A forum for reverse engineering, OS internals and malware analysis
F123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz
IsWow64Process
kernel32.dll
\Policies\System
\CurrentVersion
\Windows
\Microsoft
Software
%s%s%s%s%s
EnableLUA
ConsentPromptBehaviorAdmin
ConsentPromptBehaviorUser
PromptOnSecureDesktop
Off (0)
High (3)
Default (2)
Low (1)
Microsoft USB 3.0 Hub Control Service
Microsoft USB 3.0 Hub
MsHubSvc
usbhubsvc3
tvrraddons.bat
tvraddons.bat
addons.bac
addons.cab
wuac_x64.exe
wuac_w32.exe
svpn.exe
TeamViewerVPN.inf
teamviewervpn.cat
teamviewervpn.sys
TeamViewer7_Logfile.log
TeamViewer7_Hooks.log
tvr.cfg
msimg32.dll
tv.ini
TeamViewer.ini
vpn64.cab
vpn86.cab
tvr.cab
tv_x64.dll
tv_w32.dll
tv_x64.exe
tv_w32.exe
TeamViewer_Desktop.exe
TeamViewer_Resource_en.dll
TeamViewer_StaticRes.dll
0.3.1.7c
AlphaBlend
DllInitialize
GradientFill
TransparentBlt
vSetDdrawflag
%s_%u%d
%%SYSTEMROOT%%\system32\svchost.exe -k %s -svcr %s
Software\Microsoft\Windows NT\CurrentVersion\Svchost
AuthenticationCapabilities
CoInitializeSecurityParam
SYSTEM\CurrentControlSet\Services\%s\Parameters
ServiceDLL
ServiceDllUnloadOnStop
ServiceMain
.dll*
*.tvrp
COMSPEC
start /B
/wait
Mozilla/5.0 (Windows NT 5.1)
uniq=%lu
id=%s
stat=%d
cmd=%d
tout=%d
vpn=%d
HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Connection: close
Idle-time: %02u:%02u:%02u
needmore
tvrv=%s
osbt=%d
avr=%s
uname=%s
cname=%s
osv=%u.%u
osbd=%u
ossp=%u.%u
elv=%d
rad=%d
agp=%d
ulv=%u
devicea=%d
devicev=%d
remove
"%s%s" %s %s
missing
device is
%s %s
available
start
%02u:%02u:%02u
%02u.%02u.%04u %02u:%02u:%02u
Language: %s
Country: %s (%s)
Phone code: %s
Keyboard:
PID: %u
Title: %s
Path: %s
\Uninstall
DisplayName
Publisher
%s (%s)
(x64)
(Win32)
%s PID:%u%s
Version: %u.%u%s
Build: %u
Service Pack: %u.%u
UAC LVL: %s
Elevated: %s
RunAsAdmin: %s
AdminGroup: %s
%s version: %s
addons
rundll32.exe "
",FUAC "
@echo off
cd /d "%s"
ping 1.1.1.1 -n 1 -w %u
sc stop "%s"
sc delete "%s"
call "%s"
-a -h -s -r
attrib
%s %s
/f /q
/s /q
set FL_LST=(
for %%i in %FL_LST% do (
%s %s %s
for /F "tokens=*" %%G in ('wevtutil.exe el') DO (call :do_clear "%%G")
goto theEnd
:do_clear
wevtutil.exe cl %1
goto :eof
:theEnd
%s %s %%0
Shell_TrayWnd
%s%s\%s.%s
-show
timeout
closed. exitcode: %u (%s)
error
%s_%lu
unknown command
%s%s%s
system32\
SysWOW64\
cmd.exe
/c start "" %s
shell32.dll
regsvr32.exe" /s "
MachineGuid
Software\Microsoft\Cryptography
%u%u%u%s%s
"%s%s" install "%s%s" %s
Source Video
Static
ComboBox
Tahoma
"%s%s" %s
--action hooks --deferlog --log
QueryFullProcessImageNameA
GetVolumeInformationW
CreateDirectoryW
SetCurrentDirectoryW
CreateMutexW
CreateProcessW
GetStartupInfoA
GetDriveTypeW
GetCommandLineW
GetCommandLineA
MoveFileExW
gdi32.dll
BitBlt
user32.dll
MoveWindow
SetWindowLongW
LoadStringW
TrackPopupMenuEx
GetLayeredWindowAttributes
GetClassInfoExW
RegisterClassExW
SetWindowTextW
CreateWindowExW
ShowWindow
CreateDialogParamW
DialogBoxParamW
LoadIconW
IsWindowVisible
SetWindowPos
SystemParametersInfoW
MessageBoxA
MessageBoxW
advapi32.dll
RegCreateKeyExW
RegOpenKeyExW
Shell_NotifyIconW
ShellExecuteW
