Duqu - តុក្កតាសំបុកព្យាបាទ

សេចក្តីណែនាំ

នៅថ្ងៃទី 1 ខែកញ្ញា ឆ្នាំ 2011 ឯកសារមួយដែលមានឈ្មោះថា ~DN1.tmp ត្រូវបានផ្ញើទៅកាន់គេហទំព័រ VirusTotal ពីប្រទេសហុងគ្រី។ នៅពេលនោះ ឯកសារត្រូវបានរកឃើញថាជាមេរោគដោយម៉ាស៊ីនកំចាត់មេរោគពីរប៉ុណ្ណោះគឺ BitDefender និង AVIRA ។ នេះជារបៀបដែលរឿងរបស់ Duqu បានចាប់ផ្តើម។ សម្លឹងទៅមុខ វាត្រូវតែនិយាយថាគ្រួសារមេរោគ Duqu ត្រូវបានដាក់ឈ្មោះតាមឈ្មោះឯកសារនេះ។ ទោះជាយ៉ាងណាក៏ដោយ ឯកសារនេះគឺជាម៉ូឌុល spyware ឯករាជ្យទាំងស្រុងជាមួយនឹងមុខងារ keylogger ដែលបានដំឡើង ប្រហែលជាដោយប្រើកម្មវិធីទាញយកកម្មវិធីទាញយកព្យាបាទ ហើយអាចត្រូវបានចាត់ទុកថាជា "payload" ដែលផ្ទុកដោយមេរោគ Duqu ក្នុងអំឡុងពេលប្រតិបត្តិការរបស់វា ហើយមិនមែនជាសមាសភាគ ( ម៉ូឌុល) នៃ Duqu ។ សមាសធាតុ Duqu មួយត្រូវបានបញ្ជូនទៅសេវាកម្ម Virustotal តែនៅថ្ងៃទី 9 ខែកញ្ញាប៉ុណ្ណោះ។ លក្ខណៈពិសេសប្លែករបស់វាគឺកម្មវិធីបញ្ជាដែលចុះហត្ថលេខាដោយ C-Media ។ ភ្លាមៗនោះ អ្នកជំនាញមួយចំនួនបានចាប់ផ្តើមគូរភាពស្រដៀងគ្នាជាមួយនឹងឧទាហរណ៍ដ៏ល្បីមួយទៀតនៃមេរោគ - Stuxnet ដែលប្រើកម្មវិធីបញ្ជាដែលបានចុះហត្ថលេខាផងដែរ។ ចំនួនសរុបនៃកុំព្យូទ័រដែលមានមេរោគ Duqu ត្រូវបានរកឃើញដោយក្រុមហ៊ុនកំចាត់មេរោគផ្សេងៗនៅជុំវិញពិភពលោកគឺមានចំនួនរាប់សិប។ ក្រុមហ៊ុនជាច្រើនបានអះអាងថា អ៊ីរ៉ង់គឺជាគោលដៅសំខាន់ម្តងទៀត ប៉ុន្តែការវិនិច្ឆ័យដោយការចែកចាយភូមិសាស្ត្រនៃការឆ្លង នេះមិនអាចនិយាយឱ្យប្រាកដបានទេ។

ក្នុងករណីនេះ អ្នកគួរតែនិយាយដោយទំនុកចិត្តអំពីក្រុមហ៊ុនមួយផ្សេងទៀតជាមួយនឹងពាក្យថ្មីស្រឡាង APT (ការគំរាមកំហែងជាបន្តបន្ទាប់) ។

