เชคเชพเชเซเชคเชฐเชฎเชพเช, เชเชฒเซเชเซเชเซเชฐเชฟเชเชฒ เชเชจเซเชธเซเชเซเชฒเซเชถเชจ เชธเชพเชงเชจเซเชจเชพ เชฏเซเชฐเซเชชเชฟเชฏเชจ เชเชคเซเชชเชพเชฆเชเซ เชเซเชฐเซเชช-เชเชเชฌเซเชจเซ เชธเชเชชเชฐเซเช เชเชฐเซเชฏเซ - เชคเซเชจเชพ เชเชฐเซเชฎเชเชพเชฐเซเชจเซ เชฎเซเชฒเชฎเชพเช เชฆเซเชทเชฟเชค เชเซเชกเชพเชฃ เชธเชพเชฅเซเชจเซ เชถเชเชเชพเชธเซเชชเชฆ เชชเชคเซเชฐ เชฎเชณเซเชฏเซ. เชเชฒเซเชฏเชพ เชชเซเชฎเซเชฐเชจเซเชเชธเซเชต, CERT Group-IB เชจเชพ เชฎเชพเชฒเชตเซเชฐ เชตเชฟเชถเซเชฒเซเชทเชฃ เชจเชฟเชทเซเชฃเชพเชคเซ, เช เชซเชพเชเชฒเชจเซเช เชตเชฟเชเชคเชตเชพเชฐ เชตเชฟเชถเซเชฒเซเชทเชฃ เชนเชพเชฅ เชงเชฐเซเชฏเซเช, เชคเซเชฏเชพเช AgentTesla เชธเซเชชเชพเชฏเชตเซเชฐ เชถเซเชงเซ เชเชพเชขเซเชฏเซเช เช
เชจเซ เชเชฃเชพเชตเซเชฏเซเช เชเซ เชเชตเชพ เชฎเชพเชฒเชตเซเชฐเชฅเซ เชถเซเช เช
เชชเซเชเซเชทเชพ เชฐเชพเชเชตเซ เช
เชจเซ เชคเซ เชเซเชตเซ เชฐเซเชคเซ เชเซเชเชฎเซ เชเซ.
เช เชชเซเชธเซเช เชธเชพเชฅเซ เช
เชฎเซ เชเชตเซ เชธเชเชญเชตเชฟเชค เชเซเชเชฎเซ เชซเชพเชเชฒเซเชจเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ เชเซเชตเซ เชฐเซเชคเซ เชเชฐเชตเซเช เชคเซ เช
เชเชเซเชจเชพ เชฒเซเชเซเชจเซ เชถเซเชฐเซเชฃเซ เชเซเชฒเซ เชฐเชนเซเชฏเชพ เชเซเช, เช
เชจเซ เช
เชฎเซ 5เชฎเซ เชกเชฟเชธเซเชฎเซเชฌเชฐเซ เช เชตเชฟเชทเชฏ เชชเชฐ เชฎเชซเชค เชเชจเซเชเชฐเซเชเซเชเชฟเชต เชตเซเชฌเชฟเชจเชพเชฐ เชฎเชพเชเซ เชธเซเชฅเซ เชตเชงเซ เชเชคเซเชธเซเชเชคเชพเชจเซ เชฐเชพเชน เชเซเช เชฐเชนเซเชฏเชพ เชเซเช. "เชฎเชพเชฒเชตเซเชฐ เชตเชฟเชถเซเชฒเซเชทเชฃ: เชตเชพเชธเซเชคเชตเชฟเช เชเซเชธเซเชจเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ". เชฌเชงเซ เชตเชฟเชเชคเซ เชเช เชนเซเช เชณ เชเซ.
เชตเชฟเชคเชฐเชฃ เชฎเชฟเชเซเชจเชฟเชเชฎ
เช เชฎเซ เชเชพเชฃเซเช เชเซเช เชเซ เชฎเชพเชฒเชตเซเชฐ เชชเซเชกเชฟเชคเชจเชพ เชฎเชถเซเชจ เชธเซเชงเซ เชซเชฟเชถเชฟเชเช เชเชฎเซเชฒเซเชธ เชฆเซเชตเชพเชฐเชพ เชชเชนเซเชเชเซเชฏเซ เชนเชคเซ. เชชเชคเซเชฐ เชฎเซเชณเชตเชจเชพเชฐ เชเชฆเชพเช BCCed เชนเชคเซ.
เชนเซเชกเชฐเซเชจเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ เชฆเชฐเซเชถเชพเชตเซ เชเซ เชเซ เชชเชคเซเชฐ เชฎเซเชเชฒเชจเชพเชฐเชจเซ เชจเชเชฒ เชเชฐเชตเชพเชฎเชพเช เชเชตเซ เชนเชคเซ. เชนเชเซเชเชคเชฎเชพเช, เชชเชคเซเชฐ เชธเชพเชฅเซ เชเซเชกเซ เชฆเซเชงเซ vps56[.]oneworldhosting[.]com.
เชเชฎเซเชเชฒ เชเซเชกเชพเชฃเชฎเชพเช WinRar เชเชฐเซเชเชพเชเชต เชเซ qoute_jpeg56a.r15 เชฆเซเชทเชฟเชค เชเชเซเชเซเชเซเชฏเซเชเซเชฌเชฒ เชซเชพเชเชฒ เชธเชพเชฅเซ QOUTE_JPEG56A.exe เช
เชเชฆเชฐ.
เชฎเชพเชฒเชตเซเชฐ เชเชเซเชธเชฟเชธเซเชเชฎ
เชนเชตเซ เชเชพเชฒเซ เชเซเชเช เชเซ เช เชญเซเชฏเชพเชธ เชนเซเช เชณเชจเชพ เชฎเชพเชฒเชตเซเชฐเชจเซ เชเชเซเชธเชฟเชธเซเชเชฎ เชเซเชตเซ เชฆเซเชเชพเชฏ เชเซ. เชจเซเชเซเชจเซ เชเชเซเชคเชฟ เชคเซเชจเซ เชฐเชเชจเชพ เช เชจเซ เชเชเชเซเชจเซ เชเซเชฐเชฟเชฏเชพเชชเซเชฐเชคเชฟเชเซเชฐเชฟเชฏเชพเชจเซ เชฆเชฟเชถเชพเช เชฆเชฐเซเชถเชพเชตเซ เชเซ.
เชนเชตเซ เชเชพเชฒเซ เชฆเชฐเซเช เชฎเชพเชฒเชตเซเชฐ เชเชเชเซเชจเซ เชตเชงเซ เชตเชฟเชเชคเชฎเชพเช เชเซเชเช.
เชฒเซเชกเชฐ
เชฎเซเชณ เชซเชพเชเชฒ QOUTE_JPEG56A.exe เชเช เชธเชเชเชฒเชฟเชค เชเซ AutoIt v3 เชธเซเชเซเชฐเชฟเชชเซเช
เชฎเซเชณ เชธเซเชเซเชฐเชฟเชชเซเชเชจเซ เช
เชธเซเชชเชทเซเช เชเชฐเชตเชพ เชฎเชพเชเซ, เชธเชฎเชพเชจ เชธเชพเชฅเซ เชเช เช
เชธเซเชชเชทเซเช PELock AutoIT-Obfuscator เชฒเชเซเชทเชฃเซ
เชกเชฟเชเชซเชธเซเชเซเชถเชจ เชคเซเชฐเชฃ เชคเชฌเชเซเชเชพเชฎเชพเช เชนเชพเชฅ เชงเชฐเชตเชพเชฎเชพเช เชเชตเซ เชเซ:
- เช
เชธเซเชชเชทเซเชเชคเชพ เชฆเซเชฐ เชเชฐเซ เชฐเชนเซเชฏเชพ เชเซเช เชฎเชพเชเซ-เชเซ
เชชเซเชฐเชฅเชฎ เชชเชเชฒเซเช เช เชธเซเชเซเชฐเชฟเชชเซเชเชจเชพ เชจเชฟเชฏเชเชคเซเชฐเชฃ เชชเซเชฐเชตเชพเชนเชจเซ เชชเซเชจเชเชธเซเชฅเชพเชชเชฟเชค เชเชฐเชตเชพเชจเซเช เชเซ. เชเชเชเซเชฐเซเชฒ เชซเซเชฒเซ เชซเซเชฒเซเชเชจเชฟเชเช เช เชเชชเซเชฒเซเชเซเชถเชจ เชฌเชพเชเชจเชฐเซ เชเซเชกเชจเซ เชตเชฟเชถเซเชฒเซเชทเชฃเชฅเซ เชธเซเชฐเชเซเชทเชฟเชค เชเชฐเชตเชพเชจเซ เชธเซเชฅเซ เชธเชพเชฎเชพเชจเซเชฏ เชฐเซเชคเซ เชชเซเชเซเชจเซ เชเช เชเซ. เชเซเชเชเชตเชฃเชญเชฐเซเชฏเซเช เชชเชฐเชฟเชตเชฐเซเชคเชจ เชเชฒเซเชเซเชฐเชฟเชงเชฎเซเชธ เช เชจเซ เชกเซเชเชพ เชธเซเชเซเชฐเชเซเชเชฐเซเชธเชจเซ เชเชพเชขเชตเชพ เช เชจเซ เชเชณเชเชตเชพเชจเซ เชเชเชฟเชฒเชคเชพเชจเซ เชจเชพเชเซเชฏเชพเชคเซเชฎเช เชฐเซเชคเซ เชตเชงเชพเชฐเซ เชเซ.
- เชชเชเชเซเชคเชฟ เชชเซเชจเชเชชเซเชฐเชพเชชเซเชคเชฟ
เชถเชฌเซเชฆเชฎเชพเชณเชพเชเชจเซ เชเชจเซเชเซเชฐเชฟเชชเซเช เชเชฐเชตเชพ เชฎเชพเชเซ เชฌเซ เชเชพเชฐเซเชฏเซเชจเซ เชเชชเชฏเซเช เชฅเชพเชฏ เชเซ:
- gdorizabegkvfca - เชฌเซเช 64 เชเซเชตเซเช เชกเซเชเซเชกเชฟเชเช เชเชฐเซ เชเซ
- xgacyukcyzxz - เชฌเซเชเชพเชจเซ เชฒเชเชฌเชพเช เชธเชพเชฅเซ เชชเซเชฐเชฅเชฎ เชธเซเชเซเชฐเชฟเชเชเชจเซ เชธเชพเชฆเซ เชฌเชพเชเช-เชฌเชพเชเช XOR
- เช
เชธเซเชชเชทเซเชเชคเชพ เชฆเซเชฐ เชเชฐเซ เชฐเชนเซเชฏเชพ เชเซเช BinaryToString ะธ เชเชฒเชพเชตเซ
เชฎเซเชเซเชฏ เชฒเซเชก เชกเชฟเชฐเซเชเซเชเชฐเซเชฎเชพเช เชตเชฟเชญเชพเชเชฟเชค เชธเซเชตเชฐเซเชชเชฎเชพเช เชธเชเชเซเชฐเชนเชฟเชค เชฅเชพเชฏ เชเซ เชซเซเชจเซเชเซเชธ เชซเชพเชเชฒเชจเชพ เชธเชเชธเชพเชงเชจ เชตเชฟเชญเชพเชเซ.
เชเซเชฒเซเชเชเช เชเชฐเซเชกเชฐ เชจเซเชเซ เชฎเซเชเชฌ เชเซ: TIEQHCXWFG, EMI, SPDGUHIMPV, KQJMWQQAQTKTFXTUOSW, AOCHKRWWSKWO, JSHMSJPS, NHHWXJBMTTSPXVN, BFUTIFWWXVE, HWJHO, AVZOUMVFRDWFLWU.
WinAPI เชซเชเชเซเชถเชจเชจเซ เชเชชเชฏเซเช เชเชเซเชธเชเซเชฐเซเชเซเชเซเชก เชกเซเชเชพเชจเซ เชกเชฟเชเซเชฐเชฟเชชเซเช เชเชฐเชตเชพ เชฎเชพเชเซ เชฅเชพเชฏ เชเซ CryptDecrypt, เช เชจเซ เชฎเซเชฒเซเชฏเชจเชพ เชเชงเชพเชฐเซ เชเชจเชฐเซเช เชฅเชฏเซเชฒ เชธเชคเซเชฐ เชเซเชจเซ เชเชชเชฏเซเช เชเซ เชคเชฐเซเชเซ เชฅเชพเชฏ เชเซ fZgFiZlJDxvuWatFRgRXZqmNCIyQgMYc.
เชกเชฟเชเซเชฐเชฟเชชเซเชเซเชก เชเชเซเชเชฟเชเซเชฏเซเชเซเชฌเชฒ เชซเชพเชเชฒ เชซเชเชเซเชถเชจ เชเชจเชชเซเช เชชเชฐ เชฎเซเชเชฒเชตเชพเชฎเชพเช เชเชตเซ เชเซ เชฐเชจเชชเซ, เชเซ เชนเชพเชฅ เชงเชฐเซ เชเซ ProcessInject ะฒ RegAsm.exe เชฌเชฟเชฒเซเช-เชเชจเชจเซ เชเชชเชฏเซเช เชเชฐเซเชจเซ เชถเซเชฒเชเซเชก (เชคเชฐเซเชเซ เชชเชฃ เชเชพเชฃเซเชคเซ RunPE เชถเซเชฒเชเซเชก). เชฒเซเชเชเชคเซเชต เชธเซเชชเซเชจเชฟเชถ เชซเซเชฐเชฎเชจเชพ เชตเชชเชฐเชพเชถเชเชฐเซเชคเชพเชจเซ เชเซ เชถเซเชงเซ เชถเชเชพเชฏ เชคเซเชตเซ[.]เชจเซเช เชตเซเชฐเซเชกเซ เชเชชเชจเชพเชฎ เชนเซเช เชณ.
เชคเซ เชจเซเชเชงเชตเซเช เชชเชฃ เชฏเซเชเซเชฏ เชเซ เชเซ เช เชซเซเชฐเชฎเชจเชพ เชฅเซเชฐเซเชกเชฎเชพเชเชจเชพ เชเชเชฎเชพเช, เชฎเชพเชเซ เชเช เช
เชธเซเชชเชทเซเช เชเชค เชชเชฐ เชจเชฎเซเชจเชพ เชตเชฟเชถเซเชฒเซเชทเชฃ เชฆเชฐเชฎเชฟเชฏเชพเชจ เชเชณเชเชพเชฏเซเชฒ เชธเชฎเชพเชจ เชเซเชฃเชงเชฐเซเชฎเซ เชธเชพเชฅเซ.
เชชเซเชคเซ เชถเซเชฒเชเซเชก เชคเชฆเซเชฆเชจ เชธเชฐเชณ เช เชจเซ เชงเซเชฏเชพเชจ เชเชเชฐเซเชทเชฟเชค เชเชฐเซ เชเซ เชฎเชพเชคเซเชฐ เชนเซเชเชฐ เชเซเชฅ AnunakCarbanak เชชเชพเชธเซเชฅเซ เชเชงเชพเชฐ เชฒเซเชงเซเชฒ. API เชเซเชฒ เชนเซเชถเชฟเชเช เชเชพเชฐเซเชฏ.
เช
เชฎเซ เชเชชเชฏเซเชเชจเชพ เชเชฟเชธเซเชธเชพเชเชฅเซ เชชเชฃ เชตเชพเชเซเชซ เชเซเช เชซเซเชฐเซเชจเซเช เชถเซเชฒเชเซเชก เชตเชฟเชตเชฟเชง เชเชตเซเชคเซเชคเชฟเช.
เชตเชฐเซเชฃเชตเซเชฒ เชเชพเชฐเซเชฏเชเซเชทเชฎเชคเชพ เชเชชเชฐเชพเชเชค, เช
เชฎเซ เชจเชฟเชทเซเชเซเชฐเชฟเชฏ เชเชพเชฐเซเชฏเซเชจเซ เชชเชฃ เชเชณเชเซเชฏเชพ:
- เชเชพเชธเซเช เชฎเซเชจเซเชเชฐเชฎเชพเช เชฎเซเชจเซเชฏเซเช เชฒ เชชเซเชฐเชเซเชฐเชฟเชฏเชพ เชธเชฎเชพเชชเซเชคเชฟเชจเซ เช เชตเชฐเซเชงเชฟเชค เชเชฐเชตเซเช
- เชเซเชฏเชพเชฐเซ เชคเซ เชธเชฎเชพเชชเซเชค เชฅเชพเชฏ เชคเซเชฏเชพเชฐเซ เชฌเชพเชณ เชชเซเชฐเชเซเชฐเชฟเชฏเชพเชจเซ เชชเซเชจเชเชชเซเชฐเชพเชฐเชเชญ เชเชฐเชตเซ
- เชฌเชพเชฏเชชเชพเชธ UAC
- เชชเซเชฒเซเชกเชจเซ เชซเชพเชเชฒเชฎเชพเช เชธเชพเชเชตเซ เชฐเชนเซเชฏเซเช เชเซ
- เชฎเซเชกเชฒ เชตเชฟเชจเซเชกเซเชเชจเซเช เชชเซเชฐเชฆเชฐเซเชถเชจ
- เชฎเชพเชเชธ เชเชฐเซเชธเชฐเชจเซ เชธเซเชฅเชฟเชคเชฟ เชฌเชฆเชฒเชตเชพเชจเซ เชฐเชพเชน เชเซเช เชฐเชนเซเชฏเชพเช เชเซเช
- เชเชจเซเชเชฟเชตเซเชเชฎ เช เชจเซ เชเชจเซเชเชฟเชธเซเชจเซเชกเชฌเซเชเซเชธ
- เชธเซเชต เชตเชฟเชจเชพเชถ
- เชจเซเชเชตเชฐเซเชเชฎเชพเชเชฅเซ เชชเชฎเซเชชเชฟเชเช เชชเซเชฒเซเชก
เช เชฎเซ เชเชพเชฃเซเช เชเซเช เชเซ เชเชตเซ เชเชพเชฐเซเชฏเชเซเชทเชฎเชคเชพ เชฐเชเซเชทเช เชฎเชพเชเซ เชฒเชพเชเซเชทเชฃเชฟเช เชเซ เชธเชพเชฏเชซเชฐเชเชเชเซ, เชเซ เชฆเซเชเซเชคเซ เชฐเซเชคเซ, เชชเซเชฐเชถเซเชจเชฎเชพเช เชฌเซเชเชฒเซเชกเชฐ เชเซ.
เชธเซเชซเซเชเชตเซเชฐเชจเซเช เชฎเซเชเซเชฏ เชฎเซเชกเซเชฏเซเชฒ
เชเชเชณ, เช เชฎเซ เชฎเชพเชฒเชตเซเชฐเชจเชพ เชฎเซเชเซเชฏ เชฎเซเชกเซเชฏเซเชฒเชจเซเช เชเซเชเชเชฎเชพเช เชตเชฐเซเชฃเชจ เชเชฐเซเชถเซเช, เช เชจเซ เชฌเซเชเชพ เชฒเซเชเชฎเชพเช เชคเซเชจเซ เชตเชงเซ เชตเชฟเชเชคเชตเชพเชฐ เชงเซเชฏเชพเชจเชฎเชพเช เชฒเชเชถเซเช. เช เชเชฟเชธเซเชธเชพเชฎเชพเช, เชคเซ เชเช เชเชชเซเชฒเชฟเชเซเชถเชจ เชเซ เชจเซเช.
เชชเซเชฅเซเชฅเชเชฐเชฃ เชฆเชฐเชฎเชฟเชฏเชพเชจ, เช
เชฎเซ เชถเซเชงเซเชฏเซเช เชเซ เชเชฌเซเชซเชธเซเชเซเชเชฐเชจเซ เชเชชเชฏเซเช เชเชฐเชตเชพเชฎเชพเช เชเชตเซเชฏเซ เชนเชคเซ เชเชจเซเชซเซเชฏเซเชเชฐเชเชเซเชธ.
IELibrary.dll
เชชเซเชธเซเชคเชเชพเชฒเชฏ เชฎเซเชเซเชฏ เชฎเซเชกเซเชฏเซเชฒ เชธเชเชธเชพเชงเชจ เชคเชฐเซเชเซ เชธเชเชเซเชฐเชนเชฟเชค เชเซ เช เชจเซ เชคเซ เชฎเชพเชเซ เชเชพเชฃเซเชคเซเช เชชเซเชฒเชเชเชจ เชเซ เชเชเชจเซเช เชเซเชธเซเชฒเชพ, เชเซ เชเชจเซเชเชฐเชจเซเช เชเชเซเชธเชชเซเชฒเซเชฐเชฐ เช เชจเซ เชเช เชฌเซเชฐเชพเชเชเชฐเซเชธเชฎเชพเชเชฅเซ เชตเชฟเชตเชฟเชง เชฎเชพเชนเชฟเชคเซ เชเชพเชขเชตเชพ เชฎเชพเชเซ เชเชพเชฐเซเชฏเชเซเชทเชฎเชคเชพ เชชเซเชฐเชฆเชพเชจ เชเชฐเซ เชเซ.
เชเชเชจเซเช เชเซเชธเซเชฒเชพ เช เชเช เชฎเซเชกเซเชฏเซเชฒเชฐ เชเชพเชธเซเชธเซ เชธเซเชซเซเชเชตเซเชฐ เชเซ เชเซ เชเชพเชฏเชฆเซเชธเชฐ เชเซเชฒเซเชเชฐ เชชเซเชฐเซเชกเชเซเชเชจเซ เชเชกเชฎเชพเช เชฎเชพเชฒเชตเซเชฐ-เช-เช-เชธเชฐเซเชตเชฟเชธ เชฎเซเชกเชฒเชจเซ เชเชชเชฏเซเช เชเชฐเซเชจเซ เชตเชฟเชคเชฐเชฟเชค เชเชฐเชตเชพเชฎเชพเช เชเชตเซ เชเซ. เชเชเชจเซเช เชเซเชธเซเชฒเชพ เชฌเซเชฐเชพเชเชเชฐเซเชธ, เชเชฎเซเชฒ เชเซเชฒเชพเชฏเชจเซเชเซเชธ เช เชจเซ FTP เชเซเชฒเชพเชฏเชจเซเชเซเชธเชฅเซ เชธเชฐเซเชตเชฐ เชชเชฐ เชนเซเชฎเชฒเชพเชเซเชฐเซเชจเซ เชตเชชเชฐเชพเชถเชเชฐเซเชคเชพ เชเชณเชเชชเชคเซเชฐเซ เชเชพเชขเชตเชพ เช เชจเซ เชเซเชฐเชพเชจเซเชธเชฎเชฟเช เชเชฐเชตเชพ, เชเซเชฒเชฟเชชเชฌเซเชฐเซเชก เชกเซเชเชพ เชฐเซเชเซเชฐเซเชก เชเชฐเชตเชพ เช เชจเซ เชเชชเชเชฐเชฃ เชธเซเชเซเชฐเซเชจเชจเซ เชเซ เชชเซเชเชฐ เชเชฐเชตเชพเชฎเชพเช เชธเชเซเชทเชฎ เชเซ. เชตเชฟเชถเซเชฒเซเชทเชฃ เชธเชฎเชฏเซ, เชตเชฟเชเชพเชธเชเชฐเซเชคเชพเชเชจเซ เชธเชคเซเชคเชพเชตเชพเชฐ เชตเซเชฌเชธเชพเชเช เช เชจเซเชชเชฒเชฌเซเชง เชนเชคเซ.
เชชเซเชฐเชตเซเชถ เชฌเชฟเชเชฆเซ เชเชพเชฐเซเชฏ เชเซ GetSavedPasswords เชตเชฐเซเช InternetExplorer.
เชธเชพเชฎเชพเชจเซเชฏ เชฐเซเชคเซ, เชเซเชก เชเชเซเชเซเชเซเชฏเซเชถเชจ เชฐเซเชเซเชฏ เชนเซเชฏ เชเซ เช
เชจเซ เชคเซเชฎเชพเช เชตเชฟเชถเซเชฒเซเชทเชฃ เชธเชพเชฎเซ เชเซเช เชธเซเชฐเชเซเชทเชพ เชนเซเชคเซ เชจเชฅเซ. เชซเชเซเชค เช
เชตเชพเชธเซเชคเชตเชฟเช เชเชพเชฐเซเชฏ เช เชงเซเชฏเชพเชจ เชเชชเชตเชพเชจเซเช เชชเชพเชคเซเชฐ เชเซ GetSavedCookies. เชฆเซเชเซเชคเซ เชฐเซเชคเซ, เชชเซเชฒเชเชเชจเชจเซ เชเชพเชฐเซเชฏเชเซเชทเชฎเชคเชพ เชตเชฟเชธเซเชคเซเชค เชฅเชตเชพเชจเซ เชนเชคเซ, เชชเชฐเชเชคเซ เช เชเซเชฏเชพเชฐเซเชฏ เชเชฐเชตเชพเชฎเชพเช เชเชตเซเชฏเซเช เชจ เชนเชคเซเช.
เชธเชฟเชธเซเชเชฎเชฎเชพเช เชฌเซเชเชฒเซเชกเชฐเชจเซ เชเซเชกเซ เชฐเชนเซเชฏเซเช เชเซ
เชเชพเชฒเซ เช เชญเซเชฏเชพเชธ เชเชฐเซเช เชเซ เชฌเซเชเชฒเซเชกเชฐ เชธเชฟเชธเซเชเชฎ เชธเชพเชฅเซ เชเซเชตเซ เชฐเซเชคเซ เชเซเชกเชพเชฏเซเชฒ เชเซ. เช เชญเซเชฏเชพเชธ เชนเซเช เชณเชจเซ เชจเชฎเซเชจเซ เชเชจเซเชเชฐ เชเชฐเชคเซเช เชจเชฅเซ, เชชเชฐเชเชคเซ เชธเชฎเชพเชจ เชเชเชจเชพเชเชฎเชพเช เชคเซ เชจเซเชเซเชจเซ เชฏเซเชเชจเชพ เช เชจเซเชธเชพเชฐ เชฅเชพเชฏ เชเซ:
- เชซเซเชฒเซเชกเชฐเชฎเชพเช เชธเซ: เชฏเซเชเชฐเซเชธ เชชเชฌเซเชฒเชฟเช เชธเซเชเซเชฐเชฟเชชเซเช เชฌเชจเชพเชตเชตเชพเชฎเชพเช เชเชตเซ เชเซ เชตเชฟเชเซเชฏเซเช
เชฒ เชฌเซเชเชฟเช
เชธเซเชเซเชฐเชฟเชชเซเช เชเชฆเชพเชนเชฐเชฃ:
- เชฒเซเชกเชฐ เชซเชพเชเชฒเชจเชพ เชธเชฎเชพเชตเชฟเชทเซเชเซเชจเซ เชจเชฒ เช เชเซเชทเชฐ เชธเชพเชฅเซ เชชเซเชก เชเชฐเชตเชพเชฎเชพเช เชเชตเซ เชเซ เช เชจเซ เชซเซเชฒเซเชกเชฐเชฎเชพเช เชธเชพเชเชตเชตเชพเชฎเชพเช เชเชตเซ เชเซ %เชเซเชฎเซเชช%<เชเชธเซเชเชฎ เชซเซเชฒเซเชกเชฐเชจเซเช เชจเชพเชฎ><เชซเชพเชเชฒเชจเซเช เชจเชพเชฎ>
- เชธเซเชเซเชฐเชฟเชชเซเช เชซเชพเชเชฒ เชฎเชพเชเซ เชฐเชเชฟเชธเซเชเซเชฐเซเชฎเชพเช เชเชเซเชฐเชจ เชเซ เชฌเชจเชพเชตเชตเชพเชฎเชพเช เชเชตเซ เชเซ HKCUSsoftwareMicrosoftWindowsCurrentVersionRun<เชธเซเชเซเชฐเซเชชเซเช เชจเชพเชฎ>
เชคเซเชฅเซ, เชตเชฟเชถเซเชฒเซเชทเชฃเชจเชพ เชชเซเชฐเชฅเชฎ เชญเชพเชเชจเชพ เชชเชฐเชฟเชฃเชพเชฎเซเชจเชพ เชเชงเชพเชฐเซ, เช เชฎเซ เช เชญเซเชฏเชพเชธ เชนเซเช เชณเชจเชพ เชฎเชพเชฒเชตเซเชฐเชจเชพ เชคเชฎเชพเชฎ เชเชเชเซเชจเชพ เชชเชฐเชฟเชตเชพเชฐเซเชจเชพ เชจเชพเชฎ เชธเซเชฅเชพเชชเชฟเชค เชเชฐเชตเชพเชฎเชพเช, เชเซเชชเชจเซ เชชเซเชเชฐเซเชจเชจเซเช เชชเซเชฅเซเชฅเชเชฐเชฃ เชเชฐเชตเชพเชฎเชพเช เช เชจเซ เชนเชธเซเชคเชพเชเซเชทเชฐ เชฒเชเชตเชพ เชฎเชพเชเซเชจเชพ เชเชฌเซเชเซเชเซเชเซเชธ เชฎเซเชณเชตเชตเชพเชฎเชพเช เชชเชฃ เชธเชเซเชทเชฎ เชนเชคเชพ. เช เชฎเซ เช เชเชฌเซเชเซเชเซเชเชจเซเช เช เชฎเชพเชฐเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ เชเชเชณเชจเชพ เชฒเซเชเชฎเชพเช เชเชพเชฒเซ เชฐเชพเชเซเชถเซเช, เชเซเชฏเชพเช เช เชฎเซ เชฎเซเชเซเชฏ เชฎเซเชกเซเชฏเซเชฒเชจเซ เชตเชงเซ เชตเชฟเชเชคเชตเชพเชฐ เชเซเชเชถเซเช. เชเชเชจเซเช เชเซเชธเซเชฒเชพ. เชญเซเชฒเชคเชพ เชจเชนเชฟ!
เชเซ เชเซ, 5 เชกเชฟเชธเซเชฎเซเชฌเชฐเซ เช เชฎเซ เชฌเชงเชพ เชตเชพเชเชเซเชจเซ "เชฎเชพเชฒเชตเซเชฐเชจเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ: เชตเชพเชธเซเชคเชตเชฟเช เชเซเชธเซเชจเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ" เชตเชฟเชทเชฏ เชชเชฐ เชฎเชซเชค เชเชจเซเชเชฐเซเชเซเชเชฟเชต เชตเซเชฌเชฟเชจเชพเชฐ เชฎเชพเชเซ เชเชฎเชเชคเซเชฐเชฟเชค เชเชฐเซเช เชเซเช, เชเซเชฏเชพเช เช เชฒเซเชเชจเชพ เชฒเซเชเช, เชเช CERT-GIB เชจเชฟเชทเซเชฃเชพเชค, เชเชจเชฒเชพเชเชจ เชฌเชคเชพเชตเชถเซ. เชฎเชพเชฒเชตเซเชฐ เชตเชฟเชถเซเชฒเซเชทเชฃ - เชชเซเชฐเซเชเซเชเชฟเชธเชฎเชพเชเชฅเซ เชคเซเชฐเชฃ เชตเชพเชธเซเชคเชตเชฟเช เชฎเชฟเชจเซ-เชเซเชธเชจเชพ เชเชฆเชพเชนเชฐเชฃเชจเซ เชเชชเชฏเซเช เชเชฐเซเชจเซ เชจเชฎเซเชจเชพเชเชจเซเช เช เชฐเซเชง-เชธเซเชตเชเชพเชฒเชฟเชค เช เชจเชชเซเชเชฟเชเช, เช เชจเซ เชคเชฎเซ เชตเชฟเชถเซเชฒเซเชทเชฃเชฎเชพเช เชญเชพเช เชฒเช เชถเชเซ เชเซ. เชตเซเชฌเชฟเชจเชพเชฐ เชเชตเชพ เชจเชฟเชทเซเชฃเชพเชคเซ เชฎเชพเชเซ เชฏเซเชเซเชฏ เชเซ เชเซเชฎเชจเซ เชฆเซเชทเชฟเชค เชซเชพเชเชฒเซเชจเซเช เชตเชฟเชถเซเชฒเซเชทเชฃ เชเชฐเชตเชพเชจเซ เชชเชนเซเชฒเซเชฅเซ เช เช เชจเซเชญเชต เชเซ. เชจเซเชเชงเชฃเซ เชธเชเชค เชฐเซเชคเซ เชเซเชฐเซเชชเซเชฐเซเช เชเชฎเซเชเชฒเชฅเซ เชเซ:
เชจเซเชเชงเชฃเซ เชเชฐเซ . เชคเชฎเชพเชฐเชพ เชฎเชพเชเซ เชฐเชพเชน เชเซเช เชฐเชนเซเชฏเซเช เชเซ!
เชฏเชพเชฐเชพ
rule AgentTesla_clean{
meta:
author = "Group-IB"
file = "78566E3FC49C291CB117C3D955FA34B9A9F3EEFEFAE3DE3D0212432EB18D2EAD"
scoring = 5
family = "AgentTesla"
strings:
$string_format_AT = {74 00 79 00 70 00 65 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 68 00 77 00 69 00 64 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 74 00 69 00 6D 00 65 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 63 00 6E 00 61 00 6D 00 65 00 3D 00 7B 00 33 00 7D 00 0D 00 0A 00 6C 00 6F 00 67 00 64 00 61 00 74 00 61 00 3D 00 7B 00 34 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 3D 00 7B 00 35 00 7D 00 0D 00 0A 00 69 00 70 00 61 00 64 00 64 00 3D 00 7B 00 36 00 7D 00 0D 00 0A 00 77 00 65 00 62 00 63 00 61 00 6D 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 37 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 38 00 7D 00 0D 00 0A 00 5B 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 73 00 5D 00}
$web_panel_format_string = {63 00 6C 00 69 00 65 00 6E 00 74 00 5B 00 5D 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 6C 00 69 00 6E 00 6B 00 5B 00 5D 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 75 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 5B 00 5D 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 5B 00 5D 00 3D 00 7B 00 33 00 7D 00 00 15 55 00 52 00 4C 00 3A 00 20 00 20 00 20 00 20 00 20 00 20 00 00 15 55 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 3A 00 20 00 00 15 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 3A 00}
condition:
all of them
}
rule AgentTesla_obfuscated {
meta:
author = "Group-IB"
file = "41DC0D5459F25E2FDCF8797948A7B315D3CB075398D808D1772CACCC726AF6E9"
scoring = 5
family = "AgentTesla"
strings:
$first_names = {61 66 6B 00 61 66 6D 00 61 66 6F 00 61 66 76 00 61 66 79 00 61 66 78 00 61 66 77 00 61 67 6A 00 61 67 6B 00 61 67 6C 00 61 67 70 00 61 67 72 00 61 67 73 00 61 67 75 00}
