ืืืงืจ ืืงืจืื ืืงืฉืืจืื ืืืชืืืืช, ืจืฉืชืืช ืืืืื, ืขืกืงืืืช ืืื ืื ืืงืืืฆืืช ืืืงืจืื ืคืืืืืืช, ืืืืื Group-IB ืืฉืชืืฉืื ืื ืืชืื ืืจืคืื ืืืฉื ืฉื ืื ืจืืืช ืืื ืืืืืช ืกืืืื ืฉืื ืื ืฉื ืงืฉืจืื. ืืืงืจืื ืฉืื ืื ืืฉ ืืขืจืื ื ืชืื ืื ืืฉืืื, ืืืืืจืืชืืื ืืฉืืื ืืืืืื ืืืืืจืื ืืืืฉืงืื ืืืืชืืืื ืืืฉืืืืช ืกืคืฆืืคืืืช. ืื ืืืืื ืืืื ืคืืชืื ืืืืคื ืคื ืืื ืขื ืืื Group-IB ืืืื ืืืื ืื ืจืง ืืขืืืืื ืฉืื ื.
ื ืืชืื ืืจืฃ ืฉื ืชืฉืชืืช ืจืฉืช (ืืจืฃ ืจืฉืช) ืืคื ืืืื ืืคื ืืื ืืจืืฉืื ืฉืื ืื ื ืืื ืืืืฆืจืื ืืฆืืืืจืืื ืฉื ืืืืจื. ืืคื ื ืืฆืืจืช ืืจืฃ ืืจืฉืช ืฉืื ื, ื ืืชืื ื ืืจืื ืืชืคืชืืืืืช ืืืืืช ืืฉืืง ืืื ืืฆืื ื ืืืฆืจ ืืื ืฉืขืื ื ืขื ืืฆืจืืื ืฉืื ื. ืืืืืจ ืื ื ืืืจ ืขื ืืื ืืฆืจื ื ืืช ืืจืฃ ืืจืฉืช, ืืื ืื ืื ื ืืฉืชืืฉืื ืื ืืืืืื ืงืฉืืื ื ืชืงืื ื.
ืืืืืจื ืืืืงืื, CTO Group-IB ืืจืืฉ ืืืืืขืื ืกืืืืจ
ืื ืืืื ืืจืฃ ืืจืฉืช ืฉื Group-IB ืืขืฉืืช?
ืืงืืจืืช
ืืื ืืงืืชื ืฉื Group-IB ืืฉื ืช 2003 ืืขื ืืืื, ืืืืื, ืืืจืื ืืืืืช ืคืืฉืขื ืกืืืืจ ืืืื ืืื ืืจืืฉ ืกืืจ ืืขืืืคืืืืช ืืขืืืืชื ื. ืืฃ ืืงืืจืช ืืชืงืคืช ืกืืืืจ ืืืช ืื ืืืฉืืื ืืืื ืื ืชื ืืช ืชืฉืชืืช ืืจืฉืช ืฉื ืืชืืงืคืื. ืืืฉ ืืชืืืืช ืืจืื ื, ืื ืืืืชื "ืขืืืื ืืื ืืช" ืงืคืื ืืช ืืืื ืืืคืฉ ืืขืจืืืช ืืืกืื ืฉืืืืืืช ืืกืืืข ืืืืืื ืคืืฉืขืื: ืืืืข ืขื ืฉืืืช ืืืืืื, ืืชืืืืช IP, ืืืืขืืช ืืฆืืข ืืืืืืืืืช ืฉื ืฉืจืชืื ืืื'.
ืจืื ืืชืืงืคืื ืื ืกืื ืืคืขืื ืืฆืืจื ืื ืื ืืืืช ืืื ืืืคืฉืจ ืืจืฉืช. ืขื ืืืช, ืืื ืื ืืื ืฉืื, ืื ืขืืฉืื ืืขืืืืช. ืืืืจื ืืขืืงืจืืช ืฉื ื ืืชืื ืืื ืืื ืืืฆืื ืคืจืืืงืืื ืืืกืืืจืืื "ืืื ืื" ืื "ืืคืืจืื" ืฉื ืชืืงืคืื ืฉืืฉ ืืื ืฆืืชืื ืขื ืืชืฉืชืืช ืืืืื ืืช ืืืฉืืฉืช ืืชืงืจืืช ืื ืืืืืช ืฉืื ื ืืืงืจืื. ืื ืืคืฉืจ ืืืืืช "ืคืจืืืงืืื ืืื ืื", ืื ืืฆืืืช ืืชืืงืฃ, ืืืื, ืืืคืืช ืืืฉืืื ืืจืืืืืืืืช. ืืืงืจื ืฉื "ืืคืืจืื", ืืืืคืืฉ ืืืงื ืืืชืจ ืืื ืืืืืฅ, ืืืืืื ืฉืืขืืืื ืื ืกืื ืืขืฉืืช ืื ืื ืืืืืช ืื ืืืกืชืืจ ืืช ื ืชืื ื ืืจืืฉืื, ืื ืืกืืืืืื ืขืืืื ืืืืืื ืืืื. ืืืื, ืืชืืืืช ืคืขืืืืชื ืืคืืืืืช, ืืชืืงืคืื ืคืืืช ืฉืืื ืื ืืืืืืื ื ืฉืืื ืืขืืฉืื ืืืชืจ ืืขืืืืช, ืื ืฉืืื ืฉื ืืื ืืฆืืื ืขืืืง ืืืชืจ ืืชืื ืืกืืคืืจ, ืื ืืืืื ืืกืืืืืื ืืืฆืืืช ืืืงืืจื. ืืื ืืจืฃ ืจืฉืช ืขื ืืืกืืืจืื ืืืื ืืื ืืจืืื ืืฉืื ืืืืชืจ ืืืงืืจื ืืื. ืืืืืื ืคืฉืืืืช, ืืื ืฉืืฉ ืืืืจื ื ืชืื ืื ืืืกืืืจืืื ืขืืืงืื ืืืชืจ, ืื ืืืจืฃ ืฉืื ืืื ืืืชืจ. ื ื ืื ืฉืืืกืืืจืื ืฉื 5 ืฉื ืื ืืืืื ืืขืืืจ ืืคืชืืจ, ืืชื ืื, 1-2 ืืชืื 10 ืคืฉืขืื, ืืืืกืืืจืื ืฉื 15 ืฉื ืื ื ืืชื ืช ืืืืื ืืช ืืคืชืืจ ืืช ืื ืขืฉืจื.
