🥇RATKing: रिमोट एक्सेस ट्रोजन के साथ नया अभियान

मई के अंत में, हमने रिमोट एक्सेस ट्रोजन (आरएटी) मैलवेयर वितरित करने के लिए एक अभियान की खोज की - प्रोग्राम जो हमलावरों को एक संक्रमित सिस्टम को दूरस्थ रूप से नियंत्रित करने की अनुमति देते हैं।

जिस समूह की हमने जांच की, वह इस तथ्य से अलग था कि उसने संक्रमण के लिए किसी विशिष्ट आरएटी परिवार का चयन नहीं किया। अभियान के भीतर हमलों में कई ट्रोजन देखे गए (जिनमें से सभी व्यापक रूप से उपलब्ध थे)। इस विशेषता के साथ, समूह ने हमें चूहे राजा की याद दिला दी - एक पौराणिक जानवर जिसमें आपस में जुड़ी हुई पूंछ वाले कृंतक होते हैं।

मूल के.एन. रॉसिकोव के मोनोग्राफ से लिया गया है "चूहे और चूहे जैसे कृंतक, सबसे आर्थिक रूप से महत्वपूर्ण" (1908)

इस प्राणी के सम्मान में, हमने उस समूह का नाम RATKing रखा है जिस पर हम विचार कर रहे हैं। इस पोस्ट में, हम विस्तार से जानेंगे कि हमलावरों ने हमले को कैसे अंजाम दिया, उन्होंने किन उपकरणों का इस्तेमाल किया, और इस अभियान के लिए जिम्मेदार होने पर अपने विचार भी साझा करेंगे।

हमले की प्रगति

इस अभियान में सभी हमले निम्नलिखित एल्गोरिथम के अनुसार हुए:

उपयोगकर्ता को Google ड्राइव के लिंक के साथ एक फ़िशिंग ईमेल प्राप्त हुआ।
लिंक का उपयोग करके, पीड़ित ने एक दुर्भावनापूर्ण वीबीएस स्क्रिप्ट डाउनलोड की जिसमें अंतिम पेलोड को विंडोज रजिस्ट्री में लोड करने के लिए एक डीएलएल लाइब्रेरी निर्दिष्ट की गई और इसे निष्पादित करने के लिए पावरशेल लॉन्च किया गया।
डीएलएल लाइब्रेरी ने अंतिम पेलोड - वास्तव में, हमलावरों द्वारा उपयोग किए गए आरएटी में से एक - को सिस्टम प्रक्रिया में इंजेक्ट किया और संक्रमित मशीन में पैर जमाने के लिए ऑटोरन में एक वीबीएस स्क्रिप्ट पंजीकृत की।
अंतिम पेलोड को एक सिस्टम प्रक्रिया में निष्पादित किया गया और हमलावर को संक्रमित कंप्यूटर को नियंत्रित करने की क्षमता दी गई।

योजनाबद्ध रूप से इसे इस प्रकार दर्शाया जा सकता है:

आगे, हम पहले तीन चरणों पर ध्यान केंद्रित करेंगे, क्योंकि हम मैलवेयर डिलीवरी तंत्र में रुचि रखते हैं। हम मैलवेयर के संचालन के तंत्र का विस्तार से वर्णन नहीं करेंगे। वे व्यापक रूप से उपलब्ध हैं - या तो विशेष मंचों पर बेचे जाते हैं, या ओपन सोर्स प्रोजेक्ट के रूप में भी वितरित किए जाते हैं - और इसलिए RATKing समूह के लिए अद्वितीय नहीं हैं।

हमले के चरणों का विश्लेषण

चरण 1. फ़िशिंग ईमेल

हमले की शुरुआत पीड़ित को एक दुर्भावनापूर्ण पत्र मिलने से हुई (हमलावरों ने टेक्स्ट के साथ अलग-अलग टेम्पलेट्स का इस्तेमाल किया; नीचे स्क्रीनशॉट एक उदाहरण दिखाता है)। संदेश में एक वैध भंडार का लिंक था drive.google.com, जो कथित तौर पर एक पीडीएफ दस्तावेज़ डाउनलोड पृष्ठ की ओर ले गया।

