Bilgisayarım masyaf tarafından hacklendi.

Durum
Üzgünüz bu konu cevaplar için kapatılmıştır...

sincap

Normal Üye
Katılım
20 Ağu 2020
Mesajlar
1
Beğeniler
1
Xbot inceleniyor.. Lütfen bekleyin..

Edit // Moderator @Trump

10 ocak 2021 tarihinde saat 03:00 civarında arkadaşlarımla discord'da oyun oynarken arkadaşlarımın sesi birden kesildi ve hesabımdan atıldım, 4-5 dakika hesabıma giremedim daha sonra çalındığını düşünüp mail hesabımı kontrol ettim, mail hesabımda discord hesabımın kapatıldığını gördüm daha sonra arkadaşlarım beni arayıp hesabımın hacklendiğini söyledi. Hesabımı çalarak moderatör olduğum memorybreak ve hax4metin2 sunucularında yaklaşık 3 bin kişiyi banladılar. olaydan yaklaşık 5 dakika sonra arkadaşım mert ve zeki'nin hesapları patladı ve aynı şekilde memorybreak ve hax4metin2 sunucularında banlamalar yaptılar.
3 arkadaşın tek ortak yönü xbot adlı programı bilgisayarında barındırmasıydı, bunun yanında saldırı yapılan platformların sadece hax4metin2 ve memorybreak olması bir kez daha yönleri xbot programına çekiyor.
Bugün discord sunucularına müdahale eden bu platformun yarın banka bilgilerimizi , sosyal medya hesaplarımızı ele geçirmeyeceğinin garantisi yok.
hafta içi bu şekilde dilekçe ile siber suçlara başvuracağız, buradan paylaşma sebebimiz başka kişilerin bilgileri korumaktır.

unknown.png


dcdc.JPG

unknown.png


SONRADAN GELEN GÜNCELLEME :
AŞAĞIDA BAZI ARKADAŞLAR DATABASE'DEN ÇALINDIĞINI SÖYLEYİP SUÇTAN KURTULMAYA ÇALIŞTILAR ANCAK BENİM DİSCORD HESABIM ÇALINMADI.
BAŞKA BİR BİLGİSAYARDAN DEĞİL BENİM KENDİ BİLGİSAYARIM ÜZERİNDEN BU İŞLEMİ GERÇEKLEŞTİRDİLER.
BUNUN DIŞINDA SADECE BU HİLEYİ KULLANAN 3 MODUMUZUN HESAPLARINA AYNI ŞEYİN OLMASI, DİĞER MODLARIN HESAPLARINDA HİÇBİR SORUN OLMAMASIDA CABASI.
DATABASEDE KAYITLI ŞİFREYLE DISCORD ŞİFREM AYNI DEĞİL AYNI OLSA BİLE FARKLI İPDEN GİRİŞ YAPARKEN MAİLİME ONAY GELMESİ LAZIM.
ARKADAŞLAR HİLELERİ İLE DISCORD TOKENİMİZİ ÇEKİP HESAPLARIMIZI ELE GEÇİRMİŞTİR.
 
Moderatör tarafında düzenlendi:
Öncelikle ben şahsen Masyaf ve Masyafa yakın olan hiçbir oluşuma ait bir hile ve program kullanmıyorum.

Ekibimizde yer alan moderatörlerimiz botçuluğu profosyonel olarak yaptıkları için birçok programı eş zamanlı kullanıyorlar ve kullanabilirler de, keza sizin moderatör kadronuzun kendi sunucunuzda Hax4Metin2 oluşumunu çöp hile olarak lanse ettiği sırada Hax4Metin2 de 10 larca yardım ticketi açması/açmış olması bunu söylemenizi biraz abes kaçırıyor. (Emekli olan veya görevde olan istisnasız her moderatörünüz)

Bu olaydan 3 adet moderatörümüz etkilendi.

0-) MemoryBreak ve Hax4Metin2 yöneticileri yıllardır gerçek hayatta dosttur. Birinin başına bir olay geldiğinde birbirlerine karşılıksız yardım yapmaktan çekinmezler.

Bahsi geçen bu linkteki açıklama Hax4Metin2 için değil MemoryBreak database sızıntısı için yapıldı. 2 hilede de aynı şifreyi kullanan arkadaşları uyarıp önlem almaları için MemoryBreak ve Hax4Metin2 discord sunucularında anons edildi.

