Сокрытие процесов в windows xp/vista.

Задача такая:
Есть код, который занимается сбором данных активности пользователя, куда ходил, сколько времени провел на однокласниках, и т.п. Конечно, не хотелось, бы чтобы пользователь об этом догадывался, что его мониторят.
Что сейчас есть по теме почитать, по сокрытию процессов? Первое что в голову приходит из быстрых реализаций, это code injection в ie/explorer/login processes.

 

Ты в третьем кольце скрывать собралась? Не рекомендую очень мало толку и очень быстро привлечешь внимание всяких ХИПСов...
Если в ядре, то для юзверей думаю хватит банального исключения из списков EPROCESS.

 

Если нужно простое в реализации решение - просто повесь на explorer отдельный поток. Если даже скроешь процесс, а юзверь будет, скажем, файлмоном сканить, кто куда что пишет, то он не может не заметить что некий, как их зовёт файлмон, unknown process постоянно пишет в какойто странный файл. Это его насторожит и он глянет файл. А там - мама мия! Всё. Тройка семёрка туз - абзац, батенька =) Процесс будет отловлен и стёрт. А если это будет делать якобы сам експлорер, ну и имя лога надо специальное подобрать, типа index.dat итп, то палева не много.

 

Скрывать, собралась в 3-ем кольце, ибо, нет времени писать драйвер, или как без драйвера накодить тоже самое для нулевого кольца?)

 

К счастью, мне ничего писать ненадо на диск, все данные я отправляю сразу на microsoft.com и маскируюсь под windows update, далее уже в сетке снифером пакеты собираю, данные самособой в base64 + zip + crypt. Мне сейчас главное, чтобы среднестатистический юзвер аля продвинутая бухгалтер тётя Надя, случайно не прибила что-то левое (мой процес), или какой-то антивирус не стал на него активно указывать всякими popup окошечками и warning'ами! Интересует что-то типа сходить поссылочке и почитать ветку форума или статью. Просто, утону ведь в гугле, много води и лишней каши.
п.с. пишу на msvc8.0 на winapi.

 

Драйвер-то - три строчки

 

ястно, буду искать пример, просто никогда не писала их)

 

Алиса, не надо никаких инжектов - это же сразу запалиться всякими аверскими поделками И процесс скрывать тоже не рекомендую, не важно откуда. На компе может стоять че-нить типа Карла и тогда тётя Надя узрит такой красный балун - "бла-бла СКРЫТЫЙ ПРОЦЕСС" и свинячий визг пронзит её уши. К тому же в висте у тебя с дкомом будут проблемы. Рекомендация тут следующая. Не нужно прятаться, надо просто не дать себя убить тётям Надям Тут вариантов много. Как наиболее легитимный, но опасный - поставить процесс breakontermination, аля сделать критическим как карл5. Ну тут любая ошибка и перезагрузка. С другой стороны можно просто перехватить одну функцию - NtTerminateProcess в SSDT и отменять все попытки кильнуть процесс. Вот и все

пысы
Лучше примеры из гугля не смотреть Нужно ещё потанцевать с бубном, чтобы они стали хотя бы компилируемыми. Перехват функций мс-рема строго настрого рекомендую не читать - это антисистемный гон. Смотри лучше Microsoft Detours, если хочешь сплайсинг, или поищи тут про перехват SST.

HTH

 

pps
а что в вирологии то запостила? Это тебе в Win32/Kernel надо

 

А я хз)) Подумала, что ближе к вирсам

 

бывает и такое

 

достаточно в r0 поставить хук на NtOpenProcess, если пид соответствует нашему то возвращаем акцесденид, это как самый простой вариант я считаю.

 

toto

Процесс с пидом 4 можно открыть сделав openprocess 3, так что не все так просто - проверяется элементарным брутфорсом. Лучше хукать терминацию, потому что есть тулзы, которые используют хитрые методы получения хэндлов процесса. Из того же csrss.exe и такой хук тут не спасет.

 

согласен, ха ну я думаю и эта техника спасет от обычного юзера, из р3 можно вобще использовать FindWindow&SendMessage =))

 

лучше не иметь своего процесса а обойтись например потоком

 

eas7
Драйвер грузится, мапит длл в Trusted-процесс и выгружается(или не выгружается). Естессно никаких записей в PEB не вносится. Всё.

 

Видать коммунисты действительно не ищщют лёхких путей=))))

 

Поиск хэндла в CSRSS(заметь, "наш" процесс никто не открывает), DuplicateHandle и тд и тп...... ну и хрена с твоего перехвата ? =)))))

 

Если это создаётся для _обычного_ юзера можно и без дров длл подгрузить. И слово PEB, он вряд ли когда узнает.

 

asd
Знаете, вот винду тоже такие вот писали, всё на авось клали, авось юзер не знает авось не полезет ну и ??? продумывать надо детально и основательно.