• VLMI - форум по обмену информацией. На форуме можете найти способы заработка, разнообразную информацию по интернет-безопасности, обмен знаниями, курсы/сливы.

    После регистрации будут доступны основные разделы.

    Контент форума создают пользователи, администрация за действия пользователей не несёт ответственности, отказ от ответственности. Так же перед использованием форума необходимо ознакомиться с правилами ресурса. Продолжая использовать ресурс вы соглашаетесь с правилами.
  • Подпишись на наш канал в Telegram для информации о актуальных зеркалах форума: https://t.me/vlmiclub

Анализ скрытого майнера от Eduard1337(Vans)

ims0rry

Omae wa mou shindeiru

ims0rry

Omae wa mou shindeiru
Местный
Сообщения
119
Реакции
679
0 руб.
Jabber
Please note, if you want to make a deal with this user, that it is blocked.
А прежде чем приступить к прочтению - загляни в мой бложик, там я публикую свои авторские статьи по программированию, вирусологии и прочим интересным вещам
Для просмотра содержимого вам необходимо авторизоваться.


Оригинал статьи -
Для просмотра содержимого вам необходимо авторизоваться.


Вся информация предоставлена исключительно в ознакомительных целях. Ни администрация, ни автор не несут ответственности за любой возможный вред, причиненный материалами данной статьи.

Охх, наконец-то я добрался до этого майнера. На этого персонажа у меня свои обиды. Но, все сошлось удачно, и ничего хорошего про сырки его майнера не скажет ни один адекватный человек (даже тот который не шарит в кодинге, я проверил перед написанием статьи):
uY4wYJK_RTOZO1ptfeggzw.png

q0GRNDCNThiMBkBawBGL9w.png

bbWYQKsESzyKw-Lt-m-XTg.png

Ну и запомните эти слова, напоследок:
7Bkb53yVShWsOmSdlq3thQ.png


Итак, начнем:
По традиции смотрим, что за файл у нас:
31FWwObzQ5m12fxdWIHCXw.png

Какая-то непонятная штука, смотрим через IDA:
BSB6SO7VQ0anqJanzd_cUQ.png

Стоит защита от дебаггера, вроде неплохо.
Открываем файл в Resource Hacker:

QFParJk3QzCbCOa8jwASOQ.png

T9rsmqKvSmmHQ-ArClLwcg.png

Видим, что встроено 2 бинарника. Очевидно, один из них - зашифрованный пейлоад, а второй - ключ для дешифрации. Дроппер? Без сомнений. Только зачем на дроппер ставить защиту от дебаггера для меня останется загадкой на всю оставшуюся жизнь.

Поведение
Нет ни настроения, ни желания играться с этими бинарниками чтоб расшифровать, поэтому тупо запускаем на виртуалке и смотрим что куда дропнется. В папке %temp% создались следующие объекты:
-eWeH9NARBe5ypHkX4FEKQ.png

Содержимое первой папки:
rxeysNrfRcu6VNqrp61rBw.png

Содержимое второй папки:
QPCoO0dPTGmM9fkSQAZM7A.png

Надо подчеркнуть, скрыть папки у разработчика ума хватило.
Майнер работает через стандартную автозагрузку:

juAb9k5zQS2m2QbX4Vk8Gg.png

И не скрывается от диспетчера, как указано в топике (это вообще круто, 100% нагрузки в диспетчере, и, да, я ждал примерно минуты 2 с открытым диспетчером):
6OZ7UpXdQoWYQFRUoplkYw.png


Анализ файлов
Как выяснилось, дроппер плюется двумя sfx-архивами, которые распаковываются в папке %temp%, их содержание и комментарии:
gmd5tlPDT-W-tjRh6ec8Jw.png

Автозагрузка также прописана через SFX-комментарий.

System.bat - запускает майнер с параметрами:
zzE_L9oaRW2RhYuCPQF3UA.png

System.vbs - запускает System.bat (на этом моменте я блеванул):
lDUo2KhET_aE8IbAfjUHGw.png

WinHelp.bat - восстановление процесса майнера (но это не точно, я в batch не силен):
njMCRGtHTeu6ZYboLqsI9g.png

WinHelp.vbs - запускает WinHelp.bat .-. :
cPzQcmLkSg_QUkwVLLLZWA.png

Svchost.exe - консольный xmrig:
8Wn9IxPnT262byFTTkaUig.png

Который, к слову, не запускается, если рядом не лежит file.data. Который, в свою очередь, похож на тот зашифрованный файл из RCData (это не он). Видимо, дядя Эдуард предусмотрел возможность юзера запустить билд и сделал какую-то проверку перед запуском (вообще хз что это, ребята, спасите, я как будто в канализацию залез), но то что эти 2 файла можно заменить на любой другой консольный майнер - это факт.

Ах да, увидел в топике прикольную штуку:

qumyw5EIQfmAZWYOKvhI_A.png

Насчет первого мы уже выяснили - этого даже в функционале нет.

Итог
Я хз как этот товарищ прошел проверку аж на двух бордах (дарквеб и влми), но прошел и еще с более херовой версией, как я понял. Ибо у него еще были "крутые" обновления майнера и стаба, а тема висела с незапамятных времен.

Денег такое дерьмо не стоит, даже 600 рублей.

