malware Банкбот Anubis 2

[maza-in]

это твое личное мнение, а кому то что-то давать я не собираюсь! =)

 

[Venum]

это твое личное мнение, а кому то что-то давать я не собираюсь! =)

Ну они мне не нужны я тебе давал шанс реабилитироваться =)

 

[Venum]

Это далеко не последняя версия))
и не у кого и не когда код с других ботов я не брал

Loki бот порт 34500

Твой бот порт тот же

Дальше , твой бот

Локи бот

Размер буфера одинаковый
Слишком много совпадений

Работа по РУ и СНГ

А ты не прост как кажешься =)

 

[maza-in]

nitob(leeex), ты же знаешь почему код в твоем локи одинаковый =)

таким ботом по снг работать не возможно!

да и реалибироваться мне незачем =)

 

[Venum]

nitob(leeex), ты же знаешь почему код в твоем локи одинаковый =)

таким ботом по снг работать не возможно!

да и реалибироваться мне незачем =)

Mazar-Ganja Man-Sochi-maza-in пальцем в небо:smile89:
Раз пишишь значит работаешь
Старая версия Анубис

Предпоследняя версия Анубис бота

ru.sberbankmobile https://play.google.com/store/apps/details?id=ru.sberbankmobile
ru.alfabank.mobile.android https://play.google.com/store/apps/details?id=ru.alfabank.mobile.android
ru.mw https://play.google.com/store/apps/details?id=ru.mw&hl=ru
com.idamob.tinkoff.android https://play.google.com/store/apps/details?id=com.idamob.tinkoff.android
ru.vtb24.mobilebanking.android https://play.google.com/store/apps/details?id=ru.vtb24.mobilebanking.android
cz.sberbankcz https://play.google.com/store/apps/details?id=cz.sberbankcz

 

[maza-in]

делетант ты раз так рассуждаешь!

то что было выложено, ну первая версия, она была переписанный(не мной) инжектов там моих нет!

то что бот детектировает ру банки, тут простое обьяснение, если бы ты был подкован в этом деле, то знал что таким методом проще детектировать эмуляторы аверов

https://s8.hostingkartinok.com/uploads/images/2019/01/48c951bbfcfe17b687429d4e75c4b6c0.png

 

[Venum]

делетант ты раз так рассуждаешь!

то что было выложено, ну первая версия, она была переписанный(не мной) инжектов там моих нет!

то что бот детектировает ру банки, тут простое обьяснение, если бы ты был подкован в этом деле, то знал что таким методом проще детектировать эмуляторы аверов

https://s8.hostingkartinok.com/uploads/images/2019/01/48c951bbfcfe17b687429d4e75c4b6c0.png

anti emulator Android
Зап*зделся!

https://github.com/search?q=anti+Android+emulator

 

[maza-in]

anti emulator Android
Зап*зделся!

https://github.com/search?q=anti+Android+emulator

ты либо реально делетант, либо только теоретик =)

 

[FreeWar]

На счет уровня малвари выше ниже это все херня, если взять тупо всех ботов функционал везде один и тот же. Так как больше ни чего не сделаешь, а то что есть реализуется за неделю не больше. Боты отличаются только трюками. Это методы СИ как наебать юзера и сделать что-то.

По поводу антиэмулятора скажу сразу. Это тупо отработка параметров телефона. Она есть двух типов и есть комбинированная.

Первая это :

public static boolean checkSandBox(Context context) {
final TelephonyManager theTelephonyManager = (TelephonyManager) context.getSystemService(Context.TELEPHONY_SERVICE);
boolean hasEmulatorImei = false;
try {
hasEmulatorImei = theTelephonyManager.getDeviceId().equals(Config.sz000000000000000);
}catch (Exception e){

}
final boolean hasEmulatorModelName =
Build.MODEL.contains(Config.szGoogleSdk)
|| Build.MODEL.contains(Config.szEmulator)
|| Build.MODEL.contains(Config.szAndroidSdk)
|| Build.FINGERPRINT.startsWith(Config.szGeneric)
|| Build.FINGERPRINT.startsWith(Config.szUnknown)
|| Build.MODEL.contains(Config.szAndroidSdk86)
|| Build.MANUFACTURER.contains(Config.szGenymotion);
final boolean hasEmulatorDevice = Build.BRAND.startsWith(Config.szGeneric) && DEVICE.startsWith(Config.szGeneric);
return hasEmulatorImei || hasEmulatorModelName || hasEmulatorDevice;
}

Ну или код в этом духе

Вторая это :
Прочтитьа определенные параметры системы, к примеру смс, были ли звонки, гео и тупо проанализировать, эмулятор это или нет

Ну и комбинированная это и первое и второе.

