ProHoster > Blog > administrasie > RATKing: Nuwe Trojaanse veldtog vir afstandtoegang

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang

Aan die einde van Mei het ons 'n veldtog van wanwareverspreiding van die Remote Access Trojan (RAT)-klas ontdek, programme wat aanvallers toelaat om 'n besmette stelsel op afstand te beheer.

Die groep wat ons oorweeg, is gekenmerk deur die feit dat dit geen spesifieke RAT-familie vir infeksie gekies het nie. Verskeie Trojane is opgemerk in die aanvalle binne die veldtog (almal in die publieke domein). Met hierdie kenmerk het die groepering ons aan die rotkoning herinner – ’n mitiese dier wat bestaan ​​uit knaagdiere met verweefde sterte.

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Die oorspronklike is geneem uit die monografie deur K. N. Rossikov "Mice and muisagtige knaagdiere, die belangrikste in ekonomiese terme" (1908)

Ter ere van hierdie wese het ons die groepering wat ons oorweeg RATKing genoem. In hierdie pos sal ons in detail praat oor hoe die aanvallers die aanval uitgevoer het, watter gereedskap hulle gebruik het, en ook ons ​​gedagtes oor die toeskrywing van hierdie veldtog deel.

Aanval vordering

Alle aanvalle in hierdie veldtog is volgens die volgende algoritme uitgevoer:

  1. Die gebruiker het 'n uitvissing-e-pos met 'n skakel na Google Drive ontvang.
  2. Vanaf die skakel het die slagoffer 'n kwaadwillige VBS-skrip afgelaai wat 'n DLL geskryf het om die finale loonvrag in die Windows-register te laai en PowerShell geloods om dit uit te voer.
  3. Die DLL-biblioteek het die finale loonvrag - in werklikheid een van die RAT's wat deur die aanvallers gebruik word - in die stelselproses ingespuit en 'n VBS-skrip bygevoeg om outomaties te hardloop om 'n vastrapplek in die besmette masjien te kry.
  4. Die finale loonvrag is in 'n stelselproses uitgevoer en het die aanvaller die vermoë gegee om die besmette rekenaar te beheer.

Skematies kan dit soos volg voorgestel word:

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang

Vervolgens sal ons op die eerste drie fases fokus, aangesien ons belangstel in die meganisme vir die aflewering van wanware. Ons sal nie die meganisme van die wanware self in detail beskryf nie. Hulle is wyd beskikbaar - óf verkoop op gespesialiseerde forums, óf selfs versprei as oopbronprojekte - wat beteken dat hulle nie uniek aan die RATKing-groep is nie.

Ontleding van aanvalstadiums

Fase 1. Phishing-pos

Die aanval het begin met die slagoffer wat 'n kwaadwillige e-pos ontvang het (die aanvallers het verskillende sjablone met teks gebruik, een voorbeeld word in die skermkiekie hieronder getoon). Die boodskap het 'n skakel na 'n wettige bewaarplek bevat drive.google.com, wat na bewering gelei het tot 'n PDF-aflaaibladsy.

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Voorbeeld van 'n uitvissing-e-pos

In werklikheid was dit egter glad nie 'n PDF-dokument wat gelaai is nie, maar 'n VBS-skrif.

As u op die skakel van die e-pos in die skermkiekie hierbo klik, 'n lêer met die naam Cargo Flight Details.vbs. In hierdie geval het die aanvallers nie eens probeer om die lêer as 'n wettige dokument te vermom nie.

Terselfdertyd, as deel van hierdie veldtog, het ons 'n draaiboek met die naam ontdek Cargo Trip Detail.pdf.vbs. Dit kan reeds vir 'n wettige PDF slaag, want by verstek versteek Windows die lêeruitbreiding. In hierdie geval kan sy ikoon, wat ooreenstem met die VBS-skrif, weliswaar steeds agterdog veroorsaak.

Op hierdie stadium kon die slagoffer die misleiding herken: kyk net vir 'n sekonde na die afgelaaide lêers. In sulke uitvissingsveldtogte maak aanvallers egter dikwels staat op 'n onoplettende of haastige gebruiker.

Fase 2. Werk van die VBS-skrif

Die VBS-skrip, wat die gebruiker deur nalatigheid kon oopmaak, het die DLL-biblioteek in die Windows-register geregistreer. Die skrif is verduister: die lyne daarin word geskryf as grepe geskei deur 'n arbitrêre karakter.

