ืฉืคึผืืจ ืืขืงืขืก, ืึธืืขืจ ืคึผืจืขืคืขืืืฉ ืืขืงืขืก, ืืึธืื ืฉืืื ืึทืจืื ืืื Windows ืืื ื XP. ืืื ื ืืขืืึธืื, ืืื ืืึธืื ืืขืืึธืืคึฟื ืืืืืืึทื ืคืึธืจืขื ืกืืงืก ืืื ืงืึธืืคึผืืืืขืจ ืืื ืฆืืืขื ื ืขื ืืคืขืจ ืกืคึผืขืฉืึทืืึทืกืฅ ืืขืคึฟืื ืขื ืืจืึทืกืขืก ืคืื ืืืืืืืืืจื, ืึทืจืืึทื ืืขืจืขืื ื ืืึทืืืืึทืจืข. ืืืืื ื ืืืืืข ืืื ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก ืืจืืคืข-ืื ืึธืืขื ืกืงืืืงืื ืืขืจืฆืืืื ืืืจ ืืืึธืก ืืืจ ืงืขื ืขื ืืขืคึฟืื ืขื ื ืืฆื Prefetch ืืขืงืขืก ืืื ืืื ืฆื ืืึธื ืืึธืก.
ืคึผืจืืคืขืืฉ ืืขืงืขืก ืืขื ืขื ืกืืึธืจื ืืื ืื ืืืขืืืืืึทืืขืจ %SystemRoot%Prefetch ืืื ืืื ืขื ืฆื ืคืึทืจืืืืขืจื ืืขื ืคึผืจืึธืฆืขืก ืคืื ืืึธื ืืฉืื ื ืืืืื. ืืืื ืืืจ ืงืืงื ืืื ืงืืื ืคืื ืื ืืขืงืขืก, ืืืจ ืืืขืื ืืขื ืึทื ืืืื ื ืึธืืขื ืืืฉืืืื ืคืื ืฆืืืื ืืืืื: ืื ื ืึธืืขื ืคืื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืืื ืึทื ืึทืื-ืืึทืจืึทืงืืขืจ ืืฉืขืงืกืื ืคืื ืืขื ืืจื ืฆื ืขืก.
ืคึผืจืขืคืขืืืฉ ืืขืงืขืก ืึทื ืืืึทืืื ืึท ืคึผืืึทืฅ ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ื ืืฆืืง ืคึฟืื ืึท ืคืึธืจืขื ืกืืง ืคืื ื ืคืื ืืืื ืื ื: ืื ื ืึธืืขื ืคืื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข, ืื ื ืืืขืจ ืคืื ืืื ืขืก ืืื ืืขืืืขื ืขืงืกืึทืงืืืืึทื, ืจืฉืืืืช ืคืื ืืขืงืขืก ืืื ืืืืจืขืงืืขืจืื ืืื ืืืึธืก ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืื ืืขืจืึทืงืืื, ืืื, ืคืื ืงืืจืก, ืฆืืื ืกืืึทืืคึผืก. ืืืคึผืืงืึทืืื, ืคืึธืจืขื ืกืืง ืกืืืึทื ืืืก ื ืืฆื ืื ืฉืึทืคืื ื ืืึธื ืคืื ืึท ืืึทืืื ืืขืจ ืคึผืจืขืคืขืืืฉ ืืขืงืข ืฆื ืืึทืฉืืืกื ืื ืืึทืืข ืืืขื ืื ืคึผืจืึธืืจืึทื ืืื ืืขืืืขื ืขืจืฉืืขืจ ืืึธื ืืฉื. ืืื ืึทืืืฉืึทื, ืื ืืขืงืขืก ืงืจืึธื ืื ืืึทืืข ืคืื โโืืืึทื ืืขืฆืืข ืงืึทืืขืจ, ืืื ืกืืึทืจืืื ื ืคืื ืืืขืจืกืืข 26 (ืืืื ืืึธืื 8.1) - ืื ืืืืขืกืืึทืืคึผืก ืคืื ืื ืืืื ืืขืฆืืข ืืืืคื.
ืืึธืืืจ ื ืขืืขื ืืืื ืขืจ ืคืื ืื ืคึผืจืขืคืขืืืฉ ืืขืงืขืก, ืขืงืกืืจืึทืงื ืืึทืื ืคืื ืขืก ืืื Eric Zimmerman's PECmd ืืื ืงืืง ืืื ืืขืืขืจ ืืืื ืคืื ืขืก. ืฆื ืืึทืืืืึทืื, ืืื ืืืขื ืขืงืกืืจืึทืงื ืืึทืื ืคืื ืึท ืืขืงืข CCLEANER64.EXE-DE05DBE1.pf.
