orderofsixangles

2021-03-09 21:56:13 Один из читателей сказал, что тяжело смотреть на белые скрины на черном фоне, да, это хуево, но ничего не поделать, фон должен быть черным Открыть/Комментировать

2021-03-09 20:32:06 Сегодня чувак запостил пример шифровальщика на Nim. Пример довольно простой и прямолинейный.

Если вам интересно как работают изнутри реальные шифровальщики написанные на Nim, то можете прочитать мою новую мини статью!)

https://www.orderofsixangles.com/ru/2021/03/09/xcry-ransomware-ru.html Открыть/Комментировать

2021-03-09 15:46:19 Jit linker, mapper, obfuscator, and mutator

https://githacks.org/_xeroxz/theodosius Открыть/Комментировать

2021-03-09 15:40:02 Коллекция исходников старых вирусов

https://github.com/guitmz/virii Открыть/Комментировать

2021-03-09 15:03:07 еще мне непонятно, почему некоторые шифровальщики перебирают доступные диски посредством hardcoded строки. Неужели реально сложно получить этот список в рантайме Открыть/Комментировать

2021-03-09 14:56:34 Я заметил, что многие шифровальщики неправильно удаляют файл после шифрования, что позволяет его восстановить. Можно перед удалением файла, затереть его. Вот пример кода из open source шифровальщика GonnaCry на Go Открыть/Комментировать

2021-03-09 10:43:44 Реверс Go бинарников Открыть/Комментировать

2021-03-08 15:09:44 Sentello is a python script that simulates the anti-evasion and anti-analysis techniques used by malware

https://github.com/Malwation/sentello Открыть/Комментировать

2021-03-07 20:57:35 When I wrote the LoadDll message today, I suddenly found a method to detect the debugger. This method has not been spread out. Actually, I am familiar with the debugging framework of windows.
They are all detection places, where are anti-debugging places. This method is R3. When loading the DLL, the system sends a message and stores the DLL name here.

/* Get the TEB */
Teb = Thread->Tcb.Teb;
if (Teb)
{
/* Copy the system library name and link to it */
wcsncpy(Teb->StaticUnicodeBuffer,
L"ntdll.dll",
sizeof(Teb->StaticUnicodeBuffer) / sizeof(WCHAR));
Teb->NtTib.ArbitraryUserPointer = Teb->StaticUnicodeBuffer;

/* Return it in the debug event as well */
LoadDll->NamePointer = &Teb->NtTib.ArbitraryUserPointer;
}

This is a static Unicode area, which is used when calling some API functions with strings. It shows that the API function is not equal to the name of the dll, so this is a detection method.
(c) Открыть/Комментировать

2021-02-23 11:55:12 https://pentestlab.blog/2020/05/20/persistence-com-hijacking/ Открыть/Комментировать