MÄs turpinÄm rakstu sÄriju, kas veltÄ«ta ļaunprÄtÄ«gas programmatÅ«ras analÄ«zei. IN DaļÄji mÄs stÄstÄ«jÄm, kÄ CERT Group-IB ļaunprÄtÄ«gas programmatÅ«ras analÄ«zes speciÄlists Iļja Pomerancevs veica detalizÄtu faila analÄ«zi, kas saÅemts pa pastu no viena no Eiropas uzÅÄmumiem, un atklÄja tajÄ spiegprogrammatÅ«ru. AÄ£ents Tesla. Å ajÄ rakstÄ Iļja sniedz galvenÄ moduļa soli pa solim analÄ«zes rezultÄtus AÄ£ents Tesla.
AÄ£ents Tesla ir modulÄra spiegoÅ”anas programmatÅ«ra, kas tiek izplatÄ«ta, izmantojot ļaunprogrammatÅ«ras kÄ pakalpojuma modeli likumÄ«ga taustiÅu bloÄ·ÄtÄja produkta aizsegÄ. AÄ£ents Tesla spÄj iegÅ«t un pÄrsÅ«tÄ«t lietotÄju akreditÄcijas datus no pÄrlÅ«kprogrammÄm, e-pasta klientiem un FTP klientiem uz serveri uzbrucÄjiem, ierakstÄ«t starpliktuves datus un tvert ierÄ«ces ekrÄnu. AnalÄ«zes laikÄ izstrÄdÄtÄju oficiÄlÄ vietne nebija pieejama.
KonfigurÄcijas fails
TÄlÄk esoÅ”ajÄ tabulÄ ir norÄdÄ«ts, kura funkcionalitÄte attiecas uz jÅ«su izmantoto paraugu:
| Apraksts | VÄrtÄ«ba |
| KeyLogger lietoÅ”anas karodziÅÅ” | patiess |
| ScreenLogger lietoÅ”anas karodziÅÅ” | nepatiess |
| KeyLogger žurnÄla sÅ«tÄ«Å”anas intervÄls minÅ«tÄs | 20 |
| ScreenLogger žurnÄla sÅ«tÄ«Å”anas intervÄls minÅ«tÄs | 20 |
| Backspace taustiÅu apstrÄdes karodziÅÅ”. False ā tikai reÄ£istrÄÅ”ana. True ā dzÄÅ” iepriekÅ”Äjo taustiÅu | nepatiess |
| CNC tips. IespÄjas: smtp, tÄ«mekļa panelis, ftp | SMTP |
| Pavediena aktivizÄÅ”anas karodziÅÅ” procesu pÄrtraukÅ”anai no saraksta ā%filter_list%ā | nepatiess |
| UAC atspÄjoÅ”anas karodziÅÅ” | nepatiess |
| Uzdevumu pÄrvaldnieka atspÄjoÅ”anas karodziÅÅ” | nepatiess |
| CMD atspÄjoÅ”anas karodziÅÅ” | nepatiess |
| Palaist loga atspÄjoÅ”anas karogu | nepatiess |
| ReÄ£istra skatÄ«tÄja atspÄjoÅ”anas karodziÅÅ” | nepatiess |
| AtspÄjot sistÄmas atjaunoÅ”anas punktu karogu | patiess |
| VadÄ«bas paneļa atspÄjoÅ”anas karodziÅÅ” | nepatiess |
| MSCONFIG atspÄjoÅ”anas karodziÅÅ” | nepatiess |
| AtzÄ«mÄjiet karogu, lai pÄrlÅ«kprogrammÄ Explorer atspÄjotu konteksta izvÄlni | nepatiess |
| Piespraust karogu | nepatiess |
| CeļŔ galvenÄ moduļa kopÄÅ”anai, piespraužot to sistÄmai | %startupfolder% %insfolder%%insname% |
| Karogs sistÄmai pieŔķirtÄ galvenÄ moduļa atribÅ«tu āSystemā un āHiddenā iestatÄ«Å”anai | nepatiess |
| AtzÄ«mÄjiet karogu, lai veiktu restartÄÅ”anu, kad tas ir piestiprinÄts sistÄmai | nepatiess |
| Karogs galvenÄ moduļa pÄrvietoÅ”anai uz pagaidu mapi | nepatiess |
| UAC apieŔanas karogs | nepatiess |
| ReÄ£istrÄcijas datuma un laika formÄts | gggg-MM-dd HH:mm:ss |
| AtzÄ«mÄt ar KeyLogger programmas filtra izmantoÅ”anu | patiess |
| Programmas filtrÄÅ”anas veids. 1 ā programmas nosaukums tiek meklÄts logu nosaukumos 2 ā loga procesa nosaukumÄ tiek meklÄts programmas nosaukums |
1 |
| Programmas filtrs | "facebook" "tviteris" "gmail" "instagram" "filma" "skype" "porno" "uzlauzt" "WhatsApp" "nesaskaÅas" |
GalvenÄ moduļa pievienoÅ”ana sistÄmai
Ja ir iestatÄ«ts atbilstoÅ”ais karodziÅÅ”, galvenais modulis tiek kopÄts uz ceļu, kas norÄdÄ«ts konfigurÄcijÄ kÄ ceļŔ, kas jÄpieŔķir sistÄmai.
AtkarÄ«bÄ no konfigurÄcijas vÄrtÄ«bas failam tiek pieŔķirti atribÅ«ti āHiddenā un āSystemā.
AutomÄtisko palaiÅ”anu nodroÅ”ina divas reÄ£istra filiÄles:
- HKCU programmatūraMicrosoftWindows CurrentVersionRun%insregname%
- HKCUSOFTWAREMicrosoftWindows CurrentVersionExplorerStartupApprovedRun %insregname%
TÄ kÄ sÄknÄÅ”anas ielÄdÄtÄjs ievada procesÄ RegAsm, pastÄvÄ«gÄ karoga iestatÄ«Å”ana galvenajam modulim rada diezgan interesantas sekas. TÄ vietÄ, lai sevi kopÄtu, ļaunprogrammatÅ«ra pievienoja sistÄmai sÄkotnÄjo failu RegAsm.exe, kuras laikÄ tika veikta injekcija.
Mijiedarbība ar C&C
NeatkarÄ«gi no izmantotÄs metodes tÄ«kla komunikÄcija sÄkas ar upura ÄrÄjÄ IP iegÅ«Å”anu, izmantojot resursu [.]amazonaws[.]com/.
TÄlÄk ir aprakstÄ«tas programmatÅ«rÄ piedÄvÄtÄs tÄ«kla mijiedarbÄ«bas metodes.
tīmekļa panelis
MijiedarbÄ«ba notiek, izmantojot HTTP protokolu. Ä»aunprÄtÄ«ga programmatÅ«ra izpilda POST pieprasÄ«jumu ar Å”ÄdÄm galvenÄm:
- LietotÄja aÄ£ents: Mozilla/5.0 (Windows U Windows NT 6.1 ru rv:1.9.2.3) Gecko/20100401 Firefox/4.0 (.NET CLR 3.5.30729)
- Savienojums: Keep-Alive
- Satura veids: pieteikums/x-www-form-urlencoded
Servera adresi norÄda vÄrtÄ«ba %PostURL%. Å ifrÄtais ziÅojums tiek nosÅ«tÄ«ts parametrÄ Ā«PĀ». Å ifrÄÅ”anas mehÄnisms ir aprakstÄ«ts sadaÄ¼Ä "Å ifrÄÅ”anas algoritmi" (2. metode).
PÄrsÅ«tÄ«tais ziÅojums izskatÄs Å”Ädi:
type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nclient={8}nlink={9}nusername={10}npassword={11}nscreen_link={12}
Parametrs tips norÄda ziÅojuma veidu:
hwid ā no mÄtesplates sÄrijas numura un procesora ID vÄrtÄ«bÄm tiek ierakstÄ«ts MD5 jaucÄjs. VisticamÄk, tas tiek izmantots kÄ lietotÄja ID.
laiks ā kalpo paÅ”reizÄjÄ laika un datuma pÄrsÅ«tÄ«Å”anai.
datora nosaukums - definÄts kÄ <LietotÄjvÄrds>/<Datora nosaukums>.
logdati ā žurnÄla dati.
PÄrsÅ«tot paroles, ziÅojums izskatÄs Å”Ädi:
type={0}nhwid={1}ntime={2}npcname={3}nlogdata={4}nscreen={5}nipadd={6}nwebcam_link={7}nscreen_link={8}n[passwords]
TÄlÄk ir sniegti nozagto datu apraksti Å”ÄdÄ formÄtÄ nclient[]={0}nlink[]={1}lietotÄjvÄrds[]={2}nparole[]={3}.
SMTP
MijiedarbÄ«ba notiek, izmantojot SMTP protokolu. PÄrsÅ«tÄ«tÄ vÄstule ir HTML formÄtÄ. Parametrs ĶERMEÅ A izskatÄs kÄ:
VÄstules galvenei ir vispÄrÄ«ga forma: <LIETOTÄJVÄRDS>/<DATORA NOSAUKUMS> <SATURA VEIDS>. VÄstules saturs, kÄ arÄ« tÄs pielikumi nav Å”ifrÄti.
MijiedarbÄ«ba notiek, izmantojot FTP protokolu. Fails ar nosaukumu tiek pÄrsÅ«tÄ«ts uz norÄdÄ«to serveri <SATURA VEIDS>_<LIETOTÄJVÄRDS>-<DATORA NOSAUKUMS>_<DATUMS UN LAIKS>.html. Faila saturs nav Å”ifrÄts.
Å ifrÄÅ”anas algoritmi
Å ajÄ gadÄ«jumÄ tiek izmantotas Å”Ädas Å”ifrÄÅ”anas metodes:
1 metode
Å o metodi izmanto, lai Å”ifrÄtu virknes galvenajÄ modulÄ«. Å ifrÄÅ”anai izmantotais algoritms ir AES.
Ievade ir seÅ”ciparu decimÄlskaitlis. Tam tiek veikta Å”Äda transformÄcija:
f(x) = (((x >> 2 - 31059) ^ 6380) - 1363) >> 3
IegÅ«tÄ vÄrtÄ«ba ir iegultÄ datu masÄ«va indekss.
Katrs masÄ«va elements ir secÄ«ba DWORD. Apvienojot DWORD tiek iegÅ«ts baitu masÄ«vs: pirmie 32 baiti ir Å”ifrÄÅ”anas atslÄga, kam seko 16 inicializÄcijas vektora baiti, bet atlikuÅ”ie baiti ir Å”ifrÄtie dati.
2 metode
Izmantotais algoritms 3DES režīmÄ ECB ar polsterÄjumu veselos baitos (PKCS7).
AtslÄga ir norÄdÄ«ta ar parametru %urlkey%tomÄr Å”ifrÄÅ”anai tiek izmantots MD5 hash.
Ä»aunprÄtÄ«ga funkcionalitÄte
PÄtotajÄ paraugÄ tiek izmantotas Å”Ädas programmas, lai Ä«stenotu savu ļaunprÄtÄ«go funkciju:
atslÄgu reÄ£istrÄtÄjs
Ja ir atbilstoÅ”s ļaunprÄtÄ«gas programmatÅ«ras karogs, izmantojot funkciju WinAPI SetWindowsHookEx pieŔķir savu apstrÄdÄtÄju tastatÅ«ras taustiÅu nospieÅ”anas notikumiem. ApdarinÄtÄja funkcija sÄkas, iegÅ«stot aktÄ«vÄ loga nosaukumu.
Ja ir iestatÄ«ts lietojumprogrammu filtrÄÅ”anas karogs, filtrÄÅ”ana tiek veikta atkarÄ«bÄ no norÄdÄ«tÄ veida:
- programmas nosaukums tiek meklÄts logu nosaukumos
- programmas nosaukums tiek meklÄts loga procesa nosaukumÄ
PÄc tam žurnÄlam tiek pievienots ieraksts ar informÄciju par aktÄ«vo logu Å”ÄdÄ formÄtÄ:
PÄc tam tiek ierakstÄ«ta informÄcija par nospiesto taustiÅu:
| AtslÄga | Ieraksts |
| AtpakaļatkÄpe | AtkarÄ«bÄ no atkÄpÅ”anÄs taustiÅa apstrÄdes karoga: False ā {ATPAKAÄ»} True ā dzÄÅ” iepriekÅ”Äjo taustiÅu |
| LIELIE BURTI | {LIELIE BURTI} |
| ESC | {ESC} |
| PageUp | {PageUp} |
| uz leju | ā |
| DELETE | {DEL} |
| " | " |
| F5 | {F5} |
| & | & |
| F10 | {F10} |
| TAB | {TAB} |
| < | < |
| > | > |
| Atstarpe | |
| F8 | {F8} |
| F12 | {F12} |
| F9 | {F9} |
| ALT + TAB | {ALT+TAB} |
| END | {END} |
| F4 | {F4} |
| F2 | {F2} |
| CTRL | {CTRL} |
| F6 | {F6} |
| tiesÄ«bas | ā |
| Up | ā |
| F1 | {F1} |
| kreisais | ā |
| PageDown | {PageDown} |
| ielaidums | {Ievietot} |
| uzvara | {Uzvara} |
| NumLock | {NumLock} |
| F11 | {F11} |
| F3 | {F3} |
| SÄKUMS | {MÄJAS} |
| ENTER | {ENTER} |
| ALT + F4 | {ALT+F4} |
| F7 | {F7} |
| Cita atslÄga | RakstzÄ«me ir ar lielajiem vai mazajiem burtiem atkarÄ«bÄ no taustiÅu CapsLock un Shift pozÄ«cijÄm |
NoteiktÄ biežumÄ apkopotais žurnÄls tiek nosÅ«tÄ«ts uz serveri. Ja pÄrsÅ«tÄ«Å”ana ir neveiksmÄ«ga, žurnÄls tiek saglabÄts failÄ %TEMP%log.tmp formÄtÄ:
Kad taimeris aktivizÄjas, fails tiks pÄrsÅ«tÄ«ts uz serveri.
