Conti Ransomware malware leak WITH LOCKER
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.

209 lines
8.9 KiB

  1. ����������� �������
  2. �������������� ����� ������������ �������� � �������� ����
  3. ����
  4. ��������� ����� ������ �� ������������ �������� ����� ������������� ��������.
  5. ����
  6. ������� �������� ������ ���������:
  7. ���� 1
  8. 1 ����� ������, ������� ����� ���������
  9. 2 ������������ ������ ��� ������� � ���������� ����������
  10. 3 ������ ������ � ������ �������
  11. 4 ������������ �������� �������� �� dyncheck � ���������
  12. 5 ���� ����� �������� ������ ��������� ������, ���� ���� 2, �����
  13. 6 ��������������� ���� ������� (�������� ����� ������������)
  14. 7 ���� 3
  15. ���� 2
  16. ��� ������ ��������� ������� � ���������, �������� #ifdef'�� ����� ������� �� ���� �� ��������,
  17. �� ��� ��� ���� �� ������ �� ����� ������� ���� ����� ����.
  18. ���� ����������� �� ���� 6 - ����� ����������������� ����� ��������� �������, ������������ ������� ��� ������ �� �����)
  19. ���� �������� ���������, ������� ����� ��������� ���������, ��������� ���� ������������ �������, � ��������� #ifdef FUNCTION1_NEVER .. #endif
  20. � ���� ���� �������, �� ������� ����� ����������������.
  21. ����������
  22. ��������� ������ ���� ��������� ��� ���������� ������� � �������� �� C++.
  23. �� ����������� ���������� �����-���������������.
  24. ��������� ������������ - ����� ��������� ������ (getopt) � ����� �� stdout/stderr.
  25. ����� ����������� ��������� ���� �������� �� ���������� ���������� ���������:
  26. * ��������� �������� Visual Studio ������� � 2010, �������� � ����:
  27. - ������� ������� ������ (Release/x64)
  28. - ������ ���������� �� ������ �������� � ����� ���������� ����� ���, ��� ������� � ����� �������
  29. * ����� ���������� �� ������� ������������ �������� (������������ �� ���� 5)
  30. - ������� ������� - ������ ���� ������� bool avcheck(const char* path), ������� ����� �������� ��� ������ ������������ �������� -
  31. ��� ��� ��������� �����������, ��� � ��� ���������� � ������-���������
  32. * ������ ���� ������ ��������� �������� ������� ������, ����� ���
  33. - template<>
  34. - �������� � ������������ ���������, ������� CRT/STL/WinAPI
  35. - ��� ��� ��������� ����������, ������ ���� ��������� � ��������.
  36. ����� �������� ��� � �������� ��� ������� ����, ��� ��������� ����������.
  37. * ���������� �� stdout ��� ����������:
  38. ���� 1
  39. �������� 1, ���������������� 1801 �������, ����� �������� 0
  40. �������� 2, ���������������� 900 �������, ����� �������� 18
  41. ..
  42. �������� 100, ���������������� 50 �������, ����� �������� 0
  43. ���� 2
  44. ������� foo(), ������ ������ 100..200, ����� �������� 0
  45. ������� foo(), ������ ������ 190..200, ����� �������� 0
  46. ������� foo(), ������ ������ 195..200, ����� �������� 18
  47. ������� ������� � ��������:
  48. foo(): 195..200
  49. bar(): 400..402
  50. dumb(): 151..152
  51. ����� ���������� ������� ���������� ����������� ���� - ������ ����� ����������� ������������ � ������� ������� ��������������� �������.
  52. ����������, ������� �2, ����������
  53. ������ �� �� ����� ��� ������� ��������� ����, ����� ������� ����� ������� ������������ (�������� /MAP ������������):
  54. - ���������� � ������������ ����� ��������� ������ /map
  55. - ������ �������� �����, ������� ������� �������
  56. - �������� ������� ����� � ���������
  57. ��� ����� �������� �������� ���������� �� ����� 1 (�� ����� 2 � ��������� �� ���������)
  58. �� � ���������� ���� �� � ������ ����� 1 ����� ������ ��������� �� �����.
  59. �.�. � ����� ���������� ������� ����� ����� ��������, ������� ����� �� ������� ������� (������� �� CRT, ������ ��������� ������),
  60. �� ����� �������������� ����������� � ���������� ���������:
  61. - ����� ��� ���������� �������� (������ ������)
  62. - ����� ������ �������� ��������� ������ (.obj) (����� ������)
  63. - ����� ������ �������� ��������
  64. ����� ������ ������� ����� ������ �� ������� (��.���� ��������)
  65. ���� ������� ����������
  66. https://github.com/vxlabinfo/SignFinder
  67. �������� �� �������
  68. https://vxlab.info/%d1%87%d0%b8%d1%81%d1%82%d0%ba%d0%b0-pe32-%d1%87%d0%b0%d1%81%d1%82%d1%8c-1/
  69. https://vxlab.info/%d1%87%d0%b8%d1%81%d1%82%d0%ba%d0%b0-pe32-%d1%87%d0%b0%d1%81%d1%82%d1%8c-2/
  70. ���� ��� ������, �� �������� �����, �������� �����
  71. https://ru-sfera.org/threads/chistka-ot-signaturnogo-detekta-antivirusov.2870/
  72. ������ ����� ����� ��������� �������� ��������� ������, ���������� � �������.
  73. �������� ��������
  74. �� ����� ��������� - �������������� ������ �������� (������� � ���������� ������).
  75. �� ������ ��������� - ������������ ������ ��������, ��� ��� ������� ������� �������� ���� - ����� ��� ������.
