Replies: 17 comments 82 replies
|
Не первый и не последний. |
|
Понимаю вашу позицию. Моей целью было просто оставить это предупреждение здесь, чтобы пользователи оригинального проекта были в курсе рисков. Официальный репорт в поддержку GitHub я уже отправил, надеюсь, они отреагируют быстрее. Спасибо за ответ! |
Субъективно, однако, заявления беспочвенны. Банальный анализ на ИИ-слопе, еще ничего не означает. Потрудитесь провести более глубокое изучение как кода, так и проекта в целом. |
|
UPDATE: Глубокий технический анализ бинарных файлов и исходного кода (LupiDPIApp) В дополнение к предыдущим сообщениям, мною был проведен детальный анализ исполняемых файлов (EXE) и части исходного кода проекта. Результаты подтверждают наличие спланированной инфраструктуры для кражи данных:
Вердикт: Данный проект не имеет ничего общего с оригинальным инструментом Zapret. Это полноценный троян-загрузчик и инструмент для промышленного и личного шпионажа. Автор цинично использует желание пользователей обойти цензуру, чтобы получить полный доступ к их цифровой личности. Хочу что бы как больше людей обратили на это внимание. |
|
Оригинал zapret там включен или это полностью муляж и только название осталось ? |
Да, оригинальное ядро включено. Внутри бинарного пакета (папка exe/) присутствуют файлы winws.exe и winws2.exe, а также набор ваших оригинальных LUA-скриптов |
|
Причем у них есть какие-то свои lua скрипты, насколько я понял |
|
45.155.204.190 Все остальные перечисленные ip мне не известны и сомневаюсь что связаны как-то с обходом блокировок.. |
|
А можно более "глубокий" и более "технический" анализ, с предоставлением скриншотов непосредственных участков кода, который отвечает за приведенные доводы, без ИИ-слопа? |
|
Если развернуть его в виртуалке, то оттуда можно взять листы и достаточно быстро подобрать рабочие стратегии. |
|
так и сделал Player1545/zapret-zapret2-by-player1545#1 |
|
кстати замечу loop-uh говорит о просьбе оставить панику и понять что проект чист но паники и не было был сухой тех анализ |
|
окей я посмотрел тг и думаю если я получу завтра ответы на большинство вопросов я попробую сделать форки проекта не помеченные лицензии кроме лицензии zapret2 что бы вы могли использовать этот форк в разработке я готов помочь сделать версию (допом) к которой ни у кого точно вопросов не будет! |
|
*Сейчас мы пытаемся понять они обвиняют нас в том что мы распространяем ВИРУСЫ или же просто волнует что программа что-то меняет в настройках системы. Первое — враньё, второе — правда. Исправлять это не имеет смысла так как наша программа изначально создавалась для домохозяек и некоторые настройки меняются. Отключить это (как например днс гугла) — можно напрямую в интерфейсе программы.* |
Не будет ответов. Слишком много вопросов и у них очень сильная аргументация. Поэтому единственный трюк, который остается у оппонента при таком списке неудобных вопросов - передергивание. Что мы собственно и наблюдали далее, когда передергивают оппонента другим вопросом. Такая глупая тактика, которая читается на уровне обычных рефлексов. Особенно меня забавляет, что они сетуют, что вопросы якобы ИИ-шные и поэтому они не могут рассматриваться априори как серьезные. При том при этом сами когда код пишут, то опрашивают ИИ (ну с этим то никто спорить не будет надеюсь). Лицемерные клоуны. |
Чем вы лучше остальных? Нулевой анализ, просто поверхностное мнение основанное на словах других людей. Чтобы что-то подобное писать, наверное стоит самому проверить или я не прав? Да и когда автор темы написал, что ему нужно пару дней на "факты", он просто пропал. Специалисту не нужно пару дней, чтобы разобрать проект с исходным кодом. Ему даже не требовалось бинарник разбирать. Что тут забавно на самом деле? То что опять летят беспочвенные обвинения непонятно в чём? Это уже ребячество... |