ืืืืื ืืืื ืืืื ืื
ืืื ืคืขื ืฉืื ื ืืงืืืื ืงืืฉืืจ ืืฉืื ืืืฉืื ืืืื, ืืื ืื ืื ืคืืจืืื, ืื ื ืืื ืื ืืืืืืืืช ืืจืฃ ืฉื ืืฉืืื ืจืฉืช ืงืฉืืจืื ืืืืืงืื ืืช ืื ืืืืจืืื ืฉื ืืฆืื ืขืืืจ ืชืืื ืืืื. ืื ืืืคืฉืจ ืื ืืืฆืื ืื ืืชืจื ืคืืฉืื ื ืืฉื ืื ืฉืืื ืคืขืืืื ืื ืื ืืืืขืื, ืืื ืืชืจืื ืืืฉืื ืืืืจื ืฉืืืื ืื ืืืชืงืคืืช ืขืชืืืืืช, ืื ืขืืืื ืื ื ืขืฉื ืืื ืฉืืืืฉ. ืืืืื ืืืื ืืจืืช ืฉืืชืจืืฉืช ืืขืชืื ืงืจืืืืช ืืืื: ืืฆืื ื ืืชืจ ืคืืฉืื ื ืืฉืจืช ืขื 5 ืืชืจืื ืืืื. ืขื ืืื ืกืืืื ืื ืืื ืืื, ืื ื ืืืฆืืื ืชืืื ืืืื ืืืชืจืื ืืืจืื, ืื ืฉืืืืจ ืฉืื ื ืืืืืื ืืืกืื 5 ืืืงืื 1.
ืืคืฉ ืงืฆื ืืืืจื
ืชืืืื ืื ื ืืืฅ ืืื ืืงืืืข ืืืื ืืฉืจืช ืืืืื ื ืืืืช ืฉืืื.
99% ืืื ืืืืช ืืืจืืืกืื, ืคืืจืืื ืืืงืจืื, ืืฉืืื ืืืื ืจืืื ืืฉืจืชืื ืืืื ืืื ืืืจืื ืืืกืชืจืื ืื ืืืืืจื ืฉืจืชื ื-proxy ืฉืืื ืืื ืืืืืจื ืืฉืจืชืื ืืืืืืืืืื ืฉืืื, ืืืฉื, Cloudflare. ืืืืข ืขื ื-backend ืืืืืชื ืืฉืื ืืืื ืืืงืืจืืช: ืกืคืง ืืืืกืื ืืื ื ื ืืชื ืืชืคืืก ืืช ืืฉืจืช ื ืืืข, ืืืชืืคืฉืจ ืืืฆืืจ ืงืฉืจืื ืขื ืคืจืืืงืืื ืืืื ืืื ืืืจืื.
ืืืืืื, ืืฉ ืื ืืชืจ ืคืืฉืื ื ืืืืกืืฃ ื ืชืื ื ืืจืืืก ืื ืง ืฉืืชืืืืก ืืืชืืืช ื-IP 11.11.11.11, ืืืชืืืช Cardshop ืฉืคืืชืจืช ืืืชืืืช ื-IP 22.22.22.22. ืืืืื ืื ืืชืื, ืขืฉืื ืืืชืืจืจ ืฉืื ืืืชืจ ืืืชืืืืช ืืื ื-cardshop ืืฉ ืืชืืืช IP ืืฉืืชืคืช ืฉื ืงืฆื ืืืืจื, ืืืฉื 33.33.33.33. ืืืืข ืืื ืืืคืฉืจ ืื ื ืืื ืืช ืงืฉืจ ืืื ืืชืงืคืืช ืคืืฉืื ื ืืื ืืช ืืจืืืกืื ืฉืื ื ืืชื ืืืืืจ ื ืชืื ื ืืจืืืกื ืื ืง.
ืืชืื ืืืจืืข
ืืืฉืจ ืืฉ ืื ืฉื ื ืืจืืืจืื ืฉืื ืื (ื ื ืื ื-IDS) ืขื ืชืืื ืืช ืืืื ืืืช ืฉืื ืืช ืืฉืจืชืื ืฉืื ืื ืืฉืืื ืืืชืงืคื, ืชืชืืืืก ืืืืื ืืฉื ื ืืืจืืขืื ืขืฆืืืืื. ืืื ืื ืืฉ ืงืฉืจ ืืื ืืื ืชืฉืชืืืช ืืืื ืืืช, ืื ืืจืืจ ืฉืื ืืืืืจ ืืืชืงืคืืช ืฉืื ืืช, ืืื ืืฉืืืื ืฉื ืืชืงืคื ืืืช, ืืืจืืืช ืืืชืจ, ืจื-ืฉืืืืช. ืืื ืืื ืืืืืจืืขืื ืืืจ ืืืืืก ืืงืืืฆืช ืชืืงืคืื ืืืฉืื, ืื ื ืืชื ืืืืืก ืืช ืืฉื ื ืื ืืืืชื ืงืืืฆื. ืืืืื ืฉืชืืืื ืืืืืืก ืืืจืื ืืจืื ืืืชืจ, ืื ืืชืืืืกื ืืื ืืืืืื ืคืฉืืื.
ืืขืฉืจืช ืืืืื ืื
ืื ื ืงืืืฉ ืืื ืชืฉืืืช ืื ืจืื, ืืืืืื ืฉืืื ืืชืจืืืฉ ืื ืคืืฅ ืืืืชืจ ืืฉืืืืฉ ืืืจืคืื ืืืืืืช ืกืืืืจ: ืืชื ื ืืชื ืืื ืืืงืืืจ ืืื ืืงืื, ืืืคืื ืืชื ืืงืื ืืขืจื ืฉื ืืื ืืืงืืืจืื ืงืฉืืจืื.
