Перейти к публикации
  • Integra
    Integra

    Как вычисляют вирусописателей?

    Кто-то верит в домовых и полтергейст, кто-то — в снежного человека, кто-то — в то, что разработчик малвари и прочего нелегального софта может гарантировать собственную анонимность, просто накрыв бинарник упаковщиком или обфусцировав код. Отдельные индивидуумы убеждены, будто их деятельностью никогда не заинтересуются компетентные органы, если созданные ими программы не наносят прямого материального ущерба, не распространяются на территории России или пострадавшие не напишут в полицию толстую пачку заявлений.

    Факты же упрямо демонстрируют нам совершенно иную картину. Деанон авторов малвари стал уже настолько привычным делом, что подобные инциденты в последнее время никого не удивляют. Ну, спалили еще одного кодера, эка невидаль. Кое-кто и вовсе бравирует собственной неуязвимостью и безнаказанностью: дескать, вот он я, пусть попробуют поймать, да только кому я нужен? Нужен, мил человек, и еще как.

     

    Да кому ты нужен?

    Начнем с того, что обе присутствующие на российском рынке отечественные антивирусные компании очень тесно взаимодействуют с правоохранительными органами, чего совершенно не скрывают. Хотя бы по той простой причине, что они вынуждены регулярно получать у суровых организаций с названиями из трех букв лицензии и сертификаты на разработку средств защиты конфиденциальной информации, на работу с криптографией, на защиту персональных данных и далее со всеми остановками.

     

    Кроме того, все они имеют лицензии на проведение технических экспертиз и исследований с использованием методов форензики, причем регулярно используют эти лицензии по назначению — в том числе в интересах государства. Наконец, ходят упорные слухи, что многие работающие на рынке информационной безопасности фирмы в обязательном порядке отправляют куда надо регулярные отчеты о текущей вирусной и киберкриминальной обстановке. Если в такой отчет, помимо сухой статистики, можно включить конкретные сведения о разоблаченном вирмейкере, упустят ли аналитики такую возможность? Ответ, в общем-то, очевиден.

    pechkinn.jpg#26164148
     

    Но есть и хорошая новость, юзернейм. Если однажды утром ты проснулся знаменитым, потому что твое имя внезапно попало в новостные ленты антивирусных компаний, это означает одно из двух. Либо ты уже сидишь в тесном зарешеченном помещении в ожидании суда, либо представители закона не проявили к твоей персоне заслуженного внимания.

    Существует такое понятие, как тайна следствия, разглашать которую нельзя ни под каким соусом. Если в отношении некоего абстрактного кодера Васи органы правопорядка проводят какие-либо мероприятия, об этом вряд ли расскажут в интернетах до тех пор, пока кодеру Васе не будет предъявлено обвинение или он не предстанет перед судом. Только вот радоваться, обнаружив себя, любимого, в новостях, тоже глупо: это однозначно свидетельствует о том, что ты уже на карандаше, а о твоем творчестве оперативно сообщили куда следует.

     

     

    Это он, это он, ваш тотальный деанон!

    Абсолютно во всех известных широкой общественности случаях деанона причину случившегося следует искать в зеркале. Вирмейкеры порой палятся на таких мелочах, которые со стороны выглядят сущей нелепицей. Ну казалось бы, зачем хранить на серваке, где поднята админка ботнета, личные файлы? Зачем сбрасывать стату по работе другого ботнета эсэмэсками на номер мобильного телефона с левой симкой, если этот номер ранее неоднократно светился в объявлениях по продаже компьютерных потрошков с указанием города и даже, ты не поверишь, ближайшей станции метро?

    Складывается впечатление, что подобные глупости совершают исключительно кодеры, которых природа наделила одной-единственной извилиной, да и та анатомически расположена где-то в районе непосредственного контакта организма со стулом. Однако наступить на грабли может буквально каждый. Особенно если он не выработал полезной привычки внимательно смотреть себе под ноги.

     

     

    В каждой строчке только точки

    Как известно, отлаживание — это мучительный процесс избавления программы от лажи. Для облегчения этого самого процесса некоторые компиляторы добавляют в бинарник специальные отладочные строки. В них порой содержится полный путь к папке, где хранились исходники проекта, причем этот путь иногда включает имя пользователя винды, например C:\Users\Vasya Pupkin\Desktop\Super_Virus\ProjectVirus1.ВБП.