फ़िशिंग ईमेल उदाहरण

हालाँकि, वास्तव में, यह कोई पीडीएफ दस्तावेज़ नहीं था जिसे लोड किया गया था, बल्कि एक वीबीएस स्क्रिप्ट थी।

जब आपने ऊपर दिए गए स्क्रीनशॉट में ईमेल के लिंक पर क्लिक किया, तो एक फ़ाइल का नाम आया Cargo Flight Details.vbs. इस मामले में, हमलावरों ने फ़ाइल को वैध दस्तावेज़ के रूप में छिपाने की कोशिश भी नहीं की।

उसी समय, इस अभियान के हिस्से के रूप में, हमने एक स्क्रिप्ट की खोज की जिसका नाम है Cargo Trip Detail.pdf.vbs. यह पहले से ही एक वैध पीडीएफ के लिए पारित हो सकता है क्योंकि विंडोज़ डिफ़ॉल्ट रूप से फ़ाइल एक्सटेंशन छुपाता है। सच है, इस मामले में, इसके आइकन से अभी भी संदेह पैदा हो सकता है, जो वीबीएस स्क्रिप्ट के अनुरूप है।

इस स्तर पर, पीड़ित धोखे को पहचान सकता है: बस एक सेकंड के लिए डाउनलोड की गई फ़ाइलों पर करीब से नज़र डालें। हालाँकि, ऐसे फ़िशिंग अभियानों में, हमलावर अक्सर असावधान या जल्दबाजी करने वाले उपयोगकर्ता पर भरोसा करते हैं।

चरण 2. वीबीएस स्क्रिप्ट ऑपरेशन

वीबीएस स्क्रिप्ट, जिसे उपयोगकर्ता अनजाने में खोल सकता था, ने विंडोज़ रजिस्ट्री में एक डीएलएल लाइब्रेरी पंजीकृत की। स्क्रिप्ट अस्पष्ट थी: इसमें पंक्तियाँ एक मनमाने चरित्र द्वारा अलग किए गए बाइट्स के रूप में लिखी गई थीं।

एक अस्पष्ट लिपि का उदाहरण

डीओबफस्केशन एल्गोरिदम काफी सरल है: हर तीसरे अक्षर को ओबफस्केटेड स्ट्रिंग से बाहर रखा गया था, जिसके बाद परिणाम को बेस 16 से मूल स्ट्रिंग में डीकोड किया गया था। उदाहरण के लिए, मान से 57Q53s63t72s69J70r74e2El53v68m65j6CH6Ct (ऊपर स्क्रीनशॉट में हाइलाइट किया गया) परिणामी पंक्ति थी WScript.Shell.

स्ट्रिंग्स को स्पष्ट करने के लिए, हमने पायथन फ़ंक्शन का उपयोग किया:

def decode_str(data_enc):   
    return binascii.unhexlify(''.join([data_enc[i:i+2] for i in range(0, len(data_enc), 3)]))

नीचे, पंक्ति 9-10 पर, हम उस मान पर प्रकाश डालते हैं जिसके डीओफ़फ़स्केशन के परिणामस्वरूप डीएलएल फ़ाइल बनी। यह वह था जिसे पॉवरशेल का उपयोग करके अगले चरण में लॉन्च किया गया था।

अस्पष्ट डीएलएल के साथ स्ट्रिंग

वीबीएस स्क्रिप्ट में प्रत्येक फ़ंक्शन को निष्पादित किया गया क्योंकि स्ट्रिंग्स को स्पष्ट किया गया था।

स्क्रिप्ट चलाने के बाद, फ़ंक्शन को कॉल किया गया wscript.sleep - इसका उपयोग विलंबित निष्पादन करने के लिए किया गया था।

