ืืืื ืขืจ ืคืื ืื ืืขืจืกื ืคึผืจืึธืกื ืืืืคึผืก ืคืื ืื ืคืืื ืืื ืื ืกืคึผืึทื ืื ื ืคืื ืึท ืืืืืข ืคึผืจืึธืฆืขืก ืืื ืึท ืืืื ืืื ืืขืจ ืืึธืจ ืจืขืกืคึผืขืงืืึทืืึทื ืคึผืจืึทืกืขืกืึทื. ืืขืจ ืืจื ืฆื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืงืขื ืืืื ืกืึทืกืคึผืืฉืึทืก: ืืึทืืืืึทืจืข ืึธืคื ื ืืฆื ืื ืึทืคึผืคึผืืึทืืึท ืึธืืขืจ ืืขืืคึผ ืคืึธืืืขืจืก, ืืื ืืึธืก ืืื ื ืืฉื ืืืคึผืืฉ ืคึฟืึทืจ ืืึทืืืฉืืืึทืืึทื ืืืืื. ืฆื ืืืื ืฉืืื, ืขืก ืืื ืืืขืจื ืฆื ืืึธืื ืึทื ืขืืืขืืข ืึธืืึทืืึทืืืง ืืขืจืืืึทื ืืืงื ืืืืืืึทืืื ืืขื ืขื ืขืงืกืึทืงืืืืึทื ืืื ืึทืคึผืคึผืืึทืืึท, ืึทืืื ื ืึธืจ ืงืึธื ืืจืึธืืืจื ืื ืงืึทืืขืจ ืึธืจื ืืื ื ืืฉื ืืขื ืื ืฆื ืืึทืฉืืขืืืงื ืึทื ืื ืคึผืจืึธืืจืึทื ืืื ืืืืืข.
ืึทื ื ืึธื ืคืึทืงืืึธืจ ืคืื ืืึทืืืฉืืืึทืืึทืื ืืื ืึท ืงืจืืคึผืืึธืืจืึทืคืืง ืืกืืืข: ืคืืืข ืึธืจืืืื ืขื ืืืืื ืืขื ืขื ืืขืืชืืขื ืืืจื ืื ืคืึทืจืงืืืคืขืจ. ืืืจ ืงืขื ื ื ืืฆื ืืขื ืคืึทืงื ืึทื ืขืก ืืื ืงืืื ืืกืืืข ืืื ืึท ืืขืืึธื ืฆื ืืืขื ืืืคืืฆืืจื ืกืึทืกืคึผืืฉืึทืก ืกืืึทืจืืึทืคึผ ืืืื. ืึธืืขืจ ืืืืืขืจ, ืขืก ืืื ืืึทืืืืึทืจืข ืืืึธืก ื ืืฆื ืึท ืกืืึธืืขื ืืึทืืืืึทืื ืฆื ืฆืืืื ืืื.
ืืืจ ืงืขื ื ืืืื ืงืึธื ืืจืึธืืืจื ืื ืืืขืจื ืคืื MD5 ืึธืืขืจ SHA256 ืงืจืืคึผืืึธืืจืึทืคืืง ืืึทืฉืขืก, ืืืึธืก ืงืขื ืฉืืืืขื ืฆื ืขืืืขืืข ืคืจืืขืจ ืืืืขืงืืึทื ืืึทืืืืึทืจืข. ืืืจ ืงืขื ืขื ืืืจืืคืืจื ืกืืึทืืืง ืึทื ืึทืืืกืืก ืืืจื ืงืืงื ืืื ืกืืื ืึทืืฉืขืจื ืืื ืืขื ืคึผืจืึธืืจืึทื (ื ืืฆื ืืึทืจืึท ืึผืืืื ืึธืืขืจ ืึทื ืืืืืืจืืก ืคึผืจืึธืืืงืื). ืขืก ืืื ืืืื ืืื ืึทืืืฉ ืึทื ืึทืืืกืืก (ืืืืคื ืึท ืคึผืจืึธืืจืึทื ืืื ืืืืขืจ ืกืืืืืืข ืืื ืืึธื ืืืึธืจืื ื ืืืึทื ืึทืงืฉืึทื ื) ืืื ืคืึทืจืงืขืจื ืื ืืฉืขื ืืขืจืืข.
