ืขืก ืืขื ืขื ืคืืจืื ืขืืืืืข ืืืงืื ืืข ืกืืืืขืจ ืืจืืคืขืก ืืืขืืืข ืกืคืขืฆืืืืืืืจื ืืื ืืื ืื ืืขื ืขื ืืขืื ืคืื ืจืืกืืฉืข ืคืืจืืขืก. ืืืจ ืืึธืื ืืขืืขื ืื ืคืืื ื ืืฆื ืืืืขืจืืืื ืืืคึผืืึธืืื ืืืึธืก ืืึธืื ืึทืงืกืขืก ืฆื ืื ื ืขืฅ ืคืื ืื ืฆืื. ืึทืืึธื ืืื ืืึทืงืืืขื ืึทืงืกืขืก, ืึทืืึทืงืขืจื ืืขืจื ืขื ืื ื ืขืฅ ืกืืจืืงืืืจ ืคืื ืื ืึธืจืืึทื ืืืึทืฆืืข ืืื ืฆืขืืืืงืืขื ืืืืขืจ ืืืืืขื ืข ืืืฉืืจืื ืฆื ืืึทื ืืืขื ืขื ืืขืื. ื ืงืืึทืกืืฉ ืืืึทืฉืคึผืื ืคืื ืืขื ืืึทื ื ืืื ืื ืืขืงืขืจ ืืจืืคึผืขืก ืืืืืจืึทืคึผ, ืงืึธืืึทืื ืืื ืงืึธืจืงืึธืื.
ืื RTM ืืจืืคึผืข ืืืึธืก ืืขืจ ืืึทืจืืื ืคืึธืืงืืกืื ืืืืฃ ืืื ืืืื ืคืื ืืขื ืืึทื ื. ืขืก ื ืืฆื ืกืคึผืขืฉืึทืื ืืืืืื ื ืืึทืืืืึทืจืข ืืขืฉืจืืื ืืื ืืขืืคื, ืืืึธืก ืืืจ ืืืขืื ืงืืงื ืืื ืืขืจ ืืขืืึทื ืืื ืื ืคืืืืขื ืืข ืกืขืงืฉืึทื ื. ืื ืขืจืฉืืข ืืจืึทืกืขืก ืคืื ืื ืืืฉืืจืื ืืื ืื ESET ืืขืืขืืขืืจื ืกืืกืืขื ืืขื ืขื ืืืกืงืึทืืืขืจื ืืื ืื ืกืืฃ ืคืื 2015. ืื ืืึทื ืฉืึทืคึฟื ืืึธืืื ืคืึทืจืฉืืื ื ืืึทืข ืืึทืืืฉืืื ืืืืฃ ืื ืคืขืงืืึทื ืกืืกืืขืืขื ืืื ืืืจืฃ. ืื ืืืืงืขืก ืืขื ืขื ืืขืฆืืื ืืืืฃ ืืื ืืฆืขืจ ืคืื ืืืืืืข ืืื ืง ืกืืกืืขืืขื ืืื ืจืืกืืื ื ืืื ืขืืืืืข ืืจืืืืงืข ืืขื ืืขืจ.
1. ืฆืืื
ืื RTM ืงืืืคืื ืืข ืืื ืึทืืืขื ืฆื ืคึฟืืจืืข ื ืืฆืขืจืก - ืืึธืก ืืื ืงืืึธืจ ืืื ืืขืจ ืืึธื ืคืื ืื ืคึผืจืึทืกืขืกืึทื ืืืึธืก ืึทืืึทืงืขืจื ืคึผืจืืืืจื ืฆื ืืขืืขืงื ืืื ืึท ืงืึทืืคึผืจืึทืืืืื ืกืืกืืขื. ืืขืจ ืคืึธืงืืก ืืื ืืืืฃ ืึทืงืึทืื ืืื ื ืืืืืืืืืจื ืคึฟืึทืจ ืืจืืขืื ืืื ืืืืึทื ืืึทื ืงืื ื ืกืืกืืขืืขื.
ืื ืจืฉืืื ืคืื ืคึผืจืึทืกืขืกืึทื ืคืื ืืื ืืขืจืขืก ืฆื RTM ืจืืืขืืืึทืื ืื ืงืึธืจืึทืกืคึผืึทื ืืื ื ืจืฉืืื ืคืื ืื ืืืืืจืึทืคึผ ืืจืืคึผืข, ืึธืืขืจ ืื ืืจืืคึผืขืก ืืึธืื ืคืึทืจืฉืืืขื ืข ืื ืคืขืงืฆืืข ืืืขืงืืึธืจืก. ืืืื Buhtrap ืืขืืืืื ื ืฉืืืื ืื ืืืขืืขืจ ืืขืจ ืึธืคื, RTM ืืขืืืืื ื ืืจืืืื-ืืืจื ืืจืืคืงืืคืืข ืื ืคืืื (ืึทืืึทืงืก ืืืืฃ ืืขื ืืืขืืขืจืขืจ ืึธืืขืจ ืืืึทื ืงืึทืืคึผืึธืื ืึทื ืฅ) ืืื ืกืคึผืึทืืื ื ืืืจื E- ืืจืืื. ืืืื ืืขืืขืืขืืจื ืืึทืื, ืื ืกืึทืงืึธื ืข ืืื ืึทืืืขื ืฆื ืจืืกืืึทื ื ืืื ืขืืืขืืข ื ืืจืืื ืืขื ืืขืจ (ืืืงืจืืื ื, ืงืึทืืึทืืกืืึทื, ืืฉืขืืื, ืืืึทืืฉืืึทื ื). ืึธืืขืจ, ืจืขืื ืฆื ืืขืจ ื ืืฆื ืคืื ืืึทืกืข ืคืึทืจืฉืคึผืจืืืืื ื ืืขืงืึทื ืืืึทืื, ืืืืขืงืฉืึทื ืคืื ืืึทืืืืึทืจืข ืึทืจืืืก ืื ืฆืื ืืงืืืืช ืืื ื ืืฉื ืืืืืฉ.
ืื ืืึทื ืฅ ื ืืืขืจ ืคืื ืืึทืืืืึทืจืข ืืืืขืงืฉืึทื ื ืืื ืืขืคืืขืจืขื ืงืืืื. ืืืืฃ ืื ืื ืืขืจืข ืืึทื ื, ืื RTM ืงืืืคืื ืืข ื ืืฆื ืงืึธืืคึผืืขืงืก ืืืืื, ืืืึธืก ืื ืืืงืืืฅ ืึทื ืื ืึทืืึทืงืก ืืขื ืขื ืืขืืกื ืืึทืจืืขืืขื.
ืืืจ ืืึธืื ืืืกืงืึทืืืขืจื ืขืืืขืืข ืืขืงืึธื ืืึธืงืืืขื ืื ืืขื ืืฆื ืืืจื RTM, ืึทืจืืึทื ืืขืจืขืื ื ื ืื-ืขืืืืกืืึทื ื ืงืึทื ืืจืึทืงืฅ, ืื ืืืืืกืื ืึธืืขืจ ืฉืืืืขืจ ืึทืงืึทืื ืืื ื ืืึธืงืืืขื ืื. ืื ื ืึทืืืจ ืคืื ืื ืืืจื, ืงืึทืืืืื ื ืืื ืื ืืืคึผ ืคืื ืืืืืืืืืจื ืืึทืจืืขืืขื ืืืจื ืื ืืึทืคืึทืื, ืื ืืืงืืืฅ ืึทื ืื ืึทืืึทืงืขืจื "ืึทืจืืึทื" ืื ื ืขืืืืึธืจืงืก ืคืื ืจืืกืืฉืข ืงืึธืืคึผืึทื ืืขืก ืืืจื ืื ืึทืงืึทืื ืืื ื ืึธืคึผืืืืืื ื. ื ื ืืจืืค ืข ืื ื ืืขืื ื ืืืื ื ืืขืืืืง ื ืกืืขืืข ืืื 2014-2015
ืืขืฉืึทืก ืืขืจ ืคืึธืจืฉืื ื, ืืืจ ืืขื ืขื ืืืืืืช ืฆื ืื ืืขืจืึทืงื ืืื ืขืืืขืืข C&C ืกืขืจืืืขืจืก. ืืืจ ืืืขืื ืจืฉืืื ืื ืคืื ืจืฉืืื ืคืื ืงืึทืืึทื ืื ืืื ืื ืคืืืืขื ืืข ืกืขืงืฉืึทื ื, ืึธืืขืจ ืืืฆื ืืืจ ืงืขื ืขื ืืึธืื ืึทื ืืขืจ ืงืืืขื ื ืืจืึทื ืกืคืขืจืก ืืึทืื ืคืื ืื ืงืืืืึธืืืขืจ ืืืืึทื ืฆื ืื ืึทืืึทืงืื ื ืกืขืจืืืขืจ, ืคึฟืื ืืืึธืก ื ืึธื ืงืึทืืึทื ืื ืืขื ืขื ืืืงืืืขื.
ืึธืืขืจ, ืื ืืขื ืืืขื ืืืจ ืงืขื ืคืฉืื ืคืึทืจืืื ืื ืฆื ืึท ืืึทืคึฟืขื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ ืืื ืงืืืึทืื ืึทืืข ืื ืืึทืื ืืืึธืก ืืืจ ืืึธื ืืื ืืขืจืขืกืืจื ืืขื ืขื ื ืืืึธ. ืืืจ ืจืืงืจืืืืืื ืจืขืึทืืืกืืืฉ ืงืืึธืฅ ืืขืงืขืก ืฆื ืืึทืงืืืขื ืขืืืขืืข ืืึทืืืึทืืืง ืงืึทืืึทื ืื ืคืื ืื ืกืขืจืืืขืจ.
ืืขืจ ืขืจืฉืืขืจ ืคืื ืืื ืืื ืึท ืืงืฉื ืฆื ืื ืืึธื ืฆื ืึทืจืืืขืจืคืืจื ืื ืืขืงืข 1c_to_kl.txt - ืึท ืึทืจืืืขืจืคืืจื ืืขืงืข ืคืื โโืื 1C: ืขื ืืขืจืคึผืจืืื 8 ืคึผืจืึธืืจืึทื, ืื ืืืืกืืขื ืคืื ืืืึธืก ืืื ืึทืงืืืืืื ืืึธื ืืืึธืจืขื ืืืจื ืจืื. 1C ืื ืืขืจืึทืงืฅ ืืื ืืืืึทื ืืึทื ืงืื ื ืกืืกืืขืืขื ืืืจื ืืคึผืืึธืึทืืื ื ืืึทืื ืืืืฃ ืึทืืืืึธืืื ื ืคึผืืืืึทื ืฅ ืฆื ืึท ืืขืงืกื ืืขืงืข. ืืขืจื ืึธื, ืื ืืขืงืข ืืื ืืขืฉืืงื ืฆื ืื ืืืืึทื ืืึทื ืงืื ื ืกืืกืืขื ืคึฟืึทืจ ืึธืืึทืืืืฉืึทื ืืื ืืืจืืคืืจืื ื ืคืื ืื ืฆืึธืืื ื ืกืืจ.
ืืขืจ ืืขืงืข ืึผืืื ืฆืึธืืื ื ืืขืืึทืืืก. ืืืื ืึทืืึทืงืขืจื ืืืืฉื ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืึทืืืืึธืืื ื ืคึผืืืืึทื ืฅ, ืื ืึทืจืืืขืจืคืืจื ืืืขื ืืืื ืืขืฉืืงื ืืื ืคืึทืืฉ ืืขืืึทืืืก ืฆื ืื ืึทืงืึทืื ืฅ ืคืื ืึทืืึทืงืขืจื.
ืืขืขืจืขื ืึท ืืืืฉ ื ืึธื ืจืืงืืืขืกืืื ื ืื ืืขืงืขืก ืคึฟืื ืื ืืึทืคึฟืขืื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ, ืืืจ ืืืืขืจืงื ืึทื ืึท ื ืืึทืข ืคึผืืืืื, 1c_2_kl.dll, ืืื ืืึธืืืื ืืืืฃ ืื ืงืึทืืคึผืจืึทืืืืื ืกืืกืืขื. ืืขืจ ืืึธืืืืข (ืืื) ืืื ืืืืืื ื ืฆื ืืืืืึธืืึทืืืฉ ืึทื ืึทืืืื ืื ืืจืืคืงืืคืืข ืืขืงืข ืืืจื ืืืจืืืจืื ื ืื ืึทืงืึทืื ืืื ื ืืืืืืืืืจื ืคึผืจืึทืกืขืกืึทื. ืืืจ ืืืขืื ืืึทืฉืจืืึทืื ืขืก ืืื ืืขืืึทื ืืื ืื ืคืืืืขื ืืข ืกืขืงืฉืึทื ื.
ืื ืืขืจืขืกืืื ืืื, FinCERT ืคืื ืื ืืึทื ืง ืคืื ืจืืกืืึทื ื ืืื ืื ืกืืฃ ืคืื 2016 ืืจืืืก ืึท ืืืืืืึทื ืืืืจืขื ืื ื ืืืขืื ืกืืืืขืจ ืงืจืืืึทื ืึทืื ื ืืฆื 1c_to_kl.txt ืฆืืคึฟืขืืืงืขืจ ืืขืงืขืก. ืืขืืืขืืึธืคึผืขืจืก ืคืื 1C ืืืื ืืืืกื ืืืขืื ืืขื ืกืืขืืข ืืื ืืึธืื ืฉืืื ืืขืืืื ืึท ืืึทืึทืืืขืจ ืืืกืืึธืืื ื ืืื ืืืกืืขื ืคึผืจืืงืึธืฉืึทื ื.
ืื ืืขืจืข ืืึทืืืฉืืื ืืขื ืขื ืืืื ืืึธืืืื ืคึฟืื ืื ืืึทืคึฟืขืื ืกืขืจืืืขืจ, ืกืคึผืขืฆืืขื VNC (ืืืึทื 32 ืืื 64-ืืืกื ืืืขืจืกืืขืก). ืขืก ืจืืืขืืืึทืื ืื VNC ืืึธืืืืข ืืืึธืก ืืื ืืขืืืขื ืคืจืืขืจ ืืขื ืืฆื ืืื ืืจืืืขืงืก ืืจืึธืืืฉืึทื ืื ืคืืื. ืืขืจ ืืึธืืืืข ืืื ืกืึทืคึผืึธืืืึทืืื ืืขื ืืฆื ืฆื ืจืืืึธืืืื ืคืึทืจืืื ืื ืฆื ืึท ืื ืคืขืงืืึทื ืงืึธืืคึผืืืืขืจ ืืื ืืืจืืคืืจื ืึท ืืืืืืื ืืขืจื ืขื ืคืื ืื ืกืืกืืขื. ืืขืจื ืึธื, ืื ืึทืืึทืงืขืจื ืคึผืจืืืืจื ืฆื ืืึทื ืึทืจืื ืื ื ืขืฅ, ืืงืกืืจืึทืงืืื ื ืืึทื ืืฆืขืจ ืคึผืึทืกืืืขืจืื, ืงืึทืืขืงืืื ื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืื ืฉืืจืื ื ืื ืงืขืกืืืืขืจืืืง ืืืึทืืืึทื ืคืื ืืึทืืืืึทืจืข.
2. ืืืขืงืืึธืจืก ืคืื ืื ืคืขืงืฆืืข
ืื ืคืืืืขื ืืข ืคืืืืจ ืืืืืื ืื ืื ืคืขืงืฆืืข ืืืขืงืืึธืจืก ืืืืขืงืืึทื ืืขืฉืึทืก ืื ืืขืจื ืขื ืฆืืื ืคืื ืื ืงืืืคืื ืืข. ืื ืืจืืคึผืข ื ืืฆื ืึท ืืจืืื ืงืืื ืคืื ืืืขืงืืึธืจืก, ืึธืืขืจ ืืขืจ ืืืืคึผื ืืจืืืืืื ื ืืจืืคืงืืคืืข ืื ืคืืื ืืื ืกืคึผืึทื. ืื ืืืฉืืจืื ืืขื ืขื ืืึทืงืืืขื ืคึฟืึทืจ ืืึทืจืืขืืขื ืื ืคืืื, ืืืืึทื ืืื ืืขืจ ืขืจืฉืืขืจ ืคืึทื, ืึทืืึทืงืขืจื ืงืขื ืขื ืืืืกืงืืืึทืื ืืืืืืขื ืืืืืื ืืืจื ืคึผืึธืืขื ืฆืืขื ืืืืงืืืืก, ืืื ืืื ืื ืจืืข, ืืื ืงืขื ืขื ืฉืืงื E- ืืจืืื ืืื ืึทืืึทืืฉืืึทื ืฅ ืืืืึทื ืฆื ืื ืืขืืขืื ืคืืจืืข ืขืืคึผืืืืื.
ืื ืืึทืืืืึทืจืข ืืื ืคืื ืื ืืขืจืืขืืืืื ืืืจื ืงืืืคื ืืฉืึทื ืึทืื, ืึทืจืืึทื ืืขืจืขืื ื RIG ืืื Sundown ืขืงืกืคึผืืืื ืงืืฅ ืึธืืขืจ ืกืคึผืึทื ืืืืืื ืื, ืืืึธืก ืื ืืืงืืืฅ ืงืึทื ืขืงืฉืึทื ื ืฆืืืืฉื ืื ืึทืืึทืงืขืจื ืืื ืื ืืขืจืข ืกืืืืขืจืึทืืืึทืงืขืจื ืืืึธืก ืคืึธืจืฉืืึธืื ืื ืกืขืจืืืืกืขืก.
2.1. ืืื ืืขื ืขื RTM ืืื Buhtrap ืฉืืึทืืืช?
ืื RTM ืงืืืคืื ืืข ืืื ืืืืขืจ ืขื ืืขื ืฆื Buhtrap. ืื ื ืึทืืืจืืขื ืงืฉืื ืืื: ืืื ืืขื ืขื ืืื ืฉืืึทืืืช ืฆื ืืขืืขืจ ืื ืืขืจืขืจ?
ืืื ืกืขืคืืขืืืขืจ 2016, ืืืจ ืืืืขืจืงื ืึทื ืึท RTM ืืืกืืขืจ ืืื ืคืื ืื ืืขืจืืขืืืืื ืืื ืื Buhtrap ืืคึผืืึธืึทืืขืจ. ืึทืืืืืืึธื ืึทืืื, ืืืจ ืืขืคึฟืื ืขื ืฆืืืื ืืืืืืึทื ืกืขืจืืืคืืงืึทืฅ ืืขื ืืฆื ืืื Buhtrap ืืื RTM.
ืืขืจ ืขืจืฉืืขืจ, ืึทืืขืืืฉืึทืืื ืืจืืืก ืฆื ืื ืคืืจืืข DNSTER-M, ืืื ืืขื ืืฆื ืฆื ืืืืืืึทืืื ืฆืืืื ืื ืฆืืืืืืข ืืขืืคื ืคืึธืจืขื (SHA-1: 025C718BA31E43DB1B87DC13F94A61A9338C11CE) ืืื ืื Buhtrap DLL (SHA-1: 1).
ืื ืฆืืืืืืข, ืืจืืืก ืฆื Bit-Tredj, ืืื ืืขื ืืฆื ืฆื ืฆืืืื ืืืืืจืึทืคึผ ืืึธืืืขืจื (SHA-1: 7C1B6B1713BD923FC243DFEC80002FE9B93EB292 ืืื B74F71560E48488D2153AE2FB51207A0AC), ืืื ืืืื ืืจืืคืงืืคืืข ืืื ืืจืืคืงืืคืืข ืงืึทืืคึผืึธืื ืึทื ืฅ.
RTM ืึธืคึผืขืจืืืืขืจื ื ืืฆื ืกืขืจืืืคืืงืึทืฅ ืืืึธืก ืืขื ืขื ืคึผืจืึธืกื ืคึฟืึทืจ ืื ืืขืจืข ืืึทืืืืึทืจืข ืคืึทืืืืืขืก, ืึธืืขืจ ืืื ืืืื ืืึธืื ืึท ืืื ืฆืืง ืืึทืืืืึทืื. ืืืื ESET ืืขืืขืืขืืจื, ืขืก ืืื ืืจืืืก ืฆื ืงืื-ืกื ืืื ืืื ืืืืื ืืขื ืืฆื ืฆื ืฆืืืื ืขืืืขืืข RTM ืืึทืืืืึทืจืข (SHA-1: 42A4B04446A20993DDAE98B2BE6D5A797376D4B6).
RTM ื ืืฆื ืื ืืขืืืข ืืึธืืืขืจ ืืื Buhtrap, RTM ืงืึทืืคึผืึธืื ืึทื ืฅ ืืขื ืขื ืืึธืืืื ืคึฟืื ืื Buhtrap ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ, ืึทืืื ืื ืืจืืคึผืขืก ืืึธืื ืขื ืืขื ื ืขืฅ ืื ืืืงืึทืืึธืจืก. ืึธืืขืจ, ืืืื ืืื ืืืขืจ ืขืกืืึทืืึทืฅ, RTM ืืื Buhtrap ืืขื ืขื ืคืึทืจืฉืืืขื ืข ืืจืืคึผืขืก, ืืคึผืืืช ืืืืึทื RTM ืืื ืคืื ืื ืืขืจืืขืืืืื ืืื ืคืึทืจืฉืืืขื ืข ืืืขืื (ื ืื ืืืืื ื ืืฆื ืึท "ืคืจืขืื" ืืึธืืื ืืึธืึทืืขืจ).
ืืจืึธืฅ ืืขื, ืืขืงืขืจ ืืจืืคึผืขืก ื ืืฆื ืขื ืืขื ืึทืคึผืขืจืืืืื ื ืคึผืจืื ืฆืืคึผื. ืืื ืฆืืื ืืขืฉืขืคืื ื ืืฆื ืึทืงืึทืื ืืื ื ืืืืืืืืืจื, ืกืืืืืึทืจืื ืงืึทืืขืงืืื ื ืกืืกืืขื ืืื ืคึฟืึธืจืืึทืฆืืข, ืืืื ืคึฟืึทืจ ืกืืึทืจื ืงืึทืจืื ืืืืขื ืขืจ ืืื ืืืคึผืืืืื ื ืึท ืงืืื ืคืื ืืืืืข ืืืฉืืจืื ืฆื ืฉืคึผืืึธื ืืืืฃ ืืืืงืืืืก.
3. ืขืืืึทืืืฉืึทื
ืืื ืืขื ืึธืคึผืืืืืื ื, ืืืจ ืืืขืื ืงืืงื ืืื ืื ืคืึทืจืฉืืืขื ืข ืืืขืจืกืืขืก ืคืื ืืึทืืืืึทืจืข ืืขืคึฟืื ืขื ืืขืฉืึทืก ืืขื ืืขืจื ืขื.
3.1. ืืืขืจืกืืข
RTM ืกืืึธืจื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืืื ืึท ืจืขืืืกืืจื ืึธืคึผืืืืืื ื, ืื ืืขืจืกื ืืฉืืงืึทืืืข ืืืื ืืื ืืึธืื ืขื ืคึผืจืขืคืืงืก. ื ืจืฉืืื ืคืื ืึทืืข ืื ืืืึทืืืขืก ืืืึธืก ืืืจ ืืึธืื ืืขืืขื ืืื ืื ืกืึทืืคึผืึทืื ืืืจ ืืขืืขืจื ื ืืื ืืขืจืืื ืื ืืื ืื ืืืฉ ืืื ืื.
ืขืก ืืื ืืขืืืขื ืึทื ืื ืืืึทืืืขืก ืงืขื ืืืื ืืขืืืืื ื ืฆื ืจืขืงืึธืจืืืจื ืืึทืืืืึทืจืข ืืืขืจืกืืขืก. ืึธืืขืจ, ืืืจ ืืึธืื ื ืืฉื ืืืืขืจืงื ืคืื ืืืืืง ืฆืืืืฉื ืืืขืจืกืืขืก ืึทืืึท ืืื ืืื2 ืืื ืืื3, 0.1.6.4 ืืื 0.1.6.6. ืืขืจืฆื, ืืืื ืขืจ ืคืื ืื ืคึผืจืขืคืืงืกืื ืืื ืืขืืืขื ืึทืจืื ืืื ื ืื ืึธื ืืืื ืืื ืืื ืืืืึทืืืื ืคืื ืึท ืืืคึผืืฉ C&C ืคืขืื ืฆื ืึท .ืืื ืคืขืื, ืืื ืืืขื ืืืื ืืขืืืืื ืืื ืื.
3.2. ืคึผืืึทื
ืืื ืืขืืขืืขืืจื ืืึทืื, ืืืจ ืืืฉืืคื ืึท ืืจืึทืคืืง ืคืื ืื ืคึผืึทืกืืจืื ื ืคืื ืกืึทืืคึผืึทืื.
4. ืืขืื ืืฉ ืึทื ืึทืืืกืืก
ืืื ืืขื ืึธืคึผืืืืืื ื, ืืืจ ืืืขืื ืืึทืฉืจืืึทืื ืื ืืืืคึผื ืคืึทื ืืงืฉืึทื ื ืคืื ืื RTM ืืึทื ืงืื ื ืืจืึธืืืฉืึทื, ืึทืจืืึทื ืืขืจืขืื ื ืงืขืื ืฉืืขื ืืขืงืึทื ืืืึทืื, ืืืึทื ืืืืืขื ืข ืืืขืจืกืืข ืคืื โโืื RC4 ืึทืืืขืจืืืึทื, ื ืขืฅ ืคึผืจืึธืืึธืงืึธื, ืกืคึผืืืื ื ืคืึทื ืืงืฉืึทื ืึทืืืื ืืื ืขืืืขืืข ืื ืืขืจืข ืคึฟืขืึดืงืืืื. ืืื ืืึทืืื ืืขืจ, ืืืจ ืืืขืื ืคืึธืงืืก ืืืืฃ SHA-1 ืกืึทืืคึผืึทืื AA0FA4584768CE9E16D67D8C529233E99FF1BBF0 ืืื 48BC113EC8BA20B8B80CD5D4DA92051A19D1032B.
4.1. ืืึทื ืืึธื ืืืจืื ื ืืื ืฉืคึผืึธืจื
4.1.1. ืืืคึผืืขืืขื ืืึทืืืึธื
ืื ืจืื ืืึทืจืฅ ืืื ืึท ืืื, ืื ืืืืืืึธืืขืง ืืื ืืึธืืืื ืืืืฃ ืืืกืง ื ืืฆื. ืขืงืกืข. ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืืื ืืืืฉืึทืืืึทืื ืคึผืึทืงืืืืฉื ืืื ืึผืืื ืืื ืงืึธื. ืึทืืึธื ืืึธื ืืฉื, ืขืก ืขืงืกืืจืึทืงื ืื DLL ืืื ืืืืคื ืขืก ืืื ืื ืคืืืืขื ืืข ืืึทืคึฟืขื:
rundll32.exe โ%PROGRAMDATA%Winlogonwinlogon.lnkโ,DllGetClassObject host4.1.2. ืืื
ืื ืืืืคึผื ืืื ืืื ืฉืืขื ืืืง ืืึธืืืื ืฆื ืืืกืง ืืื winlogon.lnk ืืื ืื % PROGRAMDATA% Winlogon ืืขืงืข. ืืขืจ ืืขืงืข ืืขืฉืคึผืจืืื ืืื ืืืืฉืึทืืืึทืื ืคืืจืืื ืื ืืื ืึท ืืืจืืืืขื, ืึธืืขืจ ืื ืืขืงืข ืืื ืคืืงืืืฉ ืึท ืืื ืืขืฉืจืืื ืืื ืืขืืคื, ืืขืืืืกื ืงืึธืจืข.ืืื ืืืจื ืื ืืขืืืขืืึธืคึผืขืจ, ืืื ืืขืืืืื ืืื ืื ืืืื ืืื ืื.
ะัะธะผะตั ะฝะฐะทะฒะฐะฝะธั DLL F4C746696B0F5BB565D445EC49DD912993DE6361
ืึทืืึธื ืืึธื ืืฉื, ืื ืืจืึธืืืฉืึทื ืึทืงืืึทืืืืืฅ ืืืึทื ืงืขืื ืฉืืขื ืืขืงืึทื ืืืึทื. ืืึธืก ืงืขื ืืืื ืืขืืื ืืื ืฆืืืื ืคืึทืจืฉืืืขื ืข ืืืขืื, ืืืคึผืขื ืืื ื ืืืืฃ ืื ืคึผืจืืืืืืึทืืืฉืึทื ืคืื ืื ืงืึธืจืื ืืื ืื ืกืืกืืขื. ืืืื ืืืจ ืืึธื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื, ืื ืืจืึธืืืฉืึทื ืืืกืืฃ ืึท Windows Update ืคึผืึธืืืฆืืข ืฆื ืื HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun ืจืขืืืกืืจื. ืื ืงืึทืืึทื ืื ืงืึทื ืืืื ื ืืื Windows Update ืืืขื ืืืืคื ืืื ืื ืึธื ืืืื ืคืื ืืขืจ ืืึทื ืืฆืขืจ ืก ืกืขืกืืข.
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunWindows Update [REG_SZ] = rundll32.exe โ%PROGRAMDATA%winlogon.lnkโ,DllGetClassObject host
ืื ืืจืึธืืืฉืึทื ืืืื ืคืจืืืื ืฆื ืืืืื ืึท ืึทืจืืขื ืฆื ืื Windows ืืึทืกืง ืกืืฉืขืืืืขืจ. ืื ืึทืจืืขื ืืืขื ืงืึทืืขืจ ืื winlogon.lnk ืืื ืืื ืื ืืขืืืข ืคึผืึทืจืึทืืขืืขืจืก ืืื ืืืืื. ืจืขืืืืขืจ ืืึทื ืืฆืขืจ ืจืขืื ืืึธืื ืื ืืจืึธืืืฉืึทื ืฆื ืืืืื ืึท Windows Update ืคึผืึธืืืฆืืข ืืื ืื ืืขืืืข ืืึทืื ืฆื ืื HKCUSoftwareMicrosoftWindowsCurrentVersionRun ืจืขืืืกืืจื:
rundll32.exe โ%PROGRAMDATA%winlogon.lnkโ,DllGetClassObject host4.2. ืืึทืืึทืคืืื RC4 ืึทืืืขืจืืืึทื
ืืจืึธืฅ ืืืื ืืึทืืืืกื ืฉืึธืจืืงืึธืืื ืืก, ืื RC4 ืึทืืืขืจืืืึทื ืืื ืงืขืกืืืืขืจ ืืขื ืืฆื ืืืจื ืืึทืืืืึทืจืข ืืืืจืื. ืึธืืขืจ, ืื ืงืจืืืืืขืจื ืคืื RTM ืืึทืืึทืคืืื ืขืก ืึท ืืืกื, ืืืกืืึธืืข ืฆื ืืึทืื ืื ืึทืจืืขื ืคืื ืืืืจืืก ืึทื ืึทืืืก ืืขืจ ืฉืืืขืจ. ื ืืึทืืึทืคืืื ืืืขืจืกืืข ืคืื โโRC4 ืืื ืืืืืืื ืืขื ืืฆื ืืื ืืืืืข RTM ืืืฉืืจืื ืฆื ืขื ืงืจืืคึผื ืกืืจืื ืืก, ื ืขืฅ ืืึทืื, ืงืึทื ืคืืืืขืจืืืฉืึทื ืืื ืืึทืืืฉืืื.
4.2.1. ืืืคืคืขืจืขื ืกืขืก
ืืขืจ ืึธืจืืืื ืขื RC4 ืึทืืืขืจืืืึทื ืืืื ืฆืืืื ืกืืึทืืขืก: s-ืืืึธืง ืื ืืืืึทืืืืึทืืืึธื (ืึทืงืึท ืงืกืึท - ืฉืืืกื-ืกืงืขืืืฉืืืื ื ืึทืืืขืจืืืึทื) ืืื ืคึผืกืขืืืืึธ-ืจืึทื ืืึธื ืกืืงืืืึทื ืก ืืืจ (PRGA - ืคึผืกืขืืืืึธ-ืจืึทื ืืึธื ืืขื ืขืจืึทืืืึธื ืึทืืืขืจืืืึทื). ืืขืจ ืขืจืฉืืขืจ ืืื ืข ืื ืืืึทืืืื ืื ืืืืึทืืืืื ื ืื s-ืืึธืงืก ื ืืฆื ืื ืฉืืืกื, ืืื ืืื ืื ืจืืข ืืื ืข ืื ืืงืืจ ืืขืงืกื ืืื ืคึผืจืึทืกืขืกื ื ืืฆื ืื s-ืืึธืงืก ืคึฟืึทืจ ืขื ืงืจืืคึผืฉืึทื.