    В процессе реверсинга вся эта радость неизбежно вылезает наружу. Одно дело, если имя учетки придумали те же самые ребята, которые сочиняют непроизносимые названия для товаров в магазине IKEA. Но зачастую строка включает настоящее имя и даже — страшно подумать — фамилию незадачливого вирмейкера. Благодаря этому обстоятельству вычислить его становится намного проще, хотя результат не гарантирован: мало ли на нашей планете обитает однофамильцев?

    Даже если вместо имени пользователя в обнаруженной исследователями строчке значится ник, это все равно даст важную зацепку. Большинство людей, не страдающих паранойей, использует один и тот же ник на различных ресурсах. Это их и подводит. Любой желающий очень быстро отыщет посты интересующего его персонажа на форумах, его страничку на гитхабе и профайл в твиттере. Понять, что все эти «цифровые следы» оставило одно и то же лицо, несложно: одинаковый аватар, схожая подпись, один и тот же текст, размещенный на разных площадках… Дальше потянется ниточка, которая куда-нибудь да приведет.

    Вывод прост: раз уж ты взялся за написание программы, которую кто-то, вероятно, захочет исследовать, нужно соблюдать правила элементарной гигиены и внимательно следить за тем, чтобы в код не попало ничего лишнего.

     

     

    Вот тебе мыло душистое и полотенце пушистое

    Еще одно распространенное природное явление — хранение адресов электронной почты в виде незашифрованных символьных значений. Характерные строки — это первое, на что обращает внимание в дизассемблированном коде реверс-инженер. Притом некоторые индивидуумы полагают, будто достаточно поксорить строчку, чтобы надежно спрятать свой адрес на мейл.ру от посторонних глаз. Нет, друзья, недостаточно.

    Если в коде внезапно обнаруживается мыло, оно тут же вбивается в гуголь. Дальше возможны варианты. По адресу электропочты через несколько последовательных шагов может отыскаться и учетка в телеграме, и страничка пользователя в социальных сетях, и факт его регистрации на форумах вместе со всеми сообщениями. А может не нагуглиться ничего. Второй вариант случается, если предусмотрительный юзернейм не использует один и тот же ящик для технических целей и личной переписки.

     

     

    Не стучите, открыто!

    Еще веселее, когда какой-нибудь непризнанный гений прописывает прямо в коде логин и пароль, например от админки бота или от облачного хранилища, куда трой заливает утянутые с компьютера пользователя файлы. Совсем хорошо, если один и тот же пароль используется везде, где только можно — и для авторизации в админке, и на почтовом сервере, и в социальных сетях.

    code.jpg#26164148
     

    В этой связи невольно вспоминается один недавний случай, когда некий анонимус решил проверить трояна-стилера на собственном компьютере. Стилер, что характерно, отработал на пять баллов. В результате в облако, логин и пароль от которого хранились в открытом виде в самом трое, с компа нашего естествоиспытателя было выгружено все исподнее, наглядно продемонстрировав исследователям его неприкрытую жоизнь и богатый внутренний мир. По возможности избегай этого, юзернейм.

     

     

    Ваш домен выключен или находится вне зоны обслуживания

    Кое-кто очень любит забивать прямо в код адреса управляющих серверов, даже несмотря на то, что прогрессивное человечество давным-давно придумало DGA — алгоритмы динамической генерации доменных имен. Примеры таких решений можно без особого труда найти в этих ваших интернетах.

    И дело не в том, что DGA повышает живучесть троя (накрылся один управляющий сервак — софтина автоматически подключается к следующему), и даже не в том, что сервер, если его адрес известен, можно сбрутить, засинкхолить или заDDoSить. Вычислить можно и сгенерированный адрес, вдумчиво покурив алгоритм, но тут вступают в действия иные механизмы защиты — верификация подписи сервера, шифрование при передаче данных и прочие.

    url.jpg#26164148
     

    Даже если сломать админку у исследователя не получилось, очень много полезной информации можно добыть, воспользовавшись службой whois. И скрытие имени держателя домена помогает далеко не всегда. А еще можно поискать другие сайты на том же IP-адресе, посмотреть, что на них находится, и попробовать зайти оттуда. В принципе, многие слышали термин CloudFlare, но вот разбираться, что это такое, всем обычно лень.

    Некоторые гуманоиды и вовсе поднимают админки у публичных хостеров либо на площадках, где крутятся другие их проекты или сайты работодателя. Комментировать такое я, пожалуй, не стану: глумиться над подобным грешно, а плакать уже сил нет.