इसके बाद, स्क्रिप्ट ने विंडोज़ रजिस्ट्री के साथ काम किया। इसके लिए उन्होंने WMI तकनीक का इस्तेमाल किया। इसकी मदद से, एक अद्वितीय कुंजी बनाई गई, और निष्पादन योग्य फ़ाइल के मुख्य भाग को उसके पैरामीटर में लिखा गया। निम्नलिखित कमांड का उपयोग करके रजिस्ट्री को WMI के माध्यम से एक्सेस किया गया था:

GetObject(winmgmts {impersonationLevel=impersonate}!\.rootdefault:StdRegProv)

वीबीएस स्क्रिप्ट द्वारा रजिस्ट्री में की गई एक प्रविष्टि

चरण 3. डीएलएल लाइब्रेरी का संचालन

तीसरे चरण में, दुर्भावनापूर्ण डीएलएल ने अंतिम पेलोड लोड किया, इसे सिस्टम प्रक्रिया में इंजेक्ट किया, और यह सुनिश्चित किया कि उपयोगकर्ता के लॉग इन करने पर वीबीएस स्क्रिप्ट स्वतः प्रारंभ हो जाए।

PowerShell के माध्यम से चलाएँ

DLL को PowerShell में निम्नलिखित कमांड का उपयोग करके निष्पादित किया गया था:

[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0

इस आदेश ने निम्नलिखित कार्य किया:

नाम के साथ रजिस्ट्री मूल्य डेटा प्राप्त हुआ rnd_value_name — यह डेटा .Net प्लेटफ़ॉर्म पर लिखी गई एक DLL फ़ाइल थी;
परिणामी .नेट मॉड्यूल को प्रोसेस मेमोरी में लोड किया गया powershell.exe फ़ंक्शन का उपयोग करना [System.Threading.Thread]::GetDomain().Load() (लोड() फ़ंक्शन का विस्तृत विवरण माइक्रोसॉफ्ट वेबसाइट पर उपलब्ध है);
समारोह का प्रदर्शन किया GUyyvmzVhebFCw]::EhwwK() - DLL लाइब्रेरी का निष्पादन इसके साथ शुरू हुआ - मापदंडों के साथ vbsScriptPath, xorKey, vbsScriptName. पैरामीटर xorKey अंतिम पेलोड और मापदंडों को डिक्रिप्ट करने के लिए कुंजी संग्रहीत की गई vbsScriptPath и vbsScriptName ऑटोरन में वीबीएस स्क्रिप्ट को पंजीकृत करने के लिए स्थानांतरित किया गया था।

डीएलएल लाइब्रेरी का विवरण

विघटित रूप में, बूटलोडर इस तरह दिखता था:

विघटित रूप में लोडर (वह फ़ंक्शन जिसके साथ DLL लाइब्रेरी का निष्पादन शुरू हुआ, उसे लाल रंग में रेखांकित किया गया है)

बूटलोडर .नेट रिएक्टर रक्षक द्वारा सुरक्षित है। De4dot उपयोगिता इस रक्षक को हटाने का उत्कृष्ट कार्य करती है।

यह लोडर:

पेलोड को सिस्टम प्रक्रिया में इंजेक्ट किया गया (इस उदाहरण में यह svchost.exe);
मैंने ऑटोरन में एक वीबीएस स्क्रिप्ट जोड़ी।

पेलोड इंजेक्शन

आइए उस फ़ंक्शन को देखें जिसे PowerShell स्क्रिप्ट कहा जाता है।

PowerShell स्क्रिप्ट द्वारा फ़ंक्शन कॉल किया गया

इस फ़ंक्शन ने निम्नलिखित क्रियाएं कीं:

