• XSS.stack #1 – первый литературный журнал от юзеров форума

malware Исходники Taurus/Predator The Thief

  • Автор темы KasperWAF
  • Дата начала
Отслеживать
c0d3r_0f_shr0d13ng3r сказал(а):
А ты сожми нормально, через LZ4, например, и не будет никаких 10мб траффа.Да, будет выше нагрузка на серв, но она не такая критичная.
Я пробовал в сжатие но мне так не понравилось почему-то, что я и забыл уже почему да и выпилил во второй версии. Скорее всего из-за раздувания или слишком ресурсоемким процессом, хз, надо будет потестить еще раз.
c0d3r_0f_shr0d13ng3r сказал(а):
Вообще, я поддерживаю полноценный Server-Side Decrypt стиллак, и я могу сказать следующее: если кодер норм шарит за сетевуху и способен разработать нормальный протокол общения сервак<->клиент, по которому будут передаваться данные, то всё ок.Проблема в том, что люди которые пишут стиллаки для паблика работали с HTTP максимум.Исключения тоже встречаются.Все мы помним ficker, где он сейчас? Имхо, человек понял, что уже вырос из паблика и решил уйти в приват со своим проектом(поправьте, если кто знает, что было на самом деле).
Это мы просто между собой письками меряемся, кто как лучше сделал. Конечному покупателю как выяснилось вообще без разницы HTTP у тебя или TCP.
c0d3r_0f_shr0d13ng3r сказал(а):
UPD2: забыл упомянуть еще один важный момент.Когда вы парсите и декриптите данные на серваке, вы всяко отдадите предпочтение официальным либам.Например дотнетовскому System.Data.SQLite.Если вы парсите бд на клиенте, то скорее всего, у вас будут проблемы с парсингом
На дотнете есть куча либ удобнее чем System.Data.SQLite. Правда все равно они все используют ADO.NET. Нужен тест скорости SQLiteHandler, уверен что он выиграет, потому что без SQL.
c0d3r_0f_shr0d13ng3r сказал(а):
Написание своего СТАБИЛЬНОГО парсера sqlite задача далеко не самая простая
Задача легкая, серьезно. Просто не хватает времени да и обычная лень в моем случае, когда все и так работает.
c0d3r_0f_shr0d13ng3r сказал(а):
Например, шарповский SQLiteHandler не умеет нормально работать с китайскими символами.Из-за чего отстук на азиатских машинах падает.
Отстук падает из-за говнокода, который не смог отловить ошибку. Вот недавно такой у себя говнокод пофиксил, когда рекурсивный поиск выдал "файл есть", а в итоге его уже нет (я его даже не использовал никак), а ведь директория не %TEMP%.
Если SQLiteHandler модифицировать то он нормально и с китайскими символами работает, у меня автотесты на такие случаи.
 
Последнее редактирование:
distamx сказал(а):
Отстук падает из-за говнокода, который не смог отловить ошибку. Вот недавно такой у себя говнокод пофиксил, когда рекурсивный поиск выдал "файл есть", а в итоге его уже нет (я его даже не использовал никак), а ведь директория не %TEMP%.
Ну это тоже, но я сейчас говорю конкретно про кривые решения
distamx сказал(а):
Конечному покупателю как выяснилось вообще без разницы HTTP у тебя или TCP.
Никто ничем не мерится, в этом нет необходимости.Мой софт не паблик...
Да и создается такое ощущение, что конечному покупателю из паблика похуй на тех часть.Иначе, как еще объяснить, что #1 стиллер по продажам это редлайн?
 
Последнее редактирование:
c0d3r_0f_shr0d13ng3r сказал(а):
Да и создается такое ощущение, что конечному покупателю из паблика похуй на тех часть.Иначе, как еще объяснить, что #1 стиллер по продажам это редлайн?
Ты просто забываешь, на каком известном зеленом форуме он продается ;).
 
Пожалуйста, обратите внимание, что пользователь заблокирован
c0d3r_0f_shr0d13ng3r сказал(а):
Что же касается корпов, покажите мне человека, который запускает обычные стиллаки на сетках? Под такие цели вроде пишутся софты с локальным декриптом и сохранением лога.
Я имел ввиду, что в корпоративной среде трафик очень жестко контролируется и режется весь нестандарт. И одно дело, если у вас протокол поверх https, т.е. куда-то там сотрудник зашел, отправил грубо говоря POST запрос , и скачал картинку (в которой пейлоад), и другое - отстук на какой-то порт 1488 с непонятными данными. Оно в глаза бросается даже при общем просмотре.
видел корпов, где запрещено почти все, даже вебсокет не работал.