ืขืก ืงืขื ืขื ืืืื ืคืืืข ืืืืื ืืขืจ ืคืื ืึท ืืืืืข ืคึผืจืึธืฆืขืก. ืืื ืืขื ืึทืจืืืงื ืืืจ ืืืขื ืืึธืื ืืืจ ืืื ืฆื ืืขืื ืึทืืึทืืื ื ืคืื ืืึทืืืึทืืืง ืืขืฉืขืขื ืืฉื ืืื Windows, ืืืจ ืืืขืื ืคืื ืึทื ืืขืจืงืืืึทืื ืื ืืืืื ืืขืจ ืืืึธืก ืื ืืขืืืื-ืืื ืืขืจืฉื ืจืืืืื ืืืืฃ ืฆื ืืืขื ืืืคืืฆืืจื ืึท ืกืึทืกืคึผืืฉืึทืก ืคึผืจืึธืฆืขืก. InTrust ืืื ืคึฟืึทืจ ืงืึทืืขืงืืื ื, ืึทื ืึทืืืืืื ื ืืื ืกืืึธืจืื ื ืึทื ืกืืจืึทืงืืฉืขืจื ืืึทืื, ืืืึธืก ืืื ืฉืืื ืืื ืืขืจืืขืจ ืคืื ืคึผืจืขืืขืคืื ืขื ืจืืึทืงืฉืึทื ื ืฆื ืคืึทืจืฉืืื ืืืืคึผืก ืคืื ืื ืคืืื.
ืืืขื ืืขืจ ืคึผืจืึธืืจืึทื ืืื ืืึธื ืืฉื, ืขืก ืืื ืืึธืืืื ืืื ืื ืงืึธืืคึผืืืืขืจ ืก ืืึผืจืื. ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืึผืืื ืงืึธืืคึผืืืืขืจ ืืื ืกืืจืืงืฆืืขืก ืืื ืฉืืืฆื ืืืืืจืขืจืื (ืืืฉื, *.ืืื). ืืืขื ืึท ืคึผืจืึธืฆืขืก ืืื ืฉืืื ืคืืืกื ืืืง, ืขืก ืงืขื ืขื ืืึทืื ื ืึธื ืคึฟืขืืขื. ืคึฟืขืืขื ืืึธืื ืึท ืคึผืจืึธืฆืขืก ืฆื ืืืกืคืืจื ืคืึทืจืฉืืืขื ืข ืฉืืขืื ืคืื ืื ืกืืจืึทืงืฉืึทื ื ืกืืืืึทืืืืื ืืึทืกืื. ืขืก ืืขื ืขื ืคืืืข ืืืขืื ืคึฟืึทืจ ืืืืืข ืงืึธื ืฆื ืืืจืื ืขืืขื ืืืงืึธืจื ืืื ืืืืคื, ืืึธืื ืืื ืื ืงืืง ืืื ืขืืืขืืข ืคืื โโืืื.
ืื ืืืืึทืกื ืืืขื ืฆื ืงืึทืืขืจ ืึท ืืืืืข ืคึผืจืึธืฆืขืก ืืื ืฆื ืฆืืืื ืืขื ืืขื ืืึทื ืืฆืขืจ ืฆื ืงืึทืืขืจ ืขืก ืืืืื (ืืืฉื ืคึฟืื ืึทื E- ืืจืืื ืึทืืึทืืฉืืึทื ื), ืืื ื ืืฆื ืื RunOnce ืฉืืืกื ืฆื ืงืึทืืขืจ ืขืก ืืขืืขืจ ืืึธื ืืืขื ืื ืงืึธืืคึผืืืืขืจ ืืื ืืืืกืืขืืจืืื. ืืึธืก ืืืื ืืืื "ืคืืืขืืขืกืก" ืืึทืืืืึทืจืข ืืืึธืก ืกืืึธืจื ืคึผืึธืืืขืจืฉืขืื ืกืงืจืืคึผืก ืืื ืจืขืืืกืืจื ืฉืืืกืืขื ืืืึธืก ืืขื ืขื ืขืงืกืึทืงืืืืึทื ืืืืืจื ืืืืฃ ืึท ืฆืื ืื. ืืื ืืขื ืคืึทื, ืื PowerShell ืฉืจืืคื ืืื ืืืืืข ืงืึธื.
