Foro de elhacker.net

Ante todo, este troyano tan completo no lo he programado yo. Se trata del famoso troyano Gh0st rat; el mismo que hasta hace pocos meses utilizaba el gobierno chino, para espiar al Dalai lama y a una lista de embajadas enemigas. Esta es la versión 3.6 beta y esta programado en C++.
Entre las características que icluye:

• Sin límite de conexiones(el troyano gestiona y balancea la red automáticamente)
• Conexión inversa
• Tamaño del servidor: 109 Kb
• Capturador de Pantalla con velocidad propia de un cliente VNC; capacidad de ajustar el algoritmo de compresión y profundidad de color. Control total del mouse remoto, con desplazamiento incluido.
• Captura de web cam con posibilidad de compresión y grabado en vídeo de la imagen capturada
• Captura de micrófono (con envío y recepción de audio)
• Shell remota
• Keylogger (offline y online)
• Visualizador de procesos remotos, de contraseñas y de ventanas
• Explorador de archivos remoto
• Utilidad para reiniciar, cerrar la sesión y apagar el PC infectado
• Capacidad de abrir URLs remotas y de actualización del servidor

Unas pequeñas imágenes de muestra:











Para compilar el código fuente se necesita tener instalado el Microsoft SDK 2003 que se descarga de aquí: http://www.microsoft.com/msdownload/platformsdk/sdkupdate/psdk-full.htm, el visual C++ 6.0 y opcionalmente, (si se quiere modificar un driver interno que incluye el servidor) el Windows DDK 3790.1830. Con estas herramientas compila sin fallo alguno.

El servidor no usa inyección en memoria, si no que se registra como servicio de Windows con privilegios de sistema.
Adjunto dos versiones diferentes del virus: El código fuente con los diálogos traducidos desde el chino al español, y el código fuente original (en chino).
También subo dos binarios diferentes, uno en inglés y otro traducido al español.

El proyecto esta muy avanzado y es completamente funcional, aún así espero que la gente se anime a toquetearlo y postee las mejoras en el código que le haga.
Desde luego, el troyano es un digno sucesor del Bifrost y del Poison Ivy, y tiene algo que no poseían los otros, el código fuente, con lo que hacerlo indetectable no debe de ser muy complicado.

Código fuente del programa:
Versión original Traducción al español
Binarios del programa:
Versión en inglés: Versión en Español:  

  Si es chino ha de ser muy bueno

 
  Si no se especifica que es lo que hace esa dll y si no viene el source de la misma creo que alli hay una trampa  :silbar:

  Suena muy bueno   :laugh: pero hay que descargarlo y manipularlo con guantes quirurgicos  :silbar:


 Descargando Source .......

Jaixxon Jax, esa Dll es el troyano en sí; forma parte del servicio que crea el server en el ordenador, para poderse iniciar cada vez que se encienda el ordenador. En mi experiencia, a parte de lo de esa Dll y algunos archivos mas que crea al ser ejecutado, el programa aparentemente no tiene comportamientos extraños, aunque nunca es suficiente toda precaución.

   Cuando los descomprimi salto el AV ,poara la proxima sube el source por un lado y los exes por otro  :silbar: al parecer no es 100 % FUD  

 le hechare un vistazo ha ver al source se ve muy bueno Saludos.


  Esta cosa esta de lujo  :laugh: aqui tengo codigo para devorar por lo menos pa tres dias.

Me ha gustado mucho el aporte ;D, todo muy bien explicadito, nada de un link y ya os apañais ;)

Lo añado a la recopilacion ;)

Muchas gracias, que pena que en mi pais no me permitas descargar de depositfiles :S ...
saludos

algun proxy?? ;)

muy buena herramienta,si señor.lastima que no se c ++, por hay tenia microsoft visual c++, este sirve para compilarlo? es que me lio con tantos .cab.


y luego cometar que baje el binario para trastear la nueva herramienta y ver que tal anda,parece facil de comfigurar,pero no logro que conecte. el servidor al ejecurtalo se ha de borrar solo?

y dice un aviso de que falta un archivo algo asin como qqwry.dat para ver la localizacion de las victimas. yo solo veo un exe.


otra cosa fue que al arrancar la herramienta,ya me muestra mi ip donde la dns y le doy a probar y dice que conecta correctamente,pero si le canbio de puerto dice que no y eso que esta abierto.

bueno ya me direis un salu2

De un troyano así me esperaria un rootkit en ring 0, o un bootkit :¬¬ :¬¬

De todas formas tiene montón de codigo que me sera util, muchas gracias! :D

Bajando source + español + el original, no me pierdo nada. ni loca.

Hola buen dia, yo se que el post es un poco viejo pero alguien me podria compartir el codigo fuente si aun lo conservan PLS! Grascias de antemano.

hola, apenas me di cuenta de este thread. alguien puedo compartir los codigos porfavor  ;D