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Verduisterde skrif voorbeeld

Die deobfuscation-algoritme is redelik eenvoudig: elke derde karakter is uitgesluit van die verduisterde string, waarna die resultaat van basis16 na die oorspronklike string gedekodeer is. Byvoorbeeld, van die waarde 57Q53s63t72s69J70r74e2El53v68m65j6CH6Ct (uitgelig in die skermkiekie hierbo) die resultaat was 'n lyn WScript.Shell.

Om stringe te vereenvoudig, het ons 'n Python-funksie gebruik:

def decode_str(data_enc):   
    return binascii.unhexlify(''.join([data_enc[i:i+2] for i in range(0, len(data_enc), 3)]))

Hieronder, op reëls 9-10, word die waarde uitgelig, by deobfuscation waarvan 'n DLL-lêer verkry is. Dit was hy wat in die volgende stap met behulp van PowerShell bekendgestel is.

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Lyn met verduisterde DLL

Elke funksie in die VBS-skrip is uitgevoer soos die lyne gedeobfuskeerd is.

Nadat die skrip uitgevoer is, is die funksie genoem wscript.sleep - met die hulp daarvan is uitgestelde teregstelling uitgevoer.

Verder het die skrif saam met die Windows-register gewerk. Hy het WMI-tegnologie hiervoor gebruik. Met sy hulp is 'n unieke sleutel geskep, en die liggaam van die uitvoerbare lêer is na sy parameter geskryf. Toegang tot die register via WMI is uitgevoer met behulp van die volgende opdrag:

GetObject(winmgmts {impersonationLevel=impersonate}!\.rootdefault:StdRegProv)

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Registerinskrywing gemaak deur VBS-skrip

Fase 3. Werk van die DLL-biblioteek

In die derde stadium het die kwaadwillige DLL die finale loonvrag gelaai, dit in die stelselproses ingespuit en verseker dat die VBS-skrip outomaties uitgevoer is wanneer die gebruiker by die stelsel aangemeld het.

Begin via PowerShell

Die DLL is uitgevoer met behulp van die volgende opdrag in PowerShell:

[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0

Hierdie opdrag het die volgende gedoen:

  • ontvang registerwaarde data genoem rnd_value_name - hierdie data was 'n DLL-lêer wat op die .Net-platform geskryf is;
  • het die resulterende .Net-module in die prosesgeheue gelaai powershell.exe die funksie te gebruik [System.Threading.Thread]::GetDomain().Load() (gedetailleerde beskrywing van die Load() funksie beskikbaar op die Microsoft-webwerf);
  • die funksie uitgevoer het GUyyvmzVhebFCw]::EhwwK() - die uitvoering van die DLL-biblioteek het daarmee begin - met parameters vbsScriptPath, xorKey, vbsScriptName... Parameter xorKey het die sleutel gestoor vir die dekripteer van die finale loonvrag, en die parameters vbsScriptPath и vbsScriptName is oorgedra om 'n VBS-skrip in autorun te registreer.

Beskrywing van die DLL

In die gedekompileerde vorm het die laaier soos volg gelyk:

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Loader in gedekompileerde vorm (onderstreep in rooi is die funksie wat die uitvoering van die DLL begin het)

Die laaier word deur die .Net Reactor-beskermer beskerm. Die de4dot-nutsding doen 'n uitstekende werk om hierdie beskermer te verwyder.

Hierdie selflaaiprogram:

  • het die inspuiting van die loonvrag in die stelselproses uitgevoer (in hierdie voorbeeld, dit svchost.exe);
  • VBS-script in outorun voorskryf.

loonvrag inspuiting

Oorweeg die funksie wat die PowerShell-skrip genoem het.