दो डेटा सेट डिक्रिप्ट किए गए (array и array2 स्क्रीनशॉट में)। वे मूल रूप से gzip का उपयोग करके संपीड़ित किए गए थे और कुंजी के साथ XOR एल्गोरिदम के साथ एन्क्रिप्ट किए गए थे xorKey;
डेटा को आवंटित स्मृति क्षेत्रों में कॉपी किया गया। से डेटा array - स्मृति क्षेत्र की ओर इशारा किया गया intPtr (payload pointer स्क्रीनशॉट में); से डेटा array2 - स्मृति क्षेत्र की ओर इशारा किया गया intPtr2 (shellcode pointer स्क्रीनशॉट में);
फ़ंक्शन को कॉल किया गया CallWindowProcA (описание यह फ़ंक्शन Microsoft वेबसाइट पर उपलब्ध है) निम्नलिखित पैरामीटर के साथ (पैरामीटर के नाम नीचे सूचीबद्ध हैं, स्क्रीनशॉट में वे उसी क्रम में हैं, लेकिन कार्यशील मानों के साथ):
- lpPrevWndFunc - से डेटा के लिए सूचक array2;
- hWnd - निष्पादन योग्य फ़ाइल के पथ वाली स्ट्रिंग का सूचक svchost.exe;
- Msg - से डेटा के लिए सूचक array;
- wParam, lParam - संदेश पैरामीटर (इस मामले में, इन पैरामीटर का उपयोग नहीं किया गया था और इनका मान 0 था);
एक फ़ाइल बनाई %AppData%MicrosoftWindowsStart MenuProgramsStartup<name>.urlजहां <name> - ये पैरामीटर के पहले 4 अक्षर हैं vbsScriptName (स्क्रीनशॉट में, इस क्रिया के साथ कोड खंड कमांड से शुरू होता है File.Copy). इस तरह, मैलवेयर ने उपयोगकर्ता द्वारा लॉग इन करने पर ऑटोरन फ़ाइलों की सूची में एक यूआरएल फ़ाइल जोड़ दी और इस प्रकार संक्रमित कंप्यूटर से जुड़ गया। यूआरएल फ़ाइल में स्क्रिप्ट का एक लिंक था:

[InternetShortcut]
URL = file : ///<vbsScriptPath>

यह समझने के लिए कि इंजेक्शन कैसे लगाया गया, हमने डेटा सरणियों को डिक्रिप्ट किया array и array2. ऐसा करने के लिए हमने निम्नलिखित पायथन फ़ंक्शन का उपयोग किया:

def decrypt(data, key):
    return gzip.decompress(
        bytearray([data[i] ^ key[i % len(key)] for i in range(len(data))])[4:])

परिणामस्वरूप, हमें पता चला कि:

array एक पीई फ़ाइल थी - यह अंतिम पेलोड है;
array2 इंजेक्शन लगाने के लिए आवश्यक शेलकोड था।

किसी सरणी से शेलकोड array2 फ़ंक्शन मान के रूप में पारित किया गया lpPrevWndFunc एक समारोह में CallWindowProcA. lpPrevWndFunc - कॉलबैक फ़ंक्शन, इसका प्रोटोटाइप इस तरह दिखता है:

LRESULT WndFunc(
  HWND    hWnd,
  UINT    Msg,
  WPARAM  wParam,
  LPARAM  lParam
);

तो जब आप फ़ंक्शन चलाते हैं CallWindowProcA मापदंडों के साथ hWnd, Msg, wParam, lParam सरणी से शेलकोड निष्पादित किया जाता है array2 तर्कों के साथ hWnd и Msg. hWnd निष्पादन योग्य फ़ाइल के पथ वाली स्ट्रिंग का सूचक है svchost.exeऔर Msg - अंतिम पेलोड का सूचक।

शेलकोड को फ़ंक्शन पते प्राप्त हुए kernel32.dll и ntdll32.dll उनके नामों से हैश मानों के आधार पर और अंतिम पेलोड को प्रक्रिया मेमोरी में इंजेक्ट किया गया svchost.exeप्रोसेस होलोइंग तकनीक का उपयोग करके (आप इसके बारे में इसमें अधिक पढ़ सकते हैं लेख). शेलकोड इंजेक्ट करते समय:

