• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья short aurastealer #2

Отслеживать
Quake3 сказал(а):
Сокеты это лишнее палево, т.к. нестандартный трафик; вининет/винхттп маскируется под обычные запросы к сайтам, а сокеты - куда стучит и зачем? Сразу вопрос. Хотя понятно, что это дискусионное все, мб это торрент клиент или кастомный протокол, но я лично предпочитаю http.
А если сокетами SSL трафик гонять?) В чем палево, много легит софта юзает сокеты, особенно мультиплатформенные.
Я вообще не представляю что нужно курить, чтобы юзать winhttp в легит софте
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Я все жду, когда масс малварь откроет для себя websocket.dll. Не, ну а чё? Легитимный и популярный протокол, для которого в отличии от традиционного HTTP(S) висящий коннект является типичным поведением, можно данные туда сюда гонять часами без переподключения. Поддержка старых систем модным и молодежным малварщикам не нужна.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
yslvintage сказал(а):
В чем палево, много легит софта юзает сокеты, особенно мультиплатформенные.
Если это комп школьника, где игры, дискорд и впн, то это одно.
если это корп, где могут быть порезано все кроме 80 и 443 портов и/или разные анализаторы трафика, тогда другое.
yslvintage сказал(а):
что нужно курить, чтобы юзать winhttp в легит софте
Так а что с ним не так?
 
Пожалуйста, обратите внимание, что пользователь заблокирован
DildoFagins сказал(а):
откроет для себя websocket.dll.
Вебсокет апи вроде как доступны с вин 8.1 . Хотя да, зачем современным малварщикам какие-то там семерки, вот даже десятка уже устареет этой осенью.
 
Quake3 сказал(а):
Так а что с ним не так?
Я только что чекнул несколько бинарников софта на своем пк - 0 импортов winhttp, кроме как в утилитах от sysinternals (microsoft). Зато винхттп я вижу в каждом малварь семпле :)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
yslvintage сказал(а):
0 импортов winhttp
А, ты в этом плане.
Ну так разрабы белого софта юзают, наверное, разный QT / Curl / Boost или подобное, которое и проще в разработке, и можно перевести в кроссплатформ.
 
Quake3 сказал(а):
Сокеты это лишнее палево, т.к. нестандартный трафик; вининет/винхттп маскируется под обычные запросы к сайтам, а сокеты - куда стучит и зачем? Сразу вопрос. Хотя понятно, что это дискусионное все, мб это торрент клиент или кастомный протокол, но я лично предпочитаю http.
В целом и про сисколы с нтапи можно так сказать - все это скорее от реверсера нежели от ав детектов
Именно такие мысли у меня были когда я люму реверсил

DildoFagins сказал(а):
Поддержка старых систем модным и молодежным малварщикам не нужна.
Тапками таких закидать хочется
Quake3 сказал(а):
Вебсокет апи вроде как доступны с вин 8.1 . Хотя да, зачем современным малварщикам какие-то там семерки, вот даже десятка уже устареет этой осенью.
Там lts до 203* года насколько помню, да и все равно в корпах есть системы на вин7

Лично я привык проверять поддержку тех или иных фишек на вин7, условный ReadFile WriteFile пишу в соответствии с вин7
 
Quake3 сказал(а):
Ну так разрабы белого софта юзают, наверное, разный QT / Curl / Boost или подобное, которое и проще в разработке, и можно перевести в кроссплатформ.
А winhttp хорошо кросплатформится? У Qt свои сокеты насколько я знаю
 
yslvintage сказал(а):
Прямо же говорит, что онли виндовс. Какой кроссплатформ?
Согласен) не так понял сообщение Quake3
 
HikMbed сказал(а):
Ну так это люма только в другом амплуа?или совершенно новый продукт. Что вы умалчиваете ?то что тс реверснул это понятно ,но где факт - люма или нет.
Тут не все так просто, в данный момент ебусь с билдом ауры
Внешне не вижу прям таких сходств, есть сходства в морфере - пока что единственное что нашел
 
malware_cryptor сказал(а):
Тут не все так просто, в данный момент ебусь с билдом ауры
Внешне не вижу прям таких сходств, есть сходства в морфере - пока что единственное что нашел
сходства в ollvm? :zns6:
 
yslvintage сказал(а):
сходства в ollvm? :zns6:
Нет, там не паблик пасы, по крайней мере не оллвм
 
yslvintage сказал(а):
а закинь билд пж
Был договор с аурой о том чтобы билд никуда ни в какой форме не ушел
 
malware_cryptor сказал(а):
Внешне не вижу прям таких сходств, есть сходства в морфере - пока что единственное что нашел
yslvintage сказал(а):
сходства в ollvm? :zns6:
malware_cryptor сказал(а):
Нет, там не паблик пасы, по крайней мере не оллвм
Guys, relax.) CFG juggling is 99% theater. Obfuscation actually considerably hurting a reverser is extremely rare: think VM / JIT. Anything less is just ASCII art on the graphs (flattening, opaque predicates etc are all trash). Fun? sure. But crap at the end of the day.

PS. Caveats but sure.
 
Последнее редактирование:
malware_cryptor сказал(а):
Был договор с аурой о том чтобы билд никуда ни в какой форме не ушел
ладно. подождем ресерча от малварь аналИстов, чо мне.. тупость со стороны тса
 
yslvintage сказал(а):
ладно. подождем ресерча от малварь аналИстов, чо мне.. тупость со стороны тса
39.png
 
yslvintage сказал(а):
ладно. подождем ресерча от малварь аналИстов, чо мне.. тупость со стороны тса
Да не будет от них ничего кроме обзора на криптор которым накрыт стилак

Ждите, возможно я выложу
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх