рд╣рд╛рд▓ рд╣реА рдореЗрдВ, рд╡рд┐рджреНрдпреБрдд рд╕реНрдерд╛рдкрдирд╛ рдЙрдкрдХрд░рдг рдХреЗ рдПрдХ рдпреВрд░реЛрдкреАрдп рдирд┐рд░реНрдорд╛рддрд╛ рдиреЗ рдЧреНрд░реБрдк-рдЖрдИрдмреА рд╕реЗ рд╕рдВрдкрд░реНрдХ рдХрд┐рдпрд╛ - рдЙрд╕рдХреЗ рдХрд░реНрдордЪрд╛рд░реА рдХреЛ рдореЗрд▓ рдореЗрдВ рджреБрд░реНрднрд╛рд╡рдирд╛рдкреВрд░реНрдг рдЕрдиреБрд▓рдЧреНрдирдХ рдХреЗ рд╕рд╛рде рдПрдХ рд╕рдВрджрд┐рдЧреНрдз рдкрддреНрд░ рдкреНрд░рд╛рдкреНрдд рд╣реБрдЖред рдЗрд▓реНрдпрд╛ рдкреЛрдореЗрд░реЗрдиреНрддреНрд╕реЗрд╡рд╕реАрдИрдЖрд░рдЯреА рдЧреНрд░реБрдк-рдЖрдИрдмреА рдХреЗ рдПрдХ рдореИрд▓рд╡реЗрдпрд░ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рд╡рд┐рд╢реЗрд╖рдЬреНрдЮ рдиреЗ рдЗрд╕ рдлрд╝рд╛рдЗрд▓ рдХрд╛ рд╡рд┐рд╕реНрддреГрдд рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд┐рдпрд╛, рд╡рд╣рд╛рдВ рдПрдЬреЗрдВрдЯрдЯреЗрд╕реНрд▓рд╛ рд╕реНрдкрд╛рдЗрд╡реЗрдпрд░ рдХреА рдЦреЛрдЬ рдХреА рдФрд░ рдмрддрд╛рдпрд╛ рдХрд┐ рдРрд╕реЗ рдореИрд▓рд╡реЗрдпрд░ рд╕реЗ рдХреНрдпрд╛ рдЙрдореНрдореАрдж рдХреА рдЬрд╛рдиреА рдЪрд╛рд╣рд┐рдП рдФрд░ рдпрд╣ рдХрд┐рддрдирд╛ рдЦрддрд░рдирд╛рдХ рд╣реИред
рдЗрд╕ рдкреЛрд╕реНрдЯ рдХреЗ рд╕рд╛рде рд╣рдо рдРрд╕реА рд╕рдВрднрд╛рд╡рд┐рдд рдЦрддрд░рдирд╛рдХ рдлрд╝рд╛рдЗрд▓реЛрдВ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рдиреЗ рдХреЗ рддрд░реАрдХреЗ рдкрд░ рд▓реЗрдЦреЛрдВ рдХреА рдПрдХ рд╢реНрд░реГрдВрдЦрд▓рд╛ рдЦреЛрд▓ рд░рд╣реЗ рд╣реИрдВ, рдФрд░ рд╣рдо рдЗрд╕ рд╡рд┐рд╖рдп рдкрд░ 5 рджрд┐рд╕рдВрдмрд░ рдХреЛ рдПрдХ рдореБрдлреНрдд рдЗрдВрдЯрд░реИрдХреНрдЯрд┐рд╡ рд╡реЗрдмрд┐рдирд╛рд░ рдХреА рдкреНрд░рддреАрдХреНрд╖рд╛ рдХрд░ рд░рд╣реЗ рд╣реИрдВред "рдореИрд▓рд╡реЗрдпрд░ рд╡рд┐рд╢реНрд▓реЗрд╖рдг: рд╡рд╛рд╕реНрддрд╡рд┐рдХ рдорд╛рдорд▓реЛрдВ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг". рд╕рднреА рд╡рд┐рд╡рд░рдг рдХрдЯреМрддреА рдХреЗ рдЕрдзреАрди рд╣реИрдВред
рд╡рд┐рддрд░рдг рддрдВрддреНрд░
рд╣рдо рдЬрд╛рдирддреЗ рд╣реИрдВ рдХрд┐ рдореИрд▓рд╡реЗрдпрд░ рдлрд╝рд┐рд╢рд┐рдВрдЧ рдИрдореЗрд▓ рдХреЗ рдЬрд╝рд░рд┐рдП рдкреАрдбрд╝рд┐рдд рдХреА рдорд╢реАрди рддрдХ рдкрд╣реБрдВрдЪрд╛ред рдкрддреНрд░ рдкреНрд░рд╛рдкреНрдд рдХрд░рдиреЗ рд╡рд╛рд▓реЗ рдХреЛ рд╕рдВрднрд╡рдд: рдмреАрд╕реАрд╕реА рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ред
рд╢реАрд░реНрд╖рдХреЛрдВ рдХреЗ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рд╕реЗ рдкрддрд╛ рдЪрд▓рддрд╛ рд╣реИ рдХрд┐ рдкрддреНрд░ рднреЗрдЬрдиреЗ рд╡рд╛рд▓реЗ рдХреЛ рдзреЛрдЦрд╛ рджрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ред рджрд░рдЕрд╕рд▓, рдкрддреНрд░ рд╕рд╛рде рдЫреВрдЯ рдЧрдпрд╛ vps56[.]oneworldhosting[.]com.
