Новый ICQ FAQ 2.0 (продолжение 2)

===Защита===
Статья была полностью взята с сайта www.asechka.ru

Прежде всего, нужно позаботиться о защите своего уина. Немало важно скрыть свой IP в свойствах клиента, чтобы обезопасить свой уин от злоумышленников, т.к. достаточно много уязвимотей можно использовать, чтобы получить доступ к вашему компьютеру и унести с него заветный dat файл вашего ICQ клиента, в котором храняться пароли. По дефолту в ICQ клиентах не стоит опция скрытия IP. Сделать это можно так: в ICQ - main>Security and Privacy Permissions>Peer to Peer connections>Allow Peer to Peer connections with any users upon your authorization, Miranda - Настройки>Сеть>ICQ анонимность>Прямые соединения только с авторизированными пользователями, в остальных клиентах это делается подобным образом в настройках протокола. Так же иметь при себе primary мыло к номеру, если таковое есть. Ну и поставить пароль посложнее qwerty %) против зловещих брутфорсеров, желательно чтобы он включал в себя буквы, цифры, символы в нижнем и верхнем регистре (например GrB4_#1]). Так же не ходить по сомнительным ссылкам и не качать ничего с подозрительных сайтов, дабы не словить троян. Насчёт троянчиков ниже идёт интересная статья взятая с асечки.ру и написанная gemaglab1n’ом.
IM-клиенты по-прежнему играют большую роль в общении по интернету. В России это ICQ на западе – AIM, Yahoo и MSN. В связи с такой популярностью расплодилось много форумов данной тематики с разнообразными мануалами по угону красивых скриннеймов и icq номеров. Данная статья наоборот поможет вам не стать жертвой этого асечного произвола. Два самых популярных метода – подбор паролей и всевозможые троянские программы. Нас больше интересует второй метод так как он требует большего участия со стороны пользователя. Даже самый малофункциональный троян включает в себя возможность кражи паролей от мессенджеров.Возьмем для примера Pinch.Он ворует пароли из таких клиентов как Trillian, &RQ, Miranda и из всех оффициальных вплоть до ICQ lite 4. Остановимся на каждом поподробнее.

0x00.Miranda
Самый продвинутый и функциональный клиент на момент написания статьи.Дает много возможностей для защиты. Во-первых,это клиент с открытыми исходными кодами и исправить их для грамотного человека не составит труда.Если же у вас плохо с этим,можно пойти по другому пути – спрятать миранду от троянов.Для этого достаточно просто рассмотреть как они действуют.Открываем пинчевый модуль miranda.asm и сразу же в глаза бросается вот эта запись

@AllocStr , <"SOFTWARE\Miranda"> @AllocStr , <"Install_Dir">

Значит он считывает путь к миранде из реестра.Можно просто удалить этот ключ,но мы сделаем иначе – откроем миранду HEX – редакторо и изменим строку Install_Dir на Path,после изменяем имя строкового параметра в реестре на Path.
Стоит заметить что все пароли хранятся в dat файлах и в сети полно мануалов по расшифровке алгоритма криптования пароля в этом клиенте.Проделываем туже операцию что и с Install_Dir только меняем строку .dat на чтото свое,допустим .icq Существует также плагины для обеспечения безопасности миранды.Например SecureIm позволяет обмениваться зашифрованными сообщениями.Минусы данного способа – у сосебедника должен стоять такой же клиент с таким же плагинов.Или же mSecure который ограничивает загрузку профиля по паролю.

0x01.Andrq
Как и миранда является клиентом с открытыми исходными текстами.Пароль хранится в файле andrq.ini в папке с профилем.Алгоритм шифрования давно известен и является довольно легким.Смотрим файл &RQ.asm

@AllocStr, "SOFTWARE\Microsoft\Windows\CurrentVersion\Uninsta ll\&RQ"> AllocStr , <"UninstallString">

Этот путь нужен только uninstaller`у и делает Крысу очень уязвимым клиентом. Достаточно просто удалить этот путь,не думая о том что возникнут конфликтные ситуации. Имея малейшие знания Delphi можно перестроить файл andrq.ini.Совсем не обязательно менять алгоритм шифрования пароля.Трояны находят зашифрованный пасс по строке crypted-password те достаточно поменять очередь этой строки в ini файле и ее название.

0x02.ICQ 4/5
С оффициальным клиентом ситуация посложнее.В реестре хранится информация о путях к смайлам,скину и самому клиенту.Удаление ключа повлечет за собой крах клиента.Можно также подредактировать файл HEX – редактором , но это требует немалых усилий так как помимо самого exe придется редактировть и dll файлы.Краже паролей подвержены только клиенты до icq lite 4 значит icq 5 уязвимым не является.Это является лучшим способом защититься.

