ืืขืจ ืึทืจืืืงื ืืื ืืืื ืคืื ืื ืคืืืขืืขืกืก ืืึทืืืืึทืจืข ืกืขืจืืข. ืึทืืข ืื ืืขืจืข ืืืืื ืคืื ืืขืจ ืกืขืจืืข:
- Elusive Malware Adventures Part II: Hidden VBA Scripts (ืืืจ ืืขื ืขื ืืึธ)
ืืื ืืื ืึท ืคืึธืืขืจ ืคืื ืืขื ืคึผืืึทืฅ (ืืืืจืื ืึทื ืึทืืืกืืก, ืืขืจื ืึธืืืขื ืืึท). ืืึธืก ืืื ืึท ืืื ืคืื ืืึทืืืืึทืจืข ืืึธืึธืืึธืืืฉืขืจ ืืึธืจืื ืืื ืืืจ ืงืขื ืขื ืืขืฉืึธืืขื ืึธืืกืขืจืืืืจื ืืืืื "ืคึผืขืืืืืขืจื" ืคึฟืื ืึท ืืืืขืจ ืืืืึทืืงืืื ืึธื ืึทืืึทืงืืจื. HA ืืืืคื ืืึทืืืืึทืจืข ืืื ืืืืขืจ ืื ืืืืืจืึทื ืืึทื ืฅ, ืจืขืงืึธืจืืืจื โโืกืืกืืขื ืงืึทืืืก, ืืืฉืขื ืขืจืืืืึทื ืืขืงืขืก ืืื ืืื ืืขืจื ืขื ืคืึทืจืงืขืจ, ืืื ืืจืขื ืื ืืืจ ืึทืืข ืื ืจืขืืืืืึทืื ืคึฟืึทืจ ืืขืืขืจ ืืืกืืขืจ ืขืก ืึทื ืึทืืืืขืก. ืืืื, ืืืจ ืงืขื ืขื ื ืืฉื ืืืืกื ืืืื ืฆืืื ืืื ืื ืฆื ืกืึทืืืืื ื ืื ืึทืืคืืกืงืืืืื ืงืึธื ืืื, ืึธืืขืจ ืืื ืคึฟืึทืจืฉืืืื ืึทืืข ืื ืื ืืขื ืืฉืึทื ื ืคืื ืืึทืงืขืจื.
ืื HA ืืืืฉืคืืื ืืืึธืก ืืึธืื ืืขืืืคื ืืืื ืืคืืขืจืงืืึทืืงืืื, ื ืืฆื ืงืึธืืขื ืืืฉืึทืืืึทืกืงืจืืคึผื ืึธืืขืจ ืืืืกืืึทื ืืึทืกืืง ืคึฟืึทืจ ืึทืคึผืคึผืืืงืึทืืืึธื ืก (VBA) ืกืงืจืืคึผืก ืขืืืขืืื ืืื ืืึทืงืจืึธืก ืืื ืืืึธืจื ืึธืืขืจ ืขืงืกืกืขื ืืึธืงืืืขื ืื ืืื ืึทืืึทืืฉื ืฆื ืคืืฉืื ื ืืืืืื. ืืืขื ืขืคึฟื ื, ืื ืืึทืงืจืึธืก ืึธื ืืืืื ืึท PowerShell ืกืขืกืืข ืืืืฃ ืื ืงืึธืจืื ืก ืงืึธืืคึผืืืืขืจ. ืืึทืงืขืจื ืืืคึผืืงืื ืฉืืงื ืึท Base64-ืขื ืงืึธืื ืืึทืคึฟืขืื ืืืึทื ืฆื PowerShell. ืืึธืก ืืื ืึทืืข ืืขืืื ืฆื ืืึทืื ืื ืืึทืคืึทืื ืฉืืืขืจ ืฆื ืืขืืขืงื ืืืจื ืืืขื ืคืืืืขืจืก ืืื ืึทื ืืืืืืจืืก ืืืืืืืืืจื ืืืึธืก ืจืืกืคึผืึทื ื ืฆื ืืืืขืจ ืืขืจืืื ืขื.
