книги хакеры / журнал хакер / 180_compressed

100

Malware

ХАКЕР 01 /180/ 2014

флешки:

Общее количество зафиксированных попыток установки FinSpy за период июнь 2012 — июнь 2013 года

•

использование стандартного механизма

Autorun.inf (аналогично большинству чер-

вей, детектируемых «ЛК» как Worm.Win32.

•

Механизм самообновления.

FinSpy. — Прим. ред.) преподнесла неожиданные

AutoRun);

•

Использование алгоритма шифрования AES

сюрпризы.

•

использование фальшивой записи Open

для работы с файлами и серверами управле-

Самый главный вопрос: а может ли FinSpy

folder to view files (популярный метод

ния.

выполнять произвольный код оператора? Если

для самораспространения червей, в част-

•

Установка драйверов.

с RCS узнать это, разреверсив протокол общения

ности червя Kido/Confiker);

ЭТО ВТОРЖЕНИЕ: FINSPY/FINFISHER

с командным центром, особых проблем не до-

• использование уязвимости CVE-2010-2568

ставило, то в случае с продуктом Gamma все

(так делал Stuxnet при самораспростране-

Знакомство со вторым ярким представителем

было куда сложнее — у дизассемблеров срывало

нии через LNK-файлы).

правительственной малвари состоялось так-

крышу от обилия инструкций типа «EB FF» (джам-

• Заражение виртуальных машин VMware с са-

же в середине 2011 года, когда обнаружились

пы на минус 1 байт, которые вновь ведут на по-

мокопированием в папку автозапуска вирту-

первые семплы Finfisher и мобильные семплы

падание на половину инструкции джампа). И так

ального диска.

FinSpy. Я сразу же подумал, что анализ малвари

каждые десять инструкций. Если же пытаться

• Заражение мобильных устройств BlackBerry

пойдет так же хорошо, как в случае с продуктом

смотреть все это дело в IDA, то нужно писать спе-

и Windows CE.

HackingTeam. Но Gamma (разработчик Finfisher/

циальный скрипт, который фильтрует эту гадость.

102

Кодинг

ХАКЕР

01 /18

0/

2014

О том, что стоящий в твоей комнате традиционный телефон с аккуратно

Александр

Павел

лежащей на нем трубкой все равно может за тобой шпионить, известно

Захаров

Родионов

чуть ли не со времен А. Г. Белла. Смартфоны продвинулись по этой скольз-

кой дорожке значительно дальше. А как все это выглядит с программной

точки зрения?

Кирилл

Андрей

Носков

Наумов

ВВЕДЕНИЕ

com/sdk/index.html). Для работы данных ком-

public void run() {

В этой статье мы рассмотрим программу, уста-

понентов необходим установленный комплект

try {

новленную на телефоне с операционной систе-

разработчика приложений Java Develovoper Kit

// Подключение к сокету, получение

мой Android, которая без палева передает данные

(tinyurl.com/355cx3m). После настройки всех

// исходящего потока, отправка

на сервер, установленный на персональном ком-

необходимых компонентов подключаем к ком-

// идентификатора устройства

пьютере. Для решения поставленной задачи нам

пьютеру телефон (не забываем про ОС Android)

} catch (IOException e) {

потребуется несколько вещей. В первую очередь

с включенной возможностью отладки по USB.

// Обработка возможных ошибок

это желание, а затем такие мелочи, как телефон

Теперь ты готов кодить! Создай проект в Eclipse

// и запись их в лог

(с операционной системой Android), компьютер

и начинай писать программу. Написать класс

}

и интернет. Начнем с разработки алгоритма вза-

для подключения к серверу труда не составит.

// Создание буфера

имодействия клиента и сервера.