ืื RTM ืืืืจืื ืฆืืืขืืขืื ืึท ืื ืืขืจืืืืืื ืฉืจืื ืฆืืืืฉื s-ืืึธืงืก ืื ืืืืึทืืืืึทืืืึธื ืืื ืขื ืงืจืืคึผืฉืึทื. ืืขืจ ื ืึธื ืฉืืืกื ืืื ืืืขืจืืึทืืึทื ืืื ืืื ืืึทืฉืืืื ืืื ืืขืจ ืืขืืืืงืขืจ ืฆืืื ืืื ืื ืืึทืื ืฆื ืืืื ืื ืงืจืืคึผืืื ืืื ืืขืงืจืืคึผืืื. ืื ืคึฟืื ืงืฆืืข ืืืึธืก ืคึผืขืจืคืึธืจืื ืืขื ื ืึธื ืฉืจืื ืืื ืืขืืืืื ืืื ืื ืคืืืืจ ืืื ืื.
4.2.2. ืฉืืจืืงื ืขื ืงืจืืคึผืฉืึทื
ืืื ืขืจืฉืืขืจ ืืืืง, ืขืก ืืขื ืขื ืขืืืขืืข ืืืื ืขืืืืืง ืฉืืจืืช ืืื ืื ืืืืคึผื ืืื. ืื ืจืขืฉื ืืขื ืขื ืื ืงืจืืคึผืืื ืืื ืื ืึทืืืขืจืืืึทื ืืืกืงืจืืืื ืืืืื, ืื ืกืืจืืงืืืจ ืคืื ืืืึธืก ืืื ืืขืืืืื ืืื ืื ืคืืืืขื ืืข ืคืืืืจ. ืืืจ ืืขืคึฟืื ืขื ืืขืจ ืืื 25 ืคืึทืจืฉืืืขื ืข RC4 ืฉืืืกืืขื ืคึฟืึทืจ ืฉืืจืืงื ืขื ืงืจืืคึผืฉืึทื ืืื ืื ืึทื ืึทืืืืื ืกืึทืืคึผืึทืื. ืื XOR ืฉืืืกื ืืื ืึทื ืืขืจืฉ ืคึฟืึทืจ ืืขืืขืจ ืจืืืขืจื. ืื ืืืขืจื ืคืื ืื ื ืืืขืจืืง ืคืขืื ืกืขืคึผืขืจืืืืื ื ืฉืืจืืช ืืื ืฉืืขื ืืืง 0xFFFFFFFF.
ืืื ืื ืึธื ืืืื ืคืื ืืืจืืคืืจืื ื, RTM ืืขืงืจืืคึผื ืื ืกืืจืื ืืก ืืื ืึท ืืืืืืืข ืืืึทืืขืืืืืง. ืืืขื ื ืืืืืง ืฆื ืึทืงืกืขืก ืึท ืฉืืจืืงื, ืื ืืจืึธืืืฉืึทื ืงืึทืืงืืึทืืืืฅ ืืื ืึทืืืงืึทืืื ืื ืึทืืจืขืก ืคืื ืื ืืขืงืจืืคึผืืื ืกืืจืื ืืก ืืืืืจื ืืืืฃ ืื ืืึทืืข ืึทืืจืขืก ืืื ืคืึธืืึธ.
ืื ืกืืจืื ืืก ืึทื ืืืึทืืื ืืฉืืงืึทืืืข ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืคืึทื ืืงืฉืึทื ื ืคืื ืื ืืึทืืืืึทืจืข. ืขืืืขืืข ืืืืฉืคึผืื ืกืืจืื ืืก ืืขื ืขื ืฆืืืขืฉืืขืื ืืื ืึธืคึผืืืืืื ื 6.8.
4.3. ื ืขืฅ
ืื ืืืขื RTM ืืึทืืืืึทืจืข ืงืึธื ืืึทืงื ืื C&C ืกืขืจืืืขืจ ืืืขืจืื ืคืื ืืืขืจืกืืข ืฆื ืืืขืจืกืืข. ืื ืขืจืฉืืข ืืึธืืืคืืงืึทืืืึธื ืก (ืืงืืืืขืจ 2015 - ืืคืจืื 2016) ืืขืืืืื ื ืืจืืืืฆืืื ืขืื ืคืขืื ื ืขืืขื ืฆืืืืืขื ืืื ืึท RSS ืงืึธืจืืขื ืืืืฃ livejournal.com ืฆื ืืขืจืืืึทื ืืืงื ืื ืจืฉืืื ืคืื ืงืึทืืึทื ืื.
ืืื ื ืืคืจืื 2016, ืืืจ ืืึธืื ืืขืืขื ืึท ืืืขืจืจืืง ืฆื .ืืื ืืึธืืืืื ื ืืื ืืขืืขืืขืืจื ืืึทืื. ืืึธืก ืืื ืืืฉืืขืืืงื ืืืจื ืื ืคืขืื ืจืขืืืกืืจืึทืฆืืข ืืึธื - ืืขืจ ืขืจืฉืืขืจ RTM ืคืขืื fde05d0573da.bit ืืื ืจืขืืืกืืจืืจื ืืืืฃ 13 ืืขืจืฅ 2016.
ืึทืืข ืื URL ืก ืืืึธืก ืืืจ ืืึธืื ืืขืืขื ืืฉืขืช ืืึธื ืืืึธืจืื ื ืื ืงืืืคืื ืืข ืืื ืึท ืคึผืจืึธืกื ืืจื: /r/z.php. ืืึธืก ืืื ืืึทื ืฅ ืืืืขืืืืื ืืืขื ืืื ืขืก ืืืขื ืืขืืคึฟื ืฆื ืืืขื ืืืคืืฆืืจื RTM ืจืืงืืืขืก ืืื ื ืขืฅ ืคืืึธืื.
4.3.1. ืงืึทื ืึทื ืคึฟืึทืจ ืงืึทืืึทื ืื ืืื ืงืึธื ืืจืึธื
ืืขืืึทื ืืืืฉืคืืื ืืขื ืืฆื ืืขื ืงืึทื ืึทื ืฆื ืืขืจืืืึทื ืืืงื ืืืืขืจ ืจืฉืืื ืคืื ืืึทืคึฟืขืื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจืก. ืืึธืกืืื ื ืืื ืืืื ืืื livejournal.com, ืืื ืืขืจ ืฆืืื ืคืื ืฉืจืืืื ืืขื ืืึทืจืืื ืขืก ืืื ืืขืืืืื ืืืืฃ ืื URL hxxp://f72bba81c921(.)livejournal(.)com/data/rss.
ืืืืืขืืืฉืืจื ืึทื ืืื ืึท ืจืืกืืฉ-ืืืขืจืืงืื ืขืจ ืคืืจืืข ืืืึธืก ืืื ืึท ืืืึธืืืื ื ืคึผืืึทืืคืึธืจืืข. RTM ืึธืคึผืขืจืืืืขืจื ืฉืึทืคึฟื ืึท LJ ืืืึธื ืืื ืืืึธืก ืืื ืคึผืึธืกืื ืึทื ืึทืจืืืงื ืืื ืงืึธืืขื ืงืึทืืึทื ืื - ืืขื ืกืงืจืขืขื ืฉืึธื.
ืืึทืคึฟืขืื ืืื ืงืึธื ืืจืึธื ืฉืืจืืช ืืขื ืขื ืงืึธืืขื ืืื ืึท ืืึทืืึทืคืืื RC4 ืึทืืืขืจืืืึทื (ืึธืคึผืืืืืื ื 4.2). ืื ืงืจืึทื ื ืืืขืจืกืืข (ื ืืืืขืืืขืจ 2016) ืคืื ืืขื ืงืึทื ืึทื ืึผืืื ืื ืคืืืืขื ืืข ืืึทืคึฟืขืื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ ืึทืืจืขืกืขืก:
- hxxp://cainmoon(.)net/r/z.php
- hxxp://rtm(.)dev/0-3/z.php
- hxxp://vpntap(.)top/r/z.php
4.3.2. .ืืื ืืึธืืืืื ื
ืืื ืื ืืขืฆืืข RTM ืกืึทืืคึผืึทืื, ืืืืจืื ืคืึทืจืืื ืื ืฆื C&C ืืึธืืืืื ื ื ืืฆื ืื .bit TLD ืฉืคึผืืฅ-ืืืจืื ืคืขืื. ืขืก ืืื ื ืืฉื ืืืืฃ ืื ICANN (Domain Name and Internet Corporation) ืจืฉืืื ืคืื ืฉืคึผืืฅ-ืืืจืื ืืึธืืืืื ื. ืึทื ืฉืืึธื, ืขืก ื ืืฆื ืื Namecoin ืกืืกืืขื, ืืืึธืก ืืื ืืขืืืื ืืืืฃ ืฉืคึผืืฅ ืคืื ืืืืงืึธืื ืืขืื ืึธืืึธืืืข. ืืึทืืืืึทืจืข ืืืืจืื ืืึธื ื ืื ืึธืคื ื ืืฆื ืื .bit TLD ืคึฟืึทืจ ืืืืขืจ ืืึธืืืืื ื, ืืึธืืฉ ืึท ืืืืฉืคึผืื ืคืื ืึทืืึท ื ืืฆื ืืื ืคืจืืขืจ ืืืืขืจืงื ืืื ืึท ืืืขืจืกืืข ืคืื โโืื Necurs ืืึธืื ืขื.
ื ืื ืขื ืืขื ืืืืงืึธืื, ื ืืฆืขืจืก ืคืื ืื ืคืื ืื ืืขืจืืขืืืืื Namecoin ืืึทืืึทืืืืก ืืึธืื ืื ืคืืืืงืืื ืฆื ืจืึทืืขืืืขื ืืึทืื. ืื ืืืืคึผื ืึทืคึผืืึทืงืืืฉืึทื ืคืื ืืขื ืฉืืจืื ืืื ืื .ืืื ืฉืคึผืืฅ-ืืืจืื ืคืขืื. ืืืจ ืงืขื ืขื ืจืขืืืกืืจืืจื ืืึธืืืืื ื ืืืึธืก ืืืขื ืืืื ืกืืึธืจื ืืื ืึท ืคืื ืื ืืขืจืืขืืืืื ืืึทืืึทืืืืก. ืื ืงืึธืจืึทืกืคึผืึทื ืืื ื ืืืื ืกื ืืื ืื ืืึทืืึทืืืืก ืึทื ืืืึทืืื IP ืืืขื ืื ืจืืืึทืืืื ืืืจื ืื ืคืขืื. ืืขื ืืื ืืื "ืฆืขื ืืืจ-ืงืขืื ืฉืืขืืืง" ืืืืึทื ืืืืื ืืขืจ ืจืขืืืกืืจืึทื ื ืงืขื ืขื ืืืืฉื ืื ืืึทืืืึธืืข ืคืื โโืื .ืืื ืคืขืื. ืืขื ืืืื ืึทื ืขืก ืืื ืคืื ืืขืจ ืฉืืืขืจ ืฆื ืืึทืืื ืึท ืืืืืข ืคืขืื ื ืืฆื ืืขื ืืืคึผ ืคืื TLD.
