Самый популярный чит, которому «доверяют тысячи». 300₽/день за стилер. Разбор
UniCore (unicore.cloud) — один из самых раскрученных читлв: Genshin,
HSR, ZZZ, WuWa, Marvel Rivals, Snowbreak и ещё полтора десятка игр, красивый
сайт, подписка, тысячи пользователей, «надёжная защита».
Вы платите 300 рублей в день. За эти деньги лаунчер в первые 90 секунд после запуска — до того, как вы кликнете хоть по одному продукту — выгружает на свой сервер:
- вашу почту и имя из git-конфига;
- ваш Steam (ID, ники, «запомнить пароль»);
- ваш Discord (ID, ник, аватар);
- токен стороннего аккаунта;
- ваш AnyDesk: контакты, права доступа, лицензию — комплект для полного доступа к вашему ПК;
- все Wi-Fi сети вокруг с BSSID (геолокация);
- список файлов, которые вы открывали в IDA;
- все проекты из истории Visual Studio;
- список всех ваших файлов на диске
- инвентарь установленного софта (включая другие читы);
- ~2 МБ дампов памяти системных модулей — по запросу сервера;
- возможность выкачать любой файл с вашего пк
- HWID с TPM Endorsement Key — навсегда.
Выглядит как «безобидная телеметрия», правда? BSSID соседских роутеров и AnyDesk-права очень нужны для статистики. А теперь по фактам.
1. «Просто телеметрия»
Так это выглядит в их коде: пакеты steam_account, disc_account,
anydesk_info, nvd_account, wifi_info, vs_history, ida_history.
Звучит невинно — «ну собирают чуть-чуть, у всех так».
Разница в деталях:
| Что слито | Зачем это им | Что это значит для вас |
|---|---|---|
| AnyDesk-конфиг: маппинг AnyDesk ID → права доступа, ростер контактов, лицензия, списки приглашений | ? | это не данные об игре — это комплект для удалённого управления вашим ПК. Кто получил профиль AnyDesk и права — тот получил путь к вашей машине. |
| Wi-Fi BSSID | геопривязка | ваше физическое местоположение с точностью до дома |
ida_history | палево реверсеров | список ваших файлов в IDA |
vs_history | досье | все ваши проекты и папки с датами |
| Дампы памяти ntdll/kernel32/advapi32/user32 | анти-хук | образ вашей системы в их базе |
Ни одна из этих строк не нужна читу для работы. Это не статистика, это досье. Переключателя телеметрии в UI нет.
2. «По запросу» — это буквально
Самое интересное даже не то, что они собирают, а как: это не односторонний слив, а управляемый с сервера канал.
Смотрим расшифрованный обмен:
- лаунчер шлёт «опрос»;
- сервер отвечает списком:
ntdll.dll,kernel32.dll,advapi32.dll,user32.dll— любой список, какой захочет; - лаунчер молча снимает дампы памяти этих модулей (в наблюдавшейся
сессии: 108 и 119 регионов, 993 232 и 1 014 792 байта, базы вида
0x7FF8...) и выгружает ~2 МБ; - сервер отвечает пустым ack — приём подтверждён — и присылает обратно два PE-файла (569 344 и 577 536 байт), упакованных под состояние вашей машины.
Т.е. протокол умеет: сервер называет имя → клиент отдаёт содержимое.
В наблюдавшейся сессии это была память модулей. Архитектурно тот же
механизм — выгрузка по команде: список ваших файлов на диске они уже
получили (ida_history, помечено file), запрос содержимого ничем
не отличается от запроса списка модулей. Клиент, который по команде
сервера отдаёт куски чужих ПК, называется бэкдором, как его ни
называй в маркетинге.
3. Кто они вообще
unicore.cloud/dash.unicore.cloud— Cloudflare-фронт;- клиентский протокол: голый IP
51.222.31.217:3333=vps-f2fc0768.vps.ovh.ca, OVH Канада. Без DNS и SNI — чтобы не светилось и не блочилось; - TG
@unicore_cloud; - каталог: mi-genshin-impact, mi-zzz, mi-honkai-starrail, kuro-wuthering, hg-arknights-endfield, ne-marvel-rivals, asg-snowbreak, ne-identity-v, rs-gta-fivem/ragemp, ps-aniimo, ps-duet-night-abyss, nm-mongil-stardive, nm-tsds-origin, xd-etheria-restart (+ cs2, ow2, wuwa, hs-nte, ne-ananta, nexon-azur-promilia в свежем билде).