Основные поля этого класса: Socket (программ-

byte data[] = new byte[bufferSize];

Все операции обмена данными между клиен-

ный интерфейс для обеспечения обмена дан-

while (isRecording) {

том и сервером будут происходить по протоколу

ными между клиентом и сервером), IP (адрес

// Чтение данных с микрофона

TCP/IP. В связи с тем что все взаимодействия

для подключения), Port (параметр протоколов

// в буфер

представляют собой пересылку последователь-

TCP и UDP), поток для приема данных, поток

read = recorder.read(data, 0,

ности байт от клиента к серверу или наоборот,

для передачи данных. Следуя принципам объек-

bufferSize);

необходимо разработать формат отправляемых

тно-ориентированного программирования, все

if (AudioRecord.

пакетов данных. Кроме непосредственно данных,

поля делаем приватными (private). В этом клас-

ERROR_INVALID_OPERATION != read) {

будем также передавать дополнительную инфор-

се реализуем метод sendPacket() и задаем его

totalDataSize += data.length;

мацию, а именно размер пакета и идентификатор

тип synchronized. Synchronized имеет два важных

// Отправка буфера на сервер

команды.

аспекта: это гарантия того, что только один поток

sendPacket(PackageType.

Ниже описана разработанная система команд

выполняет секцию кода в один момент времени,

client_send_data, data);

между клиентом и сервером. Все команды пере-

а данные, измененные одним потоком, будут вид-

}

даются побайтово в следующем формате:

ны всем другим потокам. В методе sendPacket()

}

при отправке данных создаем блок обработки ис-

// Закрытие соединения с сервером

<Размер пакета (4 байта)>

ключений. Если возникает исключение, информа-

closeSocket();

<Идентификатор команды (4 байта)>

цию о нем записываем в лог и закрываем сокет.

}

[<Дополнительные данные >]

Но на этом не стоит останавливаться, по-

требуется класс для записи данных (звука)

Подробный код ты можешь посмотреть в фай-

Команды:

(WavRecorder). Для этого класса необходимо опи-

ле WavStreamer.java. Для самого простого клиента

• 0 — успешно выполнено;

сать:

этих классов и методов будет достаточно.

• -1 — произошла ошибка;

• количество бит на семпл (описываем в виде

Создадим экземпляр Socket’a и будем коннек-

• 1 — подключение клиента;

константы RECORDER_BPP = 16);

титься к серверу (о котором речь пойдет далее).

• 2 — начало записи;

•

количество каналов записи (CHANNEL_IN_

В случае удачного присоединения к серверу про-

• 3 — отправка записанного AAC-файла;

MONO);

грамма ожидает дальнейших указаний пользова-

• 4 — отправка записанного WAV-файла;

• формат записи (ENCODING_PCM_16BIT);

теля о необходимости записи. Если соединение

• 5 — потоковая передача данных;

• флаг, показывающий, идет ли в данный мо-

не установлено, пользователь должен быть про-

• 6 — потоковая передача WAV-заголовка.

мент запись (по умолчанию false);

информирован об этом (в нашем случае ошибкой

КЛИЕНТ

•

идентификатор устройства;

соединения). Если мы хотим начать запись, то кли-

•

IP-адрес сервера;

ент должен сообщить об этом серверу. Клиент от-

Для начала давай зададимся вопросом, а что дол-

• номер порта на сервере.

правляет пакет данных, в котором есть некий код.

жен делать клиент. В нашем случае необходимо,

По этому коду наш сервер понимает, что клиент на-

чтобы телефон записывал звук в фоновом режи-

Все поля класса также делаем приватными.

чал запись. Для старта записи звука в программе

ме, после чего незаметно для пользователя от-

На этом можно было бы и остановиться, но су-

создается поток WavRecorder. Этот поток записы-

правлял файл со звуком на сервер. Причем начи-

ществует одна проблема: пользователю необхо-

вает звуковые данные с микрофона клиента-теле-

нать запись телефон будет только с того момента,

димо будет нажать на кнопку «Отправить файл»

фона. Чтобы открыть полученный файл в аудио-

как пользователь нажмет кнопку записи, а общее

после записи, а это не самый логичный вариант

проигрывателе, необходимо записать заголовок,

время записи задает сам пользователь в на-

для скрытого сбора данных. Для передачи данных

который состоит из определенным образом сфор-

стройках программы. Итак, задача поставлена,

в режиме непрерывной отправки на сервер на-

мированной последовательности данных (байт).