ืืืืื ืืคืืกืื
ืืืืื ืืคืืกืื ืืืื ื ืืฆืื ืืขืื. ืืจืคืื ืืืคืฉืจืื ืื ืื ืจืง ืืืฆืื ืืืื ืืื ืงืฉืืจืื, ืืื ืื ืืืืืช ืืืคืืื ืื ื ืคืืฆืื ืืืืคืืื ืืื ืืงืืืฆื ืืกืืืืช ืฉื ืืืงืจืื. ืืืจืช ืืืคืืื ืื ืืืืืืืื ืืืื ืืืคืฉืจืช ืื ืืืืืช ืืช ืืชืฉืชืืช ืฉื ืืชืืงืฃ ืื ืืฉืื ืืืื ื ืืืื ืจืืืืช ืืืืฉืจืืช ืืช ืืืชืงืคื, ืืืื ืืืืืื ืืืื ืื ืชืืื ืืช ืืืื ืืืช.
ืืืืข ืืฆืจื ื ืืจืฃ ืจืฉืช ืืฉืื ื?
ืฉืื, ืืืงื ื ืคืชืจืื ืืช ืฉื ืกืคืงืื ืฉืื ืื ืืคื ื ืฉืืืขื ื ืืืกืงื ื ืฉืื ืื ื ืฆืจืืืื ืืคืชื ืืื ืืฉืื ื ืฉืืืื ืืขืฉืืช ืืฉืื ืฉืืฃ ืืืฆืจ ืงืืื ืื ืืืื ืืขืฉืืช. ืืงื ืืื ืฉื ืื ืืืฆืืจ ืืืชื, ืืืืืืื ืฉืื ืื ื ืืืชื ืืืืืืื ืืื ืคืขืืื. ืืื, ืืืจืืช ืชืงืืคืช ืืคืืชืื ืืืจืืื, ืขืืืื ืื ืืฆืื ื ืื ืืื ืืื ืฉืืขื ื ืขื ืืืจืืฉืืช ืฉืื ื. ืืืืฆืขืืช ืืืืฆืจ ืฉืื ื, ืืฆืืื ื ืืกืืคื ืฉื ืืืจ ืืคืชืืจ ืืืขื ืืช ืื ืืืขืืืช ืฉืืืืื ื ืืืจืคื ืจืฉืช ืงืืืืื. ืืืื ื ืฉืงืื ืืช ืืืขืืืช ืืืื ืืคืืจืื:
ืืขืื
ืืืืื
ืืืกืจ ืืกืคืง ืขื ืืืกืคื ื ืชืื ืื ืฉืื ืื: ืืืืืื ืื, DNS ืคืกืืื, SSL ืคืกืืื, ืจืฉืืืืช DNS, ืืฆืืืืช ืคืชืืืืช, ืืคืขืืช ืฉืืจืืชืื ืขื ืคืืจืืื, ืงืืฆืื ืืืงืืืืื ืืื ืืจืืงืฆืื ืขื ืฉืืืช ืืืืืื ืืืชืืืืช IP. ืึถืกืึผึตืจ. ืืืจื ืืื, ืกืคืงืื ืืกืคืงืื ืกืืืื ื ืคืจืืื ืฉื ื ืชืื ืื, ืืืื ืืงืื ืืช ืืชืืื ื ืืืืื, ืืชื ืฆืจืื ืืงื ืืช ืื ืืืื ืืืืื. ืืืจืืช ืืืช, ืื ืชืืื ื ืืชื ืืืฉืื ืืช ืื ืื ืชืื ืื: ืืืง ืืกืคืงื SSL ืคืกืืืืื ืืกืคืงืื ื ืชืื ืื ืจืง ืขื ืืืฉืืจืื ืฉืืื ืคืงื ืขื ืืื CAs ืืืืื ืื, ืืืืืกืื ืฉืืื ืืชืขืืืืช ืืืชืืื ืขืฆืืืช ืืจืืข ืืืืชืจ. ืืืจืื ืื ืืกืคืงืื ื ืชืื ืื ืืืืฆืขืืช ืืืฉืืจืื ืืืชืืื ืขืฆืืืช, ืื ืืืกืคืื ืืืชื ืจืง ืืืฆืืืืช ืกืื ืืจืืืืช.
ืืช ืื ืืืืกืคืื ืื "ื ืืกืคื ื ืืขืฆืื ื. ืืืืืื, ืืื ืืืกืืฃ ื ืชืื ืื ืขื ืชืขืืืืช SSL, ืืชืื ื ืฉืืจืืช ืืฉืื ื ืฉืืืกืฃ ืืืชื ืื ื-CAs ืืืืื ืื ืืื ืขื ืืื ืกืจืืงืช ืื ืฉืื ื-IPv4. ืืืฉืืจืื ื ืืกืคื ืื ืจืง ื-IP, ืืื ืื ืืื ืืืืืืื ืื ืืชืช-ืืืืืืื ืื ืืืกื ืื ืชืื ืื ืฉืื ื: ืื ืืฉ ืื ืืช ืืืืืืื example.com ืืชืช-ืืืืืืื ืฉืื
ืืืกืจ ืืืฉื ืืืืืจ ืื ืชืื ืื ืืืืกืืืจืืื ืืืื. ืึถืกืึผึตืจ. ืืื ืกืคืง ืจืืื ืืฉ ืืืกืืืจืื ืืฆืืืจืช ืืืื, ืื ืืกืืืืช ืืืขืืืช ืื ืืฆืืื ื, ืืืงืื, ืืงืื ืืืฉื ืืื ืื ืชืื ืื ืืืืกืืืจืืื. ืึธืึตื. ืืชื ืืืื ืืงืื ืืช ืื ืืืืกืืืจืื ืขืืืจ ืจืฉืืื ืืืืืช, ืืืฉื, ืืคื ืืืืืื ืื ืืชืืืช IP, ืืื ืืชื ืื ืืืื ืืจืืืช ืืช ืืืืกืืืจืื ืฉื ืืื - ืืืื ืื ืืชื ืื ืืืื ืืจืืืช ืืช ืืชืืื ื ืืืืื.
