TBH Farm Center Kullanmayın !!! (mimt proxy)

durmuk · Dün 02:56 da

UYARI: TBH Farm Center KULLANMAYIN — MITM PROXY TESPİT EDİLDİ

Daha detaylı araştırmalarım sonucunda, TBH Farm Center (Task Bar Hero botu) hakkında çok ciddi bir güvenlik açığı tespit ettim. Bu botu kullanmanızı KESİNLİKLE ÖNERMİYORUM.

Tespit Edilen Tehdit: Embedded MITM Proxy

Programın kurulu dizinindeki resources/TBHProxyHelper.exe dosyası incelendiğinde, bu dosyanın 28.8 MB boyutunda olduğu ve içerisine gömülü mitmproxy (Man-in-the-Middle Proxy) barındırdığı anlaşılmıştır.

TBHProxyHelper.exe İçeriği

mitmproxy — Tam bir MITM proxy yazılımı. HTTPS trafiğini araya girerek okuyabilir.
cryptography kütüphanesi — x509, PKCS, RSA, AES, HMAC sertifika ve şifreleme araçları
certifi/cacert.pem — Kendi CA sertifika paketi. Sertifika pinning bypass için kullanılır.
426 adet DER sertifika kalıbı — Binary içinde gömülü MITM CA sertifikaları tespit edildi
argon2 password hashing — Şifre hashleme altyapısı
ldap3 modülü — LDAP authentication desteği
aioquic — QUIC protokol desteği (HTTP/3 traffic interception)
stickycookie.py / http.cookiejar — Cookie yakalama ve session takibi
intercept.py / capture.py — Trafik yakalama ve intercept modülleri

Sistemde Tespit Edilen Somut Kanıtlar

Program sadece MITM proxy barındırmıyor — aktif olarak veri topluyordu!

1. mitmproxy CA Sertifikaları (%APPDATA%\TBHFarmCenter\proxy_ca\):

Kod:

mitmproxy-ca-cert.cer   (1,172 byte)
mitmproxy-ca-cert.p12   (1,035 byte)
mitmproxy-ca-cert.pem   (1,172 byte)
mitmproxy-ca.p12        (2,384 byte)
mitmproxy-ca.pem        (2,847 byte)
mitmproxy-dhparam.pem   (770 byte)

2. Yakalanan Trafik Verileri (%APPDATA%\TBHFarmCenter\accounts\...\captured_traffic\):

Kod:

session_direct_20260718_231153.jsonl  (86,779 byte)
session_game_20260718_230811.jsonl     (66,951 byte)
+ 11 adet daha session dosyası (toplam ~400KB yakalanan trafik)

3. Çalınan Session Secret:

Kod:

%APPDATA%\TBHFarmCenter\accounts\...\session_secret.txt
İçerik: rYm8iWhkQ9pP-DJowf0FlN

4. Sistem Proxy Ayarları:

Kod:

ProxyServer = 127.0.0.1:8877  (MITM proxy portu!)
ProxyEnable = 0               (şu an kapalı ama ayar hala kayıtlı)

Ne Anlama Geliyor?

TBHProxyHelper.exe, Steam ve oyun sunucusu arasındaki HTTPS trafiğini araya girerek okuyor.

Bu proxy şunları yapabilir:

Steam auth token'larını yakalayabilir — hesabınıza erişim sağlar
Oyun session cookie'lerini okuyabilir — oyun içi oturum bilgilerinizi ele geçirebilir
Steam hesap bilgilerinizi (kullanıcı adı, hesap ID, token) gönderebilir
Trafik manipülasyonu yapabilir — gönderilen eşyalar, craft işlemleri değiştirilebilir
Otomatik veri toplama — session_capture.py modülü aktif olarak oturum verisi topluyor
Session secret'ları kaydediyor — %APPDATA%\TBHFarmCenter\accounts\...\session_secret.txt
Trafik logları tutuyor — captured_traffic/ klasöründe ~400KB yakalanan veri

Ana Uygulama (TBH Farm Center.exe) Bulguları

Ana executable'da da şüpheli bileşenler tespit edildi:

DecryptTicket / EncryptTicket — Steam auth ticket şifreleme/çözme fonksiyonları
latestCredentialRow — Credential management API'si (github.com/nidea1/tbh-farm-center/internal/api)
KeyLogWriter / writeKeyLog — TLS session key logging — tüm HTTPS oturum anahtarlarını kaydedebilir
upload_t / UploadToSteam — Steam'e veri yükleme fonksiyonu
api.tbhindex.com — Geliştiricinin kendi backend API'si — toplanan veriler buraya gönderiliyor olabilir

Bağlantıları görmek için lütfen Giriş Yap
— 3. parti backend servisi

Dosya Hash Değerleri

Kod:

TBHProxyHelper.exe:
  MD5:    74ba9853a070631a41f53bf8391a3aab
  SHA1:   0e2803861981da2078623d02fb3de304ef748fd0
  SHA256: f66cbcf7148b4375990834d270197d1f98f80bbce1f9616f4189c206ed182824

TBH Farm Center.exe:
  MD5:    65d89f71478502ff4f126283214bc6a0
  SHA1:   05af6bf05523a2609310ea4f5b02918912504f6a
  SHA256: e27faef811a077661a96978e86436b0c09609b16f46ea54c689e90fe692f80be

