Generator.ryuu.lol análisis de Sitio web sospechoso

El ejecutable V2 exacto seguía disponible públicamente. Era un archivo GUI PE32+ de 7.267.328 bytes, con SHA-256 nuevo y sin directorio de seguridad Authenticode integrado. Las rutas anteriores tool.exe y RyuuManifestTool.exe devolvieron 404; los endpoints API de manifiestos devolvieron 401.

• Estado HTTP 200
• Tipo MIME application/vnd.microsoft.portable-executable
• SHA-256 del archivo aa53160cbf3eaab665f8d6c1efb8a49ccc194d9e513d8572a115d0bcf7d15e84
• Observación del analista PE Security Directory address and size were zero; no embedded Authenticode signature was present.

La página ahora documenta abiertamente hooks y loaders de Steam, cambios de registro, PowerShell con bypass de execution policy, componentes cifrados de app-ticket y tokens, flujos de activación y más componentes EXE y DLL. Mejora la divulgación, pero confirma funciones de sistema de alto riesgo.

• Estado HTTP 200
• Elemento de página The page documents Steam hooks, loaders, registry modification, and PowerShell execution-policy bypass.
• Elemento de página The page documents encrypted app-ticket, token-sharing, and activation components.

Los sandboxes públicos contenían archivos históricos de otras rutas y hashes, incluido un MikeTool.exe antiguo con comportamiento stealer observado. No son el hash V2 actual. No se encontró informe público para SHA-256 aa53160cbf3eaab665f8d6c1efb8a49ccc194d9e513d8572a115d0bcf7d15e84.

• SHA-256 del archivo 084dc7059e1e0c6638af3ec20f97222f48a2875193a6f42f37a90daa73791a32
• Observación del analista The historical malicious sample used a different path and hash from the current V2 executable.
• Observación del analista No object-level sandbox verdict for the current V2 SHA-256 was located.