Generator.ryuu.lol análise de Site suspeito

O executável Windows V2 exato permanecia público. Era um arquivo GUI PE32+ de 7.267.328 bytes, novo SHA-256 e sem diretório de segurança Authenticode embutido. Os caminhos antigos tool.exe e RyuuManifestTool.exe retornaram 404; endpoints API de manifesto retornaram 401.

• Status HTTP 200
• Tipo MIME application/vnd.microsoft.portable-executable
• SHA-256 do arquivo aa53160cbf3eaab665f8d6c1efb8a49ccc194d9e513d8572a115d0bcf7d15e84
• Observação do analista PE Security Directory address and size were zero; no embedded Authenticode signature was present.

A página agora documenta abertamente hooks e loaders Steam, alterações de registro, PowerShell com bypass de execution policy, componentes criptografados de app-ticket e token, fluxos de ativação e outros componentes EXE e DLL. A divulgação melhorou, mas confirma funções de sistema de alto risco.

• Status HTTP 200
• Elemento da página The page documents Steam hooks, loaders, registry modification, and PowerShell execution-policy bypass.
• Elemento da página The page documents encrypted app-ticket, token-sharing, and activation components.

Sandboxes públicos continham arquivos históricos de outros caminhos e hashes, incluindo um MikeTool.exe antigo com comportamento stealer observado. Eles não são o hash V2 atual. Nenhum relatório público foi encontrado para SHA-256 aa53160cbf3eaab665f8d6c1efb8a49ccc194d9e513d8572a115d0bcf7d15e84.

• SHA-256 do arquivo 084dc7059e1e0c6638af3ec20f97222f48a2875193a6f42f37a90daa73791a32
• Observação do analista The historical malicious sample used a different path and hash from the current V2 executable.
• Observação do analista No object-level sandbox verdict for the current V2 SHA-256 was located.