CHANGELOG


-------------------
| Версия m0yv 1.1 |  // 15.01.2022 - 19.01.2022
-------------------

Фиксы:

* Краш при попытки заразить файл в котором точка входа указывает в виртуальные пустоты после секции за физические пределы
* Краш при попытки заразить файл с нулевым размером кодовой секции внутрь виртуального пространства которой указывает точка входа

Изменения ядер:
* Счетчик распространения между компьютерами: создана переменная в расширенной информации капсида, отслеживающая количество первичных запусков
    Таким образом осуществляется мониторинг какое количество раз в цепочке распространения m0yv был запущен первый раз на компьютере
    Отправляется в сессионной информации в переменной propctr
* Отправка версии m0yv в сессионной информации 
* Антипесочница при первом попадании в систему на базе задержки запуска с балльной системой: за каждый дополнительный балл свыше дефолтного задержка в 100 секунд
    При дефолтном балле задерживает запуск в 2.1 секунду
    +1 балл при наличии нехарактерных для реальных машин графических устройств
    Проверяет, что задержка не была перехвачена песочницей через создание потока с Sleep в 1 час, и WaitForSingleObject на время задержки с проверкой WAIT_TIMEOUT
    Содержит белый список для пропуска анти-песочных проверок: запуск по пути начинающемуся с \\ или с DRIVE_REMOVABLE / DRIVE_NETWORK
* Добавлен секретный пул DGA: работает как теневая сторона основного пула: переключение сторон происходит каждые 512 резолвов доменов
    секретный пул в отличие от основного зависит от времени: генерируемые домены различны каждые 6-8 дней
* При обходе служб исключение из заражения при наличии в пути dllhost

Изменения загрузчиков:
* +1 слой шифрования: шифрование ядер m0yv внутри капсида, расшифровывая в шеллкод загрузчиках с фальшивым декриптором для облома эмуляции
    Используется кастомный xor-based шифр с ключем в 32 байта, добавлено соответствующее поле для ключа в капсид
* Антиэмуляция на основе проверки файла (некоторые эмуляторы при попытке открыть несуществующий файл подсовывают ему якобы он есть)
* Антиэмуляция Windows Defender через попытку импорта по хэшу kernel32!MpReportEventEx
* Антиэмуляция Windows Defender через проверку существования C:\mirc\mirc.ini
