Monero Miner асм полиморф, автокрипт | DedicateT.com

Регистрация
15.12.2017
Сообщения
183
Симпатии
293
Баллы
88
#1
* Написан на ассемблере
* Майнер compile-time полиморфизм, читай автокрипт.
* При отстуке на скрипт выдает сбилженный майнер с уникальной сигнатурой.
* Загружает xmrig при помощи LoadPE

Майнер при запуске качает по URL зашифрованную dll xmrig'а без дропа на диск и загружает ее в памяти при помощи LoadPE ( через вызов LoadLibrary и хук NtMapViewOfSection ), после чего вызывает Do функцию передавая ей в command-line куда и как майнить.


Делали просто ради теста, выкладываю потому что больше нафиг он нам не всрался. Сделали гораздо лучше.

Из плюсов:

* Их нет на рынке такого нет. Не смотря на то, что он полное дерьмо без нормальной установки и персистенса ( да, мне лень было фиксить энтропию, да, я лентяй, да, я долбоеб )
* Встроенный морф декриптора на FASM макросах
* Автокриптег
* можно заменить хмриг на сервере на длл-модуль ддос бота и будет у вас полиморфный ддос бот, а не майнер.

Из минусов:

* Хреновый трешген на основе ограниченного количества API, умеет генерить только lea, регистры и FPU операции
* Не умеет генерировать jmp-table
* энтропия не фиксится пофикшена
* если C2 сервер упадет, то после ребута майнер не сможет прогрузиться


Установка:

Берем виндовый дедик, ставим веб сервер, заливаем туда скрипт автобилдинга index.php и encrypted.dat ( encrypted.dat это зашифрованная длл xmrig'а ксором с ключем 57h )

заливаем фасм, сорцы бота в C:\bots куда нить. Думаю разберетесь, после перехода на index.php будет скомпилирован бот и предложена скачка.

HiddenMiner.asm - тут параметры запуска xmrig'а
payload_load.asm - тут адрес сервера где лежит encrypted.dll

Скрытое содержимое. Вам нужно войти или зарегистрироваться.
***Скрытое содержимое***
У вас нет разрешения на просмотр ссылки! Войти или зарегистрироваться
 
Последнее редактирование модератором:
Регистрация
10.04.2019
Сообщения
91
Симпатии
45
Баллы
23
#7
И как скачать сие чудо?
 

Пользователи, которые просматривали тему (Всего: 0)

Тема долгое время не просматривалась.