Unconfigured Ad Widget

**Nickguitar.dll** · 23-10-2013, 11:11

O Endereço IP é: 189.31.17.56
O nome do host é: 189-31-17-56.pmjce700.dsl.brasiltelecom.net.br

Você postando trojan de novo ?! Ai ai ai... Quando vai parar ? Seu cérebro não consegue entender que TODOS os posts passam pela moderação ?

Bom, vamos lá...

Primeiro de tudo, VOCÊ É BURRO PARA C#R41H0 !!!

O que você tem na cabeça pra se registrar ontem, chegar aqui, postar um crypter "FUD" que geralmente é pago, sendo que o crypter não tem stub, e você USOU UM MALDITO BINDER, E NÃO EXCLUIU O ARQUIVO DE LOGS

É cada um que aparece....

Bom, criou uma chave no registro em :

HKLM\Software\Microsoft\Windows\CurrentVersion \RunOnce info

RunOnce ? Quer fazer seu programinha iniciar com o sistema ?! rsrsrs

CRYPTER LE.EXE

Criou esses arquivos :

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\Inst all.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\SIMP LE~1.EXE
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\Skit e.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\TMP4 351$.TMP

Leu esse arquivo :

PIPE\lsarpc

Mesmo arquivo que o trojan do cara de ontem leu, estranho, não ?! rs

Modificou esses arquivos :

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\Inst all.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\SIMP LE~1.EXE
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\Skit e.exe
MountPointManager
PIPE\lsarpc

Criou um arquivo temporário em :

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP

SIMPLE~1.EXE

Abriu uma pop up ao iniciar

OK Component 'COMDLG32.OCX' or one of its dependencies not correctly registered: a file is missing or invalid

COMDLG32 ? Seria algo em VB6 ?!? rsrs

Leu esse arquivo :

C:\WINDOWS\Registration\R00000000000b.clb

Se comunicou com esse arquivo :

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\

INSTALL.EXE

Criou essas chaves no registro :

HKLM\\\\\\
HKLM\\\\\\\
HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer\Run
HKLM\Software\Microsoft\Active Setup\Installed Components\{3627LOAL-V68H-D1OF-4S7K-63CJNAG6RH1H}

Modificou essas :

HKLM\Software\Microsoft\Active Setup\Installed Components\{3627LOAL-V68H-D1OF-4S7K-63CJNAG6RH1H} StubPath C:\WINDOWS\Microsoft\Pluguin.exe Restart
HKLM\Software\Microsoft\Windows\CurrentVersion \Run info Avgnt C:\WINDOWS\Microsoft\Pluguin.exe
HKLM\\\\\\\ Policies C:\WINDOWS\Microsoft\Pluguin.exe
HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer\Run info Policies C:\WINDOWS\Microsoft\Pluguin.exe
HKU\S-1-5-21-842925246-1425521274-308236825-500\Software\Microsoft\Windows\CurrentVersion\ Run info Avirnt C:\WINDOWS\Microsoft\Pluguin.exe

Mhmmmm, Plugin.exe.. Acho que já vi isso antes, seria uma KL banker, OUTRA VEZ ?

Editou uma chave no registro em:

HKLM\SOFTWARE\CLASSES\HTTP\SHELL\OPEN\COMMAN D "C:\Program Files\Internet Explorer\iexplore.exe" -nohome

iexplore.exe -nohome ? UhuAHUhuahsuHASUHaushAUSHash nem preciso falar o que é, né ?

Criou um arquivo em :

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\XX--XX--XX.txt
C:\WINDOWS\Microsoft\
C:\WINDOWS\Microsoft\Pluguin.exe

Criou os seguintes processos :

C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\iexplore.exe

Criou pelo menos 20 threads em :

C:\WINDOWS\explorer.exe

EXPLORER.EXE

Editou as seguintes chaves no registro :

HKLM\Software\Microsoft\Active Setup\Installed Components\{3627LOAL-V68H-D1OF-4S7K-63CJNAG6RH1H} StubPath C:\WINDOWS\Microsoft\Pluguin.exe
HKU\S-1-5-21-842925246-1425521274-308236825-500\SOFTWARE\MICROSOFT\WINDOWS\SHELLNOROAM\MU ICACHE\ C:\WINDOWS\Microsoft\Pluguin.exe Pluguin

Leu os seguintes arquivos :

C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\XX--XX--XX.txt
C:\WINDOWS\Microsoft\Pluguin.exe

Criou 3 mutex :

Pluguin
Pluguin_PERSIST
Pluguin_SAIR

Criou um virtual key code para monitorar teclas :

VK_LBUTTON (1)

E mais dois processos que fazem a mesma coisa...