необходимо найти ее решение. На борту наше-

пишем класс WavStreamer. Основой этого класса

Эта последовательность представляет собой

го клиент-телефона установлена операционная

является метод run() (выполняется в отдельном

определенным образом созданный

байтовый

система Android. Из этого очевиден выбор языка

потоке). Будем использовать его для записи звука

массив. Подобный массив описывается во мно-

программирования — им становится Java.

и отправки данных на сервер — для дальнейшего

гих интернет-источниках, если тебе не хочется

Для написания клиента установим на пер-

хранения или обработки. Для потоковой переда-

искать его на просторах глобальной сети, то мо-

сональный компьютер IDE Eclipse (eclipse.org/

чи звука создадим «динамический» буфер, в него

жешь посмотреть в исходниках (он расположен

downloads) и Android SDK (developer.android.

будут записываться наши данные с микрофона.

в файле WavStreamer.java).

ХАКЕРР 01 /180/ 2014

Шпион-андроидофон

103

Исключительно

в образовательных

Клиент 1

Клиент 2

Клиент 3

Клиент 4

целях!

sendPacket() sendPacket() sendPacket() sendPacket()

Автор и редакция напоминают,

что вся представленная в статье

информация опубликована ис-

ключительно в образовательных

целях. В конце концов, запись

аудио и передача его на сайт —

задача не редкая, нужная и мо-

000

нетизируемая в самых обычных

Сервер getMessage()

приложениях. Не нарушай закон!

GUI мобильного

Схема

Уведомление во время

приложения

взаимодействия

активной записи

Казалось бы, все должно работать… Но воз-

типа QTcpServer, отвечающий за сетевое взаи-

point_funccmd ()();

никает вопрос: почему не работает? Так как мы

модействие. MyServer на вход подается номер

buf.clear();

пользовались функциями интернета и записи

порта и IP, на котором будет работать QTcpServer.

getMessage();

аудио, необходимо сообщить виртуальной Java-

В обязанности данного класса входит управле-

}

машине Dalvik о том, что наше приложение поль-

ние новыми соединениями и перенаправление

}

зуется этими системными функциями. Давай

подключенных клиентов на другой класс. Для на-

заглянем в файл AndroidManifest.xml и добавим

чала запустим QTcpServer, передав ему входные

Для каждого клиента создается новый ка-

в него следующие строчки:

данные, и установим обработчик (слот) на сигнал

талог, в который записываются файлы клиента.

// Доступ в интернет

типа newConnection(). Этот сигнал генерируется

Таким образом, два клиента не будут иметь воз-

объектом класса QTcpServer при появлении ново-

можность записывать данные в один и тот же

<uses-permission android:name="android.

го соединения. В случае успешного запуска сер-

каталог. Файлы, хранящиеся на сервере, могут

permission.INTERNET" />

вер переходит в режим сканирования порта.

быть открыты с использованием любого аудио-

Обработчик новых подключений передает за-

плеера (для примера был использован VLC media

// Запись звука с микрофона

дачу по считыванию поступающих данных на объ-

player — https://videolan.org), который поддержи-

<uses-permission android:name="android.

ект типа User.

вает воспроизведение файлов формата WAV.

permission.RECORD_AUDIO" />

void MyServer::connection() {

НЕТ ПРЕДЕЛА СОВЕРШЕНСТВУ

После этого Java-машина предоставит доступ

from = server - >

При желании можно добавить различные фичи

к запрашиваемым системным функциям, описы-

nextPendingConnection();

в этот проект. Один из вариантов дальнейшего

ваемым в манифесте.

User * client = new User;

развития — это сервер, находящийся не на ком-

После добавления некоторых элементов ин-

connect(from, SIGNAL(readyRead()),

пьютере пользователя, а где-нибудь в облаке.

