मतदान विफल: आइए एजेंटटेस्ला को साफ पानी के लिए बेनकाब करें। भाग ---- पहला

हम मैलवेयर विश्लेषण पर समर्पित लेखों की अपनी श्रृंखला जारी रखते हैं। में पहले आंशिक रूप से, हमने बताया कि कैसे सीईआरटी ग्रुप-आईबी के मैलवेयर विश्लेषण विशेषज्ञ इल्या पोमेरेन्त्सेव ने यूरोपीय कंपनियों में से एक से मेल द्वारा प्राप्त फ़ाइल का विस्तृत विश्लेषण किया और वहां स्पाइवेयर की खोज की। एजेंट टेस्ला. इस लेख में, इल्या मुख्य मॉड्यूल के चरण-दर-चरण विश्लेषण के परिणाम प्रदान करता है एजेंट टेस्ला.

एजेंट टेस्ला एक मॉड्यूलर जासूसी सॉफ्टवेयर है जो एक वैध कीलॉगर उत्पाद की आड़ में मैलवेयर-ए-ए-सर्विस मॉडल का उपयोग करके वितरित किया जाता है। एजेंट टेस्ला ब्राउज़र, ईमेल क्लाइंट और एफ़टीपी क्लाइंट से उपयोगकर्ता क्रेडेंशियल को सर्वर से हमलावरों तक निकालने और प्रसारित करने, क्लिपबोर्ड डेटा रिकॉर्ड करने और डिवाइस स्क्रीन कैप्चर करने में सक्षम है। विश्लेषण के समय, डेवलपर्स की आधिकारिक वेबसाइट अनुपलब्ध थी।

विन्यास फाइल

नीचे दी गई तालिका सूचीबद्ध करती है कि आपके द्वारा उपयोग किए जा रहे नमूने पर कौन सी कार्यक्षमता लागू होती है:

विवरण	मूल्य
KeyLogger उपयोग ध्वज	<strong>उद्देश्य</strong>
स्क्रीनलॉगर उपयोग ध्वज	असत्य
KeyLogger लॉग भेजने का अंतराल मिनटों में	20
स्क्रीनलॉगर लॉग भेजने का अंतराल मिनटों में	20
बैकस्पेस कुंजी हैंडलिंग ध्वज. ग़लत - केवल लॉगिंग। सत्य - पिछली कुंजी मिटा देता है	असत्य
सीएनसी प्रकार. विकल्प: एसएमटीपी, वेबपैनल, एफ़टीपी	एसएमटीपी
"%filter_list%" सूची से प्रक्रियाओं को समाप्त करने के लिए थ्रेड सक्रियण ध्वज	असत्य
यूएसी अक्षम ध्वज	असत्य
कार्य प्रबंधक ध्वज अक्षम करें	असत्य
सीएमडी अक्षम ध्वज	असत्य
विंडो डिसेबल फ़्लैग चलाएँ	असत्य
रजिस्ट्री व्यूअर ध्वज अक्षम करें	असत्य
सिस्टम पुनर्स्थापना बिंदु ध्वज अक्षम करें	<strong>उद्देश्य</strong>
नियंत्रण कक्ष अक्षम ध्वज	असत्य
MSCONFIG अक्षम ध्वज	असत्य
एक्सप्लोरर में संदर्भ मेनू को अक्षम करने के लिए ध्वजांकित करें	असत्य
पिन ध्वज	असत्य
मुख्य मॉड्यूल को सिस्टम पर पिन करते समय उसकी प्रतिलिपि बनाने का पथ	%स्टार्टअपफ़ोल्डर% %इनफ़ोल्डर%%इन्सनाम%
सिस्टम को सौंपे गए मुख्य मॉड्यूल के लिए "सिस्टम" और "हिडन" विशेषताओं को सेट करने के लिए ध्वज	असत्य
सिस्टम पर पिन किए जाने पर पुनरारंभ करने के लिए फ़्लैग करें	असत्य
मुख्य मॉड्यूल को अस्थायी फ़ोल्डर में ले जाने के लिए ध्वजांकित करें	असत्य
यूएसी बाईपास ध्वज	असत्य
लॉगिंग के लिए दिनांक और समय प्रारूप	yyyy-MM-dd HH:mm:ss
KeyLogger के लिए प्रोग्राम फ़िल्टर का उपयोग करने के लिए फ़्लैग करें	<strong>उद्देश्य</strong>
प्रोग्राम फ़िल्टरिंग का प्रकार. 1 - प्रोग्राम का नाम विंडो शीर्षकों में खोजा जाता है 2 - प्रोग्राम का नाम विंडो प्रोसेस नाम में खोजा जाता है	1
प्रोग्राम फ़िल्टर	"फेसबुक" "ट्विटर" "जीमेल लगीं" "इंस्टाग्राम" "चलचित्र" "स्काइप" "अश्लील" "हैक" "व्हाट्सएप" "कलह"