ืื ืคึผืจืึธืืืขื ืืื ืืคืืจืืฉ ืคืืืกื ืืืง ืืึทืืืืึทืจืข ืืื ืึทื ืขืก ืืื ืึท ืืึทืืืืกื ืฆืืืึทื ื ืืืึธืก ืืื ืืืืื ืืืืขืงืืึทื. ืขืืืขืืข ืืึทืืืืึทืจืข ืืื ืืขืจ ืงืืื ืืื ืื, ืึทืืึท ืืื ื ืืฆื ืื ืื ืืขืจ ืคึผืจืึธืฆืขืก ืฆื ืึธื ืืืืื ืขืงืกืึทืงืืืืื ื ืืื ืืึผืจืื. ืืขืจืืืขืจ, ืึท ืคึผืจืึธืฆืขืก ืงืขื ืขื ืืึทืื ืื ืื ืืขืจ ืคึผืจืึธืฆืขืก ืืืจื ืคืืืกื ืืืง ืึท ืกืคึผืขืฆืืคืืฉ ืงืึธืืคึผืืืืขืจ ืืืืขื ืืื ืกืคึผืขืฆืืคืืฆืืจื ืึท ืขืงืกืขืงืืืึทืืืข ืืขืงืข (. ืขืงืกืข) ืฆื ืืืืคื.
ืืขืจ ืืขืงืข ืงืขื ืขื ืืืื ืกืคึผืขืกืืคืืขื ืืื ืึท ืคืื ืืจื (ืืืฉื, C: Windowssystem32cmd.exe) ืึธืืขืจ ืึท ืคึผืึทืจืืืืืฉ ืืจื (ืืืฉื, cmd.exe). ืืืื ืืขืจ ืึธืจืืืื ืขื ืคึผืจืึธืฆืขืก ืืื ืื ืกืึทืงืืขืจ, ืขืก ืืืขื ืืึธืื ืืืืขืืึทื ืืืืื ืฆื ืืืืคื. ืึท ืืึทืคืึทืื ืงืขื ืขื ืงืืงื ืืื ืืึธืก: ืึท ืคึผืจืึธืฆืขืก ืืึธื ืืฉืื cmd.exe ืึธื ืกืคึผืขืฆืืคืืฆืืจื ืื ืคืื ืืืขื, ืืขืจ ืึทืืึทืงืขืจ ืฉืืขืื ืืืื cmd.exe ืืืืฃ ืึท ืคึผืืึทืฅ ืึทืืื ืึทื ืืขืจ ืคึผืจืึธืฆืขืก ืืึธื ืืฉืื ืขืก ืืืืืขืจ ืื ืืึทืืืฉืืืึทืืึทื. ืึทืืึธื ืื ืืึทืืืืึทืจืข ืืืืคื, ืขืก ืงืขื ืขื ืืืื ืงืึทืืขืจ ืึท ืืึทืืืฉืืืึทืืึทื ืคึผืจืึธืืจืึทื (ืึทืืึท ืืื C: Windowssystem32cmd.exe) ืึทืืื ืึทื ืืขืจ ืึธืจืืืื ืขื ืคึผืจืึธืืจืึทื ืืืื ืฆื ืึทืจืืขืื ืจืขืื.