1-) Öncelikle önceden hazırladığınız database kartını oynamanız mantıksız. Zira databasede yer alan şifre ile discord şifreleri birbirleriyle tamamen alakasız. Database olayından sonra üyelerden özür diledik ve şifrelerini değiştirmeleri konusunda uyardık.

2-) 3 Moderatörümüze de farklı bilgisayarlardan giriş için Discord onayı içeren mesaj gelmiyor. Bu durumda bu hesaplara girişin tek yolu hesapların "token"leri ile giriş yapmaları. Tokenlerin de elde edilmesi için bilgisayardan veri çekilmesi gerekiyor.

3-) 3 Moderatörün de bilgisayarlarındaki hemen hemen tek ortak programlar: MemoryBreak, Xbot.

4-) Bu bir pvp sunucusunun hareketi olamaz çünkü benim ve bu durumdan etkilenmeyen diğer moderatörlerin hesap adları daha ifşa, etkilenenlerle aynı pvp sunucuları ve daha fazlasını indirip yayınlar açıyoruz.

5-) Saldırı spesifik olarak sadece Hax4Metin2 ve MemoryBreak discorduna yapılmış, tek bir cümle yazılmıyor sadece üyeler yasaklanıp sunucudan atılıyor. Hax4Metin2 discordu aylardır inaktif halde ve bugün de silindi. Hax4Metin2 ye saldırının , o platforma önceden garezi olan, farklı projelere yönelmek için kapattıklarını duyurduklarında bile salya sümük etrafta naralar atan tek platformum Masyaf olduğu aşikar. Zira kapanmasından aylar geçse bile dillerinden düşürmek istemiyorlar.

Any.run veya virüstotal sonuçları tamamen anlamsız zira olay gece saat 2 sularında gerçekleşiyor ve kısa bir süre içinde önlem alıyoruz. O saate kadar neler yapılıp yapılmadığını bilemeyiz. Her programı açtığımızda, her güncellemede anydesk veya any.run dan detaylı analiz yapma şansımız yok. Saat 2 sularında olan dosyalara da artık şu saaten sonra erişimimiz yok zira tüm etkilenen moderatörlerimiz bilgisayarlarını işletim sistemlerini baştan kurdular.


Olayın genel özetini açıklıyorum:
MemoryBreak'in sızan database verilerindeki "e-posta" verilerine bakarak kendi sitelerine veya yazılımlarına kayıt olan e posta adresleri üzerinden spesifik kullanıcıya saldırıyorlar ve verilerini çekiyorlar. Daha sonra MemoryBreak ve Hax4Metin2 discord sunucularındaki üyelere saldırıyor ve bunu tamamen database sızıntısındaki geçersiz şifrelere bağlıyorlar.

Yarın öbür gün bu platform da Masyaf ile ters düşer ve Xbot kullanan üye veya yetkililerin discord vb. hesaplarının saldırı sonucu etkilenmeyeceğinin hiçbir garantisi yok.
 
Merhaba,

Baştan söyleyim burada masyaf'ın avukatlığını falan yapmıyorum. Herhangi bir gayemiz yada bu işten bir kazancımız yok. Burası özgür ve tarafsız bir platform. Biz burada onur ve saygı çerçevesinde bir rekabet ortamı oluşturmak için varız. Bu uzun açıklamayı sizleri tarafsız olduğumuza inandırmak ve kimsenin tarafını tutmadığımızı anlatmak amacıyla yazıyorum.