c0d3r_0f_shr0d13ng3r сказал(а):
UPD2: забыл упомянуть еще один важный момент.Когда вы парсите и декриптите данные на серваке, вы всяко отдадите предпочтение официальным либам.Например дотнетовскому System.Data.SQLite.Если вы парсите бд на клиенте, то скорее всего, у вас будут проблемы с парсингом.Написание своего СТАБИЛЬНОГО парсера sqlite задача далеко не самая простая.Например, шарповский SQLiteHandler не умеет нормально работать с китайскими символами.Из-за чего отстук на азиатских машинах падает.
Как и всего другого. Любой код, любой модуль должен пройти много часов отладки , свои "велосипеды" и так далее. Пример - перехват апи, что какой-то detours/minhook, что самописный код, будут по любому ошибки на какой-то нестандартной ситуации.

c0d3r_0f_shr0d13ng3r сказал(а):
Все мы помним ficker, где он сейчас?
у него основная проблема возникла с чисткой. изначально он заявлял о ллвм морфере, но на паблик чистки делать весьма сложно. Сам понимаешь, я это говорю постоянно, что кто что-то умеет, постепенно переходит в приваты или забивает (крид ведь азор тоже бросил не просто так - задолбался вычищать самый народный стилер).
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Alan Wake сказал(а):
Собственно недавно тут продавались эти исходники, взял их для изучения и решил поделиться с комьюнити
Пароль местный

404 File KbXHR/present.rar not found​

 
distamx сказал(а):
Я пробовал в сжатие но мне так не понравилось почему-то, что я и забыл уже почему да и выпилил во второй версии. Скорее всего из-за раздувания или слишком ресурсоемким процессом, хз, надо будет потестить еще раз.
Deflate на максимальной степени компрессии ужимает 10 МБ данных до 900 КБ за 2 сек, это всяко быстрее, чем отправить те же 10 МБ данных по сети. На бэкэнде и вовсе не обязательно заставлять клиента ждать, когда полученные данные расшифруются/разожмутся/обработаются. Как клиент отправит событие, что закончил работу - тогда и начни обработку/сборку лога, клиент в это время может и подождать, если нужны какие-либо дополнительные действия от него. Даже если коннект и обвалится - не так критично, т.к лог уже у нас.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
reqwest сказал(а):
Deflate на максимальной степени компрессии ужимает 10 МБ данных до 900 КБ за 2 сек, это всяко быстрее, чем отправить те же 10 МБ данных по сети
Можно на эту тему подушнить: зависит от энтропии данных, чем меньше энтропия, тем больше степень сжатия, на максимальной энтропии deflate даже увеличит размер буфера.
 
distamx сказал(а):
Из-за специфики проверки лога и выдаче ему правил граббера/лоадера все таки приходится ждать. А это уже работа бэкенда панели и ее обработка лога после сервера. Обойти это - упороться с хранением сессии и обработка всего на одном, пока не очень необходимо.
Проблемы с архитектурой. Создай пул воркеров, при получении репорта с какого-либо софта (у тебя же все данные с клиента частями отправляются?), сохраняй на диск, пуш задачу воркерам, клиенту выдавай токен с лайфтаймом. Умер токен и клиент не получил новый -> клиент умер. Основная часть данных, необходимая для дальнейшей работы клиента, у тебя успеет обработаться до того момента, когда токен истечёт.
 
Ставлю биток на то, что какой-то "умник" соберет его и увидим топик Pizdator Stealer нового поколения за 3000 рублей/год
 
Пожалуйста, обратите внимание, что пользователь заблокирован
По размеру не пойму вообще. Когда мы обсуждаем малварь, что нужно кодить на нормальных языках - сразу набегает дофига народу с аргументами. Что на размер всем давно пофиг, у всех терабитные каналы, а нищеброды как таргеты не нужны, что АРТ юзают малварь по 700метров (АРТ то для нас непререкаемые авторитеты, как воры в законе для первоходов). Ну ладно. Зато когда встает вопрос об отправке каких-то нескольких мегабайт по сети - то это сразу тяжело, долго, много и т.д.
WhiteDragon сказал(а):
увидим топик Pizdator Stealer нового поколения за 3000 рублей/год
так и будет, поэтому любая подобная тема будет закрыта на деп (если я пропущу, шлите отчет). А там уже как выйдет, на основе сорцев Зевса в свое время были неплохие клоны..
 
Quake3 сказал(а):
По размеру не пойму вообще. Когда мы обсуждаем малварь, что нужно кодить на нормальных языках - сразу набегает дофига народу с аргументами. Что на размер всем давно пофиг, у всех терабитные каналы, а нищеброды как таргеты не нужны, что АРТ юзают малварь по 700метров (АРТ то для нас непререкаемые авторитеты, как воры в законе для первоходов). Ну ладно. Зато когда встает вопрос об отправке каких-то нескольких мегабайт по сети - то это сразу тяжело, долго, много и т.д.
Я забил, как мы пообщались и стал слать все на сервак, проблема обнаружилась быстро - память у клиента/сервера приказала долго жить, хотя эт граббер был виноват все равно... ~3-4 мб на моей машине креды только хрома... А если не только куки/логины/автофиллы качать а еще и историю и Shortcuts будет веселуха на все 30.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх