ຕົວເຂົ້າລະຫັດ backdoor ແລະ Buhtrap ຖືກແຈກຢາຍໂດຍໃຊ້ Yandex.Direct

ເພື່ອເປົ້າຫມາຍນັກບັນຊີໃນການໂຈມຕີທາງອິນເຕີເນັດ, ທ່ານສາມາດນໍາໃຊ້ເອກະສານການເຮັດວຽກທີ່ພວກເຂົາຄົ້ນຫາອອນໄລນ໌. ນີ້ແມ່ນປະມານສິ່ງທີ່ກຸ່ມ cyber ໄດ້ດໍາເນີນການໃນໄລຍະສອງສາມເດືອນຜ່ານມາ, ແຈກຢາຍ backdoors ທີ່ຮູ້ຈັກ. Buhtrap и RTM, ເຊັ່ນດຽວກັນກັບຕົວເຂົ້າລະຫັດແລະຊອບແວສໍາລັບການລັກ cryptocurrencies. ເປົ້າໝາຍສ່ວນຫຼາຍແມ່ນຕັ້ງຢູ່ໃນລັດເຊຍ. ການໂຈມຕີໄດ້ຖືກປະຕິບັດໂດຍການວາງການໂຄສະນາທີ່ເປັນອັນຕະລາຍຢູ່ໃນ Yandex.Direct. ຜູ້ເຄາະຮ້າຍທີ່ມີທ່າແຮງໄດ້ຖືກນໍາໄປຫາເວັບໄຊທ໌ທີ່ພວກເຂົາຖືກຮ້ອງຂໍໃຫ້ດາວໂຫລດໄຟລ໌ທີ່ເປັນອັນຕະລາຍທີ່ປອມຕົວເປັນແມ່ແບບເອກະສານ. Yandex ຖອນການໂຄສະນາທີ່ເປັນອັນຕະລາຍຫຼັງຈາກການເຕືອນຂອງພວກເຮົາ.

ລະຫັດແຫຼ່ງຂອງ Buhtrap ໄດ້ຖືກຮົ່ວໄຫຼອອນໄລນ໌ໃນອະດີດເພື່ອໃຫ້ທຸກຄົນສາມາດໃຊ້ມັນໄດ້. ພວກເຮົາບໍ່ມີຂໍ້ມູນກ່ຽວກັບການມີລະຫັດ RTM.

ໃນບົດຂຽນນີ້, ພວກເຮົາຈະບອກທ່ານວ່າຜູ້ໂຈມຕີແຈກຢາຍ malware ແນວໃດໂດຍໃຊ້ Yandex.Direct ແລະໂຮດມັນຢູ່ໃນ GitHub. ຂໍ້ຄວາມຈະສະຫຼຸບດ້ວຍການວິເຄາະດ້ານວິຊາການຂອງ malware.

Buhtrap ແລະ RTM ກັບຄືນມາໃນທຸລະກິດ

ກົນໄກການແຜ່ກະຈາຍແລະຜູ້ຖືກເຄາະຮ້າຍ

ການຂົນສົ່ງຕ່າງໆທີ່ສົ່ງໃຫ້ຜູ້ຖືກເຄາະຮ້າຍມີກົນໄກການຂະຫຍາຍພັນທົ່ວໄປ. ໄຟລ໌ທີ່ເປັນອັນຕະລາຍທັງໝົດທີ່ສ້າງໂດຍຜູ້ໂຈມຕີໄດ້ຖືກວາງໄວ້ໃນບ່ອນເກັບມ້ຽນ GitHub ສອງບ່ອນທີ່ແຕກຕ່າງກັນ.

ໂດຍປົກກະຕິ, ຄັງເກັບມ້ຽນມີໄຟລ໌ອັນຕະລາຍທີ່ສາມາດດາວໂຫລດໄດ້, ເຊິ່ງມີການປ່ຽນແປງເລື້ອຍໆ. ເນື່ອງຈາກ GitHub ອະນຸຍາດໃຫ້ທ່ານເບິ່ງປະຫວັດການປ່ຽນແປງໃນບ່ອນເກັບມ້ຽນ, ພວກເຮົາສາມາດເຫັນໄດ້ວ່າ malware ໃດຖືກແຈກຢາຍໃນໄລຍະເວລາທີ່ແນ່ນອນ. ເພື່ອຊັກຊວນໃຫ້ຜູ້ເຄາະຮ້າຍດາວໂຫລດໄຟລ໌ທີ່ເປັນອັນຕະລາຍ, ເວັບໄຊທ໌ blanki-shabloni24[.]ru, ທີ່ສະແດງຢູ່ໃນຮູບຂ້າງເທິງ, ໄດ້ຖືກນໍາໃຊ້.

ການອອກແບບເວັບໄຊທ໌ແລະຊື່ທັງຫມົດຂອງໄຟລ໌ທີ່ເປັນອັນຕະລາຍປະຕິບັດຕາມແນວຄວາມຄິດດຽວ - ແບບຟອມ, ແບບ, ສັນຍາ, ຕົວຢ່າງ, ແລະອື່ນໆ. ພິຈາລະນາວ່າຊອບແວ Buhtrap ແລະ RTM ໄດ້ຖືກນໍາໃຊ້ໃນການໂຈມຕີນັກບັນຊີໃນອະດີດ, ພວກເຮົາສົມມຸດວ່າ ຍຸດທະສາດໃນແຄມເປນໃຫມ່ແມ່ນຄືກັນ. ຄໍາຖາມດຽວແມ່ນວິທີທີ່ຜູ້ຖືກເຄາະຮ້າຍໄປຫາສະຖານທີ່ຂອງຜູ້ໂຈມຕີ.

ການ​ຕິດ​ເຊື້ອ

ຢ່າງຫນ້ອຍຜູ້ເຄາະຮ້າຍທີ່ມີທ່າແຮງຈໍານວນຫນຶ່ງທີ່ສິ້ນສຸດຢູ່ໃນເວັບໄຊທ໌ນີ້ໄດ້ຖືກດຶງດູດໂດຍການໂຄສະນາທີ່ເປັນອັນຕະລາຍ. ຂ້າງລຸ່ມນີ້ແມ່ນ URL ຕົວຢ່າງ:

https://blanki-shabloni24.ru/?utm_source=yandex&utm_medium=banner&utm_campaign=cid|{blanki_rsya}|context&utm_content=gid|3590756360|aid|6683792549|15114654950_&utm_term=скачать бланк счета&pm_source=bb.f2.kz&pm_block=none&pm_position=0&yclid=1029648968001296456

ດັ່ງທີ່ເຈົ້າສາມາດເຫັນໄດ້ຈາກການເຊື່ອມຕໍ່, ປ້າຍໂຄສະນາຖືກລົງໃນເວທີການບັນຊີທີ່ຖືກຕ້ອງຕາມກົດໝາຍ bb.f2[.]kz. ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະສັງເກດວ່າປ້າຍໂຄສະນາທີ່ປາກົດຢູ່ໃນເວັບໄຊທ໌ຕ່າງໆ, ທັງຫມົດມີ id campaign ດຽວກັນ (blanki_rsya), ແລະຫຼາຍທີ່ສຸດທີ່ກ່ຽວຂ້ອງກັບບັນຊີຫຼືການບໍລິການການຊ່ວຍເຫຼືອທາງດ້ານກົດຫມາຍ. URL ສະແດງໃຫ້ເຫັນວ່າຜູ້ເຄາະຮ້າຍທີ່ອາດຈະໃຊ້ຄໍາຮ້ອງຂໍ "ດາວໂຫລດແບບຟອມໃບແຈ້ງຫນີ້," ເຊິ່ງສະຫນັບສະຫນູນການສົມມຸດຕິຖານຂອງພວກເຮົາກ່ຽວກັບການໂຈມຕີເປົ້າຫມາຍ. ຂ້າງລຸ່ມນີ້ແມ່ນສະຖານທີ່ທີ່ປ້າຍໂຄສະນາປາກົດແລະຄໍາຖາມຄົ້ນຫາທີ່ສອດຄ້ອງກັນ.

• ດາວໂຫລດແບບຟອມໃບແຈ້ງໜີ້ – bb.f2[.]kz
• ສັນຍາຕົວຢ່າງ - Ipopen[.]ru
• ຕົວຢ່າງການຮ້ອງທຸກ - 77metrov[.]ru
• ແບບຟອມຂໍ້ຕົກລົງ - blank-dogovor-kupli-prodazhi[.]ru
• ຕົວຢ່າງຄໍາຮ້ອງຟ້ອງສານ - zen.yandex[.]ru
• ຕົວຢ່າງການຮ້ອງຮຽນ - yurday[.]ru
• ແບບຟອມສັນຍາຕົວຢ່າງ – Regforum[.]ru
• ແບບຟອມສັນຍາ – assistentus[.]ru
• ຕົວຢ່າງຂໍ້ຕົກລົງອາພາດເມັນ – napravah[.]com
• ຕົວຢ່າງສັນຍາທາງກົດໝາຍ - avito[.]ru

ເວັບໄຊທ໌ blanki-shabloni24[.]ru ອາດຈະຖືກຕັ້ງຄ່າໃຫ້ຜ່ານການປະເມີນແບບງ່າຍໆ. ໂດຍປົກກະຕິ, ໂຄສະນາທີ່ຊີ້ໃຫ້ເຫັນເຖິງເວັບໄຊທ໌ທີ່ມີລັກສະນະເປັນມືອາຊີບທີ່ມີການເຊື່ອມຕໍ່ກັບ GitHub ເບິ່ງຄືວ່າບໍ່ແມ່ນສິ່ງທີ່ບໍ່ດີ. ນອກຈາກນັ້ນ, ຜູ້ໂຈມຕີໄດ້ອັບໂຫລດໄຟລ໌ທີ່ເປັນອັນຕະລາຍໄປຫາບ່ອນເກັບມ້ຽນພຽງແຕ່ໄລຍະເວລາຈໍາກັດ, ອາດຈະເປັນໃນລະຫວ່າງແຄມເປນ. ສ່ວນຫຼາຍແລ້ວ, ພື້ນທີ່ເກັບຂໍ້ມູນ GitHub ມີບ່ອນເກັບມ້ຽນ zip ຫວ່າງເປົ່າ ຫຼືໄຟລ໌ EXE ຫວ່າງເປົ່າ. ດັ່ງນັ້ນ, ຜູ້ໂຈມຕີສາມາດແຈກຢາຍການໂຄສະນາຜ່ານ Yandex.Direct ຢູ່ໃນເວັບໄຊທ໌ທີ່ມັກຈະໄປຢ້ຽມຢາມໂດຍນັກບັນຊີທີ່ເຂົ້າມາໃນການຕອບສະຫນອງຕໍ່ຄໍາຖາມຄົ້ນຫາສະເພາະ.

ຕໍ່ໄປ, ໃຫ້ພວກເຮົາເບິ່ງ payloads ຕ່າງໆທີ່ຖືກແຈກຢາຍດ້ວຍວິທີນີ້.

ການວິເຄາະການໂຫຼດ

ລຳດັບການແຈກຢາຍ

ແຄມເປນທີ່ເປັນອັນຕະລາຍໄດ້ເລີ່ມຕົ້ນໃນທ້າຍເດືອນຕຸລາ 2018 ແລະມີການເຄື່ອນໄຫວໃນເວລາຂຽນ. ເນື່ອງຈາກບ່ອນເກັບມ້ຽນທັງໝົດມີໃຫ້ສາທາລະນະຢູ່ໃນ GitHub, ພວກເຮົາໄດ້ລວບລວມໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງການແຈກຢາຍຂອງຫົກຄອບຄົວ malware ທີ່ແຕກຕ່າງກັນ (ເບິ່ງຮູບຂ້າງລຸ່ມນີ້). ພວກເຮົາໄດ້ເພີ່ມເສັ້ນສະແດງເວລາທີ່ລິ້ງປ້າຍໂຄສະນາຖືກຄົ້ນພົບ, ຕາມການວັດແທກໂດຍ ESET telemetry, ສໍາລັບການປຽບທຽບກັບປະຫວັດ git. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ນີ້ກ່ຽວຂ້ອງກັບການມີ payload ໃນ GitHub. ຄວາມແຕກຕ່າງໃນທ້າຍເດືອນກຸມພາສາມາດອະທິບາຍໄດ້ໂດຍຄວາມຈິງທີ່ວ່າພວກເຮົາບໍ່ມີສ່ວນຫນຶ່ງຂອງປະຫວັດການປ່ຽນແປງຍ້ອນວ່າ repository ໄດ້ຖືກໂຍກຍ້າຍອອກຈາກ GitHub ກ່ອນທີ່ພວກເຮົາຈະສາມາດໄດ້ຮັບມັນຢ່າງເຕັມທີ່.

ຮູບທີ 1. ລຳດັບການແຜ່ກະຈາຍຂອງ malware.

ໃບຢັ້ງຢືນການເຊັນລະຫັດ

ແຄມເປນໄດ້ໃຊ້ຫຼາຍໃບຮັບຮອງ. ບາງຄົນໄດ້ລົງນາມໂດຍຄອບຄົວ malware ຫຼາຍກວ່າຫນຶ່ງ, ເຊິ່ງຊີ້ໃຫ້ເຫັນຕື່ມອີກວ່າຕົວຢ່າງທີ່ແຕກຕ່າງກັນເປັນຂອງແຄມເປນດຽວກັນ. ເຖິງວ່າຈະມີຄວາມພ້ອມຂອງກະແຈສ່ວນຕົວ, ຜູ້ປະກອບການບໍ່ໄດ້ລົງນາມໃນລະບົບ binaries ແລະບໍ່ໄດ້ໃຊ້ລະຫັດສໍາລັບຕົວຢ່າງທັງຫມົດ. ໃນທ້າຍເດືອນກຸມພາ 2019, ຜູ້ໂຈມຕີໄດ້ເລີ່ມຕົ້ນສ້າງລາຍເຊັນທີ່ບໍ່ຖືກຕ້ອງໂດຍໃຊ້ໃບຢັ້ງຢືນທີ່ເປັນເຈົ້າຂອງຂອງ Google ທີ່ເຂົາເຈົ້າບໍ່ມີກະແຈສ່ວນຕົວ.

ໃບຢັ້ງຢືນທັງໝົດທີ່ມີສ່ວນຮ່ວມໃນແຄມເປນ ແລະຄອບຄົວ malware ທີ່ເຂົາເຈົ້າເຊັນແມ່ນລະບຸໄວ້ໃນຕາຕະລາງຂ້າງລຸ່ມນີ້.

ພວກເຮົາຍັງໄດ້ໃຊ້ໃບຢັ້ງຢືນການເຊັນລະຫັດເຫຼົ່ານີ້ເພື່ອສ້າງການເຊື່ອມຕໍ່ກັບຄອບຄົວ malware ອື່ນໆ. ສໍາລັບໃບຢັ້ງຢືນສ່ວນໃຫຍ່, ພວກເຮົາບໍ່ພົບຕົວຢ່າງທີ່ບໍ່ໄດ້ແຈກຢາຍຜ່ານບ່ອນເກັບມ້ຽນ GitHub. ຢ່າງໃດກໍຕາມ, ໃບຢັ້ງຢືນ TOV "MARIYA" ຖືກນໍາໃຊ້ເພື່ອເຊັນ malware ທີ່ເປັນຂອງ botnet Wauchos, adware ແລະແຮ່ທາດ. ມັນຄົງຈະບໍ່ເປັນທີ່ malware ນີ້ກ່ຽວຂ້ອງກັບແຄມເປນນີ້. ສ່ວນຫຼາຍອາດຈະ, ໃບຢັ້ງຢືນໄດ້ຖືກຊື້ໃນ darknet.

Win32/Filecoder.Buhtrap

ອົງປະກອບທໍາອິດທີ່ຈັບຄວາມສົນໃຈຂອງພວກເຮົາແມ່ນ Win32/Filecoder.Buhtrap ທີ່ຄົ້ນພົບໃຫມ່. ນີ້ແມ່ນໄຟລ໌ຄູ່ Delphi ທີ່ບາງຄັ້ງຖືກຫຸ້ມຫໍ່. ມັນໄດ້ຖືກແຈກຢາຍຕົ້ນຕໍໃນເດືອນກຸມພາ - ມີນາ 2019. ມັນປະຕິບັດຕົວທີ່ເຫມາະສົມກັບໂຄງການ ransomware - ມັນຄົ້ນຫາໄດຣຟ໌ທ້ອງຖິ່ນແລະໂຟນເດີເຄືອຂ່າຍແລະເຂົ້າລະຫັດໄຟລ໌ທີ່ກວດພົບ. ມັນບໍ່ຈໍາເປັນຕ້ອງມີການເຊື່ອມຕໍ່ອິນເຕີເນັດທີ່ຈະຖືກທໍາລາຍເພາະວ່າມັນບໍ່ໄດ້ຕິດຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍເພື່ອສົ່ງລະຫັດການເຂົ້າລະຫັດ. ແທນທີ່ຈະ, ມັນເພີ່ມ "ໂທເຄັນ" ໃນຕອນທ້າຍຂອງຂໍ້ຄວາມຄ່າໄຖ່, ແລະແນະນໍາໃຫ້ໃຊ້ອີເມວຫຼື Bitmessage ເພື່ອຕິດຕໍ່ກັບຜູ້ປະກອບການ.

ເພື່ອເຂົ້າລະຫັດຊັບພະຍາກອນທີ່ລະອຽດອ່ອນຫຼາຍເທົ່າທີ່ເປັນໄປໄດ້, Filecoder.Buhtrap ແລ່ນກະທູ້ທີ່ອອກແບບມາເພື່ອປິດຊອບແວທີ່ສໍາຄັນທີ່ອາດມີຕົວຈັດການໄຟລ໌ເປີດທີ່ມີຂໍ້ມູນທີ່ມີຄຸນຄ່າທີ່ສາມາດແຊກແຊງການເຂົ້າລະຫັດ. ຂະບວນການເປົ້າຫມາຍສ່ວນໃຫຍ່ແມ່ນລະບົບການຄຸ້ມຄອງຖານຂໍ້ມູນ (DBMS). ນອກຈາກນັ້ນ, Filecoder.Buhtrap ລົບໄຟລ໌ບັນທຶກແລະການສໍາຮອງຂໍ້ມູນເພື່ອເຮັດໃຫ້ການຟື້ນຕົວຂໍ້ມູນມີຄວາມຫຍຸ້ງຍາກ. ເພື່ອເຮັດສິ່ງນີ້, ດໍາເນີນການ batch script ຂ້າງລຸ່ມນີ້.