Ancak durum ve netice ortada. Biz burada görevimizi yapmak ve birşeyler öğrenmek için varız bu yüzden detaylı araştırma yapmak zorundayız. Bahsettiğiniz gibi Discord sunucunuza bir başkası giriş yapmadan Token yoluyla üyeleri yasaklamak ve sunucudan attırmak basit bir işlem değil. Bunun için discord profilinizin ayarlarında "Yetkilendirilmiş Uygulamalar" kısmında bir aplikasyon olması gerekir. Bu aplikasyon aldığı yetki ile sunucunuzdan sizin hesabınızın yetkisini alıp kullanıcıları yasaklayabilir. Ancak görüldüğü üzere Xbot'ta böyle bir fonksiyon bulunmuyor. Hatta uzaktan yakından discord ile alakası bile olmamakla beraber hiç iletişim bile kurmuyor. Bu aplikasyon genellikle PvP serverlerden gelmiş olabilir çünkü günümüzde çoğu metin2 pvp server discord api'si için yazılım kodluyor. Bu yüzden yetkilendirilmiş uygulamalar kısmından bilmediğiniz uygulamaları kaldırmanızda fayda var böylelikle sunucunuza ve sizin profiliniz üzerinden yapılabilecek herhangi bir katliamı önlemiş olursunuz. Ayrıca ne yazık ki yetersiz ve kesin bir kanıt olmadan açmış olduğunuz konu karalama kampanyası yerine geçmektedir. https://cheatglobal.com/konu/forum-kurallari-forum-rules.3756/ kurucumuzun belirlemiş olduğu kurallarda Madde 9/A gereği ne yazık ki üzülerek bu konuyu açmış olan kişiye 100 ceza puanı vermek zorunda kalıyorum.

Yaklaşık 30 dakika http debuggerde kaldık ve program resimdeki adresler dışında herhangi bir dış bağlantı göstermedi.
SVILJk.png


XBot açıkken discord'da herhangi bir token yetkisi ile uygulama bağlamadığı açıkça görülüyor
uiyipq.png


Uzaktan yakından discord ile herhangi bir bağlantı kurmadığını stringleri tarayarak yada Process Hacker ile göz atarak görebiliriz. Ayrıca cheat engine ile program içinde string taraması yaptık (detaylı araştırma yapmak adına belki bir ipucu çıkması umuduyla) (Resimleri tam ekran görüntülemek için üstüne tıklayın)
5MSlMf.png
afcwfO.png