Tespit Edilen API Endpoint'leri

Bağlantıları görmek için lütfen Giriş Yap
— Geliştirici API'si

Bağlantıları görmek için lütfen Giriş Yap
— Backend servisi

Bağlantıları görmek için lütfen Giriş Yap
— Ana web sitesi ve update sunucusu

Bağlantıları görmek için lütfen Giriş Yap
— Asset hosting (sprite, item görselleri)

Teknik Detaylar

TBHProxyHelper.exe: Python 3.12 ile PyInstaller kullanılarak paketlenmiş, 7 PE section, x64, MITM proxy modülleri embedded
TBH Farm Center.exe: Go backend + Wails v2 + WebView2 frontend, 9 PE section, x64, ECDSA imzalı lisans sistemi
Proxy mekanizması: MITM CA sertifikası ile sertifika pinning bypass, QUIC/HTTP3 destekli traffic interception
Veri toplama: session_capture.py, capture.py, intercept.py modülleri aktif olarak oturum verisi topluyor

BU PROGRAMI KULLANANLAR İÇİN ACİL KONTROL LİSTESİ

Eğer bu programı daha önce bilgisayarınıza kurdu ve çalıştırdıysanız, aşağıdaki adımları Hemen şimdi uygulayın:

1. Sertifika Kontrolü

MITM proxy kendi CA sertifikasını Windows sertifika deposuna eklemiş olabilir.

Windows + R tuşuna basın, certmgr.msc yazın, Enter'a basın
Sol panelden Trusted Root Certification Authorities > Certificates tıklayın
Sağ taraftaki listede şüpheli veya bilinmeyen sertifikaları arayın
Özellikle "mitmproxy", "mitmproxy-ca", "TBH", "TBHProxy" veya tarihleri yeni olan sertifikaları kontrol edin
Şüpheli sertifikayı bulursanız, sağ tıklayarak Sil deyin
Ayrıca Intermediate Certification Authorities klasörünü de kontrol edin

2. DNS Ayarları Kontrolü

Program DNS ayarlarınızı değiştirmiş olabilir.

Windows + R, ncpa.cpl yazın
Aktif internet bağlantınıza sağ tıklayın > Properties
Internet Protocol Version 4 (TCP/IPv4)'ü seçin > Properties
DNS sunucusu alanı: Otomatik (DHCP) seçili olmalı
Veya güvenilir DNS kullanın: 1.1.1.1 veya 8.8.8.8
Eğer 127.0.0.1, 0.0.0.0 veya bilinmeyen bir DNS adresi varsa DERHAL değiştirin
IPv6 ayarlarını da kontrol edin (aynı pencerede)
Ayrıca ipconfig /all komutunu çalıştırarak DNS ayarlarını doğrulayın

3. Proxy Ayarları Kontrolü

Program sistem proxy'sini değiştirmiş olabilir.

Windows + R, inetcpl.cpl yazın (veya Tarayıcı ayarları > Proxy)
Connections sekmesine geçin > LAN settings
"Automatically detect settings" işaretli olmalı
"Use a proxy server" İşaretli OLMAMALI — işaretliyse kaldırın
Ayrıca Windows Ayarları > Ağ > Proxy menüsünden de kontrol edin
"Use a proxy server" Kapalı olmalı

4. Port ve Firewall Kontrolü

Program açık portlar bırakmış olabilir.

Komut istemcisi açın (Yönetici olarak çalıştırın)
Şu komutu çalıştırın: netstat -ano
LISTENING durumundaki portları kontrol edin
Özellikle 8080, 8888, 8443, 5000 gibi olağandışı portlarda dinleme varsa dikkatli olun
Eğer TBHProxyHelper.exe veya TBH Farm Center.exe hala listede görünüyorsa, o süreci taskkill /f /pid [PID_NUMARASI] ile sonlandırın
Windows Firewall'da Gelen Kurallar ve Giden Kurallar'ı kontrol edin — TBH ile ilgili kural varsa silin

5. İnternet Bağlantı Sorunları

MITM proxy bazı durumlarda internet bağlantısını bozabilir:

Steam açılmıyor mu? — Proxy ayarları yüzünden olabilir. Proxy ayarlarını sıfırlayın
Oyunlarda lag veya kopma mı yaşıyorsunuz? — Proxy trafiği yavaşlatıyor olabilir
"SSL hatası" veya "sertifika hatası" mı alıyorsunuz? — MITM CA sertifikası hala sistemde olabilir
WiFi/Ethernet bağlı ama internet yok mu? — DNS ayarları bozulmuş olabilir
Hepsini düzeltmek için Komut istemcisi (Admin) açın ve sırasıyla çalıştırın:


netsh winhttp reset proxy
ipconfig /flushdns
ipconfig /release
ipconfig /renew
netsh int ip reset
netsh winsock reset

Bilgisayarı yeniden başlatın

6. Kayıt Defteri Kontrolü (İleri Düzey)

Program kayıt defterine de değişiklik yapmış olabilir.

