{"id":288478,"date":"2018-08-24T16:30:03","date_gmt":"2018-08-24T12:30:03","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=288478"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=288478","title":{"rendered":"\u041d\u0430\u0441\u043b\u0435\u0434\u043d\u0438\u043a Zeus: \u0447\u0435\u043c \u043e\u043f\u0430\u0441\u0435\u043d \u0442\u0440\u043e\u044f\u043d IcedID \u0434\u043b\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0431\u0430\u043d\u043a\u043e\u0432"},"content":{"rendered":"\n<div data-io-article-url=\"https:\/\/habr.com\/company\/group-ib\/blog\/418189\/\" class=\"post__text post__text-html js-mediator-article\"><b>\u042d\u043a\u0441\u043f\u0435\u0440\u0442\u044b Group-IB \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0442\u0440\u043e\u044f\u043d, \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0431\u0430\u043d\u043a\u043e\u0432 \u0421\u0428\u0410, \u0438 \u0432\u044b\u043b\u043e\u0436\u0438\u043b\u0438 \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0433\u043b\u0443\u0431\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 Python-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\u043c\u0438 \u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043f\u043e CnC-\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c <br \/>  <\/b><\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/b0\/4i\/rd\/b04ird-g1xlcbwcd27zrl3rzg90.png\" alt=\"image\"><\/div>\n<p>  \u0412 \u043d\u043e\u044f\u0431\u0440\u0435 2017 \u0433\u043e\u0434\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 IBM X-Force \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043e\u0442\u0447\u0435\u0442 \u043f\u043e \u043d\u043e\u0432\u043e\u043c\u0443 \u0442\u0440\u043e\u044f\u043d\u0443 \u2014 <a href=\"https:\/\/securityintelligence.com\/new-banking-trojan-icedid-discovered-by-ibm-x-force-research\/\">IcedID<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0446\u0435\u043b\u0435\u043d \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0430\u043c\u0435\u0440\u0438\u043a\u0430\u043d\u0441\u043a\u0438\u0445 \u0431\u0430\u043d\u043a\u043e\u0432. \u0411\u043e\u0442 \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u043c\u043d\u043e\u0433\u0438\u043c\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c\u0438 \u043f\u0435\u0447\u0430\u043b\u044c\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e Zeus, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435: \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043c\u043e\u0434\u0443\u043b\u0438, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u0430\u0442\u0430\u043a\u0443 man-in-the-browser (MITB). \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043f\u043e \u0441\u0432\u043e\u0438\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c \u043d\u043e\u0432\u044b\u0439 \u0442\u0440\u043e\u044f\u043d \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f \u043f\u043e\u0445\u043e\u0436 \u043d\u0430 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0435 \u0431\u0430\u043d\u043a\u0435\u0440\u044b \u2014 Trickbot, GOZI, Dridex, \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0431\u0430\u043d\u043a\u043e\u0432, IcedID \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043d\u0435\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u043e\u0440\u043c\u0430\u0442 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u0414\u0440\u0443\u0433\u043e\u0439 \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u044d\u0442\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0440\u0430\u0437\u0432\u0435\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0438\u0306 \u043c\u0430\u0448\u0438\u043d\u0435 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438 MITB.<a name=\"habracut\"><\/a><\/p>\n<p>  <b>\u0422\u0435\u043a\u0441\u0442: \u0418\u0432\u0430\u043d \u041f\u0438\u0441\u0430\u0440\u0435\u0432, \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u043f\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 Group-IB<br \/>  <\/b><br \/>  \u0421\u0440\u0430\u0437\u0443 \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e IcedID \u043d\u0435 \u0442\u0430\u043a \u0441\u0438\u043b\u044c\u043d\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d \u043f\u043e \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0442\u0440\u043e\u044f\u043d\u0430\u043c\u0438, \u043e\u0434\u043d\u0430\u043a\u043e \u0443\u0436\u0435 \u0441\u0435\u0439\u0447\u0430\u0441 \u0438\u043c\u0435\u0435\u0442 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 \u0434\u043b\u044f \u0434\u043e\u0441\u0442\u0438\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u043f\u0435\u0440\u0435\u0434 \u043d\u0438\u043c \u0437\u0430\u0434\u0430\u0447, \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0433\u043b\u0430\u0432\u043d\u043e\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043a\u0440\u0430\u0436\u0430 \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0436\u0435\u0440\u0442\u0432. \u0414\u043e\u0441\u0442\u0438\u0433\u043d\u0443\u0442\u044c \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u043c\u043d\u043e\u0433\u0438\u043c\u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u0430\u043c\u0438, \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u043e\u0442 \u0431\u0430\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u043a\u0440\u0430\u0436\u0438 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430, \u0438 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u044f \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u043e\u043c \u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435\u043c \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 (\u0430\u0442\u0430\u043a\u0430 man-in-the-browser). <\/p>\n<p>  \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 IcedID \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u043b\u0430 \u043a\u0440\u0430\u0436\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u0437 \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439: Windows Live Mail, Windows Mail, RimArts, Poco Systems Inc, IncrediMail, The Bat! \u0438 Outlook. \u0410\u0442\u0430\u043a\u0430 MITB \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Proxy-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0442\u0440\u043e\u044f\u043d \u043f\u043e\u0434\u043d\u0438\u043c\u0430\u0435\u0442 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u044f \u0432\u0435\u0441\u044c \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u0447\u0435\u0440\u0435\u0437 \u0441\u0435\u0431\u044f \u0438 \u043c\u043e\u0434\u0438\u0444\u0438\u0446\u0438\u0440\u0443\u044f \u0435\u0433\u043e. \u0422\u0430\u043a\u0436\u0435 IcedID \u0438\u043c\u0435\u0435\u0442 \u043c\u043e\u0434\u0443\u043b\u044c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0444\u0430\u0439\u043b (\u043a \u043f\u0440\u0438\u043c\u0435\u0440\u0443, \u0432 \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0441\u0435\u043c\u043f\u043b \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u043c\u043e\u0434\u0443\u043b\u044c VNC, \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u044b\u0439 \u043a\u043e\u0434 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0438\u043c\u0435\u0435\u0442 \u0441\u0445\u043e\u0436\u0438\u0435 \u0443\u0447\u0430\u0441\u0442\u043a\u0438 \u043a\u043e\u0434\u0430 \u0441 IcedID).