рдИрдореЗрд▓ рдЕрдиреБрд▓рдЧреНрдирдХ рдореЗрдВ WinRar рд╕рдВрдЧреНрд░рд╣ рд╢рд╛рдорд┐рд▓ рд╣реИ qoute_jpeg56a.r15 рдПрдХ рджреБрд░реНрднрд╛рд╡рдирд╛рдкреВрд░реНрдг рдирд┐рд╖реНрдкрд╛рджрди рдпреЛрдЧреНрдп рдлрд╝рд╛рдЗрд▓ рдХреЗ рд╕рд╛рде QOUTE_JPEG56A.exe рдХреЗ рднреАрддрд░ред
рдореИрд▓рд╡реЗрдпрд░ рдкрд╛рд░рд┐рд╕реНрдерд┐рддрд┐рдХреА рддрдВрддреНрд░
рдЕрдм рдЖрдЗрдП рджреЗрдЦреЗрдВ рдХрд┐ рдЕрдзреНрдпрдпрди рдХреЗ рддрд╣рдд рдореИрд▓рд╡реЗрдпрд░ рдХрд╛ рдкрд╛рд░рд┐рд╕реНрдерд┐рддрд┐рдХреА рддрдВрддреНрд░ рдХреИрд╕рд╛ рджрд┐рдЦрддрд╛ рд╣реИред рдиреАрдЪреЗ рджрд┐рдпрд╛ рдЧрдпрд╛ рдЪрд┐рддреНрд░ рдЗрд╕рдХреА рд╕рдВрд░рдЪрдирд╛ рдФрд░ рдШрдЯрдХреЛрдВ рдХреА рдкрд░рд╕реНрдкрд░ рдХреНрд░рд┐рдпрд╛ рдХреА рджрд┐рд╢рд╛рдУрдВ рдХреЛ рджрд░реНрд╢рд╛рддрд╛ рд╣реИред
рдЖрдЗрдП рдЕрдм рдкреНрд░рддреНрдпреЗрдХ рдореИрд▓рд╡реЗрдпрд░ рдШрдЯрдХ рдХреЛ рдЕрдзрд┐рдХ рд╡рд┐рд╕реНрддрд╛рд░ рд╕реЗ рджреЗрдЦреЗрдВред
рд▓реЛрдбрд░
рдореВрд▓ рдлрд╝рд╛рдЗрд▓ QOUTE_JPEG56A.exe рдПрдХ рд╕рдВрдХрд▓рд┐рдд рд╣реИ рдСрдЯреЛрдЖрдИрдЯ v3 рд▓рд┐рдЦреА рд╣реБрдИ рдХрд╣рд╛рдиреАред
рдореВрд▓ рд▓рд┐рдкрд┐ рдХреЛ рдЕрд╕реНрдкрд╖реНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП, рд╕рдорд╛рди рдХреЗ рд╕рд╛рде рдПрдХ рдЕрд╕реНрдкрд╖реНрдЯрдХрд░реНрддрд╛ PELock рдСрдЯреЛрдЖрдИрдЯреА-рдСрдмрдлрд╕реНрдХреЗрдЯрд░ рд╡рд┐рд╢реЗрд╖рддрд╛рдПрдБред
рдЕрд╕реНрдкрд╖реНрдЯреАрдХрд░рдг рддреАрди рдЪрд░рдгреЛрдВ рдореЗрдВ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ:
- рднреНрд░рдо рджреВрд░ рдХрд░рдирд╛ рдпрджрд┐
рдкрд╣рд▓рд╛ рдХрджрдо рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдХреЗ рдирд┐рдпрдВрддреНрд░рдг рдкреНрд░рд╡рд╛рд╣ рдХреЛ рдкреБрдирд░реНрд╕реНрдерд╛рдкрд┐рдд рдХрд░рдирд╛ рд╣реИред рдирд┐рдпрдВрддреНрд░рдг рдкреНрд░рд╡рд╛рд╣ рдлрд╝реНрд▓реИрдЯрдирд┐рдВрдЧ рдПрдкреНрд▓рд┐рдХреЗрд╢рди рдмрд╛рдЗрдирд░реА рдХреЛрдб рдХреЛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рд╕реЗ рдмрдЪрд╛рдиреЗ рдХреЗ рд╕рдмрд╕реЗ рд╕рд╛рдорд╛рдиреНрдп рддрд░реАрдХреЛрдВ рдореЗрдВ рд╕реЗ рдПрдХ рд╣реИред рднреНрд░рдорд┐рдд рдХрд░рдиреЗ рд╡рд╛рд▓реЗ рдкрд░рд┐рд╡рд░реНрддрди рдПрд▓реНрдЧреЛрд░рд┐рджрдо рдФрд░ рдбреЗрдЯрд╛ рд╕рдВрд░рдЪрдирд╛рдУрдВ рдХреЛ рдирд┐рдХрд╛рд▓рдиреЗ рдФрд░ рдкрд╣рдЪрд╛рдирдиреЗ рдХреА рдЬрдЯрд┐рд▓рддрд╛ рдХреЛ рдирд╛рдЯрдХреАрдп рд░реВрдк рд╕реЗ рдмрдврд╝рд╛рддреЗ рд╣реИрдВред
- рдкрдВрдХреНрддрд┐ рдкреБрдирд░реНрдкреНрд░рд╛рдкреНрддрд┐
рд╕реНрдЯреНрд░рд┐рдВрдЧреНрд╕ рдХреЛ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рджреЛ рдлрд╝рдВрдХреНрд╢рди рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ:
- gdorizabegkvfca - рдмреЗрд╕64-рдЬреИрд╕реА рдбрд┐рдХреЛрдбрд┐рдВрдЧ рдХрд░рддрд╛ рд╣реИ
- xgacyukcyzxz - рджреВрд╕рд░реЗ рдХреА рд▓рдВрдмрд╛рдИ рдХреЗ рд╕рд╛рде рдкрд╣рд▓реА рд╕реНрдЯреНрд░рд┐рдВрдЧ рдХрд╛ рд╕рд░рд▓ рдмрд╛рдЗрдЯ-рдмрд╛рдЗрдЯ XOR
- рднреНрд░рдо рджреВрд░ рдХрд░рдирд╛ рдмрд╛рдЗрдирд░реАрдЯреВрд╕реНрдЯреНрд░рд┐рдВрдЧ ╨╕ рдирд┐рд╖реНрдкрд╛рджрд┐рдд рдХрд░рдирд╛
рдореБрдЦреНрдп рд▓реЛрдб рдХреЛ рдирд┐рд░реНрджреЗрд╢рд┐рдХрд╛ рдореЗрдВ рд╡рд┐рднрд╛рдЬрд┐рдд рд░реВрдк рдореЗрдВ рд╕рдВрдЧреНрд░рд╣реАрдд рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ рдлрд╝реЙрдиреНрдЯреНрд╕ рдлрд╝рд╛рдЗрд▓ рдХреЗ рд╕рдВрд╕рд╛рдзрди рдЕрдиреБрднрд╛рдЧ.