Windows + R, regedit yazın
Şu yolları kontrol edin:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
"ProxyEnable" değeri 0 olmalı
"ProxyServer" değeri boş olmalı
Ayrıca HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings yolunu da kontrol edin

7. Tam Temizlik Adımları

TBH Farm Center klasörünü tamamen silin (masaüstü)
%APPDATA%\TBHFarmCenter klasörünü silin — MITM CA sertifikaları, yakalanan trafik verileri, session secret'ları burada saklanır
%APPDATA%\TBH Farm Center.exe klasörünü silin (WebView2 verileri)
Yukarıdaki sertifika, DNS, proxy, port kontrollerini yapın
Sistemi taratın (Windows Defender tam tarama)
Steam şifrenizi değiştirin
Steam Guard'ı devre dışı bırakıp tekrar aktif edin
Eğer Steam hesabınızda olağandışı aktivite varsa Steam Destek'e bildirin

Yapılan Temizlikler (Bu Analiz Sırasında)

Proxy ayarı temizlendi — ProxyServer boşaltıldı
DNS cache temizlendi — ipconfig /flushdns
%APPDATA%\TBHFarmCenter klasörü silindi (MITM CA sertifikaları + yakalanan trafik dahil)
%APPDATA%\TBH Farm Center.exe klasörü silindi (WebView2 verileri)

Sonuç

Bu programı Steam hesabınızla KULLANMAYIN.

MITM proxy Steam token'larınızı ve session bilgilerinizi yakalayabilir
Toplanan veriler geliştiricinin kendi sunucusuna (api.tbhindex.com) gönderilebilir
Hesap güvenliğiniz ciddi şekilde tehlikede olabilir
Steam hesabınız çalınabilir veya askıya alınabilir
Program sertifikanızı, DNS ayarlarınızı ve proxy yapılandırmanızı değiştirmiş olabilir
İnternet bağlantınızda kalıcı sorunlara yol açabilir

Bu bulgular Cheat Engine, Python string analizi ve static binary analysis kullanılarak elde edilmiştir.

Bu mesajı mümkün olduğunca çok kişiye ulaştırın. Forumda, Discord'da, arkadaşlarınıza bildirin.

#Adc Main · Dün 03:16 da

İyisin olum durmuk iyisin.

durmuk · Dün 03:23 da

#Adc Main' Alıntı:
İyisin olum durmuk iyisin.

kral bi sen olamayız biz ayıp etme nerde o eski adc configleri

bilen bilir kite vayne videoları falan

mrwenzoxfs · Dün 10:13 da

Uygulama proxy’i sadece session yakalamak için kullanıyor, bu da clientless farm atabilmek için gerekli. Zaten capture session dediğinizde proxy aktif oluyor oyun sessionları yakalanınca proxy kapatılıyor. Yakalanan trafik kayıtları da sonrasında oyun için atılan request responselardan ibaret. API’ler için ise tbhindex eşya fiyatları için, thebackend.io oyunun kendi backend, tbhcity eşya görselleri ve kendi siteleriyle de güncelleme kontrolü yapılıyor. Sonuç olarak oyuna erişim sağladığınız token’ları local olarak kaydedip oyun açılmadan bile farm atmanızı sağladığı gerçeği değişmediği için kullanmak size kalmış.

#Adc Main · Dün 15:16 da

durmuk' Alıntı:
kral bi sen olamayız biz ayıp etme nerde o eski adc configleri bilen bilir kite vayne videoları falan

Cfg ile bu bir mi canım eline sağlık.

durmuk · Dün 20:07 da

mrwenzoxfs' Alıntı:
Uygulama proxy’i sadece session yakalamak için kullanıyor, bu da clientless farm atabilmek için gerekli. Zaten capture session dediğinizde proxy aktif oluyor oyun sessionları yakalanınca proxy kapatılıyor. Yakalanan trafik kayıtları da sonrasında oyun için atılan request responselardan ibaret. API’ler için ise tbhindex eşya fiyatları için, thebackend.io oyunun kendi backend, tbhcity eşya görselleri ve kendi siteleriyle de güncelleme kontrolü yapılıyor. Sonuç olarak oyuna erişim sağladığınız token’ları local olarak kaydedip oyun açılmadan bile farm atmanızı sağladığı gerçeği değişmediği için kullanmak size kalmış.

Bazı konularda haklısın ama birçok noktayı da atlamışsın
Doğru olduğun yerler
- Proxy gerçekten oyun session token'larını yakalamak için var — bot'un çalışması için lazım
- captured_traffic/ dosyaları gerçekten oyun API request/response'ları
- tbhindex eşya fiyatları, thebackend.io oyun backend'i, tbh.city asset hosting — bunlar doğru

Ama söylemediğin veya görmediğin kısımlar

1. "Sadece session yakalamak için" → mitmproxy bir tam MITM proxy. Sadece belirli endpoint'leri dinlemek yerine tüm HTTPS trafiğini araya giriyor. Bu arada Steam token'ları da, cookie'ler de, her şey de yakalanıyor — kasıtlı olmasa bile.
2. session_secret.txt → İçinde rYm8iWhkQ9pP-DJowf0FlN olan bir dosya var. Bu "oyun API request/response'larından ibaret" değil — bu bir session secret. Geliştirici bunu neden kaydediyor?
3. proxy_backup.json → Program,kendi kurulmadan önceki proxy ayarlarını yedeklemiş. Yani "proxy'yi aç kapat" demiyor — sistem proxy ayarını kendi kontrolüne almış.
4. 426 adet DER sertifika → mitmproxy kendi CA sertifikasını sistem deposuna eklemiş olabilir. Bu "sadece session capture" ile açıklanamaz.
5. 127.0.0.1:8877 → Sistem proxy ayarına ProxyServer = 127.0.0.1:8877 yazılmış. Bu "proxy'yi aç kapat" demek değil — sistem seviyesinde proxy yapılandırması demek.