ืฆืื ืืืืง, HA ืืืืืึธืืึทืืืฉ ืืขืงืึธืืขืก Base64 ืืื ืืืืื ืืืืึทืื ืึทืืฅ ืืื ืึท ืืืื ืขืืืืืง ืคืึธืจืขื. ืืกืขื ืฉืึทืื, ืืืจ ืืึธื ื ืื ืืึธืื ืฆื ืคืึธืงืืก ืืืืฃ ืืื ืื ืกืงืจืืคึผืก ืึทืจืืขื, ืืืืึทื ืืืจ ืืืขื ืงืขื ืขื ืฆื ืืขื ืื ืคืื ืจืขืืืืืึทื ืคืื ืื ืงืึทืืึทื ืื ืคึฟืึทืจ ืคืืืกื ืืืง ืคึผืจืึทืกืขืกืึทื ืืื ืื ืงืึธืจืึทืกืคึผืึทื ืืื ื ืืึท ืึธืคึผืืืืืื ื. ืืขื ืืืืฉืคึผืื ืืื ืื:
ืืืืจืื ืคึผืึทืจืกืื ื ืื ืืขืจืกืขืคึผื ืื Base64 ืขื ืงืึธืืืื ืงืึทืืึทื ืื ืืขืฉืืงื ืฆื PowerShell:
... ืืื ืืขืืึธืื ืืขืงืึธืืขืก ืืื ืคึฟืึทืจ ืืืจ. #ืืึทืืืฉ
ะ ืืื ืืืฉืืคื ืืืื ืืืืืขื ืข ืึท ืืืกื ืึทืืคืึทืกืงืืืืึทื ืืืฉืึทืืืึทืกืงืจืืคึผื ืงืึทื ืืืื ืขืจ ืฆื ืืืืคื ืึท PowerShell ืกืขืกืืข. ืืืึทื ืฉืจืืคื ืืขืืึธืื, ืืื ืึท ืคึผืืึทืฅ ืคืื PowerShell-ืืืืืจื ืืึทืืืืึทืจืข, ืืึทืื ืืึธืืื ืื ืคืืืืขื ืืข PowerShell ืฉืจืืคื ืคืื ืึท ืืืืึทื ืืืขืืืืืื. ืืขืจื ืึธื, ืืื ืึท ืืืึทืฉืคึผืื, ืืื ืืึทืื ืืึธืืืื ืึท ืืืฉืขืืืขื ืคึผืก ืืืึธืก ืืึธื ืืขืืจืืงื ืึท ืึธื ืืึธื ืืืืฃ ืืขื ืขืงืจืึทื. ืืืขืจ ืฆืืื ืืขื ืขื ืืฉืึทื ืืื ื, ืืื ืืืฆื ืืื ืคืึธืจืฉืืึธืื ืฆื ืงืึธืืคึผืืืฆืืจื ืืขื ืกืฆืขื ืึทืจ.
ืคึผืึธืืืขืจืฉืขืื ืืืืคืขืจืืข ืืื ืคืึทืจืงืขืจื ืฉืขื
ืืืื ืขืจ ืคืื ืื ืฆืืื ืคืื ืืขื ืืขื ืืืื ื ืืื ืฆื ืืืืึทืื ืืื (ืืขืคืืขืจืขื) ืืจืื ื ืขืก ืืื ืคึฟืึทืจ ืึท ืืขืงืขืจ ืฆื ืืืืคึผืึทืก ืงืืึทืกืืฉ ืคึผืขืจืืืขืืขืจ ืืืคืขื ืกืื ืืื ืึทื ืืืืืืจืืก. ืืืื ืึท ืขืก ืืืึธืืืขืจ ืึธื ืคึผืจืึธืืจืึทืืืื ื ืกืงืืื, ืืื ืืืจ, ืืื ืึท ืคึผืึธืจ ืคืื ืืืื ืื ืื ืงืขื ืขื (ืืึธืจ ืึทื ืืืืขืงืืื, FUD), ืืืึทืืืฉืึทื ืื ืคึผืึทืกืึทืืืืึทืืื ืคืื ืึท ืืื ืืขืจืขืกืืจื ืืื ื ืืขืงืขืจ!
