Π ΠΊΡΠ°Ρ Π½Π° ΠΌΠ°ΠΉ ΠΎΡΠΊΡΠΈΡ ΠΌΠ΅ ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡ Π·Π° ΡΠ°Π·ΠΏΡΠΎΡΡΡΠ°Π½Π΅Π½ΠΈΠ΅ Π½Π° Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ ΡΠΎΡΡΡΠ΅Ρ Π·Π° ΡΡΠΎΡΠ½ΡΠΊΠΈ ΠΊΠΎΠ½ Π·Π° ΠΎΡΠ΄Π°Π»Π΅ΡΠ΅Π½ Π΄ΠΎΡΡΡΠΏ (RAT) β ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ, ΠΊΠΎΠΈΡΠΎ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ²Π°Ρ Π½Π° Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ Π΄Π° ΠΊΠΎΠ½ΡΡΠΎΠ»ΠΈΡΠ°Ρ ΠΎΡΠ΄Π°Π»Π΅ΡΠ΅Π½ΠΎ Π·Π°ΡΠ°Π·Π΅Π½Π° ΡΠΈΡΡΠ΅ΠΌΠ°.
ΠΡΡΠΏΠ°ΡΠ°, ΠΊΠΎΡΡΠΎ ΠΈΠ·ΡΠ»Π΅Π΄Π²Π°Ρ ΠΌΠ΅, ΡΠ΅ ΠΎΡΠ»ΠΈΡΠ°Π²Π° Ρ ΡΠ°ΠΊΡΠ°, ΡΠ΅ Π½Π΅ Π΅ ΠΈΠ·Π±ΡΠ°Π»Π° ΠΊΠΎΠ½ΠΊΡΠ΅ΡΠ½ΠΎ ΡΠ΅ΠΌΠ΅ΠΉΡΡΠ²ΠΎ RAT Π·Π° Π·Π°ΡΠ°Π·ΡΠ²Π°Π½Π΅. ΠΡΠΊΠΎΠ»ΠΊΠΎ ΡΡΠΎΡΠ½ΡΠΊΠΈ ΠΊΠΎΠ½Π΅ Π±ΡΡ Π° Π·Π°Π±Π΅Π»ΡΠ·Π°Π½ΠΈ ΠΏΡΠΈ Π°ΡΠ°ΠΊΠΈ Π² ΡΠ°ΠΌΠΊΠΈΡΠ΅ Π½Π° ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡΡΠ° (Π²ΡΠΈΡΠΊΠΈ ΠΎΡ ΠΊΠΎΠΈΡΠΎ Π±ΡΡ Π° ΡΠΈΡΠΎΠΊΠΎ Π΄ΠΎΡΡΡΠΏΠ½ΠΈ). Π‘ ΡΠ°Π·ΠΈ ΠΎΡΠΎΠ±Π΅Π½ΠΎΡΡ Π³ΡΡΠΏΠ°ΡΠ° Π½ΠΈ Π½Π°ΠΏΠΎΠΌΠ½ΠΈ Π·Π° ΡΠ°ΡΡ ΠΏΠ»ΡΡ β ΠΌΠΈΡΠΈΡΠ½ΠΎ ΠΆΠΈΠ²ΠΎΡΠ½ΠΎ, ΠΊΠΎΠ΅ΡΠΎ ΡΠ΅ ΡΡΡΡΠΎΠΈ ΠΎΡ Π³ΡΠΈΠ·Π°ΡΠΈ Ρ ΠΏΡΠ΅ΠΏΠ»Π΅ΡΠ΅Π½ΠΈ ΠΎΠΏΠ°ΡΠΊΠΈ.
ΠΡΠΈΠ³ΠΈΠ½Π°Π»ΡΡ Π΅ Π²Π·Π΅Ρ ΠΎΡ ΠΌΠΎΠ½ΠΎΠ³ΡΠ°ΡΠΈΡΡΠ° Π½Π° Π. Π. Π ΠΎΡΠΈΠΊΠΎΠ² βΠΠΈΡΠΊΠΈ ΠΈ ΠΌΠΈΡΠ΅Π²ΠΈΠ΄Π½ΠΈ Π³ΡΠΈΠ·Π°ΡΠΈ, Π½Π°ΠΉ-Π²Π°ΠΆΠ½ΠΈΡΠ΅ ΠΈΠΊΠΎΠ½ΠΎΠΌΠΈΡΠ΅ΡΠΊΠΈβ (1908 Π³.)
Π ΡΠ΅ΡΡ Π½Π° ΡΠΎΠ²Π° ΡΡΠ·Π΄Π°Π½ΠΈΠ΅ Π½Π°ΡΠ΅ΠΊΠΎΡ
ΠΌΠ΅ Π³ΡΡΠΏΠ°ΡΠ°, ΠΊΠΎΡΡΠΎ ΠΎΠ±ΠΌΠΈΡΠ»ΡΠΌΠ΅, RATKing. Π ΡΠ°Π·ΠΈ ΠΏΡΠ±Π»ΠΈΠΊΠ°ΡΠΈΡ ΡΠ΅ ΡΠ°Π·Π³Π»Π΅Π΄Π°ΠΌΠ΅ ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΠΎ ΠΊΠ°ΠΊ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ ΡΠ° ΠΈΠ·Π²ΡΡΡΠΈΠ»ΠΈ Π°ΡΠ°ΠΊΠ°ΡΠ°, ΠΊΠ°ΠΊΠ²ΠΈ ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½ΡΠΈ ΡΠ° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π»ΠΈ, Π° ΡΡΡΠΎ ΡΠ°ΠΊΠ° ΡΠ΅ ΡΠΏΠΎΠ΄Π΅Π»ΠΈΠΌ Π½Π°ΡΠΈΡΠ΅ ΠΌΠΈΡΠ»ΠΈ ΠΎΡΠ½ΠΎΡΠ½ΠΎ ΠΏΡΠΈΠΏΠΈΡΠ²Π°Π½Π΅ΡΠΎ Π·Π° ΡΠ°Π·ΠΈ ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡ.
ΠΡΠΎΠ³ΡΠ΅Ρ Π½Π° Π°ΡΠ°ΠΊΠ°ΡΠ°
ΠΡΠΈΡΠΊΠΈ Π°ΡΠ°ΠΊΠΈ Π² ΡΠ°Π·ΠΈ ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡ ΡΠ° ΠΈΠ·Π²ΡΡΡΠ΅Π½ΠΈ ΠΏΠΎ ΡΠ»Π΅Π΄Π½ΠΈΡ Π°Π»Π³ΠΎΡΠΈΡΡΠΌ:
- ΠΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΡΡ ΠΏΠΎΠ»ΡΡΠΈ ΡΠΈΡΠΈΠ½Π³ ΠΈΠΌΠ΅ΠΉΠ» Ρ Π²ΡΡΠ·ΠΊΠ° ΠΊΡΠΌ Google Drive.
- ΠΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΉΠΊΠΈ Π²ΡΡΠ·ΠΊΠ°ΡΠ°, ΠΆΠ΅ΡΡΠ²Π°ΡΠ° ΠΈΠ·ΡΠ΅Π³Π»ΠΈ Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ VBS ΡΠΊΡΠΈΠΏΡ, ΠΊΠΎΠΉΡΠΎ ΠΏΠΎΡΠΎΡΠΈ DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ° Π·Π° Π·Π°ΡΠ΅ΠΆΠ΄Π°Π½Π΅ Π½Π° ΠΊΡΠ°ΠΉΠ½ΠΈΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ Π² ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΡΠ΅Π³ΠΈΡΡΡΡ Π½Π° Windows ΠΈ ΡΡΠ°ΡΡΠΈΡΠ° PowerShell, Π·Π° Π΄Π° Π³ΠΎ ΠΈΠ·ΠΏΡΠ»Π½ΠΈ.
- DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°ΡΠ° ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ° ΠΊΡΠ°ΠΉΠ½ΠΈΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ β Π²ΡΡΡΠ½ΠΎΡΡ Π΅Π΄ΠΈΠ½ ΠΎΡ RAT-ΠΎΠ²Π΅ΡΠ΅, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½ΠΈ ΠΎΡ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ β Π² ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΠΏΡΠΎΡΠ΅Ρ ΠΈ ΡΠ΅Π³ΠΈΡΡΡΠΈΡΠ° VBS ΡΠΊΡΠΈΠΏΡ ΠΏΡΠΈ Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½ΠΎ ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅, Π·Π° Π΄Π° ΡΠ΅ Π·Π°ΠΊΡΠ΅ΠΏΠΈ Π² Π·Π°ΡΠ°Π·Π΅Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π°.
- ΠΠΎΡΠ»Π΅Π΄Π½ΠΈΡΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ Π±Π΅ΡΠ΅ ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ Π² ΡΠΈΡΡΠ΅ΠΌΠ΅Π½ ΠΏΡΠΎΡΠ΅Ρ ΠΈ Π΄Π°Π΄Π΅ Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡ Π½Π° Π°ΡΠ°ΠΊΡΠ²Π°ΡΠΈΡ Π΄Π° ΠΊΠΎΠ½ΡΡΠΎΠ»ΠΈΡΠ° Π·Π°ΡΠ°Π·Π΅Π½ΠΈΡ ΠΊΠΎΠΌΠΏΡΡΡΡ.