POSTA MAIS TROJAN AI PRA GENTE, ESTAMOS GOSTANDO

**luiz9** · 23-10-2013, 11:43

spycronic

lol,so pelo nome e lugar do arquivo "pluggin" já sei que é um spycronic rsrsrs (Tão nub que não sabe configurar) kk

**andreol263** · 23-10-2013, 12:11

Que Burro......, Achando que ira infectar alguem com esses trojans........, merece levar toda hora um ataque DDos só para se tocar e parar de criar users para tentar infectar alguem......., antes de tentar atacar, aprenda a se Defender, deixando ate o Log de criação....., que ridiculo.......

**NullS3c** · 23-10-2013, 13:26

Esse povo ama fazer besteira o.o e ainda por cima... faz a merda mal feita kkkk, '-' bem q as consequências pra eles poderiam ser mais rigorosas do que banir e um exposed...

**Vetus** · 23-10-2013, 13:27

> Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar... <

Código:

Service is running on TCP port 80

Headers:
HTTP/1.1 200 OK
Date: Wed, 23 Oct 2013 16:24:04 GMT
Server: Apache/2.2.22 (Unix) mod_ssl/2.2.22 OpenSSL/0.9.8e-fips-rhel5
mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635
Last-Modified: Sat, 10 Aug 2013 22:23:19 GMT
ETag: "454277-49-4e39f5698c3c0"
Accept-Ranges: bytes
Content-Length: 73
Connection: close
Content-Type: text/html

Código:

www.rpwebdesigner.com.	14325 IN CNAME rpwebdesigner.com.br.
rpwebdesigner.com.br.	86400 IN SOA ns1.rpwebdesigner.com.br. contato.rpwebdesigner.com.br.
(
				2013080803 ; serial
				86400      ; refresh (1 day)
				7200       ; retry (2 hours)
				3600000    ; expire (5 weeks 6 days 16 hours)
				86400      ; minimum (1 day)
				)
www.rpwebdesigner.com.	14325 IN CNAME rpwebdesigner.com.br.
www.rpwebdesigner.com.	14325 IN CNAME rpwebdesigner.com.br.

rpwebdesigner.com.br.	14325 IN A 63.143.41.204
www.rpwebdesigner.com.	14325 IN CNAME rpwebdesigner.com.br.
www.rpwebdesigner.com.	14325 IN CNAME rpwebdesigner.com.br.

Mail exchangers:
rpwebdesigner.com.br.	14400 IN MX 0 rpwebdesigner.com.br.
www.rpwebdesigner.com.	14325 IN CNAME rpwebdesigner.com.br.

Name servers:
rpwebdesigner.com.br.	86325 IN NS ns2.rpwebdesigner.com.br.
rpwebdesigner.com.br.	86325 IN NS ns1.rpwebdesigner.com.br.

Código:

Name:                RENAN PLINIO SILVA MORAES
Organization:        RENAN PLINIO SILVA MORAES
E-mail:              renan.plinio@uol.com.br
Address:             AV SAO JOAO 1384 null
Address:             76200000
Address:             IPORA - GO
Phone:               55 64 36746320
Country:             BRASIL
Created:             20100113
Updated:             20100113

Administrative Contact:

Name:                RENAN PLINIO SILVA MORAES
Organization:        RENAN PLINIO SILVA MORAES
E-mail:              renan.plinio@uol.com.br
Address:             AV SAO JOAO 1384 null
Address:             76200000
Address:             IPORA - GO
Phone:               55 64 36746320
Country:             BRASIL
Created:             20100113
Updated:             20100113

Technical Contact:

Name:                RENAN PLINIO SILVA MORAES
Organization:        RENAN PLINIO SILVA MORAES
E-mail:              renan.plinio@uol.com.br
Address:             AV SAO JOAO 1384 null
Address:             76200000
Address:             IPORA - GO
Phone:               55 64 36746320
Country:             BRASIL
Created:             20100113
Updated:             20100113