<\/p>\n<p>  \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 Proxy-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0434\u043b\u044f MITB \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435\u0442\u0438\u043f\u0438\u0447\u043d\u044b\u043c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u043c \u0434\u043b\u044f \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0442\u0440\u043e\u044f\u043d\u043e\u0432. \u0427\u0430\u0449\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u043d\u0438\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 \u0438 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0438\u0437 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u043d\u0430 \u0435\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438-\u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 (\u043f\u0440\u0438\u043c\u0435\u0440: <b>WinHttpConnect()<\/b>, <b>InternetConnect()<\/b>, <b>InternetReadFile()<\/b>, <b>WinHttpReadData()<\/b> \u0438 \u0442.\u0434.). \u0420\u0430\u043d\u0435\u0435 \u0442\u0440\u044e\u043a \u0441 Proxy-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0443\u0436\u0435 \u0431\u044b\u043b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d \u0432 <a href=\"https:\/\/securityintelligence.com\/gootkit-developers-dress-it-up-with-web-traffic-proxy\/\">GootKit<\/a>. <\/p>\n<p>  IcedID \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u043b\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u2014 Emotet (\u0432 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u043e\u043d \u0447\u0430\u0441\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a, \u0445\u043e\u0442\u044f \u0438\u043c\u0435\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438) \u0438 \u0443\u0436\u0435 \u043d\u0430 \u0441\u0442\u0430\u0440\u0442\u0435 \u0432\u043a\u043b\u044e\u0447\u0430\u043b \u0432 \u0441\u0435\u0431\u044f \u043e\u0431\u0448\u0438\u0440\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 \u0445\u0438\u0449\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445.<\/p>\n<p>  \u0421\u0435\u0439\u0447\u0430\u0441 \u0442\u0440\u043e\u044f\u043d \u0438\u043c\u0435\u0435\u0442 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u043b\u0430\u0431\u044b\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u044b \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0443 (\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0442\u0440\u043e\u043a, header corrupt) \u0438 \u043d\u0435 \u0438\u043c\u0435\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 VM-detect. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0432\u0441\u0435 \u0435\u0449\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u044b \u0437\u0430\u0449\u0438\u0442\u044b \u0431\u0443\u0434\u0443\u0442 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u044b \u043f\u043e\u0437\u0436\u0435. <\/p>\n<p>  \u0421\u0438\u0441\u0442\u0435\u043c\u0430 \u043a\u0438\u0431\u0435\u0440\u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0438 Group-IB Threat Intelligence \u043d\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0430 \u043f\u0440\u043e\u0434\u0430\u0436\u0438 IcedID \u043d\u0430 \u0442\u0435\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0444\u043e\u0440\u0443\u043c\u0430\u0445, \u0447\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u043b\u0438\u0431\u043e \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435 \u043d\u043e\u0432\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u044b \u043d\u0430 \u0430\u0440\u0435\u043d\u0435 \u0431\u0430\u043d\u043a\u043e\u0432\u0441\u043a\u0438\u0445 \u0442\u0440\u043e\u044f\u043d\u043e\u0432, \u043b\u0438\u0431\u043e \u043f\u0440\u043e\u0434\u0430\u0436\u0443 \u0442\u0440\u043e\u044f\u043d\u0430 \u043f\u043e \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u043c \u043a\u0430\u043d\u0430\u043b\u0430\u043c. \u0426\u0435\u043b\u0438 \u0431\u043e\u0442\u0430, \u0441\u0443\u0434\u044f \u043f\u043e \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c (\u0434\u0430\u043b\u0435\u0435 \u2013 \u043a\u043e\u043d\u0444\u0438\u0433\u0438), \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u044b \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0432 \u0421\u0428\u0410. <\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0421\u043f\u0438\u0441\u043e\u043a \u0446\u0435\u043b\u0435\u0439<\/b><\/p>\n<div class=\"spoiler_text\">Chase<br \/>  Charles Schwab<br \/>  Bank of America<br \/>  USAA<br \/>  American Express<br \/>  Wells Fargo<br \/>  Capital One<br \/>  Td Commercial Banking<br \/>  TD Bank<br \/>  Central Bank<br \/>  U.S. Bank<br \/>  Union Bank of California<br \/>  Amazon<br \/>  PNC Online Banking<br \/>  Synovus<br \/>  BB&amp;T Bank<br \/>  Citibank<br \/>  eBanking<br \/>  Huntington<br \/>  \u0421ashanalyzer<br \/>  E-Trade<br \/>  JPMorgan Chase<br \/>  CIBC<br \/>  Regions OnePass<br \/>  Post Oak Bank<br \/>  Comerica<br \/>  Discover Bank<br \/>  KeyBank<br \/>  Frost Cash Manager<br \/>  HSBC<br \/>  RBC<br \/>  Halifax<br \/>  Verizon Wireless<br \/>  Lloyds Bank<br \/>  M&amp;T Bank<br \/>  VirWoX<br \/>  ADP  <\/div>\n<\/div>\n<p>  \u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 \u0432 \u0441\u0435\u0431\u044f \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0442\u0440\u043e\u044f\u043d\u0430, \u0433\u043b\u0443\u0431\u043e\u043a\u0438\u0439 \u0440\u0430\u0437\u0431\u043e\u0440 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u0441 Python-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\u043c\u0438 \u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043f\u043e CnC.<\/p>\n<h2>\u0422\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0447\u0430\u0441\u0442\u044c<br \/>  <\/h2>\n<p>  <\/p>\n<h3>\u041e\u0431\u0449\u0435\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u0442\u0440\u043e\u044f\u043d\u0430<br \/>  <\/h3>\n<p>  \u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u0441\u0435\u043a\u0446\u0438\u044f <b>.data<\/b> \u0442\u0440\u043e\u044f\u043d\u0430 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0430. \u0412 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043e\u043d \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0441\u0435\u043a\u0446\u0438\u044e \u043f\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/a-\/q0\/ix\/a-q0ixeg0onp--szzafmr9on6os.png\" alt=\"image\"><\/div>\n<p>  \u041f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 <b>initial_seed<\/b> \u0438 <b>size_seed<\/b> \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432\u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0435\u043a\u0446\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 (\u043f\u0435\u0440\u0432\u044b\u0435 8 \u0431\u0430\u0439\u0442 \u0441\u0435\u043a\u0446\u0438\u0438), \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u043c <b>size<\/b> \u0431\u0430\u0439\u0442. \u0424\u0443\u043d\u043a\u0446\u0438\u044f <b>make_seed()<\/b> \u2013 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0442\u043e\u0440\u0430 \u043f\u0441\u0435\u0432\u0434\u043e\u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0447\u0438\u0441\u0435\u043b (<a href=\"https:\/\/ru.wikipedia.org\/wiki\/%D0%93%D0%B5%D0%BD%D0%B5%D1%80%D0%B0%D1%82%D0%BE%D1%80_%D0%BF%D1%81%D0%B5%D0%B2%D0%B4%D0%BE%D1%81%D0%BB%D1%83%D1%87%D0%B0%D0%B9%D0%BD%D1%8B%D1%85_%D1%87%D0%B8%D1%81%D0%B5%D0%BB\">\u0413\u041f\u0421\u0427<\/a>) \u0434\u043b\u044f IcedID, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043c\u044b \u0435\u0449\u0435 \u043d\u0435\u043e\u0434\u043d\u043e\u043a\u0440\u0430\u0442\u043d\u043e \u0432\u0435\u0440\u043d\u0435\u043c\u0441\u044f. Python-\u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u043d\u0430\u0439\u0442\u0438 <a href=\"https:\/\/github.com\/mResearch\/research\/blob\/master\/icedid_config.py\">\u0442\u0443\u0442<\/a>.