рдЪрд┐рдкрдХрд╛рдиреЗ рдХрд╛ рдХреНрд░рдо рдЗрд╕ рдкреНрд░рдХрд╛рд░ рд╣реИ: TIEQHCXWFG, IME, рдПрд╕рдкреАрдбреАрдЧреБрд╣рд┐рдореНрдкрд╡, KQJMWQQAQTKTFXTUOSW, AOCHKRWWSKWO, рдЬреЗрдПрд╕рдПрдЪрдПрдордПрд╕рдЬреЗрдкреАрдПрд╕, рдПрдирдПрдЪрдПрдЪрдбрдмреНрд▓реНрдпреВрдПрдХреНрд╕рдЬреЗрдмреАрдПрдордЯреАрдЯреАрдПрд╕рдкреАрдПрдХреНрд╕рд╡реАрдПрди, BFUTIFWWXVE, HWJHO, AVZOUMVFRDWFLWU.
WinAPI рдлрд╝рдВрдХреНрд╢рди рдХрд╛ рдЙрдкрдпреЛрдЧ рдирд┐рдХрд╛рд▓реЗ рдЧрдП рдбреЗрдЯрд╛ рдХреЛ рдбрд┐рдХреНрд░рд┐рдкреНрдЯ рдХрд░рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ рдХреНрд░рд┐рдкреНрдЯрдбрд┐рдХреНрд░рд┐рдкреНрдЯ, рдФрд░ рдорд╛рди рдХреЗ рдЖрдзрд╛рд░ рдкрд░ рдЙрддреНрдкрдиреНрди рд╕рддреНрд░ рдХреБрдВрдЬреА рдХреЛ рдХреБрдВрдЬреА рдХреЗ рд░реВрдк рдореЗрдВ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ fZgFiZlJDxvuWatFRgRXZqmNCIyQgMYc.
рдбрд┐рдХреНрд░рд┐рдкреНрдЯреЗрдб рдирд┐рд╖реНрдкрд╛рджрди рдпреЛрдЧреНрдп рдлрд╝рд╛рдЗрд▓ рдлрд╝рдВрдХреНрд╢рди рдЗрдирдкреБрдЯ рдкрд░ рднреЗрдЬреА рдЬрд╛рддреА рд╣реИ рд░рдирдкреАрдИ, рдЬреЛ рдХреНрд░рд┐рдпрд╛рдиреНрд╡рд┐рдд рд╣реЛрддрд╛ рд╣реИ рдкреНрд░реЛрд╕реЗрд╕рдЗрдВрдЬреЗрдХреНрдЯ ╨▓ RegAsm.exe рдмрд┐рд▓реНрдЯ-рдЗрди рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдирд╛ рд╢реЗрд▓рдХреЛрдб (рдХреЗ рд░реВрдк рдореЗрдВ рднреА рдЬрд╛рдирд╛ рдЬрд╛рддрд╛ рд╣реИ рд░рдирдкреАрдИ рд╢реЗрд▓рдХреЛрдб). рд▓реЗрдЦрдХрддреНрд╡ рд╕реНрдкреИрдирд┐рд╢ рдлрд╝реЛрд░рдо рдХреЗ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдХрд╛ рд╣реИ рдбрд┐рдЯреЗрдХреНрдЯреЗрдмрд▓реНрд╕[.]рдиреЗрдЯ рд╡рд╛рд░реНрдбреЛ рдЙрдкрдирд╛рдо рдХреЗ рддрд╣рддред
рдпрд╣ рднреА рдзреНрдпрд╛рди рджреЗрдиреЗ рдпреЛрдЧреНрдп рд╣реИ рдХрд┐ рдЗрд╕ рдордВрдЪ рдХреЗ рдПрдХ рд╕реВрддреНрд░ рдореЗрдВ, рдХреЗ рд▓рд┐рдП рдПрдХ рдЕрд╕реНрдкрд╖реНрдЯ рдмрд╛рдд рд╣реИ рдСрдЯреЛрдЖрдИрдЯреА рдирдореВрдирд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХреЗ рджреМрд░рд╛рди рдкрд╣рдЪрд╛рдиреЗ рдЧрдП рд╕рдорд╛рди рдЧреБрдгреЛрдВ рдХреЗ рд╕рд╛рдеред
рд╕реНрд╡рдпрдВ рд╢реЗрд▓рдХреЛрдб рдХрд╛рдлреА рд╕рд░рд▓ рдФрд░ рдзреНрдпрд╛рди рдЖрдХрд░реНрд╖рд┐рдд рдХрд░рддрд╛ рд╣реИ рдЬреЛ рдХреЗрд╡рд▓ рд╣реИрдХрд░ рд╕рдореВрд╣ AnunakCarbanak рд╕реЗ рдЙрдзрд╛рд░ рд▓рд┐рдпрд╛ рдЧрдпрд╛ рд╣реИред рдПрдкреАрдЖрдИ рдХреЙрд▓ рд╣реИрд╢рд┐рдВрдЧ рдлрд╝рдВрдХреНрд╢рдиред
рд╣рдо рдЙрдкрдпреЛрдЧ рдХреЗ рдорд╛рдорд▓реЛрдВ рд╕реЗ рднреА рдЕрд╡рдЧрдд рд╣реИрдВ рдлреНрд░реЗрдВрдЪреА рд╢реЗрд▓рдХреЛрдб рд╡рд┐рднрд┐рдиреНрди рд╕рдВрд╕реНрдХрд░рдг.
