🔐 ЗАЩИТА И ОБХОД АНТИВИРУСОВАНТИ-АНАЛИЗ:
• Anti-VM — VirtualBox, VMware, QEMU, Hyper-V, Xen, Parallels
• Anti-Sandbox — Any.Run, Joe's Sandbox, Triage, Cuckoo
• Anti-Debug — аппаратные брейкпоинты, ThreadHideFromDebugger
ОБХОД WINDOWS:
• AMSI Bypass — двойной патч (AmsiScanBuffer + AmsiInitialize)
• ETW Bypass — тройной патч (EtwEventWrite + Full + NtTraceEvent)
• Defender Disable — реестр + WMI + PowerShell EncodedCommand
• UAC Bypass — 5 методов (Cmstp → Fodhelper → ComputerDefaults → EventVwr → SDCLT)
• SmartScreen Disable + Defender Exclusion
• Process Hollowing
МУТАЦИЯ СИГНАТУР (каждый билд уникален):
• Случайные PE-заголовки, имена секций, timestamp, checksum
• Рандомизация констант и таймаутов
• NOP Slide перед Entry Point
• Замена Unicode-строк в метаданных
• Полиморфные мусорные классы (Junk Code)
• 200+ вариантов имён процессов
СТAGER-ЗАЩИТА:
• Двойное шифрование (XOR + AES-256-GCM)
• URL разбит на 3 части с раздельным RC4-шифрованием
• 50+ случайных User-Agent
• Имитация легитимной активности перед загрузкой
• Настраиваемый таймаут загрузки
• NativeAOT компиляция — нативный код, трудно анализировать
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🛡 ЗАЩИТА ОТ УДАЛЕНИЯ• Watchdog — два процесса перезапускают друг друга
• 3 скрытые копии в системных папках (Temp, AppData, CommonAppData)
• ACL защита — запрет удаления на уровне Windows (по SID)
• ADS скрытие — копия в альтернативном потоке NTFS
• Автозагрузка: реестр (HKCU + HKLM), Startup Folder (COM),
Scheduled Task (schtasks), WMI Event Subscription, CLR Hijacking, BITS Job
• 6 методов закрепления — удаление одного не поможет
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🌐 БРАУЗЕРЫ30+ браузеров Chromium и Firefox.
Сбор: пароли, куки, кредитные карты, история, закладки, расширения, загрузки
Технологии:
• V20 Decrypt (Chrome 127+) — SYSTEM DPAPI + NCrypt через lsass.exe
• V10/V11 — AES-GCM через DPAPI
• Firefox — NSS3 через динамическую загрузку DLL
• Яндекс — AES-GCM с AAD через local_encryptor_data
Гибкие настройки: лимиты, режимы сбора (all/top/count), фильтры, V20 on/off
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
👛 КРИПТО-КОШЕЛЬКИБРАУЗЕРНЫЕ (16):
MetaMask, Phantom, TrustWallet, Binance Wallet, Coinbase Wallet, Rabby, Keplr, Martian, Pontem, Sui, OKX Wallet, Bybit Wallet, Tonkeeper, Petra, BitKeep, SafePal
ДЕСКТОПНЫЕ (22):
Exodus, Atomic Wallet, Electrum, Bitcoin Core, Litecoin Core, Dogecoin Core, Dash Core, Zcash, Monero GUI, Wasabi, Sparrow, Trezor Suite, Ledger Live, Guarda, Coinomi, Jaxx, TokenPocket, OKX Desktop, Bybit Desktop, Bitget, Kraken, KuCoin
ИЗВЛЕКАЕТСЯ:
• Адреса (BTC, ETH, SOL, TRX, LTC, DOGE, XRP, ADA, XMR, TON, +)
• Приватные ключи (WIF, HEX, Base58, keypair)
• Seed-фразы (BIP39 валидация по словарю 2048 слов)
• xprv/xpub/ypub/zpub (extended keys)
• Keystore (Web3 Secret Storage)
• MetaMask Vault (брутфорс 50 популярных паролей)
• Файлы конфигураций, .dat, .json, .sqlite
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
💬 МЕССЕНДЖЕРЫ И ПОЧТАМЕССЕНДЖЕРЫ:
• Discord — инжект / LevelDB / комбинированный метод (расшифровка V10)
• Telegram — копия tdata / парсинг контактов
• Steam — сессии + трейд-ссылки + JWT токены + config.vdf парсинг
• Signal — база данных
• Skype, Viber, WhatsApp (Win32 + UWP), Slack, Element (Matrix токены)
• GitHub Desktop, GitKraken, SourceTree
ПОЧТА:
• Outlook (реестр + OST/PST копирование)
• Windows Mail (UWP), Mailbird, eM Client, Postbox
• Claws Mail, Becky!, Foxmail, The Bat!, IncrediMail
• Windows Credential Manager (расшифровка через DPAPI)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🔐 2FA / БИРЖИ / МЕНЕДЖЕРЫ / БАНКИ / ИГРЫ2FA/TOTP:
• Authy Desktop, Google Authenticator (бэкапы), Aegis, 2FAS, WinAuth
• QR-коды из скриншотов (поиск otpauth:/ в бинарных данных)
• Браузерные расширения (Authenticator, Authy, Microsoft Authenticator)
КРИПТО-БИРЖИ:
Binance, Bybit, OKX, Coinbase, Kraken, KuCoin, Bitget, Gate.io, Huobi, PancakeSwap, Uniswap, 1inch, SushiSwap, Aave, Compound, Curve, + ещё 10
МЕНЕДЖЕРЫ ПАРОЛЕЙ:
KeePass, Bitwarden, 1Password, LastPass, Dashlane, NordPass, RoboForm, Keeper, Enpass (+ браузерные расширения)
БАНКИ:
80+ банков мира (Monobank, Privat24, Revolut, Wise, PayPal, Skrill, Chase, + Бразилия, Индия, Казахстан, Турция, Нигерия...)