ืืื ืืืื ืืืจ ืืขื ื ืึทื IT ืืืืขืจืืืื ืืขื ืืฉ, ืึธืืขืจ ืืืื ืคืึทืจืืืึทืืืขืจ ืงืขื ื ืืฉื ืคึฟืึทืจืฉืืืื ืื ืคึผืึธืืขื ืฆืืขื ืืืคึผืืึทืงืืืฉืึทื ื ืคืื ืื ืืจืขืฅ, ื ืึธืจ ืืืืึทืื ืืื ืืขื ืึทืจืืืงื.
ืืึทืงืขืจื ืืืื ืคืื ืืืื ืื ื ืืืจืขืงื ืึทืงืกืขืก ืฆื ืึท ืืึทืคึผืืึทืคึผ ืึธืืขืจ ืกืขืจืืืขืจ ืคืื ืึท ืงืึธืจืื. ืืึธืก ืืื ืืืืขืจ ืืจืื ื ืฆื ืืึธื: ืึทืืข ืืืึธืก ืึท ืืขืงืขืจ ืืึทืจืฃ ืืื ืฆื ืืึทืงืืืขื ืขืืืขืืข ืงืึทื ืคืึทืืขื ืฉืึทื ืืขืงืขืก ืืืืฃ ืื ืืึทืคึผืืึทืคึผ ืคืื ืื ืกืขืึธ.
ืขืคืขืก ืืื ืืื ืฉืืื ืืืขืื ืื ืคึผืึธืกื-ืคึผืจืึธืืืงืฆืืข PowerShell Empire ืจืื ืืืืข. ืืื ืก ืืขืืขื ืงืขื ืืืึธืก ืขืก ืืื.
ืขืก ืืื ืืืืกืืงืื ืึท PowerShell-ืืืืืจื ืืืจืืืจืื ื ืืขืกืืื ื ืืขืฆืืึทื ืืืึธืก, ืฆืืืืฉื ืคืืืข ืื ืืขืจืข ืคึฟืขืึดืงืืืื, ืืืื ืขืก ืืจืื ื ืฆื ืืืืคื ืึท ืคืึทืจืงืขืจื ืฉืึธื. ืืืจ ืงืขื ืขื ืืืกืคืึธืจืฉื ืขืก ืืื ืืขืจ ืืขืืึทื .
ืืื ืก ืืึธื ืึท ืืืกื ืขืงืกืคึผืขืจืืืขื ื. ืืื ืฉืืขืื ืืื ืึท ืืืืขืจ ืกืืืืืืข ืคึฟืึทืจ ืืึทืืืืึทืจืข ืืขืกืืื ื ืืื ืื Amazon Web Services ืืืึธืืงื. ืืืจ ืงืขื ื ื ืึธืืืืื ืืืื ืืืืฉืคึผืื ืฆื ืืขืฉืืืื ื ืืื ืืขืฉืึธืืขื ืืืืึทืื ืึท ืืจืืขืื ืืืึทืฉืคึผืื ืคืื ืืขื ืืืึทืื ืขืจืึทืืืืืื (ืืื ื ืื ืืืื ืคืืืขืจื ืคึฟืึทืจ ืคืืืกื ืืืง ืืืืจืืกืขืก ืื ืื ืคืึทืจื ืขืืื ื ืคึผืขืจืืืขืืขืจ).