ืื RTM Trojan ืืื ื ืืฉื ืืืืขื ืื ืืืืืืืืืจื ื ืืืืืง ืฆื ืืืืขื ืขื ืื ืคืื ืื ืืขืจืืขืืืืื ื ืึทืืขืงืึธืื ืืึทืืึทืืืืก. ืขืก ื ืืฆื ืืืืคื ืื ืก ืกืขืจืืืขืจืก ืึทืืึท ืืื dns.dot-bit.org ืึธืืขืจ OpenNic ืกืขืจืืืขืจืก ืฆื ืืึทืืื .ืืื ืืึธืืืืื ื. ืืขืจืืืขืจ, ืขืก ืืื ืื ืืขืืืข ืืขืืืขืจ ืืื ืื ืก ืกืขืจืืืขืจืก. ืืืจ ืืืืขืจืงื ืึทื ืขืืืขืืข ืืึทื ืฉืึทืคึฟื ืืึธืืืืื ื ืืขื ืขื ื ืื ืืขืจ ืืืืขืงืืึทื ื ืึธื ืืขืจืืื ื ืืื ืึท ืืืึธื ืคึผืึธืกืื.
ืื ืื ืืขืจ ืืืึทืืข ืคืื โโืื .bit TLD ืคึฟืึทืจ ืืึทืงืขืจื ืืื ืคึผืจืืึทื. ืฆื ืคืึทืจืฉืจืืึทืื ืึท ืคืขืื, ืึธืคึผืขืจืืืืขืจื ืืึทืจืคึฟื ืฆื ืฆืึธืื ืืืืื 0,01 NK, ืืืึธืก ืงืึธืจืึทืกืคึผืึทื ืื ืฆื $ 0,00185 (ืืื ืคืื 5 ืืขืฆืขืืืขืจ 2016). ืคึฟืึทืจ ืคืึทืจืืืืึทื, domain.com ืงืึธืก ืืืึท ืืื ืืกืืขืจ $ 10.
4.3.3. ืคึผืจืึธืืึธืงืึธื
ืฆื ืืืขืจืืขืื ืืื ืื ืืึทืคึฟืขื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ, RTM ื ืืฆื HTTP POST ืจืืงืืืขืก ืืื ืืึทืื ืคืึธืจืืึทืืืขื ืืื ืึท ืื ืื ืคึผืจืึธืืึธืงืึธื. ืืขืจ ืืจื ืืืขืจื ืืื ืฉืืขื ืืืง /r/z.php; ืืึธืืืืืึท/5.0 ืืึทื ืืฆืขืจ ืึทืืขื ื (ืงืึทืืคึผืึทืืึทืืึทื; MSIE 9.0; Windows NT 6.1; Trident/5.0). ืืื ืจืืงืืืขืก ืฆื ืื ืกืขืจืืืขืจ, ืื ืืึทืื ืืขื ืขื ืคืึธืจืืึทืืืขื ืืื ืืืื, ืืื ืื ืคืึธืืึธ ืืืึทืืืขืก ืืขื ืขื ืืืืกืืขืืจืืงื ืืื ืืืืขืก:
ืืืืขืก 0 ืฆื 6 ืืขื ืขื ื ืืฉื ืงืึธืืขื; ืืืืขืก ืกืืึทืจืืื ื ืคืื 6 ืืขื ืขื ืขื ืงืึธืืืื ืืื ืึท ืืึทืืึทืคืืื RC4 ืึทืืืขืจืืืึทื. ืื ืกืืจืืงืืืจ ืคืื ืื C&C ืขื ืืคืขืจ ืคึผืึทืงืึทื ืืื ืกืืืคึผืืขืจ. ืืืืขืก ืืขื ืขื ืขื ืงืึธืืืื ืคืื 4 ืฆื ืคึผืึทืงืึทื ืืจืืืก.
ืื ืจืฉืืื ืคืื ืืขืืืขื ืืืึทืืืขืก ืคืื ืงืึทืืฃ ืืืื ืืื ืืขืจืืื ืื ืืื ืื ืืืฉ ืืื ืื:
ืื ืืึทืืืืึทืจืข ืฉืืขื ืืืง ืงืึทืืงืืึทืืืืฅ ืื CRC32 ืคืื ืื ืืขืงืจืืคึผืืื ืืึทืื ืืื ืงืึทืืคึผืขืจื ืขืก ืืื ืืืึธืก ืืื ืคืึธืจืฉืืขืื ืืื ืื ืคึผืึทืงืึทื. ืืืื ืืื ืึทื ืืขืจืฉ, ืื ืืจืึธืืืฉืึทื ืืจืืคื ืก ืื ืคึผืึทืงืึทื.
ืื ื ืึธื ืืึทืื ืงืขื ืึทื ืืืึทืืื ืคืึทืจืฉืืื ืึทืืืืฉืขืงืฅ, ืึทืจืืึทื ืืขืจืขืื ื ืึท PE ืืขืงืข, ืึท ืืขืงืข ืฆื ืืืื ืืื ืืขืจ ืืขืงืข ืกืืกืืขื, ืึธืืขืจ ื ืืึทืข ืืึทืคึฟืขื URL ืก.
4.3.4. ืืึทืคืืืข
ืืืจ ืืืืขืจืงื ืึทื RTM ื ืืฆื ืึท ืืึทืคืืืข ืืืืฃ C&C ืกืขืจืืืขืจืก. ืกืงืจืขืขื ืฉืึธื ืืื ืื:
4.4. ืืึทืจืึทืงืืขืจืืกืืืฉ ืฆืืืื
ืจืื ืืื ืึท ืืืคึผืืฉ ืืึทื ืงืื ื ืืจืึธืืืฉืึทื. ืขืก ืืื ืงืืื ืืืขืจืจืึทืฉื ืึทื ืึธืคึผืขืจืืืืขืจื ืืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืงืึธืจืื ืก ืกืืกืืขื. ืืืืฃ ืื ืืืื ืืึทื ื, ืื ืืึธื ืงืึทืืขืงืฅ ืึทืืืขืืืื ืข ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืึทืก. ืืืืฃ ืื ืื ืืขืจืข ืืึทื ื, ืขืก ืืขืคืื ื ืืืืก ืฆื ืื ืงืึทืืคึผืจืึทืืืืื ืกืืกืืขื ืึผืืื ืึทืืจืืืืืฅ ืคึฟืึทืจืืื ืื ืืื ืจืืกืืฉ ืืืืึทื ืืึทื ืงืื ื ืกืืกืืขืืขื.
4.4.1. ืึทืืืขืืืื ืข ืืื ืคึฟืึธืจืืึทืฆืืข
ืืืขื ืืึทืืืืึทืจืข ืืื ืืื ืกืืึทืืืจื ืึธืืขืจ ืืึธื ืืฉื ื ืึธื ืึท ืจืขืืึธืึธื, ืึท ืืึทืจืืื ืืื ืืขืฉืืงื ืฆื ืื ืืึทืคึฟืขื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ ืืื ืืขื ืขืจืึทื ืืื ืคึฟืึธืจืืึทืฆืืข ืึทืจืืึทื ืืขืจืขืื ื:
- ืฆืืึทื ืืึธื ืข;
- ืคืขืืืงืืึทื ืกืืกืืขื ืฉืคึผืจืึทื;
- ืึธืืขืจืืืื ืืึทื ืืฆืขืจ ืงืจืึทืืขื ืืฉืึทืื;
- ืคึผืจืึทืกืขืก ืึธืจื ืืืขืืงืืึทื ืืืจืื;
- ื ืืืขื;
- ืงืึธืืคึผืืืืขืจ ื ืึธืืขื;
- OS ืืืขืจืกืืข;
- ื ืึธื ืืื ืกืืึทืืืจื ืืึทืืืฉืืื;
- ืืื ืกืืึทืืืจื ืึทื ืืืืืืจืืก ืคึผืจืึธืืจืึทื;
- ืจืฉืืื ืคืื ืงืืื ืงืึธืจื ืืืืขื ืขืจ.
4.4.2 ืืืืึทื ืืึทื ืงืื ื ืกืืกืืขื
ื ืืืคึผืืฉ ืืจืึธืืืฉืึทื ืฆืื ืืื ืึท ืืืืึทื ืืึทื ืงืื ื ืกืืกืืขื, ืืื RTM ืืื ืงืืื ืืืกื ืขื. ืืืื ืขืจ ืคืื ืื ืืึทืืืฉืืื ืคืื ืื ืคึผืจืึธืืจืึทื ืืื ืืขืจืืคื TBdo, ืืืึธืก ืคึผืขืจืคืึธืจืื ืคืึทืจืฉืืื ืืึทืกืงืก, ืึทืจืืึทื ืืขืจืขืื ื ืกืงืึทื ืื ื ืืืกืงืก ืืื ืืจืึทืืืื ื ืืขืฉืืืืข.
ืืืจื ืกืงืึทื ืื ื ืื ืืืกืง, ืื ืืจืึธืืืฉืึทื ืืฉืขืงืก ืฆื ืืึทื ืงืื ื ืืืืืืืืืจื ืืื ืืื ืกืืึทืืืจื ืืืืฃ ืื ืืึทืฉืื. ืื ืคืื ืจืฉืืื ืคืื ืฆืื ืืืืื ืืื ืืื ืื ืืืฉ ืืื ืื. ื ืึธื ืืืืขืงืืึทื ืึท ืืขืงืข ืคืื โโืืื ืืขืจืขืก, ืื ืคึผืจืึธืืจืึทื ืกืขื ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืฆื ืื ืืึทืคึฟืขื ืกืขืจืืืขืจ. ืื ืืืืึทืืขืจ ืึทืงืฉืึทื ื ืึธืคืขื ืืขื ืืืืฃ ืื ืืึธืืืง ืกืคึผืขืกืืคืืขื ืืืจื ืื ืืึทืคึฟืขื ืฆืขื ืืขืจ (C&C) ืึทืืืขืจืืืึทืื.
RTM ืืืื ืืืื ืคึฟืึทืจ URL ืคึผืึทืืขืจื ื ืืื ืืืื ืืืขืืขืจืขืจ ืืขืฉืืืืข ืืื ืขืคืขื ืขื ืืึทืืก. ืืื ืึทืืืฉืึทื, ืื ืคึผืจืึธืืจืึทื ืืืืึทืืึทื ื ืื ื ืืฆื ืคืื FindNextUrlCacheEntryA ืืื FindFirstUrlCacheEntryA ืคืึทื ืืงืฉืึทื ื, ืืื ืืืื ืืฉืขืง ืืขืืขืจ ืคึผืึธืืืฆืืข ืฆื ืืืืึทืื ืื URL ืฆื ืืืื ืขืจ ืคืื ืื ืคืืืืขื ืืข ืคึผืึทืืขืจื ื:
ื ืึธื ืืืืขืงืืึทื ืขืคืขื ืขื ืืึทืืก, ืื ืืจืึธืืืฉืึทื ืงืึธื ืืึทืงื Internet Explorer ืึธืืขืจ Firefox ืืืจื ืื ืืื ืึทืืืฉ ืืึทืืึท ืขืงืกืืฉืึทื ืืข (DDE) ืืขืงืึทื ืืืึทื ืฆื ืงืึธื ืืจืึธืืืจื ืฆื ืื ืงืืืืื ืฉืืืขืืขืืขื ืฆื ืืขื ืืืกืืขืจ.