Código:

traceroute to www.rpwebdesigner.com (63.143.41.204), 25 hops max, 40 byte packets
 1  static-ip-188-138-112-3.inaddr.ip-pool.com (188.138.112.3)  1.674 ms
 2  217.118.16.161 (217.118.16.161)  0.442 ms
 3  te1-7.ccr01.sxb03.atlas.cogentco.com (149.11.26.17)  0.576 ms
 4  te7-6.ccr01.sxb01.atlas.cogentco.com (154.54.74.249)  0.554 ms
 5  te0-0-0-11.mpd22.par01.atlas.cogentco.com (154.54.61.21)  7.740 ms
 6  te0-7-0-7.mpd22.jfk02.atlas.cogentco.com (154.54.46.105)  80.154 ms
 7  be2151.mpd22.dca01.atlas.cogentco.com (154.54.40.73)  96.144 ms
 8  be2171.mpd22.atl01.atlas.cogentco.com (154.54.31.109)  106.606 ms
 9  be2175.mpd22.iah01.atlas.cogentco.com (154.54.29.222)  121.548 ms
10  be2147.ccr22.dfw01.atlas.cogentco.com (154.54.27.18)  124.779 ms
11  be2032.ccr21.dfw03.atlas.cogentco.com (154.54.6.54)  125.872 ms
12  38.104.204.74 (38.104.204.74)  126.700 ms
13  border1.pc2-bbnet2.dal004.pnap.net (216.52.191.81)  126.011 ms
14  leasenet-2.border1.dal004.pnap.net (216.52.189.34)  126.489 ms
15  te6-1.bdr2.core2.dllstx3.dallas-idc.com (208.115.192.62)  126.806 ms
16  g0-2.vl325.cr02-110.dllstx3.dallas-idc.com (64.31.4.126)  128.340 ms
17  204-41-143-63.static.reverse.lstn.net (63.143.41.204)  126.071 ms

Entrei no embalo !

**sn3f4** · 23-10-2013, 20:31

@Nickguitar.dll

Não tenho certeza se esse é o mesmo cara, aquele Renan era de Góais, esse ai é de Tocantins - Palmas e a Internet desse ai é Oi.

@Cr4t3r

Na época que esse Renan postou todos os sites dele ficaram offline por um bom tempo, e tinha a foto dele aqui no fórum não sei se tiraram ou não, mas creio que não é o mesmo.

**Nickguitar.dll** · 23-10-2013, 20:58

Postado Originalmente por sn3f4 Ver Post

@Nickguitar.dll

Não tenho certeza se esse é o mesmo cara, aquele Renan era de Góais, esse ai é de Tocantins - Palmas e a Internet desse ai é Oi.

@Cr4t3r

Na época que esse Renan postou todos os sites dele ficaram offline por um bom tempo, e tinha a foto dele aqui no fórum não sei se tiraram ou não, mas creio que não é o mesmo.

Bom, várias coisas que tinham no post que ele fez, têm nesse aí... Os diretórios são os mesmos, o ícone do arquivo secundário é o mesmo, tinha o mesmo arquivo de logs, criam as mesmas chaves no registro, só não testei esse aí em rede ainda por que o wireshark da VM tá bugado.. Pode até ser um engano, mas é bom ele saber o que pode acontecer com ele..

**sn3f4** · 23-10-2013, 21:00

Canal do cara no Youtube.

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

RaidCall: 6787986
Skype: mr-changer

Vulgo: PHxHacker

Se alguém quiser banir, o perfil dele real aqui no GH é esse: Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

Nome real dele é Pedro.

by: sn3f4

**Nickguitar.dll** · 23-10-2013, 21:38

Falha minha, obrigado por postar mais informações =))

Tu é o cara :P

**GAMER0** · 23-10-2013, 23:17

lol

Tem horas que o Nick me assusta

**Mirage** · 24-10-2013, 13:03

Vocês são simplesmente PHODAS!!! Parabéns a todos!

**magoctt** · 24-10-2013, 18:56

Postado Originalmente por sarquesneto Ver Post

Olá pessoal aqui os trago mais um FUD, Não foi eu que fiz, mas apenas compartilho com vocês.. para que possam encryptar, seus servidores..
De forma limpa... Obrigado.

@Editado, conteúdo infectado

Façam bom uso.

so tem fera do GH,meus parabens a todos tbm

**H4ck3rus** · 10-11-2013, 15:55

Caralho velho, que foda! Me façam um favor, tentem caçar informações minhas assim como fizeram com estes caras, só para mim ver e etc... O meu vírus é este:

Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar...

PS. Não executem...

**Nickguitar.dll** · 10-11-2013, 17:39

[ame]http://www.youtube.com/watch?v=e-U61TpXd10[/ame]

Unconfigured Ad Widget

Anúncio

[INFECTADO, QUE SIRVA DE EXEMPLO] Crypter LEVEL 2.3 FUD

[INFECTADO, QUE SIRVA DE EXEMPLO] Crypter LEVEL 2.3 FUD

Similar Threads

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment

Comment