ScreenLogger
NoteiktÄ biežumÄ Ä¼aunprogrammatÅ«ra izveido ekrÄnuzÅÄmumu Å”ÄdÄ formÄtÄ Jpeg ar nozÄ«mi KvalitÄte vienÄds ar 50 un saglabÄ to failÄ %APPDATA %<NejauÅ”a 10 rakstzÄ«mju secÄ«ba>.jpg. PÄc pÄrsÅ«tÄ«Å”anas fails tiek izdzÄsts.
ClipboardLogger
Ja ir iestatÄ«ts atbilstoÅ”ais karodziÅÅ”, pÄrtvertajÄ tekstÄ tiek veikta aizstÄÅ”ana saskaÅÄ ar zemÄk esoÅ”o tabulu.
PÄc tam žurnÄlÄ tiek ievietots teksts:
PasswordStealer
Ä»aunprÄtÄ«ga programmatÅ«ra var lejupielÄdÄt paroles no Å”ÄdÄm lietojumprogrammÄm:
| PÄrlÅ«kprogrammas | Pasta klienti | FTP klienti |
| hroms | perspektīva | FileZilla |
| Firefox | Thunderbird | WS_FTP |
| IE/Edge | Foxmail | WinSCP |
| safari | Operas pasts | CoreFTP |
| Opera pÄrlÅ«ks | IncrediMail | FTP navigators |
| Yandex | Pocomail | FlashFXP |
| Comodo | Eudora | SmartFTP |
| ChromePlus | TheBat | FTPCommander |
| Hroms | Pastkastīte | |
| LÄpa | ClawsMail | |
| 7Star | ||
| Draugs | ||
| BraveSoftware | Jabber klienti | VPN klienti |
| CentBrowser | Psi/Psi+ | Atveriet VPN |
| Äedota | ||
| CocCoc | ||
| Elementu pÄrlÅ«ks | LejupielÄdes pÄrvaldnieki | |
| EpiskÄ privÄtuma pÄrlÅ«ks | Internet Download Manager | |
| KomÄta | JDownloader | |
| Orbitums | ||
| SputÅik | ||
| uCozMedia | ||
| Vivaldi | ||
| SeaMonkey | ||
| Flock pÄrlÅ«ka | ||
| UC Browser | ||
| BlackHawk | ||
| Kiberlapsa | ||
| K-Meleon | ||
| ledus kaÄ·is | ||
| Icedragon | ||
| PaleMoon | ||
| Å«denslapsa | ||
| Falkon pÄrlÅ«ks |
Pretdarbība dinamiskajai analīzei
- Izmantojot funkciju miegs. Ä»auj apiet dažas smilÅ”u kastes pÄc taimauta
- VÄ«tnes iznÄ«cinÄÅ”ana Zona.Identifier. Ä»auj slÄpt faila lejupielÄdes faktu no interneta
- ParametrÄ %filter_list% norÄda procesu sarakstu, kurus ļaunprÄtÄ«ga programmatÅ«ra pÄrtrauks ik pÄc vienas sekundes
- AtvienoŔana UAC
- Uzdevumu pÄrvaldnieka atspÄjoÅ”ana
- AtvienoŔana CMD
- Logu atspÄjoÅ”ana "Skriet"
- VadÄ«bas paneļa atspÄjoÅ”ana
- RÄ«ka atspÄjoÅ”ana Regedit
- SistÄmas atjaunoÅ”anas punktu atspÄjoÅ”ana
- AtspÄjojiet konteksta izvÄlni programmÄ Explorer
- AtvienoŔana MSCONFIG
- ApvedceļŔ UAC:
GalvenÄ moduļa neaktÄ«vÄs iespÄjas
GalvenÄ moduļa analÄ«zes laikÄ tika identificÄtas funkcijas, kas bija atbildÄ«gas par izplatÄ«Å”anos tÄ«klÄ un peles pozÄ«cijas izsekoÅ”anu.