bcdedit /set {default} bootstatuspolicy ignoreallfailures
bcdedit /set {default} recoveryenabled no
wbadmin delete catalog -quiet
wbadmin delete systemstatebackup
wbadmin delete systemstatebackup -keepversions:0
wbadmin delete backup
wmic shadowcopy delete
vssadmin delete shadows /all /quiet
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
attrib "%userprofile%documentsDefault.rdp" -s -h
del "%userprofile%documentsDefault.rdp"
wevtutil.exe clear-log Application
wevtutil.exe clear-log Security
wevtutil.exe clear-log System
sc config eventlog start=disabled

Filecoder.Buhtrap ໃຊ້ບໍລິການ Logger IP ອອນລາຍທີ່ຖືກຕ້ອງຕາມກົດໝາຍທີ່ຖືກອອກແບບມາເພື່ອເກັບກຳຂໍ້ມູນກ່ຽວກັບຜູ້ເຂົ້າຊົມເວັບໄຊທ໌. ນີ້ແມ່ນຈຸດປະສົງເພື່ອຕິດຕາມຜູ້ເຄາະຮ້າຍຈາກ ransomware, ເຊິ່ງເປັນຄວາມຮັບຜິດຊອບຂອງສາຍຄໍາສັ່ງ:

mshta.exe "javascript:document.write('');"

ໄຟລ໌ສໍາລັບການເຂົ້າລະຫັດຖືກເລືອກຖ້າພວກມັນບໍ່ກົງກັບສາມລາຍການຍົກເວັ້ນ. ກ່ອນອື່ນໝົດ, ໄຟລ໌ທີ່ມີສ່ວນຂະຫຍາຍຕໍ່ໄປນີ້ບໍ່ໄດ້ຖືກເຂົ້າລະຫັດ: .com, .cmd, .cpl, .dll, .exe, .hta, .lnk, .msc, .msi, .msp, .pif, .scr, .sys ແລະ. .bat. ອັນທີສອງ, ໄຟລ໌ທັງຫມົດທີ່ຢູ່ໃນເສັ້ນທາງເຕັມມີສາຍໄດເລກະທໍລີຈາກບັນຊີລາຍຊື່ຂ້າງລຸ່ມນີ້ແມ່ນຖືກຍົກເວັ້ນ.

.{ED7BA470-8E54-465E-825C-99712043E01C}
tor browser
opera
opera software
mozilla
mozilla firefox
internet explorer
googlechrome
google
boot
application data
apple computersafari
appdata
all users
:windows
:system volume information
:nvidia
:intel

ອັນທີສາມ, ບາງຊື່ໄຟລ໌ຍັງຖືກຍົກເວັ້ນຈາກການເຂົ້າລະຫັດ, ໃນບັນດາພວກມັນແມ່ນຊື່ໄຟລ໌ຂອງຂໍ້ຄວາມຄ່າໄຖ່. ບັນຊີລາຍຊື່ໄດ້ຖືກນໍາສະເຫນີຂ້າງລຸ່ມນີ້. ແນ່ນອນ, ຂໍ້ຍົກເວັ້ນທັງຫມົດນີ້ແມ່ນມີຈຸດປະສົງເພື່ອເຮັດໃຫ້ເຄື່ອງຈັກເຮັດວຽກ, ແຕ່ມີຄວາມເຫມາະສົມໃນເສັ້ນທາງຫນ້ອຍທີ່ສຸດ.

boot.ini
bootfont.bin
bootsect.bak
desktop.ini
iconcache.db
ntdetect.com
ntldr
ntuser.dat
ntuser.dat.log
ntuser.ini
thumbs.db
winupas.exe
your files are now encrypted.txt
windows update assistant.lnk
master.exe
unlock.exe
unlocker.exe

ໂຄງການການເຂົ້າລະຫັດໄຟລ໌

ເມື່ອຖືກປະຕິບັດແລ້ວ, malware ຈະສ້າງຄູ່ຄີ RSA 512-bit. ຕົວເລກ exponent ສ່ວນຕົວ (d) ແລະ modulus (n) ໄດ້ຖືກເຂົ້າລະຫັດແລ້ວດ້ວຍລະຫັດສາທາລະນະ 2048-bit ທີ່ມີລະຫັດຍາກ (ຕົວເລກສາທາລະນະແລະໂມດູລ), zlib-packed, ແລະ base64 ເຂົ້າລະຫັດ. ລະຫັດທີ່ຮັບຜິດຊອບສໍາລັບການນີ້ແມ່ນສະແດງຢູ່ໃນຮູບ 2.

ຮູບທີ 2. ຜົນຂອງການແຍກ Hex-Rays ຂອງຂະບວນການຜະລິດຄູ່ຄີ RSA 512-ບິດ.

ຂ້າງລຸ່ມນີ້ແມ່ນຕົວຢ່າງຂອງຂໍ້ຄວາມທຳມະດາທີ່ມີກະແຈສ່ວນຕົວທີ່ສ້າງຂຶ້ນ, ເຊິ່ງເປັນໂທເຄັນທີ່ຕິດກັບຂໍ້ຄວາມຄ່າໄຖ່.

DF9228F4F3CA93314B7EE4BEFC440030665D5A2318111CC3FE91A43D781E3F91BD2F6383E4A0B4F503916D75C9C576D5C2F2F073ADD4B237F7A2B3BF129AE2F399197ECC0DD002D5E60C20CE3780AB9D1FE61A47D9735036907E3F0CF8BE09E3E7646F8388AAC75FF6A4F60E7F4C2F697BF6E47B2DBCDEC156EAD854CADE53A239

ລະຫັດສາທາລະນະຂອງຜູ້ໂຈມຕີແມ່ນມີຢູ່ຂ້າງລຸ່ມນີ້.

e = 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
n = 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

ໄຟລ໌ຖືກເຂົ້າລະຫັດໂດຍໃຊ້ AES-128-CBC ດ້ວຍລະຫັດ 256-bit. ສໍາລັບແຕ່ລະໄຟລ໌ທີ່ຖືກເຂົ້າລະຫັດ, ລະຫັດໃຫມ່ແລະ vector ການເລີ່ມຕົ້ນໃຫມ່ແມ່ນຖືກສ້າງຂຶ້ນ. ຂໍ້ມູນທີ່ສໍາຄັນຈະຖືກເພີ່ມໃສ່ໃນຕອນທ້າຍຂອງໄຟລ໌ທີ່ຖືກເຂົ້າລະຫັດ. ໃຫ້ພິຈາລະນາຮູບແບບຂອງໄຟລ໌ທີ່ຖືກເຂົ້າລະຫັດ.
ໄຟລ໌ທີ່ເຂົ້າລະຫັດໄວ້ມີສ່ວນຫົວຕໍ່ໄປນີ້:

ຂໍ້ມູນໄຟລ໌ຕົ້ນສະບັບທີ່ມີການເພີ່ມມູນຄ່າ VEGA magic ຖືກເຂົ້າລະຫັດເປັນ 0x5000 bytes ທໍາອິດ. ຂໍ້ມູນການຖອດລະຫັດທັງໝົດແມ່ນຕິດກັບໄຟລ໌ທີ່ມີໂຄງສ້າງຕໍ່ໄປນີ້:

- ເຄື່ອງໝາຍຂະໜາດໄຟລ໌ມີເຄື່ອງໝາຍຊີ້ບອກວ່າໄຟລ໌ໃຫຍ່ກວ່າ 0x5000 bytes ຫຼືບໍ່.
— AES key blob = ZlibCompress(RSAEncrypt(ກະແຈ AES + IV, ກະແຈສາທາລະນະຂອງຄູ່ຄີ RSA ທີ່ສ້າງຂຶ້ນ))
- RSA key blob = ZlibCompress(RSAencrypt(ສ້າງລະຫັດສ່ວນຕົວ RSA, ລະຫັດສາທາລະນະ RSA ຍາກລະຫັດ))

Win32/ClipBanker

Win32/ClipBanker ເປັນອົງປະກອບທີ່ແຈກຢາຍເປັນໄລຍະໆຈາກທ້າຍເດືອນຕຸລາຫາຕົ້ນເດືອນທັນວາ 2018. ບົດບາດຂອງມັນແມ່ນການຕິດຕາມເນື້ອໃນຂອງ clipboard, ມັນຊອກຫາທີ່ຢູ່ຂອງກະເປົາເງິນ cryptocurrency. ໂດຍໄດ້ກໍານົດທີ່ຢູ່ wallet ເປົ້າຫມາຍ, ClipBanker ປ່ຽນມັນດ້ວຍທີ່ຢູ່ທີ່ເຊື່ອວ່າເປັນຂອງຜູ້ປະກອບການ. ຕົວຢ່າງທີ່ພວກເຮົາກວດສອບແມ່ນບໍ່ໄດ້ໃສ່ກ່ອງ ຫຼື ສັບສົນ. ກົນໄກດຽວທີ່ໃຊ້ເພື່ອປິດບັງພຶດຕິກໍາແມ່ນການເຂົ້າລະຫັດສະຕຣິງ. ທີ່ຢູ່ wallet ຂອງ Operator ຖືກເຂົ້າລະຫັດໂດຍໃຊ້ RC4. cryptocurrencies ເປົ້າຫມາຍແມ່ນ Bitcoin, Bitcoin ເງິນສົດ, Dogecoin, Ethereum ແລະ Ripple.

ໃນລະຫວ່າງໄລຍະເວລາທີ່ malware ໄດ້ແຜ່ລາມໄປສູ່ກະເປົາເງິນ Bitcoin ຂອງຜູ້ໂຈມຕີ, ຈໍານວນນ້ອຍໆຖືກສົ່ງໄປຫາ VTS, ເຊິ່ງເຮັດໃຫ້ເກີດຄວາມສົງໃສໃນຄວາມສໍາເລັດຂອງແຄມເປນ. ນອກຈາກນັ້ນ, ບໍ່ມີຫຼັກຖານໃດໆທີ່ຈະແນະນໍາວ່າທຸລະກໍາເຫຼົ່ານີ້ແມ່ນກ່ຽວຂ້ອງກັບ ClipBanker ທັງຫມົດ.

Win32/RTM

ອົງປະກອບ Win32/RTM ໄດ້ຖືກແຈກຢາຍເປັນເວລາຫຼາຍມື້ໃນຕົ້ນເດືອນມີນາ 2019. RTM ເປັນນາຍທະນາຄານ Trojan ຂຽນໃນ Delphi, ແນໃສ່ລະບົບທະນາຄານຫ່າງໄກສອກຫຼີກ. ໃນປີ 2017, ນັກຄົ້ນຄວ້າ ESET ຈັດພີມມາ ການ​ວິ​ເຄາະ​ລະ​ອຽດ​ ຂອງໂຄງການນີ້, ຄໍາອະທິບາຍແມ່ນຍັງກ່ຽວຂ້ອງ. ໃນເດືອນມັງກອນ 2019, Palo Alto Networks ຍັງປ່ອຍອອກມາ ບົດຄວາມ blog ກ່ຽວກັບ RTM.

Buhtrap Loader

ສໍາລັບບາງເວລາ, ຕົວດາວໂຫລດແມ່ນມີຢູ່ໃນ GitHub ທີ່ບໍ່ຄ້າຍຄືກັບເຄື່ອງມື Buhtrap ທີ່ຜ່ານມາ. ລາວຫັນໄປຫາ https://94.100.18[.]67/RSS.php?<some_id> ເພື່ອໃຫ້ໄດ້ຮັບຂັ້ນຕອນຕໍ່ໄປແລະໂຫລດໂດຍກົງເຂົ້າໄປໃນຫນ່ວຍຄວາມຈໍາ. ພວກເຮົາສາມາດຈໍາແນກສອງພຶດຕິກໍາຂອງລະຫັດຂັ້ນຕອນທີສອງ. ໃນ URL ທໍາອິດ, RSS.php ຜ່ານ Buhtrap backdoor ໂດຍກົງ - backdoor ນີ້ແມ່ນຄ້າຍຄືກັນກັບຫນຶ່ງທີ່ມີຢູ່ຫຼັງຈາກລະຫັດແຫຼ່ງຖືກຮົ່ວໄຫຼ.

ຫນ້າສົນໃຈ, ພວກເຮົາເຫັນແຄມເປນຈໍານວນຫນຶ່ງທີ່ມີ Buhtrap backdoor, ແລະພວກເຂົາຖືກກ່າວຫາວ່າດໍາເນີນການໂດຍຜູ້ປະກອບການທີ່ແຕກຕ່າງກັນ. ໃນກໍລະນີນີ້, ຄວາມແຕກຕ່າງຕົ້ນຕໍແມ່ນວ່າ backdoor ໄດ້ຖືກໂຫລດໂດຍກົງໃນຫນ່ວຍຄວາມຈໍາແລະບໍ່ໃຊ້ໂຄງການປົກກະຕິກັບຂະບວນການຕິດຕັ້ງ DLL ທີ່ພວກເຮົາເວົ້າກ່ຽວກັບ. ກ່ອນ ໜ້າ ນີ້. ນອກຈາກນັ້ນ, ຜູ້ປະກອບການໄດ້ປ່ຽນລະຫັດ RC4 ທີ່ໃຊ້ເພື່ອເຂົ້າລະຫັດການຈາລະຈອນເຄືອຂ່າຍໄປຫາເຊີບເວີ C&C. ໃນແຄມເປນສ່ວນໃຫຍ່ທີ່ພວກເຮົາໄດ້ເຫັນ, ຜູ້ປະກອບການບໍ່ໄດ້ລົບກວນການປ່ຽນແປງລະຫັດນີ້.

ອັນທີສອງ, ພຶດຕິກໍາທີ່ສັບສົນຫຼາຍແມ່ນວ່າ URL RSS.php ຖືກສົ່ງໄປຫາຕົວໂຫຼດອື່ນ. ມັນໄດ້ປະຕິບັດບາງສິ່ງທີ່ສັບສົນ, ເຊັ່ນ: ການສ້າງຕາຕະລາງການນໍາເຂົ້າແບບເຄື່ອນໄຫວໃຫມ່. ຈຸດປະສົງຂອງ bootloader ແມ່ນເພື່ອຕິດຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຂອງ C&C msiofficeupd[.]com/api/F27F84EDA4D13B15/2, ສົ່ງບັນທຶກ ແລະລໍຖ້າຄຳຕອບ. ມັນປະມວນຜົນການຕອບສະຫນອງເປັນ blob, ໂຫຼດມັນເຂົ້າໄປໃນຫນ່ວຍຄວາມຈໍາແລະປະຕິບັດມັນ. payload ທີ່ພວກເຮົາໄດ້ເຫັນການປະຕິບັດ loader ນີ້ແມ່ນ backdoor Buhtrap ດຽວກັນ, ແຕ່ອາດຈະມີອົງປະກອບອື່ນໆ.

Android/Spy.Banker

ຫນ້າສົນໃຈ, ອົງປະກອບສໍາລັບ Android ຍັງຖືກພົບເຫັນຢູ່ໃນບ່ອນເກັບມ້ຽນ GitHub. ລາວຢູ່ສາຂາໃຫຍ່ພຽງມື້ດຽວ - ວັນທີ 1 ພະຈິກ 2018. ນອກເຫນືອຈາກການຖືກປະກາດຢູ່ໃນ GitHub, ESET telemetry ບໍ່ພົບຫຼັກຖານຂອງ malware ນີ້ຖືກແຈກຢາຍ.

ອົງປະກອບດັ່ງກ່າວຖືກໂຮດເປັນຊຸດແອັບພລິເຄຊັນ Android (APK). ມັນສັບສົນຫຼາຍ. ພຶດຕິກໍາທີ່ເປັນອັນຕະລາຍຖືກເຊື່ອງໄວ້ໃນ JAR ທີ່ຖືກເຂົ້າລະຫັດຢູ່ໃນ APK. ມັນຖືກເຂົ້າລະຫັດດ້ວຍ RC4 ໂດຍໃຊ້ລະຫັດນີ້:

key = [
0x87, 0xd6, 0x2e, 0x66, 0xc5, 0x8a, 0x26, 0x00, 0x72, 0x86, 0x72, 0x6f,
0x0c, 0xc1, 0xdb, 0xcb, 0x14, 0xd2, 0xa8, 0x19, 0xeb, 0x85, 0x68, 0xe1,
0x2f, 0xad, 0xbe, 0xe3, 0xb9, 0x60, 0x9b, 0xb9, 0xf4, 0xa0, 0xa2, 0x8b, 0x96
]

ຄີ ແລະ algorithm ດຽວກັນຖືກນໍາໃຊ້ເພື່ອເຂົ້າລະຫັດສະຕຣິງ. JAR ຕັ້ງຢູ່ໃນ APK_ROOT + image/files. 4 ໄບຕ໌ທຳອິດຂອງໄຟລ໌ມີຄວາມຍາວຂອງ JAR ທີ່ເຂົ້າລະຫັດໄວ້, ເຊິ່ງເລີ່ມຕົ້ນທັນທີຫຼັງຈາກຊ່ອງຂໍ້ມູນຄວາມຍາວ.

ມີການຖອດລະຫັດໄຟລ໌, ພວກເຮົາຄົ້ນພົບວ່າມັນແມ່ນ Anubis - ກ່ອນຫນ້ານີ້ ເອກະສານ banker ສໍາ​ລັບ Android​. malware ມີຄຸນສົມບັດດັ່ງຕໍ່ໄປນີ້:

• ການບັນທຶກຈາກໄມໂຄຣໂຟນ
• ຖ່າຍພາບໜ້າຈໍ
• ໄດ້​ຮັບ​ພິ​ກັດ GPS​
• keylogger
• ການເຂົ້າລະຫັດຂໍ້ມູນອຸປະກອນ ແລະຄວາມຕ້ອງການຄ່າໄຖ່
• ສົ່ງ spam

ຫນ້າສົນໃຈ, ທະນາຄານໄດ້ໃຊ້ Twitter ເປັນຊ່ອງທາງການສື່ສານສໍາຮອງເພື່ອໃຫ້ໄດ້ເຄື່ອງແມ່ຂ່າຍ C&C ອື່ນ. ຕົວຢ່າງທີ່ພວກເຮົາວິເຄາະໄດ້ນໍາໃຊ້ບັນຊີ @JonesTrader, ແຕ່ໃນເວລາທີ່ການວິເຄາະມັນໄດ້ຖືກສະກັດແລ້ວ.

