Goodbyeapi içinde botnet ağı var

Selam arkadaşlar,

Günlerdir yaptığım araştırmalar doğrultusun da goodbyeapi içinde bir botnet ağı olduğunu DLL'leri unpack ederek anladım. Bunu anlamamın sebebi ne zaman google girsem sürekli google girişin'de bile "Insan Doğrulaması" istemesiydi yani bu botnet bizim iplerimizle istediklerini saldırı yapabiliyor ve IP'mizi istediği gibi kullanabildiği anlamına gelir. Bu bir virüsmüdür tartışılır ama bilgisayarınıza herhangi bir zararı yok kişisel bilgileriniz çalınmıyor veya rat gibi birşey değil ama ip adresinizi bir proxy ağı gibi kullanabiliyolar. Goodbyeapi yapımcısı şuan da tüm türkiyeye erişim sağlıyor ve ip adreslerini istediği gibi kullanabiliyor ve büyük bir botnet saldırısın'da kullanabiliyor.

Herkes açık kaynak olduğunu söylemiş evet proje açık kaynak kodlar açık ama goodbyeapi'nin çalışması için kodlar için'de (sys ve dll) yönlendirme yapıyor ve onlar kapalı kutuydu. Esas işlemleri o sys ve dll'ler yapıyordu.

Bu bir RAT veya kişisel bilgilerinizi çalan bir yazılım değil. Ama IP Adresinizi istediği gibi kullanabilir ve büyük bir botnet saldırısın'da kullanabilir.

İyi forumlar.

Residental proxy olarak firmalara kiralayabilir mi sence hocam?

Yapabilir muhtemelen hocam

DLL'leri tam kod olarak okuyamıyorum belli "class" lar içinde araştırmak yaparak bir botnet ağını %100 olarak teyit ettim. Ama tam kod olarak görebilsek belki de tam anlamıyla ip adresimizle neler yapıldığını anlayabiliriz belki'de kullanıyorlar hocam kim bilir.

Bende diyom bazen oyundan atıypr

mantığa bakarmısınız; google captcha çıkardı ee botnet aaabiii
selenium da botnet o zaman hiçbirşey yapmadan tarayıcı açın googleda arama yapın captcha veriyor ohaa

Bunu anlamanın kolay bir yolu var. Bir port sniffer yazarak trafiği analiz edebilirsin. İnsan Doğrulaması istenmesi bunun bir göstergesi değil. Çoğu tunnelling, vpn, proxy geçişi de doğrulamaya düşmesine neden olabilir. Login olmamış gui browserlar da bazen bu tür doğrulamalara düşebiliyor (örn. Brave). Eğer unpack ettiğin şüpheli kodları buraya yapıştırırsan fikir yürütebilirim. Şüpheli kod görürsem port sniffer yazıp trafiği izlerim. Dediğin gibi bir durum varsa kanıtlarıyla duyuru yaparız.

Hocam proje açık kaynak diye duyuruldu ama gel görki sys ve dll'leri yönlendirme yapıyor. Esas işlemler büyük olaylar o kapalı kutular'da dönüyor. Eğer gerçekten açık kaynak bir proje olsaydı ben kendi DLL'mi build alırdım ve neden onların açık kaynağını vermiyor ?

Hocam gördüğünüz şeyleri paylaşabilir misiniz? merak ediyorum açıkcası.