rY9Zfo.png
bycgqa.png

HHceFR.png
sDvyRZ.png
 
Son düzenleme:
Son olarakta programın kullandığı modüllerde yani kütüphanelerde herhangi bir discord bulgusuna yada içeriğine dahi rastlanmadı
Launcher.exe
Launcher.exe, 0x400000, 15,13 MB,
locale.nls, 0x1390000, 804 kB,
SortDefault.nls, 0x39b0000, 3,22 MB,
StaticCache.dat, 0x3cf0000, 18,38 MB,
TextShaping.dll, 0x733d0000, 592 kB,
TextInputFramework.dll, 0x72cf0000, 740 kB, "TextInputFramework.DYNLINK"
oleacc.dll, 0x743e0000, 332 kB, Active Accessibility Core Component
oleaccrc.dll, 0x14a0000, 8 kB, Active Accessibility Resource DLL
advapi32.dll, 0x75e70000, 484 kB, Advanced Windows 32 Base API
wow64cpu.dll, 0x776b0000, 40 kB, AMD64 Wow64 CPU
kernel.appcore.dll, 0x75010000, 60 kB, AppModel API Host
cfgmgr32.dll, 0x76080000, 236 kB, Configuration Manager DLL
crypt32.dll, 0x75f80000, 1 MB, Crypto API32
gdi32full.dll, 0x75d90000, 872 kB, GDI Client DLL
gdi32.dll, 0x77560000, 140 kB, GDI Client DLL
msimg32.dll, 0x75580000, 24 kB, GDIEXT Client DLL
sechost.dll, 0x76cd0000, 468 kB, Host for SCM/SDDL/LSA Lookup APIs
comctl32.dll, 0x75370000, 2,06 MB, Kullanıcı Deneyimi Denetimleri Kitaplığı
winmm.dll, 0x75300000, 160 kB, MCI API DLL
combase.dll, 0x76d50000, 2,5 MB, Microsoft COM for Windows
CoreUIComponents.dll, 0x729d0000, 2,49 MB, Microsoft Core UI Components Dll
CoreMessaging.dll, 0x72c50000, 620 kB, Microsoft CoreMessaging Dll
GdiPlus.dll, 0x74550000, 1,4 MB, Microsoft GDI+
ole32.dll, 0x772f0000, 908 kB, Microsoft OLE for Windows
uxtheme.dll, 0x740d0000, 464 kB, Microsoft UxTheme Library
ucrtbase.dll, 0x75bc0000, 1,13 MB, Microsoft® C Runtime Library
msvcp_win.dll, 0x76fd0000, 492 kB, Microsoft® C Runtime Library
msctf.dll, 0x76110000, 844 kB, MSCTF Server DLL
imm32.dll, 0x77660000, 148 kB, Multi-User Windows IMM32 API Client DLL
mpr.dll, 0x74440000, 100 kB, Multiple Provider Router DLL
ntdll.dll, 0x776c0000, 1,63 MB, NT Katmanı DLL’si
ntdll.dll, 0x7ffe9dd10000, 1,95 MB, NT Katmanı DLL’si
oleaut32.dll, 0x756e0000, 600 kB, OLEAUT32.DLL
rpcrt4.dll, 0x77590000, 744 kB, Remote Procedure Call Runtime
SHCore.dll, 0x76250000, 540 kB, SHCORE
shlwapi.dll, 0x760c0000, 276 kB, Shell Light-weight Utility Library
tv_w32.dll, 0x65a40000, 432 kB, TeamViewer
apphelp.dll, 0x74460000, 636 kB, Uygulama Uyumluluğu İstemci Kitaplığı
version.dll, 0x75590000, 32 kB, Version Checking and File Installation Libraries
wow64.dll, 0x7ffe9be10000, 356 kB, Win32 Emulation on NT64
Wldap32.dll, 0x77290000, 348 kB, Win32 LDAP API DLL
win32u.dll, 0x77690000, 96 kB, Win32u
WinTypes.dll, 0x728f0000, 888 kB, Windows Base Types DLL
AcLayers.dll, 0x6d580000, 2,51 MB, Windows Compatibility DLL
bcryptprimitives.dll, 0x761f0000, 368 kB, Windows Cryptographic Primitives Library
bcrypt.dll, 0x756c0000, 100 kB, Windows Cryptographic Primitives Library (Wow64)
sfc.dll, 0x66680000, 12 kB, Windows File Protection
sfc_os.dll, 0x74060000, 60 kB, Windows File Protection
KernelBase.dll, 0x77060000, 2,07 MB, Windows NT BASE API Client DLL
kernel32.dll, 0x773e0000, 960 kB, Windows NT BASE API Client DLL
msvcrt.dll, 0x75600000, 764 kB, Windows NT CRT DLL
ntmarta.dll, 0x75020000, 164 kB, Windows NT MARTA provider
wtsapi32.dll, 0x75330000, 60 kB, Windows Remote Desktop Session Host Server SDK APIs
setupapi.dll, 0x75780000, 4,2 MB, Windows Setup API
shell32.dll, 0x76670000, 5,66 MB, Windows Shell Common Dll
ws2_32.dll, 0x75f10000, 396 kB, Windows Socket 2.0 32-Bit DLL
winspool.drv, 0x74370000, 436 kB, Windows Spooler Driver
wow64win.dll, 0x7ffe9bd80000, 524 kB, Wow64 Console and Win32 API Logging
user32.dll, 0x764d0000, 1,57 MB, Çok Kullanıcılı Windows USER API İstemci DLL'si