मुख्य मॉड्यूल को सिस्टम से जोड़ना

यदि संबंधित ध्वज सेट किया गया है, तो मुख्य मॉड्यूल को सिस्टम में निर्दिष्ट पथ के रूप में कॉन्फ़िगरेशन में निर्दिष्ट पथ पर कॉपी किया जाता है।

कॉन्फ़िगरेशन के मान के आधार पर, फ़ाइल को "हिडन" और "सिस्टम" विशेषताएँ दी गई हैं।
ऑटोरन दो रजिस्ट्री शाखाओं द्वारा प्रदान किया जाता है:

• HKCU सॉफ़्टवेयरMicrosoftWindowsCurrentVersionRun%insregname%
• HKCUSOFTWAREMicrosoftWindowsवर्तमान संस्करणएक्सप्लोररस्टार्टअपस्वीकृतरन %insregname%

चूंकि बूटलोडर प्रक्रिया में इंजेक्ट होता है रेगएएसएम, मुख्य मॉड्यूल के लिए लगातार ध्वज सेट करने से काफी दिलचस्प परिणाम सामने आते हैं। स्वयं की प्रतिलिपि बनाने के बजाय, मैलवेयर ने मूल फ़ाइल को सिस्टम से जोड़ दिया RegAsm.exe, जिसके दौरान इंजेक्शन लगाया गया था।

सी एंड सी के साथ बातचीत

इस्तेमाल की गई विधि के बावजूद, नेटवर्क संचार संसाधन का उपयोग करके पीड़ित का बाहरी आईपी प्राप्त करने से शुरू होता है checkip[.]amazonaws[.]com/.
निम्नलिखित सॉफ़्टवेयर में प्रस्तुत नेटवर्क इंटरैक्शन विधियों का वर्णन करता है।

वेबपैनल

इंटरेक्शन HTTP प्रोटोकॉल के माध्यम से होता है। मैलवेयर निम्नलिखित हेडर के साथ एक POST अनुरोध निष्पादित करता है:

• उपयोगकर्ता-एजेंट: मोज़िला/5.0 (विंडोज यू विंडोज एनटी 6.1 आरयू आरवी:1.9.2.3) गेको/20100401 फ़ायरफ़ॉक्स/4.0 (.NET CLR 3.5.30729)
• कनेक्शन: जीवित रखें
• सामग्री-प्रकार: एप्लिकेशन/x-www-form-urlencoded

सर्वर पता मान द्वारा निर्दिष्ट किया गया है %पोस्टयूआरएल%. एन्क्रिप्टेड संदेश पैरामीटर में भेजा जाता है «पी». एन्क्रिप्शन तंत्र अनुभाग में वर्णित है "एन्क्रिप्शन एल्गोरिदम" (विधि 2).

प्रेषित संदेश इस प्रकार दिखता है:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nclient={8}nlink={9}nusername={10}npassword={11}nscreen_link={12}

प्राचल टाइप संदेश प्रकार इंगित करता है:

hwid - मदरबोर्ड सीरियल नंबर और प्रोसेसर आईडी के मूल्यों से एक एमडी5 हैश रिकॉर्ड किया जाता है। संभवतः उपयोगकर्ता आईडी के रूप में उपयोग किया जाता है।
पहर - वर्तमान समय और तारीख को प्रसारित करने का कार्य करता है।
पीसीनाम - के रूप में परिभाषित <उपयोगकर्ता नाम>/<कंप्यूटर नाम>.
लॉगडेटा - लॉग डेटा.

पासवर्ड ट्रांसमिट करते समय, संदेश इस प्रकार दिखता है:

type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nscreen_link={8}n[passwords]

प्रारूप में चुराए गए डेटा का विवरण निम्नलिखित है nclient[]={0}nlink[]={1}nusername[]={2}npassword[]={3}.