Он не пропал, он побежал писать статейку на Хабр. А что, доёбы кончились, пора уже и на публику выставлять, т.к ответить - нечего). P.S. С хабра он свалил так-же быстро, как обещал через пару дней выложить все "козыри" из рукава. Только зарегистрировался, написал пост и свалил по-английски |
|
а какого **я анализ старой повершел версии вообще я не понимаю |
Наличие поведения Trojan/Loader в предыдущих версиях (зафиксированное в ANY.RUN) уже само по себе ставит крест на доверии к проекту, требующему прав администратора. |
|
Очень интересный ресерч через ИИ. Из всех вариаций подписок, идет лишь одна подписка, которая меняет UI для вида, остальные никак не относятся к основному zapret. any.run со своей эвристикой много ловит фейк сигнатур. Я бы понял, если бы вы говорили о эскалации привилегий в Windows, но если он просто требует, в чем проблема? Он работает с драйвером, вполне возможно ему нужно иметь права администратора. Если вы так уверены в своей правоте, просьба предоставьте декомпилированным байт-код питон проекта zapret и тыкните меня в кусок кода, где вы думаете, что есть малварь. |
|
так он гпт монстр, зачем ему самим делать, когда за него все сделает нейросеть |
|
Мне на самом деле всё равно как эта дискуссия разрешится но как человек со стороны не понимаю одно. Причём тут gpt или какие бы то ни были другие нейросети. У автора открытый исходный код который фактически подвергает систему пользователя к уязвимостям, чтобы это увидить не нужно быть сверх разумом, вместо того что-бы принять этот факт и отредактировать приложения и всё необходимые действия выполнять не подвергая систему пользователя рискам, и добавить придумреждения о внисения изменений в настройки системы, Почему-то поступает только ирония о каких-то нейронках. Дискуссия превратилась в доказания одного человека другому о том что на кравать какать нельзя но в ответ поступает только ирония о том что это тебе нейронка сказала что нельзя а я считаю что можно. Всё это максимально глупо.... |
|
Насколько мне известно антивирусы не блокируют hosts так как это системный файл, зачастую антивирусы могут придуприждать о том что определённое приложение пытается внести изменения в hosts далее пользователь имеет право подтвердить попытку внесения изменения или заблокировать или иногда удаляют содержимое или перезаписывают hosts если обнаруживают не желательное содержимое. Учитывая что антивирусы разные это всегда будет ложится на плечи пользователя, но что касательно дефендера то ему в белый список можно добавлять дериктории и файлы через Add-MpPreference что всё равно безопаснее, но всё равно о подобных действиях пользователя необходимо приду прижать. |
|
лично у меня доктор веб отменял изменения в хостс сам по себе |
|
Единственное, к чему я придрался в свое время, так это - форсирование DNS гугла. Почему за юзера это делают автоматически? Хоть бы pop-up добавили с инфой, что у него стоят дефолтные DNS которые берутся с роутера(провайдеровские), из-за чего - обход на некоторые сайты могут не сработать. Да и почему тот-же выбор DNS у них пал именно на Гугл, т.к они на некоторых провайдерах - уже не работают. |
|
@Kasumicic |
|
Привет @bol-van ,нет, просто немного устал от травли надо время пока пишу ответку |
Ошибаешься |
|
Жду с попкорном🍿 |
ну че там? |
|
Доброго времени суток. Есть вопросики к некоторым людям, а именно к @Kasumicic. Вы составили целое обращение, чтобы уведомить людей о некой Обидно здесь не за паранойю, а за то, что человек не понимающий что вообще происходит, пытается сделать Полный анализ это не просто отчёт от ИИ, а слежка, когда та или иная функция вызывается и для чего именно она вызывается. Не думаю что вы сидели в исходном коде и пытались разобраться что откуда вытекает, что является уже грубым упущением. Вы судите книгу по "обложке" или по "странице с названием глав", а не полностью разбирая код вручную. К тому же сейчас ведётся активное исправление всех недочётов. И мне просто безумно интересно как вы собираетесь продолжать эту |