ื ืืืขืจืืืืฉืึทื ืคืื ืื ืคืจืืขืจืืืงืข ืืึทืคืึทืื ืืื ืืื ืื ืืืฉืขืงืฉืึทื ืืื ืึท ืืึทืืืฉืืืึทืืึทื ืคึผืจืึธืฆืขืก. ืืืขื ืึท ืคึผืจืึธืฆืขืก ืกืืึทืจืฅ, ืขืก ืืขืคืื ื ืืื ืืึธืืื ืืืืืจืขืจืื ืืืึธืก ืคืึทืจืืจืืืืขืจื ืืืึทื ืคืึทื ืืงืฉืึทื ืึทืืืื. ื ืืฆื ืืื ืื ืืืฉืขืงืฉืึทื, ืึท ืึทืืึทืงืขืจ ืงืจืืืืฅ ืึท ืืืืืข ืืืืืืึธืืขืง ืืื ืื ืืขืืืข ื ืึธืืขื ืืื ืึทืคึผื ืืื ืึท ืืึทืืืฉืืืึทืืึทื. ืืขืจ ืคึผืจืึธืืจืึทื ืืึธืืื ืึท ืืืืืข ืืืืืืึธืืขืง, ืืื ืขืก, ืืื ืงืขืจ, ืืึธืืื ืึท ืืึทืืืฉืืืึทืืึทื ืืืืืืึธืืขืง, ืืื, ืืื ื ืืืืืง, ืจืืคื ืขืก ืฆื ืืืจืืคืืจื ืึทืคึผืขืจืืืฉืึทื ื. ืื ืืืืืข ืืืืืืึธืืขืง ืืืืื ืฆื ืฉืคึผืืื ืืื ืึท ืคึผืจืึทืงืกื ืคึฟืึทืจ ืื ืืื ืืืืืืึธืืขืง.
ืื ืื ืืขืจ ืืืขื ืฆื ืฉืืขืื ืืืืืข ืงืึธื ืืื ืืึผืจืื ืืื ืฆื ืึทืจืืึทื ืืืืื ืขืก ืืื ืึท ืึทื ืกืืืฃ ืคึผืจืึธืฆืขืก ืืืึธืก ืืื ืฉืืื ืคืืืกื ืืืง. ืคึผืจืึทืกืขืกืึทื ืืึทืงืืืขื ืึทืจืืึทื ืฉืจืืึทื ืคืื ืคืึทืจืฉืืื ืงืืืืื - ืืืืขื ืขื ืคืื ืื ื ืขืฅ ืึธืืขืจ ืืขืงืขืก. ืืื ืืืคึผืืงืื ืืืจืืคืืจื ืึท ืืฉืขืง ืฆื ืขื ืฉืืจ ืึทื ืื ืึทืจืืึทื ืฉืจืืึทื ืืื ืืึทืืืฉืืืึทืืึทื. ืืืขืจ ืขืืืขืืข ืคึผืจืึทืกืขืกืึทื ืืึธื ื ืื ืืึธืื ืืขืืขืจืืง ืฉืืฅ ืืืขื ืขืงืกืึทืงืืืืื ื ืื ืกืืจืึทืงืฉืึทื ื. ืืื ืืขื ืืึทืคืึทืื, ืขืก ืืื ืงืืื ืืืืืืึธืืขืง ืืืืฃ ืืืกืง ืึธืืขืจ ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืืื ืืืืืข ืงืึธื. ืึทืืฅ ืืื ืกืืึธืจื ืืื ืืืงืึธืจื ืฆืืืืืขื ืืื ืื ืขืงืกืคึผืืืืืึทื ืคึผืจืึธืฆืขืก.
ืืืฆื ืืึธืื ืก ืงืืง ืืื ืื ืืขืืึทืืึทืืึทืืืฉื ืคึฟืึทืจ ืขื ืืืืึทืืื ื ืื ืืึทืืืื ื ืคืื ืึทืืึท ืืขืฉืขืขื ืืฉื ืืื Windows ืืื ืื ืืขืจืฉื ืืื InTrust ืืืึธืก ืืืคึผืืึทืืึทื ืฅ ืฉืืฅ ืงืขืื ืึทืืึท ืืจืขืฅ. ืขืจืฉืืขืจ, ืืึธืื ืืื ืื ืึทืงืืึทืืืืื ืขืก ืืืจื ืื InTrust ืคืึทืจืืืึทืืืื ื ืงืึทื ืกืึธืื.