ืึทืืื ืืึธืื ืก ืึธื ืืืืื ืคืื ืื ืฉืคึผืืฅ. ืคืื ืงืืจืก, ืืืจ ืืึธืื ืืขืงืข ืฉืึทืคืื ื, ืืึธืืืคืืงืึทืืืึธื ืืื ืึทืงืกืขืก ืฆืืื ืกืืึทืืคึผืก:
ืืื ืืขื ืขื ื ืืืืขืืื ืืขื ืืืจื ืื ื ืึธืืขื ืคืื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข, ืื ืืฉืขืงืกืื ืคืื ืืขื ืืจื ืฆื ืขืก, ืื ืืจืืืก ืคืื ืื ืขืงืกืขืงืืืึทืืืข ืืขืงืข ืืื ืื ืืืขืจืกืืข ืคืื โโืื ืคึผืจืขืคืขืืืฉ ืืขืงืข:
ืืื ื ืืืจ ืืึทื ืืืขื ืืื Windows 10, ืืืืึทืืขืจ ืืืจ ืืืขืื ืืขื ืื ื ืืืขืจ ืคืื ืกืืึทืจืฅ, ืื ืืึทืืข ืืื ืฆืืื ืคืื ืื ืืขืฆืืข ืึธื ืืืื, ืืื ืืืื ืืขืจ ืืืืขืกืืึทืืคึผืก ืืืึธืก ืื ืืืงืืืฅ ืคืจืืขืจืืืงื ืงืึทืืขืจ ืืึทืืขืก:
ืื ืืขื ืขื ื ืืืืขืืื ืืขื ืืืจื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืืึทื ื, ืึทืจืืึทื ืืขืจืขืื ื ืืืึทื ืกืืจืืึทื ื ืืืขืจ ืืื ืฉืึทืคืื ื ืืึทืืข:
ืืขืฆืืข ืึธืืขืจ ื ืื ืงืืขื ืกืืขืจ ืืื ืึท ืจืฉืืื ืคืื ืืืจืขืงืืขืจืื ืืื ืืขืงืขืก ืืื ืืืึธืก ืื ืขืงืกืขืงืืืึทืืืข ืื ืืขืจืึทืงืืื:
ืึทืืื, ืื ืืืจืขืงืืขืจืื ืืื ืืขืงืขืก ืืื ืืืึธืก ืื ืขืงืกืขืงืืืึทืืืข ืื ืืขืจืึทืงืืื ืืขื ืขื ืคึผืื ืงื ืืืึธืก ืืื ืืืืื ืฆื ืคืึธืงืืก ืืืืฃ ืืืึทื ื. ืืึธืก ืืื ืื ืืึทืื ืืืึธืก ืึทืืึทืื ืกืคึผืขืฉืึทืืึทืกืฅ ืืื ืืืืืืึทื ืคืึธืจืขื ืกืืงืก, ืขื ืืคืขืจ ืคืื ืงืึธืืคึผืืืืขืจ ืืื ืฆืืืขื ื ืึธืืขืจ ืคึผืจืึธืืึทืงืืืื ืกืึทืงืึธื ืข ืืืืขื ืฆื ืคืขืกืืฉืืขืื ื ืื ืืืืื ืื ืคืึทืงื ืคืื ืืืจืืคืืจืื ื ืคืื ืึท ืืึทืืื ืืขืจ ืืขืงืข, ืึธืืขืจ ืืืื, ืืื ืขืืืขืืข ืงืึทืกืขืก, ืฆื ืจืขืงืึธื ืกืืจืืืจื ืกืคึผืขืฆืืคืืฉ ืืึทืงืืืง ืืื ืืขืงื ืืงืก ืคืื ืึทืืึทืงืขืจื. ืืืึทื ื, ืึทืืึทืงืขืจื ืึธืคื ื ืืฆื ืืืฉืืจืื ืฆื ืคึผืขืจืืึทื ืึทื ืืื ืืืกืืขืงื ืืึทืื, ืืืฉื, SDelete, ืึทืืื ืื ืคืืืืงืืื ืฆื ืืืงืขืจื ืืคึผืืืช ืืจืึทืกืขืก ืคืื ื ืืฆื ืคืื ืืืืขืจ ืืึทืงืืืง ืืื ืืขืงื ืืงืก ืืื ืคืฉืื ื ืืืืืง ืคึฟืึทืจ ืงืืื ืืึธืืขืจื ืคืึทืจืืืืืืงืขืจ - ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก ืืืืืข, ืืื ืฆืืืขื ื ืขื ืืคืขืจ ืืืืืข, ThreatHunter ืืืืื.