|
Проблема не в нейрослопе, а в том что даже при весьма поверхностной проверке нейронкой выявлены уязвимости. Мне вот например тоже было непонятно зачем устанавливать сертификат, хранить в проде неработающие подозрительные куски кода, не говоря уже об отсутствии важных попапов уведомляющих пользователя. Понимаю что хочется одну кнопку, но пожалуй это слишком большая цена за нее. |
|
Проблема как раз в людях, все именно хотят "решение в 1 кнопку", а не разбираться что как работает и видеть лишние всплывающие меню. Да и имеет место быть неопытность разработчика, почти весь проект написан нейросетью, отсюда и тонна нерабочих кусков кода, комментариев и прочих странных решений. А про анализ проектов ИИ это отдельная тема. Я считаю это неприемлемым для публикации. После анализа ИИ, нужно каждый пункт проверять вручную и раскапывать всё самостоятельно, а не просить ту же нейронку сформировать отчёт. У этих критиков ни 1 проекта на гитхаб и аккаунты созданные "вчера", как им можно доверять? Главные проблемы, что анализ поверхностный, основан на старом коде, без разбора ехе, без прикрепления полных отчётов анализа, а только тот самый поверхностный нейрослоп. @Kasumicic, где отчёт по изменения в системе от установщика при загрузке и удалении? Где полный отчёт по обращениям к серверам? Где тот же самый отчёт по действиям программы на ПК? Где попытки разобрать хоть что-то? |
|
На самом деле, тут обе стороны виноваты. Да, сообщество непременно должно искать и выявлять уязвимости, предлагать возможные решения. Более того, сам Гитхаб обладает подобным функционалом. И это стоит делать более адекватно, а не под лозунгом "Я знаю что вы плохие, я докажу это, даже если это не так". Вы по сути просто оправдываете того, кто изначально имеет некорректный подход. Но тут и моя вина, кривые формулировки. Меня устраивает как пользователя то, что сейчас происходит, но хотелось бы, чтобы это происходило более лояльно. И те, кто кого-то обвиняют, приводили более существенные доводы с доказательствами, указанными файлами, действиями в системе... Тем не менее сейчас случилось 2 очень важных события:
|
|
Как арбитр скажу, что если не будет в ближайшее время предоставлена убедительная доказательная база в пользу любой из сторон, то я эту тему закрою |
|
Автор GUI что-то чинит, а @Kasumicic обещал в течении пары дней представить док-ва. С нетерпением жду, интересно что там будет. Идей я ему подкинул |
|
Какая разница кто там что обещал и что вам там выдаёт нейросети, приложение открывало уязвимости системы пользователя без явных уведомлений, чтобы это понять не нужны нейросети, достаточно код посмотреть, запускать даже ничего не нужно, в плане уязвимостей достаточно пользователя предупредить что автор уже сделал, хотя это не самое лучшее решение но в таком случае вся ответственность уже на пользователе. Все остальные вопросы решены тупо удалением конфликтных участков. На этом тему можно закрывать. |
Так же, как и немного ума надо послать верных хомячков защищать собственное поделие (причём с почти одинаковыми формулировками и подозрительно похожим "почерком", исходя из одинаковых ключевых слов), а потом в спешке вычищать мусор, который сам же там и оставил. И я думаю, что это было сделано сознательно, а не "по незнанию", ибо за добрые дела денюжки охотно нести не хотят :D
