Пишем тривиальный стилер биткоинов

bitcoin
Давным-давно для WebMoney (и не только) был популярен крайне простой способ получить чужие финансы: подменить содержимое буфера обмена Windows, если в нём находится номер кошелька на свой номер. С введением множества степеней защит данный метод перестали использовать, да и эффективность была под вопросом, не говоря уже о необходимости заставить пользователя запустить стороннее ПО, которое будет осуществлять подмену.
Случай с Bitcoin отличается: подтверждения, по сути, отсутствуют, номера кошельков ещё более длинные, на конкретного пользователя не пожалуешься...
В общем, давайте реализуем простой софт, который будет анализировать содержимое буфера обмена и подменять его, если обнаружит там корректный адрес Bitcoin кошелька. Писать будем на MASM, чтобы было веселее.

Для начала необходимо понять, как проверять адрес кошелька на правильность. В этом нам помогут многочисленные веб-сайты, описывающие процесс создания Bitcoin-адреса, а также пример проверки, пусть даже и на PHP. С логикой проверки разобрались. Приступим к написанию реализации.

Мы объявили некоторые вспомогательные константы, которые нам в дальнейшем понадобятся для проверки адрес на корректность. Из ссылок выше понятно, что нам придется делать функцию декодирования для base58 и где-то брать реализацию SHA256. base58 реализуем самостоятельно, а SHA256... в общем воспользуемся Microsoft CryptoAPI. Продолжим.

Теперь у нас есть функция декодирования и небольшая функция логирования. Для лучшего понимания алгоритма base58 стоит обратиться к Google, так как псевдокод или реализация на языке высокого уровня обычно проще для понимания. Перейдем к простой обертке над CryptoAPI, которая будет осуществлять вычисление необходимого хэша.

У нас есть всё, что нужно для счастья. Остается основная логика и немного работы с буфером обмена, но для этого мы воспользуемся готовыми функциями из библиотеки MASM.

Вот собственно и всё. Обращу внимание на один момент: функция SetClipboardTextEx не относится к библиотеке masmlib. Что она из себя представляет? Это функция SetClipboardText из masmlib, но после вызова

я добавил ещё

Без этого функция упорно не хотела изменять содержимое буфера обмена, по крайней мере на Windows 7. Не знаю, с чем это связано, не разбирался.
Теперь всё готово. Компилируем и проверяем, также можно параллельно открыть DebugView и смотреть, какие отладочные сообщения выводит программа.

dbgview

Опытным путём несложно убедиться, что при копировании корректного адреса через буфер обмена он заменяется на наш.

Исходный код + бинарник для тестов: скачать (пароль на архив: kaimi-ru)
Исходный код + бинарник для тестов (28.09.2015): скачать (пароль на архив: kaimi-ru)

Пишем тривиальный стилер биткоинов: 30 комментариев

  1. Спасибо за статью, идея понравилась, и пример - как выше сказали - использования КриптоАпи.

    Наверное нерационально крутить цикл и опрашивать буфер обмена - проц будет подозрительно загружен.

    В винде есть такие штуки:

    http://msdn.microsoft.com/en-us/library/windows/desktop/ms649052(v=vs.85).aspx

    http://msdn.microsoft.com/en-us/library/windows/desktop/ms649025(v=vs.85).aspx

        1. Лол. Можно подумать, окно это обязательно нечто занимающее половину экрана с красным крестиком в правом верхнем углу и заголовком "created by kot".

  2. подскажите пожалуйста. Скачал masm32/ пытаюсь скомпилировать
    пишет cannot open file : \masm32\macros\windows.asm

    посмотрел в папке нет такого файла windows.asm

    сможете закачать ?

    Архив масма качал с сайта masm32.com

  3. Пробовал использовать другой файл линкера.
    Выскакивает другая ошибка.
    --------------------------------------------
    C:\masm32\bin>link16 bit.obj

    Microsoft (R) Segmented Executable Linker Version 5.60.339 Dec 5 1994
    Copyright (C) Microsoft Corp 1984-1993. All rights reserved.

    Run File [bit.exe]:
    List File [nul.map]:
    Libraries [.lib]:
    Definitions File [nul.def]:
    LINK : fatal error L1104: \masm32\lib\kernel32.lib : not valid library

  4. sorry, but offtop:
    Каими, слушай, а напиши что-нибудь пожалуйста про биржи и HFT трэйдинг?
    Интересен твой взгляд на это.. Вот лично мне интересна торговля фьючерсами на CME, ICE и т.п.

    1. Могу научить писать банальный модульный стилер на C/C++ или скажем какую-нибудь фигню на Python (я его правда не знаю, но это не существенно), что ещё... что-нибудь банальное уровня ядра под Windows, какую-нибудь глупость с использованием NFC тоже можно или другое что-то. Даже не знаю, что выбрать.

  5. Забавно, ещё две недели назад работало, как только курс битка поднялся выше миллионар ублей виндовый антивирус рубит программу на корню)

    1. Это легко исправить:
      1. Меняешь порядок символов в строке wallet_symbols
      2. Естественно меняешь кошелек
      3. Комментируешь вызовы log_message (дело в характерных строках), да и она нужна только для отладки, поэтому тело функции тоже можно удалить
      4. И для разнообразия меняешь Sleep 500 на Sleep 700 скажем.

      Получишь что-нибудь вроде 5-10 детектов и то бОльшая часть будет от редких антивирусов.

Добавить комментарий для alfred Отменить ответ

Ваш адрес email не будет опубликован. Обязательные поля помечены *