RegAsm.exe
locale.nls, 0xd00000, 804 kB,
SortDefault.nls, 0x4f00000, 3,22 MB,
~FontCache-System.dat, 0x59c0000, 332 kB,
~FontCache-FontFace.dat, 0x5a40000, 16 MB,
StaticCache.dat, 0x7060000, 18,38 MB,
C_1252.NLS, 0x85c0000, 68 kB,
micross.ttf, 0x8820000, 856 kB,
~FontCache-S-1-5-21-3830711805-650563702-411321717-1001.dat, 0x8c10000, 8 MB,
TextShaping.dll, 0x733d0000, 592 kB,
TextInputFramework.dll, 0x72cf0000, 740 kB, "TextInputFramework.DYNLINK"
System.Windows.Forms.resources.dll, 0x8980000, 1,54 MB, .NET Framework
System.Windows.Forms.ni.dll, 0x5f4b0000, 14,41 MB, .NET Framework
System.Xml.ni.dll, 0x64010000, 7,45 MB, .NET Framework
System.Core.ni.dll, 0x64a30000, 8,09 MB, .NET Framework
System.ni.dll, 0x65ee0000, 10,33 MB, .NET Framework
System.Drawing.ni.dll, 0x690d0000, 1,64 MB, .NET Framework
advapi32.dll, 0x75e70000, 484 kB, Advanced Windows 32 Base API
wow64cpu.dll, 0x776b0000, 40 kB, AMD64 Wow64 CPU
amsi.dll, 0x73e40000, 64 kB, Anti-Malware Scan Interface
kernel.appcore.dll, 0x75010000, 60 kB, AppModel API Host
cryptbase.dll, 0x74040000, 40 kB, Base cryptographic API DLL
MpClient.dll, 0x675b0000, 768 kB, Client Interface
cfgmgr32.dll, 0x76080000, 236 kB, Configuration Manager DLL
cryptsp.dll, 0x740b0000, 76 kB, Cryptographic Service Provider API
diasymreader.dll, 0x66cb0000, 1,02 MB, Dia based SymReader
gdi32full.dll, 0x75d90000, 872 kB, GDI Client DLL
gdi32.dll, 0x77560000, 140 kB, GDI Client DLL
gpapi.dll, 0x74020000, 120 kB, Grup İlkesi İstemcisi API'si
sechost.dll, 0x76cd0000, 468 kB, Host for SCM/SDDL/LSA Lookup APIs
MpOAV.dll, 0x73dd0000, 432 kB, IOfficeAntiVirus Module
comctl32.dll, 0x6eea0000, 564 kB, Kullanıcı Deneyimi Denetimleri Kitaplığı
comctl32.dll, 0x75370000, 2,06 MB, Kullanıcı Deneyimi Denetimleri Kitaplığı
RegAsm.exe, 0x650000, 72 kB, Microsoft .NET Assembly Registration Utility
RegAsm.exe, 0xa30000, 2,44 MB, Microsoft .NET Assembly Registration Utility
clr.dll, 0x66dc0000, 7,69 MB, Microsoft .NET Runtime Common Language Runtime - WorkStation
mscoreei.dll, 0x699f0000, 564 kB, Microsoft .NET Runtime Execution Engine
mscoree.dll, 0x6b4e0000, 328 kB, Microsoft .NET Runtime Execution Engine
clrjit.dll, 0x69280000, 548 kB, Microsoft .NET Runtime Just-In-Time Compiler
mscorrc.dll, 0x82e0000, 412 kB, Microsoft .NET Çalışma Zamanı kaynakları
combase.dll, 0x76d50000, 2,5 MB, Microsoft COM for Windows
mscorlib.ni.dll, 0x60810000, 20,05 MB, Microsoft Common Language Runtime Class Library
CoreUIComponents.dll, 0x729d0000, 2,49 MB, Microsoft Core UI Components Dll
CoreMessaging.dll, 0x72c50000, 620 kB, Microsoft CoreMessaging Dll
DWrite.dll, 0x726e0000, 2,05 MB, Microsoft DirectX Typography Services
rsaenh.dll, 0x74080000, 188 kB, Microsoft Enhanced Cryptographic Provider
GdiPlus.dll, 0x74550000, 1,4 MB, Microsoft GDI+
ole32.dll, 0x772f0000, 908 kB, Microsoft OLE for Windows
mscorlib.resources.dll, 0x8b10000, 1 MB, Microsoft Ortak Dil Çalışma Zamanı Sınıf Kitaplığı
uxtheme.dll, 0x740d0000, 464 kB, Microsoft UxTheme Library
WindowsCodecs.dll, 0x72ff0000, 1,44 MB, Microsoft Windows Codecs Library
mswsock.dll, 0x74250000, 328 kB, Microsoft Windows Sockets 2.0 Service Provider
windows.storage.dll, 0x74a00000, 6,03 MB, Microsoft WinRT Storage API
ucrtbase_clr0400.dll, 0x69310000, 684 kB, Microsoft® C Runtime Library