Скорее тупой автор гуя, который не смог в матчасть и начал писать "свои гениальные" хаки и как правильно подмечают, явно с помощью нейросети. Чую, из своего там только код для платных частей, всё остальное нагенерировано и потом в спешке перегенерировано, чтобы обосрамс не был так заметен. Намерено подставлять пользователя под использование очевидно вредоносных решений и потом его же винить в своих действиях - очень, очень "умная" затея. Если хочешь сделать доброе дело - так будь абсолютно честен с разработкой и со своими пользователями, а не виляй, как собака хвостом, пока что видно, что вся эта показуха с "этот чел лжёт и вообще нейрослопа нагенерил" явно идёт в параноидальном ключе и попытках защитить самого себя - денежек-то хочется, а с такими новостями их ой как нести перестанут достаточно быстро. |
|
вап |
|
вап |
|
вап |
|
Предлагаю закрыть данный цирк - ничего вредоносного в софтине изначально нет, проверка древнего билда в показала лишь, что он качает дистрибутив с gitea.com и запускает powershell байпасом Все описанные в ТС действия выполняются исключительно с разрешения/запроса пользователя В остальном согласен с #159 (comment) |
Ну ссылки на другой репос как-то очково, вдруг владелец(тем более если владелец не автор гуи запроте о котором сремся) этих репосов захочет зашить чего то плохо в эти скрипты и кердык. Лучше уж они убуд в этом репосе, спокойней будет что-ли |
|
кто прав, кто виноват в итоге? есть заключение? |
|
конечно, юзай неповторимый оригинал и не парься |
|
Благодарю автора статьи за информацию о проекте, так бы про него не узнал, все работает отлично 👌 |
|
Случайно наткнулся на это обсуждение. Прочитал все комментарии тут и на хабре. Я не программист и про код ничего не могу сказать. Но кое что я заметил своим непредвзятым взглядом. Всю критику этого гуи кроют тем что это якобы нейрослоп критикует. По существу в этих постах никто не ответил на вопросы. Если всё это поправили то хорошо, наверное. Но где гарантии что в обновлении всё это "добро" снова не завезут? Неприятно видеть что можно обозвать человека нейрослопом и просто забить на уместные вопросы. Это как назвать противника терористом, чтобы избавиться от необходимости вести с ним переговоры. В общем, себе бы этот гуи не поставил будь я на винде. |
|
Ну, тут есть человек который спрашивал четко и по существу конкретные вопросы, в последствии большинство вопросов у него отпало, видимо после личной беседы и посвящение в тонкости софта, думаю если проблемы вернутся, подобная тема снова появится, либо эта оживет. Не менее забавно, что тс после обвинений в нейрослопе сказал мол во всем разберется, но ни тут, ни на хабре более ничего по теме не сказал, смирился с поражением бедняга. |
Есть нюанс. Это снижает прозрачность, да для той же "домохозяйки", которой нужна эта "одна кнопка", и которая, вдруг, может с любопытством читать сию дискуссию, понимая прочтенное или нет, это дело десятое. Полагаю, причины сего моего замечания вполне очевидны. И выгодно было бы продолжать публично строго здесь, примерно, всем, кроме негодяев (абстрактных, вестимо, разной природы и мотивации). Что касается фона сегодняшних реалий, 404... Репка за репкой... Вероятно, топик-стартер - актор исходно сомнительный... Если без паранойи, и верим им же обозначенному: тогда актор молод, не умел, может, амбициозен, и мог иметь вполне позитивные намерения. Бывает... Но и это не значит, что ответ должен игнорировать существо выраженного, апеллируя к форме. P.S. Чисто со стороны наблюдение. |
Привет, не, не исчез, ещё читаю иногда |
Ну так я вроде как раз по делу и написал) про плагины без песочницы и подписи и про x86 версию. Ты можешь называть это просто своим мнением, но когда ты выносишь человека в канал на 50к, выставляешь его паникёром и идиотом с ИИ, шутишь над ним несколько дней, а потом толпа с теми же формулировками идёт в обсуждение и на Хабр ну извини, для меня это и есть травля. Тем более мне тогда было 17 Я не говорю, что ты буквально написал идите и хуесосьте его (хотя что там в чате происходило видел), но ты сам создал эту атмосферу и продолжал подкидывать своей аудитории поводы. И ни разу потом не сказал, что вы хотя бы немного перегнули Я могу признать, что тогда писал слишком категорично и часть выводов стоило сформулировать аккуратнее. Но это не отменяет того, что после моего разбора вы реально начали удалять и исправлять спорные вещи. Так что да, по делу я поговорить могу. Только давай тогда реально по делу, а не делать вид, что технической части моего сообщения вообще не было) |