рд╡рд░реНрдгрд┐рдд рдХрд╛рд░реНрдпрдХреНрд╖рдорддрд╛ рдХреЗ рдЕрд▓рд╛рд╡рд╛, рд╣рдордиреЗ рдирд┐рд╖реНрдХреНрд░рд┐рдп рдХрд╛рд░реНрдпреЛрдВ рдХреА рднреА рдкрд╣рдЪрд╛рди рдХреА:
- рдХрд╛рд░реНрдп рдкреНрд░рдмрдВрдзрдХ рдореЗрдВ рдореИрдиреНрдпреБрдЕрд▓ рдкреНрд░рдХреНрд░рд┐рдпрд╛ рд╕рдорд╛рдкреНрддрд┐ рдХреЛ рдЕрд╡рд░реБрджреНрдз рдХрд░рдирд╛
- рдХрд┐рд╕реА рдЪрд╛рдЗрд▓реНрдб рдкреНрд░рдХреНрд░рд┐рдпрд╛ рдХреЗ рд╕рдорд╛рдкреНрдд рд╣реЛрдиреЗ рдкрд░ рдЙрд╕реЗ рдкреБрдирдГ рдкреНрд░рд╛рд░рдВрдн рдХрд░рдирд╛
- рдпреВрдПрд╕реА рдХреЛ рдмрд╛рдпрдкрд╛рд╕ рдХрд░реЗрдВ
- рдкреЗрд▓реЛрдб рдХреЛ рдлрд╝рд╛рдЗрд▓ рдореЗрдВ рд╕рд╣реЗрдЬрд╛ рдЬрд╛ рд░рд╣рд╛ рд╣реИ
- рдореЛрдбрд▓ рд╡рд┐рдВрдбреЛ рдХрд╛ рдкреНрд░рджрд░реНрд╢рди
- рдорд╛рдЙрд╕ рдХрд░реНрд╕рд░ рдХреА рд╕реНрдерд┐рддрд┐ рдмрджрд▓рдиреЗ рдХреА рдкреНрд░рддреАрдХреНрд╖рд╛ рдХреА рдЬрд╛ рд░рд╣реА рд╣реИ
- рдПрдВрдЯреАрд╡реАрдПрдо рдФрд░ рдПрдВрдЯреАрд╕реИрдВрдбрдмреЙрдХреНрд╕
- рдЖрддреНрдо рд╡рд┐рдирд╛рд╢
- рдиреЗрдЯрд╡рд░реНрдХ рд╕реЗ рдкреЗрд▓реЛрдб рдкрдВрдк рдХрд░рдирд╛
рд╣рдо рдЬрд╛рдирддреЗ рд╣реИрдВ рдХрд┐ рдРрд╕реА рдХрд╛рд░реНрдпрдХреНрд╖рдорддрд╛ рд░рдХреНрд╖рдХ рдХреЗ рд▓рд┐рдП рд╡рд┐рд╢рд┐рд╖реНрдЯ рд╣реИ рд╕рд╛рдЗрдлреЗрд░рдЖрдИрдЯреА, рдЬреЛ, рдЬрд╛рд╣рд┐рд░рд╛ рддреМрд░ рдкрд░, рдкреНрд░рд╢реНрди рдореЗрдВ рдмреВрдЯрд▓реЛрдбрд░ рд╣реИред
рд╕реЙрдлреНрдЯрд╡реЗрдпрд░ рдХрд╛ рдореБрдЦреНрдп рдореЙрдбреНрдпреВрд▓
рдЖрдЧреЗ, рд╣рдо рдореИрд▓рд╡реЗрдпрд░ рдХреЗ рдореБрдЦреНрдп рдореЙрдбреНрдпреВрд▓ рдХрд╛ рд╕рдВрдХреНрд╖реЗрдк рдореЗрдВ рд╡рд░реНрдгрди рдХрд░реЗрдВрдЧреЗ, рдФрд░ рджреВрд╕рд░реЗ рд▓реЗрдЦ рдореЗрдВ рдЗрд╕ рдкрд░ рдЕрдзрд┐рдХ рд╡рд┐рд╕реНрддрд╛рд░ рд╕реЗ рд╡рд┐рдЪрд╛рд░ рдХрд░реЗрдВрдЧреЗред рдЗрд╕ рдорд╛рдорд▓реЗ рдореЗрдВ, рдпрд╣ рдПрдХ рдПрдкреНрд▓рд┐рдХреЗрд╢рди рд╣реИ . рдиреЗрдЯ.
рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХреЗ рджреМрд░рд╛рди, рд╣рдореЗрдВ рдкрддрд╛ рдЪрд▓рд╛ рдХрд┐ рдПрдХ рдСрдмреНрдлрд╝рд╕реНрдХреЗрдЯрд░ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ рдХрдиреНрдлреНрдпреВрдЬрд╝рд░рдИрдПрдХреНрд╕.
IELLibrary.dll
рд▓рд╛рдЗрдмреНрд░реЗрд░реА рдХреЛ рдореБрдЦреНрдп рдореЙрдбреНрдпреВрд▓ рд╕рдВрд╕рд╛рдзрди рдХреЗ рд░реВрдк рдореЗрдВ рд╕рдВрдЧреНрд░рд╣реАрдд рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ рдФрд░ рдпрд╣ рдПрдХ рдкреНрд░рд╕рд┐рджреНрдз рдкреНрд▓рдЧрдЗрди рд╣реИ рдПрдЬреЗрдВрдЯ рдЯреЗрд╕реНрд▓рд╛, рдЬреЛ рдЗрдВрдЯрд░рдиреЗрдЯ рдПрдХреНрд╕рдкреНрд▓реЛрд░рд░ рдФрд░ рдПрдЬ рдмреНрд░рд╛рдЙрдЬрд╝рд░ рд╕реЗ рд╡рд┐рднрд┐рдиреНрди рдЬрд╛рдирдХрд╛рд░реА рдирд┐рдХрд╛рд▓рдиреЗ рдХреЗ рд▓рд┐рдП рдХрд╛рд░реНрдпрдХреНрд╖рдорддрд╛ рдкреНрд░рджрд╛рди рдХрд░рддрд╛ рд╣реИред
рдПрдЬреЗрдВрдЯ рдЯреЗрд╕реНрд▓рд╛ рдПрдХ рдореЙрдбреНрдпреВрд▓рд░ рдЬрд╛рд╕реВрд╕реА рд╕реЙрдлреНрдЯрд╡реЗрдпрд░ рд╣реИ рдЬреЛ рдПрдХ рд╡реИрдз рдХреАрд▓реЙрдЧрд░ рдЙрддреНрдкрд╛рдж рдХреА рдЖрдбрд╝ рдореЗрдВ рдореИрд▓рд╡реЗрдпрд░-рдП-рдП-рд╕рд░реНрд╡рд┐рд╕ рдореЙрдбрд▓ рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдХреЗ рд╡рд┐рддрд░рд┐рдд рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИред рдПрдЬреЗрдВрдЯ рдЯреЗрд╕реНрд▓рд╛ рдмреНрд░рд╛рдЙрдЬрд╝рд░, рдИрдореЗрд▓ рдХреНрд▓рд╛рдЗрдВрдЯ рдФрд░ рдПрдлрд╝рдЯреАрдкреА рдХреНрд▓рд╛рдЗрдВрдЯ рд╕реЗ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдХреНрд░реЗрдбреЗрдВрд╢рд┐рдпрд▓ рдХреЛ рд╕рд░реНрд╡рд░ рд╕реЗ рд╣рдорд▓рд╛рд╡рд░реЛрдВ рддрдХ рдирд┐рдХрд╛рд▓рдиреЗ рдФрд░ рдкреНрд░рд╕рд╛рд░рд┐рдд рдХрд░рдиреЗ, рдХреНрд▓рд┐рдкрдмреЛрд░реНрдб рдбреЗрдЯрд╛ рд░рд┐рдХреЙрд░реНрдб рдХрд░рдиреЗ рдФрд░ рдбрд┐рд╡рд╛рдЗрд╕ рд╕реНрдХреНрд░реАрди рдХреИрдкреНрдЪрд░ рдХрд░рдиреЗ рдореЗрдВ рд╕рдХреНрд╖рдо рд╣реИред рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХреЗ рд╕рдордп, рдбреЗрд╡рд▓рдкрд░реНрд╕ рдХреА рдЖрдзрд┐рдХрд╛рд░рд┐рдХ рд╡реЗрдмрд╕рд╛рдЗрдЯ рдЕрдиреБрдкрд▓рдмреНрдз рдереАред
рдкреНрд░рд╡реЗрд╢ рдмрд┐рдВрджреБ рдлрд╝рдВрдХреНрд╢рди рд╣реИ рд╕рд╣реЗрдЬреЗ рдЧрдП рдкрд╛рд╕рд╡рд░реНрдб рдкреНрд░рд╛рдкреНрдд рдХрд░реЗрдВ рдХрдХреНрд╖рд╛ рдЗрдВрдЯрд░рдиреЗрдЯ рдПрдХреНрд╕рдкреНрд▓реЛрд░рд░ред
рд╕рд╛рдорд╛рдиреНрдп рддреМрд░ рдкрд░, рдХреЛрдб рдирд┐рд╖реНрдкрд╛рджрди рд░реИрдЦрд┐рдХ рд╣реЛрддрд╛ рд╣реИ рдФрд░ рдЗрд╕рдореЗрдВ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХреЗ рд╡рд┐рд░реБрджреНрдз рдХреЛрдИ рд╕реБрд░рдХреНрд╖рд╛ рдирд╣реАрдВ рд╣реЛрддреА рд╣реИред рдХреЗрд╡рд▓ рдЕрд╡рд╛рд╕реНрддрд╡рд┐рдХ рдХрд╛рд░реНрдп рд╣реА рдзреНрдпрд╛рди рджреЗрдиреЗ рдпреЛрдЧреНрдп рд╣реИ рд╕рд╣реЗрдЬреА рдЧрдИ рдХреБрдХреАрдЬрд╝ рдкреНрд░рд╛рдкреНрдд рдХрд░реЗрдВ. рдЬрд╛рд╣рд┐рд░ рд╣реИ, рдкреНрд▓рдЧрдЗрди рдХреА рдХрд╛рд░реНрдпрдХреНрд╖рдорддрд╛ рдХрд╛ рд╡рд┐рд╕реНрддрд╛рд░ рдХрд┐рдпрд╛ рдЬрд╛рдирд╛ рдЪрд╛рд╣рд┐рдП рдерд╛, рд▓реЗрдХрд┐рди рдРрд╕рд╛ рдХрднреА рдирд╣реАрдВ рдХрд┐рдпрд╛ рдЧрдпрд╛ред
