malware Extended Malware Builder (Stealer, Joiner, Clipper, поддержка AsyncRAT, и многое другое!)

[Ingiborga]

Изначально софт писался как билдер клиппера для продажи которые не задались, https://xss.pro/threads/52411/ по моей просьбе тему закрыли.
Решил выложить в паблик, но раз паблик почему бы не потренится мне в этом и дополнить функционалом, да где то пабликом где то своим.
Получился не хилый комбайн для создания малвари.
Написан на C# .Net 4.0

Если кратко то на борту билдера:

• Склейщик (Joiner) - Можно приклеить любые файлы до 1-3мб веса.
• Гибкий Клиппер который подменивает криптовалютные кошельки из списка на похожие + различные кошельки и ссылки.
• Граббер (Stealer) - Информация на скринах.
• 2 Обфускатора + ренеймер которые умеют работать в связке друг с другом, что надеюсь даст долгий боле-менее чистый скантайм детект.
• Полноценная поддержка AsyncRAT https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp

В процессе личного использования некоторые билды уже отлетали на ВТ, но при правильной настройке:

Остальной функционал смотрите на скринах:




Скачать Builder:

Скачать: https://mega.nz/file/TSoDGS4A#tdbDl0vt8g1ieVv18xeZryDwOf4n77ekebFYTzBD9qY
Пароль: xss.is_662616773817fd

Исходные коды всего проекта продам за - 50$

О багах, предложениях просьба отписываться в данной теме.
По мере возможности буду дополнять/исправлять/обновлять софт.

 

[Ingiborga]

По просьбам попрошаек) Других вариантов скачать нет если не видите хайд.

Скачать: https://mega.nz/file/TSoDGS4A#tdbDl0vt8g1ieVv18xeZryDwOf4n77ekebFYTzBD9qY

Пароль: xss.is_662616773817fd

В ЛС я продаю только сурсы, не надо мне долбить пожалуйста.

 

[c0d3r_0f_shr0d13ng3r]

Я конечно извиняюсь за излишнее любопытство, но почему софт с бекдором?
1.Кидаем билд в dnSpy, видим шифрованные строки

Расшифруем через эмулятор

2.Переключаемся на данный метод и видим вот такую шнягу.Бинарник закодированный в bs64

Сохраняем в .txt и декодим через https://www.base64decode.org/
На выходе получаем екзешник, сразу кидаем в спай

3.Видим пакер от фусера, снимем его при помощи моей тулзы

Такссс, получившийся бинарник кидаем в спай и видим вот это:

То же самое шифрование строк, опять снимаем как в шаге 2

Видим клиппер, но уже с кошелями автора(в билдере никаких кошелей не выставлялось)

Но он сработает через 5 дней после заражения юзера основным софтом

Кстати, этот обфускатор и этот клиппер я видел когда крякал стиллер медкода "MadEasy".Возможно тс и медкод один и тот же человек... но явных пруфов у меня нету
UPD: Прикрепил бинарник извлеченной малвари, расширение .txt поменяйте на .bin/.exe .Форум запрещает грузить .exe

 

[yashechka]

Самый лучший софт, этот софт, который ты написал сам, он точно безопасен.

 

[corpserves]

вроде в другом топе уже писали что там клипер в этом говне

 

[c0d3r_0f_shr0d13ng3r]

вроде в другом топе уже писали что там клипер в этом говне

Увы коммерс версия не попала мне в руки(
Ну по крайней мере, теперь есть весомый пруф в виде реверса данного софта

Кстати, в недавнем CHMiner был тот-же обфускатор что и на данном софте.

 

[wade1337]

Увы коммерс версия не попала мне в руки(
Ну по крайней мере, теперь есть весомый пруф в виде реверса данного софта

Кстати, в недавнем CHMiner был тот-же обфускатор что и на данном софте.