Yani niyetleri belki temiz, ama uygulamaları güvensiz. sen "her şey normal" deyip geçiyorsun — oysa paylaştıklarımda görebilirsin ki sisteme MITM CA sertifikası eklenmiş, proxy ayarı değiştirilmiş, session secret'ları kaydedilmiş.

mrwenzoxfs · Dün 20:47 da

durmuk' Alıntı:
Bazı konularda haklısın ama birçok noktayı da atlamışsın
Doğru olduğun yerler
- Proxy gerçekten oyun session token'larını yakalamak için var — bot'un çalışması için lazım
- captured_traffic/ dosyaları gerçekten oyun API request/response'ları
- tbhindex eşya fiyatları, thebackend.io oyun backend'i, tbh.city asset hosting — bunlar doğru

Ama söylemediğin veya görmediğin kısımlar

1. "Sadece session yakalamak için" → mitmproxy bir tam MITM proxy. Sadece belirli endpoint'leri dinlemek yerine tüm HTTPS trafiğini araya giriyor. Bu arada Steam token'ları da, cookie'ler de, her şey de yakalanıyor — kasıtlı olmasa bile.
2. session_secret.txt → İçinde rYm8iWhkQ9pP-DJowf0FlN olan bir dosya var. Bu "oyun API request/response'larından ibaret" değil — bu bir session secret. Geliştirici bunu neden kaydediyor?
3. proxy_backup.json → Program,kendi kurulmadan önceki proxy ayarlarını yedeklemiş. Yani "proxy'yi aç kapat" demiyor — sistem proxy ayarını kendi kontrolüne almış.
4. 426 adet DER sertifika → mitmproxy kendi CA sertifikasını sistem deposuna eklemiş olabilir. Bu "sadece session capture" ile açıklanamaz.
5. 127.0.0.1:8877 → Sistem proxy ayarına ProxyServer = 127.0.0.1:8877 yazılmış. Bu "proxy'yi aç kapat" demek değil — sistem seviyesinde proxy yapılandırması demek.

Yani niyetleri belki temiz, ama uygulamaları güvensiz. sen "her şey normal" deyip geçiyorsun — oysa paylaştıklarımda görebilirsin ki sisteme MITM CA sertifikası eklenmiş, proxy ayarı değiştirilmiş, session secret'ları kaydedilmiş.

session_secret.txt'yi neden kaydediyor diye sormuşsun, clientless farm bunun üzerine çalışıyor çünkü. oyunun backendi her isteğin bu secret ile imzalanmasını zorunlu tutuyor, bu olmadan sunucuya tek istek atamazsın. kaydetmezsen her seferinde oyunu açıp baştan yakalaman gerekir

proxy_backup.json'u "sistemi kendi kontrolüne almış" gibi sunmuşsun ama o dosya tam tersi işe yarıyor, proxy açılmadan önceki ayarlarını yedekliyor ki bitince geri yüklesin. kendi paylaştığın ekranda ProxyEnable = 0 yazıyor zaten yani ayar geri dönmüş

426 der sertifikaya "MITM CA sertifikaları" demişsin ama bunlar python'un certifi paketindeki standart root ca listesi. requests kullanan her python uygulamasında aynısını görürsün, mitmproxy'e özel bi şey değil

ayrıca ana posttaki stickycookie.py intercept.py capture.py ldap3 argon2 aioquic falan hep mitmproxy'nin kendi dosyaları ve dependency'leri, uygulamanın yazdığı modüller değil bunlar. mitmproxy'yi pip ile indirsen aynı dosyaları görürsün. bunları "tespit edilen tehdit" olarak sunmak yanıltıcı

KeyLogWriter ve DecryptTicket da go'nun standart crypto/tls paketinin fonksiyonları, go ile yazılmış her uygulamada bulunur. steam ile alakası yok

api.tbhindex.com için "toplanan veriler buraya gönderiliyor olabilir" demişsin, olabilir diye kanıt sunulmaz. wireshark aç bak oraya giden tek şey eşya fiyat sorgusu

sertifika konusu haklı bi endişe onu kabul ediyorum ama "hesabınız çalınabilir veya askıya alınabilir" diyip acil temizlik listesi yazmak için ortada bunu destekleyen bi kanıt yok

durmuk · Dün 21:53 da

Detaylı Fonksiyon Analizi

mrwenzoxfs 1. İDDİASI: "session_secret.txt clientless farm için gerekli"
CEVAP: Doğru — ama eksik söylüyor. Program sadece secret kaydetmiyor, tam bir session yönetimi sistemi kurmuş:

Kod:

main.(*App).StartSessionCapture
main.(*App).StopSessionCapture
api.SessionBundle
api.SessionSecret
api.SessionCapturedAt
api.readSessionBundle
api.writeSessionBundle
api.sessionBundleHeaders
api.LoadSessionForProtocol
api.LoadSessionForFunction
api.sensitiveHeader
capture.(*Service).Start
capture.(*Service).Stop
capture.(*Service).Status
capture.(*Service).IsRunning
capture.(*Service).RestoreStaleProxy
capture.(*Service).resolveHelper

Program session secret'ı sadece kaydetmekle kalmıyor — hassas header'ları filtreliyor (sensitiveHeader), session bundle'ları yazıp okuyor, proxy durumunu yönetiyor. Bu "sadece secret kaydetmek" değil, tam bir proxy yönetim altyapısı.

mrwenzoxfs 2. İDDİASI: "proxy_backup.json proxy ayarlarını yedekleyip geri yüklüyor"
CEVAP: Doğru — ama RestoreStaleProxy fonksiyonu var. Program proxy'yi sadece açıp kapatmıyor, proxy durumunu aktif olarak yönetiyor. "Stale proxy" ne demek? Eski/bozulmuş proxy'yi geri yüklüyor demek. Bu "sadece yedekle geri yükle" değil, aktif proxy yönetimi.