0x03.QIP
Появился сравнительно недавно и успел завоевать популярность не только в России.Путь к клиенту можно найти в ветку Uninstal/Qip.После удаления ключа QIP прекрасно работал. Одним из плюсов является тот факт что функцию расшифровки зашифрованного пароля найти нетак легко и только последние версии Пинча могут это делать.

0x04.Fake Plugins
Такие клиенты как AndRQ и Miranda поддерживают плагины и исходники комплектуются PDK ( Plugin Dev Kit ) и примерами.Плагины для крысы еще не так развиты хотя существуют фейки.В противоположность крысе миранда без них не может существовать так как каждый протокол реализован в виде dll файла ( icq.dll / aim.dll … ).Существуют различные сборки и альтернативные icq библиотеки.Нелишним будет упомянуть что сборками можно пользоваться только проверенными,а библиотеки качать только с офф сайта или же isee от Bio (http://www.etplanet.com/bio/miranda/ )

0x04.AntiPinch ( http://www.asechka.ru/articles/gemag.../AntiPinch.exe )
Отечественная разработка virii кодера. Кому как не им знать все аспекты кражи паролей : ) На момент написания статьи программа защищала Миранду,Крысу и QIP.Тамже можно сделать тест на уязвимость клиентов


===Альтернативные клиенты===

Уже существует как минимум 4 популярных ICQ клиента: &RQ (www.rejetto.com/&RQ/), Miranda (www.miranda-im.org), Trillian (www.trillian.cc), QIP (www.qip.ru) и те кто пользуется аськой не первый день в основном предпочитают использовать один из них, нежели стандартную родимую ICQ. О достоинствах каждого клона можно много говорить, но это бессмысленно пока не попробуешь сам. По своим многочисленным возможностям можно выделить Миранду (если учесть лучшие её паки и прикольные плагины), но у каждого свои предпочтения, поэтому что либо говорить нет смысла.


===Смена инфы и пароля===

Частенько бывает нужным быстро сменить инфу или пароль уина. Когда то давно пароль можно было сменить через ВЕБ, но эту возможность админы решилы убрать и сейчас на официальном сайте ICQ можно только лишь сменить инфу в деталях - http://web.icq.com/whitepages/login/. Но далеко не многие знают что пароль можно сменить на сайте AOL, т. к. эта компания является полноправным владельцем ICQ и решила позаботиться об этой функции - https://aim.aol.com/password/change_password.adp. Так же существуют специальные "ченжеры", которые быстро справляются со своей задачей - C4PassChanger


===Состояние номера icq===

Errwalker - это программа, определяющая состояние номера в базе ICQ (AOL). Возможные состояния уинов:
Good Account - хороший аккаунт,
Invalid database fields - ошибка в ключевом поле записи уина (это не страшно, просто вы не сможете залогиниться с этого уина через MD5-логин, ни один из публичных ICQ клиентов пока не поддерживает этот метод),
Deleted account - замороженный аккаунт (его "удалили" за особо плохое поведение или неуважение к админам ICQ),
Unregistered account - не зарегистрированный аккаунт,
Suspended account – обслуживание этой учётной записи приостановлено.


===Невидимые уины. Анреги?===

Несложно заметить, что многие уины не ищуться в поиске ICQ. Как правило, это короткие номера. Многие считают, что этих номеров попросту нет, что они были анрегнуты админами из-за покушения на них ICQ-хакерами. Да, многие из коротких номеров были анрегнуты по разным причинам, но большее количество уинов, которые не ищуться в поиске существуют и являются такими же функциональными как и остальные. Дело в том что уины, в которых нету инфы и которые долгое время не использовались исчезли из поиска. Залогиниться в них можно, писать и принимать сообщения тоже - просто они невидимы. В декабре 2004 года случилось некое действо, про которое не очень много известно, в результате которого номера, ушёдшие в инвиз до декабря 2004 года остались без примаков, если после - то примак у них оставался. Невидимость пропадает в том случае, если вписать какую либо инфу в деталях этих "невидимок", даже если прописать мыло. После этого уины сразу появяться в поиске ICQ и вернуть их в состояние "невидимок" уже нельзя будет. Но можно использовать эти уины в невидимом состоянии определенными клиентами, так чтобы они оставались невидимы. На 100% проверены клиенты ICQ Lite и ICQ 2003 Pro 3916 (не патченые) и некоторые билды Миранды, Крысы, КИПа. Залогинившись в подобные "невидимки" этими клиентами можно так же использовать их, как и другие номера: писать, принимать сообщения, добовлять пользователей в контакт и т.д., и они будут оставаться невидимыми до тех пор, пока ничего не изменится в деталях. Плюсом таких уинов является то, что их нельзя добавить в контакт, используя, стандартный клиент ICQ, и остальные просто считают, что этих уинов нет.