##############################################################################
############################## UNSEKURITY  TEAM ##############################
##############################################################################


			README PARA BACKDOOR SOMBRIA
			----------------------------
				versao 1.0

OBS: Nao nos reponsabilizamos pelo mau uso deste programa como um todo.
     Todos os dados e exemplos contidos nesse pacote foram feito somente
     com propositos educacionais.O autor nao se responsabiliza pelo mau
     uso dos mesmos.

Este arquivo README faz parte do programa backdoor sombria.Desenvolvido
por Nash Leon vulgo coracaodeleao. Essa backdoor consiste num programa que
abre uma porta TCP com shell root, e procura esconder de processos padroes
simples de administracao de rede linux, ou seja, via LKM(Loadable Kernel
Module), modulo de kernel carregavel.Esta versao eh para kernel 2.2.13,
testada num Slackware 7.0.

---------------------------------------------------------------------------
1. ARQUIVOS INCLUSOS NESSA VERSAO.
2. TEORIAS SOBRE AS TECNICAS ABORDADAS PELA BACKDOOR.
3. INSTALACAO, USO e SOLUCOES PARA EVENTUAIS PROBLEMAS.
4. SUGESTOES.
5. LINKS E REFERENCIAS.
---------------------------------------------------------------------------


1 - ARQUIVOS INCLUSOS NESSA VERSAO.
------------------------------------

Nessa versao da SOMBRIA, seguem os seguintes programas inclusos para 
funcionamento perfeito da BACKDOOR:

NL_sombria.c     -> Programa em C que interage com o LKM para esconder PID.
NL_sombria_lkm.c -> LKM responsavel pelas alteracoes nos systemcalls.
README		 -> Arquivo texto contendo informacoes sobre a backdoor.
NL_bindshell.c   -> Programa que binda uma root shell numa porta.

Esta eh uma versao inicial.Com um pouco de vontade e conhecimentos
minimos de LINUX, C e LKM, voce certamente poderah alterar esse conjunto
de programas e fazer um esquema melhor e mais eficiente.


2. TEORIAS SOBRE AS TECNICAS ABORDADAS PELA BACKDOOR.
-----------------------------------------------------

As tecnicas abordadas por essa BACKDOOR nao sao novas.A dinamica encontrada
nesses programas tambem nao sao novas.Muitos textos e tutoriais jah
descreveram teorias semelhantes as executadas por este programa.Existe
um tutorial basico sobre backdoors feito por mim que pode ser encontrado
em: http://unsekurity.virtualave.net/ ou http://unsekurity.cyberpunk.com.br/ 
que aborda um pouco das tecnicas usadas para se construir backdoors.
Duas tecnicas estao unidas na construcao dessa backdoor sao elas:

* BINDAGEM DE PORTA -> Binda-se uma shell root para uma determinada porta.
		       Fazendo assim com que se possa receber conexoes de
		       acesso shell na mesma.

* BACKDOOR VIA LKM -> Os LKMs sao os responsaveis pelo carregamento de
		      modulos dinamicamente no sistema.Uma vez que o invasor
		      obteve root, ele pode perfeitamente alterar
		      systemcalls criticos para esconder seus processos.

Essas tecnicas sao amplamente difundidas, sendo de conhecimento geral
possiveis solucoes de combate as mesmas.Caso se interesse em aprender mais
sobre essas tecnicas recomendo a leitura do meu tutorial e de arquivos
referente as mesmas encontradas na web.


3. INSTALACAO, USO e SOLUCOES PARA EVENTUAIS PROBLEMAS.
--------------------------------------------------------

Para instalar a backdoor no sistema, basta tornar o shell script
Instala.sh executavel, em seguida executa-lo.Para isso basta:

[localhost]# chmod +x Instala.sh
[localhost]# ./Instala.sh

Ele irah compilar os programas fontes, carregar o LKM no sistema e
executar o programa que binda a shell.Feito isso, tudo que voce precisa
fazer eh pegar o PID do programa "NL_bindshell" que bindou a shell numa
porta e de posse dessa informacao, executar o programa NL_sombria.Ex:

[localhost]# ps -a
PID TTY          TIME CMD
226 tty1     00:00:00 NL_bindshell

Esse "226" eh o PID, logo podemos executar o programa NL_sombria:

[localhost]# ./NL_sombria 226 on
[localhost]# ps -a
PID TTY          TIME CMD
301 tty3     00:00:00 ps

Aih estah.O processo foi escondido perfeitamente.Depois disso, de um
telnet para a porta especificada e mande brasa.

Caso tenha surgido algum problema, voce precisa se certificar qual a
versao da kernel.Esse programa foi escrito para kernel 2.2.13.Na execucao
de NL_sombria, voce precisa se certificar quanto ao PID.


4. SUGESTOES
-------------

Aos companheiros que nao me conhecem e ninguem do Unsekurity Team, vai
algumas sugestoes.Essa backdoor eh boa e seus conceitos podem ser
extendidos.Voce pode alterar a porta dela, mas deve definir a porta em
dois arquivos, o define  "PROCESSO" em NL_sombria_lkm e o define "PORTA"
no arquivo NL_bindshell.c.Voce com essa versao inicial consegue fugir de
muitos programas que checam(netstat, ps e etc), mas isso pode ser mais
expansivel ainda.Tem mais coisas para se fugir ainda.De qualquer forma,
essa backdoor possui suas utilidades e essa eh uma versao demonstrativa
ainda.Cuidado ao manipula-la!

5. LINKS E REFERENCIAS.
-----------------------

* HOME PAGE DO UNSEKURITY TEAM:

http://unsekurity.virtualave.net/
http://unsekurity.cyberpunk.com.br/

* SOBRE LKM:

http://www.phrack.com/ -> Procure pela p50-5, p51-9, p52-18.
http://www.infowar.co.uk/thc -> Excelente tutorial sobre LKM.

* OUTROS LINKS INTERESSANTES:

http://www.bufferoverflow.org/
http://www.hacker.com.br/

* CONTATOS:

Qualquer problema ou sugestao, pode me mandar um mail:

nashleon@yahoo.com.br

						         Nash Leon
-----------------------------------EOF------------------------------------