ืืื ืืืกืืฃ ืืื ืฉืืืชืจ ืจืฉืืืืช ืืืกืืืจืืืช ืขื ืืืืืื ืื, ืงื ืื ื ืืกืื ื ืชืื ืื ืฉืื ืื, ื ืืชืื ื ืืฉืืืื ืคืชืืืื ืจืืื ืืขืื ืืืืกืืืจืื ืืื (ืืื ืฉืืื ืจืืื ืืื), ืื ืืืื ื ืืฉื ืืืชื ืขื ืจืฉืื ืฉืืืช ืืืืืื ืื. ืื ืืขืืืื ืื ืืืืกืคืื ืฉืื ื ื ืฉืืจืื ืืืืื ืขื ืืืกืืืจืืืช ืืจืกืืืช ืืืื.
ืื ืืคืชืจืื ืืช ืืงืืืืื ืืืคืฉืจืื ืืื ืืช ืืจืฃ ืืืืคื ืืื ื. ืึถืกืึผึตืจ. ื ื ืื ืฉืงื ืืช ืืจืื ืื ืืืื ืืื ืกืคืงื ืื ืชืื ืื ืืืคืฉืจืืื (ื ืงืจืืื ืืืจื ืืื "ืืขืฉืืจืื"). ืืฉืฆืจืื ืืื ืืช ืืจืฃ, "ืืืืืื" ื ืืชื ืืช ืืช ืืคืงืืื ืืื ืืช ืืืืื ื ืืืืืืจ ืืจืฆืื, ืืื ืืืืจืื ืืช ืื ืืืฆืื ืืืืืื ืืื ืฉืืืคืืขืื ืื ืืชื ืื ืืช ืืคืงืืื ืืืฉืืืช ืืืืืืจืื ืืื, ืืื ืืืื. ืืืงืจื ืื, ืืืืจืืืช ืืืืคื ืื ืืืช ืืืจืฃ ืืืืืช ืืืื ืขื ืืืื.
ืขืฉืื ื ืื ืืื ืืืืืืืืช ืฉื ืืจืคืื. ืึธืึตื. ืื ืืชื ืฆืจืื ืืื ืืช ืืจืฃ, ืื ืืืืืืจืื ืืืืืื ื ืืจืืฉืื ื ืื ืื ืืืืคื ืืืืืืื, ืืื ืื ืืื ืืืืืืจืื ืืืืื. ืืืืืื ืืฆืืื ืจืง ืืช ืืขืืืง ืฉืื ืฆืจืื ืืื ืืช ืืช ืืืจืฃ. ืชืืืื ืืืฉืืื ืืืืืืืืืช ืฉื ืืจืคืื ืืื ืคืฉืื, ืืื ืกืคืงืื ืืืจืื ืื ืืืืฉืืื ืืืชื ืืืืืื ืฉืืื ืืืืฆืจ ืืกืคืจ ืขืฆืื ืฉื ืชืืฆืืืช ืื ืจืืืื ืืืืช, ืืื ืืืื ื ืฆืจืืืื ืืงืืช ืืืฉืืื ืืช ืืืืกืจืื ืืื (ืจืื ืืืื).
ืชืืฆืืืช ืจืืืช ืฉืืื ื ืจืืืื ืืืืช ืืืืืช ืืขืื ืืื ืืจืคื ืจืืืื ืืจืฉืช. ืึถืกืึผึตืจ. ืืืืืื, "ืืืืืื ืจืข" (ืืฉืชืชืฃ ืืืชืงืคื) ืืฉืืื ืืฉืจืช ืฉืืฉ ืื ืขืื 10 ืืืืืื ืื ืืงืฉืืจืื ืืืื ืืืืื 500 ืืฉื ืื ืืืืจืื ืืช. ืืขืช ืืืกืคื ืืื ืืช ืื ืื ืืื ืืืืืืืืช ืฉื ืืจืฃ, ืื 500 ืืืืืืื ืื ืืืื ืฆืจืืืื ืืืืคืืข ืื ืขื ืืืจืฃ, ืืืจืืช ืฉืื ืืื ื ืงืฉืืจืื ืืืชืงืคื. ืื, ืืืฉื, ืืชื ืืืืง ืืช ืืืืื ื-IP ืืืื ืืืืืื ืฉื ืืกืคืง. ืืืจื ืืื, ืืืืืช ืืืื ืืชืคืจืกืืื ืืืืืืจ ืืฉืืขืืชื ืืืขืืชืื ื ืืฉืืื ืฉื ื ืื ืืืชืจ. ืกืืืจ ืืื ืื ืฉืืืื ืฉืงืจืืชื ืืช ืืืื, ืืฉืจืช ืขื ืืชืืืช ื-IP ืืื ืืืจ ืืืฉืืจ ืืื ืฉืื ืืืจืื ืขื ืืืืืจืื ืืืจืื, ืืื ืืืช ืืจืฃ ืฉืื ืชืืจืื ืืื ืฉืชืงืืื ืชืืฆืืืช ืื ืจืืืื ืืืืช.
