ืืื ืื ืืขืฆืืข ืืึธืจื, ืจืืจืขืืืืืง ืืจืึธืืืฉืึทื ืก ืืึธืื ืึทืงืืืืืื ืจืืคึผืืืืกื ืืจืึธืืืฉืึทื ืก ืคึฟืึทืจ ืคึผืขืจืืขื ืืขื ืงืึธืืคึผืืืืขืจืก, ืึทืืื ืื ืืืขืจืืืฉืึทื ืก ืคืื ื ืืึท ืืึทืืืืึทืจืข ืคึฟืึทืจ ืื ืืื ืึทืื "ืงืึทืจืก" ืืื ืืืืขืจ ืึทืงืืืื ื ืืฆื ืืืจื ืกืืืืขืจ ืงืจืืืึทื ืึทืื, ืืึธืืฉ ืคึผืจืืงืจืข, ืืื ื ืึธื ืึท ืืขืฉืขืขื ืืฉ. ืืขืฆืื ืก, CERT Group-IB ืก XNUMX/XNUMX ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื ืืื ืฆืืืขื ื ืขื ืืคืขืจ ืฆืขื ืืขืจ ืืืืขืงืืึทื ืึท ืืืืขืืืืื ืืืขื ืคืืฉืื ื E- ืืจืืื ืืืึธืก ืืื ืืขืืืขื ืืืืืื ื ืึท ื ืืึทืข ืคึผืืกื ืืึทืืืืึทืจืข ืืืึธืก ืงืึทืืืืื ื ืื ืคืึทื ืืงืฉืึทื ื ืคืื Keylogger ืืื PasswordStealer. ืื ืืคืืขืจืงืืึทืืงืืื ืคืื ืึทื ืึทืืืกืฅ ืืื ืืขืืืขื ืืขืฆืืืื ืฆื ืืื ืื ืกืคึผืืืืึทืจืข ืืึทื ืึทื ืื ืื ืืึทื ืืฆืขืจ 'ืก ืืึทืฉืื - ื ืืฆื ืึท ืคืึธืืงืก ืงืื ืฉืืื. ืืืืื ืคึผืึธืืขืจืึทื ืฅืขืื, ืึท ืืึทืืืืึทืจืข ืึทื ืึทืืืกืืก ืืืืืข ืืื CERT Group-IB, ืืขืจืงืืขืจื ืืื ืื ืืึทืืืืึทืจืข ืึทืจืืขื, ืืืึธืก ืขืก ืืื ืืขืคืขืจืืขื, ืืื ืืคืืื ืืขืคึฟืื ืขื ืืืื ืืืฉืขืคืขืจ ืืื ืืืืึทื ืืจืึทืง.
ืึทืืื, ืืึธืื ืก ืืืื ืืื ืกืืจ. ืืื ืืขืจ ืื ืืืื ืคืื ืึท ืึทืืึทืืฉืืึทื ื, ืึทืืึท ืึท ืืจืืื ืงืึทื ืืืื ื ืึท ืืืื, ืืืขื ืงืืืงืื ื ืืืืฃ ืืืึธืก ืืขืจ ืืึทื ืืฆืขืจ ืืื ืืขื ืืืขื ืฆื ืื ืคึผืืึทืฅ cdn.discordapp.com, ืืื ืึท ืืืืืข ืืขืงืข ืืื ืืึทืื ืืึธืืืื ืคืื ืืึธืจื.
ืื ื ืืฆื ืคืื ืืืกืงืึธืจื, ืึท ืคืจืื ืงืื ืืื ืืขืงืกื ืฉืืื, ืืื ืืึทื ืฅ ืึทื ืงืึทื ืืืขื ืฉืึทื ืึทื. ืืืคึผืืงืึทืืื, ืื ืืขืจืข ืจืขืืข ืฉืืืืื ืึธืืขืจ ืืขืืขืืฉืึทืคืืืขื ื ืขืืืืึธืจืงืก ืืขื ืขื ืืขื ืืฆื ืคึฟืึทืจ ืื ืฆืืืขืงื.
ืืขืฉืึทืก ืึท ืืขืจ ืืืืืืื ืึทื ืึทืืืกืืก, ืึท ืืฉืคึผืื ืคืื ืืึทืืืืึทืจืข ืืื ืืืืขื ืึทืคืืื. ืขืก ืืื ืืขืืืขื ืึท ื ืืึท-ืืขืงืืืขื ืขืจ ืฆื ืื ืืึทืืืืึทืจืข ืืึทืจืง - 404 ืงืืืืึธืืืขืจ.
ืืขืจ ืขืจืฉืืขืจ ืึทืืืืขืจืืืืืืึทื ื ืคึฟืึทืจ ืคืึทืจืงืืืฃ ืคืื ืึท ืงืืืืึธืืืขืจ ืืื ืืขืืืขื ืึทืจืืึทื ืืขืฉืืงื ืืืืฃ ืืึทืงืคืึธืจืืืก ืืืจื ืืึทื ืืฆืขืจ ืืื ืืขืจ ืื ื ืืงืงื ืึทืืข "404 ืงืึธืืขืจ" ืืืืฃ 8 ืืืืืืกื.
ืื ืงืจืึธื ืคืขืื ืืื ืืขืืืขื ืจืขืืืกืืจืืจื ืืึทื ืฅ ืืขืฆืื ืก - ืืืืฃ ืกืขืคืืขืืืขืจ 7, 2019.
ืืื ืื ืืขืืืขืืึธืคึผืขืจืก ืืึธืื ืืืืฃ ืืขื ืืืขืืืืืื 404 ืคึผืจืึทืืืฉืขืงืก[.]ืงืกืื, 404 ืืื ืึท ืืขืฆืืึทื ืืืืืื ื ืฆื ืืขืืคึฟื ืงืึธืืคึผืึทื ืืขืก ืืขืจื ืขื ืืืขืื ืืืืขืจ ืงืึทืกืืึทืืขืจื 'ืึทืงืืืืืืืขืื (ืืื ืืืืขืจ ืืขืจืืืืืขื ืืฉ) ืึธืืขืจ ืคึฟืึทืจ ืื ืืืืก ืืืืื ืฆื ืืึทืฉืืฆื ืืืืขืจ ืืืื ืขืจื ืคืื ืคืึทืจืงืขืจื ืื ืืฉืขื ืืขืจืืข. ืงืืงื ืคืึธืจืืืก, ืืึธืืืจ ืืึธืื ืึทื ืืื ืื ืืขืฆืืข ืึทืจืืขื 404 ืึทืืืึทืืข ืืื ื ืืฉื ืงืึธืคึผืข.
ืืืจ ืืึทืฉืืึธืกื ืฆื ืคืึทืจืงืขืจื ืืืื ืขืจ ืคืื ืื ืืขืงืขืก ืืื ืงืึธื ืืจืึธืืืจื ืืืึธืก "ืืขืกืืขืจ ืงืืื ืงืืืืึธืืืขืจ" ืืื.
ืืึทืืืืึทืจืข ืืงืึธืืกืืกืืึทื
ืืึธืืืขืจ 1 (ืึทืืืืืึทืงืจืืคึผืืขืจ)
ืืขืจ ืืงืืจ ืืขืงืข ืืื ืคึผืจืึธืืขืงืืขื ื ืืฆื EaxObfuscator ืืื ืคึผืขืจืคืึธืจืื ืฆืืืื-ืฉืจืื ืืึธืืืื ื AtProtect ืคืื ืื ืจืขืกืืจืกื ืึธืคึผืืืืืื ื. ืืขืฉืึทืก ืื ืึทื ืึทืืืกืืก ืคืื ืื ืืขืจืข ืกืึทืืคึผืึทืื ืืขืคึฟืื ืขื ืืืืฃ VirusTotal, ืขืก ืืื ืืขืืืืจื ืงืืึธืจ ืึทื ืืขืจ ืืื ืข ืืื ื ืืฉื ืฆืืืขืฉืืขืื ืืืจื ืื ืืขืืืขืืึธืคึผืขืจ ืืื, ืึธืืขืจ ืืื ืืขืืืขื ืฆืืืขืืขืื ืืืจื ืืืื ืงืืืขื ื. ืขืก ืืื ืฉืคึผืขืืขืจ ืืืฉืืืกื ืึทื ืืขื ืืึธืึธืืืึธืึทืืขืจ ืืื ืืขืืืขื AtillaCrypter.
ืืึธืึธืืืึธืึทืืขืจ 2 (ืึทืืคึผืจืึธืืขืงื)
ืืื ืคืึทืงื, ืืขื ืืึธืืืขืจ ืืื ืึท ืื ืืึทืืจืึทื ืืืื ืคืื ืื ืืึทืืืืึทืจืข ืืื, ืืืื ืื ืืืื ื ืคืื ืื ืืขืืืขืืึธืคึผืขืจ, ืืึธื ื ืขืืขื ืืืืฃ ืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืคืื ืงืึทืื ืืขืจืื ื ืึทื ืึทืืืกืืก.
ืึธืืขืจ, ืืื ืคืืจ, ืื ืฉืืฅ ืืขืงืึทื ืืืึทืื ืืขื ืขื ืืึธืจ ืคึผืจืืืืืืื, ืืื ืืื ืืืขืจ ืกืืกืืขืืขื ืืฆืืื ืืขืืขืงื ืืขื ืืึทืืืืึทืจืข.
ืื ืืืืคึผื ืืึธืืืืข ืืื ืืึธืืืื ื ืืฆื ืคืจืึทื ืืฉื ืฉืขืืงืึธืืข ืคืึทืจืฉืืืขื ืข ืืืขืจืกืืขืก. ืึธืืขืจ, ืืืจ ืืึธื ื ืื ืืืกืฉืืืกื ืึทื ืื ืืขืจืข ืึธืคึผืฆืืขืก ืงืขื ืืืื ืืขืืืืื ื, ืืืฉื, RunPE.
ืงืึธื ืคืืืืจืึทืืืึธื ืืขืงืข
ืงืึทื ืกืึทืืึทืืืืฉืึทื ืืื ืื ืกืืกืืขื
ืงืึทื ืกืึทืืึทืืืืฉืึทื ืืื ืื ืกืืกืืขื ืืื ืื ืฉืืจื ืืืจื ืื ืืึธืึธืืืึธืึทืืขืจ AtProtect, ืืืื ืื ืงืึธืจืึทืกืคึผืึทื ืืื ื ืคืึธื ืืื ืืึทืฉืืืื.
- ืืขืจ ืืขืงืข ืืื ืงืึทืคึผืื ืฆืืืืืขื ืืขื ืืจื %AppData%GFqaakZpzwm.exe.
- ืืขืจ ืืขืงืข ืืื ืืืฉืืคื %AppData%GFqaakWinDriv.url, ืืึธื ืืฉืื ื Zpzwm.exe.
- ืืื ืื ืคึฟืึธืืขื HKCUSoftware Microsoft Windows CurrentVersionRun ืึท ืกืืึทืจืืึทืคึผ ืฉืืืกื ืืื ืืืฉืืคื WinDriv.url.
ืื ืืขืจืึทืงืฉืึทื ืืื C&C
ืืึธืืืขืจ AtProtect
ืืืื ืื ืฆืื ืขืืขื ืคืึธื ืืื ืคืึธืจืฉืืขืื, ืื ืืึทืืืืึทืจืข ืงืขื ืขื ืงืึทืืขืจ ืึท ืคืึทืจืืึธืจืื ืคึผืจืึธืฆืขืก iexplorer ืืื ื ืึธืืืืื ืื ืกืคึผืขืกืืคืืขื ืืื ืง ืฆื ืืขืื ืฆื ืืืืกื ืื ืกืขืจืืืขืจ ืืืขืื ืืขืจืึธืื ืื ืคืขืงืฆืืข.
DataStealer
ืจืขืืึทืจืืืขืกืก ืคืื ืืขื ืืืคึฟื ืืขื ืืฆื, ื ืขืฅ ืงืึธืืื ืืงืึทืฆืืข ืืืืื ืืื ืงืจืืื ืื ืคืื ืืจืืืกื ืืืง IP ืคืื ืื ืงืึธืจืื ื ืืฆื ืื ืืืื [ืืืืคึผ]://checkip[.]dyndns[.]org/.
ืืึทื ืืฆืขืจ-ืึทืืขื ื: ืืึธืืืืืึท/4.0 (ืงืึทืืคึผืึทืืึทืืึทื; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)
ืื ืึทืืืขืืืื ืข ืกืืจืืงืืืจ ืคืื ืื ืึธื ืืึธื ืืื ืื ืืขืืืข. ืืขืืขืจ ืคืึธืจืฉืืขืื
|โโ- 404 ืงืืืืึธืืืขืจ โ {ืืืคึผ} โโ-|ืืื {ืืืคึผ} ืงืึธืจืึทืกืคึผืึทื ืื ืฆื ืื ืืืคึผ ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืจืึทื ืกืืืืืขื.
ืื ืคืืืืขื ืืข ืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืกืืกืืขื:
_______ + ืงืึธืจืื ืืื ืคึฟืึธืจืืึทืฆืืข + _______
IP: {external IP}
ืืึทืืืฆืขืจ ื ืึธืืขื: {ืงืึธืืคึผืืืืขืจ ื ืึธืืขื}
OS ื ืึธืืขื: {OS ื ืึธืืขื}
OS ืืืขืจืกืืข: {OS Version}
ืึทืก ืคึผืืึทืืคืึธืจื: {ืคึผืืึทืืคืึธืจื}
ืืึทืจืึทื ืืจืืืก: {RAM ืืจืืืก}
______________________________
ืืื ืืขืกืึธืฃ, ืื ืืจืึทื ืกืืืืืขื ืืึทืื.
ืกืืืคึผ
ืื ืืขืืข ืคืื โโืืขื ืืจืืื ืืื ืืื ืืืื: 404 ืง | {ืืขืกืขืืืฉ ืืืคึผ} | ืงืืืขื ื ื ืึธืืขื: {ืืึทื ืืฆืขืจ ื ืึธืืขื}.
ืื ืืขืจืขืกืืื ืืื, ืฆื ืืึทืคืจืืึทืขื ืืจืืื ืฆื ืืขื ืงืืืขื ื 404 ืงืืืืึธืืืขืจ ืื ืืขืืืขืืึธืคึผืขืจืก 'ืกืืืคึผ ืกืขืจืืืขืจ ืืื ืืขื ืืฆื.
ืืขื ืืขืืืื ืขืก ืืขืืืขื ืฆื ืืืขื ืืืคืืฆืืจื ืขืืืขืืข ืงืืืืึทื ืฅ, ืืื ืืขืืื ื ืืื ืื E- ืืจืืื ืคืื ืืืื ืขืจ ืคืื ืื ืืขืืืขืืึธืคึผืขืจืก.
ืคืืคึผ
ืืืขื ืืืจ ื ืืฆื ืืขื ืืืคึฟื, ืื ืืขืืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืืขืจืืืขืืืขื ืืื ืึท ืืขืงืข ืืื ืืืืื ืืืืขื ืขื ืคึฟืื ืืึธืจื.
ืื ืืึธืืืง ืืื ืืขืจ ืืขื ืงืึทืืฃ ืืื ื ืืฉื ืืึธืจ ืงืืึธืจ, ืึธืืขืจ ืขืก ืงืจืืืืฅ ืึทื ื ืึธื ืึทืจืืึทืคืึทืงื ืคึฟืึทืจ ืฉืจืืืื ื ืึทืืืจืึทื ืึผืืืื.