<\/p>\n<p>  \u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u0431\u043e\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438. \u0421 \u0446\u0435\u043b\u044c\u044e \u043e\u0431\u043b\u0435\u0433\u0447\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u043b\u044f IDA Pro \u0431\u044b\u043b \u043d\u0430\u043f\u0438\u0441\u0430\u043d <a href=\"https:\/\/github.com\/mResearch\/research\/blob\/master\/icedid_ida.py\">\u0441\u043a\u0440\u0438\u043f\u0442<\/a>, \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0438\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 (\u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0432\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0430\u0434\u0440\u0435\u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u0432\u0430\u0448\u0435\u043c \u0441\u0435\u043c\u043f\u043b\u0435).<\/p>\n<p>  \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u044d\u0442\u0430\u043f \u2013 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>SetUnhandledExceptionFilter()<\/b>. \u041f\u0440\u0438 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0438 \u043b\u044e\u0431\u043e\u0433\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0435\u0433\u043e \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a.<\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u0442\u0440\u043e\u044f\u043d \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435:<\/p>\n<ol>\n<li> \u0412\u0435\u0440\u0441\u0438\u044f \u041e\u0421<\/li>\n<li> \u041d\u043e\u043c\u0435\u0440 \u0441\u0431\u043e\u0440\u043a\u0438 \u041e\u0421<\/li>\n<li> \u0412\u0435\u0440\u0441\u0438\u044f Service Pack<\/li>\n<li> \u0420\u0430\u0437\u0440\u044f\u0434\u043d\u043e\u0441\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u044b<\/li>\n<li> \u0422\u0438\u043f \u041e\u0421<\/li>\n<\/ol>\n<p>  \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438: <b>D:(A;;GA;;;WD)(A;;GA;;;AN)S:(ML;;NW;;;S-1-16-0)<\/b>, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442 \u043f\u0430\u043c\u044f\u0442\u044c \u0434\u043b\u044f \u043b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u0442\u0440\u043e\u044f\u043d\u0430. \u041f\u0440\u0438\u043c\u0435\u0440 \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u043c\u044b\u0445 \u0441\u0442\u0440\u043e\u043a (\u0441\u0442\u0440\u043e\u043a\u0438 \u0431\u044b\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u044b \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0432 IDA):<\/p>\n<ol>\n<li>E|C|IN|INS|ISF|CP %u<\/li>\n<li>I|C|IN|INT|CI| %u<\/li>\n<li>W|C|IN|INT|CI|CRLL<\/li>\n<\/ol>\n<p>  IcedID \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. \u0421\u0440\u0435\u0434\u0438 \u043d\u0438\u0445:<\/p>\n<ul>\n<li><b>&#8212;svc=<\/b> \u2014 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*p*\u00bb)<\/b>, \u0433\u0434\u0435 <b>IcedID_reg(str)<\/b> \u2014 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0438\u043c\u0435\u043d\u0438 \u043a\u043b\u044e\u0447\u0430 \u043e\u0442 \u0441\u0442\u0440\u043e\u043a\u0438 <b>str<\/b> (\u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0438\u043c\u0435\u043d \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0431\u0443\u0434\u0435\u0442 \u043e\u043f\u0438\u0441\u0430\u043d \u043f\u043e\u0437\u0436\u0435), \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0442\u0440\u043e\u044f\u043d \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u043e\u0431\u044b\u0442\u0438\u044e \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>Global\\&lt;%\u0421\u0442\u0440\u043e\u043a\u0430 \u0438\u0437 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432%&gt;<\/b>. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u044f \u043e\u0448\u0438\u0431\u043a\u0438 \u0431\u043e\u0442 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u043a\u043e\u043f\u0438\u044e \u0441\u0432\u043e\u0435\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <b>\/w=<\/b>. \u0415\u0441\u043b\u0438 \u0438 \u044d\u0442\u043e \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0441\u0434\u0435\u043b\u0430\u0442\u044c, \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435:<\/li>\n<\/ul>\n<blockquote><p>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\&lt;%\u0421\u0442\u0440\u043e\u043a\u0430 \u0434\u043b\u0438\u043d\u044b 9 \u0438\u0437 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 [a-z]%&gt;<\/p><\/blockquote>\n<p>  \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044f \u0441\u0435\u0431\u0435 \u043f\u0435\u0440\u0441\u0438\u0441\u0442\u0435\u043d\u0442\u043d\u043e\u0441\u0442\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435.<br \/>  \u0414\u0430\u043d\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0442\u0440\u043e\u044f\u043d\u0430.<\/p>\n<ul>\n<li><b>\/u<\/b> \u2013 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u0435\u0431\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 (\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b <b>runas<\/b>). \u0415\u0441\u043b\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0439 \u0444\u043b\u0430\u0433, \u0442\u0440\u043e\u044f\u043d \u043d\u0435 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044e \u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u043a\u043e\u043f\u0438\u044e \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 <b>C:\\Users\\&lt;%username%&gt;\\AppData\\Local\\&lt;%\u0421\u0442\u0440\u043e\u043a\u0430 \u0434\u043b\u0438\u043d\u044b 9 \u0438\u0437 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 [a-z]%&gt;<\/b> \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>&lt;%\u0421\u0442\u0440\u043e\u043a\u0430 \u0434\u043b\u0438\u043d\u044b 9 \u0438\u0437 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 [a-z]%&gt;.exe<\/b>, \u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u043f\u0443\u0442\u044c \u043a \u0444\u0430\u0439\u043b\u0443 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044f \u0441\u0435\u0431\u0435 \u043f\u0435\u0440\u0441\u0438\u0441\u0442\u0435\u043d\u0442\u043d\u043e\u0441\u0442\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435.<\/li>\n<\/ul>\n<blockquote><p>HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\&lt;%\u0421\u0442\u0440\u043e\u043a\u0430 \u0434\u043b\u0438\u043d\u044b 9 \u0438\u0437 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 [a-z]%&gt;<\/p><\/blockquote>\n<p>  \u041f\u043e\u0445\u043e\u0436\u0435, \u0434\u0430\u043d\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0438 \u0431\u0430\u043d\u043a\u0435\u0440\u0430.<br \/>  \u041f\u0435\u0440\u0435\u0434 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u0442\u0440\u043e\u044f\u043d \u201c\u0437\u0430\u0441\u044b\u043f\u0430\u0435\u0442\u201d \u043d\u0430 5 \u0441\u0435\u043a\u0443\u043d\u0434.