एसएमटीपी

इंटरैक्शन एसएमटीपी प्रोटोकॉल के माध्यम से होता है। प्रेषित पत्र HTML प्रारूप में है. पैरामीटर शरीर इसका रूप है:

पत्र के शीर्षक का सामान्य रूप है: <उपयोगकर्ता नाम>/<कंप्यूटर नाम> <सामग्री प्रकार>. पत्र की सामग्री, साथ ही इसके अनुलग्नक, एन्क्रिप्टेड नहीं हैं।

इंटरैक्शन एफ़टीपी प्रोटोकॉल के माध्यम से होता है। नाम वाली एक फ़ाइल निर्दिष्ट सर्वर पर स्थानांतरित की जाती है <सामग्री प्रकार>_<उपयोगकर्ता नाम>-<कंप्यूटर नाम>_<दिनांक और समय>.html. फ़ाइल की सामग्री एन्क्रिप्टेड नहीं है.

एन्क्रिप्शन एल्गोरिदम

यह मामला निम्नलिखित एन्क्रिप्शन विधियों का उपयोग करता है:

1 विधि

इस विधि का उपयोग मुख्य मॉड्यूल में स्ट्रिंग्स को एन्क्रिप्ट करने के लिए किया जाता है। एन्क्रिप्शन के लिए उपयोग किया जाने वाला एल्गोरिदम है एईएस.

इनपुट छह अंकों की दशमलव संख्या है। इस पर निम्नलिखित परिवर्तन किया जाता है:

f(x) = (((x >> 2 - 31059) ^ 6380) - 1363) >> 3

परिणामी मान एम्बेडेड डेटा सरणी के लिए सूचकांक है।

प्रत्येक सरणी तत्व एक अनुक्रम है उसके बाद DWORD. विलय करते समय उसके बाद DWORD बाइट्स की एक सरणी प्राप्त की जाती है: पहले 32 बाइट्स एन्क्रिप्शन कुंजी हैं, इसके बाद इनिशियलाइज़ेशन वेक्टर के 16 बाइट्स हैं, और शेष बाइट्स एन्क्रिप्टेड डेटा हैं।

2 विधि

एल्गोरिथम का उपयोग किया गया 3DES मोड में ईसीबी पूरे बाइट्स में पैडिंग के साथ (पीकेसीएस7).

कुंजी पैरामीटर द्वारा निर्दिष्ट है %urlkey%हालाँकि, एन्क्रिप्शन इसके MD5 हैश का उपयोग करता है।

दुर्भावनापूर्ण कार्यक्षमता

अध्ययनाधीन नमूना अपने दुर्भावनापूर्ण कार्य को लागू करने के लिए निम्नलिखित कार्यक्रमों का उपयोग करता है:

keylogger

यदि WinAPI फ़ंक्शन का उपयोग करके संबंधित मैलवेयर फ़्लैग है SetWindowsHookEx कीबोर्ड पर कीप्रेस इवेंट के लिए अपना स्वयं का हैंडलर निर्दिष्ट करता है। हैंडलर फ़ंक्शन सक्रिय विंडो का शीर्षक प्राप्त करके शुरू होता है।

यदि एप्लिकेशन फ़िल्टरिंग फ़्लैग सेट है, तो निर्दिष्ट प्रकार के आधार पर फ़िल्टरिंग की जाती है:

1. प्रोग्राम का नाम विंडो शीर्षकों में खोजा जाता है
2. प्रोग्राम का नाम विंडो प्रक्रिया नाम में देखा जाता है

इसके बाद, प्रारूप में सक्रिय विंडो के बारे में जानकारी के साथ लॉग में एक रिकॉर्ड जोड़ा जाता है:

फिर दबायी गयी कुंजी के बारे में जानकारी दर्ज की जाती है:

कुंजी	रिकॉर्ड
बैकस्पेस	बैकस्पेस कुंजी प्रसंस्करण ध्वज के आधार पर: गलत - {बैक} सत्य - पिछली कुंजी मिटा देता है
capslock	{कैप्स लॉक}
ESC	{ईएससी}
PageUp	{पेज अप}
नीचे	↓
हटाएँ	{DEL}
"	"
F5	{एफ5}
&	और
F10	{एफ10}
टैब	{टैब}
<	<
>	>
अंतरिक्ष
F8	{एफ8}
F12	{एफ12}
F9	{एफ9}
ALT + TAB	{ALT+TAB}
अंत	{समाप्त}
F4	{एफ4}
F2	{एफ2}
दबाएँ	{CTRL}
F6	{एफ6}
सही	→
Up	↑
F1	{एफ1}
वाम	←
PageDown	{पेज नीचे}
सम्मिलित करें	{डालना}
जीतना	{जीतना}
NumLock	{न्यूमेरिकल लॉक}
F11	{एफ11}
F3	{एफ3}
होम	{घर}
ENTER	{प्रवेश करना}
ALT + F4	{ALT+F4}
F7	{एफ7}
अन्य कुंजी	कैप्सलॉक और शिफ्ट कुंजियों की स्थिति के आधार पर कैरेक्टर ऊपरी या निचले केस में होता है

एक निर्दिष्ट आवृत्ति पर, एकत्रित लॉग सर्वर पर भेजा जाता है। यदि स्थानांतरण असफल होता है, तो लॉग को एक फ़ाइल में सहेजा जाता है %TEMP%log.tmp प्रारूप में:

जब टाइमर चालू हो जाएगा, तो फ़ाइल सर्वर पर स्थानांतरित हो जाएगी।

स्क्रीनलॉगर

एक निर्दिष्ट आवृत्ति पर, मैलवेयर प्रारूप में एक स्क्रीनशॉट बनाता है जेपीईजी अर्थ सहित गुणवत्ता 50 के बराबर है और इसे एक फ़ाइल में सहेजता है %एप्लिकेशनडेटा %<10 वर्णों का यादृच्छिक क्रम>.jpg. स्थानांतरण के बाद, फ़ाइल हटा दी जाती है।

क्लिपबोर्डलॉगर

यदि उपयुक्त ध्वज सेट किया गया है, तो नीचे दी गई तालिका के अनुसार इंटरसेप्टेड टेक्स्ट में प्रतिस्थापन किया जाता है।

इसके बाद, टेक्स्ट को लॉग में डाला जाता है:

पासवर्ड चुराने वाला

मैलवेयर निम्नलिखित एप्लिकेशन से पासवर्ड डाउनलोड कर सकता है:

Браузеры	मेल क्लाइंट	एफ़टीपी ग्राहक
Chrome	आउटलुक	Filezilla
Firefox	थंडरबर्ड	WS_FTP
आईई/एज	फॉक्समेल	WinSCP
Safari	ओपेरा मेल	कोरएफटीपी
Opera Browser	IncrediMail	एफ़टीपी नेविगेटर
Yandex	पोकोमेल	FlashFXP
कोमोडो	यूडोरा	SmartFTP
क्रोमप्लस	बल्ला	एफ़टीपीकमांडर
क्रोमियम	Postbox
टॉर्च	क्लॉजमेल
7Star
दोस्त
ब्रेवसॉफ़्टवेयर	जैबर ग्राहक	वीपीएन ग्राहक
सेंटब्राउज़र	साई/साई+	ओपन वीपीएन
चेदोट
कॉककोक
तत्व ब्राउज़र	प्रबंधकों को डाउनलोड करें
महाकाव्य गोपनीयता ब्राउज़र	इंटरनेट डाउनलोड प्रबंधक
धूमकेतु	JDownloader
ऑर्बिटम
कृत्रिम उपग्रह
यूकोज़मीडिया
विवाल्डी
SeaMonkey
झुंड ब्राउज़र
UC Browser
काला बाज़
साइबरफॉक्स
कश्मीर Meleon
आइसकैट
बर्फ ड्रैगन
धुन्धला सा चॉंद
वाटरफ़ॉक्स
फाल्कन ब्राउज़र

गतिशील विश्लेषण का प्रतिकार

• फ़ंक्शन का उपयोग करना नींद. आपको टाइमआउट तक कुछ सैंडबॉक्स को बायपास करने की अनुमति देता है
• एक धागे को नष्ट करना जोन. आपको इंटरनेट से फ़ाइल डाउनलोड करने के तथ्य को छिपाने की अनुमति देता है
• पैरामीटर में %फ़िल्टर_सूची% उन प्रक्रियाओं की एक सूची निर्दिष्ट करता है जिन्हें मैलवेयर एक सेकंड के अंतराल पर समाप्त कर देगा
• वियोग यूएसी
• कार्य प्रबंधक को अक्षम करना
• वियोग सीएमडी
• एक विंडो अक्षम करना «Выполнит»
• नियंत्रण कक्ष को अक्षम करना
• किसी टूल को अक्षम करना RegEdit
• सिस्टम पुनर्स्थापना बिंदुओं को अक्षम करना
• एक्सप्लोरर में संदर्भ मेनू अक्षम करें
• वियोग MSCONFIG
• उपमार्ग UAC:

मुख्य मॉड्यूल की निष्क्रिय विशेषताएं

मुख्य मॉड्यूल के विश्लेषण के दौरान, ऐसे कार्यों की पहचान की गई जो पूरे नेटवर्क में फैलने और माउस की स्थिति को ट्रैक करने के लिए जिम्मेदार थे।

वर्म

हटाने योग्य मीडिया को जोड़ने की घटनाओं की निगरानी एक अलग थ्रेड में की जाती है। कनेक्ट होने पर, नाम वाला मैलवेयर फ़ाइल सिस्टम के रूट पर कॉपी हो जाता है scr.exe, जिसके बाद यह एक्सटेंशन वाली फ़ाइलों को खोजता है lnk. सबकी टीम lnk में परिवर्तन cmd.exe /c scr.exe प्रारंभ करें और <मूल कमांड> प्रारंभ करें और बाहर निकलें.

मीडिया के मूल में प्रत्येक निर्देशिका को एक विशेषता दी गई है "छिपा हुआ" और एक्सटेंशन के साथ एक फ़ाइल बनाई जाती है lnk छुपी हुई निर्देशिका और कमांड के नाम के साथ cmd.exe /c प्रारंभ scr.exe&explorer /root,"%CD%<निर्देशिका नाम>" और बाहर निकलें.

माउसट्रैकर

अवरोधन निष्पादित करने की विधि कीबोर्ड के लिए उपयोग की जाने वाली विधि के समान है। यह कार्यक्षमता अभी भी विकासाधीन है.

फ़ाइल गतिविधि

पथ	विवरण
%Temp%temp.tmp	यूएसी बाईपास प्रयासों के लिए एक काउंटर शामिल है
%स्टार्टअपफ़ोल्डर%%इनफ़ोल्डर%%इन्सनाम%	एचपीई प्रणाली को निर्दिष्ट किया जाने वाला पथ
%Temp%tmpG{वर्तमान समय मिलीसेकेंड में}.tmp	मुख्य मॉड्यूल के बैकअप के लिए पथ
%Temp%log.tmp	बोटा दस्तावेज
%AppData%{10 वर्णों का एक मनमाना अनुक्रम}.jpeg	स्क्रीनशॉट
C:UsersPublic{10 वर्णों का एक मनमाना अनुक्रम}.vbs	एक वीबीएस फ़ाइल का पथ जिसे बूटलोडर सिस्टम से संलग्न करने के लिए उपयोग कर सकता है
%Temp%{कस्टम फ़ोल्डर नाम}{फ़ाइल नाम}	बूटलोडर द्वारा स्वयं को सिस्टम से जोड़ने के लिए उपयोग किया जाने वाला पथ

हमलावर प्रोफ़ाइल

हार्डकोडेड प्रमाणीकरण डेटा के लिए धन्यवाद, हम कमांड सेंटर तक पहुंच प्राप्त करने में सक्षम थे।

इससे हमें हमलावरों के अंतिम ईमेल की पहचान करने की अनुमति मिली:

जुनैद[.]in***@gmail[.]com.

कमांड सेंटर का डोमेन नाम मेल पर पंजीकृत है sg***@gmail[.]com.

निष्कर्ष

हमले में प्रयुक्त मैलवेयर के विस्तृत विश्लेषण के दौरान, हम इसकी कार्यक्षमता स्थापित करने और इस मामले से संबंधित समझौता संकेतकों की सबसे पूरी सूची प्राप्त करने में सक्षम थे। मैलवेयर के बीच नेटवर्क इंटरेक्शन के तंत्र को समझने से सूचना सुरक्षा उपकरणों के संचालन को समायोजित करने के साथ-साथ स्थिर आईडीएस नियम लिखने के लिए सिफारिशें देना संभव हो गया।