ืืืื ืืืจ ืืืืคื ืื PowerShell Empire ืงืึทื ืกืึธืื, ืืืจ ืืืขื ืืขื ืขืคึผืขืก ืืื ืืึธืก:
ืขืจืฉืืขืจ, ืืืจ ืึธื ืืืืื ืืขื ืืืกื ืขืจ ืคึผืจืึธืฆืขืก ืืืืฃ ืืืื ืืขืงืขืจ ืืึทืฉืื. ืึทืจืืึทื ืื "ืืืกื ืขืจ" ืืึทืคึฟืขื, ืืื ืกืคึผืขืฆืืคืืฆืืจื ืื IP ืึทืืจืขืก ืคืื ืืืื ืกืืกืืขื ื ืืฆื "ืฉืืขืื ืืึธืกื". ืืขืจื ืึธื ืึธื ืืืืื ืืขื ืืืกื ืขืจ ืคึผืจืึธืฆืขืก ืืื ืื "ืืืกืคืืจื" ืืึทืคึฟืขื (ืืื ืื). ืืืื, ืืืืฃ ืืืื ืืืึทื, ืืืจ ืืืขื ืึธื ืืืืื ืืืืจืื ืคึฟืึทืจ ืึท ื ืขืฅ ืงืฉืจ ืคึฟืื ืึท ืืืืึทื ืฉืึธื:
ืคึฟืึทืจ ืื ืื ืืขืจืข ืืืึทื, ืืืจ ืืึทืจืคึฟื ืฆื ืืืฉืขื ืขืจืืื ืึทื ืึทืืขื ื ืงืึธื ืืืจื ืึทืจืืึทื ืื "ืืึทืื ืืฉืขืจ" ืืึทืคึฟืขื (ืืขื ืืืืืืขืจ). ืืึธืก ืืืขื ืืืฉืขื ืขืจืืื ืื PowerShell ืงืึธื ืคึฟืึทืจ ืื ืืืืึทื ืึทืืขื ื. ืืึทืืขืจืงืื ื ืึทื ืขืก ืืื Base64 ืงืึธืืขื ืืื ืจืขืคึผืจืึทืืขื ืฅ ืื ืจืืข ืคืึทืกืข ืคืื โโืื ืคึผืืืืึธืื. ืืื ืื ืืขืจืข ืืืขืจืืขืจ, ืืืื ืืืฉืึทืืืึทืกืงืจืืคึผื ืงืึธื ืืืขื ืืืฆื ืฆืืขื ืืขื ืึทืืขื ื ืฆื ืืืืคื PowerShell ืึทื ืฉืืึธื ืคืื ืืืฉืขืืืขื ืืืืึทืื ืืืง ืืขืงืกื ืืืืฃ ืืขื ืขืงืจืึทื ืืื ืคืึทืจืืื ืื ืฆื ืืื ืืืขืจ ืืืืึทื PSE ืกืขืจืืืขืจ ืฆื ืืืืคื ืื ืคืึทืจืงืขืจื ืฉืึธื.
ืคืึทืจืงืขืจื ืฉืึธื ืืึทืืืฉ. ืืขื ืขื ืงืึธืืืื PowerShell ืืึทืคึฟืขื ืืืขื ืคืึทืจืืื ืื ืฆื ืืืื ืืืกื ืขืจ ืืื ืึธื ืืืืื ืึท ืืืืึทื ืฉืึธื.
ืฆื ืืืืึทืื ืืืจ ืืขื ืขืงืกืคึผืขืจืืืขื ื, ืืื ืืขื ืืืขื ืื ืจืึธืืข ืคืื โโืึทื ืืืืฉืืืืืง ืงืึธืจืื ืืื ืืขืขืคื ื Evil.doc, ืึทืืื ืคืืืกื ืืืง ืืื ืืืขืจ ืืืฉืึทืืืึทืกืงืจืืคึผื. ืืขืืขื ืงื ืืขืจ ืขืจืฉืืขืจ ืืืื? PowerShell ืืื ืงืึทื ืคืืืืขืจื ืฆื ื ืืฉื ืงื ืึทื ืึทืจืืืฃ, ืึทืืื ืื ืงืึธืจืื ืืืขื ื ืืฉื ืืึทืืขืจืงื ืขืคึผืขืก ืืืกืขืจืืขืืืืื ืืขื. ืึธืืขืจ, ืืืื ืืืจ ืขืคึฟืขื ืขื ืื Windows ืืึทืกืง ืืึทื ืึทืืขืจ, ืืืจ ืืืขื ืืขื ืึท ืืื ืืขืจืืจืื ื PowerShell ืคึผืจืึธืฆืขืก, ืืืึธืก ืืืขื ื ืึธื ื ืืฉื ืคืึทืจืฉืึทืคื ืงืืื ืฉืจืขืง ืคึฟืึทืจ ืจืืึฟ. ืืืืึทื ืขืก ืืื ืจืขืืืืขืจ PowerShell, ืืื ื ืื ืขืก?