एक प्रक्रिया बनाई svchost.exe फ़ंक्शन का उपयोग करके निलंबित स्थिति में CreateProcessW;
फिर अनुभाग के प्रदर्शन को प्रक्रिया के पता स्थान में छिपा दिया svchost.exe समारोह का उपयोग करना NtUnmapViewOfSection. इस प्रकार, प्रोग्राम ने मूल प्रक्रिया की मेमोरी को मुक्त कर दिया svchost.exeफिर इस पते पर पेलोड के लिए मेमोरी आवंटित करना;
प्रक्रिया पता स्थान में पेलोड के लिए आवंटित मेमोरी svchost.exe समारोह का उपयोग करना VirtualAllocEx;

इंजेक्शन प्रक्रिया की शुरुआत

पेलोड की सामग्री को प्रक्रिया पता स्थान में लिखा svchost.exe समारोह का उपयोग करना WriteProcessMemory (जैसा कि नीचे स्क्रीनशॉट में है);
प्रक्रिया फिर से शुरू की svchost.exe समारोह का उपयोग करना ResumeThread.

इंजेक्शन प्रक्रिया को पूरा करना

डाउनलोड करने योग्य मैलवेयर

वर्णित क्रियाओं के परिणामस्वरूप, संक्रमित सिस्टम पर कई RAT-श्रेणी मैलवेयर में से एक स्थापित किया गया था। नीचे दी गई तालिका हमले में उपयोग किए गए मैलवेयर को सूचीबद्ध करती है, जिसका श्रेय हम आत्मविश्वास से हमलावरों के एक समूह को दे सकते हैं, क्योंकि नमूने एक ही कमांड और नियंत्रण सर्वर तक पहुंचते हैं।

मैलवेयर का नाम

पहले देखा

शा 256

सी और सी

वह प्रक्रिया जिसमें इंजेक्शन लगाया जाता है

डार्कट्रैक

16-04-2020

ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702

kimjoy007.dyndns[.]org:2017

svchost

लंबन

24-04-2020

b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043

kimjoy007.dyndns[.]org:2019

svchost

Warzone

18-05-2020

3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3

kimjoy007.dyndns[.]org:9933

svchost

नेटवायर

20-05-2020

6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d

kimjoy007.dyndns[.]org:2000

svchost

समान नियंत्रण सर्वर के साथ वितरित मैलवेयर के उदाहरण

यहां दो बातें उल्लेखनीय हैं.

सबसे पहले, यह तथ्य कि हमलावरों ने एक साथ कई अलग-अलग आरएटी परिवारों का इस्तेमाल किया। यह व्यवहार जाने-माने साइबर समूहों के लिए विशिष्ट नहीं है, जो अक्सर उपकरणों के लगभग उसी सेट का उपयोग करते हैं जो उनसे परिचित हैं।

दूसरे, RATKing में मैलवेयर का उपयोग किया जाता है जो या तो विशेष मंचों पर कम कीमत पर बेचा जाता है, या यहां तक कि एक ओपन सोर्स प्रोजेक्ट भी है।

अभियान में उपयोग किए गए मैलवेयर की एक अधिक संपूर्ण सूची - एक महत्वपूर्ण चेतावनी के साथ - लेख के अंत में दी गई है।

समूह के बारे में

हम वर्णित दुर्भावनापूर्ण अभियान का श्रेय किसी ज्ञात हमलावर को नहीं दे सकते। अभी के लिए, हमारा मानना है कि ये हमले मौलिक रूप से एक नए समूह द्वारा किए गए थे। जैसा कि हमने शुरुआत में लिखा था, हमने इसे RATKing कहा था।