%HOMEDRIVE%%HOMEPATH%DocumentsA{ืึทืจืืืืจืขืจื ื ืืืขืจ}.ืืงืกื
ืคึผืึทืคึผืืึทืืื
ืืื ืืขืจ ืฆืืื ืคืื ืึทื ืึทืืืกืืก, ืืขื ืืืคึฟื ืืื ืืืืื ืืขื ืืฆื ืฆื ืึทืจืืืขืจืคืืจื ืกืืึธืืขื ืคึผืึทืกืืืขืจืื. ืืขืจืฆื, ืขืก ืืื ื ืืฉื ืืขื ืืฆื ืืื ืึทื ืื ืืขืจ ืืจืืจื ืฆื ืื ืขืจืฉืืขืจ ืฆืืืื, ืึธืืขืจ ืืื ืคึผืึทืจืึทืืขื. ืืขืจ ืฆืืฉืืึทื ื ืืื ืื ืืืขืจื ืคืื ืื ืงืขืกืืืืขืจืืืง ืืืืึทื ืฆื "ืืืึทืืืึท". ืืืกืืึธืืข ืืึธืก ืืื ืืขืจ ื ืึธืืขื ืคืื ืืขื ืงืืืขื ื.
ืื ืืขืจืึทืงืฉืึทื ืึทืงืขืจื ืืืจื ืื https ืคึผืจืึธืืึธืงืึธื ืืืจื ืื ืึทืคึผื ืคึผืึทืกืืขืืื. ืืืึทืืฉ api_paste_private equals PASTE_UNLISTED, ืืืึธืก ืคืึทืจืืืขืจื ืืืื ืคึฟืึทืจ ืึทืืึท ืืืขืืขืจ ืืื ืคึผืึทืกืืขืืื.
ืขื ืงืจืืคึผืฉืึทื ืึทืืืขืจืืืึทืื
ืจืืืจืืืืื ื ืึท ืืขืงืข ืคืื โโืจืขืกืืจืกื
ืื ืคึผืืืืึธืื ืืื ืกืืึธืจื ืืื ืืึธืึธืืืึธืึทืืขืจ ืจืขืกืืจืกื AtProtect ืืื ืื ืคืึธืจืขื ืคืื ืืืืืึทืคึผ ืืืืืขืจ. ืืงืกืืจืึทืงืฉืึทื ืืื ืืืจืืืขืงืึธืื ืืื ืขืืืขืืข ืกืืึทืืขืก:
- ื ืืขื ืืข ืคืื โโืืืืขืก ืืื ืืงืกืืจืึทืงืืื ืคืื ืื ืืืื. ืืขืืขืจ ืคึผืืงืกืขื ืืื ืืืืื ืืื ืืื ืึท ืกืืงืืืึทื ืก ืคืื 3 ืืืืขืก ืืื BGR ืกืืจ. ื ืึธื ืืงืกืืจืึทืงืฉืึทื, ืื ืขืจืฉืืขืจ 4 ืืืืขืก ืคืื ืื ืืขื ืืข ืงืจืึธื ืื ืืขื ื ืคืื ืื ืึธื ืืึธื, ืื ืกืึทืืกืึทืงืืืึทื ื ืึธื ืขืก ืงืจืึธื ืื ืึธื ืืึธื ืืื.
- ืืขืจ ืฉืืืกื ืืื ืงืึทืืงืืึทืืืืืื. ืฆื ืืึธื ืืึธืก, MD5 ืืื ืงืึทืืงืืึทืืืืืื ืคืื ืื ืืืขืจื "ZpzwmjMJyfTNiRalKVrcSkxCN" ืกืคึผืขืกืืคืืขื ืืื ืื ืคึผืึทืจืึธื. ืื ืจืืืึทืืืื ื ืืึทืฉ ืืื ืืขืฉืจืืื ืฆืืืื ืืึธื.
- ืืขืงืจืืคึผืืืึธื ืืื ืืืจืืืขืงืึธืื ืืื ืื AES ืึทืืืขืจืืืึทื ืืื ECB ืืึธืืข.
ืืืืืข ืคืึทื ืืงืฉืึทื ืึทืืืื
Downloader
ืืืคึผืืึทืืขื ืึทื ืืื ืื ืืึธืึธืืืึธืึทืืขืจ AtProtect.
- ืืืจื ืงืึธื ืืึทืงื [activelink-repalce] ืืขืจ ืกืขืจืืืืจืขืจ ืก ืกืืึทืืืก ืืื ืืขืืขืื ืฆื ืืึทืฉืืขืืืงื ืึทื ืขืก ืืื ืืจืืื ืฆื ืืื ืขื ืื ืืขืงืข. ืืขืจ ืกืขืจืืืขืจ ืืึธื ืฆืืจืืงืงืืืขื "ืืืืฃ".
- ืื ืืื ืง [downloadlink-replace] ืื ืคึผืืืืึธืื ืืื ืืึทืื ืืึธืืืื.
- ื ืืฆื FranchyShellcode ืื ืคึผืืืืึธืื ืืื ืื ืืืฉืขืงืืื ืืื ืืขื ืคึผืจืึธืฆืขืก [inj-replace].