Π‘Ρ Π΅ΠΌΠ°ΡΠΈΡΠ½ΠΎ ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ΅ ΠΏΡΠ΅Π΄ΡΡΠ°Π²ΠΈ ΡΠ°ΠΊΠ°:
Π‘Π»Π΅Π΄ ΡΠΎΠ²Π° ΡΠ΅ ΡΠ΅ ΡΡΡΡΠ΅Π΄ΠΎΡΠΎΡΠΈΠΌ Π²ΡΡΡ
Ρ ΠΏΡΡΠ²ΠΈΡΠ΅ ΡΡΠΈ Π΅ΡΠ°ΠΏΠ°, ΡΡΠΉ ΠΊΠ°ΡΠΎ ΡΠ΅ ΠΈΠ½ΡΠ΅ΡΠ΅ΡΡΠ²Π°ΠΌΠ΅ ΠΎΡ ΠΌΠ΅Ρ
Π°Π½ΠΈΠ·ΠΌΠ° Π·Π° Π΄ΠΎΡΡΠ°Π²ΠΊΠ° Π½Π° Π·Π»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ. ΠΡΠΌΠ° Π΄Π° ΠΎΠΏΠΈΡΠ²Π°ΠΌΠ΅ ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΠΎ ΠΌΠ΅Ρ
Π°Π½ΠΈΠ·ΠΌΠ° Π½Π° Π΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ Π½Π° ΡΠ°ΠΌΠΈΡ Π·Π»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ. Π’Π΅ ΡΠ° ΡΠΈΡΠΎΠΊΠΎ Π΄ΠΎΡΡΡΠΏΠ½ΠΈ - ΠΈΠ»ΠΈ ΡΠ΅ ΠΏΡΠΎΠ΄Π°Π²Π°Ρ Π½Π° ΡΠΏΠ΅ΡΠΈΠ°Π»ΠΈΠ·ΠΈΡΠ°Π½ΠΈ ΡΠΎΡΡΠΌΠΈ, ΠΈΠ»ΠΈ Π΄ΠΎΡΠΈ ΡΠ΅ ΡΠ°Π·ΠΏΡΠΎΡΡΡΠ°Π½ΡΠ²Π°Ρ ΠΊΠ°ΡΠΎ ΠΏΡΠΎΠ΅ΠΊΡΠΈ Ρ ΠΎΡΠ²ΠΎΡΠ΅Π½ ΠΊΠΎΠ΄ - ΠΈ ΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»Π½ΠΎ Π½Π΅ ΡΠ° ΡΠ½ΠΈΠΊΠ°Π»Π½ΠΈ Π·Π° Π³ΡΡΠΏΠ°ΡΠ° RATKing.
ΠΠ½Π°Π»ΠΈΠ· Π½Π° Π΅ΡΠ°ΠΏΠΈΡΠ΅ Π½Π° Π°ΡΠ°ΠΊΠ°
ΠΡΠ°ΠΏ 1. Π€ΠΈΡΠΈΠ½Π³ ΠΈΠΌΠ΅ΠΉΠ»
ΠΡΠ°ΠΊΠ°ΡΠ° Π·Π°ΠΏΠΎΡΠ½Π° Ρ ΠΏΠΎΠ»ΡΡΠ°Π²Π°Π½Π΅ Π½Π° Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ΠΎ ΠΏΠΈΡΠΌΠΎ ΠΎΡ ΠΆΠ΅ΡΡΠ²Π°ΡΠ° (Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ
Π° ΡΠ°Π·Π»ΠΈΡΠ½ΠΈ ΡΠ°Π±Π»ΠΎΠ½ΠΈ Ρ ΡΠ΅ΠΊΡΡ; Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ° ΠΏΠΎ-Π΄ΠΎΠ»Ρ ΠΏΠΎΠΊΠ°Π·Π²Π° Π΅Π΄ΠΈΠ½ ΠΏΡΠΈΠΌΠ΅Ρ). Π‘ΡΠΎΠ±ΡΠ΅Π½ΠΈΠ΅ΡΠΎ ΡΡΠ΄ΡΡΠΆΠ°ΡΠ΅ Π²ΡΡΠ·ΠΊΠ° ΠΊΡΠΌ Π»Π΅Π³ΠΈΡΠΈΠΌΠ½ΠΎ Ρ
ΡΠ°Π½ΠΈΠ»ΠΈΡΠ΅ drive.google.com
, ΠΊΠΎΠ΅ΡΠΎ ΡΠΆ Π²ΠΎΠ΄ΠΈ Π΄ΠΎ ΡΡΡΠ°Π½ΠΈΡΠ° Π·Π° ΠΈΠ·ΡΠ΅Π³Π»ΡΠ½Π΅ Π½Π° PDF Π΄ΠΎΠΊΡΠΌΠ΅Π½Ρ.
ΠΡΠΈΠΌΠ΅Ρ Π·Π° ΡΠΈΡΠΈΠ½Π³ ΠΈΠΌΠ΅ΠΉΠ»
ΠΡΡΡΠ½ΠΎΡΡ ΠΎΠ±Π°ΡΠ΅ Π½Π΅ Π±Π΅ΡΠ΅ Π·Π°ΡΠ΅Π΄Π΅Π½ PDF Π΄ΠΎΠΊΡΠΌΠ΅Π½Ρ, Π° VBS ΡΠΊΡΠΈΠΏΡ.
ΠΠΎΠ³Π°ΡΠΎ ΡΡΠ°ΠΊΠ½Π΅ΡΠ΅ Π²ΡΡΡ
Ρ Π²ΡΡΠ·ΠΊΠ°ΡΠ° ΠΎΡ ΠΈΠΌΠ΅ΠΉΠ»Π° Π½Π° Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ° ΠΏΠΎ-Π³ΠΎΡΠ΅, ΡΠ°ΠΉΠ» Ρ ΠΈΠΌΠ΅ Cargo Flight Details.vbs
. Π ΡΠΎΠ·ΠΈ ΡΠ»ΡΡΠ°ΠΉ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ Π΄ΠΎΡΠΈ Π½Π΅ ΡΠ° ΡΠ΅ ΠΎΠΏΠΈΡΠ°Π»ΠΈ Π΄Π° ΠΏΡΠΈΠΊΡΠΈΡΡ ΡΠ°ΠΉΠ»Π° ΠΊΠ°ΡΠΎ Π»Π΅Π³ΠΈΡΠΈΠΌΠ΅Π½ Π΄ΠΎΠΊΡΠΌΠ΅Π½Ρ.
Π ΡΡΡΠΎΡΠΎ Π²ΡΠ΅ΠΌΠ΅, ΠΊΠ°ΡΠΎ ΡΠ°ΡΡ ΠΎΡ ΡΠ°Π·ΠΈ ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡ, ΠΎΡΠΊΡΠΈΡ
ΠΌΠ΅ ΡΠΊΡΠΈΠΏΡ Π½Π° ΠΈΠΌΠ΅ Cargo Trip Detail.pdf.vbs
. ΠΠ΅ΡΠ΅ ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΌΠΈΠ½Π΅ Π·Π° Π»Π΅Π³ΠΈΡΠΈΠΌΠ΅Π½ PDF, Π·Π°ΡΠΎΡΠΎ Windows ΡΠΊΡΠΈΠ²Π° ΡΠ°ΠΉΠ»ΠΎΠ²ΠΈΡΠ΅ ΡΠ°Π·ΡΠΈΡΠ΅Π½ΠΈΡ ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅. ΠΡΡΠ½ΠΎ Π΅, ΡΠ΅ Π² ΡΠΎΠ·ΠΈ ΡΠ»ΡΡΠ°ΠΉ ΠΏΠΎΠ΄ΠΎΠ·ΡΠ΅Π½ΠΈΠ΅ΡΠΎ Π²ΡΠ΅ ΠΎΡΠ΅ ΠΌΠΎΠΆΠ΅ Π΄Π° Π±ΡΠ΄Π΅ ΠΏΡΠ΅Π΄ΠΈΠ·Π²ΠΈΠΊΠ°Π½ΠΎ ΠΎΡ Π½Π΅Π³ΠΎΠ²Π°ΡΠ° ΠΈΠΊΠΎΠ½Π°, ΠΊΠΎΡΡΠΎ ΡΡΠΎΡΠ²Π΅ΡΡΡΠ²Π° Π½Π° ΡΠΊΡΠΈΠΏΡΠ° Π½Π° VBS.
ΠΠ° ΡΠΎΠ·ΠΈ Π΅ΡΠ°ΠΏ ΠΆΠ΅ΡΡΠ²Π°ΡΠ° ΠΌΠΎΠΆΠ΅ Π΄Π° ΡΠ°Π·ΠΏΠΎΠ·Π½Π°Π΅ ΠΈΠ·ΠΌΠ°ΠΌΠ°ΡΠ°: ΠΏΡΠΎΡΡΠΎ ΠΏΠΎΠ³Π»Π΅Π΄Π½Π΅ΡΠ΅ ΠΏΠΎ-ΠΎΡΠ±Π»ΠΈΠ·ΠΎ ΠΈΠ·ΡΠ΅Π³Π»Π΅Π½ΠΈΡΠ΅ ΡΠ°ΠΉΠ»ΠΎΠ²Π΅ Π·Π° ΡΠ΅ΠΊΡΠ½Π΄Π°. ΠΡΠΈ ΡΠ°ΠΊΠΈΠ²Π° ΡΠΈΡΠΈΠ½Π³ ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΠΈ ΠΎΠ±Π°ΡΠ΅ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ ΡΠ΅ΡΡΠΎ ΡΠ°Π·ΡΠΈΡΠ°Ρ Π½Π° Π½Π΅Π²Π½ΠΈΠΌΠ°ΡΠ΅Π»Π΅Π½ ΠΈΠ»ΠΈ Π±ΡΡΠ·Π°Ρ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π».