ืืึธืืืจ ืึธื ืืืืื ืืื ืื ืขืจืฉื ืึทืงืกืขืก ืืึทืงืืืง (TA0001) ืืื ืื ืืขืจืกื ืคืึธืืงืก ืืขืื ืืง, Spearphishing Attachment (T1193). ืขืืืขืืข ืกืืืืขืจ ืงืจืืืื ืึทื ืืจืืคึผืขืก ืืขื ืขื ืืึทื ืฅ ืฉืขืคืขืจืืฉ ืืื ืืืืขืจ ืืจืืจื ืคืื ืื ืืืขืกืืืึทื ืฅ. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืื ืกืืืขื ืกืข ืืจืืคึผืข ืืขื ืืฆื ืืขืงืขืก ืืื ืื CHM (Microsoft Compiled HTML Help) ืคึฟืึธืจืืึทื ืคึฟืึทืจ ืืขื. ืืืื, ืืืจ ืืึธืื ืคึฟืึทืจ ืืื ืื ืื ืื ืืขืจ ืืขืื ืืง - ืงืึธืืคึผืืืขื HTML ืืขืงืข (ื1223). ืึทืืึท ืืขืงืขืก ืืขื ืขื ืืึธื ืืฉื ื ืืฆื hh.exeืืขืจืืืขืจ, ืืืื ืืืจ ืขืงืกืืจืึทืงื ืืึทืื ืคืื ืืืื ืคึผืจืขืคืขืืฉ ืืขืงืข, ืืืจ ืืืขืื ืืขืคึฟืื ืขื ืืืืก ืืืึธืก ืืขืงืข ืืื ืืขืขืคื ื ืืขืืืืจื ืืืจื ืื ืงืึธืจืื:
ืืึธืืืจ ืคืึธืจืืขืฆื ืฆื ืึทืจืืขืื ืืื ืืืืฉืคืืื ืคืื ืคืึทืงืืืฉ ืงืึทืกืขืก ืืื ืืึทื ืืืืฃ ืฆื ืืขืจ ืืืืึทืืขืจ ืืืจืืคืืจืื ื ืืึทืงืืืง (TA0002) ืืื CSMTP ืืขืื ืืง (T1191). Microsoft Connection Manager ืคึผืจืึธืคืื ืื ืกืืึทืืืขืจ (CMSTP.exe) ืงืขื ืขื ืืืื ืืขืืืืื ื ืืืจื ืึทืืึทืงืขืจื ืฆื ืืืืคื ืืืืืข ืกืงืจืืคึผืก. ื ืืื ืืืึทืฉืคึผืื ืืื ืื ืงืึธืืึทืื ืืจืืคึผืข. ืืืื ืืืจ ืขืงืกืืจืึทืงื ืืึทืื ืคืื ืื Prefetch ืืขืงืข cmstp.exe, ืืขืืึธืื ืืืจ ืงืขื ืขื ืืืืืขืจ ืืขืคึฟืื ืขื ืืืืก ืืืึธืก ืคึผืื ืงื ืืื ืืึธื ืืฉื:
ืื ืื ืืขืจ ืคืึธืืงืก ืืขืื ืืง ืืื Regsvr32 (T1117). Regsvr32.exe ืืื ืืืื ืึธืคื ืืขื ืืฆื ืืืจื ืึทืืึทืงืขืจื ืฆื ืงืึทืืขืจ. ืืึธ ืืื ืื ืื ืืขืจ ืืืึทืฉืคึผืื ืคืื ืื ืงืึธืืึทืื ืืจืืคึผืข: ืืืื ืืืจ ืขืงืกืืจืึทืงื ืืึทืื ืคืื ืึท ืคึผืจืขืคืขืืืฉ ืืขืงืข regsvr32.exe, ืืขืืึธืื ืืืืืขืจ ืืืจ ืืืขืื ืืขื ืืืึธืก ืืื ืืึธื ืืฉื:
ืืขืจ ืืืืึทืืขืจ ืืึทืงืืืง ืืขื ืขื ืคึผืขืจืกืืกืืึทื ืก (TA0003) ืืื ืคึผืจืืืืืืึทืืืฉ ืขืกืงืึทืืึทืืืึธื (TA0004), ืืื ืึทืคึผืคึผืืืงืึทืืืึธื ืฉืืืื ื (T1138) ืืื ืึท ืืขืื ืืง. ืื ืืขืื ืืง ืืื ืืขื ืืฆื ืืืจื Carbanak / FIN7 ืฆื ืึทื ืงืขืจ ืื ืกืืกืืขื. ืืืคึผืืงืึทืืื ืืขื ืืฆื ืฆื ืึทืจืืขืื ืืื ืคึผืจืึธืืจืึทื ืงืึทืืคึผืึทืืึทืืืืึทืื ืืึทืืึทืืืืกืื (.ืกืื) sdbinst.exe. ืืขืจืืืขืจ, ืื ืคึผืจืขืคืขืืืฉ ืืขืงืข ืคืื โโืืขื ืขืงืกืขืงืืืึทืืืข ืงืขื ืขื ืืขืืคึฟื ืืื ืื ืืขืคึฟืื ืขื ืื ื ืขืืขื ืคืื ืึทืืึท ืืึทืืึทืืืืกืื ืืื ืืืืขืจ ืืึธืืงืืืฉืึทื ื:
ืืื ืืืจ ืงืขื ืขื ืืขื ืืื ืื ืืขืืขื, ืืืจ ืืึธืื ื ืื ืืืืื ืื ื ืึธืืขื ืคืื ืืขืจ ืืขืงืข ืืขื ืืฆื ืคึฟืึทืจ ืื ืกืืึทืืืจืื ื, ืึธืืขืจ ืืืื ืื ื ืึธืืขื ืคืื ืื ืืื ืกืืึทืืืจื ืืึทืืึทืืืืก.
