Перейти к содержанию

Чат с хакером внутри вируса


Рекомендуемые сообщения

Эксперт по компьютерной безопасности Хинек Блинка (Hynek Blinka) из компании AVG рассказал любопытную историю, как ему пришлось разговаривать с автором вируса в процессе дебаггинга программы. Хинек говорит, что такое случилась впервые в его карьере.

Всё началось с того, что в руки Блинке попала неизвестная, но явно вредоносная программа, которая распространялась на форумах с battle.net на Тайване. Специалист немедленно начал изучать код. Он запустил зловреда на виртуальной машине и обнаружил, что тот стучится на удалённый сервер по TCP 80 и скачивает новые файлы для установки.

post-8323-1340271579_thumb.png

Это простой downloader/backdoor, который не заинтересовал исследователя, потому что его задачей было найти кейлоггер для Diablo III — в последнее время возникли проблемы с массовым похищением аккаунтов игроков, поэтому Блинке поставили задачу найти этот кейлоггер и посмотреть, как он работает.

Когда программа подключилась к удалённому серверу и начала скачивать новые модули, Хинек Блинка оторопел: на экране внезапно возникло окно чата с сообщением (переведено с китайского):

post-8323-1340271643_thumb.jpg

— Что ты делаешь? Почему ты изучаешь мой троян?

Этот диалог не был частью какой-то программы, установленной на виртуальной машине. Окно было вызвано самим бэкдором. Удивительно, что автор трояна в этот момент был в онлайне и заметил, что кто-то копается в его программе. Блинка решил поддержать с ним разговор, чтобы выудить побольше информации. Тот вёл себя весьма высокомерно.

Блинка: Я не знал, что ты видишь мой экран.

Хакер: Я бы хотел увидеть и твоё лицо, жаль, что у тебя нет камеры.

Он говорил правду, в бэкдоре действительно была функция контроля веб-камеры, а также управления мышью, трансляции скринкаста и т.д. Вредоносная программа классифицирована в антивирусной базе AVG как вариант BackDoor.Generic.

Хинек Блинка продолжил разговор с хакером, притворившись, что хочет купить программу, но тот прекратил сессию. Специалист говорит, что это были потрясающие впечатления: он и коллеги много лет изучают подобные вирусы, но редко вступают в чат с их авторами.

P.S. Кстати, похожая история случилась десять лет назад, когда специалист по безопасности Стив Гибсон осуществил обратный инжиниринг трояна и использовал пароль из него для входа в закрытую чат-комнату, потом Стива Гибсона и его сайт GRC.com заддосил 13-летний владелец маленького ботнета.

Инфо.

Ссылка на комментарий
Поделиться на другие сайты

Напрасно прекратили общение с автором вируса. Его можно было с легкостью раскрутить на срок .

Я всегда думал,что только наши антивирусные компании являются зеркальным отражением нефтяных-и те и другие просто пользуются ситуацией ,при этом заграбастывают миллиарды.

оказывается и там далеко за кордоном точно такая же ситуация- мол мы ловим вирусы, продаем вам защиту, а ловить преступников или хотя бы содействовать в их поимке уж простите не к нам)

Ссылка на комментарий
Поделиться на другие сайты

Напрасно прекратили общение с автором вируса. Его можно было с легкостью раскрутить на срок .

Да ну...мне прям даже жалко почему-то хакера стало :)

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • sasaks11
      Автор sasaks11
      Добрый день! Аналогичная ситуация с человеком в теме... Ещё было замечено что скачиваемые файлы на следующий день также повреждаются. Могу ли я решить проблему действуя по представленным здесь шагам или требуется индивидуальное решение?
      Сканирование проводилось с помощью встроенного в майкрософт 11 антивируса. Он ничего не обнаружил ни при полной проверке, ни при быстрой, ни при автономной проверке (Microsoft Defender).

       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Nickopol
      Автор Nickopol
      HEUR:Trojan.Win64.Miner.gen (так определил касперский). Как избавиться без переустановки винды? Создаёт папку в ProgramData типа paperprotector-1c42cf80-e801-4c6e-8375-3b7be1b4649c. paperprotector.exe - запускаемый файл 
    • nooky910
      Автор nooky910
      Добрый день. Заметил, что при играх резкая просадка фпс началась. Лечил 2 таблетками, но безуспешно. Бесконечно создается сам. Так же был замечен xmring miner, но таблетка его вроде пыталась удалить. 


       
      CollectionLog-2025.05.24-17.36.zip
    • aminjik
      Автор aminjik
      Здравствуйте!
      Проверил систему на вирусы с помощью kvrt
      Были обнаружены два вируса
      Trojan.Win32.Agentb.kwqa
      Trojan.Win64.Reflo.his
      Один в Exe файле, другой в образе iso
      Образ использовался на виртуальной машине, а exe запускался давно и был он в игре.
      Сейчас оба удалены и по этой причине пишу сюда
      Спасибо
      CollectionLog-2025.06.15-19.17.zip
    • AlexYarm
      Автор AlexYarm
      Зашифровались файлы. Расширение файлов hardbit4. Прилагаю необходимые архивы. Прошу помочь с расшифровкой.
      Hardbit4Virus.zip
×
×
  • Создать...