Robo de items por Keylogger o similar

Pero como has caído en algo así? Suerte con tus items.

Y para el hacker hay que reconocer que a jugado bien.

#33 Sin querer, abrí un archivo rar de una "supuesta cfg" en la que habian archivos

config.cfg
autoexec.cfg
mousefix.exe

Hice missclick (sin querer) en el mousefix.exe y se ejecutó algo, revisé los procesos de windows y no vi nada raro (a mi parecer) y posteriormente no pasó nada, hasta que al cabo de unas 3-4 horas me ausenté del pc y al volver a los 5-10 minutos ví una ventana abierta de trade con la oferta aceptada...

Como ya dije arriba, pusieron un bot fake en un streaming, y andaba apurado por alguna cfg y me metí en el canal de éste tío buscando algunos comandos como rates y de paso para mirar su config de FPS, y resulta que sin descomprimir nada del rar se ejecutó dicho "malware" y me ha jodido bien, yo siempre he sido precavido y tenido mucho cuidado pero he caido sin darme cuenta y como no tenía tampoco el email de trade para confirmar pues... eso.

De todas maneras, si pudo entrar en mi pc con abrir mi correo también podría haberlo logrado el trade...

#35 Estoy analizando el ejecutable. Efectivamente es un virus. Escrito en Borland. Hace un drop de un fichero en VBS, voy a ver si puedo rescatarlo, fijo que el capullo ha puesto algún server de noip para mandar los datos o quizás su e-mail...

Te digo algo.

#39 La mierda esa no lo detecta el antivirus?

#42 no entiendo nada de lo que dices pero eres el puto amo. Ya me podrías estar metiendo la mayor trola que me lo creería jaja.
Sigue así y a joder a esa gentuza que no tiene nada más que hacer que joder a otra personas, me toca muchos los huevos y mira que no tengo una mierda de skins.

#17 te doy RT desde mi cuenta personal. Mucha suerte y ya nos contarás!

#42 a mi me intentaron hackear el steam y el gmail, gracias a dios el gmail no pudieron hacerlo y ahí quedo todo. Gmail te envia un correo con la localización, navegador e IP del individuo. Con eso no puedo joderle de alguna manera?

Perdón el doble-post, retomo el analisis forense de #42

He podido sacar unas cuantas strings, el ejecutable mousefix crea una copia de si mismo en la carpeta Roaming del perfil del usuario actual, luego dropea un loader escrito en VBS con nombre "Internet Security.vbs". Dicho loader queda escrito en el startup del sistema, así cada vez que enciendes el PC se ejecuta la copia del mousefix

He seguido la traza del ejecutable, tras hacer bypass a las funciones ZwTerminateProcess he podido llegar hasta el Main(), ahí el ejecutable se queda en memoria con el proceso iesecure.exe

Ésta es su rutina:

Teniendo esa información, procedemos a investigar. Su IP se traduce como 109.67.141.89 = bzq-109-67-141-89.red.bezeqint.net

Tienes los datos de su ISP para mandar un mail y que le corten su conexión a internet o al menos le den un aviso xD Mira el apartado "abuse"

El servidor está en Israel, ggwp para intentar una denuncia oficial, olvidalo xD. He escaneado el servidor del hacker. Utiliza Linux y tiene Samba habilitado, tiene varios puertos abiertos. Te dejo reporte de su servidor:

Tiene un router Linksys visible desde WAN -> http://109.67.141.89:5431/
Podría mirar si existe algún remote-exploit y conseguir shell o algo en ese servidor. El resto de puestos no parece ejecutar nada vulnerable. Si me aburro, cuando esté en casa le meto armitage y mira a ver si hay suerte.

PD: La gente no tiene ni idea de lo fácil que es localizarles a través de sus virus/troyanos de mierda. Lástima que sea de lejos, si no nos hubiésemos reído un rato xD

#48 Desconocemos la edad y perfil del "hacker". Si es un niñato seguramente se acojone y cante, pero no cuentes con ello. Además podría ser un tio de cualquier parte del mundo (incluso español) que tenga contratado un VPS en Israel, estoy con Kali2 metiendo armitage a esa ip/servidor. A ver si puedo sacar más información, pero no se, llegados a éste punto y tratándose de un Linux/Unix con pocos servicios visibles... no creo que pueda hacer mucho más.

#49 http://www.hltv.org/?pageid=14&userid=404171
http://www.twitch.tv/maraca4g

Muy currado se lo tiene que tener ahí israel en las dos cosas

#51 Tiene un seguidor en el perfil llamado darkbasic, veo actividad en su perfil, ha posteado esas 2 fotos:

https://gyazo.com/f151a0663dbb93d7345cef40c10299db
https://gyazo.com/a495e57e700af315b5169cf45af6c47c

No controlo nada de CS, eso son skins? Valen ese? precio? joder me cago en todo y yo trabajando por 4 duros xD

Armitage 30% completado, por el momento tiene el protocolo Samba configurado en modo publico:

Así que cualquiera desde el explorador de windows podemos acceder a sus recursos compartidos públicos:

VAYA NO ME LO EXPERABA.JPG

Sigo investigando e informando....