ΠΡΠΎΠΉ ΡΡΠ°ΡΡΠ΅ΠΉ ΠΌΡ Π·Π°Π²Π΅ΡΡΠ°Π΅ΠΌ ΡΠΈΠΊΠ» ΠΏΡΠ±Π»ΠΈΠΊΠ°ΡΠΈΠΉ, ΠΏΠΎΡΠ²ΡΡΠ΅Π½Π½ΡΡ
Π°Π½Π°Π»ΠΈΠ·Ρ Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΏΡΠΎΠ³ΡΠ°ΠΌΠΌΠ½ΠΎΠ³ΠΎ ΠΎΠ±Π΅ΡΠΏΠ΅ΡΠ΅Π½ΠΈΡ. Π
Π‘Π΅Π³ΠΎΠ΄Π½Ρ ΠΠ»ΡΡ ΠΠΎΠΌΠ΅ΡΠ°Π½ΡΠ΅Π², ΡΠΏΠ΅ΡΠΈΠ°Π»ΠΈΡΡ ΠΏΠΎ Π°Π½Π°Π»ΠΈΠ·Ρ Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΊΠΎΠ΄Π° CERT Group-IB, ΡΠ°ΡΡΠΊΠ°ΠΆΠ΅Ρ ΠΎ ΠΏΠ΅ΡΠ²ΠΎΠΌ ΡΡΠ°ΠΏΠ΅ Π°Π½Π°Π»ΠΈΠ·Π° ΠΠΠ β ΠΏΠΎΠ»ΡΠ°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ΅ΡΠΊΠΎΠΉ ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²ΠΊΠ΅ ΡΡΠΌΠΏΠ»ΠΎΠ² AgentTesla Π½Π° ΠΏΡΠΈΠΌΠ΅ΡΠ΅ ΡΡΠ΅Ρ
ΠΌΠΈΠ½ΠΈ-ΠΊΠ΅ΠΉΡΠΎΠ² ΠΈΠ· ΠΏΡΠ°ΠΊΡΠΈΠΊΠΈ ΡΠΏΠ΅ΡΠΈΠ°Π»ΠΈΡΡΠΎΠ² CERT Group-IB.
ΠΠ±ΡΡΠ½ΠΎ ΠΏΠ΅ΡΠ²Π°Ρ ΡΡΠ°Π΄ΠΈΡ ΠΏΡΠΈ Π°Π½Π°Π»ΠΈΠ·Π΅ ΠΠΠ β ΡΠ½ΡΡΠΈΠ΅ Π·Π°ΡΠΈΡΡ Π² Π²ΠΈΠ΄Π΅ ΠΏΠ°ΠΊΠ΅ΡΠ°, ΠΊΡΠΈΠΏΡΠΎΡΠ°, ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡΠ° ΠΈΠ»ΠΈ Π·Π°Π³ΡΡΠ·ΡΠΈΠΊΠ°. Π Π±ΠΎΠ»ΡΡΠΈΠ½ΡΡΠ²Π΅ ΡΠ»ΡΡΠ°Π΅Π² ΡΡΠ° ΠΏΡΠΎΠ±Π»Π΅ΠΌΠ° ΡΠ΅ΡΠ°Π΅ΡΡΡ Π·Π°ΠΏΡΡΠΊΠΎΠΌ ΠΠΠ ΠΈ Π²ΡΠΏΠΎΠ»Π½Π΅Π½ΠΈΠ΅ΠΌ Π΄Π°ΠΌΠΏΠ°, ΠΎΠ΄Π½Π°ΠΊΠΎ ΡΡΡΠ΅ΡΡΠ²ΡΡΡ ΡΠΈΡΡΠ°ΡΠΈΠΈ, ΠΊΠΎΠ³Π΄Π° ΡΡΠΎΡ ΠΌΠ΅ΡΠΎΠ΄ Π½Π΅ ΠΏΠΎΠ΄Ρ ΠΎΠ΄ΠΈΡ. ΠΠ°ΠΏΡΠΈΠΌΠ΅Ρ, Π΅ΡΠ»ΠΈ ΠΠΠ ΡΠ²Π»ΡΠ΅ΡΡΡ ΡΠΈΡΡΠΎΠ²Π°Π»ΡΡΠΈΠΊΠΎΠΌ, Π΅ΡΠ»ΠΈ ΠΎΠ½ΠΎ Π·Π°ΡΠΈΡΠ°Π΅Ρ ΡΠ²ΠΎΠΈ ΡΠ΅Π³ΠΈΠΎΠ½Ρ ΠΏΠ°ΠΌΡΡΠΈ ΠΎΡ Π΄Π°ΠΌΠΏΠ°, Π΅ΡΠ»ΠΈ Π² ΠΊΠΎΠ΄Π΅ ΠΏΡΠΈΡΡΡΡΡΠ²ΡΡΡ ΠΌΠ΅Ρ Π°Π½ΠΈΠ·ΠΌΡ ΠΎΠ±Π½Π°ΡΡΠΆΠ΅Π½ΠΈΡ Π²ΠΈΡΡΡΠ°Π»ΡΠ½ΠΎΠΉ ΠΌΠ°ΡΠΈΠ½Ρ ΠΈΠ»ΠΈ Π΅ΡΠ»ΠΈ ΡΡΠ°Π·Ρ ΠΏΠΎΡΠ»Π΅ ΡΡΠ°ΡΡΠ° ΠΠΠ Π²ΡΠΏΠΎΠ»Π½ΡΠ΅Ρ ΠΏΠ΅ΡΠ΅Π·Π°Π³ΡΡΠ·ΠΊΡ. Π ΡΠ°ΠΊΠΈΡ ΡΠ»ΡΡΠ°ΡΡ ΠΏΡΠΈΠΌΠ΅Π½ΡΠ΅ΡΡΡ ΡΠ°ΠΊ Π½Π°Π·ΡΠ²Π°Π΅ΠΌΠ°Ρ Β«ΠΏΠΎΠ»ΡΠ°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ΅ΡΠΊΠ°ΡΒ» ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²ΠΊΠ°, ΡΠΎ Π΅ΡΡΡ ΠΈΡΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»Ρ ΠΏΠΎΠ»Π½ΠΎΡΡΡΡ ΠΊΠΎΠ½ΡΡΠΎΠ»ΠΈΡΡΠ΅Ρ ΠΏΡΠΎΡΠ΅ΡΡ ΠΈ ΠΌΠΎΠΆΠ΅Ρ Π² Π»ΡΠ±ΠΎΠΉ ΠΌΠΎΠΌΠ΅Π½Ρ Π²ΠΌΠ΅ΡΠ°ΡΡΡΡ. Π Π°ΡΡΠΌΠΎΡΡΠΈΠΌ ΡΡΡ ΠΏΡΠΎΡΠ΅Π΄ΡΡΡ Π½Π° ΠΏΡΠΈΠΌΠ΅ΡΠ΅ ΡΡΠ΅Ρ ΡΡΠΌΠΏΠ»ΠΎΠ² ΡΠ΅ΠΌΠ΅ΠΉΡΡΠ²Π° AgentTesla. ΠΡΠΎ ΠΎΡΠ½ΠΎΡΠΈΡΠ΅Π»ΡΠ½ΠΎ Π±Π΅Π·Π²ΡΠ΅Π΄Π½ΠΎΠ΅ ΠΠΠ, Π΅ΡΠ»ΠΈ ΠΎΡΠΊΠ»ΡΡΠΈΡΡ Π΅ΠΌΡ Π΄ΠΎΡΡΡΠΏ ΠΊ ΡΠ΅ΡΠΈ.