मुख्य ख़तरा एजेंट टेस्ला डेटास्टीलर की तरह, इसे अपने कार्यों को करने के लिए सिस्टम के प्रति प्रतिबद्ध होने या नियंत्रण कमांड की प्रतीक्षा करने की आवश्यकता नहीं है। एक बार मशीन पर, यह तुरंत निजी जानकारी एकत्र करना शुरू कर देता है और इसे सीएनसी में स्थानांतरित कर देता है। यह आक्रामक व्यवहार कुछ मायनों में रैंसमवेयर के व्यवहार के समान है, एकमात्र अंतर यह है कि बाद वाले को नेटवर्क कनेक्शन की भी आवश्यकता नहीं होती है। यदि आपका सामना इस परिवार से होता है, तो संक्रमित सिस्टम को मैलवेयर से साफ करने के बाद, आपको निश्चित रूप से उन सभी पासवर्डों को बदल देना चाहिए, जो कम से कम सैद्धांतिक रूप से, ऊपर सूचीबद्ध अनुप्रयोगों में से एक में सहेजे जा सकते हैं।

आगे देखते हुए, मान लीजिए कि हमलावर भेज रहे हैं एजेंट टेस्ला, प्रारंभिक बूट लोडर बहुत बार बदला जाता है। यह आपको हमले के समय स्थैतिक स्कैनर और अनुमानी विश्लेषकों द्वारा किसी का ध्यान नहीं जाने देता है। और इस परिवार की तुरंत अपनी गतिविधियाँ शुरू करने की प्रवृत्ति सिस्टम मॉनिटर को बेकार बना देती है। एजेंटटेस्ला से निपटने का सबसे अच्छा तरीका सैंडबॉक्स में प्रारंभिक विश्लेषण है।

इस शृंखला के तीसरे लेख में हम प्रयुक्त अन्य बूटलोडर्स पर नजर डालेंगे एजेंट टेस्ला, और उनके अर्ध-स्वचालित अनपैकिंग की प्रक्रिया का भी अध्ययन करें। देखिये जरूर!

हैश

SHA1

A8C2765B3D655BA23886D663D22BDD8EF6E8E894

8010CC2AF398F9F951555F7D481CE13DF60BBECF

79B445DE923C92BF378B19D12A309C0E9C5851BF

15839B7AB0417FA35F2858722F0BD47BDF840D62

1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD

सी और सी

यूआरएल

सिना-सी0एम[.]आईसीयू

smtp[.]sina-c0m[.]icu

रेगकी

रजिस्ट्री

HKCUSoftwareMicrosoftWindowsCurrentVersionRun{स्क्रिप्ट नाम}

HKCUसॉफ़्टवेयरMicrosoftWindowsCurrentVersionRun%insregname%

HKCUSOFTWAREMicrosoftWindowsवर्तमान संस्करणएक्सप्लोररस्टार्टअपस्वीकृतRun%insregname%

म्युटेक्स

कोई संकेतक नहीं हैं.

फ़ाइलें

फ़ाइल गतिविधि

%Temp%temp.tmp

%स्टार्टअपफ़ोल्डर%%इनफ़ोल्डर%%इन्सनाम%

%Temp%tmpG{वर्तमान समय मिलीसेकेंड में}.tmp

%Temp%log.tmp

%AppData%{10 वर्णों का एक मनमाना अनुक्रम}.jpeg

C:UsersPublic{10 वर्णों का एक मनमाना अनुक्रम}.vbs

%Temp%{कस्टम फ़ोल्डर नाम}{फ़ाइल नाम}

नमूने की जानकारी

नाम	अज्ञात
MD5	F7722DD8660B261EA13B710062B59C43
SHA1	15839B7AB0417FA35F2858722F0BD47BDF840D62
SHA256	41DC0D5459F25E2FDCF8797948A7B315D3CB0753 98D808D1772CACCC726AF6E9
प्रकार	पीई (.NET)
आकार	327680
मूल नाम	AZZRIDKGGSLTYFUUBCCRRCUMRKTOXFVPDKGAGPUZI_20190701133545943.exe
तारीख मोहर	01.07.2019
संकलक	VB.NET

नाम	IELLibrary.dll
MD5	BFB160A89F4A607A60464631ED3ED9FD
SHA1	1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD
SHA256	D55800A825792F55999ABDAD199DFA54F3184417 215A298910F2C12CD9CC31EE
प्रकार	पीई (.NET DLL)
आकार	16896
मूल नाम	IELLibrary.dll
तारीख मोहर	11.10.2016
संकलक	माइक्रोसॉफ्ट लिंकर(48.0*)

स्रोत: www.habr.com