iphlpapi.dll
GetAdaptersInfo
wininet.dll
InternetOpenW
WinSta0\Default
%s_%u
-svcr
%s_%s
comctl32.dll
TaskDialogIndirect
RtlCompareMemory
RtlZeroMemory
RtlDecompressBuffer
RtlMoveMemory
RtlAdjustPrivilege
RtlGetNtVersionNumbers
NTDLL.dll
CreateFileA
SetFilePointer
HeapAlloc
HeapFree
GetProcessHeap
WriteFile
ReadFile
CreateFileW
GetLastError
CloseHandle
lstrcpyW
lstrcpyA
GetModuleFileNameA
GetFileSize
lstrlenA
InitializeCriticalSection
LeaveCriticalSection
lstrcatA
lstrcmpiA
EnterCriticalSection
DeleteCriticalSection
WideCharToMultiByte
MultiByteToWideChar
lstrcmpA
VirtualFree
VirtualAlloc
FreeLibrary
GetProcAddress
LoadLibraryA
VirtualProtect
VirtualQuery
GetThreadContext
HeapReAlloc
SetThreadContext
GetCurrentProcess
InterlockedCompareExchange
Thread32First
Sleep
HeapDestroy
HeapCreate
Thread32Next
FlushInstructionCache
InterlockedExchange
OpenThread
CreateToolhelp32Snapshot
GetCurrentThreadId
GetCurrentProcessId
SuspendThread
ResumeThread
GetModuleHandleA
lstrcatW
ExitProcess
GetCommandLineW
GetComputerNameA
IsBadStringPtrW
TryEnterCriticalSection
GetLocaleInfoA
MapViewOfFile
UnmapViewOfFile
MoveFileExA
SetErrorMode
LoadLibraryExW
InterlockedIncrement
InterlockedDecrement
GlobalSize
GlobalLock
GetUserDefaultLCID
WaitForSingleObject
SleepEx
GetTickCount
ExpandEnvironmentStringsA
GetWindowsDirectoryA
GetCommandLineA
OpenProcess
GlobalAlloc
GetSystemDirectoryW
GetVolumeInformationA
GetFileAttributesA
GetExitCodeProcess
GetFileAttributesW
CreateProcessA
IsBadWritePtr
TerminateProcess
GetSystemDirectoryA
GetEnvironmentVariableA
lstrcmpW
lstrlenW
IsBadStringPtrA
GlobalUnlock
SetCurrentDirectoryA
FindFirstFileA
SetLastError
SetFileAttributesA
DisableThreadLibraryCalls
GlobalFree
FindClose
GetLocalTime
OpenMutexA
Process32Next
CreateFileMappingA
LocalAlloc
FindNextFileA
WTSGetActiveConsoleSessionId
lstrcmpiW
CreateMutexA
SetProcessShutdownParameters
ReleaseMutex
GetVersionExA
LocalFree
DeleteFileA
CreateThread
KERNEL32.dll
wsprintfW
wsprintfA
FindWindowA
FindWindowExA
MoveWindow
GetWindowThreadProcessId
GetKeyboardLayoutList
SetClipboardViewer
SetWindowTextW
GetDlgCtrlID
CallWindowProcA
SetClipboardData
PrintWindow
SetWindowTextA
OpenClipboard
PostMessageA
IsWindow
ShowWindow
SetLayeredWindowAttributes
GetLastInputInfo
LoadStringW
SetWindowPos
GetDlgItem
ChangeClipboardChain
EmptyClipboard
ReleaseDC
GetClipboardData
GetWindowLongA
CharLowerA
SetWindowLongA
GetWindowTextA
CreateDialogIndirectParamA
GetForegroundWindow
GetDC
EnumWindows
SendMessageA
ExitWindowsEx
GetClientRect
FindWindowW
WaitForInputIdle
GetParent
SetForegroundWindow
PostThreadMessageA
SetActiveWindow
GetClassNameA
CloseClipboard
DestroyWindow
USER32.dll
strchr
??3@YAXPAX@Z
malloc
strstr
??2@YAPAXI@Z
strtok
wcsstr
fopen
fprintf
fclose
MSVCRT.dll
_XcptFilter
_initterm
_amsg_exit
PathFindFileNameW
PathRemoveFileSpecW
PathAddBackslashW
PathRemoveFileSpecA
PathFindFileNameA
PathAddBackslashA
PathRemoveExtensionA
PathStripToRootW
StrStrW
SHDeleteValueA
SHDeleteKeyA
PathQuoteSpacesA
PathUnquoteSpacesA
StrCmpNA
StrCmpNW
SHLWAPI.dll
GetModuleFileNameExA
PSAPI.dll
WTSQueryUserToken
WTSFreeMemory