На счет одинаковости кода, ну да было время когда массово сливали сорцы и код пиздился из бота в бот. Как приват технологий нет ни в одном боте. Это все гуглился на раз два. Типа как получить список смс. Как получить гео. Как показать инжект. Бля как меня бесит слово инжект для андроидов, вот это очередное наебалово) Ведь в андроиде есть инжекты и это совсем другая тема. А то что кто-то понятие тупо перенес с винботов. Это тупо запуск своей актвиви с веб браузером когда запускается другое приложенее. Доступа в то приложение как при инжекте нету хехе всем бобра.

 

[FreeWar]

Ну да еще допишу в довесок, что тут антивирусы не имеют доступов в твой процесс, и изьебываться над функциями доступа как в винде не надо. Антивирусы тупо ищут по имени пакета и анализ при установке. Ни какой эмуляции у них нет. В общем поэтому и код особо не меняется. А тупо копипастится даже с того же stackoverflow

 

[maza-in]

совершенно верно

а по анти эмулятору вот пример https://xakep.ru/2019/01/18/new-anubis-apps/ работает на 100%, даже можно фильтровать реальный девайсы которые тестируют именно аверы!

 

[Venum]

Я указал на ошибки в админке, работу по РУ, код собранный с трех ботов. От дырявой админки плавно ушли на ссылки хакера =)
Не нужно грамотно писать код, нужно уметь грамотно п*здеть!
Позже напишу статью по анти эмулятору андрод.

 

[maza-in]

Я указал на ошибки в админке, работу по РУ, код собранный с трех ботов. От дырявой админки плавно ушли на ссылки хакера =)
Не нужно грамотно писать код, нужно уметь грамотно п*здеть!
Позже напишу статью по анти эмулятору андрод.

nitob, ты лучше бабки отдай людям которых кинул со своим локи ботом, а потом пиши что хочешь =)

 

[sii]

На счет уровня малвари выше ниже это все херня, если взять тупо всех ботов функционал везде один и тот же. Так как больше ни чего не сделаешь, а то что есть реализуется за неделю не больше. Боты отличаются только трюками. Это методы СИ как наебать юзера и сделать что-то.

По поводу антиэмулятора скажу сразу. Это тупо отработка параметров телефона. Она есть двух типов и есть комбинированная.

Первая это :


Ну или код в этом духе

Вторая это :
Прочтитьа определенные параметры системы, к примеру смс, были ли звонки, гео и тупо проанализировать, эмулятор это или нет

Ну и комбинированная это и первое и второе.

На счет одинаковости кода, ну да было время когда массово сливали сорцы и код пиздился из бота в бот. Как приват технологий нет ни в одном боте. Это все гуглился на раз два. Типа как получить список смс. Как получить гео. Как показать инжект. Бля как меня бесит слово инжект для андроидов, вот это очередное наебалово) Ведь в андроиде есть инжекты и это совсем другая тема. А то что кто-то понятие тупо перенес с винботов. Это тупо запуск своей актвиви с веб браузером когда запускается другое приложенее. Доступа в то приложение как при инжекте нету хехе всем бобра.

Я конечно не кодер зловредов под андроид но не понимаю подход, можно взять опыт с десктопных ос и писать весь "важный" код в нативе а далее просто из java вызывать, при всех нюансас это усложнить жизнь реверсеров ( не много ) и любителей импортить чужой код. Судя по обзорам и комментам что тут в посте криптографией даже и не пахнет, я понимаю что если ключи буду в java коде то особых трудностей подменить нужное не будет но все-же при написании такого софта каждая функция которая заставить аналитиков потратить дополнительное время это то что в обшем дает возможность отсеять многих якобы реверсеров и всяких любителей код чужой импортировать.
Если ошибаюсь поправьте.

P.S Это я имел ввиду под уровнем малвари под андроид.

 

[Venum]

nitob, ты лучше бабки отдай людям которых кинул со своим локи ботом, а потом пиши что хочешь =)

Теперь я автор =)
Ошибки не мои, версия не последняя, везде клиенты виноваты.
Как и писал на прошлых страницах код с трех ботов как в админке так и в ботах, рука одного автора maza-in.
И как бы maza-in сейчас не пытался уйти от ответственности за работу по РУ и СНГ, автором бота Анубис, Лодера exobot, и Локи бота является один человек maza-in. Если есть у кого то желание в этом убедится стоит посмотреть код.
https://news.sophos.com/en-us/2018/08/14/anubis-is-back-are-you-prepared/
https://doublecodes.blogspot.com/2018/06/loki-20-botnet_27.html

 

[maza-in]

тебе выше человек описал все, nitob =)

