!!! Was macht dieses Programm ?! !!!

backtothetoast · 30. Dezember 2013, 03:15

Hi,

doof zu erklären aber ich hab mir n Programm geladen und es unvorsichtig geöffnet. ZUFÄLLIGERWEISE wurde es in VB geschrieben. Kann mir jemand von euch sagen, was das Programm genau macht?

Wäre gut zu wissen, weil ich versteh das nicht so ganz.

Gruß

PS: DATEI NICHT AUSFÜHREN, nur zum dekompilieren hochgeladen!
DATEIANHANG ENTFERNT

xd-franky-5 · 30. Dezember 2013, 03:20

Also bei mir startet es und schließt sich wieder. Vielleicht liegt es daran, dass es für 32bit ist und ich 64bit hab.

xChRoNiKx · 30. Dezember 2013, 03:21

Bitte nicht ausführen !

Sieht aus wie nen Trojaner da dort ein "AntiSandbox" Code mit drin ist.

VB.NET-Quellcode

// Module1
public static bool antiSandie()
{
Process[] processes = Process.GetProcesses();
checked
{
for (int i = 0; i < processes.Length; i++)
{
Process process = processes[i];
string left = process.ProcessName.ToLower();
if (Operators.CompareString(left, "sandboxierpcss", false) == 0 && Process.GetCurrentProcess().SessionId == process.SessionId)
{
MessageBox.Show("Sandbox detected. This program can't be run in a sandbox.", "Sandbox Error");
Environment.Exit(0);
}
}
return false;
}
}

backtothetoast · 30. Dezember 2013, 03:22

Super, jetzt hast du n kleinen Virus auf deinem PC.. ich wollte eigentlich von euch, dass ihr es dekompiliert und mir genauer sagen könnt was es macht.

Guck mal in deiner Registry nach, hast n paar neue Autostart Einträge <.<

xChRoNiKx · 30. Dezember 2013, 03:23

Ich hab folgendes :

VB.NET-Quellcode

byte[] bytes = Module1.TheDec(Convert.FromBase64String(s), key);
string pathRoot = Path.GetPathRoot(MyProject.Application.Info.DirectoryPath);
string surrogateProcess = Path.Combine(RuntimeEnvironment.GetRuntimeDirectory(), "vbc.exe");
uioUIOUIYURYTREYTWREYETiyiuydf.njnkjpknjRSETrdtifyUFyufytuYTify(bytes, surrogateProcess);
string location = Assembly.GetExecutingAssembly().Location;
string fileName = Path.GetFileName(location);
string text2 = Interaction.Environ("TEMP") + "" + fileName;

Also im Temp ordner wird was gespeichert ausserdem liest er registry keys aus und packt sachen in den Autostart bitte enferne die exe wieder !
Damit keiner zu schaden kommt.

EDIT// sieht aus als ob er was compiled zur laufzeit !

backtothetoast · 30. Dezember 2013, 03:25

Ist mir schon klar, der steckt sich selbst in den Autostart. Nur den Sinn dahinter verstehe ich nicht.

EDIT: Das wird aus dem Base64 String (Eine Anwendung...):
**Link entfernt**

Edit by LaMa5:
Bitte keine schädlichen Programme posten, auch nicht als Link!

xChRoNiKx · 30. Dezember 2013, 03:27

Joa also lösche bitte deinen Ahnhang.
Ist nen Trojaner.

Dieser compiled ein Programm zur Laufzeit.
Hat einen Riesen Base64 String gespeichert der danach mit TripleDES verschlüsselt ist.

Also irgendein totaler Trojaner also bitte @xd-franky-5
mach nen Virenscan und säuber deinen rechner.

xd-franky-5 · 30. Dezember 2013, 03:30

Wie nennt sich dieser Schlüssel im Autostart ? Nicht das ich noch wichtige Sachen lösche. Und Temp lösch' ich eh immer. Ich hatte glaube ich vorher aus dem Augenwinkel gesehen das meine Cam anging

backtothetoast · 30. Dezember 2013, 03:30

Huii, darf ich jetzt auch machen.

xd-franky-5 · 30. Dezember 2013, 03:32

Hast du es jetzt auch noch geöffnet oder wie ?
Ich wollte eig. meine Klasse Heute noch herausbringen aber dank deines Trojaners schaff ich es nicht mehr -.- danke! Warts ab irgendwann schick ich dir auch einen muhahaha

rykoJLL · 30. Dezember 2013, 03:33

Was könnte wohl der Sinn dahinter sein? Dein PC ist höchstwahrscheinlich kompromittiert und somit nicht mehr Vertrauenswürdig. Um mir dieses mal die Diskussion zu ersparen, rate ich dir dein System neu aufzusetzen. Spart euch das Autostart Gesuche, ihr wisst ja gar nicht was der nachgeladenen Code noch macht.

backtothetoast · 30. Dezember 2013, 03:33

War nicht absichtlich.. <.<

Ja habs ja vor dir geöffnet, wie im Startpos beschrieben.

@rykoJLL: Ein Backup von meinen Dateien ist aber noch sinnvoll? <.<

xChRoNiKx · 30. Dezember 2013, 03:36

Einbackup von nicht ausführbaren dateien klar.

Was der nachgeladene Code macht kann ich nicht sagen.
Ich möchte ehrlich gesagt das dingen nicht weiter begutachten.

Es steht fest das es ein trojaner ist.

Das gute -> Dieser Sandbox schutz ist nicht wirklich brauchbar.
Ich werd das dort mal auseinander nehmen und dann mal schauen auf welche IP ich so stoße.

Mfg

backtothetoast · 30. Dezember 2013, 03:37

Ich kann dir sagen von wem ich die Datei habe ;)
Er nennt sich in Skype "pepsicola6666"

xChRoNiKx · 30. Dezember 2013, 03:38

Merkt euch einfach.

Suspekte sachen nicht gleich ausführen vor allem von Fremden personen.

xd-franky-5 · 30. Dezember 2013, 03:39

Kannst du vllt. auch mal mit WireShark schauen, ob es Spyware ist ? Das wäre ein richtiger Grund mein OS neu aufzulegen.

xChRoNiKx · 30. Dezember 2013, 03:40

Ehm.

Installier dein Sys einfach neu.
Man weiß nicht immer genau was so ein ding macht. Vor allem mit nachladenem Code.

Ein Tip dafür installier ein sauberes system und erstelle davon ein Backup und brenne so brauchst du nicht immer jedesmal so krass viel machen.

Mfg

Artentus · 30. Dezember 2013, 03:45

Also das Teil ist hart obfuskiert, der Deobfuskator erkennt die Chiffrierung nicht und mit manuell alle durchprobieren hats auch nicht geklappt. Ich jag das Teil gerade durch Anubis durch, dann sollte klar sein, was es macht.

xChRoNiKx · 30. Dezember 2013, 03:46

Joa mach ich auch grad Artentus.

Bin ich mal gespannt.

Artentus · 30. Dezember 2013, 03:53

anubis.iseclab.org/?action=res…747085cf9d376&format=html
Es wird auf jeden Fall was compiled und dann im Speicherbereich vom Explorer rumgepfuscht. Auch werden irgend welche Scripts mit dem Internet Explorer ausgeführt.

!!! Was macht dieses Programm ?! !!!

!!! Was macht dieses Programm ?! !!!

VB.NET-Quellcode

VB.NET-Quellcode

Ähnliche Themen

8 Benutzer haben hier geschrieben