[SOURCE] Gh0st RAT

[gryphus_d]

Troyano Gh0st rat

Ante todo, este troyano tan completo no lo he programado yo. Se trata del famoso troyano Gh0st rat; el mismo que hasta hace pocos meses utilizaba el gobierno chino, para espiar al Dalai lama y a una lista de embajadas enemigas. Esta es la versión 3.6 beta y esta programado en C++.
Entre las características que icluye:

• Sin límite de conexiones(el troyano gestiona y balancea la red automáticamente)
• Conexión inversa
• Tamaño del servidor: 109 Kb
• Capturador de Pantalla con velocidad propia de un cliente VNC; capacidad de ajustar el algoritmo de compresión y profundidad de color. Control total del mouse remoto, con desplazamiento incluido.
• Captura de web cam con posibilidad de compresión y grabado en vídeo de la imagen capturada
• Captura de micrófono (con envío y recepción de audio)
• Shell remota
• Keylogger (offline y online)
• Visualizador de procesos remotos, de contraseñas y de ventanas
• Explorador de archivos remoto
• Utilidad para reiniciar, cerrar la sesión y apagar el PC infectado
• Capacidad de abrir URLs remotas y de actualización del servidor

Unas pequeñas imágenes de muestra:

Ventana principal

Creación del server

File manager

Visualizador de procesos

Captura de pantalla

Para compilar el código fuente se necesita tener instalado el Microsoft SDK 2003 que se descarga de aquí: http://www.microsoft.com/msdownload/platformsdk/sdkupdate/psdk-full.htm, el visual C++ 6.0 y opcionalmente, (si se quiere modificar un driver interno que incluye el servidor) el Windows DDK 3790.1830. Con estas herramientas compila sin fallo alguno.

El servidor no usa inyección en memoria, si no que se registra como servicio de Windows con privilegios de sistema.
Adjunto dos versiones diferentes del virus: El código fuente con los diálogos traducidos desde el chino al español, y el código fuente original (en chino).
También subo dos binarios diferentes, uno en inglés y otro traducido al español.

El proyecto esta muy avanzado y es completamente funcional, aún así espero que la gente se anime a toquetearlo y postee las mejoras en el código que le haga.
Desde luego, el troyano es un digno sucesor del Bifrost y del Poison Ivy, y tiene algo que no poseían los otros, el código fuente, con lo que hacerlo indetectable no debe de ser muy complicado.

Código fuente del programa:
Versión original

Código [Seleccionar] Expandir

http://depositfiles.com/files/v5aazl2sh
Traducción al español

Código [Seleccionar] Expandir

http://depositfiles.com/files/uqmntw625

Binarios del programa:
Versión en inglés:

Código [Seleccionar] Expandir

http://depositfiles.com/files/r95bc33be
Versión en Español:  

Código [Seleccionar] Expandir

http://depositfiles.com/files/qqqqo24b6

[Jaixon Jax]

Ante todo, este troyano tan completo no lo he programado yo. Se trata del famoso troyano Gh0st rat; el mismo que hasta hace pocos meses utilizaba el gobierno chino, para espiar al Dalai lama y a una lista de embajadas enemigas. Esta es la versión 3.6 beta y esta programado en C++.
Entre las características que icluye:

  Si es chino ha de ser muy bueno

 

Como curiosidad, el server nada mas ser ejecutado, crea un fichero llamado 6to4svc.dll en System32, y se registra como servicio de windows, para autoiniciarse cada vez que se encienda el ordenador.
El binario que adjunto no lo he compilado yo de las fuentes directamente, sino que lo he encontrado por la red.
Quien quiera compilar el código fuente, solo lo hace bajo Visual C++ 6.0.

  Si no se especifica que es lo que hace esa dll y si no viene el source de la misma creo que alli hay una trampa 

  Suena muy bueno    pero hay que descargarlo y manipularlo con guantes quirurgicos 


Descargando Source .......

[gryphus_d]

Jaixxon Jax, esa Dll es el troyano en sí; forma parte del servicio que crea el server en el ordenador, para poderse iniciar cada vez que se encienda el ordenador. En mi experiencia, a parte de lo de esa Dll y algunos archivos mas que crea al ser ejecutado, el programa aparentemente no tiene comportamientos extraños, aunque nunca es suficiente toda precaución.

[Jaixon Jax]

   Cuando los descomprimi salto el AV ,poara la proxima sube el source por un lado y los exes por otro   al parecer no es 100 % FUD  

le hechare un vistazo ha ver al source se ve muy bueno Saludos.


  Esta cosa esta de lujo  aqui tengo codigo para devorar por lo menos pa tres dias.

[Karcrack]

Me ha gustado mucho el aporte , todo muy bien explicadito, nada de un link y ya os apañais

Lo añado a la recopilacion

[G0NPIN]

Muchas gracias, que pena que en mi pais no me permitas descargar de depositfiles :S ...
saludos

[popito_cba]

Muchas gracias, que pena que en mi pais no me permitas descargar de depositfiles :S ...
saludos

algun proxy??

[mojolloyo20]

muy buena herramienta,si señor.lastima que no se c ++, por hay tenia microsoft visual c++, este sirve para compilarlo? es que me lio con tantos .cab.


y luego cometar que baje el binario para trastear la nueva herramienta y ver que tal anda,parece facil de comfigurar,pero no logro que conecte. el servidor al ejecurtalo se ha de borrar solo?

y dice un aviso de que falta un archivo algo asin como qqwry.dat para ver la localizacion de las victimas. yo solo veo un exe.


otra cosa fue que al arrancar la herramienta,ya me muestra mi ip donde la dns y le doy a probar y dice que conecta correctamente,pero si le canbio de puerto dice que no y eso que esta abierto.

bueno ya me direis un salu2

[Jubjub]

Troyano Gh0st rat

Ante todo, este troyano tan completo no lo he programado yo. Se trata del famoso troyano Gh0st rat; el mismo que hasta hace pocos meses utilizaba el gobierno chino, para espiar al Dalai lama y a una lista de embajadas enemigas. Esta es la versión 3.6 beta y esta programado en C++.

De un troyano así me esperaria un rootkit en ring 0, o un bootkit

De todas formas tiene montón de codigo que me sera util, muchas gracias!

[demonikarg]

Bajando source + español + el original, no me pierdo nada. ni loca.