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Funksie genoem deur PowerShell script

Hierdie funksie het die volgende gedoen:

  • ontsyfer twee skikkings data (array и array2 op die skermkiekie). Hulle is oorspronklik gzip-saamgepers en geïnkripteer met die XOR-algoritme met die sleutel xorKey;
  • gekopieer data na toegekende geheue areas. Data van array - na die geheue area waarna gewys word intPtr (payload pointer op die kiekie); data van array2 - na die geheue area waarna gewys word intPtr2 (shellcode pointer op die kiekie);
  • 'n funksie genoem CallWindowProcA (beskrywing hierdie kenmerk is beskikbaar op die Microsoft-webwerf) met die volgende parameters (die name van die parameters word hieronder gelys, in die skermkiekie gaan hulle in dieselfde volgorde, maar met werkwaardes):
    • lpPrevWndFunc - wyser na data van array2;
    • hWnd - wyser na 'n string wat die pad na die uitvoerbare lêer bevat svchost.exe;
    • Msg - wyser na data van array;
    • wParam, lParam - boodskapparameters (in hierdie geval is hierdie parameters nie gebruik nie en het waardes van 0 gehad);
  • 'n lêer geskep %AppData%MicrosoftWindowsStart MenuProgramsStartup<name>.urlWaar <name> is die eerste 4 karakters van die parameter vbsScriptName (in die skermkiekie begin die kodefragment met hierdie aksie met die opdrag File.Copy). Op hierdie manier het die wanware 'n URL-lêer by die lys lêers gevoeg om outomaties te hardloop wanneer 'n gebruiker by die stelsel aangemeld het, en sodoende homself op die besmette rekenaar herstel. Die URL-lêer het 'n skakel na die skrif bevat:

[InternetShortcut]
URL = file : ///<vbsScriptPath>

Om te verstaan ​​hoe die inspuiting uitgevoer is, het ons die data-skikkings ontsyfer array и array2. Om dit te doen, het ons die volgende Python-funksie gebruik:

def decrypt(data, key):
    return gzip.decompress(
        bytearray([data[i] ^ key[i % len(key)] for i in range(len(data))])[4:])

As gevolg hiervan het ons uitgevind dat:

  • array was 'n PE-lêer - dit is die finale loonvrag;
  • array2 was die dopkode wat benodig word vir die inspuiting.

Shellcode vanaf skikking array2 as funksiewaarde deurgegee lpPrevWndFunc in 'n funksie CallWindowProcA. lpPrevWndFunc is 'n terugbelfunksie, sy prototipe lyk soos volg:

LRESULT WndFunc(
  HWND    hWnd,
  UINT    Msg,
  WPARAM  wParam,
  LPARAM  lParam
);

So wanneer jy die funksie hardloop CallWindowProcA met parameters hWnd, Msg, wParam, lParam die uitvoering van dopkode vanaf 'n skikking array2 met argumente hWnd и Msg. hWnd is 'n wyser na 'n string wat die pad na die uitvoerbare lêer bevat svchost.exeEn Msg - 'n wyser na die finale loonvrag.

Die dopkode het funksie-adresse van ontvang kernel32.dll и ntdll32.dll deur hash-waardes uit hul name en het die inspuiting van die finale loonvrag in die prosesgeheue uitgevoer svchost.exemet behulp van die Proses Hollowing-tegniek (jy kan hierin meer daaroor lees Artikel). Wanneer dopkode ingespuit word:

  • 'n proses geskep svchost.exe in 'n opgeskorte toestand met behulp van die funksie CreateProcessW;
  • versteek dan die seksie-kartering in die prosesadresspasie svchost.exe die funksie te gebruik NtUnmapViewOfSection. So het die program die geheue van die oorspronklike proses bevry svchost.exe, om geheue vir die loonvrag by hierdie adres toe te wys;
  • toegekende geheue vir die loonvrag in die adresruimte van die proses svchost.exe die funksie te gebruik VirtualAllocEx;

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Begin die inspuitproses

  • skryf die inhoud van die loonvrag na die adresruimte van die proses svchost.exe die funksie te gebruik WriteProcessMemory (soos in die kiekie hieronder);
  • het die proses weer begin svchost.exe die funksie te gebruik ResumeThread.

RATKing: Nuwe Trojaanse veldtog vir afstandtoegang
Voltooiing van die inspuitproses

Aflaaibare wanware

As gevolg van die beskryfde aksies is een van verskeie kwaadwillige programme van die RAT-klas op die besmette stelsel geïnstalleer. Die tabel hieronder lys die wanware wat in die aanval gebruik is, wat ons met selfvertroue aan een groep aanvallers kan toeskryf, aangesien die monsters toegang tot dieselfde beheerbediener gehad het.