кошели кста те же что и на скрине )

https://xss.pro/attachments/23731/

первый точно совпадает остальные не смотрел

 

[Vacation]

кошели кста те же что и на скрине )

https://xss.pro/attachments/23731/

первый точно совпадает остальные не смотрел

грязно пиздец, кошели действительно совпадают)

 

[LelouchZero]

he is obviously the creator of ch miner as well, the same way of encoding is used in both ch miner and that specific stealer

 

[Vacation]

если там есть кошели для подмены хмр, можно сравнить с старым кошельком chminer'a на который он майнил

 

[QweRR]

c0d3r_0f_shr0d13ng3r цены тебе нет, сколько бы ребят попались. еще раз убеждаюсь, бесплатный сыр......

 

[Ingiborga]

Лож. В билдере вшит стаб бинарным кодом в base64 это да. Но лишь потому что из этого стаба создается уже готовый билд. Каждые 5 дней то что ты увидел запускается переустановка для прописки в авто-загрузку. Хренова ты анпакнул. Связь с какими либо кодерами в виде медкода и прочее уже просто клоунада.

 

[wade1337]

Лож. В билдере вшит стаб бинарным кодом в base64 это да. Но лишь потому что из этого стаба создается уже готовый билд. Каждые 5 дней то что ты увидел запускается переустановка для прописки в авто-загрузку. Хренова ты анпакнул. Связь с какими либо кодерами в виде медкода и прочее уже просто клоунада.

а автозагрузку можно убирать?

 

[Ingiborga]

а автозагрузку можно убирать?

Можно

 

[c0d3r_0f_shr0d13ng3r]

ты увидел запускается переустановка для прописки в авто-загрузку. Хренова ты анпакнул.

А почему там твои кошели?

Не надо мне мозги пудрить, код автозагрузки там совсем в другом месте

Связь с какими либо кодерами в виде медкода и прочее уже просто клоунада.

Я лишь предположил.Объяснишь откуда у тебя его обфускатор?

 

[Ingiborga]

А почему там твои кошели?

Не надо мне мозги пудрить, код автозагрузки там совсем в другом месте

Я лишь предположил.Объяснишь откуда у тебя его обфускатор?

1. Мозги ты пытаешся пудрить. Кошельки мои и в билдере как бы указнны я их не удялял. Как пример.
2. С оф. Сайта... Babel+конфюзер. Все бесплатно можно скачать. С чего ты вообще взял что я использовал какой то мего приват обфускатор для паблика) Возьми https://www.babelfor.net/ после ConfuserEx с гит хаба и получишь то что ты называешь "Его обфускатором"

 

[c0d3r_0f_shr0d13ng3r]

1. Мозги ты пытаешся пудрить. Кошельки мои и в билдере как бы указнны я их не удялял. Как пример.

Ты хочешь сказать, что у тебя софт билдит один клиппер, вставляет в другой клиппер и по истечению 5-ти дней заменяет их?
Я создавал билд с пустыми кошелями

2. С оф. Сайта... Babel+конфюзер. Все бесплатно можно скачать. С чего ты вообще взял что я использовал какой то мего приват обфускатор для паблика) Возьми https://www.babelfor.net/ после ConfuserEx с гит хаба и получишь то что ты называешь "Его обфускатором"

Медкод(он же автор CHMiner) использовал ту же самую обфускацию.+Ты говорил про какой-то "приватный обфускатор".Да, я сейчас поставил себе ластовый бабел , методы строк действительно совпадают.Но опять же , ответь на первый вопрос

 

[User7]

Мне кажется отпираться тут уже нет смысла, попалился господин ТС на горяченьком. Перед мистером "кодером" снимаю шляпу) Тему с кошельками уже никак не объяснишь, единственный вариант соскочить это сказать что софт таким тебе уже достался, однако тебе никто не поверит)

 

[c0d3r_0f_shr0d13ng3r]

что софт таким тебе уже достался

Ага, если учесть, что он его разраб))

 

[c0d3r_0f_shr0d13ng3r]

Лучше через dnSpy либо через другой декомпилятор, получить сурсы вырезать все говно который напихал автор....

Билд скоро перестанет работать.По тупости автора тут юзается триальный Babel, который вставляет DataTime-мутации, которые руинят софт через nn-ое время