Π‘ΡΠΌΠΏΠ» β1
ΠΡΡ ΠΎΠ΄Π½ΡΠΉ ΡΠ°ΠΉΠ» β ΡΡΠΎ Π΄ΠΎΠΊΡΠΌΠ΅Π½Ρ MS Word, ΠΊΠΎΡΠΎΡΡΠΉ ΡΠΊΡΠΏΠ»ΡΠ°ΡΠΈΡΡΠ΅Ρ ΡΡΠ·Π²ΠΈΠΌΠΎΡΡΡ CVE-2017-11882.
Π ΡΠ΅Π·ΡΠ»ΡΡΠ°ΡΠ΅ ΠΏΡΠΎΠΈΡΡ
ΠΎΠ΄ΠΈΡ Π·Π°Π³ΡΡΠ·ΠΊΠ° ΠΈ Π·Π°ΠΏΡΡΠΊ ΠΏΠ΅ΠΉΠ»ΠΎΠ°Π΄Π°.
ΠΠ½Π°Π»ΠΈΠ· Π΄Π΅ΡΠ΅Π²Π° ΠΏΡΠΎΡΠ΅ΡΡΠΎΠ² ΠΈ ΠΏΠΎΠ²Π΅Π΄Π΅Π½ΡΠ΅ΡΠΊΠΈΡ ΠΌΠ°ΡΠΊΠ΅ΡΠΎΠ² ΠΏΠΎΠΊΠ°Π·ΡΠ²Π°Π΅Ρ ΠΈΠ½ΠΆΠ΅ΠΊΡ Π² ΠΏΡΠΎΡΠ΅ΡΡ RegAsm.exe.
ΠΠΌΠ΅ΡΡΡΡ Ρ
Π°ΡΠ°ΠΊΡΠ΅ΡΠ½ΡΠ΅ Π΄Π»Ρ AgentTesla ΠΏΠΎΠ²Π΅Π΄Π΅Π½ΡΠ΅ΡΠΊΠΈΠ΅ ΠΌΠ°ΡΠΊΠ΅ΡΡ.
Π‘ΠΊΠ°ΡΠ°Π½Π½ΡΠΉ ΡΡΠΌΠΏΠ» β ΡΡΠΎ ΠΈΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΡΠΉ .NET-ΡΠ°ΠΉΠ», Π·Π°ΡΠΈΡΠ΅Π½Π½ΡΠΉ ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡΠΎΠΌ .NET Reactor.
ΠΡΠΊΡΠΎΠ΅ΠΌ Π΅Π³ΠΎ Π² ΡΡΠΈΠ»ΠΈΡΠ΅ dnSpy x86 ΠΈ ΠΏΠ΅ΡΠ΅ΠΉΠ΄Π΅ΠΌ ΠΊ ΡΠΎΡΠΊΠ΅ Π²Ρ
ΠΎΠ΄Π°.
ΠΠ΅ΡΠ΅ΠΉΠ΄Ρ Π² ΡΡΠ½ΠΊΡΠΈΡ DateTimeOffset, ΠΌΡ ΠΎΠ±Π½Π°ΡΡΠΆΠΈΠΌ ΠΊΠΎΠ΄ ΠΈΠ½ΠΈΡΠΈΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ Π½ΠΎΠ²ΠΎΠ³ΠΎ .NET-ΠΌΠΎΠ΄ΡΠ»Ρ. ΠΠΎΡΡΠ°Π²ΠΈΠΌ indawo yokuqhekeza Π½Π° ΠΈΠ½ΡΠ΅ΡΠ΅ΡΡΡΡΠ΅ΠΉ Π½Π°Ρ ΡΡΡΠΎΠΊΠ΅ ΠΈ Π·Π°ΠΏΡΡΡΠΈΠΌ ΡΠ°ΠΉΠ».
Π ΠΎΠ΄Π½ΠΎΠΌ ΠΈΠ· Π²ΠΎΠ·Π²ΡΠ°ΡΠ΅Π½Π½ΡΡ
Π±ΡΡΠ΅ΡΠΎΠ² ΠΌΠΎΠΆΠ½ΠΎ ΡΠ²ΠΈΠ΄Π΅ΡΡ MZ-ΡΠΈΠ³Π½Π°ΡΡΡΡ (0x4D 0x5A). Π‘ΠΎΡ
ΡΠ°Π½ΡΠ΅ΠΌ Π΅Π³ΠΎ.
Π‘Π΄Π°ΠΌΠΏΠ»Π΅Π½Π½ΡΠΉ ΠΈΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΡΠΉ ΡΠ°ΠΉΠ» β ΡΡΠΎ Π΄ΠΈΠ½Π°ΠΌΠΈΡΠ΅ΡΠΊΠ°Ρ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°, ΠΊΠΎΡΠΎΡΠ°Ρ ΡΠ²Π»ΡΠ΅ΡΡΡ Π»ΠΎΠ°Π΄Π΅ΡΠΎΠΌ, Ρ.Π΅. ΠΈΠ·Π²Π»Π΅ΠΊΠ°Π΅Ρ ΠΈΠ· ΡΠ΅ΠΊΡΠΈΠΈ ΡΠ΅ΡΡΡΡΠΎΠ² ΠΏΠΎΠ»Π΅Π·Π½ΡΡ Π½Π°Π³ΡΡΠ·ΠΊΡ ΠΈ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡ Π΅Π΅ Π·Π°ΠΏΡΡΠΊ.
ΠΡΠΈ ΡΡΠΎΠΌ ΡΠ°ΠΌΠΈ Π½Π΅ΠΎΠ±Ρ
ΠΎΠ΄ΠΈΠΌΡΠ΅ ΡΠ΅ΡΡΡΡΡ Π² Π΄Π°ΠΌΠΏΠ΅ ΠΎΡΡΡΡΡΡΠ²ΡΡΡ. ΠΠ½ΠΈ Π½Π°Ρ
ΠΎΠ΄ΡΡΡΡ Π² ΡΠΎΠ΄ΠΈΡΠ΅Π»ΡΡΠΊΠΎΠΌ ΡΡΠΌΠΏΠ»Π΅.
