Mes Analyses de Malware

[Yttrium]

Bonjour,

je sais que ce n'est pas trop polie pour le forum, mais j'aimerais partager mes analyses de malware.
Ce qui n'est pas polie, c'est que je les ai écrite pour mon site web et donc que je ne souhaite pas refaire le travail, donc que je vous partage uniquement les liens (c'est la raison pour lequel je les post en section "bistrot").

J'espère que vous ne m'en tiendrez pas rigueur, je fais cela pour la bonne cause, et j'espère que vous en profiterez

- Analyse 1
- Analyse 2



Bonne journée/soirée a vous,

Yttrium.

[gruik]

je sais que ce n'est pas trop polie pour le forum

nonon pas de souci Yttrium, d'autant que c'est parfaitement compréhensible, c'est du contenu très intéressant et on est ravis que tu le partage sur n-pn

[supersnail]

Sympa comme analyse (même si ça reste de la crap à script-kiddies en .Net :þ).

Sinon pour les appels à SQLite, imo ce serait pour extraire les passwords stockés dans Firefox (qui utilise des bases de données SQLite pour stocker les cookies/historique/password stockés, etc), du coup un module du stealer .

ça me fait penser que j'ai une analyse de Dridex à terminer d'ailleurs...

[Yttrium]

Sinon pour les appels à SQLite, imo ce serait pour extraire les passwords stockés dans Firefox

D'accord, merci de l'info, je pensais que c'étais pour le rapport ^^

Et oui, c'est crap, mais intéressant tout de même

[notfound]

Plop,

Merci pour l'article, c'est pas mal Par contre le ftp n'est pas dead.

Code :

>>> ftp <ip>
Connected to <ip>
220---------- Welcome to Pure-FTPd [privsep] [TLS] ----------
220-You are user number 10 of 500 allowed.
220-Local time is now 08:02. Server port: 21.
220-This is a private system - No anonymous login
220 You will be disconnected after 3 minutes of inactivity.

Ceci étant dit, j'ai try avec u598873482/Azerty7 (les credentials codés en dur dans le malz) mais ça passe pas

[Yttrium]

J'ai pas ping le serveur, mais les user/pass ne fonctionnais pas ^^

[sakiir]

Super, tu aurais pus faire ds test sur paradox69.no-ip.org:1177 , ça renvoi \x30\x00.
Genre à la maniere de supersnail faire un script pour faire chier le client