DenisMasterHerobrine | Уголок одного программиста...

го поболтаем и я порассказываю кулстори разные из жизни, на часик-полтора подруб, а потом спать.

https://www.twitch.tv/denismasterherobrine

Не опять, а снова. Драма теперь про мод в кубиках на CurseForge и Modrinth.

Мод Create: Protection Pixel просит разрешать сбор некоторых данных для дальнейшего использования и немного ваших ресурсов для дальнейших операций.

Автор легитимно запрашивает разрешение на использование BrightSDK для сбора небольшой части вашей информации и для дополнительного заработка автором мода. Однако, моддеры не сильно уверены, что эта SDK используется как задумывалось. Как итог, проект на Modrinth вообще снесли, а файлы на CurseForge были подчищены, кроме версии 1.1.2, которая на момент написания поста, всё ещё содержит BrightSDK на данный момент.

Рандомная мысль в 2 часа ночи.

Я чёт внезапно задумался о том, насколько было бы круто иметь какого-нибудь физического напарника, который управлялся бы ИИ. Было бы ли в действительности это крутым достижением или породило бы кучу проблем? Уже и так можно спросить чат-бота на базе ИИ и спокойно его что-то спрашивать, но не было бы ли круче иметь просто какого-нибудь робота условно, который помогал физически ещё? К примеру, заняться очень рутинной работой и сделать всё идеально. Давайте просто помечтаем и подискустируем. Я бы мб завёл себе такого робота, чтобы может помогал в различных ситуациях и параллельно помогал узнавать лучше себя.

Мнения? Идеи?

Когда тебе впадлу фиксить спавн жаб в твоей же сборке и решил дать жабу.

Поэтому, давайте извлечём из этого события урок - нужно проверять, что вы ставите себе на компьютер и где вы регистрируетесь или указываете данные.

Вообще, можно за привычку взять, что каждые полгода-год нужно менять пароли. Просто для профилактики. Таких "разработчиков" на разных проектах в IT сфере достаточно, которые готовы продать ваши данные где-то за символическую плату. Это касается НЕ только кубиков. Вы никогда не можете быть уверены, что ваши данные в безопасности.

Урок с этим майнером-стиллером показал, что нужно уметь вовремя реагировать и защищаться. А также следить, что вообще вы запускаете на компьютер. По факту, любая программа - гость, которого вы пускаете к себе в гости. Вы не знаете, что таит в себе этот гость. Добрые или злые намерения. Важно помнить, что этот гость всегда приносит последствия. А вот они уже могут быть как хорошими (вы поиграли в игру и получили удовольствие), так и плохими (украли все данные и списали всё с ваших карточек).

Никто не в безопасности. Помните это всегда.

И-так, всем привет снова. Спустя почти ещё сутки не поступало больше никаких деталей и вроде как всё успокоилось и встало на свои места.

Домены отключены, сама папка сейчас 100% чистится лаунчером автоматически. Проблема обезврежена. Давайте подводить итоги.

Эта ситуация показала, что аудит и досканальная проверка кода на проектах очень важна. Упускать такое на протяжении года - довольно серьёзное заявление, но что имеем, то имеем. Кристаликс сам по себе как проект имел безупречную репутацию. Да, были какие-то мелкие драмы, но это скорее больше разборки игроков были и мемы. Здесь же прямо брешь и проблема.

Взломы, утечки и сливы - это, к сожалению, часть жизненного цикла ЛЮБОГО проекта. Это всегда происходит и это вопрос ВРЕМЕНИ, не безопасности. Какая бы не была защита, рано или поздно и она будет пробита. У лаунчера и в целом клиента вообще была на высоте. Но вот была брешь всё равно. Человеческий фактор, за всем не уследить...

⚡️ Обновил документ с исходниками заражённого класса-зомби, а также комментариями разработчика Cristalix. Постарался максимально подробно всё расписать, но частично упёрся в лимиты по символам. Если где-то что-то не дописал - допишу позже, когда найду, откуда можно убрать лишний и неактуальный текст.

Главное:
- Разработчики до сих пор нейтрализуют последствия. Восстанавливать работу сервера будут какое-то время.
- Про зловреда узнали за день со всей шумихой. Подтвердили, что проблема была с февраля 2024 года.
- Хакер (разработчик, который хотел наживиться на людях) потёр терабайты информации и устроил массу проблем администрации.
- Появилась информация, что делала Linux версия зловреда на самом деле. Найден зловредный сервис.
- Была получена цепочка заражения компрометированных серверов проекта.
- Исправлены неточности и убрана недостоверная информация, которая была слухами и осталась таковыми.
- В ближайшем времени возможно будет произведён массовый сброс паролей на проекте для повышения безопасности.