ИГРЫ:
Steam, Epic Games, Battle.net, Ubisoft, Origin, Riot Games, Minecraft, Discord токены
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
📋
CLIPPER + КЕЙЛОГГЕР + МЕДИАCLIPPER:
• Подмена крипто-адресов в реальном времени (50+ криптовалют)
• Детект приватных ключей (WIF, HEX, Base58)
• Детект seed-фраз (12/15/18/21/24 слова)
• Детект токенов Discord, Telegram, Steam трейд-ссылок
• Кэш SHA256 (500 последних) — без повторов
• Скриншот при крипто-детекте
КЕЙЛОГГЕР:
• 5 раскладок (RU/DE/FR/ES/US)
• Спецклавиши, CapsLock, Shift, AltGr
• Группировка по окнам и процессам
• Фильтр по процессам
• Clean + Raw вывод
СКРИНШОТЫ:
• Все мониторы, DPI-aware, курсор мыши
• JPEG с настраиваемым качеством
• Триггеры: старт, интервал, крипто-детект
ВЕБ-КАМЕРА: AForge + PowerShell fallback + скриншот как запасной
МИКРОФОН: запись WAV, настраиваемая длительность
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🖥 СИСТЕМНАЯ ИНФОРМАЦИЯ + ФАЙЛЫ• Wi-Fi пароли (SSID, пароль, тип аутентификации)
• RDP сессии (сервер, пользователь, пароль)
• SSH ключи (PuTTY, KiTTY, Known Hosts)
• FTP/FileZilla (хост, порт, пользователь, пароль)
• VPN конфиги (OpenVPN, WireGuard, ProtonVPN)
• Cloud CLI токены (AWS, Azure, GCloud, DigitalOcean)
• Proxy клиенты (Proxifier, Shadowsocks)
• TeamViewer / AnyDesk
• WinSCP / PuTTY / KiTTY / mRemoteNG / Bitvise / SecureCRT / Xshell
ФАЙЛОВЫЙ ГРАББЕР: поиск *.key, *.wallet, *.secret, *.seed, *.dat, *.json
ПРОЦЕССЫ: список + дерево с owner, command line, parent PID
ПРИЛОЖЕНИЯ: установленные с фильтром, датами, путями
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🐀 RAT — УДАЛЁННОЕ УПРАВЛЕНИЕГрафический сервер (WPF). 11 модулей:
• Файлы — полный файловый менеджер (список дисков, папок, загрузка, выгрузка)
• Shell — интерактивный cmd.exe в реальном времени
• Экран — live-трансляция экрана (настраиваемый FPS, качество)
• Кейлог — live с фильтром по процессам
• Процессы — список + дерево, kill, запуск
• Реестр — чтение, запись, удаление, экспорт в .reg
• Микрофон — live-аудио + WAV запись
• SOCKS5 — прокси-туннель через жертву
• Майнер — XMRig с авто-idle (майнит когда пользователь отошёл)
• Loader — загрузка в память, RunPE, обновление стиллера
• Dead Drop — расшифровка и просмотр накопленных данных
Безопасность:
• Пароль на вход в RAT-сервер
• Пароль стиллера для регистрации
• Все настройки передаются в зашифрованном виде
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🔄 DEAD DROP + FAILOVERСервер недоступен → данные не теряются.
• Шифрование AES-256-GCM
• Загрузка в Pastebin / Dpaste / локальный файл
• Failover: основной URL → резервный URL → Dead Drop Check
• Авто-отправка накопленного при восстановлении связи
• Настраиваемые интервалы проверки и таймауты
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🔗 БИНДЕР• Склейка с PDF, DOC, XLS, JPG, PNG, MP3, MP4, ZIP, TXT
• Авто-иконка от типа файла
• Авто-описание, авто-VERSIONINFO
• RTLO маскировка (жертва видит .pdf вместо .exe)
• Предпросмотр как будет выглядеть файл
• SmartScreen предупреждение
• Выбор расширения: EXE / SCR / CPL
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🦠 WORM + C2USB WORM:
• Авто-заражение флешек при подключении
• Скрытие оригинальных файлов в System_{guid} папку
• Ярлык-ловушка с иконкой папки/документов
• Autorun.inf для старых систем
TELEGRAM C2:
• /screen, /info, /passwords, /processes, /keylog, /wallets
• /shell , /file , /download
• /kill, /help
• Отправка скриншотов и файлов через Telegram API
DISCORD C2:
• Периодические отчёты о статусе
• Отправка больших файлов частями (разбивка > 8MB)
• Rate limiting (защита от бана)
• Очередь сообщений с приоритетом
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
🌐 СЕРВЕР• Установка одной командой: sudo bash install.sh
• Авто-настройка Apache + PHP + SQLite
• Кнопка "Загрузить дашборд" из билдера
• Поддержка Cloudflare, HTTPS, SSL
• Генератор конфигов Nginx
• Динамические payload через payload.php
• Защита .htaccess (белый список файлов)
• Пароль дашборда
• Telegram уведомления о критических событиях
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
📊 ОКУПАЕМОСТЬ• Крипто-кошельки: $500 – $50,000+
• Пароли бирж: $1,000 – $100,000+
• Банковские аккаунты: $500 – $10,000+
• Динамические кампании: окупаемость × N (разные цели)
Starter ($500) окупается одним успешным логом.