|
@loop-uh Проверял на direct x86_64, v12.8.1. Насколько я увидел, плагин выполняется фактически с правами самого приложения: мой зонд смог читать и записывать файлы в приватной директории клиента, получил доступ к AccountInstance и отправил тестовое сообщение в «Избранное». При этом я не увидел отдельной песочницы, системы разрешений или проверки подписи плагина. Ему также доступны обычные Python-модули вроде os, socket и subprocess. То есть вредоносный плагин потенциально может получить довольно широкие возможности внутри клиента и действовать от имени пользователя. Ещё в x86_64-сборке отсутствует libpine.so, поэтому хуки там не работают. Судя по сборке, библиотека вырезается из-за -PzastoAbiFilter, при этом в ARM64 APK она присутствует. На реальном ARM пока не проверял, поэтому здесь без окончательных выводов. Ну и в workflow перед сборкой LOGS_ENABLED принудительно меняется на true. Я не утверждаю, что эти логи куда-то отправляются, но для публичной сборки это всё равно довольно спорная настройка. Приложу плигин и локальный отчёт, чтобы можно было воспроизвести. На этом у меня пока всё, особенно в этой теме, да простит меня болван, если будешь разбирать и появятся вопросы можешь написать в телегу |
and others
Uh oh!
There was an error while loading. Please reload this page.
Здравствуйте. Прежде всего, хочу выразить уважение автору @bol-van за оригинальный проект. Пишу в Discussions, чтобы предупредить вас и всё сообщество о серьезной угрозе
Обнаружен проект «Zapret 2 GUI» (автор:
censorliber), который позиционирует себя как удобная оболочка для вашего ядраwinws.exe, но на деле является вредоносным ПО.Ссылки на проект:
[https://github.com/youtubediscord/zapret][https://t.me/bypassblock]Результаты анализа их Python-кода и поведения:
tgram/tg_log_full.pyиtg_log_delta.pyкаждые 30 минут собирают логи, имя ПК и UUID, отправляя их в частный Telegram-чат администратора.altmenu/defender_manager.pyчерез реестр полностью отключает Windows Defender.hosts.pyвыполняетicacls hosts /grant Everyone:F, открывая полный доступ к файлу hosts любому процессу в системе.Самое опасное: в Telegram автор распространяет закриптованные EXE-билды, которые не соответствуют коду на GitHub.
В дополнение к разбору прилагаю отчет из профессиональной песочницы ANY.RUN (анализ архива
zapret6.4.2.zipот января 2025):Полный отчет ANY.RUN
Вердикт лаборатории: ВРЕДОНОСНОЕ ПО (Loader / Загрузчик)
Поведение скомпилированного .exe файла в изолированной среде полностью подтверждает статический анализ кода:
Bypass/Unrestrictedи агрессивно используетsc.exe/net.exeдля остановки служб защиты.Reflection assembly loader. Код подгружается напрямую в оперативную память, минуя диск (метод обхода антивирусов).Важное уточнение: Хотя в данной сессии ANY.RUN не зафиксировал загрузку финальной полезной нагрузки (payload), вердикт "Loader" и методы обхода защиты идеально объясняют реальные инциденты. В декабре 2024 года на форумах (например, SafeZone) пользователи жаловались на заражение скрытыми майнерами (
di.exe) сразу после использования утилит данного автора.Эта сборка ведет себя как типичный дроппер/загрузчик, паразитирующий на имени оригинального проекта Zapret и подрывающий к нему доверие. Счел своим долгом предупредить автора и пользователей.
Если нужны подтверждения или сам код для анализа - я готов ими поделиться.
All reactions