<\/p>\n<ul>\n<li><b>\/c<\/b> \u2013 \u043f\u0435\u0440\u0435\u0434 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0442\u0440\u043e\u044f\u043d \u00ab\u0437\u0430\u0441\u044b\u043f\u0430\u0435\u0442\u00bb \u043d\u0430 5 \u0441\u0435\u043a\u0443\u043d\u0434<\/li>\n<li><b>\/w=<\/b> \u2014 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*p*\u00bb)<\/b> <\/li>\n<\/ul>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0443 \u0438 \u0434\u043e\u0441\u0442\u0430\u0435\u0442 \u043e\u0442\u0442\u0443\u0434\u0430 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 CnC-\u0430\u0434\u0440\u0435\u0441\u0430, \u0430 \u0442\u0430\u043a\u0436\u0435 Web-\u0438\u043d\u0436\u0435\u043a\u0442\u044b. \u0424\u043e\u0440\u043c\u0430\u0442 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043e\u043f\u0438\u0441\u0430\u043d \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0440\u0430\u0437\u0434\u0435\u043b\u0430\u0445.<\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0443 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0437 \u0432 5 \u0438\u043b\u0438 10 \u043c\u0438\u043d\u0443\u0442 (\u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0433\u043e \u0444\u043b\u0430\u0433\u0430) \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a CnC \u0441 \u0446\u0435\u043b\u044c\u044e \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434. \u0422\u0443\u0442 \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c \u043d\u0435\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u00ab\u0437\u0430\u0441\u044b\u043f\u0430\u043d\u0438\u044f\u00bb \u0431\u043e\u0442\u0430 \u043c\u0435\u0436\u0434\u0443 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435\u043c \u043a CnC: \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0443\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u044e <b>Sleep()<\/b>, \u0432\u043c\u0435\u0441\u0442\u043e \u044d\u0442\u043e\u0433\u043e \u043e\u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043b\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0432 \u043d\u0435\u0441\u0438\u0433\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 \u0438 \u043d\u0435 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u044f \u0435\u0433\u043e \u0432 \u0441\u0438\u0433\u043d\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <b>WaitForSingleObject()<\/b>. \u0424\u0443\u043d\u043a\u0446\u0438\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u043e\u0442\u043e\u043a\u0430 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a CnC: <\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/vu\/bg\/1_\/vubg1_zk61_dw8auvz80yi1lhxc.png\" alt=\"image\"><\/div>\n<p>  \u0410\u043d\u0430\u043b\u043e\u0433 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>Sleep()<\/b> \u0432 IcedID:  <\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/yd\/if\/f3\/ydiff39eemw9rymerxmj82rintw.png\" alt=\"image\"><\/div>\n<p>  \u0414\u043e\u043b\u0433\u0438\u0439 \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u043a \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043d\u0435\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0430\u044f \u00ab\u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0437\u0430\u0441\u044b\u043f\u0430\u043d\u0438\u044f\u00bb \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0443.<\/p>\n<p>  \u0414\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u0438\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043c\u0435\u0436\u0434\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b SSL. <\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u043e\u0442\u043e\u043a\u0430 \u0431\u043e\u0442 \u00ab\u043f\u043e\u0434\u043d\u0438\u043c\u0430\u0435\u0442\u00bb \u043d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 Proxy-\u0441\u0435\u0440\u0432\u0435\u0440 \u0441 \u0446\u0435\u043b\u044c\u044e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435.<\/p>\n<p>  \u041f\u0440\u043e\u0442\u043e\u043a\u043e\u043b \u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u0431\u0443\u0434\u0443\u0442 \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043d\u044b \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0440\u0430\u0437\u0434\u0435\u043b\u0430\u0445. \u041e\u0434\u043d\u0430\u043a\u043e \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043f\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043c\u043e\u0436\u0435\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u043a\u043e\u043d\u0444\u0438\u0433\u0438, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0442\u044c VNC-\u0441\u0435\u0440\u0432\u0435\u0440, \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b cmd.exe, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b.<\/p>\n<h3>\u0412\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 IcedID \u0438 CnC-\u0441\u0435\u0440\u0432\u0435\u0440\u0430<br \/>  <\/h3>\n<p>  \u0421\u043f\u0438\u0441\u043e\u043a CnC-\u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0442\u0435\u043b\u0435 \u0431\u0430\u043d\u043a\u0435\u0440\u0430 \u0432 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u0432 \u0432\u0438\u0434\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0430. \u0412\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u043c\u0435\u0436\u0434\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0438 \u0442\u0440\u043e\u044f\u043d\u043e\u043c \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430 HTTPS. \u0414\u0430\u043d\u043d\u044b\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0430\u043c\u0438, \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 GET.<br \/>  \u0421\u0442\u0440\u043e\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0438\u043c\u0435\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0432\u0438\u0434:<\/p>\n<blockquote><p>&lt;%CnC%&gt; \/forum\/viewtopic.php?a=&lt;%Integer%&gt;&amp;b=&lt;%Long integer%&gt;&amp;d=&lt;%Integer%&gt;&amp;e=&lt;%Integer%&gt;&amp;&lt;%\u0414\u0440\u0443\u0433\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435%&gt;<\/p><\/blockquote>\n<p>  \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u0435\u0439:  <\/p>\n<ul>\n<li>a \u2013 \u0442\u0438\u043f \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u0434\u0430\u043d\u043d\u043e\u0435 \u043f\u043e\u043b\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<br \/> <br \/>\n<table>\n<tr>\n<th><nobr>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/nobr><\/th>\n<th>\u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0435<\/th>\n<\/tr>\n<tr>\n<td>0,1<\/td>\n<td>\u041e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435<\/td>\n<\/tr>\n<tr>\n<td>2,3<\/td>\n<td>\u041e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440<\/td>\n<\/tr>\n<tr>\n<td>4<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u0438 \u043f\u043e\u043c\u0435\u0441\u0442\u0438\u0442\u044c \u0438\u0445 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*cfg1\u00bb)<\/b>  <\/td>\n<\/tr>\n<tr>\n<td>5<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u0438 \u043f\u043e\u043c\u0435\u0441\u0442\u0438\u0442\u044c \u0438\u0445 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*cfg0\u00bb)<\/b>  <\/td>\n<\/tr>\n<tr>\n<td>6<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u0438 \u043f\u043e\u043c\u0435\u0441\u0442\u0438\u0442\u044c \u0438\u0445 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*rtd\u00bb)<\/b> (CnC-\u0430\u0434\u0440\u0435\u0441\u0430)  <\/td>\n<\/tr>\n<tr>\n<td>7<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0432\u0435\u0440\u0441\u0438\u044e VNC-\u043c\u043e\u0434\u0443\u043b\u044f<\/td>\n<\/tr>\n<tr>\n<td>8<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0431\u043e\u0442\u0430<\/td>\n<\/tr>\n<\/table>\n<p>   <\/li>\n<li>b \u2013 ID \u0431\u043e\u0442\u0430<\/li>\n<li>d \u2013 \u0444\u043b\u0430\u0433<\/li>\n<li>e \u2013 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430, \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043a\u043e\u0434\u0435 \u0431\u043e\u0442\u0430<\/li>\n<\/ul>\n<p>  \u0414\u0430\u043b\u0435\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u0435\u0439 \u0437\u0430\u0432\u0438\u0441\u044f\u0442 \u043e\u0442 \u043f\u043e\u043b\u044f \u00aba\u00bb. \u0415\u0441\u043b\u0438 \u043e\u043d\u043e \u0440\u0430\u0432\u043d\u043e 0 \u043b\u0438\u0431\u043e 1, \u0442\u043e \u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<blockquote><p>POST \/forum\/viewtopic.php?a=&lt;%0 \u0438\u043b\u0438 1%&gt;&amp;b=&lt;%BotID%&gt;&amp;d=&lt;%Integer%&gt;&amp;e=&lt;%Constant%&gt;&amp;f=&lt;%Cfg1 Checksum%&gt;&amp;g=&lt;%Cfg0 Checksum%&gt;&amp;h=&lt;%Rtd Checksum%&gt;&amp;r=&lt;%VN\u0421 Checksum%&gt;&amp;i=&lt;%\u0412\u0440\u0435\u043c\u044f \u0437\u0430\u043f\u0440\u043e\u0441\u0430%&gt; HTTP\/1.1<br \/>  Connection: close<br \/>  Content-Type: application\/x-www-form-urlencoded<br \/>  Content-Length: <\/p><\/blockquote>\n<p>  \u0422\u0435\u043b\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u0432\u0438\u0434\u0435:<\/p>\n<blockquote><p>k=&lt;%String%&gt;&amp;l=&lt;%String%&gt;%j=&lt;%Integer%&gt;&amp;n=&lt;%Integer%&gt;&amp;m=&lt;%String%&gt;<\/p><\/blockquote>\n<p>  \u0413\u0434\u0435:<\/p>\n<ul>\n<li>k \u2013 \u0438\u043c\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u0432 UNICODE<\/li>\n<li>l \u2013 \u0443\u0447\u0430\u0441\u0442\u043d\u0438\u043a \u0434\u043e\u043c\u0435\u043d\u0430 \u0432 UNICODE <\/li>\n<li>m \u2013 \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0435:<br \/> \n<ol>\n<li> \u0412\u0435\u0440\u0441\u0438\u044f \u041e\u0421<\/li>\n<li> \u041d\u043e\u043c\u0435\u0440 \u0441\u0431\u043e\u0440\u043a\u0438 \u041e\u0421<\/li>\n<li> \u0412\u0435\u0440\u0441\u0438\u044f Service Pack<\/li>\n<li> \u0420\u0430\u0437\u0440\u044f\u0434\u043d\u043e\u0441\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u044b<\/li>\n<li> \u0422\u0438\u043f \u041e\u0421<\/li>\n<\/ol>\n<p>   <\/li>\n<\/ul>\n<p>  \u0415\u0441\u043b\u0438 \u043f\u043e\u043b\u0435 \u0440\u0430\u0432\u043d\u043e 2 \u043b\u0438\u0431\u043e 3, \u0442\u043e \u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<blockquote><p>POST \/forum\/viewtopic.php?a=&lt;%3 \u0438\u043b\u0438 2%&gt;&amp;b=&lt;%BotID%&gt;&amp;d=&lt;%Integer%&gt;&amp;e=&lt;%Constant%&gt; HTTP\/1.1<br \/>  Connection: close<br \/>  Content-Type: application\/octet-stream<br \/>  Content-Length: <\/p><\/blockquote>\n<p>  \u0412 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<blockquote><p>GET \/forum\/viewtopic.php?a=&lt;%4-8%&gt;&amp;b=&lt;%BotID%&gt;&amp;d=&lt;%Integer%&gt;&amp;e=&lt;%Constant%&gt;&amp;o=&lt;%Object checksum%&gt; <br \/>  HTTP\/1.1<br \/>  Connection: close<\/p>\n<p>  Content-Type: application\/x-www-form-urlencoded<br \/>  Content-Length:<\/p><\/blockquote>\n<p>  \u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0430\u0445 \u043d\u0438\u0436\u0435. \u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u043f\u0430\u043a\u0435\u0442\u0430 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0438 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/4t\/yj\/cw\/4tyjcwlgccfqrer5fkblehqaza0.png\" alt=\"image\"><\/div>\n<p>  \u0422\u0435\u043b\u043e \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f:  <\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/nx\/iu\/7r\/nxiu7r72nmfovwhqcz85fdjwoga.png\" alt=\"image\"><\/div>\n<p>  \u0422\u0440\u043e\u044f\u043d \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u041a\u043e\u043c\u0430\u043d\u0434\u044b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432 \u0432\u0438\u0434\u0435 \u0446\u0435\u043b\u043e\u0447\u0438\u0441\u043b\u0435\u043d\u043d\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439. \u0412\u0441\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043f\u0440\u0438\u0445\u043e\u0434\u044f\u0442 \u0431\u043e\u0442\u0443 \u0432 \u0432\u0438\u0434\u0435 \u0441\u0442\u0440\u043e\u043a, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u043c \u00ab;\u00bb. \u041f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043c\u043e\u0436\u0435\u0442 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0442\u044c 23 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<table>\n<tr>\n<th><nobr>\u041a\u043e\u043c\u0430\u043d\u0434\u0430<\/nobr><\/th>\n<th> \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <\/th>\n<\/tr>\n<tr>\n<td> 0<\/td>\n<td>\u041d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 (\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0431\u0443\u0434\u0435\u0442 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b)  <\/td>\n<\/tr>\n<tr>\n<td> 1<\/td>\n<td>\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*cfg0\u00bb)<\/b>  <\/td>\n<\/tr>\n<tr>\n<td> 2<\/td>\n<td>\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*cfg1\u00bb)<\/b>  <\/td>\n<\/tr>\n<tr>\n<td> 3<\/td>\n<td>\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>IcedID_reg(\u00ab*rtd\u00bb)<\/b>  <\/td>\n<\/tr>\n<tr>\n<td> 4<\/td>\n<td>\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0444\u0430\u0439\u043b, \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 AppData \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0438\u0442\u044c  <\/td>\n<\/tr>\n<tr>\n<td> 5<\/td>\n<td>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443, \u0438\u043c\u044f \u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u0438\u0445\u043e\u0434\u044f\u0442 \u043a\u0430\u043a \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b  <\/td>\n<\/tr>\n<tr>\n<td> 6<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u0445, \u0441\u0440\u0435\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u044b\u0445: PID \u0438 \u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430  <\/td>\n<\/tr>\n<tr>\n<td> 7<\/td>\n<td>\u0412\u044b\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440 \u0441 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439, \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438: <br \/>  <b>SHTDN_REASON_FLAG_PLANNED<br \/>  SHTDN_REASON_MINOR_INSTALLATION<br \/>  SHTDN_REASON_MAJOR_APPLICATION<\/b>  <\/td>\n<\/tr>\n<tr>\n<td> 8<\/td>\n<td>\u0417\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 (\u0438\u043c\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u043d\u0438\u0436\u0435)  <\/td>\n<\/tr>\n<tr>\n<td> 9<\/td>\n<td>\u041f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 (\u0438\u043c\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u043d\u0438\u0436\u0435)  <\/td>\n<\/tr>\n<tr>\n<td> 10<\/td>\n<td>\u0423\u0434\u0430\u043b\u0438\u0442\u044c \u043a\u043b\u044e\u0447 \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (\u0438\u043c\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u043d\u0438\u0436\u0435)  <\/td>\n<\/tr>\n<tr>\n<td> 11<\/td>\n<td>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430  <\/td>\n<\/tr>\n<tr>\n<td> 12<\/td>\n<td>\u041e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0443 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430  <\/td>\n<\/tr>\n<tr>\n<td> 13<\/td>\n<td>\u041e\u0431\u043d\u043e\u0432\u0438\u0442\u044c VNC \u043c\u043e\u0434\u0443\u043b\u044c (\u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 %TEMP%)  <\/td>\n<\/tr>\n<tr>\n<td> 14<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0440\u0430\u0431\u043e\u0447\u0435\u043c \u0441\u0442\u043e\u043b\u0435 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430  <\/td>\n<\/tr>\n<tr>\n<td> 15<\/td>\n<td>\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0444\u0430\u0439\u043b, \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0435\u0433\u043e \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>&lt;%\u0421\u0442\u0440\u043e\u043a\u0430 \u0438\u0437 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432%&gt;.tmp<\/b> \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0435\u0433\u043e \u0441 \u043a\u043b\u044e\u0447\u043e\u043c <b>\\u<\/b>. \u041f\u043e\u0445\u043e\u0436\u0435, \u0434\u0430\u043d\u043d\u0430\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u0430 \u0434\u043b\u044f \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u0435\u0440\u0441\u0438\u0438 \u0431\u043e\u0442\u0430 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435.  <\/td>\n<\/tr>\n<tr>\n<td> 16<\/td>\n<td>\u0423\u0434\u0430\u043b\u0438\u0442\u044c \u0444\u0430\u0439\u043b, \u0438\u043c\u044f \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 (\u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u043a\u0430\u043a \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440)  <\/td>\n<\/tr>\n<tr>\n<td> 17<\/td>\n<td>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043c\u043e\u0434\u0443\u043b\u044c \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0420\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0431\u043e\u0442\u0430 \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e Windows \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430 LDAP.  <\/td>\n<\/tr>\n<tr>\n<td> 18<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043b\u043e\u0433-\u0434\u0430\u043d\u043d\u044b\u0435 \u0431\u043e\u0442\u0430  <\/td>\n<\/tr>\n<tr>\n<td> 19<\/td>\n<td>\u041f\u0435\u0440\u0435\u0432\u0435\u0441\u0442\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0432 \u0441\u0438\u0433\u043d\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435  <\/td>\n<\/tr>\n<tr>\n<td> 20<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439: Windows Live Mail, Windows Mail, RimArts, Poco Systems Inc, IncrediMail, The Bat! \u0438 Outlook  <\/td>\n<\/tr>\n<tr>\n<td>21<\/td>\n<td>\u0418\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b \u043c\u0435\u0436\u0434\u0443 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435\u043c \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443  <\/td>\n<\/tr>\n<tr>\n<td>22<\/td>\n<td>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0443\u0442\u044c \u0438\u0437 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u0444\u0430\u0439\u043b \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0435\u0433\u043e \u043f\u043e \u0434\u0430\u043d\u043d\u043e\u043c\u0443 \u043f\u0443\u0442\u0438  <\/td>\n<\/tr>\n<tr>\n<td>21<\/td>\n<td>\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0444\u0430\u0439\u043b \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e AppData, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0435\u0433\u043e \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 <b>\/t=&lt;%\u0425\u0435\u043d\u0434\u043b \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f%&gt; \/f=&lt;%\u0425\u0435\u043d\u0434\u043b 2 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f%&gt;<\/b>. \u041f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0432 \u0441\u0438\u0433\u043d\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u0437 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 AppData  <\/td>\n<\/tr>\n<\/table>\n<p>  \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0442\u0440\u043e\u044f\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0442\u0440\u043e\u043a\u0443 \u00abTrue\u00bb, \u0438\u043d\u0430\u0447\u0435 \u00abFalse\u00bb.<\/p>\n<p>  \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a \u043c\u043e\u0434\u0443\u043b\u044f \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u0432\u0430 \u0431\u0430\u0439\u0442\u0430, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043e\u0436\u0438\u0434\u0430\u0435\u0442 \u043e\u0442\u0432\u0435\u0442. \u041f\u0435\u0440\u0432\u044b\u0439 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0439 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0431\u0430\u0439\u0442 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0432\u0443\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b:<\/p>\n<table>\n<tr>\n<th><nobr>\u041a\u043e\u043c\u0430\u043d\u0434\u0430<\/nobr><\/th>\n<th> \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <\/th>\n<\/tr>\n<tr>\n<td> 5<\/td>\n<td>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u043e\u0442\u043e\u043a, \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u044e\u0449\u0438\u0439 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b cmd.exe.  <\/td>\n<\/tr>\n<tr>\n<td> 6<\/td>\n<td> \u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c VNC-\u0441\u0435\u0440\u0432\u0435\u0440. \u0412 \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 VNC-\u0441\u0435\u0440\u0432\u0435\u0440 \u0431\u044b\u043b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u0432 \u0432\u0438\u0434\u0435 DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0438\u043c\u0435\u043b\u0430 \u0441\u0445\u043e\u0436\u0438\u0439 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u0442\u0440\u043e\u043a. VNC-\u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b \u0438\u0437 \u0441\u0435\u0431\u044f DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0430\u0441\u044c \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>CreateProcessA()<\/b> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 <b>rundll32.exe kernel32,Sleep -s &lt;%\u041f\u0443\u0442\u044c \u043a DLL%&gt;<\/b>, \u043b\u0438\u0431\u043e \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 <b>svchost.exe -s &lt;%\u0418\u043c\u044f \u0438\u0437 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 [0-9A-Z]%&gt;<\/b>. \u0414\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 VNC-\u043c\u043e\u0434\u0443\u043b\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>CreateDesktop()<\/b> \u0431\u043e\u0442 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 Desktop \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <b>Default1&lt;%\u041d\u043e\u043c\u0435\u0440 VNC-\u0441\u0435\u0441\u0441\u0438\u0438%&gt;<\/b>. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u0430\u0434\u0440\u0435\u0441 \u0440\u0430\u043d\u0435\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e VNC-\u043c\u043e\u0434\u0443\u043b\u044f.  <\/td>\n<\/tr>\n<tr>\n<td> 7 <\/td>\n<td>\u0418\u0441\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u0432\u044b\u0448\u0435. \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043e\u0431\u044b\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0442\u0440\u043e\u044f\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u0432\u0430 \u0441\u0438\u043c\u0432\u043e\u043b\u0430, \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u044f\u044e\u0449\u0438\u0445 \u0441\u0435\u0440\u0432\u0435\u0440 \u043e \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u043d\u044f\u0442\u0438\u0435\u043c \u0431\u043e\u0442\u0430 \u043a\u043e\u043c\u0430\u043d\u0434.   <\/td>\n<\/tr>\n<\/table>\n<p>  \u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e \u0438\u0437 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u043f\u0438\u0441\u043a\u0430 IcedID \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u0448\u0438\u0440\u043e\u043a\u0438\u043c \u0441\u043f\u0435\u043a\u0442\u0440\u043e\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 \u0434\u043b\u044f \u043f\u043e\u043b\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u043e\u0439. \u0414\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0441\u0442\u043e\u043b\u043a\u043d\u0435\u0442\u0441\u044f \u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043a\u0430\u043a\u043e\u0439-\u043b\u0438\u0431\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u043e\u043d \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0442\u0440\u043e\u044f\u043d\u0430 \u0434\u0440\u0443\u0433\u0443\u044e \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043f\u0435\u0440\u0435\u0434 \u043d\u0438\u043c \u0437\u0430\u0434\u0430\u0447\u0438. \u041a \u043f\u0440\u0438\u043c\u0435\u0440\u0443, \u0432 \u043a\u043e\u043d\u0446\u0435 \u0434\u0435\u043a\u0430\u0431\u0440\u044f 2017 \u0433\u043e\u0434\u0430 \u043d\u0430\u043c\u0438 \u0431\u044b\u043b\u043e \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0431\u0430\u043d\u043a\u0435\u0440\u0430 TrickBot\u2019a.<\/p>\n<h3>\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445<br \/>  <\/h3>\n<h4>\u0413\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u0438\u043c\u0435\u043d \u0434\u043b\u044f \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435<br \/>  <\/h4>\n<p>  \u0412\u0441\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 (\u0437\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c VNC-\u043c\u043e\u0434\u0443\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 %TEMP% \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 <b>tmp%0.8X01.dat<\/b>). <\/p>\n<p>  \u0418\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0435 \u043d\u0430\u0441 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/v5\/bf\/nj\/v5bfnjuhkwpc3koekqfmclrrffk.png\" alt=\"image\"><\/div>\n<p>  \u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e \u0438\u0437 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0440\u0438\u0441\u0443\u043d\u043a\u0430, \u0438\u043c\u044f \u043a\u043b\u044e\u0447\u0430 \u2013 MD5-\u0445\u0435\u0448 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043e\u0442 \u0434\u0432\u0443\u0445 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u2013 <b>str<\/b> \u0438 <b>computerSeed<\/b>. \u041e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043f\u0435\u0440\u0432\u043e\u0439 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043a\u0430\u043a\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430. \u041a \u043f\u0440\u0438\u043c\u0435\u0440\u0443, \u043f\u0440\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0438 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u2013 <b>*cfg0<\/b> \u0438\u043b\u0438 <b>*cfg1<\/b> \u043a\u043b\u044e\u0447 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0445\u0440\u0430\u043d\u0438\u0442 Web-\u0438\u043d\u0436\u0435\u043a\u0442\u044b, \u043f\u0440\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0438 <b>*rtd<\/b> \u043a\u043b\u044e\u0447 \u0445\u0440\u0430\u043d\u0438\u0442 \u0441\u043f\u0438\u0441\u043e\u043a CnC. <br \/>  <b>computerSeed<\/b> \u2013 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u0430\u044f \u0434\u043b\u044f \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f. \u0412\u044b\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043e\u043d\u0430 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 SID\u2019a \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0412 <a href=\"https:\/\/github.com\/mResearch\/research\/blob\/master\/icedid_config.py\">\u0441\u043a\u0440\u0438\u043f\u0442\u0435<\/a> \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0430 python-\u0432\u0435\u0440\u0441\u0438\u044f \u0432\u044b\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439.<\/p>\n<p>  \u041f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u043a \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u043c \u0437\u0430\u043f\u0438\u0441\u044f\u043c \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435:<\/p>\n<blockquote><p>HKEY_CLASSES_ROOT\\CLSID\\&lt;%MD5-\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435: {%0.8X-%0.4X-%0.4X-%0.4X-%0.4X%0.8X}%&gt;  <\/p><\/blockquote>\n<p>  \u041e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u0432\u044b\u0448\u0435 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u043c \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0438\u043c\u0435\u043d\u0438 <b>IcedID_reg()<\/b>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435\u043e\u0434\u043d\u043e\u043a\u0440\u0430\u0442\u043d\u043e \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043b\u0441\u044f \u0432\u044b\u0448\u0435. <\/p>\n<p>  \u041c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0441\u0442\u0440\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0447\u0443\u0432\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0438\u043c\u0435\u043d \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0432\u0430\u0436\u043d\u043e\u0439 \u0434\u043b\u044f \u0431\u0430\u043d\u043a\u0435\u0440\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li><b>*cfg0<\/b> \u2014 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0441\u0435\u0431\u0435 \u043e\u0431\u0449\u0438\u0439 \u0441\u043f\u0438\u0441\u043e\u043a Web-\u0438\u043d\u0436\u0435\u043a\u0442\u043e\u0432<\/li>\n<li><b>*cfg1<\/b> \u2014 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0441\u0435\u0431\u0435 \u0441\u043f\u0438\u0441\u043e\u043a \u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u0438 \u0441\u0442\u0440\u043e\u043a \u0434\u043b\u044f \u043f\u043e\u043b\u043d\u043e\u0439 \u043a\u0440\u0430\u0436\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b<\/li>\n<li><b>*rtd<\/b> \u2014 \u0441\u043f\u0438\u0441\u043e\u043a CnC-\u0430\u0434\u0440\u0435\u0441\u043e\u0432<\/li>\n<li><b>*bc*<\/b> \u2014 \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u044f\u0435\u0442 \u043e \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 \u043c\u043e\u0434\u0443\u043b\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0415\u0441\u043b\u0438 \u0434\u0430\u043d\u043d\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u2013 \u043c\u043e\u0434\u0443\u043b\u044c \u0437\u0430\u043f\u0443\u0449\u0435\u043d<\/li>\n<li><b>*p*<\/b> \u2014 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0441 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 <b>&#8212;svc=<\/b> \u0438 <b>\/w=<\/b><\/li>\n<\/ul>\n<h4>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432<br \/>  <\/h4>\n<p>  \u0414\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0438 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u0432 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435. VNC-\u0441\u0435\u0440\u0432\u0435\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 %TEMP% \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438, \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c.