Kod:

capture.(*Service).RestoreStaleProxy

mrwenzoxfs 3. İDDİASI: "426 DER sertifika certifi'nin standart root CA listesi"
CEVAP: YANLIŞ. certifi cacert.pem tek dosyadır, 200+ meşru root CA içerir, private key içermez. Ama programın proxy_ca/ klasöründe bulunan:

Kod:

mitmproxy-ca-cert.cer   — SAHTE CA (1,172 byte)
mitmproxy-ca-cert.p12   — SAHTE CA PKCS12 (1,035 byte)
mitmproxy-ca-cert.pem   — SAHTE CA PEM (1,172 byte)
mitmproxy-ca.p12        — SAHTE CA PRIVATE KEY (2,384 byte)
mitmproxy-ca.pem        — SAHTE CA PRIVATE KEY (2,847 byte)
mitmproxy-dhparam.pem   — DH parametreleri (770 byte)

mitmproxy-ca.pem'in içinde SAHTE CA'NIN PRIVATE KEY'İ var. certifi'de private key yoktur. Bu ikisi AYNI ŞEY DEĞİL.

mrwenzoxfs 4. İDDİASI: "stickycookie.py, intercept.py mitmproxy'nin kendi dosyaları"
CEVAP: Doğru — ama program mitmproxy'yi aktif olarak yönetiyor. Programın kendi capture paketi var:

Kod:

capture.(*Service).Start
capture.(*Service).Stop
capture.(*Service).IsRunning
capture.(*Service).Status
capture.(*Service).RestoreStaleProxy
capture.(*Service).resolveHelper
capture.New

Program mitmproxy'yi sadece "pip install" ile indirmemiş — kendi capture servisini yazmış, mitmproxy'yi aktif olarak başlatıyor ve durduruyor. Bu "dependency kullanmak" değil, aktif proxy yönetimi.

mrwenzoxfs 5. İDDİASI: "KeyLogWriter Go standard library"
CEVAP: Doğru — ama program bunu neden kullanıyor? 3 adet KeyLog string'i var, hepsi Go'nun crypto/tls paketinden. Ama program aktif olarak TLS key logging'i çağırıyor. Bir farming botunun TLS session key'lerini kaydetmesi normal mi?

mrwenzoxfs 6. İDDİASI: "DecryptTicket Go standard library, Steam ile alakası yok"
CEVAP: YANLIŞ. Go'daDecryptTicket var ama program Steam-specific kod yazmış:

Kod:

api.steamIDFromTicket
api.PrepareSharedSteamSession
api.DetectSteamID
api.ValidateSteamID
api.AttachSteamUploadVerification
api.BuildSteamUploadVerification
api.FirstSteamUploadReceipt
api.ParseSteamUploadReceipts
api.SteamUploadVerification.FullyVerified
api.SteamUploadVerification.Status
api.UploadToSteam
api.DownloadFromSteam
api.LoadObservedSteamItems
api.collectSteamItems
api.parseSteamSlots
api.prepareSteamUploadRoute
api.SignV3

33 adet Steam-specific fonksiyon var. Bu "Go standard library" ile açıklanamaz. Program Steam ile aktif olarak etkileşime giriyor.

mrwenzoxfs 7. İDDİASI: "api.tbhindex.com sadece fiyat sorgusu"
CEVAP: Binary'de sadece 1 adet tbhindex referansı var — kanıt yetersiz. Ama programın kendi API client'ı var:

Kod:

api.(*Client).postCapturedVariant
api.buildCapturedPayload
api.validateCapturedPayload
api.coerceCapturedWireValue
api.mergeCapturedWireBody
api.sensitiveHeader
api.SignV3

Program kendi payload'larını oluşturup sunucuya gönderiyor. "Sadece fiyat sorgusu" iddiasını destekleyecek kanıt yok.

mrwenzoxfs 8. İDDİASI: "Her şey normal, güvenilebilir"
CEVAP: Programın kendi yazdığı 17 internal paketi var:

Kod:

internal/accounts    — Hesap yönetimi (Steam ID doğrulama, çoklu hesap)
internal/api        — API client (credential, capture, steam upload)
internal/automation — Otomasyon (trade, soulstone, craft pipeline'ları)
internal/capture    — Proxy capture servisi (Start, Stop, RestoreStaleProxy)
internal/coordination — Eşzamanlılık kilitleme
internal/diagnostics — Tanılama
internal/eventlog   — Olay günlüğü
internal/farmer     — Farm botu
internal/inventory  — Envanter yönetimi (Steam upload/download)
internal/items      — Item kataloğu
internal/licensing  — Lisans/paket sistemi
internal/market     — Pazar fiyatları
internal/mutation   — Envanter değişiklik takibi
internal/recipes    — Craft/sentez reçeteleri
internal/singleinstance — Tek实例 kontrolü
internal/store      — JSON veri depolama
internal/updater    — Otomatik güncelleme

Bu "basit bir farming botu" değil. 17 paket, 558 fonksiyon, tam bir uygulama altyapısı.

TBH Farm Center, github.com/nidea1/task-bar-trade-center MIT lisanslı açık kaynak projesinin üzerine giydirilmiştir.