ืืขืฉืึทืก ืคืขืื ืึทื ืึทืืืกืืก 404 ืคึผืจืึทืืืฉืขืงืก[.]ืงืกืื ื ืึธื ืื ืกืืึทื ืกืื ืืขื ืขื ืืืืขื ืึทืคืืื ืืืืฃ VirusTotal 404 ืงืืืืึธืืืขืจ, ืืื ืืขืืื ื ืืื ืขืืืขืืข ืืืืคึผืก ืคืื ืืึธืืืขืจื.
ืงืึทื ืืืขื ืฉืึทื ืึทืื, ืืื ืืขื ืขื ืฆืขืืืืื ืืื ืฆืืืื ืืืืคึผืก:
- ืืึทืื ืืึธืืืื ื ืืื ืืขืคืืจื ืืืืก ืคืื ืื ืืืื 404 ืคึผืจืึทืืืฉืขืงืก[.]ืงืกืื.
ืืึทืื ืืขื ืขื Base64 ืขื ืงืจืืคึผืืื ืืื AES ืื ืงืจืืคึผืืื. - ืืขืจ ืึธืคึผืฆืืข ืืืฉืืืื ืคืื ืขืืืขืืข ืกืืึทืืขืก ืืื ืืื ืจืืึฟ ืืกืชึผืื ืืขื ืืฆื ืืื ืงืึทื ืืืฉืึทื ืืงืฉืึทื ืืื ืึท ืืึธืึธืืืึธืึทืืขืจ AtProtect.
- ืืื ืืขืจ ืขืจืฉืืขืจ ืืื ืข, ืืึทืื ืืขื ืขื ืืึธืืืื ืคึฟืื ืคึผืึทืกืืขืืื ืืื ืืขืงืึธืืขื ื ืืฆื ืื ืคึฟืื ืงืฆืืข HexToByte.
- ืืื ืื ืจืืข ืืื ืข, ืื ืืงืืจ ืคืื ืืึธืืืื ื ืืื ืื 404 ืคึผืจืึทืืืฉืขืงืก[.]ืงืกืื. ืึธืืขืจ, ืื ืืืงืึทืืคึผืจืขืฉืึทื ืืื ืืืงืึธืืืื ื ืคืึทื ืืงืฉืึทื ื ืืขื ืขื ืขื ืืขื ืฆื ืื ืืขืคึฟืื ืขื ืืื DataStealer. ืขืก ืืื ืืืกืืึธืืข ืขืจืืืืฉื ืึทืื ืคึผืืึทื ื ืขื ืฆื ืื ืกืืจืืืขื ื ืื ืืึธืึธืืืึธืึทืืขืจ ืคืึทื ืืงืฉืึทื ืึทืืืื ืืื ืื ืืืืคึผื ืืึธืืืืข.
- ืืื ืืขื ืืื ืข, ืื ืคึผืืืืึธืื ืืื ืฉืืื ืืื ืื ืืืื ืืึทืฉืืึทืืคึผืขืจืืขื ืืื ืึท ืงืึทืืคึผืจืขืกื ืคืึธืจืขื. ืขื ืืขื ืืงืกืืจืึทืงืฉืึทื ืคืึทื ืืงืฉืึทื ื ืืขื ืขื ืืืื ืืขืคึฟืื ืขื ืืื ืื ืืืืคึผื ืืึธืืืืข.
ืืึธืืื ืืึธืึทืืขืจืก ืืขื ืขื ืืขืคึฟืื ืขื ืฆืืืืฉื ืื ืึทื ืึทืืืืื ืืขืงืขืก njRat, ืกืคึผืืืืื ืืื ืื ืืขืจืข ืจืึทืฅ.
ืงืืืืึธืืืขืจ
ืงืืึธืฅ ืฉืืงื ืฆืืึทื: 30 ืืื ืื.
ืึทืืข ืืืชืืืช ืืขื ืขื ืืขืฉืืืฆื. ืกืคึผืขืฆืืขืืข ืืืชืืืช ืืขื ืขื ืื ืืจืื ืขื. ืขืก ืืื ืคึผืจืึทืกืขืกืื ื ืคึฟืึทืจ ืื ืืึทืงืงืกืคึผืึทืกืข ืืื ืืืืื ืฉืืืกืืขื. ืคืึทื ืกืขื ืกืืืืื.
ืงืืืคึผืืึธืจืืืึธืืืขืจ
ืงืืึธืฅ ืฉืืงื ืฆืืึทื: 30 ืืื ืื.
ืืึทืคืขืจ ืคึผืึธืืืื ื ืฆืืื: 0,1 ืกืขืงืื ืืขืก.
ืืืคึผืืึทืืขื ืึทื ืืื ืง ืืกืงืืืคึผืื ื.
ืกืงืจืขืขื ืืึธืืืขืจ
ืงืืึธืฅ ืฉืืงื ืฆืืึทื: 60 ืืื ืื.
ืกืงืจืขืขื ืฉืึธืฅ ืืขื ืขื ืืขืจืืืขืืืขื ืืื %HOMEDRIVE%%HOMEPATH%Documents404k404pic.png.