वीबीएस स्क्रिप्ट बनाने के लिए, समूह ने संभवतः उपयोगिता के समान एक उपकरण का उपयोग किया वीबीएस-क्रिप्टर डेवलपर से NYAN-x-CAT. यह उस स्क्रिप्ट की समानता से संकेत मिलता है जो यह प्रोग्राम हमलावरों की स्क्रिप्ट के साथ बनाता है। विशेष रूप से, वे दोनों:

फ़ंक्शन का उपयोग करके विलंबित निष्पादन करें Sleep;
डब्लूएमआई का प्रयोग करें;
निष्पादन योग्य फ़ाइल के मुख्य भाग को रजिस्ट्री कुंजी पैरामीटर के रूप में पंजीकृत करें;
इस फ़ाइल को PowerShell का उपयोग करके उसके स्वयं के पता स्थान में निष्पादित करें।

स्पष्टता के लिए, रजिस्ट्री से फ़ाइल चलाने के लिए पावरशेल कमांड की तुलना करें, जिसका उपयोग वीबीएस-क्रिप्टर का उपयोग करके बनाई गई स्क्रिप्ट द्वारा किया जाता है:

((Get-ItemPropertyHKCU:SoftwareNYANxCAT).NYANxCAT);$text=-join$text[-1..-$text.Length];[AppDomain]::CurrentDomain.Load([Convert]::FromBase64String($text)).EntryPoint.Invoke($Null,$Null);

हमलावरों की स्क्रिप्ट में उपयोग किए गए समान कमांड के साथ:

[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:///Software///<rnd_sub_key_name> ).<rnd_value_name>);
[GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0

ध्यान दें कि हमलावरों ने पेलोड में से एक के रूप में NYAN-x-CAT की एक अन्य उपयोगिता का उपयोग किया - लाइमआरएटी.

C&C सर्वर के पते RATKing की एक और विशिष्ट विशेषता दर्शाते हैं: समूह गतिशील DNS सेवाओं को प्राथमिकता देता है (IoC तालिका में C&C की सूची देखें)।

आईओसी

नीचे दी गई तालिका वीबीएस स्क्रिप्ट की एक पूरी सूची प्रदान करती है जिसे संभवतः वर्णित अभियान के लिए जिम्मेदार ठहराया जा सकता है। ये सभी स्क्रिप्ट समान हैं और क्रियाओं का लगभग समान क्रम निष्पादित करती हैं। ये सभी विश्वसनीय विंडोज़ प्रक्रिया में RAT वर्ग के मैलवेयर को इंजेक्ट करते हैं। उन सभी के पास डायनामिक DNS सेवाओं का उपयोग करके पंजीकृत C&C पते हैं।

हालाँकि, हम यह दावा नहीं कर सकते कि समान C&C पते (उदाहरण के लिए, kimjoy007.dyndns.org) वाले नमूनों को छोड़कर, ये सभी स्क्रिप्ट एक ही हमलावरों द्वारा वितरित की गई थीं।