ΠΡΠ°ΠΏ 2. ΠΠΏΠ΅ΡΠ°ΡΠΈΡ Π½Π° VBS ΡΠΊΡΠΈΠΏΡ
VBS ΡΠΊΡΠΈΠΏΡΡΡ, ΠΊΠΎΠΉΡΠΎ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΡΡ ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΎΡΠ²ΠΎΡΠΈ ΠΏΠΎ Π½Π΅Π²Π½ΠΈΠΌΠ°Π½ΠΈΠ΅, ΡΠ΅Π³ΠΈΡΡΡΠΈΡΠ° DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ° Π² ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΡΠ΅Π³ΠΈΡΡΡΡ Π½Π° Windows. Π‘ΠΊΡΠΈΠΏΡΡΡ Π±Π΅ΡΠ΅ ΠΎΠ±ΡΡΡΡΠΈΡΠ°Π½: ΡΠ΅Π΄ΠΎΠ²Π΅ΡΠ΅ Π² Π½Π΅Π³ΠΎ Π±ΡΡ Π° Π½Π°ΠΏΠΈΡΠ°Π½ΠΈ ΠΊΠ°ΡΠΎ Π±Π°ΠΉΡΠΎΠ²Π΅, ΡΠ°Π·Π΄Π΅Π»Π΅Π½ΠΈ Ρ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ»Π΅Π½ Π·Π½Π°ΠΊ.
ΠΡΠΈΠΌΠ΅Ρ Π·Π° ΠΎΠ±ΡΡΡΡΠΈΡΠ°Π½ ΡΠΊΡΠΈΠΏΡ
ΠΠ»Π³ΠΎΡΠΈΡΡΠΌΡΡ Π·Π° Π΄Π΅ΠΎΠ±ΡΡΡΠΊΠ°ΡΠΈΡ Π΅ Π΄ΠΎΡΡΠ° ΠΏΡΠΎΡΡ: Π²ΡΠ΅ΠΊΠΈ ΡΡΠ΅ΡΠΈ ΡΠΈΠΌΠ²ΠΎΠ» Π±Π΅ΡΠ΅ ΠΈΠ·ΠΊΠ»ΡΡΠ΅Π½ ΠΎΡ ΠΎΠ±ΡΡΡΡΠΈΡΠ°Π½ΠΈΡ Π½ΠΈΠ·, ΡΠ»Π΅Π΄ ΠΊΠΎΠ΅ΡΠΎ ΡΠ΅Π·ΡΠ»ΡΠ°ΡΡΡ Π±Π΅ΡΠ΅ Π΄Π΅ΠΊΠΎΠ΄ΠΈΡΠ°Π½ ΠΎΡ base16 Π² ΠΎΡΠΈΠ³ΠΈΠ½Π°Π»Π½ΠΈΡ Π½ΠΈΠ·. ΠΠ°ΠΏΡΠΈΠΌΠ΅Ρ ΠΎΡ ΡΡΠΎΠΉΠ½ΠΎΡΡΡΠ° 57Q53s63t72s69J70r74e2El53v68m65j6CH6Ct
(ΠΌΠ°ΡΠΊΠΈΡΠ°Π½ΠΎ Π½Π° Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ° ΠΏΠΎ-Π³ΠΎΡΠ΅) ΠΏΠΎΠ»ΡΡΠ΅Π½ΠΈΡΡ ΡΠ΅Π΄ Π±Π΅ΡΠ΅ WScript.Shell
.
ΠΠ° Π΄Π΅ΠΎΠ±ΡΡΡΠΊΠ°ΡΠΈΡ Π½Π° Π½ΠΈΠ·ΠΎΠ²Π΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ ΠΌΠ΅ ΡΡΠ½ΠΊΡΠΈΡΡΠ° Π½Π° Python:
def decode_str(data_enc):
return binascii.unhexlify(''.join([data_enc[i:i+2] for i in range(0, len(data_enc), 3)]))
ΠΠΎ-Π΄ΠΎΠ»Ρ, Π½Π° ΡΠ΅Π΄ΠΎΠ²Π΅ 9β10, ΠΏΠΎΠ΄ΡΠ΅ΡΡΠ°Π²Π°ΠΌΠ΅ ΡΡΠΎΠΉΠ½ΠΎΡΡΡΠ°, ΡΠΈΠ΅ΡΠΎ Π΄Π΅ΠΎΠ±ΡΡΡΠΊΠ°ΡΠΈΡ Π΄ΠΎΠ²Π΅Π΄Π΅ Π΄ΠΎ DLL ΡΠ°ΠΉΠ». ΠΠΌΠ΅Π½Π½ΠΎ ΡΠΎΠΉ Π±Π΅ΡΠ΅ ΡΡΠ°ΡΡΠΈΡΠ°Π½ Π½Π° ΡΠ»Π΅Π΄Π²Π°ΡΠΈΡ Π΅ΡΠ°ΠΏ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° PowerShell.
ΠΠΈΠ· Ρ ΠΎΠ±ΡΡΡΡΠΈΡΠ°Π½ DLL
ΠΡΡΠΊΠ° ΡΡΠ½ΠΊΡΠΈΡ Π²ΡΠ² VBS ΡΠΊΡΠΈΠΏΡΠ° Π±Π΅ΡΠ΅ ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½Π°, Π΄ΠΎΠΊΠ°ΡΠΎ Π½ΠΈΠ·ΠΎΠ²Π΅ΡΠ΅ Π±ΡΡ Π° Π΄Π΅ΠΎΠ±ΡΡΡΠΊΠΈΡΠ°Π½ΠΈ.
Π‘Π»Π΅Π΄ ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅ Π½Π° ΡΠΊΡΠΈΠΏΡΠ° ΡΡΠ½ΠΊΡΠΈΡΡΠ° Π±Π΅ΡΠ΅ ΠΈΠ·Π²ΠΈΠΊΠ°Π½Π° wscript.sleep
β ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½ Π΅ Π·Π° ΠΈΠ·Π²ΡΡΡΠ²Π°Π½Π΅ Π½Π° ΠΎΡΠ»ΠΎΠΆΠ΅Π½ΠΎ ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅.
Π‘Π»Π΅Π΄ ΡΠΎΠ²Π° ΡΠΊΡΠΈΠΏΡΡΡ ΡΠ°Π±ΠΎΡΠΈ Ρ ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΡΠ΅Π³ΠΈΡΡΡΡ Π½Π° Windows. ΠΠ° ΡΠΎΠ²Π° ΡΠΎΠΉ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π° ΡΠ΅Ρ Π½ΠΎΠ»ΠΎΠ³ΠΈΡΡΠ° WMI. Π‘ Π½Π΅Π³ΠΎΠ²Π° ΠΏΠΎΠΌΠΎΡ Π±Π΅ΡΠ΅ ΡΡΠ·Π΄Π°Π΄Π΅Π½ ΡΠ½ΠΈΠΊΠ°Π»Π΅Π½ ΠΊΠ»ΡΡ ΠΈ Π² Π½Π΅Π³ΠΎΠ²ΠΈΡ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΡ Π±Π΅ΡΠ΅ Π·Π°ΠΏΠΈΡΠ°Π½ΠΎ ΡΡΠ»ΠΎΡΠΎ Π½Π° ΠΈΠ·ΠΏΡΠ»Π½ΠΈΠΌΠΈΡ ΡΠ°ΠΉΠ». Π Π΅Π³ΠΈΡΡΡΡΡΡ Π±Π΅ΡΠ΅ Π΄ΠΎΡΡΡΠΏΠ΅Π½ ΡΡΠ΅Π· WMI ΡΡΠ΅Π· ΡΠ»Π΅Π΄Π½Π°ΡΠ° ΠΊΠΎΠΌΠ°Π½Π΄Π°:
GetObject(winmgmts {impersonationLevel=impersonate}!\.rootdefault:StdRegProv)
ΠΠ°ΠΏΠΈΡ, Π½Π°ΠΏΡΠ°Π²Π΅Π½ Π² ΡΠ΅Π³ΠΈΡΡΡΡΠ° ΠΎΡ VBS ΡΠΊΡΠΈΠΏΡ
ΠΡΠ°ΠΏ 3. Π Π°Π±ΠΎΡΠ° Π½Π° DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°ΡΠ°
ΠΠ° ΡΡΠ΅ΡΠΈΡ Π΅ΡΠ°ΠΏ Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½Π°ΡΠ° DLL Π·Π°ΡΠ΅Π΄ΠΈ ΠΎΠΊΠΎΠ½ΡΠ°ΡΠ΅Π»Π½ΠΈΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ, ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ° Π³ΠΎ Π² ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΠΏΡΠΎΡΠ΅Ρ ΠΈ Π³Π°ΡΠ°Π½ΡΠΈΡΠ°, ΡΠ΅ VBS ΡΠΊΡΠΈΠΏΡΡΡ ΡΠ΅ ΡΡΠ°ΡΡΠΈΡΠ° Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½ΠΎ, ΠΊΠΎΠ³Π°ΡΠΎ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΡΡ Π²Π»Π΅Π·Π΅.
Π‘ΡΠ°ΡΡΠΈΡΠ°ΠΉΡΠ΅ ΡΡΠ΅Π· PowerShell
DLL Π΅ ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ ΡΡΡ ΡΠ»Π΅Π΄Π½Π°ΡΠ° ΠΊΠΎΠΌΠ°Π½Π΄Π° Π² PowerShell:
[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0
Π’Π°Π·ΠΈ ΠΊΠΎΠΌΠ°Π½Π΄Π° Π½Π°ΠΏΡΠ°Π²ΠΈ ΡΠ»Π΅Π΄Π½ΠΎΡΠΎ:
- ΠΏΠΎΠ»ΡΡΠ΅Π½ΠΈ Π΄Π°Π½Π½ΠΈ Π·Π° ΡΡΠΎΠΉΠ½ΠΎΡΡΡΠ° Π½Π° ΡΠ΅Π³ΠΈΡΡΡΡΠ° Ρ ΠΈΠΌΠ΅
rnd_value_name
β ΡΠ΅Π·ΠΈ Π΄Π°Π½Π½ΠΈ Π±ΡΡ Π° DLL ΡΠ°ΠΉΠ», Π½Π°ΠΏΠΈΡΠ°Π½ Π½Π° ΠΏΠ»Π°ΡΡΠΎΡΠΌΠ°ΡΠ° .Net; - Π·Π°ΡΠ΅Π΄ΠΈ ΠΏΠΎΠ»ΡΡΠ΅Π½ΠΈΡ .Net ΠΌΠΎΠ΄ΡΠ» Π² ΠΏΠ°ΠΌΠ΅ΡΡΠ° Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ°
powershell.exe
ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°[System.Threading.Thread]::GetDomain().Load()
(ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΠΎ ΠΎΠΏΠΈΡΠ°Π½ΠΈΠ΅ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ° Load().Π½Π°Π»ΠΈΡΠ΅Π½ Π½Π° ΡΠ΅Π±ΡΠ°ΠΉΡΠ° Π½Π° Microsoft ); - ΠΈΠ·ΠΏΡΠ»Π½ΡΠ²Π°Π» ΡΡΠ½ΠΊΡΠΈΡΡΠ°
GUyyvmzVhebFCw]::EhwwK()
- ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ΡΠΎ Π½Π° DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°ΡΠ° Π·Π°ΠΏΠΎΡΠ½Π° Ρ Π½Π΅Π³ΠΎ - Ρ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈvbsScriptPath
,xorKey
,vbsScriptName
... ΠΠ°ΡΠ°ΠΌΠ΅ΡΡΡxorKey
ΡΡΡ ΡΠ°Π½ΡΠ²Π°Ρ ΠΊΠ»ΡΡΠ° Π·Π° Π΄Π΅ΡΠΈΡΡΠΈΡΠ°Π½Π΅ Π½Π° ΠΊΡΠ°ΠΉΠ½ΠΈΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ ΠΈ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅vbsScriptPath
ΠΈvbsScriptName
Π±ΡΡ Π° ΠΏΡΠ΅Ρ Π²ΡΡΠ»Π΅Π½ΠΈ, Π·Π° Π΄Π° ΡΠ΅ ΡΠ΅Π³ΠΈΡΡΡΠΈΡΠ° VBS ΡΠΊΡΠΈΠΏΡ Π² autorun.
ΠΠΏΠΈΡΠ°Π½ΠΈΠ΅ Π½Π° DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°ΡΠ°
Π Π΄Π΅ΠΊΠΎΠΌΠΏΠΈΠ»ΠΈΡΠ°Π½ Π²ΠΈΠ΄ Π±ΡΡΡΠ»ΠΎΡΠ΄ΡΡΡΡ ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π°ΡΠ΅ ΡΠ°ΠΊΠ°:
Π’ΠΎΠ²Π°ΡΠ°Ρ Π² Π΄Π΅ΠΊΠΎΠΌΠΏΠΈΠ»ΠΈΡΠ°Π½ Π²ΠΈΠ΄ (ΡΡΠ½ΠΊΡΠΈΡΡΠ°, Ρ ΠΊΠΎΡΡΠΎ ΡΡΠ°ΡΡΠΈΡΠ° ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ΡΠΎ Π½Π° DLL Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°ΡΠ°, Π΅ ΠΏΠΎΠ΄ΡΠ΅ΡΡΠ°Π½Π° Π² ΡΠ΅ΡΠ²Π΅Π½ΠΎ)
ΠΡΡΡΠ»ΠΎΡΠ΄ΡΡΡΡ Π΅ Π·Π°ΡΠΈΡΠ΅Π½ ΠΎΡ ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡΠ° Π½Π° .Net Reactor. ΠΠΎΠΌΠΎΡΠ½Π°ΡΠ° ΠΏΡΠΎΠ³ΡΠ°ΠΌΠ° de4dot Π²ΡΡΡΠΈ ΠΎΡΠ»ΠΈΡΠ½Π° ΡΠ°Π±ΠΎΡΠ° Π·Π° ΠΏΡΠ΅ΠΌΠ°Ρ Π²Π°Π½Π΅ Π½Π° ΡΠΎΠ·ΠΈ ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡ.
Π’ΠΎΠ·ΠΈ ΡΠΎΠ²Π°ΡΠ°Ρ:
- ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ° ΠΏΠΎΠ»Π΅Π·Π½ΠΈΡ ΡΠΎΠ²Π°Ρ Π² ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΠΏΡΠΎΡΠ΅Ρ (Π² ΡΠΎΠ·ΠΈ ΠΏΡΠΈΠΌΠ΅Ρ ΡΠΎΠΉ
svchost.exe
); - ΠΠΎΠ±Π°Π²ΠΈΡ VBS ΡΠΊΡΠΈΠΏΡ ΠΊΡΠΌ Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½ΠΎ ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅.
ΠΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅ Π½Π° ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ
ΠΠ΅ΠΊΠ° ΡΠ°Π·Π³Π»Π΅Π΄Π°ΠΌΠ΅ ΡΡΠ½ΠΊΡΠΈΡΡΠ°, ΠΈΠ·Π²ΠΈΠΊΠ°Π½Π° ΠΎΡ ΡΠΊΡΠΈΠΏΡΠ° Π½Π° PowerShell.
Π€ΡΠ½ΠΊΡΠΈΡ, ΠΈΠ·Π²ΠΈΠΊΠ°Π½Π° ΠΎΡ ΡΠΊΡΠΈΠΏΡ Π½Π° PowerShell
Π’Π°Π·ΠΈ ΡΡΠ½ΠΊΡΠΈΡ ΠΈΠ·Π²ΡΡΡΠΈ ΡΠ»Π΅Π΄Π½ΠΈΡΠ΅ Π΄Π΅ΠΉΡΡΠ²ΠΈΡ:
- Π΄Π΅ΡΠΈΡΡΠΈΡΠ° Π΄Π²Π° Π½Π°Π±ΠΎΡΠ° ΠΎΡ Π΄Π°Π½Π½ΠΈ (
array
ΠΈarray2
Π² Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ°). ΠΡΡΠ²ΠΎΠ½Π°ΡΠ°Π»Π½ΠΎ ΡΠ΅ Π±ΡΡ Π° ΠΊΠΎΠΌΠΏΡΠ΅ΡΠΈΡΠ°Π½ΠΈ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° gzip ΠΈ ΠΊΡΠΈΠΏΡΠΈΡΠ°Π½ΠΈ Ρ Π°Π»Π³ΠΎΡΠΈΡΡΠΌΠ° XOR Ρ ΠΊΠ»ΡΡΠ°xorKey
; - ΠΊΠΎΠΏΠΈΡΠ°Π½ΠΈ Π΄Π°Π½Π½ΠΈ Π² ΡΠ°Π·ΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈ ΠΎΠ±Π»Π°ΡΡΠΈ Π½Π° ΠΏΠ°ΠΌΠ΅ΡΡΠ°. ΠΠ°Π½Π½ΠΈ ΠΎΡ
array
- ΠΊΡΠΌ ΠΏΠΎΡΠΎΡΠ΅Π½Π°ΡΠ° ΠΎΠ±Π»Π°ΡΡ Π½Π° ΠΏΠ°ΠΌΠ΅ΡΡΠ°intPtr
(payload pointer
Π² Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ°); Π΄Π°Π½Π½ΠΈ ΠΎΡarray2
- ΠΊΡΠΌ ΠΏΠΎΡΠΎΡΠ΅Π½Π°ΡΠ° ΠΎΠ±Π»Π°ΡΡ Π½Π° ΠΏΠ°ΠΌΠ΅ΡΡΠ°intPtr2
(shellcode pointer
Π² Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ°); - Π½Π°ΡΠ΅ΡΠ΅Π½Π° ΡΡΠ½ΠΊΡΠΈΡ
CallWindowProcA
(ΠΎΠΏΠΈΡΠ°Π½ΠΈΠ΅ Π’Π°Π·ΠΈ ΡΡΠ½ΠΊΡΠΈΡ Π΅ Π΄ΠΎΡΡΡΠΏΠ½Π° Π½Π° ΡΠ΅Π±ΡΠ°ΠΉΡΠ° Π½Π° Microsoft) ΡΡΡ ΡΠ»Π΅Π΄Π½ΠΈΡΠ΅ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ (ΠΈΠΌΠ΅Π½Π°ΡΠ° Π½Π° ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅ ΡΠ° ΠΈΠ·Π±ΡΠΎΠ΅Π½ΠΈ ΠΏΠΎ-Π΄ΠΎΠ»Ρ, Π½Π° Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ° ΡΠ΅ ΡΠ° Π² ΡΡΡΠΈΡ ΡΠ΅Π΄, Π½ΠΎ Ρ ΡΠ°Π±ΠΎΡΠ΅ΡΠΈ ΡΡΠΎΠΉΠ½ΠΎΡΡΠΈ):lpPrevWndFunc
- ΡΠΊΠ°Π·Π°ΡΠ΅Π» ΠΊΡΠΌ Π΄Π°Π½Π½ΠΈ ΠΎΡarray2
;hWnd
β ΡΠΊΠ°Π·Π°ΡΠ΅Π» ΠΊΡΠΌ Π½ΠΈΠ·, ΡΡΠ΄ΡΡΠΆΠ°Ρ ΠΏΡΡΡ Π΄ΠΎ ΠΈΠ·ΠΏΡΠ»Π½ΠΈΠΌΠΈΡ ΡΠ°ΠΉΠ»svchost.exe
;Msg
- ΡΠΊΠ°Π·Π°ΡΠ΅Π» ΠΊΡΠΌ Π΄Π°Π½Π½ΠΈ ΠΎΡarray
;wParam
,lParam
β ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ Π½Π° ΡΡΠΎΠ±ΡΠ΅Π½ΠΈΠ΅ΡΠΎ (Π² ΡΠΎΠ·ΠΈ ΡΠ»ΡΡΠ°ΠΉ ΡΠ΅Π·ΠΈ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ Π½Π΅ ΡΠ° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½ΠΈ ΠΈ ΠΈΠΌΠ°Ρ ΡΡΠΎΠΉΠ½ΠΎΡΡΠΈ 0);
- ΡΡΠ·Π΄Π°Π΄Π΅ ΡΠ°ΠΉΠ»
%AppData%MicrosoftWindowsStart MenuProgramsStartup<name>.url
ΠΡΠ΄Π΅ΡΠΎ<name>
- ΡΠΎΠ²Π° ΡΠ° ΠΏΡΡΠ²ΠΈΡΠ΅ 4 Π·Π½Π°ΠΊΠ° ΠΎΡ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΡΠ°vbsScriptName
(Π½Π° Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ° ΡΡΠ°Π³ΠΌΠ΅Π½ΡΡΡ ΠΎΡ ΠΊΠΎΠ΄ Ρ ΡΠΎΠ²Π° Π΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ Π·Π°ΠΏΠΎΡΠ²Π° Ρ ΠΊΠΎΠΌΠ°Π½Π΄Π°ΡΠ°File.Copy
). ΠΠΎ ΡΠΎΠ·ΠΈ Π½Π°ΡΠΈΠ½ Π·Π»ΠΎΠ²ΡΠ΅Π΄Π½ΠΈΡΡ ΡΠΎΡΡΡΠ΅Ρ Π΄ΠΎΠ±Π°Π²Ρ URL ΡΠ°ΠΉΠ» ΠΊΡΠΌ ΡΠΏΠΈΡΡΠΊΠ° Ρ ΡΠ°ΠΉΠ»ΠΎΠ²Π΅ Π·Π° Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½ΠΎ ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅, ΠΊΠΎΠ³Π°ΡΠΎ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΡΡ Π²Π»Π΅Π·Π΅ Π² ΡΠΈΡΡΠ΅ΠΌΠ°ΡΠ° ΠΈ ΠΏΠΎ ΡΠΎΠ·ΠΈ Π½Π°ΡΠΈΠ½ ΡΠ΅ ΠΏΡΠΈΠΊΠ°ΡΠΈ ΠΊΡΠΌ Π·Π°ΡΠ°Π·Π΅Π½ΠΈΡ ΠΊΠΎΠΌΠΏΡΡΡΡ. URL ΡΠ°ΠΉΠ»ΡΡ ΡΡΠ΄ΡΡΠΆΠ° Π²ΡΡΠ·ΠΊΠ° ΠΊΡΠΌ ΡΠΊΡΠΈΠΏΡΠ°:
[InternetShortcut]
URL = file : ///<vbsScriptPath>
ΠΠ° Π΄Π° ΡΠ°Π·Π±Π΅ΡΠ΅ΠΌ ΠΊΠ°ΠΊ Π΅ ΠΈΠ·Π²ΡΡΡΠ΅Π½ΠΎ ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅ΡΠΎ, Π΄Π΅ΡΠΈΡΡΠΈΡΠ°Ρ
ΠΌΠ΅ ΠΌΠ°ΡΠΈΠ²ΠΈΡΠ΅ ΠΎΡ Π΄Π°Π½Π½ΠΈ array
ΠΈ array2
. ΠΠ° Π΄Π° Π½Π°ΠΏΡΠ°Π²ΠΈΠΌ ΡΠΎΠ²Π°, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ
ΠΌΠ΅ ΡΠ»Π΅Π΄Π½Π°ΡΠ° ΡΡΠ½ΠΊΡΠΈΡ Π½Π° Python:
def decrypt(data, key):
return gzip.decompress(
bytearray([data[i] ^ key[i % len(key)] for i in range(len(data))])[4:])
Π ΡΠ΅Π·ΡΠ»ΡΠ°Ρ Π½Π° ΡΠΎΠ²Π° ΡΡΡΠ°Π½ΠΎΠ²ΠΈΡ ΠΌΠ΅, ΡΠ΅:
array
Π±Π΅ΡΠ΅ PE ΡΠ°ΠΉΠ» - ΡΠΎΠ²Π° Π΅ ΠΊΡΠ°ΠΉΠ½ΠΈΡΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ;array2
Π±Π΅ΡΠ΅ ΡΠ΅Π»ΠΊΠΎΠ΄ΡΡ, Π½Π΅ΠΎΠ±Ρ ΠΎΠ΄ΠΈΠΌ Π·Π° ΠΈΠ·Π²ΡΡΡΠ²Π°Π½Π΅ Π½Π° ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅ΡΠΎ.
Shellcode ΠΎΡ ΠΌΠ°ΡΠΈΠ² array2
ΠΏΡΠ΅Π΄Π°Π²Π° ΠΊΠ°ΡΠΎ ΡΡΠΎΠΉΠ½ΠΎΡΡ Π½Π° ΡΡΠ½ΠΊΡΠΈΡ lpPrevWndFunc
Π²ΡΠ² ΡΡΠ½ΠΊΡΠΈΡ CallWindowProcA
. lpPrevWndFunc
β ΡΡΠ½ΠΊΡΠΈΡ Π·Π° ΠΎΠ±ΡΠ°ΡΠ½ΠΎ ΠΈΠ·Π²ΠΈΠΊΠ²Π°Π½Π΅, Π½Π΅ΠΉΠ½ΠΈΡΡ ΠΏΡΠΎΡΠΎΡΠΈΠΏ ΠΈΠ·Π³Π»Π΅ΠΆΠ΄Π° ΡΠ°ΠΊΠ°:
LRESULT WndFunc(
HWND hWnd,
UINT Msg,
WPARAM wParam,
LPARAM lParam
);
Π’Π°ΠΊΠ° ΡΠ΅, ΠΊΠΎΠ³Π°ΡΠΎ ΡΡΠ°ΡΡΠΈΡΠ°ΡΠ΅ ΡΡΠ½ΠΊΡΠΈΡΡΠ° CallWindowProcA
Ρ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈ hWnd
, Msg
, wParam
, lParam
ΡΠ΅ ΠΈΠ·ΠΏΡΠ»Π½ΡΠ²Π° shellcode ΠΎΡ ΠΌΠ°ΡΠΈΠ²Π° array2
Ρ Π°ΡΠ³ΡΠΌΠ΅Π½ΡΠΈ hWnd
ΠΈ Msg
. hWnd
Π΅ ΡΠΊΠ°Π·Π°ΡΠ΅Π» ΠΊΡΠΌ Π½ΠΈΠ·, ΡΡΠ΄ΡΡΠΆΠ°Ρ ΠΏΡΡΡ ΠΊΡΠΌ ΠΈΠ·ΠΏΡΠ»Π½ΠΈΠΌΠΈΡ ΡΠ°ΠΉΠ» svchost.exe
Π Msg
β ΡΠΊΠ°Π·Π°ΡΠ΅Π» ΠΊΡΠΌ ΠΊΡΠ°ΠΉΠ½ΠΈΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ.
Π¨Π΅Π»ΠΊΠΎΠ΄ΡΡ ΠΏΠΎΠ»ΡΡΠΈ ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π»Π½ΠΈ Π°Π΄ΡΠ΅ΡΠΈ ΠΎΡ kernel32.dll
ΠΈ ntdll32.dll
Π²ΡΠ· ΠΎΡΠ½ΠΎΠ²Π° Π½Π° Ρ
Π΅Ρ ΡΡΠΎΠΉΠ½ΠΎΡΡΠΈ ΠΎΡ ΡΠ΅Ρ
Π½ΠΈΡΠ΅ ΠΈΠΌΠ΅Π½Π° ΠΈ ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ° ΠΊΡΠ°ΠΉΠ½ΠΈΡ ΠΏΠΎΠ»Π΅Π·Π΅Π½ ΡΠΎΠ²Π°Ρ Π² ΠΏΠ°ΠΌΠ΅ΡΡΠ° Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ° svchost.exe
ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΉΠΊΠΈ ΡΠ΅Ρ
Π½ΠΈΠΊΠ°ΡΠ° Process Hollowing (ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΠΏΡΠΎΡΠ΅ΡΠ΅ΡΠ΅ ΠΏΠΎΠ²Π΅ΡΠ΅ Π·Π° ΡΠΎΠ²Π° Π² ΡΠΎΠ²Π°
- ΡΡΠ·Π΄Π°Π΄Π΅ ΠΏΡΠΎΡΠ΅Ρ
svchost.exe
Π² ΠΎΠΊΠ°ΡΠ΅Π½ΠΎ ΡΡΡΡΠΎΡΠ½ΠΈΠ΅ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°CreateProcessW
; - ΡΠ»Π΅Π΄ ΡΠΎΠ²Π° ΡΠΊΡΠΈ Π΄ΠΈΡΠΏΠ»Π΅Ρ Π½Π° ΡΠ΅ΠΊΡΠΈΡΡΠ° Π² Π°Π΄ΡΠ΅ΡΠ½ΠΎΡΠΎ ΠΏΡΠΎΡΡΡΠ°Π½ΡΡΠ²ΠΎ Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ°
svchost.exe
ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°NtUnmapViewOfSection
. Π’Π°ΠΊΠ° ΠΏΡΠΎΠ³ΡΠ°ΠΌΠ°ΡΠ° ΠΎΡΠ²ΠΎΠ±ΠΎΠ΄ΠΈ ΠΏΠ°ΠΌΠ΅ΡΡΠ° Π½Π° ΠΎΡΠΈΠ³ΠΈΠ½Π°Π»Π½ΠΈΡ ΠΏΡΠΎΡΠ΅Ρsvchost.exe
ΡΠ»Π΅Π΄ ΡΠΎΠ²Π° Π΄Π° ΡΠ°Π·ΠΏΡΠ΅Π΄Π΅Π»ΠΈ ΠΏΠ°ΠΌΠ΅Ρ Π·Π° ΠΏΠΎΠ»Π΅Π·Π½ΠΈΡ ΡΠΎΠ²Π°Ρ Π½Π° ΡΠΎΠ·ΠΈ Π°Π΄ΡΠ΅Ρ; - ΡΠ°Π·ΠΏΡΠ΅Π΄Π΅Π»Π΅Π½Π° ΠΏΠ°ΠΌΠ΅Ρ Π·Π° ΠΏΠΎΠ»Π΅Π·Π½ΠΈΡ ΡΠΎΠ²Π°Ρ Π² Π°Π΄ΡΠ΅ΡΠ½ΠΎΡΠΎ ΠΏΡΠΎΡΡΡΠ°Π½ΡΡΠ²ΠΎ Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ°
svchost.exe
ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°VirtualAllocEx
;
ΠΠ°ΡΠ°Π»ΠΎ Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ° Π½Π° ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅
- Π·Π°ΠΏΠΈΡΠ²Π° ΡΡΠ΄ΡΡΠΆΠ°Π½ΠΈΠ΅ΡΠΎ Π½Π° ΠΏΠΎΠ»Π΅Π·Π½ΠΈΡ ΡΠΎΠ²Π°Ρ Π² Π°Π΄ΡΠ΅ΡΠ½ΠΎΡΠΎ ΠΏΡΠΎΡΡΡΠ°Π½ΡΡΠ²ΠΎ Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ°
svchost.exe
ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°WriteProcessMemory
(ΠΊΠ°ΠΊΡΠΎ Π½Π° Π΅ΠΊΡΠ°Π½Π½Π°ΡΠ° ΡΠ½ΠΈΠΌΠΊΠ° ΠΏΠΎ-Π΄ΠΎΠ»Ρ); - Π²ΡΠ·ΠΎΠ±Π½ΠΎΠ²ΠΈ ΠΏΡΠΎΡΠ΅ΡΠ°
svchost.exe
ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°ResumeThread
.