Naam van HPE

Eerste gesien

SHA-256

C&C

Die proses waarin die inspuiting uitgevoer word

donker spoor

16-04-2020

ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702

kimjoy007.dyndns[.]org:2017

Svchost

Parallax

24-04-2020

b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043

kimjoy007.dyndns[.]org:2019

Svchost

OORLOG SONE

18-05-2020

3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3

kimjoy007.dyndns[.]org:9933

Svchost

netdraad

20-05-2020

6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d

kimjoy007.dyndns[.]org:2000

Svchost

Voorbeelde van verspreide wanware met dieselfde beheerbediener

Twee dinge is hier opmerklik.

Eerstens, die feit dat die aanvallers verskeie verskillende RAT-families gelyktydig gebruik het. Hierdie gedrag is nie tipies vir bekende kubergroepe nie, wat dikwels ongeveer dieselfde stel gereedskap gebruik waaraan hulle gewoond is.

Tweedens het RATKing wanware gebruik wat óf op gespesialiseerde forums teen 'n klein prys verkoop word, óf heeltemal oopbronprojekte is.

'n Meer volledige lys van die wanware wat in die veldtog gebruik word - met een belangrike waarskuwing - word aan die einde van die artikel gegee.

Oor groepering

Ons kan nie die beskryfde kwaadwillige veldtog aan enige bekende aanvallers toeskryf nie. Tot dusver glo ons dat hierdie aanvalle deur 'n fundamenteel nuwe groep uitgevoer is. Soos ons aan die begin geskryf het, het ons dit RATKing genoem.

Om 'n VBS-skrip te skep, het die groepering waarskynlik 'n instrument soortgelyk aan die nut gebruik VBS-Crypter van die ontwikkelaar NYAN-x-CAT. Dit word aangedui deur die ooreenkoms van die script wat hierdie program skep met die aanvaller se script. Spesifiek, hulle is albei:

  • voer uitgestelde uitvoering uit met behulp van die funksie Sleep;
  • gebruik WMI;
  • die liggaam van die uitvoerbare lêer as 'n registersleutelparameter voor te skryf;
  • voer hierdie lêer uit met behulp van PowerShell in sy eie adresruimte.

Vir duidelikheid, vergelyk die PowerShell-opdrag om 'n lêer uit die register uit te voer, wat gebruik word deur 'n skrip wat met VBS-Crypter geskep is:

((Get-ItemPropertyHKCU:SoftwareNYANxCAT).NYANxCAT);$text=-join$text[-1..-$text.Length];[AppDomain]::CurrentDomain.Load([Convert]::FromBase64String($text)).EntryPoint.Invoke($Null,$Null);

met 'n soortgelyke opdrag wat die aanvallers se skrif gebruik het:

[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0

Let daarop dat die aanvallers 'n ander hulpprogram van NYAN-x-CAT as een van die loonvragte gebruik het - LimeRAT.

Die C&C-bedieneradresse dui op 'n ander kenmerk van RATKing: die groepering bevoordeel dinamiese DNS-dienste (sien lys van C&C's in die IoC-tabel).

IoC

Die tabel hieronder toon 'n volledige lys van VBS-skrifte wat heel waarskynlik aan die beskryfde veldtog toegeskryf kan word. Al hierdie skrifte is soortgelyk en voer ongeveer dieselfde volgorde van aksies uit. Almal van hulle spuit wanware van die RAT-klas in 'n betroubare Windows-proses. Almal van hulle het C&C-adresse wat geregistreer is met Dynamic DNS-dienste.

Ons kan egter nie sê dat al hierdie skrifte deur dieselfde aanvallers versprei is nie, behalwe vir monsters met dieselfde C&C-adresse (byvoorbeeld kimjoy007.dyndns.org).