ืืืื ื ืืช ืืืขืจืืช ืืืืืช ืืืื ืืื ืื ืจืืืื ืืืื ืชืื ืฉืืืืฉ ืืืืชื ืืืืืื ืืคื ืฉืขืฉื ืืืืืืื ืฉืื ื ืืืืคื ืืื ื. ืืืืืื, ืืชื ืืืืง ืืืืืื ืคืืื, example.com, ืืฉืจ ื ืคืชืจ ืืขืช ื-IP 11.11.11.11, ืืืคื ื ืืืืฉ - ื-IP 22.22.22.22. ืื ืืกืฃ ืืืืืืื example.com, IP 11.11.11.11 ืืฉืืื ืื ื-example.ru, ื-IP 22.22.22.22 ืืฉืืื ื-25 ืืืฃ ืืืืืื ืื ืืืจืื. ืืืขืจืืช, ืืื ืืื, ืืืื ื ืฉืกืืืจ ืืื ืื ืฉ-11.11.11.11 ืืื ืฉืจืช ืืืขืืื, ืืืืืืื ืฉืืืืืืื example.ru ืืืื ืืืืืช ื-example.com, ืื, ืืกืืืจืืช ืืืืื, ืื ืืืืืจืื ืืฆืจืืืื ืืืืืช ื- ืืจึธืฃ; ืืื IP 22.22.22.22 ืฉืืื ืืืืจืื ืืฉืืชืฃ, ืื ืฉืืื ืฆืืจื ืืืืื ืืช ืื ืืืืืืื ืื ืฉืื ืืืจืฃ ืืื ืื ืืฉ ืืืืืจืื ืืืจืื ืฉืืจืืื ืฉืฆืจืื ืืืืื ืื ืืื ื-25 ืืืฃ ืืืืืืื ืื ืืืื (ืืืืืื, example.net) . ืืคื ื ืฉืืืขืจืืช ืืืื ื ืฉืฆืจืื ืื ืชืง ืืืืืจืื ืืืื ืืืื ืืื ืื ืืืืื ืืืจืฃ, ืืื ืืืงืืช ืืืฉืืื ืืืคืืื ืื ืจืืื ืฉื ืืืืื ืืื ืืืืฉืืืืืช ืืืืื ืืฉืืืืื ืืืืื ืืื ืืืื, ืืื ืื ืืช ืืืืง ืืืืืืจืื ืื ืืืืืื. ืืืืืื, ืื ืืฉ ืื ื ืืฉืืื ืงืื (50 ืืืื ืืื) ืขื ืืืจืฃ, ืืืืื ืชืืื ืจืข, ืืขืื ืืฉืืื ืืืื (5 ืืืื ืืื) ืืฉื ื ืืืฉืืืืืช ืืืืืจืื ืืืืืืจ (ืงื) ืืขื ืืืืง (ืืฉืงื) ื ืืื ืืืื. , ืื ืืืืืจ ืืื ืืื ืชืง ืืืืื ืืื ืืืืฉืืื ืืืืื ืืืกืจื. ืืื ืื ืืฉ ืืจืื ืงืฉืจืื ืืื ืืฉืืืืืช ืงืื ืื ืืืืืืื ืืืืืงื ืืื ืืืืจืื, ืื ืืืงืจื ืื ืืงืฉืจ ืื ืืื ืชืง ืืืืืื ืืื ืืืจืืฉืื ืืฉื ื ืืืฉืืืืืช ืืืฉืืจื ืขื ืืืจืฃ.
ืืจืืื ืืืขืืืช ืขื ืืฉืจืช ืืืืืืืื ืืื ื ื ืืงื ืืืฉืืื. ืึถืกืึผึตืจ. "ืืืืืื ืื ืืจืืขืื" ืืคืื ืืืืงืื ืื ืืืืืืจ ืืืืจืืฉ ืฉืื ืืืืจืืช ืืืื ืืืช ืื ืืืืืืืืืช. ืืคืืื ืฉืจืชื ืืืจืื ืืกืื ื ืืืืจืื ืืืฉืืจืื ืืืืงืจืื ืฉืื ืื, ืืืื ืืฉืื ืืืขืช ืืืงืืช ืืืฉืืื ืืช ืืืจืืื ืฉืื ืืืืืื/ืฉืจืช ืืกืืื ืืื ืืฉืืืืช ืืขืืื ืืื. ืืขืชืื ืงืจืืืืช ืื ื ื ืชืงืืื ืืืฆื ืฉืื ืฉืจืช ืขื IP 11.11.11.11 ืืฉืืฉ ืืขืช ื-C&C ืขืืืจ ืืื ืื ืงืื, ืืืคื ื ืืืืฉืืื ืืื ื ืฉืื ืขื ืืื Ransomware. ืื ื ืื ื ืืืืืจ ืืืื ืืงืืช ืืืฉืืื ืืจืืืื ืืขืืืช, ืื ืืืจืื ืฉืืฉ ืงืฉืจ ืืื ืืขืื ืืืืื ื ืืื ืงืื ืืชืืื ืช ืืืืคืจ, ืืืจืืช ืฉืืืขืฉื ืืื ืืื. ืืขืืืืชื ื, ืืขืืช ืืื ืืื ืงืจืืืืช.
ืืืืื ื ืืช ืืืขืจืืช ืืงืืืข ืืจืืืื ืืขืืืช. ืขืืืจ ืืืืืื ืื ืื ืคืฉืื ืืืกืืช, ืืืืืื ืฉืืขืืชืื ืงืจืืืืช whois ืืืื ืชืืจืืื ืืชืืื ืืชืคืืื ืฉื ืจืืฉืื, ืืืืฉืจ ืืฉ ืืืกืืืจืื ืืืื ืฉื ืฉืื ืืืื ื-Whois, ืงื ืืงืืืข ืืช ืืืจืืืืื. ืืืฉืจ ืืจืืฉืื ืฉื ืืืืืื ืื ืคื, ืื ื ืืืืื ืืืขืืจ ืืืขืืื ืืืจืื, ื ืืชื ืื ืืขืงืื ืืืจืื. ืืื ืืขืื ืืื ืืชืขืืืืช SSL, ืื ืื ืืื ืคืงืืช ืคืขื ืืืช ืืืื ื ืืชืืืฉืืช ืื ืืืขืืจืืช. ืืื ืขื ืืืฉืืจืื ืืืชืืื ืขืฆืืืช, ืืชื ืื ืืืื ืืกืืื ืขื ืืชืืจืืืื ืฉืฆืืื ื ืืชืงืืคืช ืืชืืงืฃ ืฉื ืืืืฉืืจ, ืื ืืชื ืืืื ืืืฆืืจ ืืืฉืืจ SSL ืืืื, ืืืฆืืื ืืช ืชืืจืื ืืืชืืื ืฉื ืืืืฉืืจ ื-2010. ืืืืจ ืืงืฉื ืืืืชืจ ืืื ืืงืืืข ืืช ืืจืืืื ืืืขืืืช ืขืืืจ ืฉืจืชืื, ืืืืืื ืฉืจืง ืืกืคืงื ืืืกืื ืืฉ ืชืืจืืืื ืืชืงืืคืืช ืืฉืืจื. ืืื ืืงืืืข ืืช ืชืงืืคืช ืืืขืืืช ืขื ืืฉืจืช, ืืชืืื ื ืืืฉืชืืฉ ืืชืืฆืืืช ืฉื ืกืจืืงืช ืคืืจืืื ืืืฆืืจืช ืืืืขืืช ืืฆืืข ืฉื ืฉืืจืืชืื ืืคืืขืืื ืืคืืจืืื. ืืืืฆืขืืช ืืืืข ืื, ืื ื ืืืืืื ืืืืจ ืืืืืืง ืืืื ืืชื ืืืขืืื ืฉื ืืฉืจืช ืืชืืืฃ.