ื ืึธื ืฉืืงื ืื ืืขืงืข ืงืกื ืืืงืกืง ืืื ืืืืกืืขืืขืงื.
PasswordStealer
| ืืจืึทืืืขืจื | ืคึผืึธืกื ืงืืืืึทื ืฅ | ืคืืคึผ ืงืืืืึทื ืฅ |
|---|---|---|
| ืงืจืึธืื | ืืขืจืืืึทืจืืื ื | ืคืืืขืืืืืึท |
| ืคืืจืขืคืึธืงืก | Thunderbird | |
| SeaMonkey | ืคืึธืงืกืืึทืื | |
| ืืืืืืจืึทืืึธื | ||
| ืคึผืึทืืขืืึธืึธื | ||
| Cyberfox | ||
| ืงืจืึธืื | ||
| BraveBrowser | ||
| QQBrowser | ||
| IridiumBrowser | ||
| XvastBrowser | ||
| Chedot | ||
| 360 ืืืขืืขืจืขืจ | ||
| ComodoDragon | ||
| 360 ืงืจืึธืื | ||
| ืกืืคึผืขืจืืืจื | ||
| CentBrowser | ||
| GhostBrowser | ||
| IronBrowser | ||
| ืืฉืจืึธืืืื | ||
| ืืืืืืึทืืื | ||
| SlimjetBrowser | ||
| ืึธืจืืืืื | ||
| ืงืึธืงืงืึธืง | ||
| ืฉืืืจืงืึทืฅ | ||
| UCBrowser | ||
| EpicBrowser | ||
| BliskBrowser | ||
| ืึธืคึผืขืจืข |
ืงืึธืื ืืขืจืึทืงืฉืึทื ืฆื ืืื ืึทืืืฉ ืึทื ืึทืืืกืืก
- ืงืึธื ืืจืึธืืืจื ืฆื ืึท ืคึผืจืึธืฆืขืก ืืื ืืื ืืขืจ ืึทื ืึทืืืกืืก
ืืืจืืืขืงืึธืื ื ืืฆื ืคึผืจืึธืฆืขืก ืืืื ืืึทืกืงืืืจ, ProcessHacker, procexp64, procexp, ืคึผืจืึธืงืืึธื. ืืืื ืืืึท ืืื ืืกืืขืจ ืืืื ืขืจ ืืื ืืขืคึฟืื ืขื, ืื ืืึทืืืืึทืจืข ืขืืืื.
- ืงืึธื ืืจืึธืืืจื ืืืื ืืืจ ืืขื ื ืืื ืึท ืืืืจืืืึทื ืกืืืืืืข
ืืืจืืืขืงืึธืื ื ืืฆื ืคึผืจืึธืฆืขืก ืืืื vmtoolsd, VGAuthService, vmacthlp, VBoxService, VBoxTray. ืืืื ืืืึท ืืื ืืกืืขืจ ืืืื ืขืจ ืืื ืืขืคึฟืื ืขื, ืื ืืึทืืืืึทืจืข ืขืืืื.
- ืคืึทืื ืฉืืึธืคื ืืืง ืคึฟืึทืจ 5 ืกืขืงืื ืืขืก
- ืืขืืึทื ืกืืจืืืฉืึทื ืคืื ืคืึทืจืฉืืืขื ืข ืืืืคึผืก ืคืื ืืืึทืืึธื ืืึธืงืกืขืก
ืงืขื ืขื ืืืื ืืขืืืืื ื ืฆื ืืืืคึผืึทืก ืขืืืขืืข ืืึทืืืืึธืงืกืขืก.
- ืืืืคึผืึทืก UAC
ืืขืืื ืืืจื ืขืืืืื ื ืื ืจืขืืืกืืจื ืฉืืืกื ืขื ืึทืืืขืืืึท ืืื ืืจืืคืข ืคึผืึธืืืืืง ืกืขืืืื ืืก.
- ืึทืคึผืืืื ืื "ืืืืืขื" ืึทืืจืืืืื ืฆื ืื ืงืจืึทื ื ืืขืงืข.
- ืคืืืืงืืื ืฆื ืืืกืืขืงื ืืขื ืงืจืึทื ื ืืขืงืข.
ืื ืึทืงืืืืืข ืคึฟืขืึดืงืืืื
ืืขืฉืึทืก ืื ืึทื ืึทืืืกืืก ืคืื ืื ืืึธืึธืืืึธืึทืืขืจ ืืื ืื ืืืืคึผื ืืึธืืืืข, ืคืึทื ืืงืฉืึทื ื ืืขื ืขื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ื ืึธื ืคืึทื ืืงืฉืึทื ืึทืืืื, ืึธืืขืจ ืืื ืืขื ืขื ื ืืฉื ืืขื ืืฆื ืขืจืืขืฅ. ืืึธืก ืืื ืืืกืืึธืืข ืจืขืื ืฆื ืืขื ืคืึทืงื ืึทื ืื ืืึทืืืืึทืจืข ืืื ื ืึธื ืืื ืึทื ืืืืืงืืื ื ืืื ืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืืืขื ืืืื ืืงืกืคึผืึทื ืืื ืืึทืื.
