Для всех желающих внизу прикреплен полный дамп переписки с пользователем в ТГ.
Дали человеку потестить софт за отзыв. Сразу заподозрили что-то неладное, человек докапывался до каждой мелочи, при попытках решить проблему не хотел ничего слушать. Были и предьявы по факту, провайдера, на котором у нас хостится точка входа в инфруструктуру дудосили, и запросы в панель шли очень медленно, но мы оперативно заменили vps и все заработало быстро, также мы по ошибке залили в основу битый билд, который не работал, но помимо него в панели были предыдущие рабочие версии, но человек сфокисировался именно на нем, и кричал что ничего не работает, не хотел больше разбираться, хотя мы его попросили использовать предыдущий билд, пока мы исправляем ситуацию, он работает исправно).
В процессе общения человек в открытую заявил, что раньше сотрудничал с lumma (а может и сейчас сотрудничает, всем известна его репутация, и как он пытался подставить конкурентов). Так же человек прямо обозначил свою связь с проектом OLYMP BOTNET, и позже заявил, что этот проект работает по РУ. После этого он в диалоге писал не "я", а "мы", так что скорее всего персонаж тоже работает по РУ.
Через несколько часов написал нам, что ему в руки попал файл, сильно напоминающий наш билд, но работающий по СНГ.
В ответ мы заявили, что мы не работаем по СНГ, у нас две проверки - одна в билде (проверка языка системы и раскладки) + проверка по IP на сервере, и что скорее всего кто-то запатчил билд. Но даже если билд будет пропатчен, наш сервер не примет логи с СНГ IP адресов. Далее человек пытаясь взять на понт (а смысл?) сказал, что никаких следов патча нет. На это мы ответили, что у нас сохраняются хеши всех оригинальных билдов выгруженных пользователями с панели, и доказать, что он был пропатчен не составит труда. Человек поплыл и понял, что просто так обмануть не получится и придумал, что билд был закриптован, ссылаясь на то, что теперь хеш получить невозможно. Но это неправда, все крипторы держат запакованный билд в своих данных, и перед тем как он будет загружен в память он должен быть считан в чистом виде. Если перехватить массив байт с билдом после дешифровки, но до загрузки в память, там будет находиться оригинальный PE файл.
Далее от пользователя были сообщения следующего характера:
Мы и ранее посчитали его поведение странным, но тут сразу стало ясно, что он пытается подставить нас. Видимо проект/ы, с которыми он связан очень сильно обеспокоены нашим появлением на рынке и готовы заниматься грязью. Пазл сложился.
После этого мы решили поискать билды, которые он скачивал на предмет слива. И да, один из билдов бьется по хешу на virustotal. Очевидно, что крыса пробралась на корабль с целью нагадить. После этого мы забанили ему аккаунт и он написал "Готовьтесь, скоро все поймете". Дальше юзер почистил переписку, но он не знал, что мы взяли его на карандаш и постоянно выгружали диалоги. Полный дамп переписки прикладываем ниже.
admin, просим обратить внимание, очевидно готовится подстава
Также прикладываем сюда ссылку на недавний разбор нашего билда от пользователя wizardo, в его первом обзоре можно четко разглядеть следующий фрагмент:
Дали человеку потестить софт за отзыв. Сразу заподозрили что-то неладное, человек докапывался до каждой мелочи, при попытках решить проблему не хотел ничего слушать. Были и предьявы по факту, провайдера, на котором у нас хостится точка входа в инфруструктуру дудосили, и запросы в панель шли очень медленно, но мы оперативно заменили vps и все заработало быстро, также мы по ошибке залили в основу битый билд, который не работал, но помимо него в панели были предыдущие рабочие версии, но человек сфокисировался именно на нем, и кричал что ничего не работает, не хотел больше разбираться, хотя мы его попросили использовать предыдущий билд, пока мы исправляем ситуацию, он работает исправно).
В процессе общения человек в открытую заявил, что раньше сотрудничал с lumma (а может и сейчас сотрудничает, всем известна его репутация, и как он пытался подставить конкурентов). Так же человек прямо обозначил свою связь с проектом OLYMP BOTNET, и позже заявил, что этот проект работает по РУ. После этого он в диалоге писал не "я", а "мы", так что скорее всего персонаж тоже работает по РУ.
Через несколько часов написал нам, что ему в руки попал файл, сильно напоминающий наш билд, но работающий по СНГ.
Ну вот, смотри нам скинули в наш чат стиллер покрытый криптом попросили запатчить
Мы посмотрели и все в 1 в 1 как у вас
Всё аналогично, даже шифруются сообщения между C2 так же.
Точно такие-же сигнатуры как и у вас
И так делает только аура, ничего больше
Вот только одно есть
Он по СНГ работал
Что скажешь?
Мы посмотрели и все в 1 в 1 как у вас
Всё аналогично, даже шифруются сообщения между C2 так же.
Точно такие-же сигнатуры как и у вас
И так делает только аура, ничего больше
Вот только одно есть
Он по СНГ работал
Что скажешь?
Далее от пользователя были сообщения следующего характера:
Ты считаешь возможно что ауру запатчили?
А поведение если точ в точ как у ауры?И мы получив панель/билд в этом убедились
Там нет следов патча - nop или других инструкций.
На чью сторону админы встанут то... Прокладка их, C2 их, код их, генерирует логи так же, проверки анти-СНГ нет
А поведение если точ в точ как у ауры?И мы получив панель/билд в этом убедились
Там нет следов патча - nop или других инструкций.
На чью сторону админы встанут то... Прокладка их, C2 их, код их, генерирует логи так же, проверки анти-СНГ нет
Мы и ранее посчитали его поведение странным, но тут сразу стало ясно, что он пытается подставить нас. Видимо проект/ы, с которыми он связан очень сильно обеспокоены нашим появлением на рынке и готовы заниматься грязью. Пазл сложился.
После этого мы решили поискать билды, которые он скачивал на предмет слива. И да, один из билдов бьется по хешу на virustotal. Очевидно, что крыса пробралась на корабль с целью нагадить. После этого мы забанили ему аккаунт и он написал "Готовьтесь, скоро все поймете". Дальше юзер почистил переписку, но он не знал, что мы взяли его на карандаш и постоянно выгружали диалоги. Полный дамп переписки прикладываем ниже.
admin, просим обратить внимание, очевидно готовится подстава
Также прикладываем сюда ссылку на недавний разбор нашего билда от пользователя wizardo, в его первом обзоре можно четко разглядеть следующий фрагмент:
Полный обзор - https://xssforum7mmh3n56inuf2h73hvhnzobi7h2ytb3gvklrfqm7ut3xdnyd.onion/threads/141592/
Последнее редактирование:
), но в диалоге больше казалось, что его интересует именно реверс билда, в итоге цели оказались совсем иными, он ничего не лил, проверил только стук, один лог из GB пришел, и затем слил билды на VT. Больше бесплатных тестов не будет.