ΠΠ°Π²ΡΡΡΠ²Π°Π½Π΅ Π½Π° ΠΏΡΠΎΡΠ΅ΡΠ° Π½Π° ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅
ΠΠ»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ Π·Π° ΠΈΠ·ΡΠ΅Π³Π»ΡΠ½Π΅
Π ΡΠ΅Π·ΡΠ»ΡΠ°Ρ Π½Π° ΠΎΠΏΠΈΡΠ°Π½ΠΈΡΠ΅ Π΄Π΅ΠΉΡΡΠ²ΠΈΡ Π½Π° Π·Π°ΡΠ°Π·Π΅Π½Π°ΡΠ° ΡΠΈΡΡΠ΅ΠΌΠ° Π΅ ΠΈΠ½ΡΡΠ°Π»ΠΈΡΠ°Π½ Π΅Π΄ΠΈΠ½ ΠΎΡ Π½ΡΠΊΠΎΠ»ΠΊΠΎ Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ΠΈ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΈ ΠΎΡ ΠΊΠ»Π°Ρ RAT. Π’Π°Π±Π»ΠΈΡΠ°ΡΠ° ΠΏΠΎ-Π΄ΠΎΠ»Ρ ΠΈΠ·Π±ΡΠΎΡΠ²Π° Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ΠΈΡ ΡΠΎΡΡΡΠ΅Ρ, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½ ΠΏΡΠΈ Π°ΡΠ°ΠΊΠ°ΡΠ°, ΠΊΠΎΠΉΡΠΎ ΠΌΠΎΠΆΠ΅ΠΌ ΡΠ²Π΅ΡΠ΅Π½ΠΎ Π΄Π° ΠΏΡΠΈΠΏΠΈΡΠ΅ΠΌ Π½Π° Π΅Π΄Π½Π° Π³ΡΡΠΏΠ° Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈ, ΡΡΠΉ ΠΊΠ°ΡΠΎ ΠΏΡΠΎΠ±ΠΈΡΠ΅ ΡΠ° ΠΈΠΌΠ°Π»ΠΈ Π΄ΠΎΡΡΡΠΏ Π΄ΠΎ Π΅Π΄ΠΈΠ½ ΠΈ ΡΡΡ ΠΊΠΎΠΌΠ°Π½Π΄Π΅Π½ ΠΈ ΠΊΠΎΠ½ΡΡΠΎΠ»Π΅Π½ ΡΡΡΠ²ΡΡ.
ΠΠΌΠ΅ Π½Π° Π·Π»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ
ΠΠ° ΠΏΡΡΠ²ΠΈ ΠΏΡΡ Π²ΠΈΠ΄ΡΠ½
SHA-256
C&C
ΠΡΠΎΡΠ΅ΡΡΡ, Π² ΠΊΠΎΠΉΡΠΎ ΡΠ΅ ΠΈΠ·Π²ΡΡΡΠ²Π° ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅ΡΠΎ
Darktrack
16-04-2020
ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702
kimjoy007.dyndns[.]org:2017
Svchost
Parallax
24-04-2020
b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043
kimjoy007.dyndns[.]org:2019
Svchost
ΠΠΠΠΠΠ ΠΠΠΠ
18-05-2020
3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3
kimjoy007.dyndns[.]org:9933
Svchost
ΠΡΠ΅ΠΆΠΎΠ² ΠΊΠ°Π±Π΅Π»
20-05-2020
6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d
kimjoy007.dyndns[.]org:2000
Svchost
ΠΡΠΈΠΌΠ΅ΡΠΈ Π·Π° ΡΠ°Π·ΠΏΡΠΎΡΡΡΠ°Π½ΡΠ²Π°Π½ Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ ΡΠΎΡΡΡΠ΅Ρ ΡΡΡ ΡΡΡΠΈΡ ΠΊΠΎΠ½ΡΡΠΎΠ»Π΅Π½ ΡΡΡΠ²ΡΡ
Π’ΡΠΊ ΡΡΡΠ±Π²Π° Π΄Π° ΡΠ΅ ΠΎΡΠ±Π΅Π»Π΅ΠΆΠΈ Π΄Π²Π΅ Π½Π΅ΡΠ°.
ΠΡΡΠ²ΠΎ, ΡΠ°ΠΌΠΈΡΡ ΡΠ°ΠΊΡ, ΡΠ΅ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ ΡΠ° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π»ΠΈ Π½ΡΠΊΠΎΠ»ΠΊΠΎ ΡΠ°Π·Π»ΠΈΡΠ½ΠΈ ΡΠ΅ΠΌΠ΅ΠΉΡΡΠ²Π° RAT Π½Π°Π²Π΅Π΄Π½ΡΠΆ. Π’ΠΎΠ²Π° ΠΏΠΎΠ²Π΅Π΄Π΅Π½ΠΈΠ΅ Π½Π΅ Π΅ ΡΠΈΠΏΠΈΡΠ½ΠΎ Π·Π° Π΄ΠΎΠ±ΡΠ΅ ΠΏΠΎΠ·Π½Π°ΡΠΈΡΠ΅ ΠΊΠΈΠ±Π΅ΡΠ³ΡΡΠΏΠΈ, ΠΊΠΎΠΈΡΠΎ ΡΠ΅ΡΡΠΎ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ ΠΏΡΠΈΠ±Π»ΠΈΠ·ΠΈΡΠ΅Π»Π½ΠΎ ΡΡΡΠΈΡ Π½Π°Π±ΠΎΡ ΠΎΡ ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½ΡΠΈ, ΠΊΠΎΠΈΡΠΎ ΡΠ° ΠΈΠΌ ΠΏΠΎΠ·Π½Π°ΡΠΈ.
ΠΡΠΎΡΠΎ, RATKing ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π° Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½ ΡΠΎΡΡΡΠ΅Ρ, ΠΊΠΎΠΉΡΠΎ ΠΈΠ»ΠΈ ΡΠ΅ ΠΏΡΠΎΠ΄Π°Π²Π° Π² ΡΠΏΠ΅ΡΠΈΠ°Π»ΠΈΠ·ΠΈΡΠ°Π½ΠΈ ΡΠΎΡΡΠΌΠΈ Π½Π° Π½ΠΈΡΠΊΠ° ΡΠ΅Π½Π°, ΠΈΠ»ΠΈ Π΄ΠΎΡΠΈ Π΅ ΠΏΡΠΎΠ΅ΠΊΡ Ρ ΠΎΡΠ²ΠΎΡΠ΅Π½ ΠΊΠΎΠ΄.
ΠΠΎ-ΠΏΡΠ»Π΅Π½ ΡΠΏΠΈΡΡΠΊ Π½Π° Π·Π»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½ Π² ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡΡΠ° - Ρ Π΅Π΄Π½ΠΎ Π²Π°ΠΆΠ½ΠΎ ΠΏΡΠ΅Π΄ΡΠΏΡΠ΅ΠΆΠ΄Π΅Π½ΠΈΠ΅ - Π΅ Π΄Π°Π΄Π΅Π½ Π² ΠΊΡΠ°Ρ Π½Π° ΡΡΠ°ΡΠΈΡΡΠ°.