vcruntime140_clr0400.dll, 0x6c110000, 80 kB, Microsoft® C Runtime Library
ucrtbase.dll, 0x75bc0000, 1,13 MB, Microsoft® C Runtime Library
msvcp_win.dll, 0x76fd0000, 492 kB, Microsoft® C Runtime Library
msctf.dll, 0x76110000, 844 kB, MSCTF Server DLL
imm32.dll, 0x77660000, 148 kB, Multi-User Windows IMM32 API Client DLL
mpr.dll, 0x74440000, 100 kB, Multiple Provider Router DLL
clrcompression.dll, 0x6b4c0000, 124 kB, Native data compression routines
winnlsres.dll.mui, 0x8800000, 76 kB, NLSBuild kaynak DLL
winnlsres.dll, 0x87f0000, 20 kB, NLSBuild resource DLL
ntdll.dll, 0x776c0000, 1,63 MB, NT Katmanı DLL’si
ntdll.dll, 0x7ffe9dd10000, 1,95 MB, NT Katmanı DLL’si
oleaut32.dll, 0x756e0000, 600 kB, OLEAUT32.DLL
rpcrt4.dll, 0x77590000, 744 kB, Remote Procedure Call Runtime
SHCore.dll, 0x76250000, 540 kB, SHCORE
shlwapi.dll, 0x760c0000, 276 kB, Shell Light-weight Utility Library
System.Configuration.ni.dll, 0x68fc0000, 1,02 MB, System.Configuration.dll
tv_w32.dll, 0x65a40000, 432 kB, TeamViewer
profapi.dll, 0x749b0000, 96 kB, User Profile Basic API
userenv.dll, 0x75340000, 148 kB, Userenv
apphelp.dll, 0x74460000, 636 kB, Uygulama Uyumluluğu İstemci Kitaplığı
version.dll, 0x75590000, 32 kB, Version Checking and File Installation Libraries
wow64.dll, 0x7ffe9be10000, 356 kB, Win32 Emulation on NT64
win32u.dll, 0x77690000, 96 kB, Win32u
WinTypes.dll, 0x728f0000, 888 kB, Windows Base Types DLL
AcLayers.dll, 0x6d580000, 2,51 MB, Windows Compatibility DLL
bcryptprimitives.dll, 0x761f0000, 368 kB, Windows Cryptographic Primitives Library
bcrypt.dll, 0x756c0000, 100 kB, Windows Cryptographic Primitives Library (Wow64)
sfc.dll, 0xca0000, 12 kB, Windows File Protection
sfc_os.dll, 0x74060000, 60 kB, Windows File Protection
wldp.dll, 0x749d0000, 140 kB, Windows Lockdown Policy
KernelBase.dll, 0x77060000, 2,07 MB, Windows NT BASE API Client DLL
kernel32.dll, 0x773e0000, 960 kB, Windows NT BASE API Client DLL
msvcrt.dll, 0x75600000, 764 kB, Windows NT CRT DLL
ntmarta.dll, 0x75020000, 164 kB, Windows NT MARTA provider
setupapi.dll, 0x75780000, 4,2 MB, Windows Setup API
shell32.dll, 0x76670000, 5,66 MB, Windows Shell Common Dll
ws2_32.dll, 0x75f10000, 396 kB, Windows Socket 2.0 32-Bit DLL
winspool.drv, 0x74370000, 436 kB, Windows Spooler Driver
wow64win.dll, 0x7ffe9bd80000, 524 kB, Wow64 Console and Win32 API Logging
user32.dll.mui, 0x8350000, 28 kB, Çok Kullanıcılı Windows USER API İstemci DLL'si
user32.dll, 0x764d0000, 1,57 MB, Çok Kullanıcılı Windows USER API İstemci DLL'si
 



Son olarakta any.run bilgileri burada kalsın. Programda discord kütüphanesine yada discord için yazılmış hiçbir uygulamaya rastlanmadı. Eğer bahsettiğiniz gibi bir işlem yapmış olsaydı xbot, kesinlikle Discord profilinizin Yetkilendirilmiş Uygulamalar kısmında bunu görürdünüz. Kaldı ki böyle birşey gerçekliğini varsayalım ancak size yukarıda anlattım böyle birşey yok yani xbot temiz. Eğer gerçek olsaydı ki xbot'u kullanan sayısız kullanıcı olduğunu varsayarsak yüzlerce ve hatta binlerce kullanıcı içerisinden sizin sunucunuzu yada usernamenizi bulmaları çok zor olacaktır. Üzgünüm, delil yetersizliğinden konu kapatılmıştır.


Eğer gerçek bir kanıtınız olursa özel mesaj yoluyla lütfen bize ulaşın.
 
Durum
Üzgünüz bu konu cevaplar için kapatılmıştır...

  Şuanda konuyu görüntüleyen kullanıcılar


Üst Alt