В принципе, можно описать мнением одного из читателей моего блога:

ldpTHnsyRAyGw9MlygKGkw.png

Надеюсь, на бордах начнут проверять софт перед продажей по-лучше.
TlGvXZ-XTpqe6eqeXLxkHg.png


Ссылки
Скантаймы и прочую ересь я не вижу смысла выкладывать, вы должны понимать что на такой сборке вы там ничего хорошего не увидите. Поэтому:
Исходники + семпл - https://github.com/ims0rry/Eduard1337-Vans-miner

Ссылки на продажники:
  • VLMI - https://vlmi.top/threads/skrytyj-majner-po-chelovecheskoj-cene.6688/
  • DW -
    Для просмотра содержимого вам необходимо авторизоваться.
 

ims0rry

Omae wa mou shindeiru

ims0rry

Omae wa mou shindeiru
Местный
Сообщения
119
Реакции
679
0 руб.
Jabber
Please note, if you want to make a deal with this user, that it is blocked.
Сорри что так часто :D
 
  • Мне нравится
Реакции: TRDD

Arbyzik

Участник
Сообщения
40
Реакции
31
0 руб.
За каждой твоей схемой слежу, благодарен тебе очень, так как показываешь обратную сторону медали и уже можно выбрать хорошего селлера и хороший товар, еще раз спасибо. Удачи во всех начинаниях.

И с наступающим уже!
 

ims0rry

Omae wa mou shindeiru

ims0rry

Omae wa mou shindeiru
Местный
Сообщения
119
Реакции
679
0 руб.
Jabber
Please note, if you want to make a deal with this user, that it is blocked.
За каждой твоей схемой слежу, благодарен тебе очень, так как показываешь обратную сторону медали и уже можно выбрать хорошего селлера и хороший товар, еще раз спасибо. Удачи во всех начинаниях.

И с наступающим уже!
Благодарю, взаимно)
 

Marshmellow1337

Homo homini lupus est

Marshmellow1337

Homo homini lupus est
Местный
Сообщения
63
Реакции
237
0 руб.
Telegram
Please note, if you want to make a deal with this user, that it is blocked.
Обучал бы ты ещё всяким этим хакерским штучкам, по типу взлому чужих майнеров :D. А то я даже браузер со 2 попытки только открываю.
 

ims0rry

Omae wa mou shindeiru

ims0rry

Omae wa mou shindeiru
Местный
Сообщения
119
Реакции
679
0 руб.
Jabber
Please note, if you want to make a deal with this user, that it is blocked.
  • Мне нравится
Реакции: TRDD

Marshmellow1337

Homo homini lupus est

Marshmellow1337

Homo homini lupus est
Местный
Сообщения
63
Реакции
237
0 руб.
Telegram
Please note, if you want to make a deal with this user, that it is blocked.
Неплохая идея, мб позже гайд выложу
Не гайд, а именно продавать, по типу, как стать програмистом. Например вбиву обучают, кардингу, а годных обучений в этой сфере нету. И думаю будет хорошо, если ты в скором времени сделаешь рмс.
 

ims0rry

Omae wa mou shindeiru

ims0rry

Omae wa mou shindeiru
Местный
Сообщения
119
Реакции
679
0 руб.
Jabber
Please note, if you want to make a deal with this user, that it is blocked.
Не гайд, а именно продавать, по типу, как стать програмистом. Например вбиву обучают, кардингу, а годных обучений в этой сфере нету. И думаю будет хорошо, если ты в скором времени сделаешь рмс.
Не, такое вряд-ли. Может, через годик, но не сейчас. Сам ведь еще учусь, куда мне обучать кого-то
 

domentiart

Чоткий поцан

domentiart

Чоткий поцан
Местный
Сообщения
64
Реакции
77
0 руб.
Telegram
Вообще очень нравится подобный анализ. Очень интересно было читать ) Почаще бы такие разборы разного софта
 

Onanimka

Участник
Сообщения
5
Реакции
10
0 руб.
Молодец, от души. Думаю у многих появилось желание попробовать разобраться в теме лучше. Полезно будет продолжить такие обзоры. И для твоего бизнеса и для просветления сознания трущегося тут молодняка. Мож наконец то начнут учебники курить вместо спайса =) Кнопки плюс не имею, хотя тебе плюс нах не нужен. Ты и так красавчик.
 

ims0rry

Omae wa mou shindeiru

ims0rry

Omae wa mou shindeiru
Местный
Сообщения
119
Реакции
679
0 руб.
Jabber
Please note, if you want to make a deal with this user, that it is blocked.
Молодец, от души. Думаю у многих появилось желание попробовать разобраться в теме лучше. Полезно будет продолжить такие обзоры. И для твоего бизнеса и для просветления сознания трущегося тут молодняка. Мож наконец то начнут учебники курить вместо спайса =) Кнопки плюс не имею, хотя тебе плюс нах не нужен. Ты и так красавчик.
Благодарю)
 

DmitriyPozzitiv

Новичок
Сообщения
0
Реакции
9
0 руб.
Страница Вконтакте
Красава, всегда с удовольствием читаю твои статьи и потихоньку сам начинаю разбирать Файлы. Прошу ещё раз проверить обновлённый майнер @Proga и @arman25
 
Сверху Снизу