tÄrps
NoÅemamÄ datu nesÄja pievienoÅ”anas notikumi tiek pÄrraudzÄ«ti atseviÅ”Ä·Ä pavedienÄ. Kad ir izveidots savienojums, ļaunprogrammatÅ«ra ar nosaukumu tiek kopÄta failu sistÄmas saknÄ scr.exe, pÄc tam tÄ meklÄ failus ar paplaÅ”inÄjumu lnk. Ikviena komanda lnk mainÄs uz cmd.exe /c startÄjiet scr.exe&startÄjiet <oriÄ£inÄlo komandu> un izejiet.
Katram multivides saknes direktorijam tiek pieŔķirts atribÅ«ts "PaslÄpts" un tiek izveidots fails ar paplaÅ”inÄjumu lnk ar slÄptÄ direktorija nosaukumu un komandu cmd.exe /c startÄt scr.exe&explorer /root,"%CD%<DIRECTORY NAME>" un iziet.
MouseTracker
PÄrtverÅ”anas metode ir lÄ«dzÄ«ga tai, ko izmanto tastatÅ«rai. Å Ä« funkcionalitÄte joprojÄm ir izstrÄdes stadijÄ.
Failu darbība
| Taka | Apraksts |
| %Temp%temp.tmp | Satur UAC apieÅ”anas mÄÄ£inÄjumu skaitÄ«tÄju |
| %startupfolder%%insfolder%%insname% | CeļŔ, kas jÄpieŔķir HPE sistÄmai |
| %Temp%tmpG{PaÅ”reizÄjais laiks milisekundÄs}.tmp | GalvenÄ moduļa dublÄjuma ceļŔ |
| %Temp%log.tmp | ŽurnÄla fails |
| %AppData%{Patvaļīga 10 rakstzÄ«mju secÄ«ba}.jpeg | EkrÄnÅ”ÄviÅi |
| C:UsersPublic{Patvaļīga 10 rakstzÄ«mju secÄ«ba}.vbs | CeļŔ uz vbs failu, ko sÄknÄÅ”anas ielÄdÄtÄjs var izmantot, lai pievienotu sistÄmai |
| %Temp%{PielÄgotÄs mapes nosaukums}{Faila nosaukums} | CeļŔ, ko sÄknÄÅ”anas ielÄdÄtÄjs izmanto, lai pievienotos sistÄmai |
UzbrucÄja profils
Pateicoties kodÄtajiem autentifikÄcijas datiem, mÄs varÄjÄm piekļūt komandu centram.
Tas ļÄva mums identificÄt uzbrucÄju pÄdÄjo e-pasta adresi:
junaid[.]in***@gmail[.]com.
Komandu centra domÄna vÄrds ir reÄ£istrÄts pastam sg***@gmail[.]com.
SecinÄjums
Veicot detalizÄtu uzbrukumÄ izmantotÄs ļaunprogrammatÅ«ras analÄ«zi, mÄs varÄjÄm noteikt tÄs funkcionalitÄti un iegÅ«t vispilnÄ«gÄko kompromitÄÅ”anas indikatoru sarakstu, kas attiecas uz Å”o gadÄ«jumu. Izpratne par tÄ«kla mijiedarbÄ«bas mehÄnismu starp ļaunprÄtÄ«gu programmatÅ«ru ļÄva sniegt ieteikumus informÄcijas droŔības rÄ«ku darbÄ«bas pielÄgoÅ”anai, kÄ arÄ« rakstÄ«t stabilus IDS noteikumus.