     

     

    И смех и грех

    Гордыня — это смертный грех. А грешников, как утверждают религиозные деятели, ждет неминуемое наказание. Далеко не все вирмейкеры готовы оставаться в тени и тихонечко стричь бабло, им хочется славы, почета и уважения, внимания публики и бурных оваций. В результате кое-кто начинает записывать видосы о компиляции и обфускации троев и выкладывать скринкасты на ютубе. Позабыв при этом закрыть в браузере вкладочки со своей страничкой «Вконтакте» и окошки проводника, где на HD-разрешении можно разглядеть очень много интересного.

    vidos.jpg#26164148
     

    Другой персонаж компрометирующих роликов не снимал, зато выкладывал в интернет крайне интересные статьи о методах обхода UAC, написании сплоитов, повышении привилегий в системе и прочих вирмейкерских трюках. С конкретными примерами, конечно. Вычислили его очень просто: по этому самому коду, вернее по характерным именам переменных, комментам, манере реализации некоторых функций — в общем, сравнив выложенные в паблик исходники и кодес из IDA Pro. Отпираться оказалось бессмысленно — код он размещал в личном блоге за собственной подписью. Фаталити.

     

     

    Вместо послесловия

    Методов идентификации авторов малвари существует великое множество, я упомянул только о самых очевидных из них. Выводы тоже вполне очевидны: в кабинет к следователю вирмейкеров приводит собственная некомпетентность и распнаплевательское отношение к элементарным вопросам безопасности. Впрочем, это, возможно, и неплохо: помнится, один похожий на Льва Толстого дядька что-то писал про естественный отбор. Который, по его мнению, в целом способствует повышению выживаемости вида.




  • Зарабатываем на курсах обменников от 300$

    Выкладываю лучшую приватную схему, купленную за 500$, по заработку денег с минимальными вложениями и очень большим выхлопом! Самая прибыльна схема сейчас! От 300$ в день на обмене криптовалют. Что нужно делать: 1. Качаем в Appstore или Google Play крипто кошелек "Blockchain". Регистрируемся, жмем Request в правом нижнем углу, выбираем Stellar и копируем свой адрес (он нам пригодиться позже для покупки и обмена XLM).   2. Переходим на сайт с выгодным курсом и покупае

    Alik
    Alik
    Схемы заработка 1

    >>> DDOS-SERVICE <<< | ЗАКАЗАТЬ ДДОС АТАКУ | УСТРАНЯЕМ КОНКУРЕНТОВ

    Всех приветствую. Представляю вам один из самых лучших DDos-сервисов в России. Почему вы должны работать со мной? Всё просто: Я работаю без посредников Согласен на гаранта Бесплатные тестовые атаки Я всегда онлайн Полная анонимность заказчика Адекватные цены Moneyback (возврат денег) при форс-мажорных обстоятельствах Цена: Час — от 5$ 12 часов — от 15$ 24 часа — от 35$ Неделя — от 250$ Месяц — от 888$ Связаться со мной

    jsbypass
    jsbypass
    Прочие товары и услуги 1

    Зарабатываем на курсах обменников

    Выкладываю приватную БЕЛУЮ схему, купленную за 900$ на всем известном форуме, по заработку денег с минимальными вложениями и очень большим выхлопом! Схема основана на разнице курсов в крипто-обменниках. Будем покупать крипту дешевле и продавать дороже. Делая 5 таких «оборотов» в день - у меня получается 6000-8000 рублей. На первых этапах рекомендую делать 2-3 в день, позже объясню почему Что нужно делать: Мы будем покупать криптовалюту Stellar и сразу же продавать ее дороже. Схематично наш

    Alik
    Alik
    Схемы заработка 1

    =>MAGNIT-DDoS Attack Service!Оперативно,Круглосуточно,Качественно!

    «MAGNIT-DDoS Attack Service!Предоставлю качественные услуги!» Круглосуточный DDOS Атак сервис, специализирующийся на  проведении мощнейших высокоскоростных атак! DDoS Атака - уникальное оружие для решения ваших проблем в сети! Ваш бизнес несет убыток от конкурентов, какой-либо Сервер,Сайт,Мы готовы его Устранить! Контакты: Telegram: https://t.me/DARK_MAGNETS | @DARK_MAGNETS  Jabber: [email protected] (OTR)  Преимущества : У нас Вы можете заказать DDOS атаку на любой

    PowerMagnet
    PowerMagnet
    Прочие товары и услуги 1

    Заходи сюда! кошельки, связки, карты! оптом и в розницу!

