56 replies to this topic

[_)_]

pony panel modifiziert:

Please Login HERE or Register HERE to see this link!

Quelle?

[Shopping Queen]

ich schätze mal marke eigenbau oder?

[Sandoz]

modded by styler

[Panda]

Jemand schon getestet

[Skywalker7188]

habe es gerade am laufen aber bis jetzt nur chrome bekommen.

[ice]

Wir haben das normale und laeuft gerade mit JDB. Kommen zwar aeltere Browser rein aber Logs bleiben Logs.

Btw: wie kann man das Format beim abspeichern ändern?
Dieses

Please Login HERE or Register HERE to see this link!

geht mir so auf den zeiger

Gesendet von meinem X10i mit Tapatalk 2

[Skywalker7188]

hab ich auch noch nicht geschnallt .png' class='bbc_emoticon' alt='xD' /> und warum zeig der immer noch ein paar stück bei html an und nicht alle. muss man immer als txt downloaden nervt sowas von. war das gut beim istealer .png' class='bbc_emoticon' alt='xD' />

[heisenberg]

Wir haben das normale und laeuft gerade mit JDB. Kommen zwar aeltere Browser rein aber Logs bleiben Logs.

Btw: wie kann man das Format beim abspeichern ändern?
Dieses

Please Login HERE or Register HERE to see this link!

geht mir so auf den zeiger

Dass das nervig ist glaube ich gerne - ohne mir das jetzt tiefer anzusehen, gibt es die Source öffentlich? Dann dürfte das alles ja ein Kinderspiel sein.



Edit: alle mirrors down, bitte jemand reuppen.
Edit2: alle, bis auf einer. Der VIP DL ist übrigens ebenfalls down.

[Huseijnx3]

Einfach Wahnsinn !!!!!!!!!!!!!!!

[Spreadtheworld]

Funkt leider nicht mehr.

[Smn]

Durch ein neues Firefox Update stealt der Stealer die Passwörter vom Firefox nichtmehr.

Ihr könnt die PasswordModules.asm austauschen damit es wieder funktioniert.

Download:

Please Login HERE or Register HERE to see this link!

[daten]

@Smn: Edit: Sehe in der Source die PasswordModules.asm. Nun, wenn ich den build.bat starte passiert nicht viel. Meine Frage ist, wie ich nun einen neuen PonyBuilder.exe compile?

Edited by daten, 22 April 2014 - 19:34 Uhr.

[Naws]

Schade, Steam ist nicht dabei :c

[verbatong]

Gibt es mittlerweile einen Pony 2.0 release der funktioniert?

Alternativ auch einen anderen stealer der die aktuellsten browser unterstützt, wäre sehr dankbar für hilfreiche antworten

[smc2014]

http://www.toolbase....very#entry19600

Schau mal hier.
Ich hoffe konnte dir damit helfen.

Lg

[bumg2]

Geschrieben 27 Januar 2013 - 11:18 Uhr

Malware ->

Please Login HERE or Register HERE to see this link!

File Size: 2.13 Mbyte
Hochgeladen am: 24.10.2015
Letzer download: 16.11.2015

Die verschiedenen Daten machten @Ch!ller misstrauisch und hat mich deshalb um eine Analyse gebeten.

Hier eine kleine statische Analyse (

Please Login HERE or Register HERE to see this link!

)
 

audit@ubuntu:~/analysis/malware/pony-1.9$ ls
analysis.txt  extract.py  stealer  STEALER.ZIP
audit@ubuntu:~/analysis/malware/pony-1.9$ ls stealer/
Builder.exe  Icons  Stub  tspanel_fixxed.rar  upx.exe
audit@ubuntu:~/analysis/malware/pony-1.9$ file stealer/Builder.exe
stealer/Builder.exe: PE32 executable (GUI) Intel 80386 Mono/.Net assembly, for MS Windows
audit@ubuntu:~/analysis/malware/pony-1.9$ strings stealer/Builder.exe|tail -c 32
X6UOt/8MI=[SPLITTER]Builder.exe
audit@ubuntu:~/analysis/malware/pony-1.9$ strings stealer/Builder.exe|tail -c 128
E86H932T5dzi9+DpolZqmi4NfpvawNssPqjwq7DE+7dxOdi0Mjb4HFyzhqAHfcgZDi+ly3k2bZ+a6U9T6lBKsUZMNqq5ViNbX6UOt/8MI=[SPLITTER]Builder.exe
audit@ubuntu:~/analysis/malware/pony-1.9$ python3 extract.py stealer/Builder.exe
[*] extract csrss.exe from binary
[*] decrypt csrss.exe
[*] create new binary... success
[+] csrss.exe created
[*] extract Builder.exe from binary
[*] decrypt Builder.exe
[*] create new binary... success
[+] Builder.exe created
audit@ubuntu:~/analysis/malware/pony-1.9$ file csrss.exe
csrss.exe: PE32 executable (GUI) Intel 80386, for MS Windows
audit@ubuntu:~/analysis/malware/pony-1.9$ strings csrss.exe|tail -c 128
vge@Adminplayedwell@0@Adminplayedwell@1@Adminplayedwell@1@Adminplayedwell@1@Adminplayedwell@1@Adminplayedwell@@Adminplayedwell@
audit@ubuntu:~/analysis/malware/pony-1.9$ strings Builder.exe|tail -c 128
stedExecutionLevel level="asInvoker" uiAccess="false"/>
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>
audit@ubuntu:~/analysis/malware/pony-1.9$

Die Analyse ergab, dass die Builder.exe mit einer csrss.exe gebunden ist.

audit@ubuntu:~/analysis/malware/pony-1.9$ du -sh stealer/Builder.exe Builder.exe csrss.exe
1.4M	stealer/Builder.exe
20K	Builder.exe
992K	csrss.exe

Bei einer kurzen Analyse von der csrss.exe bin ich zum Entschluss dass es sich um AutoIt handelt.
Auch eine debugger Detection ist vorhanden die wie hier gezeigt gepatcht werden kann.

Die csrss.exe erstellt einen Eintrag in den Sheduler Task um sich selbst zu starten (keinen herkömmlichen) Startup Eintrag.
Weiter ging die Analyse nicht, da mir leider kein AutoIt Decompiler für die Version 3.3 bekannt ist.

Aus diesem Grund bitte ich @PaulaAbdul um ein Statement, weswegen hier eine Malware angeboten wird.

Leider musste ich diesen Beitrag nochmals erfassen, weil dieser aus mysteriösen Gründen verschwand.
Aus noch mysteriöseren Gründen blieb aber die Anpassung vom download Link.

[Zerobyte]

Auch wenn dieser thread schon älter ist ich stelle mal den code dazu rein von Pony.

 

AV Scan Builder :

Please Login HERE or Register HERE to see this link!

 

AV Scan erstellte datei:

Please Login HERE or Register HERE to see this link!

 

Download:

Versteckter Inhalt
Klicke auf den Danke-Button um den versteckten Inhalt sehen zu können. Nur registrierte Mitglieder haben Zugriff hierauf.

 

Versteckter Inhalt
Klicke auf den Danke-Button um den versteckten Inhalt sehen zu können. Nur registrierte Mitglieder haben Zugriff hierauf.

 

Viel spass damit

Edited by Zerobyte, 08 September 2017 - 11:59 Uhr.