Uncedo dnSpy ΠΎΠ±Π»Π°Π΄Π°Π΅Ρ Π΄Π²ΡΠΌΡ ΠΊΡΠ°ΠΉΠ½Π΅ ΠΏΠΎΠ»Π΅Π·Π½ΡΠΌΠΈ ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π»ΡΠ½ΡΠΌΠΈ Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΡΠΌΠΈ, ΠΊΠΎΡΠΎΡΡΠ΅ ΠΏΠΎΠΌΠΎΠ³ΡΡ Π½Π°ΠΌ Π΄ΠΎΠ²ΠΎΠ»ΡΠ½ΠΎ Π±ΡΡΡΡΠΎ ΡΠΎΠ·Π΄Π°ΡΡ Β«ΡΡΠ°Π½ΠΊΠ΅Π½ΡΡΠ΅ΠΉΠ½Π°Β» ΠΈΠ· Π΄Π²ΡΡ ΡΠ²ΡΠ·Π°Π½Π½ΡΡ ΡΠ°ΠΉΠ»ΠΎΠ².
- ΠΠ΅ΡΠ²Π°Ρ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ Β«Π²ΠΊΠ»Π΅ΠΈΡΡΒ» Π² ΡΠΎΠ΄ΠΈΡΠ΅Π»ΡΡΠΊΠΈΠΉ ΡΡΠΌΠΏΠ» Π΄ΠΈΠ½Π°ΠΌΠΈΡΠ΅ΡΠΊΡΡ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΡ.
- ΠΡΠΎΡΠ°Ρ β ΠΏΠ΅ΡΠ΅ΠΏΠΈΡΠ°ΡΡ ΠΊΠΎΠ΄ ΡΡΠ½ΠΊΡΠΈΠΈ Ρ ΡΠΎΡΠΊΠΈ Π²Ρ ΠΎΠ΄Π°, ΡΡΠΎΠ±Ρ Π²ΡΠ·Π²Π°ΡΡ Π½ΡΠΆΠ½ΡΠΉ ΠΌΠ΅ΡΠΎΠ΄ Π²ΡΡΠ°Π²Π»Π΅Π½Π½ΠΎΠΉ Π΄ΠΈΠ½Π°ΠΌΠΈΡΠ΅ΡΠΊΠΎΠΉ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠΈ.
Π‘ΠΎΡ ΡΠ°Π½ΡΠ΅ΠΌ Π½Π°ΡΠ΅Π³ΠΎ Β«ΡΡΠ°Π½ΠΊΠ΅Π½ΡΡΠ΅ΠΉΠ½Π°Β», ΡΡΠ°Π²ΠΈΠΌ indawo yokuqhekeza Π½Π° ΡΡΡΠΎΠΊΠ΅, Π²ΠΎΠ·Π²ΡΠ°ΡΠ°ΡΡΠ΅ΠΉ Π±ΡΡΠ΅Ρ Ρ Π΄Π΅ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠΌΠΈ ΡΠ΅ΡΡΡΡΠ°ΠΌΠΈ, ΠΈ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΠΌ Π΄Π°ΠΌΠΏ ΠΏΠΎ Π°Π½Π°Π»ΠΎΠ³ΠΈΠΈ Ρ ΠΏΡΠ΅Π΄ΡΠ΄ΡΡΠΈΠΌ ΡΡΠ°ΠΏΠΎΠΌ.
ΠΡΠΎΡΠΎΠΉ Π΄Π°ΠΌΠΏ β ΡΡΠΎ Π½Π°ΠΏΠΈΡΠ°Π½Π½ΡΠΉ Π½Π° I-VB.NET ΠΈΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΡΠΉ ΡΠ°ΠΉΠ», ΠΊΠΎΡΠΎΡΡΠΉ Π·Π°ΡΠΈΡΠ΅Π½ Π·Π½Π°ΠΊΠΎΠΌΡΠΌ Π½Π°ΠΌ ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡΠΎΠΌ ConfuserEx.
ΠΠΎΡΠ»Π΅ ΡΠ½ΡΡΠΈΡ ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡΠ° ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌ Π½Π°ΠΏΠΈΡΠ°Π½Π½ΡΠ΅ ΡΠ°Π½Π΅Π΅ YARA-ΠΏΡΠ°Π²ΠΈΠ»Π° ΠΈ ΡΠ±Π΅Π΄ΠΈΠΌΡΡ Π² ΡΠΎΠΌ, ΡΡΠΎ ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²Π°Π½Π½ΠΎΠ΅ ΠΠΠ β Π΄Π΅ΠΉΡΡΠ²ΠΈΡΠ΅Π»ΡΠ½ΠΎ AgentTesla.
Π‘ΡΠΌΠΏΠ» β2
ΠΡΡ ΠΎΠ΄Π½ΡΠΉ ΡΠ°ΠΉΠ» β Π΄ΠΎΠΊΡΠΌΠ΅Π½Ρ MS Excel. Π ΠΈΡΠΏΠΎΠ»Π½Π΅Π½ΠΈΡ Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΊΠΎΠ΄Π° ΠΏΡΠΈΠ²ΠΎΠ΄ΠΈΡ Π²ΡΡΡΠΎΠ΅Π½Π½ΡΠΉ ΠΌΠ°ΠΊΡΠΎΡ.
Π ΡΠ΅Π·ΡΠ»ΡΡΠ°ΡΠ΅ Π·Π°ΠΏΡΡΠΊΠ°Π΅ΡΡΡ PowerShell-ΡΠΊΡΠΈΠΏΡ.
Π‘ΠΊΡΠΈΠΏΡ Π΄Π΅ΡΠΈΡΡΡΠ΅Ρ ΠΊΠΎΠ΄ Π½Π° C# ΠΈ ΠΏΠ΅ΡΠ΅Π΄Π°Π΅Ρ Π΅ΠΌΡ ΡΠΏΡΠ°Π²Π»Π΅Π½ΠΈΠ΅. Π‘Π°ΠΌ ΠΊΠΎΠ΄ ΡΠ²Π»ΡΠ΅ΡΡΡ Π·Π°Π³ΡΡΠ·ΡΠΈΠΊΠΎΠΌ, ΡΡΠΎ ΡΠ°ΠΊΠΆΠ΅ Π²ΠΈΠ΄Π½ΠΎ ΠΈΠ· ΠΎΡΡΠ΅ΡΠ° ΠΏΠ΅ΡΠΎΡΠ½ΠΈΡΡ.
ΠΠΎΠ»Π΅Π·Π½Π°Ρ Π½Π°Π³ΡΡΠ·ΠΊΠ° ΠΏΡΠ΅Π΄ΡΡΠ°Π²Π»ΡΠ΅Ρ ΡΠΎΠ±ΠΎΠΉ ΠΈΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΡΠΉ .NET-ΡΠ°ΠΉΠ».
