Перейти к публикации

Ferdinand

Участник
  • Публикации

    33
  • Зарегистрирован

  • Посещение

  • Дней в лидерах

    1

Последний раз Ferdinand выиграл 2 декабря 2020

Публикации Ferdinand были самыми популярными!

Репутация

4 Neutral

Блок посетителей профиля отключен и не будет отображаться другим пользователям

  1. Ferdinand

    Ковидные сертификаты

    По 3к за бумажку
  2. Предисловие Сейчас не редко встречаются вшитые стиллеры/майнеры/ратники и тому подобное вредоносные ПО, как правило, в крякях популярных приложений или инструментов. Далеко не все могут провести полный динамический анализ файла и потратить время на разбор дампов памяти/сети, изменений в регистре и так далее. В этой статье описывается максимально подробное использование VirusTotal, как инструмента для тщательной, но не идеальной, проверки файлов. Поскольку основное предназначение VirusTotal — демонстрация выявленных разными антивирусами сигнатур вредоносного ПО, то останавливаться на этом не будем. Аналогично с разделом Details. В нём представлена основная информация о приложении. Полезным может оказаться подраздел импортов (Imports), но это происходит крайне редко. Единственное, что нам потребуется сделать — зарегистрировать учетную запись, вить с ней можно посмотреть больше данных об анализируемом файле, нежели без неё. Раздел Relations Первые три подраздела показывают нам идентифицированные подключения к доменам/IP-адресам/страницам. Пример: Исходя из доменных имён, с которыми устанавливает связь приложение, можно определить как легитимные (обычно это официальные сайты компании/разработчика), так и не совсем. Во втором случае, это могут быть веб-сайты которые: содержат домены бесплатных хостингов (тот же beget или 000webhost); имеют в имени подозрительные словосочетания (на фото примера это веб-сайт pool.supportxmr[.]com, другой пример — iplogger/crypto/steal и тому подобные). Учтём, что значительная доля веб-сайтов, содержащих в себе crypto/btc/xmr используются для добычи криптовалюты, то есть для майнеров (как в приведенном примере); называются произвольным набором цифро-буквенных символов, не имеющие никакого значения (пример: ttr4p; bb3u6); размещены на недорогих доменах верхнего уровня (пример: *.xyz, *.pw, *.wtf); Это далеко не полный список, однако именно такими параметрами обладает большинство доменных имен, использующихся создателями вредоносного ПО. Не следует исключать веб-сайты с доменами, которые, на первый взгляд, кажутся приемлемыми. В ином случае, когда приложение подключается к конкретным IP-адресам, не будет лишним проверить: что это за IP (воспользоваться whois); что размещено по этому адресу; файлы, которые так же связывались с этим адресом. Благо мы можем посмотреть эти данные используя VirusTotal, кликнув по интересующему нас адресу. В подразделе Details представлен whois и результаты поиска данного адреса в поисковике:\ Подраздел Relations содержит информацию об веб-сайтах, размещенных на данном IP в разное время, а так же о файлах (загруженных на VirusTotal), которые подключаются к этому адресу: Следующий полезный подраздел — Dropped files. Как можно понять из названия, это созданные приложением файлы. В экземпляре майнер создает различные скрипты, написанные на Visual Basic, и исполняемые файлы (используются как майнеры). Graph Summary — удобный просмотр вышесказанных данных. Нет смысла заострять на нём внимание. Раздел Behavior В этом разделе отображается анализ с песочниц. Рекомендую использовать VirusTotal Jujubox и Dr.Web vxCube, ибо они имеют наибольшее количество информации. Что бы не повторяться разберем только отдельные подразделы. Registry Actions. Здесь мы можем посмотреть изменения (создание/удаление/изменение ключей) регистра. Я рекомендую обратить внимание на следующие разделы регистра, отвечающие за автозагрузку: <HKCU>\Software\Microsoft\Windows\CurrentVersion\Run <HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce <HKLM>\Software\Microsoft\Windows\CurrentVersion\Run <HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce Processes Tree. Возможность проследить созданные процессы. Таким образом, возможно определить какие системные/легитимные файлы (могли быть) были заражены: Итоги Подводя итоги статьи, можно отметить, что VirusTotal является отличным сервисом для анализа приложений. Однако, не забывайте, что никакой статический анализ не заменит динамический. В экземпляре был представлен не криптованый майнер, где всё лежит на поверхности для большей наглядности.
  3. Ferdinand

    кто что скажет по avalon.ltd

    Недоблогеры делают им отличную рекламу
  4. https://www.figma.com/community/file/834587122842084475
  5. Ferdinand

    Enroll

    без разницы что кредит что дебит для ролок темные времена нынче
  6. Ferdinand

    криптовая лихорадка

    вроде бы в Венесуэле своя крипто валюта она обеспечена их нефтью на уровне государства
  7. а что не видно как некоторые личности занялись этим делом?)
  8. Вложения нужны? Опиши все что нужно здесь
  9. Сам недавно для себя открыл этот золотой колодец!
  10. Ferdinand

    WPA и WPA2

    Сам далек от темы infosec, но я перешел на Linux(Tails and Parrot) и ничего негативного сказать не могу по данному поводу. Linux дает возможность использовать многие инструменты для проникновения в беспроводные сети,именнуемые как Wi-Fi и также обеспечивать достаточно большой уровень анонимности и безопасности. Не хакер,но познания в этой теме имею . Беспроводные сети? ТД? Вариантов два: 1. Bruteforce пароля по словарю(на стандартные пароли по типу "12345678"). 2. Перехват handshake(рукопожатие т.е.) и его дешифровка(на античате есть люди,которые их дешифруют). Можно еще атаки по типу MITM(человек посередине) применить но я в них дуб(я же доктор, а не кулхацкер ) и ничего на данную тему писать не буду. Но на том же codeby гайды на данную тему читал. Ну и не забываем про такие вещи в процессе взлома как: использование macchanger(софт для подмены mac adress) и очистку логов в админке роутера после. Когда точку доступа "хоронишь",т.е. выходишь с нее и не будешь ее использовать идешь на сайт вендора оборудования и качаешь файл прошивки для роутера нужной ревизии,версии,модели....ну ты понел! Это позволит помешать владельцу точки доступа в случаи чего сказать "меня взломали,я не причем и вообще я ничего не знаю" и не позволит сотрудникам отдела "К" найти идентификаторы твоего оборудования(Wi-Fi адаптера). Macchanger сию биду контрит. Далее. Для многих атак тебе нужен "свисток". Это выносной Wi-Fi adapter. Только его можно перевести в режим "Монитора" . Учись,студентъ! Дерзай гранит науки! Я тебе и так тут чуть ли не гайд написал
  11. Ferdinand

    снюс

    У меня парни снюс за 300-400 продают и нихуевый. Какие нахуй 500 рублей
  12. Ferdinand

    Служба СБ сбера

    задрали уже со своим сб сбера
  13. Ferdinand

    Как подобрать SOCKS под ZIP

    в FF можно вставить сокс только, а через Proxifier можно туннели юзать в связке с Bitvize. Чтобы палили использование Proxifier слышу в первый раз. Пруфы есть?
  14. Здравствуйте,при создании фейковой точки доступа есть проблема с работой пакетов ETTERCAP и WIRESHARK и самой точки доступа. Создается точка доступа,подключаются всякие разные подконтрольные девайсы,но после запуска этих пакетов в любом порядке точка доступа пишет - подключено - нет доступа в интернет ,как только отключаю эти пакеты,доступ в интернет восстанавливается. Подскажите решение кто сталкивался или в какую сторону рыть,в клирнете встречал подобные вопросы но они без ответов. Спасибо за понимание p.s.для создания ф.т.д. использовались различные пакеты,на всех одна и та же непонятка.
×
×
  • Создать...