Naam van HPE

SHA-256

C&C

Die proses waarin die inspuiting uitgevoer word

Parallax

b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043

kimjoy007.dyndns.org

Svchost

00edb8200dfeee3bdd0086c5e8e07c6056d322df913679a9f22a2b00b836fd72

hope.doomdns.org

Svchost

504cbae901c4b3987aa9ba458a230944cb8bd96bbf778ceb54c773b781346146

kimjoy007.dyndns.org

Svchost

1487017e087b75ad930baa8b017e8388d1e99c75d26b5d1deec8b80e9333f189

kimjoy007.dyndns.org

Svchost

c4160ec3c8ad01539f1c16fb35ed9c8c5a53a8fda8877f0d5e044241ea805891

franco20.dvrdns.org

Svchost

515249d6813bb2dde1723d35ee8eb6eeb8775014ca629ede017c3d83a77634ce

kimjoy007.dyndns.org

Svchost

1b70f6fee760bcfe0c457f0a85ca451ed66e61f0e340d830f382c5d2f7ab803f

franco20.dvrdns.org

Svchost

b2bdffa5853f29c881d7d9bff91b640bc1c90e996f85406be3b36b2500f61aa1

hope.doomdns.org

Svchost

c9745a8f33b3841fe7bfafd21ad4678d46fe6ea6125a8fedfcd2d5aee13f1601

kimjoy007.dyndns.org

Svchost

1dfc66968527fbd4c0df2ea34c577a7ce7a2ba9b54ba00be62120cc88035fa65

franco20.dvrdns.org

Svchost

c6c05f21e16e488eed3001d0d9dd9c49366779559ad77fcd233de15b1773c981

kimjoy007.dyndns.org

cmd

3b785cdcd69a96902ee62499c25138a70e81f14b6b989a2f81d82239a19a3aed

hope.doomdns.org

Svchost

4d71ceb9d6c53ac356c0f5bdfd1a5b28981061be87e38e077ee3a419e4c476f9

2004para.ddns.net

Svchost

00185cc085f284ece264e3263c7771073a65783c250c5fd9afc7a85ed94acc77

hope.doomdns.org

Svchost

0342107c0d2a069100e87ef5415e90fd86b1b1b1c975d0eb04ab1489e198fc78

franco20.dvrdns.org

Svchost

de33b7a7b059599dc62337f92ceba644ac7b09f60d06324ecf6177fff06b8d10

kimjoy007.dyndns.org

Svchost

80a8114d63606e225e620c64ad8e28c9996caaa9a9e87dd602c8f920c2197007

kimjoy007.dyndns.org

Svchost

acb157ba5a48631e1f9f269e6282f042666098614b66129224d213e27c1149bb

hope.doomdns.org

cmd

bf608318018dc10016b438f851aab719ea0abe6afc166c8aea6b04f2320896d3

franco20.dvrdns.org

Svchost

4d0c9b8ad097d35b447d715a815c67ff3d78638b305776cde4d90bfdcb368e38

hope.doomdns.org

Svchost

e7c676f5be41d49296454cd6e4280d89e37f506d84d57b22f0be0d87625568ba

kimjoy007.dyndns.org

Svchost

9375d54fcda9c7d65f861dfda698e25710fda75b5ebfc7a238599f4b0d34205f

franco20.dvrdns.org

Svchost

128367797fdf3c952831c2472f7a308f345ca04aa67b3f82b945cfea2ae11ce5

kimjoy007.dyndns.org

Svchost

09bd720880461cb6e996046c7d6a1c937aa1c99bd19582a562053782600da79d

hope.doomdns.org

Svchost

0a176164d2e1d5e2288881cc2e2d88800801001d03caedd524db365513e11276

paradickhead.homeip.net

Svchost

0af5194950187fd7cbd75b1b39aab6e1e78dae7c216d08512755849c6a0d1cbe

hope.doomdns.org

Svchost

Oorlog sone

3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3

kimjoy007.dyndns.org

Svchost

db0d5a67a0ced6b2de3ee7d7fc845a34b9d6ca608e5fead7f16c9a640fa659eb

kimjoy007.dyndns.org

Svchost

netdraad

6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d

kimjoy007.dyndns.org

Svchost

donker spoor

ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702

kimjoy007.dyndns.org

Svchost

WSH ROT

d410ced15c848825dcf75d30808cde7784e5b208f9a57b0896e828f890faea0e

anekesolution.linkpc.net

RegAsm

kalk

896604d27d88c75a475b28e88e54104e66f480bcab89cc75b6cdc6b29f8e438b

softmy.duckdns.org

RegAsm

