ahxr/ghostЛегковесный RAT, обеспечивающий скрытый удалённый доступ к командной строке, скрытую загрузку/исполнение файлов и механизмы персистентности для Windows-систем. Зашифрованная C2-связь с автоматическим переподключением.
ghost — это лёгкий RAT, который предоставляет серверу/атакующему полный удалённый доступ к командному интерпретатору пользователя (cmd.exe). Ему разрешено выполнять команды незаметно, чтобы клиент/зомби ничего не заметил. Сервер/атакующий также получает возможность загружать и запускать файлы на компьютере клиента/зомби. Это также тихий и скрытый процесс. Как и большинство троянов удалённого доступа, эта возможность загрузки и запуска помогает распространять вирусы и другие вредоносные программы.
Эта вредоносная программа распространяется простым запуском zombie.exe. Это имя файла можно изменить на любое другое. Ограничений нет. При запуске она ищет первые два аргумента (IP и порт). Если ни один из них не указан, программа не запускается. Поэтому убедитесь, что вы указали IP и порт сервера в аргументах командной строки. Пример:
zombie.exe 127.0.0.1 27015
При успешном запуске она добавляет себя в список автозапуска и тихо работает в фоновом режиме. Она будет пытаться многократно подключаться к серверу. Этот процесс не занимает много памяти и не нагружает процессор. Это означает, что зомби будет просто молча простаивать в фоновом режиме, и как только сервер будет поднят, он автоматически подключится.
При запуске сервера он запросит у вас порт для прослушивания. Это тот порт, который вам нужно использовать в командной строке для zombie.exe. Как только вы укажете порт, будет предоставлена информация о вашем сервере, и меню закроется. Указанный IP-адрес — это ваш внешний IP. При этом, если клиент/зомби не ведёт активный поиск и не отслеживает открытые соединения, вероятно, будет разумно запускать этот сервер в удалённом месте, если вы хотите остаться анонимным. Если это вас не интересует, простое переименование zombie.exe и/или изменение информации о сборке с помощью инструмента, скорее всего, обманет клиента/зомби.
Примечание: Этот проект был создан только в образовательных целях и для тестирования моих недавно опубликованных репозиториев (ahxrlogger и ahxrsocket). Если вы решите использовать его в злонамеренных целях, вы полностью несёте ответственность за последствия.