ΠΡΠΊΡΡΠ² ΡΠ°ΠΉΠ» Π² dnSpy x86, ΠΌΠΎΠΆΠ½ΠΎ ΡΠ²ΠΈΠ΄Π΅ΡΡ, ΡΡΠΎ ΠΎΠ½ ΠΎΠ±ΡΡΡΡΠΈΡΠΎΠ²Π°Π½. Π‘Π½ΠΈΠΌΠ°Π΅ΠΌ ΠΎΠ±ΡΡΡΠΊΠ°ΡΠΈΡ ΡΡΠΈΠ»ΠΈΡΠΎΠΉ de4dot ΠΈ Π²ΠΎΠ·Π²ΡΠ°ΡΠ°Π΅ΠΌΡΡ ΠΊ Π°Π½Π°Π»ΠΈΠ·Ρ.
Π Ρ ΠΎΠ΄Π΅ ΠΈΡΡΠ»Π΅Π΄ΠΎΠ²Π°Π½ΠΈΡ ΠΊΠΎΠ΄Π° ΠΌΠΎΠΆΠ½ΠΎ ΠΎΠ±Π½Π°ΡΡΠΆΠΈΡΡ ΡΠ»Π΅Π΄ΡΡΡΡΡ ΡΡΠ½ΠΊΡΠΈΡ:
Π Π³Π»Π°Π·Π° Π±ΡΠΎΡΠ°ΡΡΡΡ Π·Π°ΠΊΠΎΠ΄ΠΈΡΠΎΠ²Π°Π½Π½ΡΠ΅ ΡΡΡΠΎΠΊΠΈ Indawo yokungena ΠΈ Cenga. Π‘ΡΠ°Π²ΠΈΠΌ indawo yokuqhekeza Π½Π° ΠΏΠ΅ΡΠ²ΡΡ ΡΡΡΠΎΠΊΡ, Π·Π°ΠΏΡΡΠΊΠ°Π΅ΠΌ ΠΈ ΡΠΎΡ
ΡΠ°Π½ΡΠ΅ΠΌ Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅ Π±ΡΡΠ΅ΡΠ° byte_0.
ΠΠ°ΠΌΠΏ Π²Π½ΠΎΠ²Ρ ΡΠ²Π»ΡΠ΅ΡΡΡ ΠΏΡΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠ΅ΠΌ Π½Π° .NET ΠΈ Π·Π°ΡΠΈΡΠ΅Π½ ConfuserEx.
Π‘Π½ΠΈΠΌΠ°Π΅ΠΌ ΠΎΠ±ΡΡΡΠΊΠ°ΡΠΈΡ Ρ ΠΏΠΎΠΌΠΎΡΡΡ de4dot ΠΈ Π·Π°Π³ΡΡΠΆΠ°Π΅ΠΌ Π² dnSpy. ΠΠ· ΠΎΠΏΠΈΡΠ°Π½ΠΈΡ ΡΠ°ΠΉΠ»Π° ΠΏΠΎΠ½ΠΈΠΌΠ°Π΅ΠΌ, ΡΡΠΎ ΡΡΠΎΠ»ΠΊΠ½ΡΠ»ΠΈΡΡ Ρ CyaX-Sharp loader.
ΠΡΠΎΡ Π·Π°Π³ΡΡΠ·ΡΠΈΠΊ ΠΎΠ±Π»Π°Π΄Π°Π΅Ρ ΠΎΠ±ΡΠΈΡΠ½ΡΠΌ ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π»ΠΎΠΌ Π΄Π»Ρ ΠΏΡΠΎΡΠΈΠ²ΠΎΠ΄Π΅ΠΉΡΡΠ²ΠΈΡ Π°Π½Π°Π»ΠΈΠ·Ρ.
ΠΡΠΎΡ ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π» Π²ΠΊΠ»ΡΡΠ°Π΅Ρ ΠΎΠ±Ρ
ΠΎΠ΄ Π²ΡΡΡΠΎΠ΅Π½Π½ΡΡ
ΡΠΈΡΡΠ΅ΠΌ Π·Π°ΡΠΈΡΡ Windows, ΠΎΡΠΊΠ»ΡΡΠ΅Π½ΠΈΠ΅ Windows Defender, Π° ΡΠ°ΠΊΠΆΠ΅ ΠΌΠ΅Ρ
Π°Π½ΠΈΠ·ΠΌΡ ΠΎΠ±Π½Π°ΡΡΠΆΠ΅Π½ΠΈΡ ΠΏΠ΅ΡΠΎΡΠ½ΠΈΡ ΠΈ Π²ΠΈΡΡΡΠ°Π»ΡΠ½ΡΡ
ΠΌΠ°ΡΠΈΠ½. ΠΡΡΡ Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΡ ΠΏΠΎΠ΄Π³ΡΡΠΆΠ°ΡΡ ΠΏΠΎΠ»Π΅Π·Π½ΡΡ Π½Π°Π³ΡΡΠ·ΠΊΡ ΠΈΠ· ΡΠ΅ΡΠΈ ΠΈΠ»ΠΈ Ρ
ΡΠ°Π½ΠΈΡΡ Π΅Π΅ Π² ΡΠ΅ΠΊΡΠΈΠΈ ΡΠ΅ΡΡΡΡΠΎΠ². ΠΠ°ΠΏΡΡΠΊ Π²ΡΠΏΠΎΠ»Π½ΡΠ΅ΡΡΡ ΡΠ΅ΡΠ΅Π· ΠΈΠ½ΠΆΠ΅ΠΊΡ Π² ΡΠΎΠ±ΡΡΠ²Π΅Π½Π½ΡΠΉ ΠΏΡΠΎΡΠ΅ΡΡ, Π² Π΄ΡΠ±Π»ΠΈΠΊΠ°Ρ ΡΠΎΠ±ΡΡΠ²Π΅Π½Π½ΠΎΠ³ΠΎ ΠΏΡΠΎΡΠ΅ΡΡΠ° ΠΈΠ»ΠΈ ΠΆΠ΅ Π² ΠΏΡΠΎΡΠ΅ΡΡΡ MSBuild.exe, vbc.exe ΠΈ RegSvcs.exe Π² Π·Π°Π²ΠΈΡΠΈΠΌΠΎΡΡΠΈ ΠΎΡ Π²ΡΠ±ΡΠ°Π½Π½ΠΎΠ³ΠΎ Π·Π»ΠΎΡΠΌΡΡΠ»Π΅Π½Π½ΠΈΠΊΠΎΠΌ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠ°.
ΠΠ΄Π½Π°ΠΊΠΎ Π΄Π»Ρ Π½Π°Ρ ΠΎΠ½ΠΈ ΠΌΠ΅Π½Π΅Π΅ ΡΡΡΠ΅ΡΡΠ²Π΅Π½Π½Ρ, ΡΠ΅ΠΌ AntiDump-ΡΡΠ½ΠΊΡΠΈΡ, ΠΊΠΎΡΠΎΡΡΡ Π΄ΠΎΠ±Π°Π²Π»ΡΠ΅Ρ ConfuserEx. ΠΠ΅ ΠΈΡΡ
ΠΎΠ΄Π½ΡΠΉ ΠΊΠΎΠ΄ ΠΌΠΎΠΆΠ½ΠΎ Π½Π°ΠΉΡΠΈ Π½Π°
ΠΠ»Ρ ΠΎΡΠΊΠ»ΡΡΠ΅Π½ΠΈΡ Π·Π°ΡΠΈΡΡ Π²ΠΎΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΡΡ Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΡΡ dnSpy, ΠΊΠΎΡΠΎΡΠ°Ρ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ ΡΠ΅Π΄Π°ΠΊΡΠΈΡΠΎΠ²Π°ΡΡ IL-ikhowudi.
