Меня напугал лог антистиллера.

[GrishaMazzlov]

Приветствую! Меня напугал лог антистиллера, причём в той сборке, где никаких читов нет. Скажите, есть ли вредонос?

Спойлер: Log

[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[PATCHED] > [ZwOpenProcess] > [C:\Windows\System32\KERNELBASE.dll] > {DesiredAccess: 4096}
[WARNING] > [URLDownloadToFileA] > [D:\Games\PC Games\SAMP 0.3.7\MoonLoader.asi] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [URLDownloadToFileW] > [C:\Windows\SYSTEM32\urlmon.dll] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [InternetOpenW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetOpenA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetConnectW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [InternetConnectA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [HttpOpenRequestW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszObjectName: /moonloader/data/version-info.json}
[PATCHED] > [ZwQueueApcThread] > [C:\Windows\System32\sechost.dll]
[WARNING] > [gethostbyname] > [D:\Games\PC Games\SAMP 0.3.7\samp.dll] > {name: DESKTOP-I291KS8}
[WARNING] > [gethostbyname] > [D:\Games\PC Games\SAMP 0.3.7\samp.dll] > {name: 80.66.82.252}
[WARNING] > [gethostbyname] > [D:\Games\PC Games\SAMP 0.3.7\samp.dll] > {name: 80.66.82.252}
[PATCHED] > [RtlInitUnicodeString] > [C:\Windows\System32\KERNELBASE.dll] > {SourceString: .\!0AntiStealerByDarkP1xel32.dbg\*}
[PATCHED] > [RtlInitUnicodeStringEx] > [C:\Windows\SYSTEM32\ntdll.dll] > {SourceString: .\!0AntiStealerByDarkP1xel32.dbg\*}
[PATCHED] > [RtlInitUnicodeString] > [C:\Windows\System32\KERNELBASE.dll] > {SourceString: .\!0AntiStealerByDarkP1xel32.pdb\*}
[PATCHED] > [RtlInitUnicodeStringEx] > [C:\Windows\SYSTEM32\ntdll.dll] > {SourceString: .\!0AntiStealerByDarkP1xel32.pdb\*}

 

[DaloikoWhat]

ИП спалил, пойду ддосить

 

[DaloikoWhat]

И Стиллер вшит в samp.dll

 

[FogRider]

ИП спалил, пойду ддосить

Вопрос: И зачем тебе это?

И Стиллер вшит в samp.dll

samp.dll действительно собирает такую информацию, как название компьютера и IP-адрес, но стиллеру это никак не поможет.

 

[GrishaMazzlov]

Вопрос: И зачем тебе это?

samp.dll действительно собирает такую информацию, как название компьютера и IP-адрес, но стиллеру это никак не поможет.

Меня больше эти строки интересуют:

[WARNING] > [URLDownloadToFileA] > [D:\Games\PC Games\SAMP 0.3.7\MoonLoader.asi] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [URLDownloadToFileW] > [C:\Windows\SYSTEM32\urlmon.dll] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [InternetOpenW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetOpenA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetConnectW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [InternetConnectA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [HttpOpenRequestW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszObjectName: /moonloader/data/version-info.json}

 

[Majunti]

Меня больше эти строки интересуют: [WARNING] > [URLDownloadToFileA] > [D:\Games\PC Games\SAMP 0.3.7\MoonLoader.asi] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [URLDownloadToFileW] > [C:\Windows\SYSTEM32\urlmon.dll] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [InternetOpenW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetOpenA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetConnectW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [InternetConnectA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [HttpOpenRequestW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszObjectName: /moonloader/data/version-info.json}

Походу стиллер пытался обойти антистиллер

 

[GrishaMazzlov]

Походу стиллер пытался обойти антистиллер

Прикол в том, что всё установленное качалось исключительно с БХ.

https://imgur.com/a/2qADQAB

Скрипт Correction Words как я понял лезет в Яндекс, ибо откуда ему брать исправления?

 

[GrishaMazzlov]

Походу стиллер пытался обойти антистиллер

Lua - CorrectionWords - Автоисправление в SA:MP

CorrectionWords Автоисправление слов Автор - Royan Millans При копировании на другие источники, просьба указывать авторство* Описание: Автоисправление и проверка слов на грамотность прямо в SA:MP, имеет 3 режима: Автоисправление сразу после отправки сообщения(возможны задержки) При нахождении...

www.blast.hk

 

[Majunti]

Прикол в том, что всё установленное качалось исключительно с БХ.

https://imgur.com/a/2qADQAB

Скрипт Correction Words как я понял лезет в Яндекс, ибо откуда ему брать исправления?

Ну может он хотел твой логин и пароль поправить чуть-чуть

 

[iEramur]

Это больше похоже на проверку обновлений мунлоадера (хотя может это такая маскировка, хз). Там же читается, что идёт запрос на сервер бластхака, видимо логинится(?) и получает какой-то жсон файл с версией(правда нипанятна, почему json качается а не просто число в запросе получают). Ну по идее json же ведь неисполняемый файл, и больше ничего подозрительного нет, так что все окей.

 

[iEramur]

Скинь на всякий скрин с папки moonloader. Посмотрим что там есть необычного.

 

[GrishaMazzlov]

Скинь на всякий скрин с папки moonloader. Посмотрим что там есть необычного.

Выше.

 

[sᴀxᴏɴ]

Нет здесь никакого стиллера.

Меня больше эти строки интересуют: [WARNING] > [URLDownloadToFileA] > [D:\Games\PC Games\SAMP 0.3.7\MoonLoader.asi] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [URLDownloadToFileW] > [C:\Windows\SYSTEM32\urlmon.dll] > {szURL: https://blast.hk/moonloader/data/version-info.json | szFileName: C:\Users\Nikus\AppData\Local\Temp\moonloader-version.json}
[WARNING] > [InternetOpenW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetOpenA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.2; WOW64; Trident/7.0; .NET4.0C; .NET4.0E; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET CLR 3.5.30729; InfoPath.3; Zoom 3.6.0)}
[WARNING] > [InternetConnectW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [InternetConnectA] > [C:\Windows\SYSTEM32\WININET.DLL] > {lpszServerName: blast.hk | lpszUserName: - | lpszPassword: -}
[WARNING] > [HttpOpenRequestW] > [C:\Windows\SYSTEM32\urlmon.dll] > {lpszObjectName: /moonloader/data/version-info.json}

Это проверка обновлений мунлоадера (check-moonloader-updates). Логи под спойлер или в code в следующий раз!