X-FILES ******* - всего-лишь раскрученный проект | Хуже *******а вы не найдёте

Давайте разберём устройство *******а X-FILES.

Итак, прямо из темы разработчика *******а (https://zelenka.guru/threads/2356351) вытащил хэш (b572ed0bf3030cbb18d8af16e2c7e2c2) из его скриншота AntiScan, и прогуглил его:


Получил анализ AnyRun (https://app.any.run/tasks/139fe0b6-a307-4855-9995-9c5a00737d9c), и достал образец. Сразу вижу, что проверок на AnyRun там нет, потому что он допустил подгрузку другой части по IP с сервера на машине AnyRun


Приступим к разбору кода и вашей деанонимизации.

Загрузчик (лоадер)
Написан на .NET, 32-битный.
Вес - 13 кб

На запуске отключает Windows Defender.

Код возмутил, потому что можно было это сделать через массив, и пройтись по массиву, вызвав одну функцию. Сократил бы вес ещё больше, но видимо опыта в .NET не хватило...

Далее создаёт ветку в реестре "user_svc" с ключом "4", что очень легко обнаруживается одним Yara-правилом. Сделано это, скорее всего, для того, чтобы пометить ПК. Сказать, что есть другие методы - ничего не сказать.
Скачивает файл, собственно, в созданную директорию, запускает, и ждёт, пока он не закроется - непонятно зачем, видимо чтобы наплодить как можно больше процессов, ибо, как оказалось, ******* не копируется в другую папку - он так же висит, и без многопоточности собирает ПК, а загрузчик его ждёт...

Ну и если произошла ошибка - заботливо выдаёт об этом сообщение, чтобы пользователь, которого мы хотим заразить - видел, с какой ошибкой завершился *******. А, нет, загрузчик же выступает в роли GUI-приложения, тогда зачем вообще там Console.WriteLine() - загадка.


Ну вот и всё, код можно было сократить, довести до идеала, но для этого разработчику *******а пришлось бы смотреть уроки по C#. Приступим к самому *******у.


*******
Написан на .NET, 32-битный.

******* упакован в "Acronis Installer", но это не для защиты, просто разработчик позаботился о зависимостях, и при распаковке - на ПК устанавливаются все .NET библиотеки для работы *******а, это хорошо:

(В папках x86 и x64 хранится DLL для работы с SQLite)


После распаковки нас сразу же встречает дружок - "отладочные символы". Разработчик компилирует свой ******* в VisualStudio, в настройках для отладки - "Debug", поэтому мы лицезреем имя пользователя разработчика, путь к исходному коду, названия файлов исходного кода, и много чего другого...

Продолжение отладочных символов

******* абсолютно никак не защищён.
Мы можем наблюдать абсолютно весь исходный код, все строки, IP...
Фрагмент ниже снова показывает некомпетентность разработчика в .NET - он снова копирует строки, вместо того, чтобы сделать один цикл с вызовом Directory.Exists() и одним Directory.CreateDirectory()
Ужасно, просто ужасно...



О многопоточности тоже речи вообще не идёт. ******* сначала запускает граббер, ждёт его, потом запускает сбор информации о ПК, ждёт его, и т.д... Отвратительно.



Ещё одно доказательство того, что код нагло скопирован из GitHub. Разработчику было лень даже вытянуть оттуда отладочные сообщения...



Думаю, достаточно. Подведём итоги:

Загрузчик:
Плюсы:
- Малый вес

Минусы:
- Никакой защиты данных пользователя.
- Код написан криво
- Никакой защиты от виртуальных систем

*******:
Плюсы:
- Частичная независимость от .NET библиотек (распаковываются вместе с *******ом)

Минусы:
- Никакой защиты данных пользователя. Хуже, чем RedLine и DC-RAT вместе взятых.
- Полное отсутствие многопоточности
- Кривой код
- Сбор данных на диске
- Никакой защиты от виртуальных систем
- Отсутствие многопоточности



Читайте так же:
* Ревёрс-инжиниринг *******а RedLine -> https://zelenka.guru/threads/2866730/
* Ревёрс-инжиниринг DC-RAT -> https://zelenka.guru/threads/2878088/
* Ревёрс-инжиниринг *******а X-FILES -> https://zelenka.guru/threads/2884957/
* Пишем полиморфный код на ассемблере с шифрованием (обход VirtualBox, AnyRun, дампа памяти, 5 блоков кода) -> https://zelenka.guru/threads/2881723/
* Ревёрс-инжиниринг MarsStealer -> https://zelenka.guru/threads/2888161/
* Ревёрс-инжиниринг SHurk Steal -> https://zelenka.guru/threads/2889104/