ืงืึธื ืืจืึธืืืจืื ื ืืืื ืืจืึทืืืื ื ืืขืฉืืืืข ืืื ืขืคืขื ืขื ืืึทืืก ืืื ืืืจืืืขืงืึธืื ืืื ืึท WHILE ืฉืืืืฃ (ืึท ืฉืืืืฃ ืืื ืึท ืคึผืจืืงืึทื ืืืฉืึทื) ืืื ืึท 1 ืจืืข ืืจืขืื ืฆืืืืฉื ืืฉืขืงืก. ืื ืืขืจืข ืืึทืื ืืืึธืก ืืขื ืขื ืืึธื ืืืึธืจืขื ืืื ืคืึทืงืืืฉ ืฆืืื ืืืขื ืืืื ืืืกืงืึทืกื ืืื ืึธืคึผืืืืืื ื 4.5.
ืืืื ืึท ืืืกืืขืจ ืืื ืืขืคึฟืื ืขื, ืื ืคึผืจืึธืืจืึทื ืจืืคึผืึธืจืฅ ืืขื ืฆื ืื ืืึทืคึฟืขื ืกืขืจืืืขืจ ื ืืฆื ืึท ืจืฉืืื ืคืื ืกืืจืื ืืก ืคืื ืื ืคืืืืขื ืืข ืืืฉ:
4.5 ืืึธื ืืืึธืจืื ื
ืืฉืขืช ืื ืืจืึธืืืฉืึทื ืืื ืคืืืกื ืืืง, ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืืึทืจืึทืงืืขืจืืกืืืฉ ืคึฟืขืึดืงืืืื ืคืื ืื ืื ืคืขืงืืึทื ืกืืกืืขื (ืึทืจืืึทื ืืขืจืขืื ื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืืืึทืืืึทื ืคืื ืืึทื ืงืื ื ืืืืืืืืืจื) ืืื ืืขืฉืืงื ืฆื ืื ืืึทืคึฟืขื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ. ืคืื ืืขืจืคึผืจืื ืืื ื ืึทืงืขืจื ืืืขื RTM ืขืจืฉืืขืจ ืืืืคื ืื ืืึธื ืืืึธืจืื ื ืกืืกืืขื ืืื ื ืึธื ืื ืขืจืฉื ืึทืก ืืืขืจืงืืงื.
4.5.1. ืืืืึทื ืืึทื ืงืื ื
ืื TBdo ืืึธืืืืข ืืื ืืืื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืืึธื ืืืึธืจืื ื ืืึทื ืงืื ื-ืคึฟืึทืจืืื ืืขื ืข ืคึผืจืึทืกืขืกืึทื. ืขืก ื ืืฆื ืืื ืึทืืืฉ ืืึทืื ืืืขืงืกื ืฆื ืงืึธื ืืจืึธืืืจื ืืึทืืก ืืื Firefox ืืื Internet Explorer ืืขืฉืึทืก ืืขืจ ืขืจืฉื ืืืขืจืงืืงื. ืื ืื ืืขืจ TShell ืืึธืืืืข ืืื ืืขื ืืฆื ืฆื ืืึธื ืืืึธืจ ืืึทืคึฟืขืื ืคึฟืขื ืฆืืขืจ (Internet Explorer ืึธืืขืจ File Explorer).
ืืขืจ ืืึธืืืืข ื ืืฆื ืื ืงืึทื ืื ืืขืจืคืืืกืื IShellWindows, iWebBrowser, DWebBrowserEvents2 ืืื IConnectionPointContainer ืฆื ืืึธื ืืืึธืจ ืคึฟืขื ืฆืืขืจ. ืืืขื ืึท ืืึทื ืืฆืขืจ ื ืึทืืืืืืจื ืฆื ืึท ื ืืึทืข ืืืขืืืืืื, ืื ืืึทืืืืึทืจืข ืืขืจืืช ืืึธืก. ืืขืจื ืึธื ืงืึทืืคึผืขืจื ืื URL ืคืื ืื ืืืึทื ืืื ืื ืืืืื ืคึผืึทืืขืจื ื. ื ืึธื ืืืืขืงืืึทื ืึท ืืืืึทืื, ืื ืืจืึธืืืฉืึทื ื ืขืื ืืขืงืก ืงืึธื ืกืขืงืืืืืืข ืกืงืจืขืขื ืฉืึธืฅ ืืื ืึท ืืขืืึทืืขื ืคืื 5 ืกืขืงืื ืืขืก ืืื ืกืขื ืื ืืื ืฆื ืื C&S ืืึทืคึฟืขืื ืกืขืจืืืขืจ. ืืขืจ ืคึผืจืึธืืจืึทื ืืืื ืืฉืขืง ืขืืืขืืข ืคึฟืขื ืฆืืขืจ ื ืขืืขื ืฉืืึทืืืช ืฆื ืืึทื ืงืื ื ืืืืืืืืืจื - ืื ืคืื ืจืฉืืื ืืื ืืื ืื:
4.5.2. ืกืืึทืจื ืงืึธืจื
RTM ืึทืืึทืื ืืืจ ืฆื ืืึธื ืืืึธืจ ืกืืึทืจื ืงืึทืจืื ืืืืขื ืขืจ ืคืืจืืื ืื ืฆื ืื ืคืขืงืืึทื ืงืึธืืคึผืืืืขืจืก. ืื ืืขืืืืกืขืก ืืขื ืขื ืืขื ืืฆื ืืื ืขืืืขืืข ืืขื ืืขืจ ืฆื ืฉืึธืืขื ืืึทืื ืฆืึธืืื ื ืึธืจืืขืจืก. ืืืื ืืขื ืืืคึผ ืคืื ืืืื ืืื ืึทืืึทืืฉื ืฆื ืึท ืงืึธืืคึผืืืืขืจ, ืขืก ืงืขื ืึธื ืืืืึทืื ืฆื ืึท ืืจืึธืืืฉืึทื ืึทื ืื ืืึทืฉืื ืืื ืืขื ืืฆื ืคึฟืึทืจ ืืึทื ืงืื ื ืืจืึทื ืืึทืงืฉืึทื ื.
ื ืื ืขื ืืขื ืื ืืขืจืข ืืึทื ืงืื ื ืืจืึธืืืฉืึทื ืก, RTM ืงืขื ื ืืฉื ืื ืืขืจืึทืงื ืืื ืึทืืึท ืงืืื ืงืึทืจืืก. ืืึธืืขืจ ืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืืื ืึทืจืืึทื ืืขืจืขืื ื ืืื ืึทื ื ืึธื ืืึธืืืืข ืืืึธืก ืืืจ ืืึธืื ื ืืฉื ืืขืืขื ื ืึธื.
4.5.3. ืงืืืืึธืืืขืจ
ืึท ืืืืืืืง ืืืื ืคืื ืืึธื ืืืึธืจืื ื ืึท ืื ืคืขืงืืึทื ืคึผืืกื ืืื ืงืึทืคึผืืฉืขืจืื ื ืงืืกืืจืึธืืงืก. ืขืก ืืืื ื ืึทื ืื RTM ืืขืืืขืืึธืคึผืขืจืก ืืขื ืขื ื ืืฉื ืคืขืื ืืืง ืงืืื ืืื ืคึฟืึธืจืืึทืฆืืข, ืืืืึทื ืืื ืืึธื ืืืึธืจ ื ืื ืืืืื ืจืขืืืืขืจ ืฉืืืกืืขื, ืึธืืขืจ ืืืื ืื ืืืืจืืืึทื ืงืืึทืืืืึทืืืจ ืืื ืงืืืคึผืืึธืจื.
ืฆื ืืึธื ืืึธืก, ื ืืฆื ืื SetWindowsHookExA ืคึฟืื ืงืฆืืข. ืึทืืึทืงืขืจื ืงืืึธืฅ ืื ืงืื ืืขืืจืืงื ืึธืืขืจ ืื ืฉืืืกืืขื ืงืึธืจืึทืกืคึผืึทื ืืื ื ืฆื ืื ืืืืจืืืึทื ืงืืึทืืืืึทืืืจ, ืฆืืืืืขื ืืื ืื ื ืึธืืขื ืืื ืืึทืืข ืคืื โโืื ืคึผืจืึธืืจืึทื. ืืขืจ ืืึทืคืขืจ ืืื ืืขืจื ืึธื ืืขืฉืืงื ืฆื ืื C&C ืืึทืคึฟืขืื ืกืขืจืืืขืจ.
ืื SetClipboardViewer ืคืื ืงืฆืืข ืืื ืืขื ืืฆื ืฆื ืื ืืขืจืกืขืคึผื ืื ืงืืืคึผืืึธืจื. ืืึทืงืขืจื ืงืืึธืฅ ืื ืืื ืืึทืื ืคืื ืื ืงืืืคึผืืึธืจื ืืืขื ืื ืืึทืื ืืขื ืขื ืืขืงืกื. ืืขืจ ื ืึธืืขื ืืื ืืึทืืข ืืขื ืขื ืืืื ืืึธืื ืืืืืขืจ ืื ืืึทืคืขืจ ืืื ืืขืฉืืงื ืฆื ืื ืกืขืจืืืขืจ.
4.5.4. ืกืงืจืขืขื ืฉืึธืฅ
ืื ืื ืืขืจ RTM ืคืื ืงืฆืืข ืืื ืกืงืจืขืขื ืฉืึธื ืื ืืขืจืกืขืคึผืฉืึทื. ืืขืจ ืฉืืจืื ืืื ืืขืืืขื ืื ืืืขื ืื ืคึฟืขื ืฆืืขืจ ืืึธื ืืืึธืจืื ื ืืึธืืืืข ืืืืขืงืฅ ืึท ืคึผืืึทืฅ ืึธืืขืจ ืืึทื ืงืื ื ืืืืืืืืืจื ืคืื ืืื ืืขืจืขืก. ืกืงืจืขืขื ืฉืึธืฅ ืืขื ืขื ืืขื ืืืขื ืืื ืึท ืืืืืืึธืืขืง ืคืื ืืจืึทืคืืง ืืืืืขืจ ืืื ืืจืึทื ืกืคืขืจื ืฆื ืื ืืึทืคึฟืขื ืกืขืจืืืขืจ.