Π‘ΠΎΡ
ΡΠ°Π½ΡΠ΅ΠΌΡΡ ΠΈ ΡΡΠ°Π²ΠΈΠΌ indawo yokuqhekeza Π½Π° ΡΡΡΠΎΠΊΡ Π²ΡΠ·ΠΎΠ²Π° ΡΡΠ½ΠΊΡΠΈΠΈ Π΄Π΅ΡΠΈΡΡΠΎΠ²ΠΊΠΈ ΠΏΠΎΠ»Π΅Π·Π½ΠΎΠΉ Π½Π°Π³ΡΡΠ·ΠΊΠΈ. ΠΠ½Π° Π½Π°Ρ
ΠΎΠ΄ΠΈΡΡΡ Π² ΠΊΠΎΠ½ΡΡΡΡΠΊΡΠΎΡΠ΅ ΠΎΡΠ½ΠΎΠ²Π½ΠΎΠ³ΠΎ ΠΊΠ»Π°ΡΡΠ°.
ΠΠ°ΠΏΡΡΠΊΠ°Π΅ΠΌ ΠΈ Π΄Π°ΠΌΠΏΠΈΠΌ ΠΏΠΎΠ»Π΅Π·Π½ΡΡ Π½Π°Π³ΡΡΠ·ΠΊΡ. ΠΡΠΏΠΎΠ»ΡΠ·ΡΡ ΡΠ°Π½Π΅Π΅ Π½Π°ΠΏΠΈΡΠ°Π½Π½ΡΠ΅ YARA-ΠΏΡΠ°Π²ΠΈΠ»Π°, ΡΠ±Π΅ΠΆΠ΄Π°Π΅ΠΌΡΡ, ΡΡΠΎ ΠΏΠ΅ΡΠ΅Π΄ Π½Π°ΠΌΠΈ AgentTesla.
Π‘ΡΠΌΠΏΠ» β3
ΠΡΡ ΠΎΠ΄Π½ΡΠΉ ΡΠ°ΠΉΠ» β ΡΡΠΎ ΠΈΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΡΠΉ VB Native PE32-ΡΠ°ΠΉΠ».
ΠΠ½Π°Π»ΠΈΠ· ΡΠ½ΡΡΠΎΠΏΠΈΠΈ ΠΏΠΎΠΊΠ°Π·ΡΠ²Π°Π΅Ρ Π½Π°Π»ΠΈΡΠΈΠ΅ Π±ΠΎΠ»ΡΡΠΎΠ³ΠΎ ΡΡΠ°Π³ΠΌΠ΅Π½ΡΠ° Π·Π°ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΡ
Π΄Π°Π½Π½ΡΡ
.
ΠΡΠΈ Π°Π½Π°Π»ΠΈΠ·Π΅ ΡΠΎΡΠΌΡ ΠΏΡΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΡ Π² VB Decompiler ΠΌΠΎΠΆΠ½ΠΎ Π·Π°ΠΌΠ΅ΡΠΈΡΡ ΡΡΡΠ°Π½Π½ΡΠΉ ΠΏΠΈΠΊΡΠ΅Π»ΡΠ½ΡΠΉ ΡΠΎΠ½.
ΠΡΠ°ΡΠΈΠΊ ΡΠ½ΡΡΠΎΠΏΠΈΠΈ bmp-ΠΊΠ°ΡΡΠΈΠ½ΠΊΠΈ ΠΈΠ΄Π΅Π½ΡΠΈΡΠ΅Π½ Π³ΡΠ°ΡΠΈΠΊΡ ΡΠ½ΡΡΠΎΠΏΠΈΠΈ ΠΈΡΡ
ΠΎΠ΄Π½ΠΎΠ³ΠΎ ΡΠ°ΠΉΠ»Π°, Π° ΡΠ°Π·ΠΌΠ΅Ρ ΡΠΎΡΡΠ°Π²Π»ΡΠ΅Ρ 85% ΠΎΡ ΡΠ°Π·ΠΌΠ΅ΡΠ° ΡΠ°ΠΉΠ»Π°.
ΠΠ±ΡΠΈΠΉ Π²ΠΈΠ΄ ΠΈΠ·ΠΎΠ±ΡΠ°ΠΆΠ΅Π½ΠΈΡ ΡΠ²ΠΈΠ΄Π΅ΡΠ΅Π»ΡΡΡΠ²ΡΠ΅Ρ ΠΎΠ± ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π½ΠΈΠΈ ΡΡΠ΅Π³Π°Π½ΠΎΠ³ΡΠ°ΡΠΈΠΈ.
ΠΠ±ΡΠ°ΡΠΈΠΌ Π²Π½ΠΈΠΌΠ°Π½ΠΈΠ΅ Π½Π° Π²ΠΈΠ΄ Π΄Π΅ΡΠ΅Π²Π° ΠΏΡΠΎΡΠ΅ΡΡΠΎΠ², Π° ΡΠ°ΠΊΠΆΠ΅ Π½Π° Π½Π°Π»ΠΈΡΠΈΠ΅ ΠΌΠ°ΡΠΊΠ΅ΡΠ° ΠΈΠ½ΠΆΠ΅ΠΊΡΠ°.
ΠΡΠΎ Π³ΠΎΠ²ΠΎΡΠΈΡ ΠΎ Π²ΡΠΏΠΎΠ»Π½Π΅Π½ΠΈΠΈ ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²ΠΊΠΈ. ΠΠ»Ρ Π·Π°Π³ΡΡΠ·ΡΠΈΠΊΠΎΠ² Π½Π° Visual Basic (ΠΎΠ½ΠΈ ΠΆΠ΅ VBKrypt okanye VBInjector) Ρ
Π°ΡΠ°ΠΊΡΠ΅ΡΠ½ΠΎ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π½ΠΈΠ΅ shellcode Π΄Π»Ρ ΠΈΠ½ΠΈΡΠΈΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ ΠΏΠΎΠ»Π΅Π·Π½ΠΎΠΉ Π½Π°Π³ΡΡΠ·ΠΊΠΈ, Π° ΡΠ°ΠΊΠΆΠ΅ Π΄Π»Ρ Π²ΡΠΏΠΎΠ»Π½Π΅Π½ΠΈΡ ΡΠ°ΠΌΠΎΠ³ΠΎ ΠΈΠ½ΠΆΠ΅ΠΊΡΠ°.