забыл указать мазар и сочи, зап*зделся =)

 

[FreeWar]

Я конечно не кодер зловредов под андроид но не понимаю подход, можно взять опыт с десктопных ос и писать весь "важный" код в нативе а далее просто из java вызывать, при всех нюансас это усложнить жизнь реверсеров ( не много ) и любителей импортить чужой код. Судя по обзорам и комментам что тут в посте криптографией даже и не пахнет, я понимаю что если ключи буду в java коде то особых трудностей подменить нужное не будет но все-же при написании такого софта каждая функция которая заставить аналитиков потратить дополнительное время это то что в обшем дает возможность отсеять многих якобы реверсеров и всяких любителей код чужой импортировать.
Если ошибаюсь поправьте.

P.S Это я имел ввиду под уровнем малвари под андроид.

Ну вопрос в том что все приложения работают в песочнице и вылезти от туда нельзя, а все методы они одинаковы взаимодействия. И в любом случаей методы запроса смс они будут одинаковые, это вызов апи метода ни шаг в лево ни шаг в право. Да если писать на нативе, аналитики по дольше будут парится. Но пять же любой код натива не может быть без явы. То есть все вызовы из манифеста все равн пишется только на яве (котлине или еще чем) а дальше уже с них вызывается натив. И тут по этому коду уже может быть понятно что за малварь и как она работает.

 

[InstallsWithLove]

Теперь я автор =)
Ошибки не мои, версия не последняя, везде клиенты виноваты.
Как и писал на прошлых страницах код с трех ботов как в админке так и в ботах, рука одного автора maza-in.
И как бы maza-in сейчас не пытался уйти от ответственности за работу по РУ и СНГ, автором бота Анубис, Лодера exobot, и Локи бота является один человек maza-in. Если есть у кого то желание в этом убедится стоит посмотреть код.
https://news.sophos.com/en-us/2018/08/14/anubis-is-back-are-you-prepared/
https://doublecodes.blogspot.com/2018/06/loki-20-botnet_27.html

Я представляю как о*уели бы авторы всех этих ботов, если они читали бы это. :smile46::smile46:
Все их проекты приписали maza-in. :smile46:

 

[FreeWar]

В общем поглядел на версию анубиса что выложил ТС.
Это далеко не вторая и хз даже каких волосатых времен версия, а скорее всего переделка. Таких сорцов валяется куча. И есть у любого кодера.

В манифесте

<receiver android:label=" " android:name="anu_bispro.app.DAR" android:permission="android.permission.BIND_DEVICE_ADMIN">
<meta-data android:name="android.app.device_admin" android:resource="@layout/r_l"/>
<intent-filter android:priority="111">
<action android:name="android.app.action.DEVICE_ADMIN_DISABLED"/>
<action android:name="android.app.action.ACTION_DEVICE_ADMIN_DISABLE_REQUESTED"/>
<action android:name="android.app.action.DEVICE_ADMIN_ENABLED"/>
</intent-filter>
</receiver>

Что свидетельствует ооооочень старой разработке. Эти права уже не используются с 6й версии андроида. В коде ни какой работы ру не замечено. разве что инжекты, которые могли по сути и клиенты подсунуть, ведь они не вшиваются в бот. В админке нету работы с смс заливами, что свидетельствовало тем временам. Причем инжекты очень стандартной формы, такие юзались много где. И выложены давно в паблик.

На счет скринов что выложил Venum. Не понятно что за билд и что это анубис опять же (ну что файл апк назвали так). Сорцы все обфусцированы. На счет совпадений тут опять же система того что сорцы копировались друг у друга. Дабы не изобретать велосипед. Мне самому лично приходили доработки сторонних ботов в частности и анубиса, (когда у него не было еще socks5), когда авторы забивали хер на своих клиентов. Поэтому получались схожие части в коде. Чтобы рассуждать об этом не плохо было бы увидеть тупо новую админку анубиса и все сразу станет ясно. Работает он по ру или нет.

 

[InstallsWithLove]

По поводу бота, которого я выложил - это не второй. Судя по скринам это самый первый, который я использовал еще в 2015-2016 году, если не ошибаюсь. Может даже в 2014.
В компе был сохранен как Anubis 2. А оказалось что нихрена не Anubis 2, судя по скринам на первой странице. Извиняюсь, мой косяк.

По поводу Анубиса нового - я много лет работаю с ботами. Не создаю их, а использую по назначению. Я тестил всё что есть на рынке. Да и даже то чего нет на рынке. Новый Анубис, 2.5 который, если не лучший продукт который у меня был, то точно один из лучших. Был еще один, очень мне понравился, но автор давно его не поддерживает, в блэках если не ошибаюсь.