4.6. ืื ืื ืกืืึทืืืึทืืืึธื
ืื C&C ืกืขืจืืืขืจ ืงืขื ืขื ืืึทืืื ืื ืืึทืืืืึทืจืข ืคืื โโืคืืืกื ืืืง ืืื ืจืืื ืืืื ืงืึธืืคึผืืืืขืจ. ืืขืจ ืืึทืคึฟืขื ืึทืืึทืื ืืืจ ืฆื ืืืกืืขืงื ืืขืงืขืก ืืื ืจืขืืืกืืจื ืืืื ืกื ืืืฉืืคื ืืฉืขืช RTM ืืื ืคืืืกื ืืืง. ืืขืจ ืืื ืืื ืืขืืึธืื ืืขื ืืฆื ืฆื ืืึทืืืึทืืืงื ืื ืืึทืืืืึทืจืข ืืื ืื ืืืื ืืึธืืึธื ืืขืงืข, ื ืึธื ืืืึธืก ืื ืืึทืคึฟืขื ืคืึทืจืืึทืื ืื ืงืึธืืคึผืืืืขืจ. ืืื ืืขืืืืื ืืื ืื ืืืื ืืื ืื, ืื ืืื ืืื ืึทืืืขืงืืขื ืืืขื ืืืจื ืืขืืืขืืึธืคึผืขืจืก ื ืืฆื erase.dll.
ืืขืจ ืกืขืจืืืขืจ ืงืขื ืขื ืฉืืงื ืื ืืจืึธืืืฉืึทื ืึท ืืขืกืืจืืงืืืืืข ื ืขื ืึทืืืขืง-ืฉืืึธืก ืืึทืคึฟืขื. ืืื ืืขื ืคืึทื, ืืืื ืืืจ ืืึธื ืึทืืืื ืืกืืจืึทืืึธืจ ืจืขืื, RTM ืืืขื ืืืกืืขืงื ืื MBR ืฉืืืืื ืกืขืงืืึธืจ ืืืืฃ ืื ืฉืืืขืจ ืคืึธืจ. ืืืื ืืึธืก ืงืขื ื ืืฉื ืึทืจืืขืื, ืื ืืจืึธืืืฉืึทื ืืืขื ืคึผืจืืืืจื ืฆื ืืืขืจืจืืง ืื MBR ืฉืืืืื ืกืขืงืืึธืจ ืฆื ืึท ืืจืึทืค ืกืขืงืืึธืจ - ืืขืจ ืงืึธืืคึผืืืืขืจ ืืืขื ื ืืฉื ืงืขื ืขื ืฆื ืฉืืืืื ืื ืึทืก ื ืึธื ืฉืึทืืืึทืื. ืืึธืก ืงืขื ืคืืจื ืฆื ืึท ืืึทื ืฅ ืจืืื ืกืืึทืืืึทื ื ืคืื ืื ืึทืก, ืืืึธืก ืืืื ืื ืฆืขืฉืืขืจืื ื ืคืื ืืึธืื.
ืึธื ืึทืืืื ืืกืืจืึทืืึธืจ ืคึผืจืืืืืืึทืืืฉืึทื, ืื ืืึทืืืืึทืจืข ืฉืจืืืื ืึทื. ืขืงืกืข ืงืึธืืขื ืืื ืื ืึทื ืืขืจืืืืื ื ืจืื ืืื. ืื ืขืงืกืขืงืืืึทืืืข ืขืงืกืึทืงืืืฅ ืื ืงืึธื ืืืจืฃ ืฆื ืคืึทืจืืึทืื ืื ืงืึธืืคึผืืืืขืจ ืืื ืจืขืืืฉืืกืืขืจื ืื ืืึธืืืืข ืืื ืื HKCUCurrentVersionRun ืจืขืืืกืืจื ืฉืืืกื. ืืขืืขืจ ืืึธื ืืขืจ ืืึทื ืืฆืขืจ ืกืืึทืจืฅ ืึท ืกืขืกืืข, ืืขืจ ืงืึธืืคึผืืืืขืจ ืืื ืฉืึทื ืึทืจืึธืคึผ.
4.7. ืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืขืงืข
ืืืจื ืคืขืืืงืืึทื, RTM ืืื ืึผืืขื ืงืืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืขืงืข, ืึธืืขืจ ืื ืืึทืคึฟืขื ืืื ืงืึธื ืืจืึธื ืกืขืจืืืขืจ ืงืขื ืขื ืฉืืงื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืืึทืืืขืก ืืืึธืก ืืืขื ืืืื ืกืืึธืจื ืืื ืื ืจืขืืืกืืจื ืืื ืืขืืืืื ื ืืืจื ืื ืคึผืจืึธืืจืึทื. ืื ืจืฉืืื ืคืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืฉืืืกืืขื ืืื ืืขืจืืื ืื ืืื ืื ืืืฉ ืืื ืื:
ืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืื ืกืืึธืจื ืืื ืื ืืืืืืืืืจื [ืคึผืกืขืืืืึธ-ืจืึทื ืืึธื ืฉืืจืืงื] ืจืขืืืกืืจื ืฉืืืกื. ืืขืืขืจ ืืืขืจื ืงืึธืจืึทืกืคึผืึทื ืื ืฆื ืืืื ืขืจ ืคืื ืื ืจืึธืื ืืขืจืืื ืื ืืื ืื ืคืจืืขืจืืืงืข ืืืฉ. ืืืึทืืืขืก ืืื ืืึทืื ืืขื ืขื ืงืึธืืขื ืืื ืื RC4 ืึทืืืขืจืืืึทื ืืื RTM.
ืื ืืึทืื ืืึธืื ืื ืืขืืืข ืกืืจืืงืืืจ ืืื ืึท ื ืขืฅ ืึธืืขืจ ืกืืจืื ืืก. ื ืคืืจ-ืืืืข XOR ืฉืืืกื ืืื ืืืกืืฃ ืืื ืื ืึธื ืืืื ืคืื ืื ืขื ืงืึธืืืื ืืึทืื. ืคึฟืึทืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืืืึทืืืขืก, ืื XOR ืฉืืืกื ืืื ืึทื ืืขืจืฉ ืืื ืืขืคึผืขื ืืก ืืืืฃ ืื ืืจืืืก ืคืื ืื ืืืขืจื. ืขืก ืงืขื ืขื ืืืื ืงืึทืืงืืึทืืืืืื ืืื ืืืื:
ืงืกืึธืจ_ืงืื = (ืืขื (ืงืึธื ืคืื_ืืืึทืืื) <<24) | (len (config_value) <<16)
| len(config_value)| (len (config_value) <<8)
4.8. ืื ืืขืจืข ืคึฟืขืึดืงืืืื
ืืขืจื ืึธื, ืืึธืืืจ ืืขื ืื ืืขืจืข ืคืึทื ืืงืฉืึทื ื ืืืึธืก RTM ืฉืืืฆื.
4.8.1. ื ืึธื ืืึทืืืฉืืื
ืื ืืจืึธืืืฉืึทื ืืืื ื ืึธื ืืึทืืืฉืืื, ืืืึธืก ืืขื ืขื ืืื ืืขืงืขืก. ืืึธืืืืขืก ืืขืฉืืงื ืคึฟืื ืื C&C ืืึทืคึฟืขืื ืกืขืจืืืขืจ ืงืขื ืขื ืืืื ืขืงืกืึทืงืืืืึทื ืืื ืคืื ืืจืืืกื ืืืง ืืืืื, ืฉืคืืืื ืืื ืืึทืจืึทื ืืื ืืึธื ืืฉื ืืื ื ืืึทืข ืคึฟืขืืขื. ืคึฟืึทืจ ืกืืึธืจืืืืฉ, ืืึทืืืฉืืื ืืขื ืขื ืืขืจืืืขืืืขื ืืื. ืืื ืืขืงืขืก ืืื ืงืึธืืขื ื ืืฆื ืื RC4 ืึทืืืขืจืืืึทื ืืื ืืขืจ ืืขืืืืงืขืจ ืฉืืืกื ืืขื ืืฆื ืคึฟืึทืจ ื ืขืฅ ืงืึธืืื ืืงืึทืฆืืข.
ืืื ืืืฆื, ืืืจ ืืึธืื ืืืืขืจืงื ืื ืืึทื ืืึธื ืืืจืื ื ืคืื ืื VNC ืืึธืืืืข (8966319882494077C21F66A8354E2CBCA0370464), ืื ืืืขืืขืจืขืจ ืืึทืื ืืงืกืืจืึทืงืฉืึทื ืืึธืืืืข (03DE8622BE6B2F75A364A275995C3411626C4E9C1C2C1F) 562FBA1B 69BE6D58B88753E7CFAB).
ืฆื ืืึธืื ืื ืืื ืง ืืึธืืืืข, ืื C&C ืกืขืจืืืขืจ ืึทืจืืืกืืขืื ืึท ืืึทืคึฟืขื ืจืืงืืืขืกืืื ื ืงืึทื ืขืงืฉืึทื ื ืฆื ืื ืืื ืง ืกืขืจืืืขืจ ืืื ืึท ืกืคึผืขืฆืืคืืฉ ืืคึผ ืึทืืจืขืก ืืืืฃ ืคึผืึธืจื 44443. ืืขืจ ืืืขืืขืจืขืจ ืืึทืื ืจืืืจืืืืึทื ืคึผืืืืื ืขืงืกืึทืงืืืฅ ืืืจืึธืืืกืขืจืืึทืืึทืงืึธืืืขืงืืึธืจ, ืืืึธืก ืงืขื ืขื ืืืืขื ืขื ืืืืกื ืืจืึทืืืื ื ืืขืฉืืืืข. ืืขืจื ืึธื ืขืก ืกืขื ืื ืื ืคืื ืจืฉืืื ืคืื ืืืืืื URL ืก ืฆื ืื C&C ืืึทืคึฟืขืื ืกืขืจืืืขืจ.
ืื ืืขืฆืืข ืืึธืืืืข ืืืกืงืึทืืืขืจื ืืื ืืขืจืืคื 1c_2_kl. ืขืก ืงืขื ืขื ืื ืืขืจืึทืงื ืืื ืื 1C Enterprise ืืืืืืืืืจื ืคึผืขืงื. ืืขืจ ืืึธืืืืข ืืืื ืฆืืืื ืคึผืึทืจืฅ: ืืขืจ ืืืืคึผื ืืืื - ืืื ืืื ืฆืืืื ืืืขื ืื (32 ืืื 64 ืืืกื), ืืืึธืก ืืืขื ืืืื ืื ืืืฉืขืงืืื ืืื ืืขืืขืจ ืคึผืจืึธืฆืขืก, ืจืขืืืฉืืกืืขืจืื ื ืึท ืืืื ืืื ื ืฆื WH_CBT. ื ืึธื ืืึทืงืขื ืขื ืืื ืื 1C ืคึผืจืึธืฆืขืก, ืืขืจ ืืึธืืืืข ืืืื ืื ืื CreateFile ืืื WriteFile ืคืึทื ืืงืฉืึทื ื. ืืืขื ืื CreateFile ืืขืืื ืื ืคึฟืื ืงืฆืืข ืืื ืืขืจืืคื, ืื ืืึธืืืืข ืกืืึธืจื ืื ืืขืงืข ืืจื 1c_to_kl.txt ืืื ืืึผืจืื. ื ืึธื ืื ืืขืจืกืขืคึผืืื ื ืื WriteFile ืจืืคื, ืขืก ืจืืคื ืื WriteFile ืคึฟืื ืงืฆืืข ืืื ืกืขื ืื ืื ืืขืงืข ืืจื 1c_to_kl.txt ืฆื ืื ืืืืคึผื ืืื ืืึธืืืืข, ืืื ืคืึธืจื ืื ืงืจืึทืคืืขื Windows WM_COPYDATA ืึธื ืืึธื.