मैलवेयर का नाम

शा 256

सी और सी

वह प्रक्रिया जिसमें इंजेक्शन लगाया जाता है

लंबन

b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043

kimjoy007.dyndns.org

svchost

00edb8200dfeee3bdd0086c5e8e07c6056d322df913679a9f22a2b00b836fd72

Hope.doomdns.org

svchost

504cbae901c4b3987aa9ba458a230944cb8bd96bbf778ceb54c773b781346146

kimjoy007.dyndns.org

svchost

1487017e087b75ad930baa8b017e8388d1e99c75d26b5d1deec8b80e9333f189

kimjoy007.dyndns.org

svchost

c4160ec3c8ad01539f1c16fb35ed9c8c5a53a8fda8877f0d5e044241ea805891

Franco20.dvrdns.org

svchost

515249d6813bb2dde1723d35ee8eb6eeb8775014ca629ede017c3d83a77634ce

kimjoy007.dyndns.org

svchost

1b70f6fee760bcfe0c457f0a85ca451ed66e61f0e340d830f382c5d2f7ab803f

Franco20.dvrdns.org

svchost

b2bdffa5853f29c881d7d9bff91b640bc1c90e996f85406be3b36b2500f61aa1

Hope.doomdns.org

svchost

c9745a8f33b3841fe7bfafd21ad4678d46fe6ea6125a8fedfcd2d5aee13f1601

kimjoy007.dyndns.org

svchost

1dfc66968527fbd4c0df2ea34c577a7ce7a2ba9b54ba00be62120cc88035fa65

Franco20.dvrdns.org

svchost

c6c05f21e16e488eed3001d0d9dd9c49366779559ad77fcd233de15b1773c981

kimjoy007.dyndns.org

सीएमडी

3b785cdcd69a96902ee62499c25138a70e81f14b6b989a2f81d82239a19a3aed

Hope.doomdns.org

svchost

4d71ceb9d6c53ac356c0f5bdfd1a5b28981061be87e38e077ee3a419e4c476f9

2004para.ddns.net

svchost

00185cc085f284ece264e3263c7771073a65783c250c5fd9afc7a85ed94acc77

Hope.doomdns.org

svchost

0342107c0d2a069100e87ef5415e90fd86b1b1b1c975d0eb04ab1489e198fc78

Franco20.dvrdns.org

svchost

de33b7a7b059599dc62337f92ceba644ac7b09f60d06324ecf6177fff06b8d10

kimjoy007.dyndns.org

svchost

80a8114d63606e225e620c64ad8e28c9996caaa9a9e87dd602c8f920c2197007

kimjoy007.dyndns.org

svchost

acb157ba5a48631e1f9f269e6282f042666098614b66129224d213e27c1149bb

Hope.doomdns.org

सीएमडी

bf608318018dc10016b438f851aab719ea0abe6afc166c8aea6b04f2320896d3

Franco20.dvrdns.org

svchost

4d0c9b8ad097d35b447d715a815c67ff3d78638b305776cde4d90bfdcb368e38

Hope.doomdns.org

svchost

e7c676f5be41d49296454cd6e4280d89e37f506d84d57b22f0be0d87625568ba

kimjoy007.dyndns.org

svchost

9375d54fcda9c7d65f861dfda698e25710fda75b5ebfc7a238599f4b0d34205f

Franco20.dvrdns.org

svchost

128367797fdf3c952831c2472f7a308f345ca04aa67b3f82b945cfea2ae11ce5

kimjoy007.dyndns.org

svchost

09bd720880461cb6e996046c7d6a1c937aa1c99bd19582a562053782600da79d

Hope.doomdns.org

svchost

0a176164d2e1d5e2288881cc2e2d88800801001d03caedd524db365513e11276

Paradickhead.homeip.net

svchost

0af5194950187fd7cbd75b1b39aab6e1e78dae7c216d08512755849c6a0d1cbe

Hope.doomdns.org

svchost

Warzone

3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3

kimjoy007.dyndns.org

svchost

db0d5a67a0ced6b2de3ee7d7fc845a34b9d6ca608e5fead7f16c9a640fa659eb

kimjoy007.dyndns.org

svchost

नेटवायर

6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d

kimjoy007.dyndns.org

svchost

डार्कट्रैक

ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702

kimjoy007.dyndns.org

svchost

डब्ल्यूएसएच चूहा

d410ced15c848825dcf75d30808cde7784e5b208f9a57b0896e828f890faea0e

anekesolution.linkpc.net

रेगएएसएम

चूना

896604d27d88c75a475b28e88e54104e66f480bcab89cc75b6cdc6b29f8e438b

Softmy.duckdns.org

रेगएएसएम

क्वासरट

bd1e29e9d17edbab41c3634649da5c5d20375f055ccf968c022811cd9624be57

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

12044aa527742282ad5154a4de24e55c9e1fae42ef844ed6f2f890296122153b

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

be93cc77d864dafd7d8c21317722879b65cfbb3297416bde6ca6edbfd8166572

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

933a136f8969707a84a61f711018cd21ee891d5793216e063ac961b5d165f6c0

