Hola a todos, al fin crackearon Bit Rat un troyano supuestamente hecho en "c++", dentro del  archivo va dos fichero un pdf y un video donde explica como hacerlo funcionar.

Link: [Enlace externo eliminado para invitados]

Gui:

 

mmmmm no se tiene algunas conexiones raras, lo muevo a la zona de análisis que opinan?
tor.exe      185.239.222.245    443    ESTABLISHED
tor.exe      138.201.169.12    443    ESTABLISHED
tor.exe       82.149.227.126    443    ESTABLISHED

TITAN escribió: 04 Mar 2022, 20:22 mmmmm no se tiene algunas conexiones raras, lo muevo a la zona de análisis que opinan?
tor.exe      185.239.222.245    443    ESTABLISHED
tor.exe      138.201.169.12    443    ESTABLISHED
tor.exe       82.149.227.126    443    ESTABLISHED

yo no soy el gran analista de malware por eso me gustaría que me den una mano alguno de los muchachos que la tiene mas clara, por lo que vi no se copia en ninguna carpeta y no tendría autoinicio solo esas conexiones y alguna mas.......las pruebas las hice en una virtual con w7 x32-
El server lo configure con la ip local y sin tor por eso me llaman la atención esas conexiones, pero conecto perfectamente el servidor -cliente
 

Hola Titán. Considero que hay que moverlo a zona de análisis por si las moscas...rondan. 

Abrí distintos exe y dan error porque tengo instalado el windows 7 pelado, sin el framework que no sé si se podrá descargar ya que no hay más soporte técnico.  Falta una librería. El cliente da ese error: 

msvcp140.dll (BitRat_lover.dll)

Ejecuté el tor.exe (que es el único que pude abrir) dentro de la carpeta data. Este tor.exe abre una consola e intenta comunicarse a muchas ip, copio algunas:

5.9.147.226: 9001
173.212.254.192 : 31337
81.7.14.253:443
51.254.136.195:443
163.172.53.54.84:443
108.53.208.157: 443
176.158.236.102:9001
204.13.164.118: 443
217.182.51.248: 443
45.79.108.130:9001
45.66.33.45:443
154.35.175.225:43
185.4.132.148:443
199.58.81.140:443
193.11.114.45: 9002

Al parecer se debe de tratar un Rat con proxy. Pero hasta que no solucione el error de librería faltante no podré continuar. 
Espero que lo pueda resolver con el framework.
No pude ver el video porque la cuenta fue eliminada. 

En cuanto al Manual.pdf , según el clamtk y el pdfid está limpio

Aquí pego el resultado del pdfid :

[Enlace externo eliminado para invitados]

Como verán:

/JavaScript el valor es 0 (cero)
/Js el valor es 0 (cero)
/Launch es 0 (cero)

Análisis con Pdf-parser:

Debajo del campo Referencing debería estar el objeto cmd  si estuviese infectado:

[Enlace externo eliminado para invitados]


Me llaman la atención estos números y meciono esto a modo curiosidad:

[Enlace externo eliminado para invitados]
 

yo analice el stub que se genera y da limpio esas conexiones que te aparecen no se de donde salen dejo el reporte 

[Enlace externo eliminado para invitados]

Añadido en 1 minuto 43 segundos:
a mi me da la impresión que estaría limpio salvo las conexiones que ya publique. Mañana voy a hacer un análisis mas profundo a ver que me da 

Añadido en 5 minutos 27 segundos:
msvcp140.dll la busque en windows y la pegue en la carpeta del rat para poder ejecutar el builder y me funciono de primera 

Pdf-parser. Esta sería la primera imagen, (olvidé pegarla):

[Enlace externo eliminado para invitados]

Ah, bueno. Entonces buscaré la .dll en la carpeta de windows y la pagaré para ver si funciona.  Echaré una ojeada al análisis que subiste.
Ya vi el reporte. Atenti. 

TITAN escribió: 05 Mar 2022, 05:34 yo analice el stub que se genera y da limpio esas conexiones que te aparecen no se de donde salen dejo el reporte 

[Enlace externo eliminado para invitados]

Añadido en 1 minuto 43 segundos:
a mi me da la impresión que estaría limpio salvo las conexiones que ya publique. Mañana voy a hacer un análisis mas profundo a ver que me da 

Añadido en 5 minutos 27 segundos:
msvcp140.dll la busque en windows y la pegue en la carpeta del rat para poder ejecutar el builder y me funciono de primera 

Diseñado por "Maorix" (curiosamente un hacker Ruso de videojuegos se llama igual) y además, mirando las conexiones en VirusTotal (aunque no se deben de subir archivos aquí, pero si se pueden realizar búsquedas de IP/Hashes:

Para la 5.9.147.226 ---> [Enlace externo eliminado para invitados]
Para la 173.212.254.192 --> [Enlace externo eliminado para invitados]

Y los otros no lo he visto, según la comunidad de VT está relacionado con varios Troyanos/Backdoor incluso con un Ransomware Wannacry... No lo instalo ni aunque me paguen, vosotros mismos. 

Encima por si fuera poco en el whois sale todo en "REDACTED FOR PRIVACY" 

Domain Name: graef.in
Registry Domain ID: D7842007-IN
Registrar URL: [Enlace externo eliminado para invitados]
Updated Date: 2020-12-27T12:12:23Z
Creation Date: 2013-11-12T12:12:22Z
Registry Expiry Date: 2021-11-12T12:12:22Z
Registrar: Key-Systems GmbH
Registrar IANA ID: 269
Domain Status: ok [Enlace externo eliminado para invitados]
Registry Registrant ID: REDACTED FOR PRIVACY
Registrant Name: REDACTED FOR PRIVACY
Registrant Street: REDACTED FOR PRIVACY
Registrant Street: REDACTED FOR PRIVACY
Registrant Street: REDACTED FOR PRIVACY
Registrant City: REDACTED FOR PRIVACY
Registrant Postal Code: REDACTED FOR PRIVACY
Registrant Country: DE
Registrant Phone: REDACTED FOR PRIVACY
Registrant Phone Ext: REDACTED FOR PRIVACY


Salvo que alguien le haga reversing y confirme lo contrario, yo no lo usaría. No digo que sea malicioso y que tenga sorpresa, no lo puedo confirmar, pero tengo muchas dudas...

¿Para qué tiene un troyano que realizar conexiones nada más ejecutarlo? Si en principio la única conexión que tiene que hacer es entre cliente-servidor a través de un puerto establecido... No lo sé Rick...

Blister se hace pasar por una biblioteca DLL legítima llamada ‘colorui.dll’ que se entrega a través de un ejecutable llamado ‘dxpo8umrzrr1w6gm.exe’. Después de su ejecución, permanece inactivo durante 10 minutos para intentar eludir potenciales análisis en la sandbox. Posteriormente establece persistencia creando entradas en el registro del sistema operativo, descifra la carga útil maliciosa y la inyecta en el proceso actual o en un proceso de iInforme de errores de Windows (WerFault.exe) recién generado.
Los investigadores declaran que se desconoce el vector de infección utilizado para perpetrar el ataque así como los objetivos finales de la intrusión.
Elastic Security ha alertado a la compañía emisora de los certificados para asegurarse de que los certificados ​​sean revocados.
A continuación se enumeran los indicadores de compromiso (IoC) asociados con la campaña:
Huella digital del certificado de firma de código (sha1)
F3503970C2B5D57687EC9E31BB232A76B624C838

Malware C2
moduleloader.s3.eu-west-2.amazonaws.com
discountshadesdirect.com
bimelectrical.com
clippershipintl.com

Direcciones IP
188.68.221.203
93.115.18.248
52.95.148.162
84.38.183.174
80.249.145.212
185.170.213.186