Orijinal proje:
URL:

Bağlantıları görmek için lütfen Giriş Yap

Lisans: MIT (ücretsiz, değiştirilebilir, satılabilir)
Yazar: nidea1 (Doruk ÇORALI)
Yıldız: 26, Fork: 1, Release: 43, Commit: 76
Tech: Go 1.26.3 + TypeScript + Wails v2 + React + Vite
Dil: Go %76.8, TypeScript %15.7, CSS %6.2, NSIS %1.3

Orijinal projenin yapısı (ücretsiz, MIT):
Sadece Steam Community Market fiyat takibi
Envanter dashboard'u
Fiyat overlay HUD'u
Sistem tray entegrasyonu
MITM proxy YOK
Lisans sistemi YOK
Credential yönetimi YOK
Session capture YOK

TBH Farm Center'a eklenenler (paralı):
mitmproxy ile MITM proxy altyapısı
ECDSA imzalı lisans sistemi
Credential management (latestCredentialRow)
Session capture ve proxy yönetimi
TLS key logging (KeyLogWriter)
Steam auth ticket şifreleme/çözme
Otomasyon sistemi (craft, synthesis, soulstone, trade ship)

Paket isim karsilastirmasi:
Orijinal: github.com/nidea1/task-bar-trade-center/internal/...
TBH: github.com/nidea1/tbh-farm-center/internal/...
(Aynı yapı, farklı isim — türetildiğinin kanıtı)

MIT lisansı ne der:
Ücretsiz kullanılabilir
Üzerine kod yazılabilir
Ücretli satılabilir
Kaynak kodu göstermek zorunda değildir

Sonuç: Program yasal olarak satılabilir. Ama üzerine eklenen MITM proxy, credential yönetimi ve TLS key logging güvenlik endişesi yaratır.

================================================================================
KANIT 1: MITMPROXY CA ≠ CERTİFİ CA (FARKLILIK KANITI)
================================================================================

Karşı taraf "426 DER sertifika certifi'nin standart root CA listesi" demiş.
Bu YANLIŞ. İkisi farklı şeyler.

[certifi cacert.pem]
- Tek dosya
- 200+ meşru root CA (DigiCert, Let's Encrypt, Comodo, GlobalSign vb.)
- Private key İÇERMEZ
- Sadece sertifika public key'leri içerir
- Python'da pip install certifi ile gelen standart dosya

[mitmproxy CA dosyaları (proxy_ca/ klasöründe bulunan)]
- Birden fazla dosya
- SADECE mitmproxy'nin kendi ürettiği SAHTE CA
- Private key İÇERİR
- mitmproxy'nin kendi kendine ürettiği sertifika

proxy_ca/ klasöründe bulunan dosyalar (biz silmeden önce):
mitmproxy-ca-cert.cer (1,172 byte) — SAHTE CA sertifikası
mitmproxy-ca-cert.p12 (1,035 byte) — PKCS12 formatında SAHTE CA
mitmproxy-ca-cert.pem (1,172 byte) — PEM formatında SAHTE CA
mitmproxy-ca.p12 (2,384 byte) — SAHTE CA'NIN PRIVATE KEY'İ
mitmproxy-ca.pem (2,847 byte) — SAHTE CA'NIN PRIVATE KEY'İ
mitmproxy-dhparam.pem (770 byte) — Diffie-Hellman parametreleri

mitmproxy-ca.pem'in içinde SAHTE CERTIFICATE AUTHORITY'NİN PRIVATE KEY'İ var. Bu, mitmproxy'nin HERHANGİ BİR HTTPS SİTESİ İÇİN SAHTE SERTİFİKA ÜRETEBİLMESİ ANLAMINA GELİR.

certifi'nin cacert.pem'i ile mitmproxy-ca.pem AYNI ŞEY DEĞİL.
Biri meşru root CA listesi, diğeri sahte CA + private key.

================================================================================
KANIT 2: PROGRAM MITMPROXY'Yİ AKTİF OLARAK KULLANMIŞ
================================================================================

TBHProxyHelper.exe (28.8MB) içinde:
mitmproxy string sayısı: 576 adet
MD5: 74ba9853a070631a41f53bf8391a3aab
SHA256: f66cbcf7148b4375990834d270197d1f98f80bbce1f9616f4189c206ed182824

mitmproxy modülleri:
mitmproxy.addonmanager)
mitmproxy.addons)
mitmproxy.addons.anticache)
mitmproxy.addons.anticomp)
mitmproxy.addons.intercept)
mitmproxy.addons.stickycookie)
mitmproxy.addons.onboarding)
mitmproxy.addons.onboardingapp)
mitmproxy.addons.proxyauth)
mitmproxy.addons.dns_resolver)
mitmproxy.addons.dumper)
mitmproxy.addons.export)
mitmproxy.addons.cut)
mitmproxy.addons.modifybody)
mitmproxy.addons.modifyheaders)
mitmproxy.addons.clientplayback)
mitmproxy.addons.browser)
mitmproxy.addons.core)
mitmproxy.addons.eventstore)
mitmproxy.addons.upstream_auth)
mitmproxy.proxy.mode_servers)
mitmproxy.proxy.mode_specs)

Session capture modülü:
bsession_capture.py

Intercept modülü:
bmitmproxy\addons\intercept.py

Sticky cookie:
bmitmproxy\addons\stickycookie.py

Onboarding (CA yükleme sihirbazı):
bmitmproxy\addons\onboardingapp\templates\index.html
bmitmproxy\addons\onboardingapp\templates\layout.html
bmitmproxy\addons\onboardingapp\templates\icons\certificate-solid.svg

Program mitmproxy'yi aktif olarak yapılandırmış ve kullanmış.
proxy_ca/ klasöründe mitmproxy'nin kendi CA'sı var — bu demek ki mitmproxy çalıştırılmış.