рдмреВрдЯрд▓реЛрдбрд░ рдХреЛ рд╕рд┐рд╕реНрдЯрдо рд╕реЗ рдЬреЛрдбрд╝рдирд╛
рдЖрдЗрдП рдЕрдзреНрдпрдпрди рдХрд░реЗрдВ рдХрд┐ рдмреВрдЯрд▓реЛрдбрд░ рд╕рд┐рд╕реНрдЯрдо рд╕реЗ рдХреИрд╕реЗ рдЬреБрдбрд╝рд╛ рд╣реЛрддрд╛ рд╣реИред рдЕрдзреНрдпрдпрди рдХреЗ рддрд╣рдд рдирдореВрдирд╛ рд▓рдВрдЧрд░ рдирд╣реАрдВ рдбрд╛рд▓рддрд╛ рд╣реИ, рд▓реЗрдХрд┐рди рд╕рдорд╛рди рдШрдЯрдирд╛рдУрдВ рдореЗрдВ рдпрд╣ рдирд┐рдореНрдирд▓рд┐рдЦрд┐рдд рдпреЛрдЬрдирд╛ рдХреЗ рдЕрдиреБрд╕рд╛рд░ рд╣реЛрддрд╛ рд╣реИ:
- рдлрд╝реЛрд▓реНрдбрд░ рдореЗрдВ рд╕реА:рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛рд╕рд╛рд░реНрд╡рдЬрдирд┐рдХ рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдмрдирд╛рдИ рдЧрдИ рд╣реИ Visual Basic рдХреЗ
рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдЙрджрд╛рд╣рд░рдг:
- рд▓реЛрдбрд░ рдлрд╝рд╛рдЗрд▓ рдХреА рд╕рд╛рдордЧреНрд░реА рдХреЛ рд╢реВрдиреНрдп рд╡рд░реНрдг рдХреЗ рд╕рд╛рде рдЧрджреНрджреЗрджрд╛рд░ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ рдФрд░ рдлрд╝реЛрд▓реНрдбрд░ рдореЗрдВ рд╕рд╣реЗрдЬрд╛ рдЬрд╛рддрд╛ рд╣реИ %Temp%
- рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдлрд╝рд╛рдЗрд▓ рдХреЗ рд▓рд┐рдП рд░рдЬрд┐рд╕реНрдЯреНрд░реА рдореЗрдВ рдПрдХ рдСрдЯреЛрд░рди рдХреБрдВрдЬреА рдмрдирд╛рдИ рдЬрд╛рддреА рд╣реИ HKCUSoftwareMicrosoftWindowsCurrentVersionRun
рдЗрд╕рд▓рд┐рдП, рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХреЗ рдкрд╣рд▓реЗ рднрд╛рдЧ рдХреЗ рдкрд░рд┐рдгрд╛рдореЛрдВ рдХреЗ рдЖрдзрд╛рд░ рдкрд░, рд╣рдо рдЕрдзреНрдпрдпрди рдХреЗ рддрд╣рдд рдореИрд▓рд╡реЗрдпрд░ рдХреЗ рд╕рднреА рдШрдЯрдХреЛрдВ рдХреЗ рдкрд░рд┐рд╡рд╛рд░реЛрдВ рдХреЗ рдирд╛рдо рд╕реНрдерд╛рдкрд┐рдд рдХрд░рдиреЗ, рд╕рдВрдХреНрд░рдордг рдкреИрдЯрд░реНрди рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рдиреЗ рдФрд░ рд╣рд╕реНрддрд╛рдХреНрд╖рд░ рд▓рд┐рдЦрдиреЗ рдХреЗ рд▓рд┐рдП рдСрдмреНрдЬреЗрдХреНрдЯ рднреА рдкреНрд░рд╛рдкреНрдд рдХрд░рдиреЗ рдореЗрдВ рд╕рдХреНрд╖рдо рдереЗред рд╣рдо рдЕрдЧрд▓реЗ рд▓реЗрдЦ рдореЗрдВ рдЗрд╕ рдСрдмреНрдЬреЗрдХреНрдЯ рдХрд╛ рдЕрдкрдирд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдЬрд╛рд░реА рд░рдЦреЗрдВрдЧреЗ, рдЬрд╣рд╛рдВ рд╣рдо рдореБрдЦреНрдп рдореЙрдбреНрдпреВрд▓ рдХреЛ рдЕрдзрд┐рдХ рд╡рд┐рд╕реНрддрд╛рд░ рд╕реЗ рджреЗрдЦреЗрдВрдЧреЗ рдПрдЬреЗрдВрдЯ рдЯреЗрд╕реНрд▓рд╛. рджреЗрдЦрд┐рдпреЗ рдЬрд░реВрд░!