ืื ืืขืจืฉื ื ืืฆื ืื ืคึผืจืึธืฆืขืก ืืจืึทืงืื ื ืงืืืคึผืึทืืืืึทืืื ืคืื Windows OS. ืฆืื ืืึทืืืืขืจื, ืขืก ืืื ืืืืึทื ืคืื ืงืืึธืจ ืืื ืืขืจ ืืึธื ืึทื ืื ืืึทืืืื ื ืคืื ืึทืืึท ืืขืฉืขืขื ืืฉื ืืื ืืขืืืขื. ืขืก ืืขื ืขื 3 ืคืึทืจืฉืืืขื ืข ืืจืืคืข ืคึผืึธืืืืืง ืกืขืืืื ืืก ืืืจ ืืึทืจืคึฟื ืฆื ืืืืฉื:
ืงืึธืืคึผืืืืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื> ืคึผืึทืืึทืกืื> ืืืื ืืึธืื ืกืขืืืื ืืก> ืืืืขืจืืืึทื ืกืขืืืื ืืก> ืืืงืืืข ืคึผืึทืืึทืกืื> ืงืึธื ืืจืึธืืืจื ืคึผืึธืืืืืง> ืงืึธื ืืจืึธืืืจื ืคึผืจืึธืฆืขืก ืืจืึทืงืื ื
ืงืึธืืคึผืืืืขืจ ืงืึธื ืคืืืืจืึทืืืึธื> ืคึผืึทืืึทืกืื> ืืืื ืืึธืื ืกืขืืืื ืืก> ืืืืขืจืืืึทื ืกืขืืืื ืืก> ืึทืืืึทื ืกืืจืืข ืงืึธื ืืจืึธืืืจื ืคึผืึธืืืืืง ืงืึทื ืคืืืืขืจืืืฉืึทื> ืงืึธื ืืจืึธืืืจื ืคึผืึทืืึทืกืื> ืืขืืึทืืืขื ืืจืึทืงืื ื> ืงืึธื ืืจืึธืืืจื ืคึผืจืึธืฆืขืก ืฉืึทืคืื ื
ืงืึธืืคึผืืืืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื> ืคึผืึทืืึทืกืื> ืึทืืืื ืืกืืจืึทืืืืืข ืืขืืคึผืืึทืืขืก> ืกืืกืืขื> ืงืึธื ืืจืึธืืืจื ืคึผืจืึทืกืขืก ืงืจืขืึทืืืึธื> ืึทืจืืึทื ื ืขืืขื ืืึทืคึฟืขืื ืฉืืจื ืืื ืคึผืจืึธืฆืขืก ืฉืึทืคืื ื ืืขืฉืขืขื ืืฉื
ืึทืืึธื ืขื ืืืืึทืื, InTrust ืึผืืืื ืืึธืื ืืืจ ืฆื ืืขืืขืงื ืืื ืึทืืขืจ ืืืืืึทืงืึทื ื ืืจืขืฅ ืืืึธืก ืืืกืฉืืขืืื ื ืกืึทืกืคึผืืฉืึทืก ื ืึทืืืจ. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืืจ ืงืขื ืขื ืืืขื ืืืคืืฆืืจื ืืจืืืขืงืก ืืึทืืืืึทืจืข. ืืึทื ืง ืฆื ืื HP Bromium ืคึผืจืืืขืงื, ืืืจ ืืืืกื ืืื ืื ืกืึทืงืึธื ืข ืึทืจืืขื.