ΠΠ½Π°Π»ΠΈΠ· Π² VB Decompiler ΠΏΠΎΠΊΠ°Π·Π°Π» Π½Π°Π»ΠΈΡΠΈΠ΅ ΡΠΎΠ±ΡΡΠΈΡ umthwalo Ρ ΡΠΎΡΠΌΡ FegatassocAirballoon2.
ΠΠ΅ΡΠ΅ΠΉΠ΄Π΅ΠΌ Π² IDA pro ΠΏΠΎ ΡΠΊΠ°Π·Π°Π½Π½ΠΎΠΌΡ Π°Π΄ΡΠ΅ΡΡ ΠΈ ΠΈΠ·ΡΡΠΈΠΌ ΡΡΠ½ΠΊΡΠΈΡ. ΠΠΎΠ΄ ΡΠΈΠ»ΡΠ½ΠΎ ΠΎΠ±ΡΡΡΡΠΈΡΠΎΠ²Π°Π½. Π€ΡΠ°Π³ΠΌΠ΅Π½Ρ, ΠΊΠΎΡΠΎΡΡΠΉ Π½Π°Ρ ΠΈΠ½ΡΠ΅ΡΠ΅ΡΡΠ΅Ρ, ΠΏΡΠ΅Π΄ΡΡΠ°Π²Π»Π΅Π½ Π½ΠΈΠΆΠ΅.
ΠΠ΄Π΅ΡΡ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡΡΡ ΡΠΊΠ°Π½ΠΈΡΠΎΠ²Π°Π½ΠΈΠ΅ Π°Π΄ΡΠ΅ΡΠ½ΠΎΠ³ΠΎ ΠΏΡΠΎΡΡΡΠ°Π½ΡΡΠ²Π° ΠΏΡΠΎΡΠ΅ΡΡΠ° Π² ΠΏΠΎΠΈΡΠΊΠ°Ρ
ΡΠΈΠ³Π½Π°ΡΡΡΡ. Π’Π°ΠΊΠΎΠΉ ΠΏΠΎΠ΄Ρ
ΠΎΠ΄ ΠΊΡΠ°ΠΉΠ½Π΅ ΡΠΎΠΌΠ½ΠΈΡΠ΅Π»Π΅Π½.
ΠΠΎ-ΠΏΠ΅ΡΠ²ΡΡ , Π°Π΄ΡΠ΅Ρ Π½Π°ΡΠ°Π»Π° ΡΠΊΠ°Π½ΠΈΡΠΎΠ²Π°Π½ΠΈΡ 0x400100. ΠΡΠΎ Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅ ΡΡΠ°ΡΠΈΡΠ½ΠΎ ΠΈ Π½Π΅ ΠΊΠΎΡΡΠ΅ΠΊΡΠΈΡΡΠ΅ΡΡΡ ΠΏΡΠΈ ΡΠΌΠ΅ΡΠ΅Π½ΠΈΠΈ Π±Π°Π·Ρ. Π ΠΈΠ΄Π΅Π°Π»ΡΠ½ΡΡ ΡΠ΅ΠΏΠ»ΠΈΡΠ½ΡΡ ΡΡΠ»ΠΎΠ²ΠΈΡΡ ΠΎΠ½ Π±ΡΠ΄Π΅Ρ ΡΠΊΠ°Π·ΡΠ²Π°ΡΡ Π½Π° ΠΊΠΎΠ½Π΅Ρ PE-Π·Π°Π³ΠΎΠ»ΠΎΠ²ΠΊΠ° ΠΈΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΠΎΠ³ΠΎ ΡΠ°ΠΉΠ»Π°. ΠΠ΄Π½Π°ΠΊΠΎ Π±Π°Π·Π° Π½Π΅ ΡΡΠ°ΡΠΈΡΠ½Π°, Π΅Π΅ Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅ ΠΌΠΎΠΆΠ΅Ρ ΠΌΠ΅Π½ΡΡΡΡΡ, Π° ΠΏΠΎΠΈΡΠΊ ΡΠ΅Π°Π»ΡΠ½ΠΎΠ³ΠΎ Π°Π΄ΡΠ΅ΡΠ° ΠΈΡΠΊΠΎΠΌΠΎΠΉ ΡΠΈΠ³Π½Π°ΡΡΡΡ Ρ ΠΎΡΡ ΠΈ Π½Π΅ Π²ΡΠ·ΠΎΠ²Π΅Ρ ΠΏΠ΅ΡΠ΅ΠΏΠΎΠ»Π½Π΅Π½ΠΈΡ ΠΏΠ΅ΡΠ΅ΠΌΠ΅Π½Π½ΠΎΠΉ, Π½ΠΎ ΠΌΠΎΠΆΠ΅Ρ Π·Π°Π½ΡΡΡ ΠΎΡΠ΅Π½Ρ ΠΌΠ½ΠΎΠ³ΠΎ Π²ΡΠ΅ΠΌΠ΅Π½ΠΈ.
ΠΠΎ-Π²ΡΠΎΡΡΡ , Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅ ΡΠΈΠ³Π½Π°ΡΡΡΡ iWGK. ΠΡΠΌΠ°Ρ, ΠΎΡΠ΅Π²ΠΈΠ΄Π½ΠΎ, ΡΡΠΎ 4 Π±Π°ΠΉΡΠ° ΡΠ»ΠΈΡΠΊΠΎΠΌ ΠΌΠ°Π»ΠΎ, ΡΡΠΎΠ±Ρ Π³Π°ΡΠ°Π½ΡΠΈΡΠΎΠ²Π°ΡΡ ΡΠ½ΠΈΠΊΠ°Π»ΡΠ½ΠΎΡΡΡ. Π Π΅ΡΠ»ΠΈ ΡΡΠΈΡΡΠ²Π°ΡΡ ΠΏΠ΅ΡΠ²ΡΠΉ ΠΏΡΠ½ΠΊΡ, Π²Π΅ΡΠΎΡΡΠ½ΠΎΡΡΡ ΠΎΡΠΈΠ±ΠΈΡΡΡΡ Π΄ΠΎΠ²ΠΎΠ»ΡΠ½ΠΎ Π²ΡΡΠΎΠΊΠ°.
Π Π΄Π΅ΠΉΡΡΠ²ΠΈΡΠ΅Π»ΡΠ½ΠΎΡΡΠΈ ΠΈΡΠΊΠΎΠΌΡΠΉ ΡΡΠ°Π³ΠΌΠ΅Π½Ρ ΠΏΡΠΈΠΊΡΠ΅ΠΏΠ»Π΅Π½ ΠΊ ΠΊΠΎΠ½ΡΡ Π½Π°ΠΉΠ΄Π΅Π½Π½ΠΎΠΉ ΡΠ°Π½Π΅Π΅ bmp-ΠΊΠ°ΡΡΠΈΠ½ΠΊΠΈ ΠΏΠΎ ΡΠΌΠ΅ΡΠ΅Π½ΠΈΡ 0xA1D0D.
