Троянизация Windows Gadget

В один прекрасный день я заинтересовался как устроены виндовые гаджеты изнутри.
Гаджет – это такая хрень которая появилась в win7, можно поставить красивые часики или чекер погоды.

79b18edab2b5

Ну вы поняли.

Итак, что же  них интересного? Дело в том, что гаджет это html страничка, использующая css и поддерживающая VBA и JScript (не путать с браузерным обрезком).
2 этих скриптовых языка имеют весьма широкое применение.

Подробности:

В win7 существует файл “C:\Users\user\AppData\Local\Microsoft\Windows Sidebar\Settings.ini”, он отвечает за настройки “sidebar.exe”.
Когда вы перетаскиваете гаджет на рабочий стол, в этот файл записываются его настройки, а в реестр прописывается:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "Sidebar"="C:\\Program Files\\Windows Sidebar\\sidebar.exe /autoRun"

Settings.ini Имеет достаточно банальную структуру,
[Section 1]
PrivateSetting_GadgetName=”путь до папки с гаджетом”
PrivateSetting_GadgetOpacity=”100″ – непрозрачность, установите её в ноль и гаджет станет невидим.
[Hashes] – видимо контрольная сумма, мне кажется это превентивная мера от вирусов, но я не замечал что бы win7 ругалась при её отсутствии.

Инсталляция:
Стандартные гаджеты лежат в “C:\Program Files\Windows Sidebar\Gadgets”, но новые складываются в “C:\Users\user\AppData\Local\Microsoft\Windows Sidebar\Gadgets”

Собственно тут напрашивается метод эксплуатации:
1) ставим на авторан “sidebar.exe” – он легален и ав не будет реагировать.
2) меняем “Settings.ini” или код уже установленного гаджета

Перейдём к практике:

Я взял чей-то гаджет и выкинул из него половину мусора, остался только рабочий каркас.
При запуске sidebar отрисовывал белое поле, даже  если html был пустой.

Примерно так:
acdc8149e04f

Тут 2 варианта сокрытия, либо установить непрозрачность в ноль, либо поставить на фон через JS прозрачное изображение.

bd=document.body.style;
bd.width=36;
bd.height=36;
bd.background=’url(images/00.png) no-repeat’;

Я намерено увеличил размер до 36, хотя в моём случае размер прозрачного изображения 32 на 32:
7aca65533c04

Если Изображение полностью прозрачно, то на него нельзя навести курсор и соотвественно менюшка не появится (!).

И наконец, самое вкусное: как всё это эксплуатировать.

var WshShell = new ActiveXObject("WScript.Shell");
WshShell.Run ("\\test.exe",1);

2fffe4495718

One thought on “Троянизация Windows Gadget

  1. Интересная статейка, спасибо. Было бы не плохо, если бы вы еще написали статью, в которой будет собрано вообще максимальное к-во возможных способов закинуть малварь в авторан

Добавить комментарий