ืืืฆื, ืืืขื ืืืจ ืืืืคื Evil.doc, ืึท ืคืึทืจืืึธืจืื ืืื ืืขืจืืจืื ื ืคึผืจืึธืฆืขืก ืืืขื ืคืึทืจืืื ืื ืฆื ืื ืกืขืจืืืขืจ ืคืืืกื ืืืง PowerShell Empire. ืืื ืฉืืขืื ืืืืฃ ืื ืืืืึทืก ืืื ืคืื ืึท ืคึผืขื ืกืืขืจ ืืขืงืขืจ, ืืื ืืืืืขืงืขืจื ืฆื ืื PowerShell Empire ืงืึทื ืกืึธืื, ืืื ืืืฆื ืืื ืืขื ืึท ืึธื ืืึธื ืึทื ืืืื ืืืืึทื ืึทืืขื ื ืืื ืึทืงืืืื.
ืืขืจื ืึธื ืืื ืืืืคึผื ืื "ืื ืืขืจืึทืงื" ืืึทืคึฟืขื ืฆื ืขืคืขื ืขื ืึท ืฉืึธื ืืื PSE - ืืื ืืึธ ืืื ืืื! ืืื ืงืืจืฅ, ืืื ืืึทืงื ืืื ืื ืืึทืงืึธ ืกืขืจืืืขืจ ืืืึธืก ืืื ืฉืืขืื ืืื ืืื ืขืืืขืืข ืืึธื ืฆืืจืืง.
ืืืึธืก ืืื ื ืึธืจ ืืขืืึทื ืกืืจืืืืื ืืื ื ืืฉื ืืึทืจืคื ืึทื ืคืื ืึทืจืืขื ืคืื ืืืจ. ืืืจ ืงืขื ืขื ืืืืื ืืึธื ืึทืืข ืืขื ืืื ืึท ืืึธื ืืฉ ืืจืขืื ืคึฟืึทืจ ืืืื ืฆื ืฆืืืื ืฉืขื ืฆื ืคึฟืึทืจืืขืกืขืจื ืืืื ืืืืกื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื. ืขืก ืืื ืืืื ืึท ืืจืืืก ืืืขื ืฆื ืคึฟืึทืจืฉืืืื ืืื ืืึทืงืขืจื ืืืืคึผืึทืก ืคืื ืืจืืืกื ืืืง ืืืืขืจืืืื ืคึผืขืจืืืขืืขืจ ืืืคืขื ืกืื ืืื ืกื ืืง ืืื ืืืื ืกืืกืืขืืขื.
IT ืืึทื ืึทืืืฉืขืจื ืืืึธืก ืืจืึทืืื ืืื ืืึธืื ืืขืืืื ืึทื ืึทื ืืจืืืงืึทืืึทื ืคืึทืจืืืืืืงืื ื ืงืขืื ืงืืื ืื ืืจืืืฉืึทื ืืืขื ืืืกืืึธืืข ืืืื ืืขืคึฟืื ืขื ืขืก ืืืืืื ืืงืจืืื - ื ื, ืืืื ืืืจ ืงืขื ืขื ืืืืขืจืฆืืืื ืืื ืฆื ืืืฆื ืืขืื ืืืจ ืืึทื ื ืืขื ืื.
ืฆืืจืืง ืฆื ืืขืจ ืคืึทืงื
ืืื ืืื ืืขืจืืืึทืจื, ืื ืคืึทืงืืืฉ ืืึทืง, ืืืืขืืง ืคึฟืึทืจ ืื ืืืจืืฉื ืืืืขื ืืึทื ืืฆืขืจ, ืืื ื ืึธืจ ืึท ืืืขืจืืืืฉืึทื ืคืื ืืืึธืก ืืื ืคึผืื ืงื ืืืกืงืจืืืื. ืื ื ืฆ ื ืืืืืข ื ืืืืขืจืืื ื ืคื ืจ ืืข ืจ ื ืขืงืกืืข ืจ ืืืืกืืืืข , ืื ื ืื ื ืื ืืขืืืื ื ืืื ื ื ืืืกืืขืจ , ืืื ืฃ ืื , ืืื ืก ืืจืืขื ื ืืื ืฃ ืืข ืจ ืืขืืืข ืจ ืืืคื , ืฐ ื ืืฒ ื ืืืืกืืขืคืื ืข ื ืืฒืฉืคืื . ืืื ืืื ืืื ื ืื ืืึธืื ืฆื ืงืืงื ืคึฟืึทืจ ืขืก ืคึฟืึทืจ ืึท ืืึทื ื ืฆืืึทื - ืขืก ืืขื ืขื ืคืืืข ืึธืคึผืฆืืขืก ืคึฟืึทืจ ืึทืืึท ืึท ืืึทืคืึทืื ืืขืื ืืง ืืืืฃ ืืขื ืคึผืืึทืฅ.