GalvenÄs briesmas AÄ£ents Tesla piemÄram, DataStealer, jo tai nav jÄpiedalÄs sistÄmÄ vai jÄgaida vadÄ«bas komanda, lai veiktu savus uzdevumus. Kad tas ir iekÄrtÄ, tas nekavÄjoties sÄk vÄkt privÄto informÄciju un pÄrsÅ«ta to uz CnC. Å Ä« agresÄ«vÄ uzvedÄ«ba savÄ ziÅÄ ir lÄ«dzÄ«ga izspiedÄjprogrammatÅ«ras uzvedÄ«bai, ar vienÄ«go atŔķirÄ«bu, ka pÄdÄjai pat nav nepiecieÅ”ams tÄ«kla savienojums. Ja sastopaties ar Å”o Ä£imeni, pÄc inficÄtÄs sistÄmas attÄ«rÄ«Å”anas no paÅ”as ļaunprogrammatÅ«ras noteikti jÄnomaina visas paroles, kuras vismaz teorÄtiski varÄtu saglabÄt kÄdÄ no iepriekÅ” minÄtajÄm aplikÄcijÄm.
Skatoties uz priekÅ”u, pieÅemsim, ka uzbrucÄji sÅ«ta AÄ£ents Tesla, sÄkotnÄjais sÄknÄÅ”anas ielÄdÄtÄjs tiek mainÄ«ts ļoti bieži. Tas ļauj uzbrukuma laikÄ palikt nepamanÄ«tiem statiskajiem skeneriem un heiristiskajiem analizatoriem. Un Ŕīs Ä£imenes tieksme nekavÄjoties sÄkt savu darbÄ«bu padara sistÄmu monitorus nederÄ«gus. LabÄkais veids, kÄ cÄ«nÄ«ties ar AgentTesla, ir sÄkotnÄjÄ analÄ«ze smilÅ”u kastÄ.
TreÅ”ajÄ Å”Ä«s sÄrijas rakstÄ apskatÄ«sim citus izmantotos sÄknÄÅ”anas ielÄdÄtÄjus AÄ£ents Tesla, kÄ arÄ« izpÄtÄ«t to pusautomÄtiskÄs izpakoÅ”anas procesu. Nepalaid garÄm!
Saputrot
| SHA1 |
| A8C2765B3D655BA23886D663D22BDD8EF6E8E894 |
| 8010CC2AF398F9F951555F7D481CE13DF60BBECF |
| 79B445DE923C92BF378B19D12A309C0E9C5851BF |
| 15839B7AB0417FA35F2858722F0BD47BDF840D62 |
| 1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD |
C&C
| URL |
| sina-c0m[.]icu |
| smtp[.]sina-c0m[.]icu |
RegKey
| reģistra |
| HKCUSoftwareMicrosoftWindowsCurrentVersionRun{skripta nosaukums} |
| HKCUSoftwareMicrosoftWindows CurrentVersionRun%insregname% |
| HKCUSOFTWAREMicrosoftWindows CurrentVersionExplorerStartupApprovedRun%insregname% |
Mutex
RÄdÄ«tÄju nav.
faili
| Failu darbība |
| %Temp%temp.tmp |
| %startupfolder%%insfolder%%insname% |
| %Temp%tmpG{PaÅ”reizÄjais laiks milisekundÄs}.tmp |
| %Temp%log.tmp |
| %AppData%{Patvaļīga 10 rakstzīmju secība}.jpeg |
| C:UsersPublic{Patvaļīga 10 rakstzīmju secība}.vbs |
| %Temp%{PielÄgotÄs mapes nosaukums}{Faila nosaukums} |
InformÄcija par paraugiem
| VÄrds | nezinÄms |
| MD5 | F7722DD8660B261EA13B710062B59C43 |
| SHA1 | 15839B7AB0417FA35F2858722F0BD47BDF840D62 |
| SHA256 | 41DC0D5459F25E2FDCF8797948A7B315D3CB0753 98D808D1772CACCC726AF6E9 |
| tips | PE (.NET) |
| IzmÄri | 327680 |
| OriginalName | AZZRIDKGGSLTYFUUBCCRRCUMRKTOXFVPDKGAGPUZI_20190701133545943.exe |
| Datuma zīmogs | 01.07.2019 |
| Kompilators | VB.NET |
| VÄrds | IELibrary.dll |
| MD5 | BFB160A89F4A607A60464631ED3ED9FD |
| SHA1 | 1C981EF3EEA8548A30E8D7BF8D0D61F9224288DD |
| SHA256 | D55800A825792F55999ABDAD199DFA54F3184417 215A298910F2C12CD9CC31EE |
| tips | PE (.NET DLL) |
| IzmÄri | 16896 |
| OriginalName | IELibrary.dll |
| Datuma zīmogs | 11.10.2016 |
| Kompilators | Microsoft Linker (48.0*) |
Avots: www.habr.com