ນາຍທະນາຄານມີລາຍຊື່ຂອງແອັບພລິເຄຊັນເປົ້າໝາຍຢູ່ໃນອຸປະກອນ Android. ມັນຍາວກວ່າບັນຊີລາຍຊື່ທີ່ໄດ້ຮັບໃນການສຶກສາ Sophos. ບັນຊີລາຍຊື່ປະກອບມີຄໍາຮ້ອງສະຫມັກທະນາຄານຈໍານວນຫຼາຍ, ໂຄງການຊື້ເຄື່ອງອອນໄລນ໌ເຊັ່ນ Amazon ແລະ eBay, ແລະການບໍລິການ cryptocurrency.

MSIL/ClipBanker.IH

ອົງປະກອບສຸດທ້າຍທີ່ແຈກຢາຍເປັນສ່ວນຫນຶ່ງຂອງແຄມເປນນີ້ແມ່ນ .NET Windows ທີ່ສາມາດປະຕິບັດໄດ້, ເຊິ່ງປາກົດໃນເດືອນມີນາ 2019. ສ່ວນໃຫຍ່ຂອງສະບັບທີ່ສຶກສາໄດ້ຖືກຫຸ້ມຫໍ່ດ້ວຍ ConfuserEx v1.0.0. ເຊັ່ນດຽວກັນກັບ ClipBanker, ອົງປະກອບນີ້ໃຊ້ clipboard. ເປົ້າຫມາຍຂອງລາວແມ່ນລະດັບຄວາມກ້ວາງຂອງ cryptocurrencies, ເຊັ່ນດຽວກັນກັບການສະເຫນີໃນ Steam. ນອກຈາກນັ້ນ, ລາວຍັງໃຊ້ບໍລິການ IP Logger ເພື່ອລັກລະຫັດ WIF ສ່ວນຕົວຂອງ Bitcoin.

ກົນໄກການປົກປ້ອງ
ນອກເຫນືອໄປຈາກຜົນປະໂຫຍດທີ່ ConfuserEx ສະຫນອງໃນການປ້ອງກັນ debugging, dumping, ແລະ tampering, ອົງປະກອບປະກອບມີຄວາມສາມາດໃນການກວດສອບຜະລິດຕະພັນ antivirus ແລະ virtual machines.

ເພື່ອກວດສອບວ່າມັນເຮັດວຽກຢູ່ໃນເຄື່ອງ virtual, malware ໃຊ້ເສັ້ນຄໍາສັ່ງ Windows WMI (WMIC) ທີ່ມີໃນຕົວເພື່ອຮ້ອງຂໍຂໍ້ມູນ BIOS, ຄື:

wmic bios

ຫຼັງຈາກນັ້ນ, ໂປລແກລມແຍກອອກຄໍາສັ່ງແລະຊອກຫາຄໍາສໍາຄັນ: VBOX, VirtualBox, XEN, qemu, bochs, VM.

ເພື່ອກວດຫາຜະລິດຕະພັນຕ້ານໄວຣັສ, ມັລແວຈະສົ່ງຄໍາຮ້ອງຂໍການຄຸ້ມຄອງ Windows Management Instrumentation (WMI) ໄປຫາສູນຄວາມປອດໄພ Windows ໂດຍໃຊ້ ManagementObjectSearcher API ດັ່ງທີ່ສະແດງຂ້າງລຸ່ມນີ້. ຫຼັງ​ຈາກ​ການ​ຖອດ​ລະ​ຫັດ​ຈາກ base64 ການ​ໂທ​ເບິ່ງ​ຄື​ນີ້​:

ManagementObjectSearcher('rootSecurityCenter2', 'SELECT * FROM AntivirusProduct')

ຮູບທີ 3. ຂະບວນການກໍານົດຜະລິດຕະພັນຕ້ານໄວຣັສ.

ນອກຈາກນັ້ນ, malware ກວດເບິ່ງວ່າ CryptoClipWatcher, ເຄື່ອງມືເພື່ອປ້ອງກັນການໂຈມຕີ clipboard ແລະ, ຖ້າແລ່ນ, suspends threads ທັງຫມົດໃນຂະບວນການນັ້ນ, ດັ່ງນັ້ນການປິດການປ້ອງກັນ.

ຄວາມຄົງທົນ

ສະບັບຂອງ malware ທີ່ພວກເຮົາສຶກສາຄັດລອກຕົວມັນເອງເຂົ້າໄປໃນ %APPDATA%googleupdater.exe ແລະກໍານົດຄຸນລັກສະນະ "ເຊື່ອງໄວ້" ສໍາລັບໄດເລກະທໍລີ google. ຫຼັງຈາກນັ້ນ, ນາງປ່ຽນແປງມູນຄ່າ SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell ໃນ Windows ລົງທະບຽນແລະເພີ່ມເສັ້ນທາງ updater.exe. ດ້ວຍວິທີນີ້, malware ຈະຖືກປະຕິບັດທຸກຄັ້ງທີ່ຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບ.

ພຶດຕິກຳທີ່ເປັນອັນຕະລາຍ

ເຊັ່ນດຽວກັນກັບ ClipBanker, malware ຕິດຕາມກວດກາເນື້ອໃນຂອງ clipboard ແລະຊອກຫາທີ່ຢູ່ cryptocurrency wallet, ແລະເມື່ອພົບເຫັນ, ແທນທີ່ມັນຫນຶ່ງໃນທີ່ຢູ່ຂອງຜູ້ປະຕິບັດງານ. ຂ້າງລຸ່ມນີ້ແມ່ນບັນຊີລາຍຊື່ຂອງທີ່ຢູ່ເປົ້າຫມາຍໂດຍອີງໃສ່ສິ່ງທີ່ພົບເຫັນຢູ່ໃນລະຫັດ.