ืืึธืืืจ ื ืขืืขื ืึท ืงืืง ืืื ืืืื ืขืจ ืคืื ืื ืืขืจืกื ืคึผืจืึธืกื ืืืืฉืคืืื ืคืื ื ืขืฅ ืคึผืจืึทืคึผืึทืืืืฉืึทื (TA0008), PsExec, ื ืืฆื ืึทืืืื ืืกืืจืึทืืืืืข ืฉืึทืจืขืก (T1077). ืกืขืจืืืืก ืืขืืืืกื PSEXECSVC (ืคืื ืงืืจืก, ืงืืื ืื ืืขืจืข ื ืึธืืขื ืงืขื ืขื ืืืื ืืขืืืืื ื ืืืื ืึทืืึทืงืขืจื ืืขืืืืื ื ืืขื ืคึผืึทืจืึทืืขืืขืจ -r) ืืืขื ืืืื ืืืฉืืคื ืืืืฃ ืื ืฆืื ืกืืกืืขื, ืืขืจืืืขืจ, ืืืื ืืืจ ืขืงืกืืจืึทืงื ืื ืืึทืื ืคืื ืื ืคึผืจืขืคืขืืืฉ ืืขืงืข, ืืืจ ืืืขืื ืืขื ืืืึธืก ืืื ืืึธื ืืฉื:
ืืื ืืืขื ืืืกืืึธืืข ืกืืฃ ืืื ืืื ืกืืึทืจืืขื - ืืืืืืื ื ืืขืงืขืก (T1107). ืืื ืืื ืืื ืฉืืื ืืืืขืจืงื, ืคืืืข ืึทืืึทืงืขืจื ื ืืฆื SDelete ืฆื ืคึผืขืจืืึทื ืึทื ืืื ืืืกืืขืงื ืืขืงืขืก ืืื ืคืึทืจืฉืืื ืกืืึทืืขืก ืคืื ืื ืืึทืคืึทืื ืืืืคืกืืืงืึทื. ืืืื ืืืจ ืงืืงื ืืื ืื ืืึทืื ืคืื ืื Prefetch ืืขืงืข sdelete.exe, ืืขืืึธืื ืืืจ ืืืขืื ืืขื ืืืึธืก ืคึผืื ืงื ืืื ืืืืกืืขืืขืงื:
ืคืื ืงืืจืก, ืืึธืก ืืื ื ืืฉื ืึท ืืืืึธืกืืืื ืจืฉืืื ืคืื ืืขืงื ืืงืก ืืืึธืก ืงืขื ืขื ืืืื ืืืกืงืึทืืืขืจื ืืขืฉืึทืก ืื ืึทื ืึทืืืกืืก ืคืื ืคึผืจืขืคืขืืืฉ ืืขืงืขืก, ืึธืืขืจ ืืึธืก ืืึธื ืืืื ืืขื ืื ืฆื ืคึฟืึทืจืฉืืืื ืึทื ืึทืืึท ืืขืงืขืก ืงืขื ืขื ืืขืืคึฟื ื ืื ืืืืื ืืขืคึฟืื ืขื ืืจืึทืกืขืก ืคืื ืื ืงืึทืืขืจ, ืึธืืขืจ ืืืื ืจืขืงืึธื ืกืืจืืืจื ืกืคึผืขืฆืืคืืฉ ืืึทืงืืืง ืืื ืืขืงื ืืงืก ืคึฟืึทืจ ืึทืืึทืงืขืจื. .
ืืงืืจ: www.habr.com