скрытый автозапуск/переименование процессов

[antikrya]

Здравствуйте, есть софт (скрытый рмс), хотелось бы узнать как засунуть его в автозагрузку, но чтобы его там небыло видно, а так-же хотелось бы узнать как скрыть/переименовать процессы в диспетчере?

[Nu11ers3t]

*facepalm*

Ты как сюда попал, извини меня?

Ладно, так и быть:

1) Имя процесса = имени файла, в котором исполняется код, т.е нужно либо делать инжект в нужный процесс, либо просто тупо переименовать *.exe файл
2) Для сокрытия нужно перехватывать WinApi функцию NtQuerySystemInformation, чтобы сделать процесс не убиваемым нужно перехватить OpenProcess и TerminateProcess

Вот перехват: _ttp://habrahabr.ru/post/90377/
3) В автозагрузку проще всего кинуть через реестр HKCU\Software\Microsoft\Windows\CurrentVersion\Run и там создать новый параметр со значением до запускаемой программы. Можно тупо кинуть ярлык в папку автозапуска ( но это смешно, да? ). Есть еще много ключей авторана, все не перечислишь - гугли;
4) Чтобы не было видно ключ в реестре, не поверишь, нужно перехватить опять же Win Api функцию, только уже RegQueryInfoKey

[antikrya]

Как как, знал о рдоте давно, но небыло необходимости регаться, а сейчас стал интересен вышеизложенный вопрос, вот и зарегистрировался. Спасибо за ответы!

[Fox Mulder]

You should to know that all of the actions described by Nu11ers3t as a red rag to antivirus.

[antikrya]

Already noticed, we need other ways.

[lefty]

antikrya,

как не самые худшие варианты:
- файловый инфектор (заинфектить что-то из того, что уже в автозапуске)
- dll hijack (много вариантов, как один из - http://greatis.com/security/explorer_redirection_dll_startup_hole.htm)
- автозапуск через shell extensions

ну и возьми AutoRuns от г-н Руссиновича "autorunsc.exe -a" и посмотри чего там "File not found" и подложи свое.

а все эти хуки-хуюки и примитивные юзерлэнд руткиты, что тебе Nu11ers3t насоветовал - только аверов тригерить.

[antikrya]

lefty, спасибо, надо будет разобраться и попробовать.