QuasarRAT

bd1e29e9d17edbab41c3634649da5c5d20375f055ccf968c022811cd9624be57

darkhate-23030.portmap.io

RegAsm

12044aa527742282ad5154a4de24e55c9e1fae42ef844ed6f2f890296122153b

darkhate-23030.portmap.io

RegAsm

be93cc77d864dafd7d8c21317722879b65cfbb3297416bde6ca6edbfd8166572

darkhate-23030.portmap.io

RegAsm

933a136f8969707a84a61f711018cd21ee891d5793216e063ac961b5d165f6c0

darkhate-23030.portmap.io

RegAsm

71dea554d93728cce8074dbdb4f63ceb072d4bb644f0718420f780398dafd943

chrom1.myq-see.com

RegAsm

0d344e8d72d752c06dc6a7f3abf2ff7678925fde872756bf78713027e1e332d5

darkhate-23030.portmap.io

RegAsm

0ed7f282fd242c3f2de949650c9253373265e9152c034c7df3f5f91769c6a4eb

darkhate-23030.portmap.io

RegAsm

aabb6759ce408ebfa2cc57702b14adaec933d8e4821abceaef0c1af3263b1bfa

darkhate-23030.portmap.io

RegAsm

1699a37ddcf4769111daf33b7d313cf376f47e92f6b92b2119bd0c860539f745

darkhate-23030.portmap.io

RegAsm

3472597945f3bbf84e735a778fd75c57855bb86aca9b0a4d0e4049817b508c8c

darkhate-23030.portmap.io

RegAsm

809010d8823da84cdbb2c8e6b70be725a6023c381041ebda8b125d1a6a71e9b1

darkhate-23030.portmap.io

RegAsm

4217a2da69f663f1ab42ebac61978014ec4f562501efb2e040db7ebb223a7dff

darkhate-23030.portmap.io

RegAsm

08f34b3088af792a95c49bcb9aa016d4660609409663bf1b51f4c331b87bae00

darkhate-23030.portmap.io

RegAsm

79b4efcce84e9e7a2e85df7b0327406bee0b359ad1445b4f08e390309ea0c90d

darkhate-23030.portmap.io

RegAsm

12ea7ce04e0177a71a551e6d61e4a7916b1709729b2d3e9daf7b1bdd0785f63a

darkhate-23030.portmap.io

RegAsm

d7b8eb42ae35e9cc46744f1285557423f24666db1bde92bf7679f0ce7b389af9

darkhate-23030.portmap.io

RegAsm

def09b0fed3360c457257266cb851fffd8c844bc04a623c210a2efafdf000d5c

darkhate-23030.portmap.io

RegAsm

50119497c5f919a7e816a37178d28906fb3171b07fc869961ef92601ceca4c1c

darkhate-23030.portmap.io

RegAsm

ade5a2f25f603bf4502efa800d3cf5d19d1f0d69499b0f2e9ec7c85c6dd49621

darkhate-23030.portmap.io

RegAsm

189d5813c931889190881ee34749d390e3baa80b2c67b426b10b3666c3cc64b7

darkhate-23030.portmap.io

RegAsm

c3193dd67650723753289a4aebf97d4c72a1afe73c7135bee91c77bdf1517f21

darkhate-23030.portmap.io

RegAsm

a6f814f14698141753fc6fb7850ead9af2ebcb0e32ab99236a733ddb03b9eec2

darkhate-23030.portmap.io

RegAsm

a55116253624641544175a30c956dbd0638b714ff97b9de0e24145720dcfdf74

darkhate-23030.portmap.io

RegAsm

d6e0f0fb460d9108397850169112bd90a372f66d87b028e522184682a825d213

darkhate-23030.portmap.io

RegAsm

522ba6a242c35e2bf8303e99f03a85d867496bbb0572226e226af48cc1461a86

darkhate-23030.portmap.io

RegAsm

fabfdc209b02fe522f81356680db89f8861583da89984c20273904e0cf9f4a02

darkhate-23030.portmap.io

RegAsm

08ec13b7da6e0d645e4508b19ba616e4cf4e0421aa8e26ac7f69e13dc8796691

darkhate-23030.portmap.io

RegAsm

8433c75730578f963556ec99fbc8d97fa63a522cef71933f260f385c76a8ee8d

darkhate-23030.portmap.io

RegAsm

99f6bfd9edb9bf108b11c149dd59346484c7418fc4c455401c15c8ac74b70c74

darkhate-23030.portmap.io

RegAsm

d13520e48f0ff745e31a1dfd6f15ab56c9faecb51f3d5d3d87f6f2e1abe6b5cf

darkhate-23030.portmap.io

RegAsm

9e6978b16bd52fcd9c331839545c943adc87e0fbd7b3f947bab22ffdd309f747

darkhate-23030.portmap.io

RegAsm

Bron: will.com

Voeg 'n opmerking