，因?yàn)檫@些程序包很有可能是被捆綁了惡意程序的虛假程序包。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