ืื ืืึทืืืืึทืจืข ืืืึธืก ืืื ืืขืคืื ืขื ืืืืฃ HA ืืื ืึท ืืืืึท ืฉืจืืคื ืืืึธืก ืืื ืืขืืืขื ืขืืืขืืื ืืื ืึท ืืืึธืจื ืืึธืงืืืขื ื. ืึทื ืืื, ืืื ืืึธื ื ืื ืืคืืื ืืึทืจืคึฟื ืฆื ืฉืืืื ืื ืื ืืึธืง ืืขืฉืคึผืจืืื, ืืขื ืืึทืืืืึทืจืข ืืื ืืึทืงืข ืื ืืขืจืกื ืคึผืจืึธืกื-ืงืืงื Microsoft Word ืืึธืงืืืขื ื. ืืื ืคืึทื ืืืจ ืืขื ื ืืืึทื ืืขืจืื ื, ืืื ืืืืกืืขืจืืืืืื ืืขื ืืืกืืขืจ ืืขืจืืคื .
ืืื ืืขืฉืืืื ื ืืขืืขืจื ื ืึทื ืืืจ ืึธืคื ืงืขื ืขื ื ืืฉื ืฆืืขื ืืืืืข ืืืืึท ืกืงืจืืคึผืก ืืืืึทื ืคืื ืึท ืืึธืงืืืขื ื. ืืึทืงืขืจื ืงืึธืืคึผืจืขืก ืืื ืืึทืืึทืืื ืืื, ืืื ืืื ืืขื ืขื ื ืืฉื ืงืขื ืืืง ืืื Word ืก ืืขืืืื-ืืื ืืึทืงืจืึธื ืืืฉืืจืื. ืืืจ ืืืขื ืืึทืจืคึฟื ืึท ืกืคึผืขืฆืืขื ืืขืฆืืึทื ืฆื ืขืงืกืืจืึทืงื ืขืก. ืฆืื ืืืืง ืืื ืืขืงืืืขื ืฆื ืึท ืกืงืึทื ื ืขืจ ืคืจืึทื ืง ืืึทืืืืืื. ืืึทื ืงืขื ืืืจ ืคืจืึทื ืง.
ืืื ืืขื ืืขืฆืืึทื, ืืื ืืื ืืขืืืขื ืืืืืืช ืฆื ืฆืืขื ืึท ืฉืืืขืจ ืึทืืคืืกืงืืืืื ืืืืึท ืงืึธื. ืขืก ืืื ืืขืืืขื ืขืคึผืขืก ืืื ืืึธืก:
ืึธืืคืืกืงืึทืืืึธื ืืื ืืขืืืขื ืืขืืื ืืืจื ืคึผืจืึธืคืขืกืกืืึธื ืึทืืก ืืื ืืืืขืจ ืคืขืื. ืืื ืืื ืืขืืืขื ืืืคึผืจืขืกื!
ืื ืึทืืึทืงืขืจื ืืขื ืขื ืืึทืงืข ืืื ืืื ืึทืืคืึทืกืงืืืืื ื ืงืึธื, ื ืื ืืื ืืืื ืืฉืชืืืืช ืฆื ืฉืึทืคึฟื Evil.doc. ืึธืืงืื, ืืื ืืขืจ ืืืืึทืืขืจ ืืืื, ืืืจ ืืืขืื ืืึทืงืืืขื ืืื ืืืขืจ VBA ืืืืืืขืจื, ืืจืึธืื ืึท ืืืกื ืืืคึผืขืจ ืืื ืืขื ืงืึธื ืืื ืคืึทืจืืืืึทืื ืืื ืืืขืจ ืึทื ืึทืืืกืืก ืืื ืื HA ืจืขืืืืืึทืื.
ืืงืืจ: www.habr.com