BTC_P2PKH, BTC_P2SH, BTC_BECH32, BCH_P2PKH_CashAddr, BTC_GOLD, LTC_P2PKH, LTC_BECH32, LTC_P2SH_M, ETH_ERC20, XMR, DCR, XRP, DOGE, DASH, ZEC_T_ADDR, ZEC_Z_ADDR, STELLAR, NEO, ADA, IOTA, NANO_1, NANO_3, BANANO_1, BANANO_3, STRATIS, NIOBIO, LISK, QTUM, WMZ, WMX, WME, VERTCOIN, TRON, TEZOS, QIWI_ID, YANDEX_ID, NAMECOIN, B58_PRIVATEKEY, STEAM_URL

ສໍາລັບແຕ່ລະປະເພດຂອງທີ່ຢູ່ມີການສະແດງອອກປົກກະຕິທີ່ສອດຄ້ອງກັນ. ຄ່າ STEAM_URL ຖືກໃຊ້ເພື່ອໂຈມຕີລະບົບ Steam, ດັ່ງທີ່ເຫັນໄດ້ຈາກການສະແດງອອກປົກກະຕິທີ່ຖືກນໍາໃຊ້ເພື່ອກໍານົດໃນ buffer:

b(https://|http://|)steamcommunity.com/tradeoffer/new/?partner=[0-9]+&token=[a-zA-Z0-9]+b

ຊ່ອງທາງການສະກັດ

ນອກເຫນືອຈາກການປ່ຽນແທນທີ່ຢູ່ໃນ buffer, malware ແນເປົ້າໃສ່ກະແຈ WIF ສ່ວນຕົວຂອງ Bitcoin, Bitcoin Core ແລະ Electrum Bitcoin wallets. ໂປຣແກຣມໃຊ້ plogger.org ເປັນຊ່ອງທາງ exfiltration ເພື່ອໃຫ້ໄດ້ຮັບລະຫັດສ່ວນຕົວ WIF. ເພື່ອເຮັດສິ່ງນີ້, ຜູ້ປະກອບການເພີ່ມຂໍ້ມູນກະແຈສ່ວນຕົວໃສ່ສ່ວນຫົວ HTTP ຂອງຜູ້ໃຊ້ຕົວແທນ, ດັ່ງທີ່ສະແດງຂ້າງລຸ່ມນີ້.

ຮູບທີ 4. IP Logger console ທີ່ມີຂໍ້ມູນຜົນຜະລິດ.

ຜູ້ປະກອບການບໍ່ໄດ້ໃຊ້ iplogger.org ເພື່ອ exfiltrate wallets. ເຂົາເຈົ້າອາດຈະໃຊ້ວິທີທີ່ແຕກຕ່າງກັນເນື່ອງຈາກຂີດຈຳກັດຕົວອັກສອນ 255 ຕົວໃນຊ່ອງຂໍ້ມູນ User-Agentສະແດງຢູ່ໃນການໂຕ້ຕອບເວັບໄຊຕ໌ IP Logger. ໃນຕົວຢ່າງທີ່ພວກເຮົາໄດ້ສຶກສາ, ເຄື່ອງແມ່ຂ່າຍຜົນຜະລິດອື່ນໆຖືກເກັບໄວ້ໃນຕົວແປສະພາບແວດລ້ອມ DiscordWebHook. ເປັນເລື່ອງແປກທີ່, ຕົວແປສະພາບແວດລ້ອມນີ້ບໍ່ໄດ້ຖືກມອບຫມາຍທຸກບ່ອນໃນລະຫັດ. ນີ້ຊີ້ໃຫ້ເຫັນວ່າ malware ແມ່ນຍັງຢູ່ໃນການພັດທະນາແລະຕົວແປໄດ້ຖືກມອບຫມາຍໃຫ້ເຄື່ອງທົດສອບຂອງຜູ້ປະຕິບັດງານ.

ມີສັນຍານອີກອັນຫນຶ່ງທີ່ສະແດງໃຫ້ເຫັນວ່າໂຄງການແມ່ນຢູ່ໃນການພັດທະນາ. ໄຟລ໌ໄບນາຣີປະກອບມີສອງ URL iplogger.org, ແລະທັງສອງຖືກສອບຖາມເມື່ອຂໍ້ມູນຖືກ exfiltrated. ໃນການຮ້ອງຂໍໄປຫາຫນຶ່ງໃນ URL ເຫຼົ່ານີ້, ມູນຄ່າໃນພາກສະຫນາມ Referer ແມ່ນນໍາຫນ້າໂດຍ "DEV /". ພວກເຮົາຍັງພົບເຫັນສະບັບທີ່ບໍ່ໄດ້ຖືກຫຸ້ມຫໍ່ໂດຍໃຊ້ ConfuserEx, ຜູ້ຮັບສໍາລັບ URL ນີ້ແມ່ນຊື່ DevFeedbackUrl. ອີງຕາມຊື່ຕົວແປຂອງສະພາບແວດລ້ອມ, ພວກເຮົາເຊື່ອວ່າຜູ້ປະຕິບັດງານກໍາລັງວາງແຜນທີ່ຈະໃຊ້ບໍລິການທີ່ຖືກຕ້ອງຕາມກົດຫມາຍ Discord ແລະລະບົບການສະກັດເວັບເພື່ອລັກກະເປົາເງິນ cryptocurrency.

ສະຫລຸບ

ແຄມເປນນີ້ແມ່ນຕົວຢ່າງຂອງການນໍາໃຊ້ບໍລິການໂຄສະນາທີ່ຖືກຕ້ອງຕາມກົດຫມາຍໃນການໂຈມຕີທາງອິນເຕີເນັດ. ໂຄງ​ການ​ດັ່ງ​ກ່າວ​ແນ​ໃສ່​ບັນ​ດາ​ອົງ​ການ​ລັດ​ເຊຍ, ແຕ່​ພວກ​ເຮົາ​ຈະ​ບໍ່​ແປກ​ໃຈ​ທີ່​ເຫັນ​ການ​ໂຈມ​ຕີ​ດັ່ງ​ກ່າວ​ໂດຍ​ໃຊ້​ບໍ​ລິ​ການ​ທີ່​ບໍ່​ແມ່ນ​ຂອງ​ລັດ​ເຊຍ. ເພື່ອຫຼີກເວັ້ນການປະນີປະນອມ, ຜູ້ໃຊ້ຕ້ອງຫມັ້ນໃຈໃນຊື່ສຽງຂອງແຫຼ່ງຊອບແວທີ່ເຂົາເຈົ້າດາວໂຫລດ.

ບັນຊີລາຍຊື່ຄົບຖ້ວນຂອງຕົວຊີ້ວັດ MITER ATT&CK ຂອງການປະນີປະນອມ ແລະຄຸນລັກສະນະແມ່ນມີຢູ່ ການເຊື່ອມຕໍ່.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com