222 ответов в этой теме

[mrbelyash]

Jetset

а сделате лог drwebsysinfo

[АБВГД]

готов ждать))
Тогда заморочусь приобретением лицензии.

 

Лишним не будет - поверьте.

 

отсутствует.

Это шутка такая - за это не нужно было морочится.

 

не нашел данную библиотеку.

ОК, спасибо!

 

Есть ещё несколько веток реестра, которые можно проверить, но думаю, нет особого смысла. "Оригинальный" декодировщик вымогателей ищет именно это файло. Было предположение, что в этих файлах хранится ключ, но ключ по ходу храниться только в прощальной записке.

[mrbelyash]

в реестр раньше кидался декриптор с ассоциацией на расширение файла.

сейчас уже нет

[v.martyanov]

В прощальной записке только идентификатор машины. Возможно, он что-то поценнее туда и сохраняет, если интернета не было, но я не разбирался.

[АБВГД]

В прощальной записке только идентификатор машины. Возможно, он что-то поценнее туда и сохраняет, если интернета не было, но я не разбирался.

 

RSA после инициализации валится "iphertext - block padding is corrupted. RSA public key encryption system
Block mode"

 

До сего момента роется вот тут:

C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Control

 

Кто может посмотреть есть ли такая папка и чего в ней лежит?
 

[v.martyanov]

Троян НЕ ИСПОЛЬЗУЕТ RSA. Ковыряние в виндовых каталогах - нормальная ситуация для библиотечного кода. Если вы не отделите библиотеки от юзерского кода, вы их отлаживать будете 10 лет к ряду :-)

[АБВГД]

Троян НЕ ИСПОЛЬЗУЕТ RSA.

 

Я не спорю, но факты вещь упрямая - RSA используется при загрузке "оригинального" декриптора. Просто так она слинкована (по глупости) или реально функциональна - пока не понятно - при инициализации формы срабатывает защита.

 

Про 10 лет это Вы так зря - я уже прошел инициализацию тем винды и вплотную подобрался к защите

[v.martyanov]

Ну линкер это кривой, не используется RSA ни там ни там, в первом посте написано какие алгоритмы юзаются.

[АБВГД]

Хотя никто не утверждает, что используется именно RSA. Абсолютно неоспоримо, что декриптор пользуется RSA Encryption Engine и вполне возможно, это один из стандартных эесепшенов, при этом вполне может использоваться AES или BlowFish или что угодно из возможностей данного набора либ.

 

[v.martyanov]

В самом трояне используется "TurboPower LockBox" aka TPLB, сорцы есть в тырнетах на раз. Вы уверены, что там нечто с именем "RSA Encryption Engine"? Я нашел что это VHDL-реализация RSA и на x86 оно смотрится несколько странно :-D

[АБВГД]

TurboPower LockBox3 содержит те же наборы фунций, поэтому я ни в чём не уверен - назвать можно как угодно, если есть сырцы. А сырцы есть.

На 146% я уверен в том, что процесс бросает експепшен iphertext - block padding is corrupted. RSA public key encryption system Block mode при инициализации объектов.

До самой процедуры декодировки я ещё не дошел, поэтому ничего сказать не могу.

оно смотрится несколько странно :-D

 

Да там всё смотрится странно - Form1, Label1. Благо поток обозвали не Thread1.

[АБВГД]

смотрится несколько странно :-D

 

Как я уже говорил, я ещё не дошел до функционального кода, но раз цать в гетластерор висело ERROR_INVALID_PARAMETER (00000057). Как можно наляпать ошибок при инициализации формы на вэкэеле, если там почти всё на автомате подставляется?

[v.martyanov]

Появился еще один вариант трояна: hardened. Большое спасибо пострадавшим и нашим правоохранительным органам! :-E

[SergM]

Большое спасибо пострадавшим и нашим правоохранительным органам! :-E

Как это надо понимать? 

[v.martyanov]

Так и надо. Их действия и бездействия (что суть одно и то же) привели к появлению нового трояна.

[SergM]

Ну вот понятно теперь: автор трояна одна и та же группа (человек),

[mrbelyash]

Ну вот понятно теперь: автор трояна одна и та же группа (человек),

 

Там продажа идет на хак форумах.

 

Кстати и старье продают..чуть дешевле.

+там же дают криптор отдельно за денежку (размешивает код....аналитики запись не могут сделать...даже хваленный флайкод  )

[АБВГД]

 

Да это они наших испугались - вот и начали сливать "старьё".

[mrbelyash]

быстрей бы 9-ка

[АБВГД]

Вобщем, как обычно, ларчик просто открывался

 

Кстати и старье продают..чуть дешевле.

 

Блин, не знаю, где Вы это отрываете всё, но интересно узнать цены и прочие подробности