================================================================================
KANIT 3: PROGRAMIN KENDİ KODU (GO STANDARD LIBRARY DEĞİL)
================================================================================

TBH Farm Center.exe (13.9MB) içinde:
MD5: 65d89f71478502ff4f126283214bc6a0
SHA256: e27faef811a077661a96978e86436b0c09609b16f46ea54c689e90fe692f80be

GitHub referans sayısı: 891 adet

Programın kendi internal paketleri:
github.com/nidea1/tbh-farm-center/internal/api
github.com/nidea1/tbh-farm-center/internal/accounts
github.com/nidea1/tbh-farm-center/internal/automation
github.com/nidea1/tbh-farm-center/internal/capture
github.com/nidea1/tbh-farm-center/internal/farmer
github.com/nidea1/tbh-farm-center/internal/inventory
github.com/nidea1/tbh-farm-center/internal/items
github.com/nidea1/tbh-farm-center/internal/licensing
github.com/nidea1/tbh-farm-center/internal/market
github.com/nidea1/tbh-farm-center/internal/mutation
github.com/nidea1/tbh-farm-center/internal/recipes
github.com/nidea1/tbh-farm-center/internal/singleinstance
github.com/nidea1/tbh-farm-center/internal/store
github.com/nidea1/tbh-farm-center/internal/updater
github.com/nidea1/tbh-farm-center/internal/coordination
github.com/nidea1/tbh-farm-center/internal/diagnostics
github.com/nidea1/tbh-farm-center/internal/eventlog

================================================================================
KANIT 4: CREDENTIAL YÖNETİMİ (PROGRAMIN KENDİ KODU)
================================================================================

github.com/nidea1/tbh-farm-center/internal/api.latestCredentialRow

Bu Go standard library değil. Programın kendi credential yönetim kodu.
Neden bir farming botunun credential yönetimi yapıyor?

================================================================================
KANIT 5: KEYLOG (PROGRAM AKTİF OLARAK KULLANIYOR)
================================================================================

writeKeyLog
KeyLogWriter
crypto/tls.(*Config).writeKeyLog

Go'da var diye kullanmak zorunda değillerdi.
Program aktif olarak TLS session key'lerini kaydediyor.

================================================================================
KANIT 6: TICKET ŞİFRELEME/ÇÖZME
================================================================================

DecryptTicket
EncryptTicket
decryptTicket
encryptTicket
crypto/tls.(*Config).EncryptTicket
crypto/tls.(*Config).encryptTicket
crypto/tls.(*Config).DecryptTicket
crypto/tls.(*Config).decryptTicket

Steam auth ticket'lerini şifreliyor ve çözüyor.
Bir farming botunun bunu yapması normal mi?

================================================================================
KANIT 7: SESSION YAKALAMA SİSTEMİ
================================================================================

Programın kendi capture paketi:
github.com/nidea1/tbh-farm-center/internal/capture

Capture ile ilgili fonksiyonlar (programın kendi kodu):
api.buildCapturedPayload
api.captureFile
api.captureFilesIncludingDirect
api.captureRowTime
api.captureStringList
api.captureTime
api.coerceCapturedWireValue
api.formatCaptureTime
api.mergeCapturedWireBody
api.pruneCaptureSessions
api.pruneCaptureFamily
api.readAllCapture
api.readCapture
api.readCaptureMode
api.sortCaptureRows
api.usableCapturedValue
api.validateCapturedPayload
api.validateCapturedWireBody
api.postCapturedVariant
api.readSessionBundle
api.writeSessionBundle
api.sessionBundleHeaders
api.sensitiveHeader

Bu fonksiyonların hepsi programın kendi kodu.
"Session capture sadece mitmproxy'ye bağlı" argümanı yanlış.

================================================================================
KANIT 8: LİSANS/PACKAGE YAPILANMASI
================================================================================

json:"tier"
json:"package"
json:"build_profile"
json:"requested_package"
json:"source_build_profile"
json:"required_build_profile"
build_profile_mismatch

Program lisans/paket sistemi kullanıyor.
demo checksum doğrulama, device fingerprint, usage tracking var.

================================================================================
KANIT 9: SİSTEM PROXY AYARLARI
================================================================================

Analiz sırasında tespit edilen (temizlenmeden önce):
ProxyEnable = 0
ProxyServer = 127.0.0.1:8877

Bu ayar program tarafından değiştirilmiş.
"Proxy sadece session capture için" dense bile,
sistem seviyesinde proxy yapılandırması yapılması normal değildir.

================================================================================
KANIT 10: SİSTEM DURUMU (ŞU ANKİ)
================================================================================

Root sertifikalar: Temiz (mitmproxy CA bulunamadı)
Intermediate CA: Temiz
Proxy ayarı: Temiz (boşaltıldı)
TBH data klasörleri: Silindi
DNS cache: Flush edildi
Firewall: TBH ile ilgili kural yok (sadece oyun kuralı var)

================================================================================
SONUÇ
================================================================================

1. mitmproxy CA ≠ certifi CA. İkisi farklı şeyler.
2. mitmproxy CA dosyasında private key var — sahte sertifika üretmek için kullanılır.
3. Program mitmproxy'yi aktif olarak yapılandırmış ve kullanmış.
4. Programın kendi capture paketi var — session yakalama programın kendi kodu.
5. KeyLogWriter program tarafından aktif olarak çağrılıyor.
6. DecryptTicket/EncryptTicket Steam auth ticket'lerini şifreliyor.
7. latestCredentialRow programın kendi credential yönetim kodu.
8. 891 adet GitHub referansı — program karmaşık bir uygulama.
9. Sistem proxy ayarı değiştirilmiş.
10. Session secret plaintext olarak saklanmış.