терфейса наш клиент полностью готов и можно

client, SLOT(getMessage()));

Кроме «облачного сервера», можно создать учет-

переходить к написанию сервера.

}

ные данные пользователя — один и тот же чело-

СЕРВЕР

век может совершать запись звука с различных

Класс User при помощи функции getMessage()

телефонов. Но хранить данные в разных папках

Как и в случае с клиентом, зададимся вопросом:

обрабатывает поступающие данные и вызывает

ему будет неудобно.

что должен делать сервер? Исходя из задач са-

соответствующую функцию для обработки запро-

Решить эту проблему способна учетная за-

мого клиента, сервер должен иметь возможность

са от клиента.

пись пользователя. При вводе своих данных поль-

получать данные от клиентов. Данные каждого

void User::getMessage() {

зователь сможет добавлять файлы с телефона

клиента будут находиться в разных папках и не бу-

другого человека в свой каталог. Правда, реализа-

дут пересекаться с данными других пользовате-

static qint32 size_msg = 0, cmd;

ция данных новшеств привносит и новые задачи.

лей. Сервер напишем на языке C++ с использова-

from = (QTcpSocket * ) sender();

При создании системы учетных записей необхо-

нием фреймворка Qt5 (qt-project.org/downloads).

if ((from - > bytesAvailable() > 0 &&

димо хранить базу данных клиентов, с их логина-

Qt — кросс-платформенный инструментарий

size_msg) || (from - >

ми и паролями. Причем эта база данных должна

разработки ПО. Он включает в себя все основные

bytesAvailable() > 2*sizeof(qint32))){

быть хорошо защищена. Ведь никому не хочется,

классы, которые могут потребоваться при разра-

QDataStream getm(from);

чтобы его файлы были всем доступны :).

ботке прикладного программного обеспечения,

В случае с «облачным сервером» возникает

начиная от элементов графического интерфейса

if (size_msg == 0) {

проблема доступа к данным, полученным с мо-

и заканчивая классами для работы с сетью, база-

getm >> size_msg >> cmd;

бильного устройства. Решить эту проблему мож-

ми данных и XML.

size_msg -= sizeof(qint32);

но путем создания специального клиента-адми-

Одну из основных особенностей Qt составляет

buf.clear();

нистратора, который получает доступ к данным

повсеместное применение концепции сигналов

}

под конкретной учетной записью и только под

и слотов, использующихся для взаимодействия

qint8 ch;

ней. Защита звуковых данных пользователя пре-

между объектами. По своей сути слот — это метод

жде всего!

класса, который вызывается, когда происходит ка-

while (!getm.atEnd() && size_msg >

кое-либо событие (сигнал). Это сильно облегчает

0) {

ЗАКЛЮЧЕНИЕ

разработку графических интерфейсов или работу

--size_msg;

Поставленная нами в начале статьи цель достиг-

с сетью. Достаточно подписаться на какой-то сиг-

getm >> ch;

нута. Теперь, запустив нашу программу и «слу-

нал, который генерирует сам Qt или один из клас-

buf.append(ch);

чайно» забыв где-нибудь телефон, ты узнаешь

сов программы, и нужная функция-обработчик бу-

}

о том, что за спиной говорят про тех, кто оставля-

дет автоматически вызвана при его наступлении.

ет свой дорогостоящий смартфон без присмотра

Теперь перейдем к описанию структуры

if (size_msg <= 0 && point_func.

:). При этом телефон для всех окружающих нахо-

сервера. Основным классом сервера является

find(cmd) != point_func.end())

дится в спящем режиме, а файлов с записанным

MyServer, который инкапсулирует в себе объект

bool r = (this - > *

звуком на нем не будет.