ืืขื ืงืฉืจืื. ืึถืกืึผึตืจ. ืืืื, ืืื ืืคืืื ืืขืื ืืงืื ืจืฉืืื ืืื ืืืช ืฉื ืืืืืื ืื ืฉื-Whois ืฉืืื ืืืื ืืชืืืช ืืืื ืกืคืฆืืคืืช, ืื ืืืจืจ ืืช ืื ืืืืืืื ืื ืฉืืื ืืฉืืืืื ืืืชืืืช IP ืกืคืฆืืคืืช. ืืื ืืฉืืืืืจ ืืืืงืจืื ืฉืขืืฉืื ืืืืื ืืืืืชื ืืื ืฉืืืื ืงืฉื ืืขืงืื ืืืจืืื, ืื ืื ื ืฆืจืืืื ืืจืืงืื ื ืืกืคืื ืืื ืืืฆืื ื ืืกืื ืืืฉืื ืืืื ืืช ืงืฉืจืื ืืืฉืื.
ืืฉืงืขื ื ืืื ืจื ืืืืงืจ ืืืฆื ื ืืื ืืืืฅ ื ืชืื ืื ืฉืื ืืื ืืืื ืื ืืฆืืจื ืงืื ืื ืฆืืื ืืืช. ืื ืื ื ืื ืืืืืื ืืชืืจ ืืื ืืื ืื ืขืืื ืืกืืืืช ืืจืืจืืช, ืืื ืื ืกืืืืช ืืกืืืืืช, ืืืงืจืื, ืืขืช ืจืืฉืื ืืืืืื ืื ืื ืืฉืืจื ืืืืืจืช ืฉืจืชืื, ืขืืฉืื ืืขืืืืช ืืืืคืฉืจืืช ืืื ืืืืืช ืืชืืืืช ืืื"ื, ืืื ืืื ืืืงืจืื ืืืชืืืืช ืขืืจืคืืืช. ืืื ืฉืชืืืฅ ืืืชืจ ืงืฉืจืื, ืื ืชืืื ืืื ืืช ืืจืคืื ืืืืืงืื ืืืชืจ.
ืืื ืืืจืฃ ืฉืื ื ืขืืื
ืืื ืืืชืืื ืืืฉืชืืฉ ืืืจืฃ ืืจืฉืช, ืขืืื ืืืืื ืืช ืืืืืืื, ืืชืืืช ื-IP, ืืืืืจ ืืืืงืืจืื ื ืื ืืืืขืช ืืืฆืืข ืฉื ืืืฉืืจ SSL ืืฉืืจืช ืืืืคืืฉ. ืืฉื ื ืฉืืืฉื ืชื ืืื ืฉืืื ืืืืืงืื ืืืื ืืฉืืื ืืื: ืืื, ืขืืืง ืฆืขื ืื ืืงืื.
ืืื
ืืื - ืชืืจืื ืื ืืจืืื ืฉืื ื ืขืฉื ืฉืืืืฉ ืืจืืื ืืืืืงืฉ ืืืืจืืช ืืืื ืืืช. ืื ืื ืชืฆืืื ืคืจืืืจ ืื, ืืืขืจืืช ืขืฆืื ืชืงืืข ืืช ืืจืืื ืืืขืืืช ืืืืจืื ืขืืืจ ืืฉืื ืื. ืืืืืื, ื-11 ืืืืื ืคืจืกืื Eset
- ukrfreshnews[.]com
- unian-search[.]com
- vesti-world[.]info
- runewsmeta[.]com
- foxnewsmeta[.]biz
- sobesednik-meta[.]info
- rian-ua[.]net
- ืืื '
ืื ืืกืฃ ืืืืืื ื ืจืฉืช, ืื ื ืืืฆืืื ืืื ืืืืืจืื ืขื ืงืืฆืื ืืืื ืืื ืฉืืื ืืื ืืืืืจืื ืขื ืืชืฉืชืืช ืืื ืืชืืื ืฉืืกืคืจืื ืื ื ืฉืืฉืชืืฉื ื-Meterpreter ื-AZORult.
ืืืืจ ืืืืื ืืื ืฉืืชื ืืงืื ืืช ืืชืืฆืื ืืื ืชืื ืฉื ืืื ืืืช ืืื ืฆืจืื ืขืื ืืืงืืืฉ ืืืื ืื ืืชืื ืื ืชืื ืื. ืืืืื ืฉืืขืืชืื ืืืฉื ืื ืืฆืืฆืืช ืืฉืืขืืชืืช ืืช ืืื ืืืงืืจืืช, ืฉืืขืชืื ืงืจืืืืช ืืื ืงืจืืื.
ืืกืคืจ ืืฆืขืืื ืื ืขืืืง ืืจืงืืจืกืื ืฉืืืชื ืืื ื ืืืจืฃ
ืืืจืืจืช ืืืื, ืืขืืืง ืืื 3. ืื ืืืืจ ืฉืื ืืืืื ืืื ืืงืฉืืจืื ืืฉืืจืืช ืืืืฆืื ืืืืืื ื ืืจืฆืื, ืืืืจ ืืื ืืืื ื ืืืืืจืื ืืืฉืื ืืื ืืืื ื ืืืฉ ืืืืื ืืื ืืืจืื, ืืืืืืฆืจื ืืืื ืืื ืืืฉืื ืืืืืื ืืื ืืืืฉืื ืืืงืืื. ืฉืื.
ื ืืงื ืืืืื ืฉืืื ื ืงืฉืืจื ื-APT ืืื ืืฆืื ืฉื 0 ืืืื. ืืืืจืื ื ืชืืืจ ื-Habrรฉ ืืงืจื ืืขื ืืื ืฉื ืืื ืื ืืงืฉืืจื ืืืืืขืืช ืงืจืืคืืืืจืคืืื. ืืื"ื ืืืืืจ ืืช ืืืืืืื themcx[.]co, ืืืฉืืฉ ืืช ืืจืืืื ืืืืจืื ืืชืจ ืฉืืชืืืืจ ืืืืืช ืืืจืกืช ืืืืขืืช ืืืจืื ืืืืคืืฉ ืืืคืื[.]xyz ืืื ืืืฉืื ืชื ืืขื.