ืืื ืืืื ืงืืื ืคืื ืึทืงืฉืึทื ื, Dridex ื ืืฆื schtasks.exe ืฆื ืฉืึทืคึฟื ืึท ืกืงืขืืืฉืืื ืึทืจืืขื. ืื ื ืืฆื ืคืื ืืขื ืืึทืืื ืืขืจ ื ืืฆื ืคึฟืื ืื ืืึทืคึฟืขืื ืฉืืจื ืืื ืืขืจืขืื ื ืืื ืืืืขืจ ืกืึทืกืคึผืืฉืึทืก ืึธืคึผืคืืจืื ื; ืืึธื ืืฉืื ื svchost.exe ืืื ืคึผืึทืจืึทืืขืืขืจืก ืืืึธืก ืคืื ื ืฆื ืืึทื ืืฆืขืจ ืคืึธืืืขืจืก ืึธืืขืจ ืืื ืคึผืึทืจืึทืืขืืขืจืก ืขื ืืขื ืฆื ืื "ื ืขืฅ ืืืื ืื ื" ืึธืืขืจ "ืืืืึธืึทืื" ืงืึทืืึทื ืื ืงืืงื ืขื ืืขื. ืืึธ ืืื ืึท ืคืจืึทืืืขื ื ืคืื ืื ืงืึธืจืึทืกืคึผืึทื ืืื ื :
detection:
selection1:
CommandLine: '*svchost.exe C:Users\*Desktop\*'
selection2:
ParentImage: '*svchost.exe*'
CommandLine:
- '*whoami.exe /all'
- '*net.exe view'
condition: 1 of themืืื InTrust, ืึทืืข ืกืึทืกืคึผืืฉืึทืก ื ืึทืืืจ ืืื ืึทืจืืึทื ืืขืจืขืื ื ืืื ืืืื ืืขืจืฉื, ืืืืึทื ืจืืึฟ ืคืื ืื ืึทืงืฉืึทื ื ืืขื ืขื ื ืืฉื ืกืคึผืขืฆืืคืืฉ ืฆื ืึท ืืึทืืื ืืขืจ ืกืึทืงืึธื ืข, ืึธืืขืจ ืืื ืกืึทืกืคึผืืฉืึทืก ืืื ืึท ืงืึธืืคึผืืขืงืก ืืื ืืื 99% ืคืื ืงืึทืกืขืก ืืขื ืขื ืืขื ืืฆื ืคึฟืึทืจ ื ืื ืืขืืึทืืจืข ืืืืืขืืข ืฆืืืขืงื. ืื ืจืฉืืื ืคืื ืึทืงืฉืึทื ื ืืืื, ืึธืืขืจ ืืื ื ืื ืืืืืืขื ืฆื:
- ืคึผืจืึทืกืขืกืึทื ืคืืืกื ืืืง ืคืื ืืืืขืืืืื ืืืขื ืืึธืืงืืืฉืึทื ื, ืึทืืึท ืืื ืืึทื ืืฆืขืจ ืฆืืึทืืืืืึทืืืง ืคืึธืืืขืจืก.
- ืืืืืืกืืขืจ ืกืืกืืขื ืคึผืจืึธืฆืขืก ืืื ืกืึทืกืคึผืืฉืึทืก ืืจืืฉื - ืขืืืขืืข ืืจืขืฅ ืงืขื ืคึผืจืืืืจื ืฆื ื ืืฆื ืื ื ืึธืืขื ืคืื ืกืืกืืขื ืคึผืจืึทืกืขืกืึทื ืฆื ืืืืึทืื ืึทื ืืืืขืงืืื.
- ืกืึทืกืคึผืืฉืึทืก ืขืงืกืึทืงืืืฉืึทื ื ืคืื ืึทืืืื ืืกืืจืึทืืืืืข ืืืฉืืจืื ืึทืืึท ืืื cmd ืึธืืขืจ PsExec ืืืขื ืืื ื ืืฆื ืืืืข ืกืืกืืขื ืงืจืึทืืขื ืืฉืึทืื ืึธืืขืจ ืกืึทืกืคึผืืฉืึทืก ืืจืืฉื.
- ืกืึทืกืคึผืืฉืึทืก ืฉืึธืื ืงืึธืคึผืืข ืึทืคึผืขืจืืืฉืึทื ื ืืขื ืขื ืึท ืคึผืจืึธืกื ื ืึทืืืจ ืคืื ืจืึทื ืกืึธืืืืึทืจืข ืืืืจืืกืขืก ืืืืืขืจ ืขื ืงืจืืคึผืืื ื ืึท ืกืืกืืขื; ืืื ืืืืื ืืึทืงืึทืคึผืก:
- ืืืจื vssadmin.exe;
- ืืืจื WMI. - ืจืขืืืกืืจืืจื ืืึทืืคึผืก ืคืื ืืึทื ืฅ ืจืขืืืกืืจื ืืืืืื.