Я только проснулся, нормально так вырубило... Пошел дописывать статью со всей информацией от 4 утра.
Как обновлю - дам знать краткую выдержку оттуда с новой инфой.

UPD: Связались ребята с Кристаликса. Документ будет обновлен чуть позже. Есть огромное количество важной новой информации, но еë задокументирую, когда я восстановлюсь. Всем спокойной ночи. Как проснусь - допишу всю актуальную информацию.

В общем, я разобрал всю личку. Нарыл больше информации, получил сэмпл Linux версии от 8 февраля с небольшими отличиями.

Из нового:
- Зловред точно имел волновой характер распространения. Летом 2024 года он не был активен.
- Зловред получил название Trojan.Win32.Kaizerfrukt.a для первой версии и Trojan.Win32.Kaizerfrukt.b для второй версии. В ближайшее время займусь тем, чтобы отослать антивирусным вендорам сигнатуры для того, чтобы уже могли детектировать малварь на уровне системы. Какие-то сканеры уже могут находить сами следы этого зловреда в системе.
- Задействованы 100% разработчики режимов миниигр, проблема стала куда масштабнее и произошёл массовый взлом большей части админов, в том числе и тех. состава.

Я обновил настолько, насколько смог документ. Все, кто захотят осветить ситуацию - могут пользоваться.

Все, у кого есть какая-либо ещё информация касаемо всего этого и есть возможность переслать её для дальнейшего анализа и подтверждения информации - дайте, пожалуйста, знать об этом мне в личных сообщениях, спасибо.

@DenisMasterHerobrine

Создал статью с самой актуальной информацией по Kaizerfrukt с моим расследованием. Будет пополняться время от времени. Сюда в ТГ буду пересылать крайне важные заметки из документа по мере исследования. Всем, кто будет репостить - рекомендую ссылаться на этот документ в дальнейшем.

https://telegra.ph/Kaizerfrukt-Java-Miner---The-Cristalix-Miner-Incident-01-13

Майнер датируется теперь не 29 ноября, а аж 2 февраля 2024 года. Была найдена уже другая версия, которая имеет такой же механизм, но абсолютно другой код и другие способности.

UPD: Спасибо всем, кто связал, все в курсе, решается проблема, если уже не решена. Лаунчер уже по идее должен удалять содержимое этой папки подчистую при запуске. Проявляйте всё равно осторожность в ближайшее время.

Крайне настоятельно рекомендуется поменять везде пароли, токены, куки, поскольку кому-то мог попасться майнер вместе с элементами стиллера. А кому-то уже могло не повезти и лишиться чего-то.

Суть в следующем. В директории Common лежал "ярлык", с которого начинается заражение. Он в себе содержит строку "C:\Program Files\Microsoft\jdk-17.0.8.101-hotspot\bin\javaw.exe" -cp AppData\Local\Common Main.

Путь у всех разный, взял из майнера датируемого 30 декабря 2024, Лаунчер после того, как запускал игру, java.exe, топал в сторону этой директории. После чего считывал все данные с директории и эксплоитом запускал javaw.lnk, который запускал Main.class, который уже содержал стартовый парсер с сайта kaizer[.]solutions, где лежали свои зеркала для перезакачки или обновлений. Версия вредоноса и его API первая - v1. Сам вредонос датируется аж 3 ноября 2024 года.

Никогда не думал, что шутки про майнер на пиратских лаунчерах будут НЕ шутками.

Cristalix в какие-то даты и в период новогодних каникул распространял майнер Kaizerfrukt, написанного на Java, который копал за вас крипту Monero.

Я лично провёл расследование и было подтверждено с жертв аж 6 модификаций майнера

Чтобы избавиться от майнера - НИ В КОЕМ СЛУЧАЕ НЕ ЗАПУСКАЙТЕ ЛАУНЧЕР, удалите полностью лаунчер Кристаликса вручную. Можете воспользоваться программой Everything. Далее после удаления - идём в папку <папка пользователя>/AppData/Local/Common и удаляем оттуда всё.

*Если хотите помочь - присылайте скрины содержимого папки СТРОГО в лс для дальнейшего анализа и разбора ситуации. Спасибо.

Всем безопасности и поменяйте пароли, на всякий.