នីតិវិធីអនុវត្តប្រព័ន្ធ

ការស៊ើបអង្កេតដែលធ្វើឡើងដោយអ្នកឯកទេសមកពីអង្គការហុងគ្រី CrySyS (មន្ទីរពិសោធន៍ហុងគ្រីនៃការសរសេរកូដសម្ងាត់ និងសុវត្ថិភាពប្រព័ន្ធនៅសាកលវិទ្យាល័យបច្ចេកវិទ្យា និងសេដ្ឋកិច្ច Budapest) បាននាំឱ្យមានការរកឃើញឧបករណ៍ដំឡើង (ដំណក់ទឹក) ដែលប្រព័ន្ធនេះត្រូវបានឆ្លងមេរោគ។ វាជាឯកសារ Microsoft Word ដែលមានការកេងប្រវ័ញ្ចសម្រាប់ភាពងាយរងគ្រោះរបស់កម្មវិធីបញ្ជា win32k.sys (MS11-087 ដែលពិពណ៌នាដោយ Microsoft នៅថ្ងៃទី 13 ខែវិច្ឆិកា ឆ្នាំ 2011) ដែលទទួលខុសត្រូវចំពោះយន្តការបង្ហាញពុម្ពអក្សរ TTF ។ កូដសែលនៃការកេងប្រវ័ញ្ចប្រើពុម្ពអក្សរដែលហៅថា 'Dexter Regular' ដែលបានបង្កប់នៅក្នុងឯកសារដោយមាន Showtime Inc. បានចុះបញ្ជីជាអ្នកបង្កើតពុម្ពអក្សរ។ ដូចដែលអ្នកអាចឃើញអ្នកបង្កើត Duqu មិនមែនជាមនុស្សចម្លែកចំពោះអារម្មណ៍កំប្លែងទេ: Dexter គឺជាឃាតករសៀរៀលដែលជាវីរបុរសនៃស៊េរីទូរទស្សន៍ដែលមានឈ្មោះដូចគ្នាដែលផលិតដោយ Showtime ។ Dexter សម្លាប់តែឧក្រិដ្ឋជន (ប្រសិនបើអាចធ្វើទៅបាន) នោះគឺគាត់បំពានច្បាប់ក្នុងនាមភាពស្របច្បាប់។ ប្រហែលជាតាមរបៀបនេះ អ្នកអភិវឌ្ឍន៍ Duqu មានការហួសចិត្តដែលពួកគេបានចូលរួមក្នុងសកម្មភាពខុសច្បាប់ក្នុងគោលបំណងល្អ។ ការផ្ញើអ៊ីមែលត្រូវបានធ្វើឡើងដោយចេតនា។ ការដឹកជញ្ជូនទំនងជាបានប្រើកុំព្យូទ័រដែលត្រូវបានលួច (hack) ជាអន្តរការីដើម្បីធ្វើឱ្យការតាមដានពិបាក។
ដូច្នេះឯកសារ Word មានសមាសធាតុដូចខាងក្រោមៈ

• មាតិកាអត្ថបទ;
• ពុម្ពអក្សរដែលភ្ជាប់មកជាមួយ;
• ទាញយកកូដសែល;
• អ្នកបើកបរ;
• កម្មវិធីដំឡើង (បណ្ណាល័យ DLL) ។

ប្រសិនបើជោគជ័យ កូដសែលកេងប្រវ័ញ្ចបានដំណើរការដូចខាងក្រោម (ក្នុងរបៀបខឺណែល)៖

• ការត្រួតពិនិត្យមួយត្រូវបានធ្វើឡើងសម្រាប់ការឆ្លងឡើងវិញ សម្រាប់ការនេះ វត្តមាននៃសោ 'CF4D' ត្រូវបានពិនិត្យនៅក្នុងបញ្ជីឈ្មោះនៅអាសយដ្ឋាន 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones1'; ប្រសិនបើនេះត្រឹមត្រូវ លេខកូដសែលបានបញ្ចប់ការប្រតិបត្តិរបស់វា។
• ឯកសារពីរត្រូវបានឌិគ្រីប - កម្មវិធីបញ្ជា (sys) និងកម្មវិធីដំឡើង (dll);
• កម្មវិធីបញ្ជាត្រូវបានចាក់ចូលទៅក្នុងដំណើរការ services.exe ហើយបើកដំណើរការកម្មវិធីដំឡើង។
• ទីបំផុត កូដសែលបានលុបដោយខ្លួនវាដោយសូន្យនៅក្នុងអង្គចងចាំ។

Благодаря тому, что win32k.sys выполняется от имени привилегированного пользователя ‘System’, разработчиками Duqu была элегантно решена задача как несанкционированного запуска, так и повышения прав (запуск из-под аккаунта пользователя с ограниченными правами).
Инсталлятор после получения управления расшифровывал в памяти находящиеся в нем три блока данных, содержащих:

• подписанный драйвер (sys);
• ម៉ូឌុលមេ (dll);
• ទិន្នន័យកំណត់រចនាសម្ព័ន្ធកម្មវិធីដំឡើង (pnf) ។

ជួរកាលបរិច្ឆេទត្រូវបានបញ្ជាក់នៅក្នុងទិន្នន័យកំណត់រចនាសម្ព័ន្ធកម្មវិធីដំឡើង (ក្នុងទម្រង់ជាត្រាពេលវេលាពីរ - ចាប់ផ្តើម និងបញ្ចប់)។ កម្មវិធីដំឡើងបានពិនិត្យថាតើកាលបរិច្ឆេទបច្ចុប្បន្នត្រូវបានរួមបញ្ចូលនៅក្នុងវាដែរឬទេ ហើយប្រសិនបើមិនមានទេ វាបានបញ្ចប់ការប្រតិបត្តិរបស់វា។ ផងដែរនៅក្នុងទិន្នន័យកំណត់រចនាសម្ព័ន្ធកម្មវិធីដំឡើងគឺជាឈ្មោះដែលកម្មវិធីបញ្ជានិងម៉ូឌុលមេត្រូវបានរក្សាទុក។ ក្នុងករណីនេះ ម៉ូឌុលមេត្រូវបានរក្សាទុកនៅលើថាសក្នុងទម្រង់ដែលបានអ៊ិនគ្រីប។

Для автозапуска Duqu создавалась служба, использующая файл драйвера, который расшифровывал основной модуль на лету, при помощи ключей, сохраненных в реестре. Основной модуль содержит в себе свой собственный блок данных конфигурации. При первом запуске он расшифровывался, в него заносилась дата установки, после чего он снова зашифровывался и сохранялся основным модулем. Таким образом, в пораженной системе при успешной инсталляции сохранялись три файла — драйвер, основной модуль и его файл данных конфигурации, при этом последние два файла хранились на диске в зашифрованном виде. Все процедуры расшифровки проводились только в памяти. Такая сложная процедура установки применялась для минимизации возможности детектирования антивирусным программным обеспечением.

ម៉ូឌុលសំខាន់

ម៉ូឌុលចម្បង (ធនធាន 302) យោងតាម ព ក្រុមហ៊ុន Kaspersky Lab សរសេរដោយប្រើប្រាស់ MSVC 2008 ជា C សុទ្ធ ប៉ុន្តែប្រើវិធីសាស្រ្តតម្រង់ទិសវត្ថុ។ វិធីសាស្រ្តនេះគឺមិនមានលក្ខណៈពិសេសទេនៅពេលបង្កើតកូដព្យាបាទ។ តាមក្បួន កូដបែបនេះត្រូវបានសរសេរជា C ដើម្បីកាត់បន្ថយទំហំ និងកម្ចាត់ការហៅមិនច្បាស់ដែលមាននៅក្នុង C++។ មានភាពស៊ីសង្វាក់គ្នាជាក់លាក់នៅទីនេះ។ លើសពីនេះ ស្ថាបត្យកម្មដែលជំរុញដោយព្រឹត្តិការណ៍ត្រូវបានប្រើប្រាស់។ បុគ្គលិក Kaspersky Lab មានទំនោរទៅនឹងទ្រឹស្តីដែលម៉ូឌុលសំខាន់ត្រូវបានសរសេរដោយប្រើកម្មវិធីបន្ថែមមុនដែលអនុញ្ញាតឱ្យអ្នកសរសេរកូដ C ក្នុងរចនាប័ទ្មវត្ថុមួយ។
ម៉ូឌុលសំខាន់គឺទទួលខុសត្រូវចំពោះនីតិវិធីសម្រាប់ការទទួលពាក្យបញ្ជាពីប្រតិបត្តិករ។ Duqu ផ្តល់នូវវិធីសាស្រ្តនៃអន្តរកម្មជាច្រើន៖ ដោយប្រើពិធីការ HTTP និង HTTPS ក៏ដូចជាការប្រើប្រាស់បំពង់ដែលមានឈ្មោះ។ សម្រាប់ HTTP(S) ឈ្មោះដែននៃមជ្ឈមណ្ឌលបញ្ជាត្រូវបានបញ្ជាក់ ហើយសមត្ថភាពក្នុងការធ្វើការតាមរយៈម៉ាស៊ីនមេប្រូកស៊ីត្រូវបានផ្តល់ជូន - ឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់ត្រូវបានបញ្ជាក់សម្រាប់ពួកគេ។ អាសយដ្ឋាន IP និងឈ្មោះរបស់វាត្រូវបានបញ្ជាក់សម្រាប់ឆានែល។ ទិន្នន័យដែលបានបញ្ជាក់ត្រូវបានរក្សាទុកនៅក្នុងប្លុកទិន្នន័យកំណត់រចនាសម្ព័ន្ធម៉ូឌុលមេ (ក្នុងទម្រង់ដែលបានអ៊ិនគ្រីប)។
Для использования именованных каналов запускалась собственная реализация RPC сервера. Она поддерживала выполнение следующих семи функций:

• ត្រឡប់កំណែដែលបានដំឡើង;
• выполнить инжект dll в указанный процесс и вызвать указанную функцию;
• загрузить dll;
• ចាប់ផ្តើមដំណើរការដោយហៅទៅកាន់ CreateProcess();
• читать содержимое заданного файла;
• записать данные в заданный файл;
• удалить заданный файл.

បំពង់ដែលមានឈ្មោះអាចត្រូវបានប្រើនៅក្នុងបណ្តាញមូលដ្ឋានដើម្បីចែកចាយម៉ូឌុលដែលបានធ្វើបច្ចុប្បន្នភាព និងទិន្នន័យការកំណត់រចនាសម្ព័ន្ធរវាងកុំព្យូទ័រដែលមានមេរោគ Duqu ។ លើសពីនេះទៀត Duqu អាចដើរតួជាម៉ាស៊ីនមេប្រូកស៊ីសម្រាប់កុំព្យូទ័រដែលមានមេរោគផ្សេងទៀត (ដែលមិនមានការចូលប្រើអ៊ីនធឺណិតដោយសារតែការកំណត់ជញ្ជាំងភ្លើងនៅលើច្រកចេញចូល) ។ កំណែមួយចំនួនរបស់ Duqu មិនមានមុខងារ RPC ទេ។

ស្គាល់ "បន្ទុក"

Symantec បានរកឃើញយ៉ាងហោចណាស់បួនប្រភេទនៃ payloads ដែលបានទាញយកក្រោមការបញ្ជាពីមជ្ឈមណ្ឌលបញ្ជា Duqu ។
ជាងនេះទៅទៀត មានតែមួយក្នុងចំណោមពួកគេប៉ុណ្ណោះដែលមានទីលំនៅ និងចងក្រងជាឯកសារដែលអាចប្រតិបត្តិបាន (exe) ដែលត្រូវបានរក្សាទុកក្នុងថាស។ បីដែលនៅសល់ត្រូវបានអនុវត្តជាបណ្ណាល័យ dll ។ ពួកវាត្រូវបានផ្ទុកដោយថាមវន្ត និងប្រតិបត្តិក្នុងអង្គចងចាំដោយមិនត្រូវបានរក្សាទុកក្នុងថាស។

អ្នកស្រុក "បន្ទុក" គឺជាម៉ូឌុលចារកម្ម (អ្នកលួចព័ត៌មាន) с функциями кейлоггера. Именно с отправки его на VirusTotal и началась работа по исследованию Duqu. Основной шпионский функционал находился в ресурсе, первые 8 килобайт которого содержали часть фото галактики NGC 6745 (для маскировки). Здесь нужно напомнить, что в апреле 2012 года в некоторых СМИ публиковалась информация (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506), что Иран подвергся воздействию некого вредоносного программного обеспечения «Stars», при этом подробности инцидента не раскрывались. Возможно, именно такой образец «полезной нагрузки» Duqu был обнаружен тогда в Иране, отсюда и название — «Stars» (звезды).
Шпионский модуль собирал следующую информацию:

• បញ្ជីនៃដំណើរការដែលកំពុងដំណើរការ ព័ត៌មានអំពីអ្នកប្រើប្រាស់ និងដែនបច្ចុប្បន្ន។
• បញ្ជីនៃដ្រាយឡូជីខលរួមទាំងដ្រាយបណ្តាញ;
• រូបថតអេក្រង់;
• អាសយដ្ឋានចំណុចប្រទាក់បណ្តាញ តារាងនាំផ្លូវ;
• ឯកសារកំណត់ហេតុនៃការចុចគ្រាប់ចុចក្តារចុច;
• ឈ្មោះកម្មវិធីបើកបង្អួច;
• បញ្ជីនៃធនធានបណ្តាញដែលមាន (ធនធានចែករំលែក);
• បញ្ជីពេញលេញនៃឯកសារនៅលើថាសទាំងអស់ រួមទាំងឯកសារដែលអាចដកចេញបាន។
• បញ្ជីកុំព្យូទ័រនៅក្នុង "បរិយាកាសបណ្តាញ" ។

ម៉ូឌុលចារកម្មមួយទៀត (អ្នកលួចព័ត៌មាន) представлял собой вариацию уже описанного, но скомпилированного в виде dll библиотеки, из него были убраны функции кейлоггера, составления списка файлов и перечисления компьютеров, входящих в домен.
ម៉ូឌុលបន្ទាប់ (ការដឹងគុណ) ប្រមូលព័ត៌មានប្រព័ន្ធ៖

• ថាតើកុំព្យូទ័រជាផ្នែកនៃដែនឬអត់?
• ផ្លូវទៅកាន់ថតប្រព័ន្ធវីនដូ;
• កំណែប្រព័ន្ធប្រតិបត្តិការ;
• ឈ្មោះអ្នកប្រើប្រាស់បច្ចុប្បន្ន;
• បញ្ជីនៃអាដាប់ទ័របណ្តាញ;
• ប្រព័ន្ធ និងម៉ោងក្នុងស្រុក ក៏ដូចជាតំបន់ពេលវេលា។

Последний модуль (lifespan extender) បានអនុវត្តមុខងារមួយដើម្បីបង្កើនតម្លៃ (រក្សាទុកក្នុងឯកសារទិន្នន័យកំណត់រចនាសម្ព័ន្ធម៉ូឌុលមេ) នៃចំនួនថ្ងៃដែលនៅសល់រហូតដល់ការងារត្រូវបានបញ្ចប់។ តាមលំនាំដើម តម្លៃនេះត្រូវបានកំណត់ទៅ 30 ឬ 36 ថ្ងៃ អាស្រ័យលើការកែប្រែ Duqu និងថយចុះមួយក្នុងមួយថ្ងៃ។

មជ្ឈមណ្ឌលបញ្ជា

នៅថ្ងៃទី 20 ខែតុលា ឆ្នាំ 2011 (បីថ្ងៃបន្ទាប់ពីព័ត៌មានអំពីការរកឃើញត្រូវបានផ្សព្វផ្សាយ) ប្រតិបត្តិករ Duqu បានអនុវត្តនីតិវិធីមួយដើម្បីបំផ្លាញដាននៃដំណើរការនៃមជ្ឈមណ្ឌលបញ្ជា។ មជ្ឈមណ្ឌលបញ្ជាត្រូវបានគេដាក់នៅលើម៉ាស៊ីនមេដែលត្រូវបានគេលួចចូលជុំវិញពិភពលោក - នៅក្នុងប្រទេសវៀតណាម ឥណ្ឌា អាល្លឺម៉ង់ សិង្ហបុរី ស្វីស ចក្រភពអង់គ្លេស ហូឡង់ និងកូរ៉េខាងត្បូង។ គួរឱ្យចាប់អារម្មណ៍ម៉ាស៊ីនមេដែលបានកំណត់អត្តសញ្ញាណទាំងអស់កំពុងដំណើរការ CentOS កំណែ 5.2, 5.4 ឬ 5.5 ។ ប្រព័ន្ធប្រតិបត្តិការមានទាំង 32 ប៊ីត និង 64 ប៊ីត។ ទោះបីជាការពិតដែលថាឯកសារទាំងអស់ទាក់ទងនឹងប្រតិបត្តិការនៃមជ្ឈមណ្ឌលបញ្ជាត្រូវបានលុបក៏ដោយអ្នកឯកទេស Kaspersky Lab អាចទាញយកព័ត៌មានមួយចំនួនពីឯកសារ LOG ពីកន្លែងទំនេរ។ ការពិតគួរឱ្យចាប់អារម្មណ៍បំផុតគឺថា អ្នកវាយប្រហារនៅលើម៉ាស៊ីនមេតែងតែជំនួសកញ្ចប់ OpenSSH 4.3 លំនាំដើមជាមួយកំណែ 5.8 ។ នេះអាចបង្ហាញថា ភាពងាយរងគ្រោះដែលមិនស្គាល់នៅក្នុង OpenSSH 4.3 ត្រូវបានប្រើដើម្បី hack ម៉ាស៊ីនមេ។ មិនមែនគ្រប់ប្រព័ន្ធទាំងអស់ត្រូវបានប្រើប្រាស់ជាមជ្ឈមណ្ឌលបញ្ជានោះទេ។ មួយចំនួនដោយវិនិច្ឆ័យដោយកំហុសនៅក្នុងកំណត់ហេតុ sshd នៅពេលព្យាយាមប្តូរទិសចរាចរសម្រាប់ច្រក 80 និង 443 ត្រូវបានប្រើជាម៉ាស៊ីនមេប្រូកស៊ីដើម្បីភ្ជាប់ទៅមជ្ឈមណ្ឌលបញ្ជាចុងក្រោយ។