ืืึธืืืขืจ AtProtect
ื ืคึฟืื ืงืฆืืข ืืื ืืขืคึฟืื ืขื ืืขืืืึธืจื ืืืึธืก ืืื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืืึธืืืื ื ืืื ืื ืืืฉืขืงืฉืึทื ืืื ืืขื ืคึผืจืึธืฆืขืก msiexec.exe ืึทืจืืืืจืึทืจืืฉ ืืึธืืืืข.
DataStealer
- ืงืึทื ืกืึทืืึทืืืืฉืึทื ืืื ืื ืกืืกืืขื
- ืืืงืึทืืคึผืจืขืฉืึทื ืืื ืืขืงืจืืคึผืืืึธื ืคืึทื ืืงืฉืึทื ื
ืขืก ืืื ืืกืชึผืื ืึทื ืืึทืื ืขื ืงืจืืคึผืฉืึทื ืืขืฉืึทืก ื ืขืฅ ืงืึธืืื ืืงืึทืฆืืข ืืืขื ืืึทืื ืืืื ืืืคึผืืึทืืขื ืึทื. - ืืขืจืืึทื ืืืืื ื ืึทื ืืืืืืจืืก ืคึผืจืึทืกืขืกืึทื
| ืืืงืืืขื ื | Dvp95_0 | ืคึผืึทืฐืฉืขื | avgserv9 |
| egui | ืขืงืกืขื ืืื ืข | Pavw | avgserv9schedapp |
| bdagent | Esafe | PCCIOMON | avgemc |
| npfmsg | Espwatch | PCCMAIN | ashwebsv |
| olydbg | F-Agnt95 | ืคึผืงืงืืืื98 | ืึทืฉืืืกืคึผ |
| anubis | Findvir | ืคึผืงืคืืืึทืืืืงืึธื | ืึทืฉืืึทืืกืื |
| ืืืืจืขืฉืึทืจืง | ืคืคึผืจืึธื | Persfw | ืึทืฉืกืขืจืื |
| avastui | F- ืคึผืจืึธื | POP3TRAP | aswUpdSv |
| _Avp32 | F-Prot95 | PVIEW95 | symwsc |
| vsmon | Fp-Win | 7 | ื ืึธืจืืึธื |
| mbam | Frw | Rav7win | Norton Auto-Protect |
| keyscrambler | F-Stopw | ืจืึทืืขืืืขื | norton_av |
| _ืึทืืืคึผืงืง | Iamapp | ืกืึทืคืขืืืขื | nortonav |
| _Avpm | ืืึทืืกืขืจืื | ืกืงืึทื 32 | ccsetmgr |
| ืึทืงืืืื32 | ืืืืืืกื | ืกืงืึทื 95 | ccevtmgr |
| ืึทืืืคึผืึธืืกื | ืืืืึทืืกืคึผ | Scanpm | avadmin |
| ืึทื ืื-ืืจืึธืืืฉืึทื | Icload95 | ืกืงืจืึทื | avcenter |
| ANTIVIR | Icloadnt | ืกืขืจ95 | avgnt |
| Apvxdwin | ืืงืืึธื | Smc | avguard |
| ATRACK | Icsupp95 | SMCSERVICE | avnotify |
| ืึทืืืึธืืึทืื | Icsuppnt | ืกื ืึธืจื | avscan |
| ืึทืืืงืึธื ืกืึธื | ืืคืึทืกืข | ืกืคืื ืงืก | guardgui |
| ืึทืืืข 32 | Iomon98 | ืกืืืืคึผ 95 | nod32krn |
| Avgctrl | ืืืฉืขืื | SYMPROXYSVC | nod32kui |
| ืึทืืืงืกืขืจืื | ืืึทืงืืึทืื 2000 | ืืืกืงืึทื | ืงืืึทืืกืงืึทื |
| ืึทืืื ื | ืงืืง ืืจืืืก | Tca | ืงืืึทืืืจืืึท |
| Avp | ืืืึทื | ืืืก2-98 | clamWin |
| Avp32 | ืืงืืคืขืข | Tds2-Nt | ืคืจืขืขืงืืงืืึทื |
| Avpcc | Moolive | ืืขืจืืื ืขื | ืึธืืึทืืื |
| Avpdos32 | MPftray | ืืืขื95 | ืกืืืืื |
| Avpm | N32scanw | Vettray | w9xpopen |
| Avptc32 | NAVAPSVC | Vscan40 | ื ืึธืขื ื |
| Avpupd | NAVAPW32 | ืืกืขืงืึธืืจ | ืงืืืจืืืึทื |
| Avsched32 | NAVLU32 | Vshwin32 | alogserv |
| AVSYNMGR | ื ืึทืืื ื | Vsstat | ืืงืฉืืื |
| Avwin95 | NAVRUNR | Webscanx | vshwin32 |
| Avwupd32 | Navw32 | ืืืขืืืจืึทืคึผ | avconsol |