4. Про их «протект», который не протект
WinLicense поверх всего, VM-обфускация, RC4-оверлей, «свой криптографический слой». Итог одного вечера:
| Их «секрет» | Реальность |
|---|---|
| WinLicense VM | NRv2E-стаб эмулируется Unicorn’ом, арена дампится, секции снимаются с живого процесса |
ecin-оверлей с RC4 | 4-байтовый ключ брутфорсится за минуты — плейнтекст обязан начинаться с MZ |
| «XOR-шифрование» | Salsa20, ключ выводится LCG’ом x*0x41C64E6D+0xCEAD из 32-битного seed — glibc-рандом 90-х |
| «сессионные ключи» | seed’ы лежат на сетке base + k*0x100, продолжаются между запусками, полное пространство перебирается за минуту на домашнем CPU |
| «протокол не восстановят» | 24-байтовый заголовок '<iIIIII', маркер -2, +12 тип, +16 корреляция, +20 subtype; тела: FlatBuffers → zlib(9) → XOR → TLS |
Вишенка: в их кейгенераторе в ассемблере стоит множитель 0x01C64E6D
вместо 0x41C64E6D — кодер потерял нибл, и никто не заметил. По модулю
2^32 это тот же результат. Уровень криптографов — виден сразу.
После снятия протекта весь обмен с C2 читается и воспроизводится офлайн, побайтово, скриптом на Python.
5. Хронология слива (одна сессия, ноль действий пользователя)
| t, сек | Что улетело |
|---|---|
| ~5 | Wi-Fi + BSSID (43 КБ) |
| ~15 | ida_history — файлы из IDA |
| ~18 | токен nvd_account |
| ~21 | Steam loginusers |
| ~24 | gitconfig (имя, почта) |
| ~27 | AnyDesk-конфиг (10 КБ) |
| ~30 | vs_history (21 КБ) |
| ~33 | инвентарь ПО + другие читы (34 КБ) |
| ~36 | Discord-аккаунт |
| ~40 | дамп памяти модулей #1 (993 232 Б, по запросу сервера) |
| ~75 | дамп памяти модулей #2 (1 014 792 Б) |
| — | HWID: PCI, UEFI GUID, MachineGuid, TPM EK |
Сервер хранит это привязанным к аккаунту и HWID, а после ре-логина спокойно возвращает привязанный e-mail. Склад досье, а не телеметрия.
6. Если вы их клиент
С момента первого запуска считайте скомпрометированными:
- почту из git-конфига;
- Steam (смена пароля, выход сессий);
- Discord (выход сессий);
- AnyDesk — пересоздать профиль, пересмотреть контакты и права;
- сторонний аккаунт с утёкшим токеном;
- саму машину: дампы памяти и HWID уже у них; они знают, какие ещё читы у вас стоят и реверсили ли вы их лоадер.
Дальше — чистая ВМ, файрвол «только 51.222.31.217:3333»… или
просто не платить стилеру 300₽ в день.
7. Пруфы
Всё воспроизводится офлайн, без доступа к их серверу:
- XOR-слой: seed → LCG → Salsa20; эталон: keystream(0x02CFC000)[:8] =
6d505bc9b45d82ca; реализация ~50 строк; - словарь типов сообщений из полного decode сессии (
0xFCEB329D— WiFi,0x1AD9AE2B— «сбор данных»,0x423433E2— дампы по запросу, …); - SHA256 слитых пакетов — в комплекте;
- инструменты decode/брутфорса — в комплекте.
P.S. для UniCore
Вы продаете «надежность и защиту», а сами:
- кормите клиентов стилером за их же деньги;
- храните досье: почта, Steam, Discord, AnyDesk, геолокация, HWID;
- умеете по команде выгружать куски чужих ПК;
- уже знаете из
ida_history, что этот разбор будет.
Менеджер по репутации у вас теперь — я. Работаем.
Личные данные в этот текст не тащу. Всё остальное — протокол, типы пакетов, дампы и инструменты — лежит рядом. UniCore, ваш ход.