Даты и модули

ឯកសារ Word ដែលត្រូវបានចែកចាយក្នុងខែមេសា ឆ្នាំ 2011 ដែលត្រូវបានពិនិត្យដោយ Kaspersky Lab មានផ្ទុកនូវកម្មវិធីដំឡើងកម្មវិធីទាញយកដែលមានកាលបរិច្ឆេទចងក្រងនៅថ្ងៃទី 31 ខែសីហា ឆ្នាំ 2007។ កម្មវិធីបញ្ជាស្រដៀងគ្នា (ទំហំ - 20608 បៃ, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) នៅក្នុងឯកសារដែលបានរកឃើញនៅក្នុងមន្ទីរពិសោធន៍ CrySys មានកាលបរិច្ឆេទចងក្រងនៅថ្ងៃទី 21 ខែកុម្ភៈ ឆ្នាំ 2008។ លើសពីនេះទៀត អ្នកជំនាញ Kaspersky Lab បានរកឃើញ autorun driver rndismpc.sys (ទំហំ - 19968 bytes, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) ជាមួយនឹងកាលបរិច្ឆេទ ថ្ងៃទី 20 ខែមករា ឆ្នាំ 2008។ គ្មានសមាសធាតុសម្គាល់ឆ្នាំ ២០០៩ ត្រូវបានរកឃើញទេ។ ដោយផ្អែកលើត្រាពេលវេលានៃការចងក្រងផ្នែកនីមួយៗនៃ Duqu ការអភិវឌ្ឍន៍របស់វាអាចមានតាំងពីដើមឆ្នាំ 2009 ។ ការបង្ហាញដំបូងបំផុតរបស់វាត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងការរកឃើញឯកសារបណ្តោះអាសន្ននៃប្រភេទ ~ DO (ប្រហែលជាត្រូវបានបង្កើតឡើងដោយម៉ូឌុល spyware មួយ) កាលបរិច្ឆេទនៃការបង្កើតគឺថ្ងៃទី 2007 ខែវិច្ឆិកា ឆ្នាំ 28 (អត្ថបទ "Duqu & Stuxnet: ការកំណត់ពេលវេលានៃព្រឹត្តិការណ៍គួរឱ្យចាប់អារម្មណ៍") ។ កាលបរិច្ឆេទចុងក្រោយបំផុតដែលទាក់ទងជាមួយ Duqu គឺថ្ងៃទី 23 ខែកុម្ភៈ ឆ្នាំ 2012 ដែលមាននៅក្នុងកម្មវិធីដំឡើងកម្មវិធីទាញយកដែលបានរកឃើញដោយ Symantec ក្នុងខែមីនា ឆ្នាំ 2012។

Использованные источники информации:

цикл статей អំពី Duqu ពី Kaspersky Lab;
របាយការណ៍វិភាគរបស់ Symantec «W32.Duqu The precursor to the next Stuxnet»កំណែ 1.4 ខែវិច្ឆិកា ឆ្នាំ 2011 (pdf) ។

ប្រភព: www.habr.com