рд╡реИрд╕реЗ, 5 рджрд┐рд╕рдВрдмрд░ рдХреЛ рд╣рдо рд╕рднреА рдкрд╛рдардХреЛрдВ рдХреЛ "рдореИрд▓рд╡реЗрдпрд░ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг: рд╡рд╛рд╕реНрддрд╡рд┐рдХ рдорд╛рдорд▓реЛрдВ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг" рд╡рд┐рд╖рдп рдкрд░ рдПрдХ рдореБрдлреНрдд рдЗрдВрдЯрд░реИрдХреНрдЯрд┐рд╡ рд╡реЗрдмрд┐рдирд╛рд░ рдореЗрдВ рдЖрдордВрддреНрд░рд┐рдд рдХрд░рддреЗ рд╣реИрдВ, рдЬрд╣рд╛рдВ рдЗрд╕ рд▓реЗрдЦ рдХреЗ рд▓реЗрдЦрдХ, рдПрдХ рд╕реАрдИрдЖрд░рдЯреА-рдЬреАрдЖрдИрдмреА рд╡рд┐рд╢реЗрд╖рдЬреНрдЮ, рдкрд╣рд▓реЗ рдЪрд░рдг рдХреЛ рдСрдирд▓рд╛рдЗрди рджрд┐рдЦрд╛рдПрдВрдЧреЗред рдореИрд▓рд╡реЗрдпрд░ рд╡рд┐рд╢реНрд▓реЗрд╖рдг - рдЕрднреНрдпрд╛рд╕ рд╕реЗ рддреАрди рд╡рд╛рд╕реНрддрд╡рд┐рдХ рдорд┐рдиреА-рдорд╛рдорд▓реЛрдВ рдХреЗ рдЙрджрд╛рд╣рд░рдг рдХрд╛ рдЙрдкрдпреЛрдЧ рдХрд░рдХреЗ рдирдореВрдиреЛрдВ рдХреА рдЕрд░реНрдз-рд╕реНрд╡рдЪрд╛рд▓рд┐рдд рдЕрдирдкреИрдХрд┐рдВрдЧ, рдФрд░ рдЖрдк рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдореЗрдВ рднрд╛рдЧ рд▓реЗ рд╕рдХрддреЗ рд╣реИрдВред рд╡реЗрдмрд┐рдирд╛рд░ рдЙрди рд╡рд┐рд╢реЗрд╖рдЬреНрдЮреЛрдВ рдХреЗ рд▓рд┐рдП рдЙрдкрдпреБрдХреНрдд рд╣реИ рдЬрд┐рдирдХреЗ рдкрд╛рд╕ рдкрд╣рд▓реЗ рд╕реЗ рд╣реА рджреБрд░реНрднрд╛рд╡рдирд╛рдкреВрд░реНрдг рдлрд╝рд╛рдЗрд▓реЛрдВ рдХрд╛ рд╡рд┐рд╢реНрд▓реЗрд╖рдг рдХрд░рдиреЗ рдХрд╛ рдЕрдиреБрднрд╡ рд╣реИред рдкрдВрдЬреАрдХрд░рдг рд╕рдЦреНрддреА рд╕реЗ рдХреЙрд░реНрдкреЛрд░реЗрдЯ рдИрдореЗрд▓ рд╕реЗ рд╣реИ:
рдЕрдм рдкрдВрдЬреАрдХрд░рдг рдХрд░реЗрдВ . рдЖрдкрдХрд╛ рдЗрдВрддрдЬрд╛рд░!
рдпрд╛рд░рд╛
rule AgentTesla_clean{
meta:
author = "Group-IB"
file = "78566E3FC49C291CB117C3D955FA34B9A9F3EEFEFAE3DE3D0212432EB18D2EAD"
scoring = 5
family = "AgentTesla"
strings:
$string_format_AT = {74 00 79 00 70 00 65 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 68 00 77 00 69 00 64 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 74 00 69 00 6D 00 65 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 63 00 6E 00 61 00 6D 00 65 00 3D 00 7B 00 33 00 7D 00 0D 00 0A 00 6C 00 6F 00 67 00 64 00 61 00 74 00 61 00 3D 00 7B 00 34 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 3D 00 7B 00 35 00 7D 00 0D 00 0A 00 69 00 70 00 61 00 64 00 64 00 3D 00 7B 00 36 00 7D 00 0D 00 0A 00 77 00 65 00 62 00 63 00 61 00 6D 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 37 00 7D 00 0D 00 0A 00 73 00 63 00 72 00 65 00 65 00 6E 00 5F 00 6C 00 69 00 6E 00 6B 00 3D 00 7B 00 38 00 7D 00 0D 00 0A 00 5B 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 73 00 5D 00}
$web_panel_format_string = {63 00 6C 00 69 00 65 00 6E 00 74 00 5B 00 5D 00 3D 00 7B 00 30 00 7D 00 0D 00 0A 00 6C 00 69 00 6E 00 6B 00 5B 00 5D 00 3D 00 7B 00 31 00 7D 00 0D 00 0A 00 75 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 5B 00 5D 00 3D 00 7B 00 32 00 7D 00 0D 00 0A 00 70 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 5B 00 5D 00 3D 00 7B 00 33 00 7D 00 00 15 55 00 52 00 4C 00 3A 00 20 00 20 00 20 00 20 00 20 00 20 00 00 15 55 00 73 00 65 00 72 00 6E 00 61 00 6D 00 65 00 3A 00 20 00 00 15 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64 00 3A 00}
condition:
all of them
}
rule AgentTesla_obfuscated {
meta:
author = "Group-IB"
file = "41DC0D5459F25E2FDCF8797948A7B315D3CB075398D808D1772CACCC726AF6E9"
scoring = 5
family = "AgentTesla"
strings:
$first_names = {61 66 6B 00 61 66 6D 00 61 66 6F 00 61 66 76 00 61 66 79 00 61 66 78 00 61 66 77 00 61 67 6A 00 61 67 6B 00 61 67 6C 00 61 67 70 00 61 67 72 00 61 67 73 00 61 67 75 00}
$second_names = "IELibrary.resources"
condition:
all of them
}
rule AgentTesla_module_for_IE{
meta:
author = "Group-IB"
file = "D55800A825792F55999ABDAD199DFA54F3184417215A298910F2C12CD9CC31EE"
scoring = 5
family = "AgentTesla_module_for_IE"
strings:
$s0 = "ByteArrayToStructure"
$s1 = "CryptAcquireContext"
$s2 = "CryptCreateHash"
$s3 = "CryptDestroyHash"
$s4 = "CryptGetHashParam"
$s5 = "CryptHashData"
$s6 = "CryptReleaseContext"
$s7 = "DecryptIePassword"
$s8 = "DoesURLMatchWithHash"
$s9 = "GetSavedCookies"
$s10 = "GetSavedPasswords"
$s11 = "GetURLHashString"
condition:
all of them
}
rule RunPE_shellcode {
meta:
author = "Group-IB"
file = "37A1961361073BEA6C6EACE6A8601F646C5B6ECD9D625E049AD02075BA996918"
scoring = 5
family = "RunPE_shellcode"
strings:
$malcode = {
C7 [2-5] EE 38 83 0C // mov dword ptr [ebp-0A0h], 0C8338EEh
C7 [2-5] 57 64 E1 01 // mov dword ptr [ebp-9Ch], 1E16457h
C7 [2-5] 18 E4 CA 08 // mov dword ptr [ebp-98h], 8CAE418h
C7 [2-5] E3 CA D8 03 // mov dword ptr [ebp-94h], 3D8CAE3h
C7 [2-5] 99 B0 48 06 // mov dword ptr [ebp-90h], 648B099h
C7 [2-5] 93 BA 94 03 // mov dword ptr [ebp-8Ch], 394BA93h
C7 [2-5] E4 C7 B9 04 // mov dword ptr [ebp-88h], 4B9C7E4h
C7 [2-5] E4 87 B8 04 // mov dword ptr [ebp-84h], 4B887E4h
C7 [2-5] A9 2D D7 01 // mov dword ptr [ebp-80h], 1D72DA9h
C7 [2-5] 05 D1 3D 0B // mov dword ptr [ebp-7Ch], 0B3DD105h
C7 [2-5] 44 27 23 0F // mov dword ptr [ebp-78h], 0F232744h
C7 [2-5] E8 6F 18 0D // mov dword ptr [ebp-74h], 0D186FE8h
}
condition:
$malcode
}
rule AgentTesla_AutoIT_module{
meta:
author = "Group-IB"
file = "49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08C05B5E3BD36FD52668D196AF"
scoring = 5
family = "AgentTesla"
strings:
$packedexeau = {55 ED F5 9F 92 03 04 44 7E 16 6D 1F 8C D7 38 E6 29 E4 C8 CF DA 2C C4 E1 F3 65 48 25 B8 93 9D 66 A4 AD 3C 39 50 00 B9 60 66 19 8D FC 20 0A A0 56 52 8B 9F 15 D7 62 30 0D 5C C3 24 FE F8 FC 39 08 DF 87 2A B2 1C E9 F7 06 A8 53 B2 69 C3 3C D4 5E D4 74 91 6E 9D 9A A0 96 FD DB 1F 5E 09 D7 0F 25 FB 46 4E 74 15 BB AB DB 17 EE E7 64 33 D6 79 02 E4 85 79 14 6B 59 F9 43 3C 81 68 A8 B5 32 BC E6}
condition:
all of them
}
рд╣реИрд╢
рдирд╛рдо | qoute_jpeg56a.r15 |
MD5 | 53BE8F9B978062D4411F71010F49209E |
SHA1 | A8C2765B3D655BA23886D663D22BDD8EF6E8E894 |
SHA256 | 2641DAFB452562A0A92631C2849B8B9CE880F0F8F
890E643316E9276156EDC8A |
рдкреНрд░рдХрд╛рд░ | рдкреБрд░рд╛рд▓реЗрдЦ WinRAR |
рдЖрдХрд╛рд░ | 823014 |
рдирд╛рдо | QOUTE_JPEG56A.exe |
MD5 | 329F6769CF21B660D5C3F5048CE30F17 |
SHA1 | 8010CC2AF398F9F951555F7D481CE13DF60BBECF |
SHA256 | 49F94293F2EBD8CEFF180EDDD58FA50B30DC0F08
C05B5E3BD36FD52668D196AF |
рдкреНрд░рдХрд╛рд░ | рдкреАрдИ (рд╕рдВрдХрд▓рд┐рдд рдСрдЯреЛрдЖрдИрдЯреА рд╕реНрдХреНрд░рд┐рдкреНрдЯ) |
рдЖрдХрд╛рд░ | 1327616 |
рдореВрд▓ рдирд╛рдо | рдЕрдЬреНрдЮрд╛рдд |
рддрд╛рд░реАрдЦ рдореЛрд╣рд░ | 15.07.2019 |
рд╕рдВрдпреЛрдЬрдХ | рдорд╛рдЗрдХреНрд░реЛрд╕реЙрдлреНрдЯ рд▓рд┐рдВрдХрд░(12.0)[EXE32] |
MD5 | C2743AEDDADACC012EF4A632598C00C0 |
SHA1 | 79B445DE923C92BF378B19D12A309C0E9C5851BF |
SHA256 | 37A1961361073BEA6C6EACE6A8601F646C5B6ECD
9D625E049AD02075BA996918 |
рдкреНрд░рдХрд╛рд░ | рд╢реЗрд▓рдХреЛрдб |
рдЖрдХрд╛рд░ | 1474 |
рд╕реНрд░реЛрдд: www.habr.com