Soph - шарп, форк и конфьюзер
Alexuiop1337Предисловие
Все мои предыдущие статьи были про "сухой" реверс. Но на этот раз я немного отойду от привычного формата. Сегодня речь пойдет про стиллер Soph и его кодера korolev2 (CSharpOneLove)...
Самое начало
Не по моей инициативе и не благодаря моим усилиям, пользователь форума lolzteam скачал и запустил RAT, который в дальнейшем подгрузил уже мой софт - предатор. Через некоторое время оказывается, что это не просто пользователь, а будущий продавец и кодер, который сейчас известен под ником CSharpOneLove и продает софт "Soph". Благодаря данным из логов, удалось не только получить данные от аккаунтов, но и данные для дедика на котором был установлен бот-билдер стиллера, и там же лежали исходники. Но обо всем по порядку.
Логи и большая ошибка
Стиллер Soph продается на форуме Lolzteam от имение пользователя CSharpOneLove:
Но если мы посмотрим данные о прошлых ник-неймах, то увидим, что пользователь был раньше известен под псевдонимом korolev2:
Теперь взглянем на скриншот из лога:
Аватар пользователя не менялся - важный факт для того чтобы удостовериться, что лог действительно его. Помимо этого скриншота, мы получаем еще веер различной информации:
По формам, истории можно найти невероятное количество информации о самом авторе, о его семье, о месте жительства, номера документов, кредитных карточек и прочее (по ясным причинам, они не будут указываться). Но кроме этого меня зацепил файл с проектам.
Список проектов с ПК korolev2: https://pastebin.com/ngrZAvBL
Среди которых, меня заинтересовал проект Zabvenie. После проверки панелей кодера, был найден лог со стиллера, который автор сам же и запустил:
Где в файле с формами гугла, я увидел это:
Было еще не известно является ли стиллер Soph форком Immortal, статью про который я опубликовал несколько месяцев назад, но судя по функционалу в продажнике (стиллинг сессий с лаунчеров Minecraft), я почему-то был уверен, что все так и есть.
Исходники и форк
Вскоре после этого, появились данные от дедика, на котором был установлен бот билдер, откуда были вытащены исходники:
Кроме того, что у автора был проект с названием svhost.sln, что скорее всего является исходниками стиллера Immortal, но имея код его стиллера, можно легко удостовериться, что это так:
И таких "совпадений" очень много.
Исходник Immortal: https://github.com/Alexuiop1337/Immortal2.0-by-Zet5D
Вывод
Особо добавить нечего, софт за 3к, где "Вечный фуд" - это крипт через конфузер, а сам стиллер форк (в добавок исходники которого стоят 300$).
Канал: https://t.me/PredatorSoftwareChannel
Купить предатор: https://t.me/sett9
Исходники: https://github.com/Alexuiop1337/SophStealer