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

71dea554d93728cce8074dbdb4f63ceb072d4bb644f0718420f780398dafd943

chrom1.myq-see.com

रेगएएसएम

0d344e8d72d752c06dc6a7f3abf2ff7678925fde872756bf78713027e1e332d5

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

0ed7f282fd242c3f2de949650c9253373265e9152c034c7df3f5f91769c6a4eb

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

aabb6759ce408ebfa2cc57702b14adaec933d8e4821abceaef0c1af3263b1bfa

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

1699a37ddcf4769111daf33b7d313cf376f47e92f6b92b2119bd0c860539f745

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

3472597945f3bbf84e735a778fd75c57855bb86aca9b0a4d0e4049817b508c8c

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

809010d8823da84cdbb2c8e6b70be725a6023c381041ebda8b125d1a6a71e9b1

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

4217a2da69f663f1ab42ebac61978014ec4f562501efb2e040db7ebb223a7dff

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

08f34b3088af792a95c49bcb9aa016d4660609409663bf1b51f4c331b87bae00

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

79b4efcce84e9e7a2e85df7b0327406bee0b359ad1445b4f08e390309ea0c90d

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

12ea7ce04e0177a71a551e6d61e4a7916b1709729b2d3e9daf7b1bdd0785f63a

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

d7b8eb42ae35e9cc46744f1285557423f24666db1bde92bf7679f0ce7b389af9

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

def09b0fed3360c457257266cb851fffd8c844bc04a623c210a2efafdf000d5c

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

50119497c5f919a7e816a37178d28906fb3171b07fc869961ef92601ceca4c1c

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

ade5a2f25f603bf4502efa800d3cf5d19d1f0d69499b0f2e9ec7c85c6dd49621

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

189d5813c931889190881ee34749d390e3baa80b2c67b426b10b3666c3cc64b7

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

c3193dd67650723753289a4aebf97d4c72a1afe73c7135bee91c77bdf1517f21

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

a6f814f14698141753fc6fb7850ead9af2ebcb0e32ab99236a733ddb03b9eec2

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

a55116253624641544175a30c956dbd0638b714ff97b9de0e24145720dcfdf74

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

d6e0f0fb460d9108397850169112bd90a372f66d87b028e522184682a825d213

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

522ba6a242c35e2bf8303e99f03a85d867496bbb0572226e226af48cc1461a86

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

fabfdc209b02fe522f81356680db89f8861583da89984c20273904e0cf9f4a02

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

08ec13b7da6e0d645e4508b19ba616e4cf4e0421aa8e26ac7f69e13dc8796691

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

8433c75730578f963556ec99fbc8d97fa63a522cef71933f260f385c76a8ee8d

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

99f6bfd9edb9bf108b11c149dd59346484c7418fc4c455401c15c8ac74b70c74

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

d13520e48f0ff745e31a1dfd6f15ab56c9faecb51f3d5d3d87f6f2e1abe6b5cf

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम

9e6978b16bd52fcd9c331839545c943adc87e0fbd7b3f947bab22ffdd309f747

डार्कहेट-23030.पोर्टमैप.आईओ

रेगएएसएम⁠

स्रोत: www.habr.com

RATKing: रिमोट एक्सेस ट्रोजन के साथ नया अभियान

हमले की प्रगति

हमले के चरणों का विश्लेषण

चरण 1. फ़िशिंग ईमेल

चरण 2. वीबीएस स्क्रिप्ट ऑपरेशन

चरण 3. डीएलएल लाइब्रेरी का संचालन

डाउनलोड करने योग्य मैलवेयर

समूह के बारे में

आईओसी

एक टिप्पणी जोड़ें उत्तर रद्द