Анализ CryptoShuffler'a от Qutra (TheBottle)

Сливал с телеграма !

Предисловие
Во-первых, хотелось бы сказать пару слов о самом TheBottle (он же YelloCoder, он же Qutra):

На моем счету криптошаффлер уже третий его проект-продажник. До это был Reborn ******* (Ovidiy *******) и Odysseus Project (скрытый майнер). Оба проекта были закрыты, покупатели кинуты, т.к. все висело на сервере разраба = он просто отрубил все. Подробнее можно ознакомиться в статье foxovsky_inactive112950 - https://foxovsky.ru/all/pochemu-ya-ne-doveryayu-malware-as-a-service-i-vam-ne-sovetuyu

Стоит отметить, что все 3 проекта имеют привязку к серверу разработчика, билдинг файла на сервере + написаны на C#.

Анализ файла
По счастливому стечению обстоятельств у меня оказались билды всех трех проектов (я был покупателем первого когда-то давно). Отбросим в сторону одиссей, будем разбираться с последними (это типа пруф того что Qutra = YelloCoder = TheBottle):


Смотрим на оба файла через DIE:

CryptoShuffler:


Reborn *******:


Найдите 10 отличий. Не можете? А их нет. Я не думаю, что кому-то могло еще взбрести в голову сделать такой бред.

P.S. Отличие все-таки есть - версия .NET

Unboxing
Давайте вместе угадаем, сколько действий нужно совершить для того, чтобы получить исходный код продукта?

Действие 1: прогоняем файл через de4dot


Действие 2: прогоняем файл через de4dot


Действие 3: опять? да


Действие 4: ну вы поняли


Действие 5: пихаем файл в dotPeek и получаем сорцы


Вот и все. Желаю боттлу выучить что-то по-лучше Си-шарпа с кучей обфускаторов и перестать делать малварь с зависимостью от своего настроения (сервера), а юзерам таких продуктов - обратить внимание на что-то по-серьезнее.

Ссылки
Исходник - https://github.com/ims0rry/Qutra-TheBottle-CryptoShuffler

Продажник - https://zelenka.guru/threads/313148/