- ืืึธืจืืืึธื ืืึทื ืืึทืืืขืืื ื ืคืื ืืืืืข ืงืึธื ืืืขื ืึท ืคึผืจืึธืฆืขืก ืืื ืจืืืึธืืืื ืืึธื ืืฉื ืืื ืงืึทืืึทื ืื ืึทืืึท ืืื at.exe.
- ืกืึทืกืคึผืืฉืึทืก ืืืืข ืืจืืคึผืข ืึทืคึผืขืจืืืฉืึทื ื ืืื ืคืขืื ืึทืคึผืขืจืืืฉืึทื ื ื ืืฆื net.exe.
- ืกืึทืกืคึผืืฉืึทืก ืคืืืจืืืึทื ืืขืืืงืืื ื ืืฆื netsh.exe.
- ืกืึทืกืคึผืืฉืึทืก ืืึทื ืืคึผืืึทืืืืฉืึทื ืคืื ืื ืึทืงื.
- ื ืืฆื BITS ืคึฟืึทืจ ืืึทืื ืขืงืกืคืืืืจืืืฉืึทื.
- ืกืึทืกืคึผืืฉืึทืก ืืึทื ืืคึผืืึทืืืืฉืึทื ื ืืื WMI.
- ืกืึทืกืคึผืืฉืึทืก ืฉืจืืคื ืงืึทืืึทื ืื.
- ืคืจืืืื ืฆื ืืึทืืคึผ ืืืืขืจ ืกืืกืืขื ืืขืงืขืก.
ืื ืงืึทืืืืื ื ืืขืจืฉื ืึทืจืืขื ืืืืขืจ ืืื ืฆื ืืขืืขืงื ืืจืขืฅ ืึทืืึท ืืื RUYK, LockerGoga ืืื ืื ืืขืจืข ืจืึทื ืกืึธืืืืึทืจืข, ืืึทืืืืึทืจืข ืืื ืกืืืืขืจ ืงืจืืืื ืืึธืึธืืงืืฅ. ืื ืืขืจืฉื ืืื ืืขืกืืขื ืืืจื ืื ืคืึทืจืงืืืคืขืจ ืืื ืคึผืจืึธืืืงืฆืืข ืื ืืืืืจืึทื ืืึทื ืฅ ืฆื ืืื ืึทืืืื ืคืึทืืฉ ืคึผืึทืืึทืืืืื. ืืื ืืึทื ืง ืฆื ืื SIGMA ืคึผืจืืืขืงื, ืจืืึฟ ืคืื ืื ืื ืืึทืงืืืืขืจื ืคึผืจืึธืืืฆืืจื ืึท ืืื ืืืึทื ื ืืืขืจ ืคืื ืจืึทืฉ ืืขืฉืขืขื ืืฉื.
ืืืืึทื ืืื InTrust ืืึธืก ืืื ืึท ืืึธื ืืืึธืจืื ื ืืขืจืฉื, ืืืจ ืงืขื ืขื ืืืกืคืืจื ืึท ืขื ืืคืขืจ ืฉืจืืคื ืืื ืึท ืึธืคึผืจืืฃ ืฆื ืึท ืกืึทืงืึธื ืข. ืืืจ ืงืขื ื ื ืืฆื ืืืื ืขืจ ืคืื ืื ืืขืืืื-ืืื ืกืงืจืืคึผืก ืึธืืขืจ ืืึทืื ืืืื ืืืืืขื ืข ืืื InTrust ืืืขื ืืืืืึธืืึทืืืฉ ืคืึทืจืฉืคึผืจืืืื ืขืก.