Orijinal bulgularımın arkasındayım.
Düzelttiğim noktalar: "MITM CA sertifikası eklendi" ve "hesabınız çalınabilir" (kanıtsız iddialar).
Geri kalan her şey dosya bazında kanıtlanmıştır.

1. "426 DER sertifika certifi'nin standart root CA listesi" — YANLIŞ

certifi/cacert.pem tek bir dosyadır ve 200+ meşru root CA (DigiCert, Let's Encrypt, Comodo vb.) içerir.

Ama proxy_ca/ klasöründe bulunan dosyalar BAŞKA BİR ŞEY:

Kod:

mitmproxy-ca-cert.cer   — mitmproxy'NIN KENDI SAHTE CA'SI
mitmproxy-ca-cert.p12   — PKCS12 formatında sahte CA
mitmproxy-ca-cert.pem   — PEM formatında sahte CA
mitmproxy-ca.p12        — SAHTE CA'NIN PRIVATE KEY'İ
mitmproxy-ca.pem        — SAHTE CA'NIN PRIVATE KEY'İ
mitmproxy-dhparam.pem   — Diffie-Hellman parametreleri

mitmproxy-ca.pem'in içinde SAHTE CERTIFICATE AUTHORITY'NİN PRIVATE KEY'İ var. Bu mitmproxy'nin HERHANGİ BİR HTTPS SİTESİ İÇİN SAHTE SERTİFİKA ÜRETEBİLMESİ ANLAMINA GELİR.

certifi'nin cacert.pem'i ile mitmproxy-ca.pem AYNI ŞEY DEĞİL.

2. "mitmproxy sadece dependency, uygulamanın kendi modülü değil"

Evet, mitmproxy bir dependency. Ama program onu aktif olarak yapılandırmış ve kullanmış. proxy_ca/ klasöründe mitmproxy'nin kendi CA'sı var — bu demek ki mitmproxy çalıştırılmış. Sadece paket olarak durmuyor, aktif olarak trafiği intercept ediyor.

Programın kendi capture paketi var:

Kod:

capture.(*Service).Start
capture.(*Service).Stop
capture.(*Service).IsRunning
capture.(*Service).Status
capture.(*Service).RestoreStaleProxy
capture.(*Service).resolveHelper

3. "KeyLogWriter Go standard library"

Evet, Go'da var. Ama program bunu aktif olarak çağırıyor. writeKeyLog fonksiyonu programın kendi kodunda çağrılıyor. Bir farming botunun TLS session key'lerini kaydetmesi normal mi? Go'da var diye kullanmak zorunda değillerdi.

4. "DecryptTicket / EncryptTicket Go standard library"

Evet, Go'da var. Ama program Steam auth ticket'lerini şifreliyor ve çözüyor. Ayrıca programda 33 adet Steam-specific fonksiyon var:

Kod:

api.steamIDFromTicket
api.PrepareSharedSteamSession
api.DetectSteamID
api.ValidateSteamID
api.AttachSteamUploadVerification
api.BuildSteamUploadVerification
api.UploadToSteam
api.DownloadFromSteam
api.SignV3
api.LoadObservedSteamItems
api.collectSteamItems
api.parseSteamSlots
api.prepareSteamUploadRoute

Bu "Go standard library" ile açıklanamaz.

5. Programın kendi kodu: latestCredentialRow

github.com/nidea1/tbh-farm-center/internal/api.latestCredentialRow — Bu Go standard library değil. Programın kendi credential yönetim kodu.

6. mitmproxy'nin varsayılan davranışı

mitmproxy varsayılan olarak TÜM HTTPS TRAFİĞİNİ intercept eder. Sadece belirli domain'leri filtrelemek için explicit yapılandırma gerekir. Programın bunu yapıp yapmadığını bilmiyoruz — ama mitmproxy'nin kapasitesi budur ve program onu aktif olarak kullanmış.

Özet

certifi ≠ mitmproxy CA. İkisi farklı şeyler.
mitmproxy CA dosyasında private key var — sahte sertifika üretmek için kullanılır.
Program mitmproxy'yi aktif olarak yapılandırmış ve kullanmış.
Programın kendi capture paketi var (Start, Stop, RestoreStaleProxy).
KeyLogWriter, DecryptTicket program tarafından aktif olarak çağrılıyor.
33 adet Steam-specific fonksiyon var.
latestCredentialRow programın kendi kodu, Go standard library değil.
17 internal paket, 558 fonksiyon — karmaşık bir uygulama.

Ara

TBH Farm Center Kullanmayın !!! (mimt proxy)

durmuk

ölmedim geri döndüm kaldığımız yerden devam

#Adc Main

durmuk

ölmedim geri döndüm kaldığımız yerden devam

mrwenzoxfs

#Adc Main

durmuk

ölmedim geri döndüm kaldığımız yerden devam

mrwenzoxfs

durmuk

ölmedim geri döndüm kaldığımız yerden devam

Benzer Konular