$second_names = "IELibrary.resources"
condition:
all of them
}
rule AgentTesla_module_for_IE{
meta:
author = "Group-IB"
file = "D55800A825792F55999ABDAD199DFA54F3184417215A298910F2C12CD9CC31EE"
scoring = 5
family = "AgentTesla_module_for_IE"
strings:
$s0 = "ByteArrayToStructure"
$s1 = "CryptAcquireContext"
$s2 = "CryptCreateHash"
$s3 = "CryptDestroyHash"
$s4 = "CryptGetHashParam"
$s5 = "CryptHashData"
$s6 = "CryptReleaseContext"
$s7 = "DecryptIePassword"
$s8 = "DoesURLMatchWithHash"
$s9 = "GetSavedCookies"
$s10 = "GetSavedPasswords"
$s11 = "GetURLHashString"
condition:
all of them
}
rule RunPE_shellcode {
meta:
author = "Group-IB"
file = "37A1961361073BEA6C6EACE6A8601F646C5B6ECD9D625E049AD02075BA996918"
scoring = 5
family = "RunPE_shellcode"
strings:
$malcode = {
C7 [2-5] EE 38 83 0C // mov dword ptr [ebp-0A0h], 0C8338EEh
C7 [2-5] 57 64 E1 01 // mov dword ptr [ebp-9Ch], 1E16457h
C7 [2-5] 18 E4 CA 08 // mov dword ptr [ebp-98h], 8CAE418h
C7 [2-5] E3 CA D8 03 // mov dword ptr [ebp-94h], 3D8CAE3h
C7 [2-5] 99 B0 48 06 // mov dword ptr [ebp-90h], 648B099h
C7 [2-5] 93 BA 94 03 // mov dword ptr [ebp-8Ch], 394BA93h
C7 [2-5] E4 C7 B9 04 // mov dword ptr [ebp-88h], 4B9C7E4h
C7 [2-5] E4 87 B8 04 // mov dword ptr [ebp-84h], 4B887E4h
C7 [2-5] A9 2D D7 01 // mov dword ptr [ebp-80h], 1D72DA9h
C7 [2-5] 05 D1 3D 0B // mov dword ptr [ebp-7Ch], 0B3DD105h
C7 [2-5] 44 27 23 0F // mov dword ptr [ebp-78h], 0F232744h
C7 [2-5] E8 6F 18 0D // mov dword ptr [ebp-74h], 0D186FE8h
}
condition:
$malcode
}
rule AgentTesla_AutoIT_module{
meta:
author = "Group-IB"
file = "49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08C05B5E3BD36FD52668D196AF"
scoring = 5
family = "AgentTesla"
strings:
$packedexeau = {55 ED F5 9F 92 03 04 44 7E 16 6D 1F 8C D7 38 E6 29 E4 C8 CF DA 2C C4 E1 F3 65 48 25 B8 93 9D 66 A4 AD 3C 39 50 00 B9 60 66 19 8D FC 20 0A A0 56 52 8B 9F 15 D7 62 30 0D 5C C3 24 FE F8 FC 39 08 DF 87 2A B2 1C E9 F7 06 A8 53 B2 69 C3 3C D4 5E D4 74 91 6E 9D 9A A0 96 FD DB 1F 5E 09 D7 0F 25 FB 46 4E 74 15 BB AB DB 17 EE E7 64 33 D6 79 02 E4 85 79 14 6B 59 F9 43 3C 81 68 A8 B5 32 BC E6}
condition:
all of them
}
เชนเซเชถเซเชถ
เชจเชพเชฎ | qoute_jpeg56a.r15 |
MD5 | 53BE8F9B978062D4411F71010F49209E |
SHA1 | A8C2765B3D655BA23886D663D22BDD8EF6E8E894 |
SHA256 | 2641DAFB452562A0A92631C2849B8B9CE880F0F8F
890E643316E9276156EDC8A |
เชชเซเชฐเชเชพเชฐ | เชเชฐเซเชเชพเชเชต WinRAR |
เชฎเชพเชช | 823014 |
เชจเชพเชฎ | QOUTE_JPEG56A.exe |
MD5 | 329F6769CF21B660D5C3F5048CE30F17 |
SHA1 | 8010CC2AF398F9F951555F7D481CE13DF60BBECF |
SHA256 | 49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08
C05B5E3BD36FD52668D196AF |
เชชเซเชฐเชเชพเชฐ | PE (เชธเชเชเชฒเชฟเชค AutoIt เชธเซเชเซเชฐเชฟเชชเซเช) |
เชฎเชพเชช | 1327616 |
เชฎเซเชณ เชจเชพเชฎ | เช เชเซเชเชพเชค |
เชคเชพเชฐเซเช เชธเซเชเซเชฎเซเชช | 15.07.2019 |
เชฒเชฟเชเชเชฐ | Microsoft Linker(12.0)[EXE32] |
MD5 | C2743AEDDADACC012EF4A632598C00C0 |
SHA1 | 79B445DE923C92BF378B19D12A309C0E9C5851BF |
SHA256 | 37A1961361073BEA6C6EACE6A8601F646C5B6ECD
9D625E049AD02075BA996918 |
เชชเซเชฐเชเชพเชฐ | เชถเซเชฒเชเซเชก |
เชฎเชพเชช | 1474 |
เชธเซเชฐเซเชธ: www.habr.com