ΠΡΠ½ΠΎΡΠ½ΠΎ Π³ΡΡΠΏΠ°ΡΠ°
ΠΠ΅ ΠΌΠΎΠΆΠ΅ΠΌ Π΄Π° ΠΏΡΠΈΠΏΠΈΡΠ΅ΠΌ ΠΎΠΏΠΈΡΠ°Π½Π°ΡΠ° Π·Π»ΠΎΠ½Π°ΠΌΠ΅ΡΠ΅Π½Π° ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡ Π½Π° ΠΈΠ·Π²Π΅ΡΡΠ½ΠΈ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈ. ΠΠ°ΡΠ΅Π³Π° ΡΠΌΡΡΠ°ΠΌΠ΅, ΡΠ΅ ΡΠ΅Π·ΠΈ Π°ΡΠ°ΠΊΠΈ ΡΠ° ΠΈΠ·Π²ΡΡΡΠ΅Π½ΠΈ ΠΎΡ ΠΏΡΠΈΠ½ΡΠΈΠΏΠ½ΠΎ Π½ΠΎΠ²Π° Π³ΡΡΠΏΠ°. ΠΠ°ΠΊΡΠΎ ΠΏΠΈΡΠ°Ρ ΠΌΠ΅ Π² Π½Π°ΡΠ°Π»ΠΎΡΠΎ, Π½Π°ΡΠ΅ΠΊΠΎΡ ΠΌΠ΅ Π³ΠΎ RATKing.
ΠΠ° Π΄Π° ΡΡΠ·Π΄Π°Π΄Π΅ VBS ΡΠΊΡΠΈΠΏΡΠ°, Π³ΡΡΠΏΠ°ΡΠ° Π²Π΅ΡΠΎΡΡΠ½ΠΎ Π΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π»Π° ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½Ρ, ΠΏΠΎΠ΄ΠΎΠ±Π΅Π½ Π½Π° ΠΏΠΎΠΌΠΎΡΠ½Π°ΡΠ° ΠΏΡΠΎΠ³ΡΠ°ΠΌΠ°
- ΠΈΠ·Π²ΡΡΡΠ΅ΡΠ΅ ΠΎΡΠ»ΠΎΠΆΠ΅Π½ΠΎ ΠΈΠ·ΠΏΡΠ»Π½Π΅Π½ΠΈΠ΅ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° ΡΡΠ½ΠΊΡΠΈΡΡΠ°
Sleep
; - ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΉΡΠ΅ WMI;
- ΡΠ΅Π³ΠΈΡΡΡΠΈΡΠ°ΠΉΡΠ΅ ΡΡΠ»ΠΎΡΠΎ Π½Π° ΠΈΠ·ΠΏΡΠ»Π½ΠΈΠΌΠΈΡ ΡΠ°ΠΉΠ» ΠΊΠ°ΡΠΎ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΡ Π½Π° ΠΊΠ»ΡΡ Π² ΡΠ΅Π³ΠΈΡΡΡΡΠ°;
- ΠΈΠ·ΠΏΡΠ»Π½ΠΈ ΡΠΎΠ·ΠΈ ΡΠ°ΠΉΠ» Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° PowerShell Π² ΡΠΎΠ±ΡΡΠ²Π΅Π½ΠΎΡΠΎ ΡΠΈ Π°Π΄ΡΠ΅ΡΠ½ΠΎ ΠΏΡΠΎΡΡΡΠ°Π½ΡΡΠ²ΠΎ.
ΠΠ° ΠΏΠΎ-Π³ΠΎΠ»ΡΠΌΠ° ΡΡΠ½ΠΎΡΠ° ΡΡΠ°Π²Π½Π΅ΡΠ΅ ΠΊΠΎΠΌΠ°Π½Π΄Π°ΡΠ° PowerShell Π·Π° ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅ Π½Π° ΡΠ°ΠΉΠ» ΠΎΡ ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈΡ ΡΠ΅Π³ΠΈΡΡΡΡ, ΠΊΠΎΠΉΡΠΎ ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π° ΠΎΡ ΡΠΊΡΠΈΠΏΡ, ΡΡΠ·Π΄Π°Π΄Π΅Π½ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° VBS-Crypter:
((Get-ItemPropertyHKCU:SoftwareNYANxCAT).NYANxCAT);$text=-join$text[-1..-$text.Length];[AppDomain]::CurrentDomain.Load([Convert]::FromBase64String($text)).EntryPoint.Invoke($Null,$Null);
Ρ ΠΏΠΎΠ΄ΠΎΠ±Π½Π° ΠΊΠΎΠΌΠ°Π½Π΄Π°, ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π½Π° ΠΎΡ Π°ΡΠ°ΠΊΡΠ²Π°ΡΠΈΡ ΡΠΊΡΠΈΠΏΡ:
[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0
ΠΠΌΠ°ΠΉΡΠ΅ ΠΏΡΠ΅Π΄Π²ΠΈΠ΄, ΡΠ΅ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈΡΠ΅ ΡΠ° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Π»ΠΈ Π΄ΡΡΠ³Π° ΠΏΠΎΠΌΠΎΡΠ½Π° ΠΏΡΠΎΠ³ΡΠ°ΠΌΠ° ΠΎΡ NYAN-x-CAT ΠΊΠ°ΡΠΎ Π΅Π΄ΠΈΠ½ ΠΎΡ ΠΏΠΎΠ»Π΅Π·Π½ΠΈΡΠ΅ ΡΠΎΠ²Π°ΡΠΈ -
ΠΠ΄ΡΠ΅ΡΠΈΡΠ΅ Π½Π° C&C ΡΡΡΠ²ΡΡΠΈΡΠ΅ ΠΏΠΎΠΊΠ°Π·Π²Π°Ρ Π΄ΡΡΠ³Π° ΠΎΡΠ»ΠΈΡΠΈΡΠ΅Π»Π½Π° ΡΠ΅ΡΡΠ° Π½Π° RATKing: Π³ΡΡΠΏΠ°ΡΠ° ΠΏΡΠ΅Π΄ΠΏΠΎΡΠΈΡΠ° Π΄ΠΈΠ½Π°ΠΌΠΈΡΠ½ΠΈ DNS ΡΡΠ»ΡΠ³ΠΈ (Π²ΠΈΠΆΡΠ΅ ΡΠΏΠΈΡΡΠΊΠ° Ρ C&C Π² ΡΠ°Π±Π»ΠΈΡΠ°ΡΠ° Π½Π° IoC).
IoC
Π’Π°Π±Π»ΠΈΡΠ°ΡΠ° ΠΏΠΎ-Π΄ΠΎΠ»Ρ ΠΏΡΠ΅Π΄ΠΎΡΡΠ°Π²Ρ ΠΏΡΠ»Π΅Π½ ΡΠΏΠΈΡΡΠΊ Π½Π° VBS ΡΠΊΡΠΈΠΏΡΠΎΠ²Π΅, ΠΊΠΎΠΈΡΠΎ Π½Π°ΠΉ-Π²Π΅ΡΠΎΡΡΠ½ΠΎ ΠΌΠΎΠ³Π°Ρ Π΄Π° Π±ΡΠ΄Π°Ρ ΠΏΡΠΈΠΏΠΈΡΠ°Π½ΠΈ Π½Π° ΠΎΠΏΠΈΡΠ°Π½Π°ΡΠ° ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΡ. ΠΡΠΈΡΠΊΠΈ ΡΠ΅Π·ΠΈ ΡΠΊΡΠΈΠΏΡΠΎΠ²Π΅ ΡΠ° ΠΏΠΎΠ΄ΠΎΠ±Π½ΠΈ ΠΈ ΠΈΠ·ΠΏΡΠ»Π½ΡΠ²Π°Ρ ΠΏΡΠΈΠ±Π»ΠΈΠ·ΠΈΡΠ΅Π»Π½ΠΎ ΡΡΡΠ°ΡΠ° ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»Π½ΠΎΡΡ ΠΎΡ Π΄Π΅ΠΉΡΡΠ²ΠΈΡ. ΠΡΠΈΡΠΊΠΈ ΡΠ΅ ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Ρ Π·Π»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ ΠΎΡ ΠΊΠ»Π°Ρ RAT Π² Π΄ΠΎΠ²Π΅ΡΠ΅Π½ ΠΏΡΠΎΡΠ΅Ρ Π½Π° Windows. ΠΡΠΈΡΠΊΠΈ ΡΠ΅ ΠΈΠΌΠ°Ρ C&C Π°Π΄ΡΠ΅ΡΠΈ, ΡΠ΅Π³ΠΈΡΡΡΠΈΡΠ°Π½ΠΈ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° Dynamic DNS ΡΡΠ»ΡΠ³ΠΈ.
ΠΠ΅ ΠΌΠΎΠΆΠ΅ΠΌ ΠΎΠ±Π°ΡΠ΅ Π΄Π° ΡΠ²ΡΡΠ΄ΠΈΠΌ, ΡΠ΅ Π²ΡΠΈΡΠΊΠΈ ΡΠ΅Π·ΠΈ ΡΠΊΡΠΈΠΏΡΠΎΠ²Π΅ ΡΠ° Π±ΠΈΠ»ΠΈ ΡΠ°Π·ΠΏΡΠΎΡΡΡΠ°Π½Π΅Π½ΠΈ ΠΎΡ Π΅Π΄Π½ΠΈ ΠΈ ΡΡΡΠΈ Π½Π°ΠΏΠ°Π΄Π°ΡΠ΅Π»ΠΈ, Ρ ΠΈΠ·ΠΊΠ»ΡΡΠ΅Π½ΠΈΠ΅ Π½Π° ΠΏΡΠΎΠ±ΠΈ Ρ Π΅Π΄Π½ΠΈ ΠΈ ΡΡΡΠΈ C&C Π°Π΄ΡΠ΅ΡΠΈ (Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ kimjoy007.dyndns.org).
