Mit ne csinálj fiatalon. Malware Suligépeken.

Nincs benne semmi hardcore dolog valljuk be, sima .NET-es keylogger. De engem érdekelt hogy honnan jött ez az egész, ki lehet mögötte, de azért nézzük meg mit csinál nagy vonalakban.
Létrehoz egy Registry kulcsot (Nvidia driver) hogy ha ujraindítod a gépet akkor újra elinduljon.

Aztán van benne egy rész ahol az van megadva hogy küldje el az adatokat emailben. (logikus ehhez valahogy auth-olni kell szóval itt olvasható a jelszó is az email címhez)

Utánna pedig egy feltöltés a lopott adatokról (Már takedown-olva lett):

Illetve volt egy USBSpread funkció:

Ez után gondoltam megnézem mi van fent ott ahova logol. Volt DIR browsing és elérhető volt direktbe szóval láttam mindent a logokból.

Megnéztem mennyi gép fertőzött illetve kinek milyen adatait lopta el. Meglepődtem hogy még a tanár gépe is meg volt fertőzve nem csak a diákoké, illetve az első fertőzött gép amire koncentráltam hogy kiderüljön honnan indult minden.
Azon láttam a belogolt user nevét illetve hogy mi történt a fertőzés idején. Azt láttam hogy épp az órarendjét töltötte le valaki remote-ba és felfigyeltem a domainre ahonnan ez jött. (A domaint kitakartam mert még él).
Később pedig láttam hogy megnyitotta azt az oldalt ahova a keylogger küldi az adatokat. Innen már tudtam hogy Ő az aki megfertőzte a gépet manuálisan. A domain neve elég beszédes volt így gyorsan kiderült hogy ki Ő. Aztán meglett a malware is hogy hol tárolja: hXXp://agXXXXXs.tk/nvdisp10.exe (Kitakarva mert még él)
Itt hiányzott még az hogy kik a fertőzöttek meg hol vannak. Láttam persze fiatalok többségével de voltak befizetési adatok illetve kifizetések cégeknek. Ez utobbi a tanári gépről mint később kiderült.
A saját oldalán láttam is hogy Copyright és a neve (Nevezzük most Dánielnek). Szóval nem tudtam Dániel hova valósi mert elég népszerű neve van, így fogtam és az órarendjét és a jegyzeteit megnéztem. A jegyzetek logojából derült ki az érintett iskola Egerben van. Szóval így már összeállt minden.

Összegyűjtöttem minden infót ami van (az érintetteket is egyenként) és leadtam a HUN-CERT-nek hogy segítsenek. Persze ilyenkor már megvolt a facebookja Dánielnek tudtam hol lakik stb.
Így egész gyorsan meg is lett oldva a dolog.

Note: durva hogy a mai fiatalok miket csinálnak, de nem értem miért nem jóra használják a tudásukat. Ahhoz képest hogy középiskolás Dániel, szerintem kreatív volt.
Ennél mondjuk egy viccesebb dolog volt hogy a HUN-CERT oldalán ahol reportoltam a dolgot az eléggé out of date Drupal volt... :D De ezt fixálták gyorsan.