| Blackd | Navwnt | Wfindv32 | vsstat |
| ืฉืืืืจืฆืข | ื ืขืึธืืืึทืืืฉ | ืืึธื ืขืึทืืึทืจื | avsynmgr |
| Cfiadmin | NISSERV | LOCKDOWN2000 | avcmd |
| Cfiaudit | ื ืืกืื | RESCUE32 | avconfig |
| Cfinet | ื ืืืื | LUCOMSERVER | licmgr |
| Cfinet32 | ื ืึธืจืืืกื | avgcc | scheed |
| ืงืืึทืื95 | ื ืึธืจืืึธื | avgcc | preupd |
| Claw95cf | ื ืืคึผืืจืึทืืข | avgamsvr | MsMpEng |
| ืงืืื ืขืจ | Nvc95 | avgupsvc | MSASCui |
| ืงืืื ืขืจ3 | ืึทืืืคึผืึธืืกื | avgw | ืึทืืืืจืึท.ืกืืกืืจืืึท |
| Defwatch | ืคึผืึทืืืื | avgcc32 | |
| Dvp95 | Pavcl | avgserv |
- ืืื-ืฆืขืฉืืขืจืื ื
- ืืึธืืืื ื ืืึทืื ืคืื ืื ืกืคึผืขืกืืคืืขื ืืืื ืืึทืฉืืึทืืคึผืขืจืืขื
- ืงืึทืคึผืืื ื ืึท ืืขืงืข ืฆืืืืืขื ืึท ืืจื %temp%tmpG[ืงืจืึทื ื ืืึทืืข ืืื ืฆืืื ืืื ืืืืืกืขืงืึทื ืื].ืืืคึผ
ืื ืืขืจืขืกืืื ืืื, ืึทื ืืืืขื ืืงืึทื ืคืื ืงืฆืืข ืืื ืคืึธืจืฉืืขืื ืืื AgentTesla ืืึทืืืืึทืจืข. - ืืืึธืจืขื ืคืึทื ืืงืฉืึทื ืึทืืืื
ืื ืืึทืืืืึทืจืข ื ืขืื ืึท ืจืฉืืื ืคืื ืจืืืืืืึทืืึทื ืืืืืึท. ื ืงืึธืคึผืืข ืคืื โโโโืื ืืึทืืืืึทืจืข ืืื ืืืฉืืคื ืืื ืืขืจ ืืืึธืจืฆื ืคืื ืื ืืืืืึท ืืขืงืข ืกืืกืืขื ืืื ืืขื ื ืึธืืขื Sys.exe. ืึทืืืึธืจืื ืืื ืืืคึผืืึทืืขื ืึทื ื ืืฆื ืึท ืืขืงืข ืึทืืืึธืจืื .ืื ืฃ.
ืึทืืึทืงืขืจ ืคึผืจืึธืคืื
ืืขืฉืึทืก ืื ืึทื ืึทืืืกืืก ืคืื ืื ืืึทืคึฟืขื ืฆืขื ืืขืจ, ืขืก ืืื ืืขืืืขื ืืขืืืขื ืฆื ืคืึทืจืืืืื ืื E- ืืจืืื ืืื ื ืืงืงื ืึทืืข ืคืื โโืื ืืขืืืขืืึธืคึผืขืจ - Razer, aka Brwa, Brwa65, HiDDen PerSOn, 404 Coder. ืืขืจื ืึธื, ืืืจ ืืขืคึฟืื ืขื ืึท ืืฉืืงืึทืืืข ืืืืืขื ืืืืฃ ืืึธืืืืืข ืืืึธืก ืืขืืึทื ืกืืจืืืฅ ืืจืืขืื ืืื ืื ืืืืืขืจ.
ืืึธืก ืืื ืืขืืืขื ืืขืืืขื ืฆื ืืขืคึฟืื ืขื ืื ืึธืจืืืื ืขื ืืขืืืขืืึธืคึผืขืจ ืงืึทื ืึทื.
ืขืก ืืื ืืขืืืืจื ืงืืึธืจ ืึทื ืขืจ ืืื ืืขืจืคืึทืจืื ื ืืื ืฉืจืืืื ืงืจืืคึผืืึธืืจืึทืคืขืจื. ืขืก ืืขื ืขื ืืืื ืืื ืงืก ืฆื ืืืขืืขืจ ืืืืฃ ืืขืืขืืฉืึทืคืืืขื ื ืขืืืืึธืจืงืก, ืืื ืืขืืื ื ืืื ืื ืคืึทืงืืืฉ ื ืึธืืขื ืคืื ืืขื ืืืืจ. ืขืจ ืืื ืืื ืืจืืืกืืขืืืืื ืื ืขืจ ืืื ื ืืืื ืืืืืื ืขืจ ืคืื ืืืจืืง.
ืืึธืก ืืื ืืื ืึท 404 ืงืืืืึธืืืขืจ ืืขืืืขืืึธืคึผืขืจ ืกืึทืคึผืึธืืืึทืืื ืงืืงื ืืื. ืคืึธืืึธ ืคึฟืื ืืืื ืคืขืจืืขื ืืขืืข ืคืึทืกืขืืึธืึธืง ืคึผืจืึธืคืื.
CERT Group-IB ืืื ืึทื ืึทืื ืกื ืึท ื ืืึทืข ืกืึทืงืึธื ืข - 404 Keylogger - ืึท XNUMX-ืฉืขื ืืึธื ืืืึธืจืื ื ืืื ืขื ืืคืขืจ ืฆืขื ืืขืจ ืคึฟืึทืจ ืกืืืืขืจ ืืจืขืฅ (SOC) ืืื ืืึทืืจืึทืื.
ืืงืืจ: www.habr.com