ืืจืืจ ืืืชืืืืจ ืฉืืชืืื ืืช ืืืจืฉืช ืชืฉืชืืช ืืืืื ืืืื ืืื ืืืฉืื ืชื ืืขื ืืืฉืืืื ืืื ืื. ืืืืื ื ืืืืื ืืช ืืชืฉืชืืช ืืื ืขื ืืื ืื ืืืช ืืจืฃ ื-4 ืฉืืืื. ืืคืื ืืื ืืจืฃ ืขื 230 ืืืืืื ืื ื-39 ืืชืืืืช IP. ืืืืจ ืืื, ืื ื ืืืืงืื ืชืืืืื ื-2 ืงืืืืจืืืช: ืืื ืืืืืื ืืฉืืจืืชืื ืืขืืืื ืขื ืืืืขืืช ืงืจืืคืืืืจืคืืื ืืืืื ืฉื ืืขืื ืืื ืืข ืชืขืืืจื ืืืืฆืขืืช ืฉืืจืืชื ืืืืืช ืืืคืื ื:
ืงืฉืืจ ืืืืืขืืช ืงืจืืคืืืืจืคืืื
ืืฉืืื ืืฉืืจืืชื ื ืืงืื ืืืืคืื
ืืขื ืืืืขืืช[.]cc
ืืชืงืฉืจ-ืจืฉืืื[.]ืืชืจ.
mcxwallet[.]co
ืจืฉืืืืช ืืืคืื[.]ืืจืื
btcnoise[.]com
fone-uncover[.]xyz
ืงืจืืคืืืืื ืจ[.]ืฆืคื
ืืกืคืจ-ืืืืื[.]ืืืืข
ื ืืงืื
ืืืจืืจืช ืืืื, ืืืคืฉืจืืช "ื ืืงืื ืืจืคืื" ืืืคืขืืช ืืื ืืจืืืืื ืืื ืจืืืื ืืืื ืืืกืจื ืืืืจืฃ. ืืื, ืื ืฉืืืฉ ืืื ืืืืืืืืช ืืงืืืืืช. ืื ื ืฆืืคื ืฉืืื ืืืขืืช: ืืื ื ืืื ืืืืื ืฉืืฉืื ืืฉืื ืื ืืืืืง? ืื ื ืืขื ื: ืืื ืืืกืืื ืฉืืืืืื ืืื ืืช ืืจืคืื ืืขืืืืช ืื, ื ืืชื ืืืฉืืืช ืืช ืื ืืงืื ืืืืืืืื ืืืืืืจ ืืช ืืกืคืจ ืืฉืืืื = 1. ืืืืจ ืืื, ืืื ืืืกื ืืืื ืืืฉืืื ืืช ืืืจืฃ ืืืืืื ืืื ืฉืืื ืฆืจืื ืืืืกืืจ ืืื ืืืื ืืื ืืืจืฃ ืฉืืื ื ืจืืืื ืืืื ืืืฉืืื.
ืืืจ ืืืจืฃ, ืืืกืืืจืืืช ืืฉืื ืืืื ื- whois, DNS, ืืื ืื ืคืืจืืื ืืฉืืจืืชืื ืคืชืืืื ืืคืืขืืื ืขืืืื ืืืคืืช ืืืืื ื ืืื ืืืกื.
ืืืื ืคืื ื ืกื
ืืงืจื ื ืืช ืคืขืืืืชื ืฉื ืงืืืฆืช APT ืืืช, ืฉืืืฉื ืืื ืฉื ืื ืืืฆืขื ืืชืงืคืืช ืคืืฉืื ื ื ืื ืืงืืืืช ืฉื ืื ืงืื ืฉืื ืื ืืืืืจืื ืฉืื ืื. ืืืคืืื ืืืคืืื ื ืืงืืืฆื ืื ืืื ืจืืฉืื ืืืืืื ืื ืืืืืื ืืืื ืืฉืืืช ืฉื ืื ืงืื ืืืืชืืื, ืืืจืื ืืชืจื ืืืืื ืืื ืขืืฆืื ืืื, ืืืฉืจ ืืืืืืื ืืืืืืื ืื ืืฉืืืช ืืื ืงืื ืืืกืืืืื.
ืืืงืจื ืื, ื ืืชืื ืืจืคืื ืืืืืืื ืขืืจ ืื ื ืืืื. ืืืงื ืืื ืืืืืืืื ืื ืฉืืื - lloydsbnk-uk[.]com, ืชืื ืืื ืฉื ืืืช ืื ืื ื ืืจืฃ ืืขืืืง ืฉื 3 ืฉืืืื, ืฉืืืื ืืืชืจ ื-250 ืืืืืื ืื ืืืื ืืื ืฉื ืืฆืืื ืืฉืืืืฉ ืขื ืืื ืงืืืฆื ืื ืืื 2015 ืืืืฉืืืื ืืฉืืืืฉ . ืืืง ืืืืืืืื ืื ืืืื ืืืจ ื ืจืืฉื ืขื ืืื ืื ืงืื, ืื ืจืืฉืืืื ืืืกืืืจืืื ืืจืืื ืฉืื ื ืจืฉืื ืืขืืจ ืืชืืงืคืื.
ืืืขื ืืืืืจืืช, ืืืืืจ ืืฆืื ืืจืฃ ืืขืืืง ืฉื 2 ืฉืืืื.
ืจืืื ืืฆืืื ืื ืืืจ ืืฉื ืช 2019, ืืชืืงืคืื ืฉืื ื ืืืืืช ืื ืืช ืืืงืืืงื ืฉืืื ืืืืื ืืจืฉืื ืื ืจืง ืืช ืืืืืืื ืื ืฉื ืืื ืงืื ืืืืจืื ืืืื ืืืื ืืจื ื, ืืื ืื ืืช ืืืืืืื ืื ืฉื ืืืจืืช ืืืขืืฅ ืฉืื ืืช ืืืฉืืื ืืืืืื ืคืืฉืื ื. ืืืืืื, ืืืืืืื ืื swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com.