Intsebenzo Shellcode ΠΎΡΡΡΠ΅ΡΡΠ²Π»ΡΠ΅ΡΡΡ Π² Π΄Π²Π΅ ΡΡΠ°Π΄ΠΈΠΈ. ΠΠ΅ΡΠ²Π°Ρ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡ Π΄Π΅ΡΠΈΡΡΠΎΠ²ΠΊΡ ΠΎΡΠ½ΠΎΠ²Π½ΠΎΠ³ΠΎ ΡΠ΅Π»Π°. ΠΡΠΈ ΡΡΠΎΠΌ ΠΊΠ»ΡΡ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ΅ΡΡΡ ΠΏΠ΅ΡΠ΅Π±ΠΎΡΠΎΠΌ.
Π‘Π΄Π°ΠΌΠΏΠΈΠΌ Π΄Π΅ΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠΉ Shellcode ΠΈ ΠΏΠΎΡΠΌΠΎΡΡΠΈΠΌ Π½Π° ΡΡΡΠΎΠΊΠΈ.
ΠΠΎ-ΠΏΠ΅ΡΠ²ΡΡ , ΡΠ΅ΠΏΠ΅ΡΡ ΠΌΡ Π·Π½Π°Π΅ΠΌ ΡΡΠ½ΠΊΡΠΈΡ ΡΠΎΠ·Π΄Π°Π½ΠΈΡ Π΄ΠΎΡΠ΅ΡΠ½Π΅Π³ΠΎ ΠΏΡΠΎΡΠ΅ΡΡΠ°: CreateProcessInternalW.
ΠΠΎ-Π²ΡΠΎΡΡΡ
, Π½Π°ΠΌ ΡΡΠ°Π» ΠΈΠ·Π²Π΅ΡΡΠ΅Π½ ΠΌΠ΅Ρ
Π°Π½ΠΈΠ·ΠΌ Π·Π°ΠΊΡΠ΅ΠΏΠ»Π΅Π½ΠΈΡ Π² ΡΠΈΡΡΠ΅ΠΌΠ΅.
ΠΠ΅ΡΠ½Π΅ΠΌΡΡ ΠΊ ΠΈΡΡ
ΠΎΠ΄Π½ΠΎΠΌΡ ΠΏΡΠΎΡΠ΅ΡΡΡ. ΠΠΎΡΡΠ°Π²ΠΈΠΌ indawo yokuqhekeza phezu CreateProcessInternalW ΠΈ ΠΏΡΠΎΠ΄ΠΎΠ»ΠΆΠΈΠΌ Π²ΡΠΏΠΎΠ»Π½Π΅Π½ΠΈΠ΅. ΠΠ°Π»Π΅Π΅ Π½Π°Π±Π»ΡΠ΄Π°Π΅ΠΌ ΡΠ²ΡΠ·ΠΊΡ NtGetContextThread/NtSetContextThread, ΠΊΠΎΡΠΎΡΠ°Ρ ΠΌΠ΅Π½ΡΠ΅Ρ Π°Π΄ΡΠ΅Ρ Π½Π°ΡΠ°Π»Π° Π²ΡΠΏΠΎΠ»Π½Π΅Π½ΠΈΡ Π½Π° Π°Π΄ΡΠ΅Ρ Ikhowudi yeShell.
ΠΠΎΠ΄ΠΊΠ»ΡΡΠ°Π΅ΠΌΡΡ ΠΊ ΡΠΎΠ·Π΄Π°Π½Π½ΠΎΠΌΡ ΠΏΡΠΎΡΠ΅ΡΡΡ ΠΎΡΠ»Π°Π΄ΡΠΈΠΊΠΎΠΌ, Π°ΠΊΡΠΈΠ²ΠΈΡΡΠ΅ΠΌ ΡΠΎΠ±ΡΡΠΈΠ΅ Suspend on libraryu load/unload, Π²ΠΎΠ·ΠΎΠ±Π½ΠΎΠ²Π»ΡΠ΅ΠΌ ΠΏΡΠΎΡΠ΅ΡΡ ΠΈ Π΄ΠΎΠΆΠΈΠ΄Π°Π΅ΠΌΡΡ ΠΏΠΎΠ΄Π³ΡΡΠ·ΠΊΠΈ .NET-Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊ.
ΠΠ°Π»Π΅Π΅ ΠΏΡΠΈ ΠΏΠΎΠΌΠΎΡΠΈ ProcessHucker Π΄Π°ΠΌΠΏΠΈΠΌ ΡΠ΅Π³ΠΈΠΎΠ½Ρ, ΡΠΎΠ΄Π΅ΡΠΆΠ°ΡΠΈΠ΅ Π² ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²Π°Π½Π½ΠΎΠΌ Π²ΠΈΠ΄Π΅ .NET-ΠΏΡΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠ΅.
ΠΡΡΠ°Π½Π°Π²Π»ΠΈΠ²Π°Π΅ΠΌ Π²ΡΠ΅ ΠΏΡΠΎΡΠ΅ΡΡΡ ΠΈ ΡΠ΄Π°Π»ΡΠ΅ΠΌ Π·Π°ΠΊΡΠ΅ΠΏΠΈΠ²ΡΡΡΡΡ Π² ΡΠΈΡΡΠ΅ΠΌΠ΅ ΠΊΠΎΠΏΠΈΡ ΠΠΠ.
Π‘Π΄Π°ΠΌΠΏΠ»Π΅Π½Π½ΡΠΉ ΡΠ°ΠΉΠ» Π·Π°ΡΠΈΡΠ΅Π½ ΠΏΡΠΎΡΠ΅ΠΊΡΠΎΡΠΎΠΌ .NET Reactor, ΠΊΠΎΡΠΎΡΡΠΉ Π»Π΅Π³ΠΊΠΎ ΡΠ½ΠΈΠΌΠ°Π΅ΡΡΡ ΠΏΡΠΈ ΠΏΠΎΠΌΠΎΡΠΈ ΡΡΠΈΠ»ΠΈΡΡ de4dot.
ΠΠΎΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π²ΡΠΈΡΡ Π½Π°ΠΏΠΈΡΠ°Π½Π½ΡΠΌΠΈ ΡΠ°Π½Π΅Π΅ YARA-ΠΏΡΠ°Π²ΠΈΠ»Π°ΠΌΠΈ, ΡΠ±Π΅ΠΆΠ΄Π°Π΅ΠΌΡΡ, ΡΡΠΎ ΠΏΠ΅ΡΠ΅Π΄ Π½Π°ΠΌΠΈ AgentTesla.