ΠΠΌΠ΅ Π½Π° Π·Π»ΠΎΠ²ΡΠ΅Π΄Π΅Π½ ΡΠΎΡΡΡΠ΅Ρ
SHA-256
C&C
ΠΡΠΎΡΠ΅ΡΡΡ, Π² ΠΊΠΎΠΉΡΠΎ ΡΠ΅ ΠΈΠ·Π²ΡΡΡΠ²Π° ΠΈΠ½ΠΆΠ΅ΠΊΡΠΈΡΠ°Π½Π΅ΡΠΎ
Parallax
b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043
kimjoy007.dyndns.org
Svchost
00edb8200dfeee3bdd0086c5e8e07c6056d322df913679a9f22a2b00b836fd72
hope.doomdns.org
Svchost
504cbae901c4b3987aa9ba458a230944cb8bd96bbf778ceb54c773b781346146
kimjoy007.dyndns.org
Svchost
1487017e087b75ad930baa8b017e8388d1e99c75d26b5d1deec8b80e9333f189
kimjoy007.dyndns.org
Svchost
c4160ec3c8ad01539f1c16fb35ed9c8c5a53a8fda8877f0d5e044241ea805891
franco20.dvrdns.org
Svchost
515249d6813bb2dde1723d35ee8eb6eeb8775014ca629ede017c3d83a77634ce
kimjoy007.dyndns.org
Svchost
1b70f6fee760bcfe0c457f0a85ca451ed66e61f0e340d830f382c5d2f7ab803f
franco20.dvrdns.org
Svchost
b2bdffa5853f29c881d7d9bff91b640bc1c90e996f85406be3b36b2500f61aa1
hope.doomdns.org
Svchost
c9745a8f33b3841fe7bfafd21ad4678d46fe6ea6125a8fedfcd2d5aee13f1601
kimjoy007.dyndns.org
Svchost
1dfc66968527fbd4c0df2ea34c577a7ce7a2ba9b54ba00be62120cc88035fa65
franco20.dvrdns.org
Svchost
c6c05f21e16e488eed3001d0d9dd9c49366779559ad77fcd233de15b1773c981
kimjoy007.dyndns.org
Cmd
3b785cdcd69a96902ee62499c25138a70e81f14b6b989a2f81d82239a19a3aed
hope.doomdns.org
Svchost
4d71ceb9d6c53ac356c0f5bdfd1a5b28981061be87e38e077ee3a419e4c476f9
2004para.ddns.net
Svchost
00185cc085f284ece264e3263c7771073a65783c250c5fd9afc7a85ed94acc77
hope.doomdns.org
Svchost
0342107c0d2a069100e87ef5415e90fd86b1b1b1c975d0eb04ab1489e198fc78
franco20.dvrdns.org
Svchost
de33b7a7b059599dc62337f92ceba644ac7b09f60d06324ecf6177fff06b8d10
kimjoy007.dyndns.org
Svchost
80a8114d63606e225e620c64ad8e28c9996caaa9a9e87dd602c8f920c2197007
kimjoy007.dyndns.org
Svchost
acb157ba5a48631e1f9f269e6282f042666098614b66129224d213e27c1149bb
hope.doomdns.org
Cmd
bf608318018dc10016b438f851aab719ea0abe6afc166c8aea6b04f2320896d3
franco20.dvrdns.org
Svchost
4d0c9b8ad097d35b447d715a815c67ff3d78638b305776cde4d90bfdcb368e38
hope.doomdns.org
Svchost
e7c676f5be41d49296454cd6e4280d89e37f506d84d57b22f0be0d87625568ba
kimjoy007.dyndns.org
Svchost
9375d54fcda9c7d65f861dfda698e25710fda75b5ebfc7a238599f4b0d34205f
franco20.dvrdns.org
Svchost
128367797fdf3c952831c2472f7a308f345ca04aa67b3f82b945cfea2ae11ce5
kimjoy007.dyndns.org
Svchost
09bd720880461cb6e996046c7d6a1c937aa1c99bd19582a562053782600da79d
hope.doomdns.org
Svchost
0a176164d2e1d5e2288881cc2e2d88800801001d03caedd524db365513e11276
paradickhead.homeip.net
Svchost
0af5194950187fd7cbd75b1b39aab6e1e78dae7c216d08512755849c6a0d1cbe
hope.doomdns.org
Svchost
ΠΠΎΠ΅Π½Π½Π° Π·ΠΎΠ½Π°
3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3
kimjoy007.dyndns.org
Svchost
db0d5a67a0ced6b2de3ee7d7fc845a34b9d6ca608e5fead7f16c9a640fa659eb
kimjoy007.dyndns.org
Svchost
ΠΡΠ΅ΠΆΠΎΠ² ΠΊΠ°Π±Π΅Π»
6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d
kimjoy007.dyndns.org
Svchost
Darktrack
ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702
kimjoy007.dyndns.org
Svchost
WSH RAT
d410ced15c848825dcf75d30808cde7784e5b208f9a57b0896e828f890faea0e
anekesolution.linkpc.net
RegAsm
Π²Π°Ρ
896604d27d88c75a475b28e88e54104e66f480bcab89cc75b6cdc6b29f8e438b
softmy.duckdns.org
RegAsm
QuasarRAT
bd1e29e9d17edbab41c3634649da5c5d20375f055ccf968c022811cd9624be57
darkhate-23030.portmap.io
RegAsm
12044aa527742282ad5154a4de24e55c9e1fae42ef844ed6f2f890296122153b
darkhate-23030.portmap.io
RegAsm
be93cc77d864dafd7d8c21317722879b65cfbb3297416bde6ca6edbfd8166572
darkhate-23030.portmap.io
RegAsm
933a136f8969707a84a61f711018cd21ee891d5793216e063ac961b5d165f6c0
darkhate-23030.portmap.io
RegAsm
71dea554d93728cce8074dbdb4f63ceb072d4bb644f0718420f780398dafd943
chrom1.myq-see.com
RegAsm
0d344e8d72d752c06dc6a7f3abf2ff7678925fde872756bf78713027e1e332d5
darkhate-23030.portmap.io
RegAsm
0ed7f282fd242c3f2de949650c9253373265e9152c034c7df3f5f91769c6a4eb
darkhate-23030.portmap.io
RegAsm
aabb6759ce408ebfa2cc57702b14adaec933d8e4821abceaef0c1af3263b1bfa
darkhate-23030.portmap.io
RegAsm
1699a37ddcf4769111daf33b7d313cf376f47e92f6b92b2119bd0c860539f745
darkhate-23030.portmap.io
RegAsm
3472597945f3bbf84e735a778fd75c57855bb86aca9b0a4d0e4049817b508c8c
darkhate-23030.portmap.io
RegAsm
809010d8823da84cdbb2c8e6b70be725a6023c381041ebda8b125d1a6a71e9b1
darkhate-23030.portmap.io
RegAsm
4217a2da69f663f1ab42ebac61978014ec4f562501efb2e040db7ebb223a7dff
darkhate-23030.portmap.io
RegAsm
08f34b3088af792a95c49bcb9aa016d4660609409663bf1b51f4c331b87bae00
darkhate-23030.portmap.io
RegAsm
79b4efcce84e9e7a2e85df7b0327406bee0b359ad1445b4f08e390309ea0c90d
darkhate-23030.portmap.io
RegAsm
12ea7ce04e0177a71a551e6d61e4a7916b1709729b2d3e9daf7b1bdd0785f63a
darkhate-23030.portmap.io
RegAsm
d7b8eb42ae35e9cc46744f1285557423f24666db1bde92bf7679f0ce7b389af9
darkhate-23030.portmap.io
RegAsm
def09b0fed3360c457257266cb851fffd8c844bc04a623c210a2efafdf000d5c
darkhate-23030.portmap.io
RegAsm
50119497c5f919a7e816a37178d28906fb3171b07fc869961ef92601ceca4c1c
darkhate-23030.portmap.io
RegAsm
ade5a2f25f603bf4502efa800d3cf5d19d1f0d69499b0f2e9ec7c85c6dd49621
darkhate-23030.portmap.io
RegAsm
189d5813c931889190881ee34749d390e3baa80b2c67b426b10b3666c3cc64b7
darkhate-23030.portmap.io
RegAsm
c3193dd67650723753289a4aebf97d4c72a1afe73c7135bee91c77bdf1517f21
darkhate-23030.portmap.io
RegAsm
a6f814f14698141753fc6fb7850ead9af2ebcb0e32ab99236a733ddb03b9eec2
darkhate-23030.portmap.io
RegAsm
a55116253624641544175a30c956dbd0638b714ff97b9de0e24145720dcfdf74
darkhate-23030.portmap.io
RegAsm
d6e0f0fb460d9108397850169112bd90a372f66d87b028e522184682a825d213
darkhate-23030.portmap.io
RegAsm
522ba6a242c35e2bf8303e99f03a85d867496bbb0572226e226af48cc1461a86
darkhate-23030.portmap.io
RegAsm
fabfdc209b02fe522f81356680db89f8861583da89984c20273904e0cf9f4a02
darkhate-23030.portmap.io
RegAsm
08ec13b7da6e0d645e4508b19ba616e4cf4e0421aa8e26ac7f69e13dc8796691
darkhate-23030.portmap.io
RegAsm
8433c75730578f963556ec99fbc8d97fa63a522cef71933f260f385c76a8ee8d
darkhate-23030.portmap.io
RegAsm
99f6bfd9edb9bf108b11c149dd59346484c7418fc4c455401c15c8ac74b70c74
darkhate-23030.portmap.io
RegAsm
d13520e48f0ff745e31a1dfd6f15ab56c9faecb51f3d5d3d87f6f2e1abe6b5cf
darkhate-23030.portmap.io
RegAsm
9e6978b16bd52fcd9c331839545c943adc87e0fbd7b3f947bab22ffdd309f747
darkhate-23030.portmap.io
RegAsmβ
ΠΠ·ΡΠΎΡΠ½ΠΈΠΊ: www.habr.com