  76. ���� ��������� - ���������� ��� ������� �� ����������� ����� �����.
  77. ��������:
  78. 1. ������ ������ �� ������: �������� ��� "�����" ��� ������� �� ������ ����������/�� ������������ � ������� ��������
  79. 2. ��������� ������ �� ����������� � ������ ������� �������
  80. 3. ������� � �������� ���� ���������� ������ (��������� ��� ������������ ������������� ��������) ����� ����� ���������� "�����"
  81. �� ���� ���� ������� �������� ��� �������������� ������� � ������� ��-��������.
  82. ���� �������� ���� ������, ������� �������������� ��� � �������� ����� ���� ������� �� ����� ������ �������� � ��������� ������.
  83. �����, ��������� ��� �������������� �������.
  84. ����� � ��������� ���������� ������� ���������:
  85. - ������ ������� ����������� �������� ("������� ������")
  86. - ������ ������������ ��������.
  87. �� ����� ������ ���������:
  88. - ����� ������� ������ ���� ���������
  89. - ������ ������� ������ ���� ��������
  90. 4. ������ ����� � ������� ������: �������� (50%) �������������� �������� �����
  91. 5. ��������� �� ������������ ������� �������� ������
  92. 6. �� �������� - �������� ������� �������� av_check()
  93. 7. ������ ����?
  94. - ���: �������� ����������� ����� �������� ������ ��� "�����", ���������� ���������� (���� 8)
  95. - ��:
  96. � ����������� ����� 1 ������?
  97. - ��: �������� ��� ������, �������� �� ����� ��������, ���� 6
  98. - ���: �������� �������� (50%) �������������� ����� �������� ������, ���� 6
  99. 8. ���� �������� �������������� ������� � ������� ������, ���� 5
  100. 9. ���� �������� �������������� ������� � �����, ���� 4
  101. �� ���� �������� ����� �������� unit-����, �������� av_check() �������� ������� ������ �� ���������� ������ �������.
  102. USAGE
  103. -i <input exe file> ����������� ����. �������� ������������.
  104. -m <input map file> ����� ������������ .map. �������� ������������.
  105. -d <workdir> ������� �������, ���� ���������� ������������� �����. �� ��������� �������.
  106. -s <section> ������ ����������� ������ (.text, .data ...). ����� ������� -s ��������� ���, �������� -s .text -t .data.
  107. �� ��������� ��� ������.
  108. -z <Minimum size threshold> ��������� �� �������� ������� �������� ������ ��� ���������; ������ � ������. �� ��������� 0 (��� ������).
  109. -a defender|dyncheck �������� �� ��������� ����������. ��������� ���, �������� ������������.
  110. -f <functionmask> ��������� ������ ������� � ������, ��������������� �����. ����� ������� -f ��������� ���, �������� -f symb1* -f symb2*
  111. -M <modulename> ��������� ������ ������� �� ��������� �������. ����� ������� -f ��������� ���, �������� -m module1* -m module2*
  112. ��������� -s, -z, -f, -M ������������� �� ����������� � (����������� ��������), �.�. ��������� �������� ��������.
  113. ���������� � ��-��������
  114. �� ������ ����� ����������� ���������� � Windows Defender (Windows 10) � dyncheck.com ����� API.
  115. ����� ��� �� Powershell
  116. * ������ Defender
  117. $Defender = @{
  118. #MALWAREPROTECTION_*
  119. SCAN_STARTED = 1000
  120. SCAN_COMPLETED = 1001
  121. MALWARE_DETECTED = 1006
  122. BEHAVIOR_DETECTED = 1015
  123. STATE_MALWARE_DETECTED = 1116
  124. STATE_MALWARE_ACTION_TAKEN = 1117
  125. StartTime = $null
  126. IsRunning = $false
  127. ScanProc = $null
  128. ScanId = $null
  129. LastScanId = $null
  130. }
  131. * ������ Windows Defender
  132. $Defender.ScanProc = Start-Process `
  133. -FilePath "$($env:programfiles)\Windows Defender\mpcmdrun.exe" `
  134. -ArgumentList '-Scan', '-ScanType 3', "-File $f" `
  135. -PassThru -NoNewWindow #-Wait
  136. $Defender.StartTime = (Get-Date).AddSeconds(-5)
  137. $Defender.IsRunning = $true
  138. * ��������� �������������� ��������, ��� ������������ ������ �������:
  139. $ScanStarted = Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
  140. Where-Object {
  141. $_.TimeCreated -ge $Defender.StartTime -and
  142. $_.Id -eq $Defender.SCAN_STARTED
  143. }
  144. if ($ScanStarted)
  145. {
  146. $Defender.ScanId = $ScanStarted.Properties[$ScanId].Value
  147. $Defender.LastScanId = $Defender.ScanId
  148. }
  149. * �������� ���������� ������������:
  150. $ScanCompleted = Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
  151. Where-Object {
  152. $_.TimeCreated -ge $Defender.StartTime -and
  153. $_.Id -eq $Defender.SCAN_COMPLETED -and
  154. $_.Properties[$ScanId].Value -eq $Defender.ScanId
  155. }
  156. * ������� ������� � �������:
  157. $MalwareDetected = Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |
  158. Where-Object {
  159. $_.TimeCreated -ge $Defender.StartTime -and
  160. $_.Id -in `
  161. $Defender.MALWARE_DETECTED, `
  162. $Defender.BEHAVIOR_DETECTED, `
  163. $Defender.STATE_MALWARE_DETECTED `
  164. �� ������ �����, ����� ���������� �:
  165. - Eset NOD32
  166. - Kaspersky
  167. - Norton Antivirus
  168. ������ ����:
  169. - Avast