Makhe shwa nkathele
ΠΡΠ°ΠΊ, ΠΌΡ ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΠΎ ΠΏΡΠΎΠ΄Π΅ΠΌΠΎΠ½ΡΡΡΠΈΡΠΎΠ²Π°Π»ΠΈ ΠΏΡΠΎΡΠ΅ΡΡ ΠΏΠΎΠ»ΡΠ°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ΅ΡΠΊΠΎΠΉ ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²ΠΊΠΈ ΡΡΠΌΠΏΠ»ΠΎΠ² Π½Π° ΠΏΡΠΈΠΌΠ΅ΡΠ΅ ΡΡΠ΅Ρ ΠΌΠΈΠ½ΠΈ-ΠΊΠ΅ΠΉΡΠΎΠ², Π° ΡΠ°ΠΊΠΆΠ΅ ΠΏΡΠΎΠ²Π΅Π»ΠΈ Π°Π½Π°Π»ΠΈΠ· Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΠ Π½Π° ΠΎΡΠ½ΠΎΠ²Π΅ ΠΏΠΎΠ»Π½ΠΎΡΠ΅Π½Π½ΠΎΠ³ΠΎ ΠΊΠ΅ΠΉΡΠ°, Π²ΡΡΡΠ½ΠΈΠ², ΡΡΠΎ ΠΈΡΡΠ»Π΅Π΄ΡΠ΅ΠΌΡΠΉ ΠΎΠ±ΡΠ°Π·Π΅Ρ β ΡΡΠΎ AgentTesla, ΡΡΡΠ°Π½ΠΎΠ²ΠΈΠ² Π΅Π³ΠΎ ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π»ΡΠ½ΡΠ΅ Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΠΈ ΠΈ ΠΏΠΎΠ»Π½ΡΠΉ ΡΠΏΠΈΡΠΎΠΊ ΠΈΠ½Π΄ΠΈΠΊΠ°ΡΠΎΡΠΎΠ² ΠΊΠΎΠΌΠΏΡΠΎΠΌΠ΅ΡΠ°ΡΠΈΠΈ.
ΠΠ½Π°Π»ΠΈΠ· Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΎΠ±ΡΠ΅ΠΊΡΠ°, ΠΊΠΎΡΠΎΡΡΠΉ ΠΌΡ ΠΏΡΠΎΠ²Π΅Π»ΠΈ, ΡΡΠ΅Π±ΡΠ΅Ρ ΠΌΠ½ΠΎΠ³ΠΎ Π²ΡΠ΅ΠΌΠ΅Π½ΠΈ ΠΈ ΡΡΠΈΠ»ΠΈΠΉ, ΠΈ ΡΡΡ ΡΠ°Π±ΠΎΡΡ Π΄ΠΎΠ»ΠΆΠ΅Π½ Π²ΡΠΏΠΎΠ»Π½ΡΡΡ ΡΠΏΠ΅ΡΠΈΠ°Π»ΡΠ½ΡΠΉ ΡΠΎΡΡΡΠ΄Π½ΠΈΠΊ Π² ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ, ΠΎΠ΄Π½Π°ΠΊΠΎ Π½Π΅ Π²ΡΠ΅ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ Π³ΠΎΡΠΎΠ²Ρ Π΄Π΅ΡΠΆΠ°ΡΡ Π² ΡΡΠ°ΡΠ΅ Π°Π½Π°Π»ΠΈΡΠΈΠΊΠ°.
ΠΠ΄Π½Π° ΠΈΠ· ΡΡΠ»ΡΠ³, ΠΊΠΎΡΠΎΡΡΡ ΠΎΠΊΠ°Π·ΡΠ²Π°Π΅Ρ ΠΠ°Π±ΠΎΡΠ°ΡΠΎΡΠΈΡ ΠΊΠΎΠΌΠΏΡΡΡΠ΅ΡΠ½ΠΎΠΉ ΠΊΡΠΈΠΌΠΈΠ½Π°Π»ΠΈΡΡΠΈΠΊΠΈ ΠΈ Π°Π½Π°Π»ΠΈΠ·Π° Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΊΠΎΠ΄Π° Group-IB β ΡΠ΅Π°Π³ΠΈΡΠΎΠ²Π°Π½ΠΈΠ΅ Π½Π° ΠΊΠΈΠ±Π΅ΡΠΈΠ½ΡΠΈΠ΄Π΅Π½ΡΡ. Π, ΡΡΠΎΠ±Ρ Π·Π°ΠΊΠ°Π·ΡΠΈΠΊΠΈ Π½Π΅ ΡΡΠ°ΡΠΈΠ»ΠΈ Π²ΡΠ΅ΠΌΡ Π½Π° ΡΠΎΠ³Π»Π°ΡΠΎΠ²Π°Π½ΠΈΠ΅ Π΄ΠΎΠΊΡΠΌΠ΅Π½ΡΠΎΠ² ΠΈ ΠΎΠ±ΡΡΠΆΠ΄Π΅Π½ΠΈΠ΅ Π² ΡΠ°Π·Π³Π°Ρ ΠΊΠΈΠ±Π΅ΡΠ°ΡΠ°ΠΊΠΈ, Group-IB Π·Π°ΠΏΡΡΡΠΈΠ»Π° Incident Response Retainer, ΡΡΠ»ΡΠ³Ρ ΠΏΠΎ ΡΠ΅Π°Π³ΠΈΡΠΎΠ²Π°Π½ΠΈΡ Π½Π° ΠΈΠ½ΡΠΈΠ΄Π΅Π½ΡΡ ΠΏΠΎ ΠΏΡΠ΅Π΄Π²Π°ΡΠΈΡΠ΅Π»ΡΠ½ΠΎΠΉ ΠΏΠΎΠ΄ΠΏΠΈΡΠΊΠ΅, Π²ΠΊΠ»ΡΡΠ°ΡΡΡΡ ΡΠ°ΠΊΠΆΠ΅ ΡΡΠ°ΠΏ Π°Π½Π°Π»ΠΈΠ·Π° Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΊΠΎΠ΄Π°. ΠΠΎΠ»Π΅Π΅ ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΡΡ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ ΠΎΠ± ΡΡΠΎΠΌ ΠΌΠΎΠΆΠ½ΠΎ Π½Π°ΠΉΡΠΈ
ΠΡΠ»ΠΈ Π²Ρ Ρ
ΠΎΡΠΈΡΠ΅ ΡΠ°ΠΌΠΈ Π΅ΡΠ΅ ΡΠ°Π· ΠΈΠ·ΡΡΠΈΡΡ, ΠΊΠ°ΠΊ ΠΏΡΠΎΠ²ΠΎΠ΄ΠΈΡΡΡ ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²ΠΊΠ° ΡΡΠΌΠΏΠ»ΠΎΠ² AgentTesla, ΠΈ ΡΠ²ΠΈΠ΄Π΅ΡΡ, ΠΊΠ°ΠΊ ΡΡΠΎ Π΄Π΅Π»Π°Π΅Ρ ΡΠΏΠ΅ΡΠΈΠ°Π»ΠΈΡΡ CERT Group-IB, ΠΌΠΎΠΆΠ΅ΡΠ΅ ΡΠΊΠ°ΡΠ°ΡΡ Π·Π°ΠΏΠΈΡΡ Π²Π΅Π±ΠΈΠ½Π°ΡΠ° ΠΏΠΎ ΡΡΠΎΠΉ ΡΠ΅ΠΌΠ΅
umthombo: www.habr.com