ืืื ืึทืืืฉืึทื, ืืืจ ืงืขื ืขื ืืืจืืงืืงื ืึทืืข ืืขืฉืขืขื ืืฉ-ืคึฟืึทืจืืื ืืขื ืข ืืขืืขืืขืืจื: PowerShell ืกืงืจืืคึผืก, ืคึผืจืึธืฆืขืก ืืืจืืคืืจืื ื, ืกืงืขืืืฉืืื ืึทืจืืขื ืืึทื ืืคึผืืึทืืืืฉืึทื ื, WMI ืึทืืืื ืืกืืจืึทืืืืืข ืึทืงืืืืืืืขืื ืืื ื ืืฆื ืืื ืคึฟืึทืจ ืคึผืึธืกื-ืืึธืจืืขืืก ืืขืฉืึทืก ืืืืขืจืืืื ืื ืกืึทืืึทื ืฅ.
InTrust ืืื ืืื ืืขืจืืขืจ ืคืื ืื ืืขืจืข ืึผืืืื, ืขืืืขืืข ืคืื โโืืื:
- ืืืืขืงืืื ื ืึท PowerShell ืืึทืื ืืจืืื ืืึทืคืึทืื ืืื ืืืขื ืขืืขืฆืขืจ ืืืืืืจืึทืืื ื ืืฆื ืึทื ืขืืืขืจืข ืืืขืจืกืืข ืคืื โโPowerShell ืืืืึทื ... ืืื ืื ืขืืืขืจืข ืืืขืจืกืืข, ืขืก ืืื ืงืืื ืืืขื ืฆื ืงืึธื ืืจืึธืืืจื ืืืึธืก ืืื ืืขืฉืขืขื ืืฉ.
- ืืึธืืึธื ืืืืขืงืฉืึทื ืืื ืืืื ืคึผืจืืืืืืขืืืข ืืื ืืืขื ืึทืงืึทืื ืฅ ืืืึธืก ืืขื ืขื ืืืืืืืืขืจ ืคืื ืึท ืืืืขืจ ืคึผืจืืืืืืืืฉื ืืจืืคึผืข (ืึทืืึท ืืื ืคืขืื ืึทืืืื ืืกืืจืึทืืึธืจืก) ืืึธืืื ืฆื ืืืขืจืงืกืืืืฉืึทื ื ืืืจื ืฆืืคืึทื ืึธืืขืจ ืจืขืื ืฆื ืืืืขืจืืืื ืื ืกืึทืืึทื ืฅ.
InTrust ืึทืืึทืื ืืืจ ืฆื ื ืืฆื ืืขืกืืขืจ ืืืืขืจืืืื ืคึผืจืึทืงืืืกืื ืืื ืื ืคืึธืจืขื ืคืื ืคึผืจืืืขืคืื ืขื ืืืืขืงืฉืึทื ืืื ืึธืคึผืจืืฃ ืึผืืืื. ืืื ืืืื ืืืจ ืืจืึทืืื ืึทื ืขืคึผืขืก ืืึธื ืึทืจืืขืื ืืืคืขืจืขื ืืื, ืืืจ ืงืขื ืขื ืืึทืื ืืืื ืืืืืขื ืข ืงืึธืคึผืืข ืคืื โโืื ืืขืจืฉื ืืื ืงืึทื ืคืืืืขืจ ืขืก ืืื ืืืจืฃ. ืืืจ ืงืขื ืขื ืคืึธืจืืืืื ืึท ืึทืคึผืืึทืงืืืฉืึทื ืคึฟืึทืจ ืงืึทื ืืึทืงืืื ื ืึท ืคึผืืืึธื ืึธืืขืจ ืืึทืงืืืขื ืคืึทืจืฉืคึผืจืืืืื ื ืงืืฅ ืืื ืฆืืึทืืืืืึทืืืง ืืืืกืึทื ืกืื ืืืจื ืืืืฃ ืืื ืืืขืจ ืืืขืืืืืื.
ืึทืืึธื ืืจื ืฆื ืืื ืืืขืจ , ืืืจ ืึทืจืืืกืืขืื ืงืืจืฅ ืืขืจืืช ืืื ืืฉืืงืึทืืืข ืืื ืงืก ืืึธืจื.
ืืืืขื ืขื ืืื ืืืขืจ ืื ืืขืจืข ืึทืจืืืงืืขื ืืืขืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื:
(ืคืึธืืงืก ืึทืจืืืงื)
ืืงืืจ: www.habr.com