WTSEnumerateSessionsA
WTSAPI32.dll
CreateEnvironmentBlock
DestroyEnvironmentBlock
USERENV.dll
MapFileAndCheckSumA
IMAGEHLP.dll
HttpQueryInfoA
InternetOpenUrlA
InternetConnectA
InternetCrackUrlA
InternetSetOptionA
HttpOpenRequestA
InternetGetConnectedState
HttpAddRequestHeadersA
HttpSendRequestA
InternetOpenA
InternetCloseHandle
WININET.dll
TextOutA
GetPixel
CreateCompatibleBitmap
CreateCompatibleDC
SelectObject
DeleteObject
SetBkColor
CreateFontA
DeleteDC
SetTextColor
GDI32.dll
CryptGetHashParam
CryptReleaseContext
CryptAcquireContextA
CryptCreateHash
CryptDestroyHash
CryptHashData
RegSetValueExA
RegQueryValueExA
RegCreateKeyExA
RegOpenKeyExA
RegCloseKey
OpenProcessToken
GetTokenInformation
DuplicateToken
AllocateAndInitializeSid
FreeSid
CheckTokenMembership
CreateWellKnownSid
CreateProcessAsUserA
OpenServiceA
CloseServiceHandle
SetEntriesInAclA
SetNamedSecurityInfoA
ChangeServiceConfig2A
CreateServiceA
InitializeSecurityDescriptor
RegEnumKeyExA
StartServiceA
SetSecurityDescriptorDacl
RegisterServiceCtrlHandlerExA
DuplicateTokenEx
SetServiceStatus
OpenSCManagerA
GetUserNameA
GetServiceDisplayNameA
GetNamedSecurityInfoA
ADVAPI32.dll
CryptBinaryToStringA
CRYPT32.dll
SHCreateDirectoryExW
ShellExecuteExW
SHGetSpecialFolderPathA
SHCreateDirectoryExA
ShellExecuteW
CommandLineToArgvW
SHELL32.dll
CABINET.dll
OLEAUT32.dll
CoUninitialize
CoInitialize
CoCreateInstance
CoSetProxyBlanket
CoInitializeSecurity
CoInitializeEx
OLE32.dll
RtlUnwind
QueryPerformanceCounter
GetSystemTimeAsFileTime
UnhandledExceptionFilter
SetUnhandledExceptionFilter
msimg32.dll
AlphaBlend
DllInitialize
DllRegisterServer
GradientFill
TransparentBlt
vSetDdrawflag
ServiceMain
ROOT\SecurityCenter
SELECT * FROM AntiVirusProduct
displayName
s12345678
"%s" --PWU "%s"
Software\TeamViewer
tvshell
tvrun
tooltips_class32
TVMainThreadCall
TeamViewer
DynGateInstanceMutex
%s%s%lu
CInfoWindow
BuddyWindow
DynGate)
\TeamViewer\
--action
hooks
--deferlog
cmd.exe
runas
DFDWiz.exe
System
<a href="http://windows.microsoft.com/en-us/windows-vista/check-your-hard-disk-for-errors">
/c start /B "" "%s" wait
@echo off & echo
pause
grum wrote:not tvspy it's tvrat last versionOh, really? If it is self-called TVRAT, it doesn't mean that it's known by AV vendors / researches with the same name.
anybody can help decode config file "tvr.cfg"
И снова здравствуйте! Для тех кто уже ранее пользовался этим софтом и приятно
будет познакомиться с теми,кто все-таки решиться приобрести это хорошее
средство для специфических задач!Шпионский комплект на основе TeamViewer опять
в строю.Базируется по прежнему на 6 версии "QuickSupport",но более
свежим билдом с сайта разработчика.К общему сведению хотелось бы сказать,что
цифровые подписи для всех версий TV имеют особенность обновляться и это
немаловажный плюс для последующего апдейта ключевых файлов.
Оригинальные возможности программы в описаниях как бы не нуждаются,поэтому
коснемся только главных моментов и обрисуем надстройку над основным софтом,что
дополняет функциональности,контролирует поведение tv и представляет собой бота
в форме динамической библиотеки.