    У НАС САМЫЕ ПРИЯТНЫЕ ЦЕНЫ! НА ОПТОВЫЕ ЗАКАЗЫ ЦЕНА ВСЕГДА ОБСУЖДАЕМА! WebMoney Формальный аттестат + проверенные документы - 500 руб. Начальный аттестат на Ваши/Наши данные - 2099 т.р. Персональный аттестат - 19999 т.р. Связка вебмани начальный/формальный + Киви + Яндекс ( все на одни данные ) - 3999 т.р.   QIWI Частично идентифицированный кошелек + сканы - 300 рублей. Идентифицированный кошелек на Ваши/Наши данные - 999 рублей. (Идентификация от 10 ш

    InkognitoXXX
    InkognitoXXX
    Продажа карт 23

    Оборудование для скимминга

    Оборудование для скимминга: готовые комплекты для установки на Wincor, Diebold, Ncr Скиммеры, вставки, щелевики, шиммеры Возможна продажа чертежей, адаптированных для печати на 3D принтерах. Есть в продаже отдельно аудио электроника с шифрованием, частотой дискретизации в 22.000 гц. Гарантия качества, сделки исключительно через Гарант Форума Доставка по всем странам, в том числе России и СНГ Наш сервис предоставляет услуги по расшифровке с аудио оборудования. Расшифровываем с

    rus123
    rus123
    Скиммеры 26
  • Как заработать от 180$ на оффере удаленной работы.

    Привет, сегодня хочу поделиться схемой заработка которая помогла мне заработать денег без напряга, законно, легально и никого не обманывая. ВСЕ довольны. Ну что интересно? Тогда погнали..       В общем, будем лить трафик, на партнерскую программу студенческих работ. Нет мы не будем искать тех кому нужна курсовая), Мы будем искать авторов студенческих работ.       Сейчас когда большая часть страны сидит дома, вот-вот начнется финансовый кризис, и почти все в очень непростом финансовом положен

    iii995218
    iii995218
    Слив схем заработка

    Схема заработка - парикмахерская

    Прибыльность парикмахерского бизнеса, как любого бизнеса, направленного на удовлетворение естественных потребностей, зависит от качества услуг и их стоимости. Кроме того имеется целый ряд факторов, определяющих, насколько успешен будет проект. Не полный их перечень выглядит следующим образом: Расположение парикмахерского салона. Уровень потенциального спроса. Формат деятельности парикмахерской. Наличие конкурентов и их возможности. Финансовые и организационные

    олеся
    олеся
    Легальный бизнес 9

    Российские хакеры взламывают аккаунты предпринимателей в Telegram.

    Пользователи популярного мессенджера стали жертвами мошенников, которые получали доступ к аккаунтам посредством перехвата сообщений. Об этом сообщают эксперты по кибербезопасности компании Group-IB. Пользователи получали сообщение с кодом подтверждения входа в аккаунт, который не запрашивали. Оно приходило на смартфон и в сервисный канал Telegram. Через несколько секунд жертва взлома получала уведомление об авторизации с нового устройства. По словам специалистов, несанкционированный вх

    ChekTime
    ChekTime
    Ботнеты, кодинг, загрузки 2

    Зарабатываем на чат-ботах

    Предисловие В этой статье не будет сложных терминов и  километров программных кодов. Как не странно, для разработки своего чат-бота не требуется специальных навыков. Каждый из вас сможет постичь эту “науку” за несколько дней.  Инструмент интегрируется в любую компанию, возможно разработать бот даже для государственных услуг. Функционал бота ограничивается только вашей фантазией.  Данный способ заработка только набирает обороты. Многомиллионная аудитория, отсутствие конкуренции и

    tor
    tor
    Слив схем заработка

    Перестала радовать жизнь?

    Если твоя жизнь — тоска полная и ничего в ней не радует, то обязательно с этим нужно что-то делать. Разумеется, если ты героиновый наркоман или любой другой маргинал, то тебя ничего радовать и не должно, кроме сампонимаешь чего. Однако если ты в целом нормальный парень, вроде всё ничего, но, бывает, моментами начинается внезапная грусть, депрессия и апатия, то это случается не просто так, а в связи с некоторыми причинами. Ты пресытился   Или попросту зажрался. Это не т

    Novichok
    Novichok
    Курилка 1

    Заливы на карту Сбербанка без предоплаты – форум Hackatm

    Где сделать залив на карту Сбербанка?   Термин «залив» жаргонный и популярен в Сети. Суть в том, что некие люди предлагают кому-то пополнить его счет в банке или скинуть деньги на карту. Это и есть залив. Сумма зачастую немаленькая, иногда она исчисляется в сотнях тысяч рублей. Затем человек, получивший средства на карту, должен эти средства вывести и отправить на реквизиты, которые указываются отправителем. При этом получивший залив оставляет себе в награду заранее оговоренный процент

    Integra
    Integra
    Платёжные системы 3


×
×
  • Создать...