Некролог на Web-Money Keeper Classic


Внутри Keeper'а


Последняя (на момент написания этих строк) версия Keeper'а проходила под номером 3.0.0.2 и занимала порядка ~1.9 Мбайт. После установки, на диске в папке WebMoney образовалось множество файлов среди которых: WebMoney.exe (пусковой файл, размером 183.024 Байт, упакованный по сообщению PEiD протектором ASProtect 1.2x - 1.3x) и WWClient.dll (динамическая библиотека, реализующая основной функционал, размер — 3.331.824, не упакована).

 

Рисунок 7 скачиваем Keeper Classic

Собственно говоря, WebMoney.exe можно сразу отбросить в сторону, не тратя силы на распаковку — все равно, ничего интересного там нет. Но прежде представляет интерес запустить монитор реестра и посмотреть в какие ветви реестра лезет Keeper и не пытается ли он получить доступ к той информации, разглашать которую мы не хотим?

 

Рисунок 8 наблюдение за деятельностью Keeper'а с помощью монитора реестра (листинг приводится с сокращениями)

Даже "невооруженным" глазом видно, что сразу же после запуска Keeper ринулся определять имя чипа сетевой карты ("AMD PCNET Family PCI Ethernet" в данном случае), имя машины ("W2K"), и, если покопаться в дампе памяти, там можно обнаружить и MAC адрес моей сетевой карты — 00-0C-29-F6-6C-3C (виртуальный, естественно). Кстати, чтобы узнать свой MAC-адрес достаточно запустить штатную утилиту ipconfig c ключом /all:

 

Рисунок 9 определение собственного MAC-адреса при помощи штатной утилиты ipconfig

"Честные" программы не нуждаются в MAC-адресах и работают с Сетью через TCP/IP протоколы. Зачем же тогда Keeper'у потребовался наш MAC-адрес? А вот зачем! MAC -адрес уникален для каждой карты и, хотя его теоретически возможно сменить на другой даже _без_ использования программатора — это считается веской уликой при расследовании преступления.

Значит, все-таки Keeper палит наш компьютер! И насколько глубоко? Берем в руки IDA Pro, загружаем WWClient.dll внутрь и пока оно там дизассемблируется (а дизассемблироваться оно будет долго), достаем из заначки непочатую бутылку пива, затягиваемся сигаретой и думаем, думаем, думаем…




Начало  Назад  Вперед



Книжный магазин