Основные характеристики и полезная нагрузка:
- Работа на десктопных и серверных осях x32,x64.
- Нет требует прав,не вызывает UAC.
- Файлы скрытые и системные.
- Лояльность ав,статика и проактивок,заноситься в доверенные.
- Шифрованное тело бота,код и данные.Поэтому в крипте практически не нуждается и живет очень долго,высокий отстук.
- Портабельность.В реестр практически ничего не пишется,только автозагрузка и при опциональной установки впн адаптера.
- Не создает папок и лог файлов.
- Шифрованный конфиг для необходимых,изменяемых опций.
- Одновременные сессии к двум разным tv на одной машине (опционально).
- Скрытая установка впн адаптера(требуются админ права),нет отображения в сетевых подключениях и диспетчере устройств.Незаметное подключение.
- Беспалевный запуск дроппера.В том числе не вызывает вопросов у киса,как это в большинстве своем бывает с выводом мессаги "Разрешить,или нет".
- Для первоначального старта,совсем не обязательно собирать полностью все файлы,а достаточно основных.Остальные скачаются автоматом.
- Плагинная система.Можно создавать свои,или использовать чужие.Храняться в зашифрованном виде и запускаются из памяти.Формат плагинов открыт.Только x32.
- Плагином может являться любой софт в формате .dll,или .exe с обязательной таблицей релоков.При отсутствии экспорта вызываются напрямую (только .dll),либо заворачиваются в обертку(.exe,.dll).
- Таким образом производиться запуск из памяти доверенного процесса tv,под защитой репутации и цп этого софта.Своебразный зонтик.
- Бесплатным примером предоставляются исходники плагина,что является оберткой над паблик внс "VNCDLL" от карберпа,без бк,подключиться возможно только по прямому соединению через впн.Если у кого имеется более свежая версия и с бк,
то реализация будет такая же.
- Админ-панель.
- Просмотр веб-камеры (опционально).
- Прослушка с микрофона (опционально).
- Запуск файла из файл-менеджера tv (опционально).
- Бекконект cмд шелл.
- Интервальный отстук.
- Выключение.
- Перезагрузка.
- Загрузка и запуск файла
- Загрузка плагина
- Удаление плагина
- Рестарт tv
- Проверка наличия веб-камеры
- Удаление всех файлов tv и вспомогательных файлов и записи в реестре.
- Смена пароля и идентификатора tv.
- Обновление конфига и бота.
- Возможность добавления еще одного пароля на выполнение команд из админки.
- Редактирование опций конфига через команды из админки.
- итд...итп.
Админка:
- Id, ip, страна, флаг наличия камеры, статус..
- Три таймера формата:
Дата&врмя начала неактивности| Счетчик (показывается сколько минут и секунд холдер неактивен) | Дата&время конца неактивности
- Строка для ввода комментария
- Строка для ввода команд, сигнализатор выполнения
- Сортировка по всем параметрам (по возрастанию, убыванию)
- Каталоги для сортировки..
Примечания:
Для установки админ-панели требуется хостинг с мускулом и кроном.В
админку высылается только идентификатор,пасс на подключение задается в конфиге
по вашему усмотрению.Админку устанавливаете самостоятельно,Проблем возникнуть
не должно.Потому как все очень просто.Билдера нет,это конструктор,собирается
из компонентов любыми доступными способами.При покупке среди прочих файлов,
поставляется уже готовый билд и обговаривается индивидуально.В дальнейшем,все
необходимые шаги при конфигурации и созданию установочного файла постарайтесь
предпринимать без моего участия.Суммарный вес сборки в полном
комплекте варьируется в приделах до 3 мб.Софт привязывается к домену,или ип
адресу,а конфиг зашифровывается на данные машины при инссталяции.То есть при
переносе на другую,расшифровать конфиг уже вряд ли получиться.При покупке
сообщаете мне домен,или ип адрес по которому будет размещаться админка.Только в
этом случае я смогу собрать для вас билд.При другом варианте,если желаете скрыть
от меня вышеуказанные данные,то говорите MD5 hash от названия домена,или ип адреса
а сам домен,или ип адрес прописываете в опциях конфига самолично и соответственно
билдить уже будете своими руками.После решения всех формальностей и оплаты я высылаю
архив со всеми необходимыми файлами и инструкциями.
Цена на комплект составляет 400$
Смена на новый домен 30$
На данный момент оплата только Perfect Money,Bitcoin
Контакт: ************
Желательно OTR,PGP.
PS: К сожалению в сети я бываю в основном по вечерам.