ХАКЕР 01 /180/ 2014

Meteor: новый подход к разработке веб-приложений

107

// Событие, срабатывающее при запуске сервера

x += e.target.parentElement.offsetLeft;

Meteor.startup(function () {

var id = e.dataTransfer.getData("_id");

// Очистим и добавим предопределенные карты

// Меняем позицию карты

playingCards.remove( {} );

if (e.dataTransfer.getData("source") ===

playingCards.insert( {rank: "1", suit:

("play")) {

"spade", pos: 100, selected: false} );

// Корректируем документ в БД

playingCards.insert( {rank: "2", suit:

playingCards.update( {_id: id}, {$set:

"heart", pos: 200, selected: true } );

{pos: x-origX}});

playingCards.insert( {rank: "3", suit:

}

"diamond", pos: 300, selected: false} );

e.stopPropagation();

playingCards.insert( {rank: "4", suit:

return false;

"club", pos: 400, selected: false} );

},

});

'dragover #play_area' : function(e) {

}

e.preventDefault();

console.log(e.dataTransfer.getData("source"));

В нашем примере объявлена функция Template.play_tmpl.

if (e.dataTransfer.getData("source") ===

cards = function(), которая возвращает в клиенте результат за-

("play")) return true;

проса в формате базы MongoDB из коллекции playingCards.

else return false;

При этом любое изменение данных внутри базы, на которую

}

ссылается коллекция playingCards, вызовет автоматическое об-

});

новление информации, отображаемой на веб-странице.

Исходные данные в эту коллекцию заносятся сервером чуть

Внутри обработчика события с помощью объекта this нам

ниже по событию Meteor.startup();. Если коллекция объявлена

непосредственно доступны те данные, которые были исполь-

так, как это сделано у нас сейчас, ее видимость ограничена

зованы при заполнении шаблона. Так, внутри обработчика

пакетом (если бы мы разрабатывали пакет) или приложением

'dragstart .card' this._id — это тот самый внутренний уникальный

и она доступна из консоли.

идентификатор документа в терминах MongoDB, а this.suit —

Например:

масть карты, которую начали перетаскивать. Идентификатор _id

мы и сохраняем в привычном объекте e.dataTransfer.

> playingCards.findOne();

В конце перетаскивания мы получаем сохраненный иден-

Object {_id: "CpuEFFzgpcs6bAmkv", rank: "1",

тификатор и корректируем поле pos карты с идентификатором

suit: "spade", pos: 100, selected: false}

_id в соответствии с текущей и исходной позициями указателя

мыши с помощью метода

Обрати внимание на поле _id — это автоматически гене-

playingCards.update(

рируемый уникальный идентификатор документа внутри базы

данных MongoDB.

{_id: id},

Если же мы объявим ее с ключевым словом var:

{$set: {pos: x - origX}}

var playingCards = new Meteor.Collection

);

("playingCards");

Все обновление данных между всеми клиентами и серве-

ром дальше происходит автоматически. Открой второе окно

то видимость будет ограничена только текущим файлом и такая

браузера, поперекладывай карты.

переменная не будет доступна в консоли браузера.

Только задумайся: в нашем проекте на самом деле нет и ста

Взгляни на результат в браузере. Те данные, которые добав-

строк кода, из которых чуть ли не большая часть отводится

лены с серверной стороны, доступны во всех клиентах.

на отработку перетаскивания, а представление данных между

Верно будет и обратное. Поперекладываем карты в бра-

всеми подключенными клиентами и сервером уже синхронизи-

узере, чтобы почувствовать все это своими руками. Для этого

ровано!

в файл cards.js добавим обработку событий drag and drop в бра-

Для компенсации задержек при обмене с сервером все

узере внутри блока if (Meteor.isClient) {}:

изменения данных Meteor.Collection каждого клиента сначала

Template.play_tmpl.events({

сохраняются в локальном хранилище и отображаются поль-

зователю. Далее они передаются серверу, который сохраняет

'dragstart .card' : function(e) {

Приложение Meteor

новые значения уже в своей базе и отправляет обратно под-

e.dataTransfer.setData("source", "play");

в среде разработки

тверждение, затем рассылает их всем остальным клиентам,

// Сохраняем идентификатор объекта данных

WebStorm

а они автоматически отобразят обновленные данные при их по-

e.dataTransfer.setData("_id", this._id);