[@Noname2]

Всем здрасьте дамы и господа, подлетел нью хак от команды covid и их друзей (создатели Covid69)


Мой дс: https://discord.gg/sMsH23y
Дс софта: https://discord.gg/8sVbCJu

Рассказывать много не буду, сами разберетесь всё как обычно)

Ссылка временно вырезана администрацией форума, ждём пруфов работы чита.

VT
Сбой программы или синий экран, переходи на версию 1909 - нажми

Сбои в Fortnite? Убедитесь, что оверлей Discord включен, а антивирус выключен!

[@dark]

Ссылки кривые.
И ВТ чёто не вызывает доверия )

[@Тигрь]

Сообщение от dark

Ссылки кривые.
И ВТ чёто не вызывает доверия )

прогу скачал накрыта вмпротом естественно разбирать смысла нет. но весит 145 килобайт, что наводит уже на мысли.

дальше из детального анализа отчета вирустотала видно что эта прога либо в ресурса содержит еще один экзешник либо скачивает.

сам загрузчик обращается к подозрительным доменам

ctldl.windowsupdate.com
a767.dscg3.akamai.net
au-bg-shim.trafficmanager.net
au.download.windowsupdate.com.edgesuite.net
audownload.windowsupdate.nsatc.net
crl.microsoft.com
a1363.dscg.akamai.net
crl.www.ms.akadns.net
www.microsoft.com
e13678.dspb.akamaiedge.net

а так же лезет сюда https://pastebin.com/raw/Sj309mJq где возможно потом задаются команды для софтины.

запускаема софтина обращается сюда
https://pastebin.com/raw/Sj309mJq
http://codecmd01.googlecode.com/files/tjcm.gif (есть техника когда быждоры с помощью стеганограыии с картинках прячут экзешники что бы было меньше подозрения а потом когда выкачивают картинку вытаскивают из нее экзешник, вчера как раз про такое читал https://habr.com/ru/company/eset/blog/418165/)
Оффтоп

Применение стеганографии

С середины 2017 года атакующие используют стеганографию, скрывая вредоносные компоненты в изображениях на бесплатных хостингах saveshot.net и ibb.co.

Стеганография – это наука, позволяющая скрывать данные «у всех на виду», внутри другой, несекретной информации. В нашем случае вредоносный файл EXE был зашифрован и спрятан в файл JPEG, как на рисунке 9. Малварь скачивает и декодирует JPEG, извлекает скрытые данные, расшифровывает из этих данных файл EXE и запускает его.

пытается открыть эти файлы
c:\Users\Virtual\AppData\Local\Temp\f843f28dd00dd62c16ab3585ef4f24161791bfd4d4a466322b 87f1c683b8e548.exe
C:\Windows\Microsoft.NET\Framework\v4.0.30319\Conf ig\machine.config
c:\Users\Virtual\AppData\Local\Temp\f843f28dd00dd62c16ab3585ef4f24161791bfd4d4a466322b 87f1c683b8e548.exe
C:\Windows\System32\en-US\tzres.dll.mui
C:\Windows\SysWOW64\en-US\KERNELBASE.dll.mui
C:\Windows\Microsoft.NET\Framework\v2.0.50727\msco rwks.dll
C:\Windows\assembly\NativeImages_v4.0.30319_32\Sys tem.Core\55560c2014611e9119f99923c9ebdeef\System.C ore.ni.dll.aux
C:\Windows\Microsoft.NET\Framework\v4.0.30319\Sort Default.nlp
C:\Windows\assembly\pubpol41.dat
c:\Windows\resources\spoolsv.exe

создает следующий файлы
c:\Windows\resources\svchost.exe
C:\Windows\Resources\Themes\icsys.icn.exe
c:\Users\Virtual\AppData\Local\Temp\f843f28dd00dd62c16ab3585ef4f24161791bfd4d4a466322b 87f1c683b8e548.exe
c:\Windows\resources\Themes\explorer.exe
c:\Windows\resources\spoolsv.exe

дальше прописывается в автозагрузку, через стандартные методы
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ Windows\CurrentVersion\Run\Svchost
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ Windows\CurrentVersion\Run\Explorer

а так же созданием задачи в планировщике задач
schtasks /create /tn "svchost" /tr "c:\windows\resources\svchost.exe" /sc daily /st 03:19 /f
schtasks /create /tn "svchost" /tr "c:\windows\resources\svchost.exe" /sc daily /st 03:20 /f

Я думаю этого достаточно. По поведению стандартный даунлоадер с бэкдором.

[@DungeonKeeper]

Хех, прямо расстрелял на месте!

Всё бесплатное оно вот такое.