ืื ืืืืคึผื ืืื ืืึธืืืืข ืึธืคึผืขื ืก ืืื ืคึผืึทืจืกืขืก ืื ืืขืงืข ืฆื ืืึทืฉืืืกื ืฆืึธืืื ื ืึธืจืืขืจืก. ืขืก ืื ืขืจืงืขื ื ืื ืกืืืข ืืื ืืจืึทื ืกืึทืงืืืึธื ื ืืืขืจ ืงืึทื ืืืื ื ืืื ืืขืจ ืืขืงืข. ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืืขืฉืืงื ืฆื ืื ืืึทืคึฟืขื ืกืขืจืืืขืจ. ืืืจ ืืืืืื ืึทื ืืขื ืืึธืืืืข ืืื ืืขืจืืืืึทื ืืื ืืขืจ ืึทื ืืืืืงืืื ื ืืืืึทื ืขืก ืึผืืื ืึท ืืืืึทื ืึธื ืืึธื ืืื ืงืขื ื ืืฉื ืืืืืึธืืึทืืืฉ ืืึธืืืคืืฆืืจื 1c_to_kl.txt.
4.8.2. ืคึผืจืืืืืืึทืืืฉืึทื ืขืกืงืึทืืืจืื ื
RTM ืงืขื ืคึผืจืืืื ืฆื ืขืกืงืึทืืืื ืคึผืจืืืืืืึทืืืฉืึทื ืืืจื ืืืืึทืื ืืืง ืคืึทืืฉ ืืขืืช ืึทืจืืืงืืขื. ืื ืืึทืืืืึทืจืข ืกืืืืึทืืืืฅ ืึท ืจืขืืืกืืจื ืืฉืขืง (ืืขื ืืืื ืืื ืื) ืึธืืขืจ ื ืืฆื ืึท ืคืึทืงืืืฉ ืจืขืืืกืืจื ืจืขืืึทืงืืึธืจ ืืืงืึทื. ืืืืข ืืึธื ืื ืืืกืคึผืขืืื ื ืืืึทืจืื - ืืืืื. ื ืึธื ืึท ืืืกื ืกืขืงืื ืืขืก ืคืื ืกืงืึทื ืื ื, ืื ืคึผืจืึธืืจืึทื ืืืกืคึผืืืื ืึท ืคืึทืืฉ ืืขืืช ืึธื ืืึธื.
ื ืคืึทืืฉ ืึธื ืืึธื ืืืขื ืืืืื ืึธืคึผื ืึทืจื ืื ืืืจืืฉื ืืืืขื ืืึทื ืืฆืขืจ, ืืจืึธืฅ ืืจืึทืืึทืืืง ืขืจืจืึธืจืก. ืืืื ืืขืจ ืืึทื ืืฆืขืจ ืงืืืงื ืืืืฃ ืืืื ืขืจ ืคืื ืื ืฆืืืื ืืื ืงืก, RTM ืืืขื ืคึผืจืืืื ืฆื ืขืกืงืึทืืืื ืืืื ืคึผืจืืืืืืึทืืืฉืึทื ืืื ืื ืกืืกืืขื.
ื ืึธื ืกืึทืืขืงืืื ื ืืืื ืขืจ ืคืื ืฆืืืื ืึธืคึผืืื ืึธืคึผืฆืืขืก, ืื ืืจืึธืืืฉืึทื ืืึธื ืืฉืื ืื ืืื ืืื ืื Runas ืึธืคึผืฆืืข ืืื ืื ShellExecute ืคืื ืงืฆืืข ืืื ืึทืืืื ืืกืืจืึทืืึธืจ ืคึผืจืืืืืืึทืืืฉืึทื. ืืขืจ ืืึทื ืืฆืขืจ ืืืขื ืืขื ืึท ืคืึทืงืืืฉ Windows ืคึผืื ืืืขื (ืืขื ืืืื ืืื ืื) ืคึฟืึทืจ ืืืื. ืืืื ืืขืจ ืืึทื ืืฆืขืจ ืืื ืื ื ืืืืืง ืคึผืขืจืืืฉืึทื ื, ืื ืืจืึธืืืฉืึทื ืืืขื ืืืืคื ืืื ืึทืืืื ืืกืืจืึทืืึธืจ ืคึผืจืืืืืืึทืืืฉืึทื.
ืืขืคึผืขื ืืื ื ืืืืฃ ืื ืคืขืืืงืืึทื ืฉืคึผืจืึทื ืืื ืกืืึทืืืจื ืืืืฃ ืื ืกืืกืืขื, ืื ืืจืึธืืืฉืึทื ืืืกืคึผืืืื ืืขืืช ืึทืจืืืงืืขื ืืื ืจืืกืืฉ ืึธืืขืจ ืขื ืืืืฉ.
4.8.3. ืกืขืจืืืคืืงืึทื
RTM ืงืขื ืขื ืืืืื ืกืขืจืืืคืืงืึทืฅ ืฆื ืื Windows ืกืืึธืจ ืืื ืืึทืฉืืขืืืงื ืื ืจืืืืืึทืืืืึทืื ืคืื ืื ืึทืืืฉืึทื ืืืจื ืืืืืึธืืึทืืืฉ ืืขืื ืึท ืงืืืง ืืขื "ืืึธ" ืงื ืขืคึผื ืืื ืื csrss.exe ืืืึทืืึธื ืงืขืกืื. ืืขื ืึธืคึผืคืืจืื ื ืืื ื ืืฉื ื ืืึท, ืืืฉื, ืื ืืึทื ืงืื ื ืืจืึธืืืฉืึทื ืจืขืืขืคืข ืงืึทื ืคืขืจืื ืืืื ืื ืืืคึผืขื ืืึทื ืืื ืื ืื ืกืืึทืืืจืื ื ืคืื ืึท ื ืืึท ืืึทืืืืึทืื.
4.8.4. ืคืึทืจืงืขืจื ืงืฉืจ
ืื RTM ืืืืจืื ืืืื ืืืฉืืคื ืืขื Backconnect TCP ืืื ืขื. ืืืจ ืืึธืื ื ืืฉื ืืขืืขื ืืขื ืฉืืจืื ืืื ื ืืฆื ื ืึธื, ืึธืืขืจ ืขืก ืืื ืืืืืื ื ืฆื ืจืืืึธืืืื ืืึธื ืืืึธืจ ืื ืคืขืงืืึทื ืคึผืืกื.
4.8.5. ืืึธืกื ืืขืงืข ืคืึทืจืืืึทืืืื ื
ืื C&C ืกืขืจืืืขืจ ืงืขื ืขื ืฉืืงื ืึท ืืึทืคึฟืขื ืฆื ืื ืืจืึธืืืฉืึทื ืฆื ืืึธืืืคืืฆืืจื ืื Windows ืืึทืืขืืึธืก ืืขืงืข. ืืขืจ ืืึทืืขืืึธืก ืืขืงืข ืืื ืืขื ืืฆื ืฆื ืฉืึทืคึฟื ืื ืื ืื ืก ืจืขืืึทืืืฉืึทื ื.
4.8.6. ืืขืคึฟืื ืขื ืืื ืฉืืงื ืึท ืืขืงืข
ืืขืจ ืกืขืจืืืขืจ ืงืขื ืืขืื ืฆื ืืืื ืืื ืืจืืคืงืืคืืข ืึท ืืขืงืข ืืืืฃ ืื ืื ืคืขืงืืึทื ืกืืกืืขื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืขืฉืึทืก ืื ืคืึธืจืฉืื ื ืืืจ ืืืงืืืขื ืึท ืืงืฉื ืคึฟืึทืจ ืื ืืขืงืข 1c_to_kl.txt. ืืื ืคืจืืขืจ ืืืกืงืจืืืื, ืื ืืขืงืข ืืื ืืืฉืขื ืขืจืืืืึทื ืืืจื ืื 1C: Enterprise 8 ืึทืงืึทืื ืืื ื ืกืืกืืขื.
4.8.7. ืืขืจืืืึทื ืืืงื
ืฆืื ืกืืฃ, RTM ืืืืจืื ืงืขื ืขื ืืขืจืืืึทื ืืืงื ืื ืืืืืืืืืจื ืืืจื ืคืึธืจืืืืื ืึท ื ืืึท ืืื ืฆื ืคืึทืจืืืึทืื ืื ืงืจืึทื ื ืืืขืจืกืืข.
5. ืืกืงื ื
RTM ืก ืคืึธืจืฉืื ื ืืืืืื ืึทื ืื ืจืืกืืฉืข ืืึทื ืงืื ื ืกืืกืืขื ื ืึธื ืึทืืจืึทืงืฅ ืกืืืืขืจ ืึทืืึทืงืขืจื. ืืจืืคึผืขืก ืึทืืึท ืืื ืืืืืจืึทืคึผ, ืงืึธืจืงืึธืื ืืื ืงืึทืจืืึทื ืึทืง ืืฆืืื ืืึทื ืืืขื ืขื ืืขืื ืคืื ืคืื ืึทื ืฆืืขื ืืื ืกืืืืืฆืืขืก ืืื ืืืืขืจ ืงืืืืึทื ืฅ ืืื ืจืืกืืึทื ื. RTM ืืื ืึท ื ืืึทืข ืฉืคึผืืืขืจ ืืื ืืขื ืืื ืืืกืืจืืข.
ืืืืืข RTM ืืืฉืืจืื ืืึธืื ืฉืืื ืืื ื ืืฆื ืืื ื ืืืึท ืืื ืืกืืขืจ ืฉืคึผืขื 2015, ืืืื ESET ืืขืืขืืขืืจื. ืืขืจ ืคึผืจืึธืืจืึทื ืืื ืึท ืคืื ืงืืื ืคืื ืกืคึผืืืื ื ืงืืืคึผืึทืืืืึทืืื, ืึทืจืืึทื ืืขืจืขืื ื ืืืืขื ืขื ืกืืึทืจื ืงืึทืจืืก, ืื ืืขืจืกืขืคึผืืื ื ืงืืกืืจืึธืืงืก ืืื ืืึธื ืืืึธืจืื ื ืืึทื ืงืื ื ืืจืึทื ืืึทืงืฉืึทื ื, ืืื ืืขืืื ื ืืื ืืืื ืคึฟืึทืจ 1C: Enterprise 8 ืึทืจืืืขืจืคืืจื ืืขืงืขืก.
ืื ื ืืฆื ืคืื ืึท ืืืกืขื ืืจืึทืืืืื, ืึทื ืกืขื ืกืขืจื .ืืื ืฉืคึผืืฅ-ืืืจืื ืคืขืื ืื ืฉืืจื ืืขืืกื ืจืืืืืืึทื ื ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ.
ืืงืืจ: www.habr.com