Cargadores firmados y no firmados (sha256)
ed6910fd51d6373065a2f1d3580ad645f443bf0badc398aa77185324b0284db8
cb949ebe87c55c0ba6cf0525161e2e6670c1ae186ab83ce46047446e9753a926
7b9091c41525f1721b12dcef601117737ea990cee17a8eecf81dcfb25ccb5a8f
84a67f191a93ee827c4829498d2cb1d27bdd9e47e136dc6652a5414dab440b74
cc31c124fc39025f5c3a410ed4108a56bb7c6e90b5819167a06800d02ef1f028
9472d4cb393256a62a466f6601014e5cb04a71f115499c320dc615245c7594d4
4fe551bcea5e07879ec84a7f1cea1036cfd0a3b03151403542cab6bd8541f8e5
1a10a07413115c254cb7a5c4f63ff525e64adfe8bb60acef946bb7656b7a2b3d
9bccc1862e3e5a6c89524f2d76144d121d0ee95b1b8ba5d0ffcaa23025318a60
8a414a40419e32282d33af3273ff73a596a7ac8738e9cdca6e7db0e41c1a7658
923b2f90749da76b997e1c7870ae3402aba875fdbdd64f79cbeba2f928884129
ed241c92f9bc969a160da2c4c0b006581fa54f9615646dd46467d24fe5526c7a
294c710f4074b37ade714c83b6b7bf722a46aef61c02ba6543de5d59edc97b60
df8142e5cf897af65972041024ebe74c7915df0e18c6364c5fb9b2943426ed1a
2d049f7658a8dccd930f7010b32ed1bc9a5cc0f8109b511ca2a77a2104301369
696f6274af4b9e8db4727269d43c83c350694bd1ef4bd5ccdc0806b1f014568a
a34821b50aadee0dd85c382c43f44dae1e5fef0febf2f7aed6abf3f3e21f7994
7cd03b30cfeea07b5ea4c8976e6456cb65e09f6b8e7dcc68884379925681b1c4
81edf3a3b295b0189e54f79387e7df61250cc8eab4f1e8f42eb5042102df8f1f
44e5770751679f178f90ef7bd57e8e4ccfb6051767d8e906708c52184bf27f32
0a7778cf6f9a1bd894e89f282f2e40f9d6c9cd4b72be97328e681fe32a1b1a00
a486e836026e184f7d3f30eaa4308e2f0c381c070af1f525118a484a987827c1
359ffa33784cb357ddabc42be1dcb9854ddb113fd8d6caf3bf0391380f9d640a
863228efa55b54a8d03a87bb602a2e418856e0028ae409357454a6303b128224
d0f934fd5d63a1524616bc13b51ce274539a8ead9b072e7f7fe1a14bb8b927a6
c0f3b27ae4f7db457a86a38244225cca35aa0960eb6a685ed350e99a36c32b61
216cb4f2caeaf59f297f72f7f271b084637e5087d59411ac77ddd3b87e7a90aa
00eb2f75822abeb2e222d007bdec464bfbc3934b8be12983cc898b37c6ace081
25a0d6a839c4dc708dcdd1ef9395570cc86d54d4725b7daf56964017f66be3c1
3c7480998ade344b74e956f7d3a3f1a989aaf43446163a62f0a8ed34b0c010d0
5651e8a8e6f9c63c4c1162efadfcb4cdd9ad634c5e00a5ab03259fcdeaa225ac
ba3a50930e7a144637faf88a98f2990a27532bfd20a93dc160eb2db4fbc17b58
fa885e9ea1293552cb45a89e740426fa9c313225ff77ad1980dfea83b6c4a91c
bee3210360c5d0939c5d38b7b9f0c232cf9fbf93b46a19e53930a1606bda28a5
56ca9ea3f7870561ed3c6387daf495404ed3827f212472501d2541d5ccf8b941
c61d2ba1e001c137533cd7fb6b38fe71fee489d61dbcfea45c37c5ec1bcf845c
17ea84d547e97a030d2b02ac2eaa9763ffb4f96f6c54659533a23e17268aabab
ca09d9cd2f3cfcc06b33eff91d55602cb33a66ab3fd4f540b9212fce5ddae54a
6c6f808f9b19e1fab1c1b83dc99386f0ceee8593ddfd461ac047eae812df8733
afb77617a4ca637614c429440c78da438e190dd1ca24dc78483aa731d80832c2
516cac58a6bfec5b9c214b6bba0b724961148199d32fb42c01b12ac31f6a6099
8ae2c205220c95f0f7e1f67030a9027822cc18e941b669e2a52a5dbb5af74bc9
fe7357d48906b68f094a81d19cc0ff93f56cc40454ac5f00e2e2d9c8ccdbc388
af555d61becfcf0c13d4bc8ea7ab97dcdc6591f8c6bb892290898d28ebce1c5d
96bf7bd5f405d3b4c9a71bcd1060395f28f2466fdb91cafc6e261a31d41eb37a
f5104d0ead2f178711b1e23db3c16846de7d1a3ac04dbe09bacebb847775d76d
8e22cf159345852be585bc5a8e9af476b00bc91cdda98fd6a3244219a90ac9d9
d54dfedda0efa36ed445d501845b61ab73c2102786be710ac19f697fc8d4ca5c

Nombres de ficheros
Launcher V7.3.13.exe
GuiFramwork.exe
ffxivsetup.exe
Predictor V8.21 – Copy.exe
Predictor Release v5.9.rar
PredictorGUI.exe
Readhelper.exe
dxpo8umrzrr1w6gm.exe
Pers.exe
razer.exe
Amlidiag.exe
Modern.exe
iuyi.exe
Cleandevicehelper.exe
installer.exe
Holorui.dll
Colorui.dll
Pasade.dll
Axsssig.dll
Helper.CC.dll
Heav.dll
Pasadeis.dll
Termmgr.dll
TermService.dll
rdpencom.dll
libcef.dll
tnt.dll

TITAN escribió: 04 Mar 2022, 20:22 mmmmm no se tiene algunas conexiones raras, lo muevo a la zona de análisis que opinan?
tor.exe      185.239.222.245    443    ESTABLISHED
tor.exe      138.201.169.12    443    ESTABLISHED
tor.exe       82.149.227.126    443    ESTABLISHED

Aqui esta la version original subida por el mismo creador, analizar el programa tor a ver si tambien tienen la mismas conexiones que esta version crackeada, a parte el programa va sin obfuscar y esta hecho en vb.
[Enlace externo eliminado para invitados]

Usen Windows 10 ltsc para analizar, inclusive si usan vmware pueden tunear el archivo de configuración para que muchos "antivm" se la coman.
Despues sobre el rat, entiendo que el desarrollador es un mierda que suele dejar sorpresas. Así que debe venir envichado de fábrica.
Y luego sobre lo de zona de análisis... creo que hoy en día los usuarios tienen que ejecutar todo en virtual y ya. Después de todo w10 ya viene con el sandbox.

{******************************************************************************}
{** WARNING WARNING WARNING WARNING WARNING WARNING WARNING WARNING WARNING  **}
{******************************************************************************}
{**                                                                          **}
{** The prototypes, declarations and information in this file has been       **}
{** compiled from various sources as well as through reverse engineering     **}
{** techniques. We make no guarantee as to the correctness of the contents.  **}
{** Caution is recommended, USE AT YOUR OWN RISK.                            **}
{**                                                                          **}
{******************************************************************************}