ืื ืืคืืืช ืงืืืื
ืืืฆืืืจ 2018, ืงืืืฆืช ืืืืงืจืื Cobalt, ืืืชืืื ืืืชืงืคืืช ืืืืงืืืช ืขื ืื ืงืื, ืฉืืื ืงืืคืืื ืืืืืจ ืืืขื ืืื ืง ืืืืืื ืฉื ืงืืืกืื.
ืืืืชืืื ืืืืื ืงืืฉืืจืื ืื hXXps://nationalbank.bz/Doc/Prikaz.doc. ืืืกืื ืฉืืืจื ืืืื ืืืงืจื ืฉืืคืขืื ืืช Powershell, ืืฉืจ ืื ืกื ืืืขืื ืืืืคืขืื ืืช ืืงืืืฅ ื-hXXp://wateroilclub.com/file/dwm.exe ื-%Temp%einmrmdmy.exe. ืืงืืืฅ %Temp%einmrmdmy.exe aka dwm.exe ืืื CobInt stager ืืืืืืจ ืืืื ืืจืืงืฆืื ืขื ืืฉืจืช hXXp://admvmsopp.com/rilruietguadvtoefmuy.
ืชืืจ ืืขืฆืื ืฉืื ืชืืื ืืงืื ืืช ืืืืขืืช ืืืืื ืืืื ืืืืฆืข ื ืืชืื ืืื ืฉื ืืงืืฆืื ืืืืื ืืื. ืืืจืฃ ืฉื ืืชืืื ืืืืื ื nationalbank[.]bz ืืฆืื ืืื ืงืฉืจืื ืขื ืืืืืื ืื ืืืื ืืื ืืืจืื, ืืืืืก ืืืชื ืืงืืืฆื ืืืจืื ืืืืื ืงืืฆืื ื ืขืฉื ืฉืืืืฉ ืืืชืงืคื.
ื ืืงื ืืช ืืชืืืช ื-IP 46.173.219[.]152 ืืืืจืฃ ืืื ืื ืื ื ืืื ื ืืจืฃ ืืืขืืจ ืืื ืื ืืื ืืช ืื ืืงืื. ืืฉื ื 40 ืืืืืื ืื ืืงืฉืืจืื ืืืื, ืืืฉื, bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com
ืื ืืฉืคืื ืืคื ืฉืืืช ืืืืืืื ืื, ื ืจืื ืฉืื ืืฉืืฉืื ืืชืืื ืืืช ืืื ืื, ืืื ืืืืืจืืชื ืื ืืงืื ืืืื ืฉืื ืื ืงืฉืืจืื ืืืชืงืคื ืืื ืืื ืืขืื ืืืชื ืืืจืฃ, ืื ืฉืืคืฉื ืืืื ืืช ืชืืืื ืื ืืชืื ืืืืืืืก.
ืื ืชืื ื ืืืืฉ ืืช ืืืจืฃ ืืืืฆืขืืช nationalbank[.]bz, ืื ืชืืื ืืช ืืืืืจืืชื ื ืืงืื ืืืจืคืื, ืื ืืื ืืืื ืืืชืจ ื-500 ืืืื ืืื, ืฉืืจืืื ืืื ืฉืื ืงืฉืจ ืืงืืืฆืช Cobalt ืื ืืืชืงืคืืช ืฉืืื. ืืืื ืืืืื ืืืื ื ืจืื ืืจืฃ ืืื:
ืืกืงื ื
ืืืืจ ืืกืคืจ ืฉื ืื ืฉื ืืืื ืื ืขืืื, ืืืืงืืช ืืืงืืจืืช ืืืืชืืืช, ืืงืจ ืืืืืื ืืฆืืื ืืืจ ืชืืงืคืื, ืืฆืืื ื ืื ืจืง ืืืฆืืจ ืืื ืืืืืื, ืืื ืื ืืฉื ืืช ืืช ืืืืก ืฉื ืืืืืืื ืืืืจื ืืืคืื. ืืชืืืื, ืืืืืื ืืื ืืื ืจืืฆืื ืฉืืืื ืืืื ืขื ืชืืืื ืื ืืืช ืืืจืคืื. ืืฉืื ืข ืืืชื ืฉืื ืืืช ืืจืคืื ืืืืืืืืช ืืืืื ืืขืฉืืช ืืืช ืืื ืืืชืจ ืืืื ืขื ื ืืกืืื ืจื ืฉื ืื ืืื ืงืฉื ืืืืชืจ. ืืื ืืืืื ืขื ืืื ืืื ืืืืืงืืช "ืืื ืืืช" ืืจืืืืช ืฉื ืืชืืฆืืืช ืฉื ืื ืฉืืืจืฃ ืืคืืง. ืืขืช ืืืืืืื ืฉืื ื ืื ืจืง ืกืืืืื ืขื ืืืขืจืืช, ืืื ืื ืืฉืชืืฉืื ืืชืืฆืืืช ืฉืืื ืืฉืืื ืืขืืืืชื ืืืืืืืืืช. ืืื ืืืืืื ืื ืคืืขืืช ืืชืื ืื ืืืช ืืืืขืจืืืช ืฉืื ื ืืืืคืฉืจืช ืื ื ืืืืืช ืืื ืืืชืจ ืืืืืื ืืื ืกืื. ืืืืฉืง ืื ืืชืื ืืจืคืื ืืื ื ืืืื ื ืืื ืืืฆืจื Group-IB ืืืจืืื ืืฉืืขืืชืืช ืืช ืืืืืืืช ืืฆืื ืคืฉืขื ืกืืืืจ. ืื ืืืืฉืจ ืขื ืืื ืืืงืืจืืช ืื ืืืกืืื ืฉื ืืงืืืืชืื ื. ืืื ืื ื, ืืชืืจื ื, ืืืฉืืืื ืืืขืฉืืจ ืืช ืืืจืฃ ืื ืชืื ืื ืืืขืืื ืขื ืืืืืจืืชืืื ืืืฉืื ืชืื ืฉืืืืฉ ืืืื ื ืืืืืืชืืช ืืื ืืืฆืืจ ืืช ืืจืฃ ืืจืฉืช ืืืืืืง ืืืืชืจ.
ืืงืืจ: www.habr.com