<\/p>\n<p>  \u0414\u043b\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0434\u0432\u0430 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430: \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0442\u0440\u043e\u044f\u043d\u0430 \u0438 RC4. \u0421\u0445\u0435\u043c\u0430 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/j8\/2j\/g8\/j82jg8lcmeg3l9tv9cmge5erbbs.png\" alt=\"image\"><\/div>\n<p>  \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043e\u0442 \u0442\u0435\u043e\u0440\u0438\u0438 \u043a \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435. \u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0447\u0442\u0435\u043d\u0438\u044f \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/q5\/2f\/7r\/q52f7rrl9zsv9wqv9lf6anr9-hq.png\" alt=\"image\"><\/div>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0438\u0445 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ji\/fx\/ik\/jifxik3og5ezrfp9wufshxhbc5k.png\" alt=\"image\"><\/div>\n<p>  \u0418 \u043c\u044b \u0441\u043d\u043e\u0432\u0430 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u043c\u0441\u044f \u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 <b>make_seed()<\/b>!<\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u043c\u0435\u0435\u043c (\u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0430\u0434\u0440\u0435\u0441\u0430 \u2013 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0442\u043e\u043c \u0436\u0435 \u0443\u0447\u0430\u0441\u0442\u043a\u0435 \u043f\u0430\u043c\u044f\u0442\u0438):  <\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ok\/-1\/ek\/ok-1ek0zschromjam2tbv2am-um.png\" alt=\"image\"><\/div>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0443\u0436\u0435 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u043c\u044b \u0432\u0438\u0434\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/kx\/ct\/nb\/kxctnbronnbv-hovhydbmqb9wx4.png\" alt=\"image\"><\/div>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0440\u0430\u0437\u0430\u0440\u0445\u0438\u0432\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0438 \u043f\u0430\u0440\u0441\u044f\u0442\u0441\u044f. \u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u0434 \u043e\u0441\u0432\u043e\u0431\u043e\u0436\u0434\u0435\u043d\u0438\u0435\u043c \u043f\u0430\u043c\u044f\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043f\u043e RC4 \u2014 \u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f.<\/p>\n<p>  \u0414\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u0442\u0438\u043f\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u041a \u043f\u0440\u0438\u043c\u0435\u0440\u0443, \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441 \u043f\u0440\u0435\u0444\u0438\u043a\u0441\u043e\u043c <b>rtd<\/b> \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435:<\/p>\n<pre><code class=\"cpp\">typedef struct CNCStruct {       char md5sum[128];     int checksum;     BStrings cnc[N]; } CNCStruct;  typedef struct BStrings {     int length;     char str[length]; } BStrings; <\/code><\/pre>\n<p>  \u0421\u043f\u0438\u0441\u043e\u043a CnC-\u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u0432 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/cv\/vz\/90\/cvvz90ucal4gq6l7rhlseodjmgi.png\" alt=\"image\"><\/div>\n<p>  \u041f\u0435\u0440\u0435\u0434 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435\u043c \u043a CnC-\u0430\u0434\u0440\u0435\u0441\u0430\u043c \u0438\u0437 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u043f\u0438\u0441\u043a\u0430 \u0431\u043e\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0446\u0438\u0444\u0440\u043e\u0432\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c. \u041a\u043b\u044e\u0447 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043f\u0438\u0441\u0438 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0442\u0435\u043b\u0435 \u0431\u043e\u0442\u0430 \u0432 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435.<\/p>\n<p>  \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0441 \u043f\u0440\u0435\u0444\u0438\u043a\u0441\u043e\u043c <b>cfg<\/b> \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435:<\/p>\n<pre><code class=\"cpp\">typedef struct CfgStruct {     int checksum;     int elements_count;     char config[]; } CfgStruct;<\/code><\/pre>\n<p>  \u0412 \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043c\u044b \u0432\u0438\u0434\u0435\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/o3\/wj\/qp\/o3wjqphnlymrn0yeydqqsxu8-ca.png\" alt=\"image\"><\/div>\n<p>  \u0414\u0430\u043d\u043d\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u043c \u0431\u0438\u043d\u0430\u0440\u043d\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u0443\u0434\u0435\u0442 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d \u0434\u0430\u043b\u0435\u0435.<\/p>\n<p>  \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0432 <a href=\"https:\/\/github.com\/mResearch\/research\/blob\/master\/icedid_config.py\">\u0441\u043a\u0440\u0438\u043f\u0442\u0435<\/a>.<\/p>\n<h4>\u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445<\/h4>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043f\u0430\u0440\u0441\u0438\u0442 \u0438\u0445 \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0432\u0438\u0434\u0435 \u0441\u0432\u044f\u0437\u043d\u043e\u0433\u043e \u0441\u043f\u0438\u0441\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435 (MITB). \u0412 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0440\u0430\u0437\u0431\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u0431\u043b\u043e\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u043c\u0435\u044e\u0442 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443:<\/p>\n<pre><code class=\"cpp\">typedef struct BaseBlock {     int size;     char type;     char global_flag;      char data[size - 6]; } BaseBlock; <\/code><\/pre>\n<p>  \u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u043e\u043b\u044f <b>data<\/b> \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u0444\u043b\u0430\u0433\u0430 <b>type<\/b>. \u0424\u043b\u0430\u0433 \u0432 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0440\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u0441\u0442\u0440\u043e\u043a\u0438 \u0432 URL\/\u0442\u0435\u043b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430. \u041f\u043e\u043b\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/p>\n<table>\n<tr>\n<th><nobr>\u0424\u043b\u0430\u0433<\/nobr><\/th>\n<th>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/th>\n<\/tr>\n<tr>\n<td> 0x10 <\/td>\n<td>\u0427\u0430\u0441\u0442\u0438\u0447\u043d\u0430\u044f \u0437\u0430\u043c\u0435\u043d\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u2013 \u0442\u0435\u0433\u0438, \u043c\u0435\u0436\u0434\u0443 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0441\u0442\u0438 \u0437\u0430\u043c\u0435\u043d\u0443, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043c\u0435\u043d\u0435\u043d\u043e \u0442\u0435\u043b\u043e  <\/td>\n<\/tr>\n<tr>\n<td> <nobr>0x11,0x13<\/nobr> <\/td>\n<td>\u0427\u0430\u0441\u0442\u0438\u0447\u043d\u0430\u044f \u0437\u0430\u043c\u0435\u043d\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u2013 \u0443\u0447\u0430\u0441\u0442\u043e\u043a \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0437\u0430\u043c\u0435\u043d\u0438\u0442\u044c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043c\u0435\u043d\u0435\u043d\u043e \u0442\u0435\u043b\u043e  <\/td>\n<\/tr>\n<tr>\n<td> 0x12 <\/td>\n<td>\u041f\u043e\u043b\u043d\u0430\u044f \u0437\u0430\u043c\u0435\u043d\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b  <\/td>\n<\/tr>\n<tr>\n<td>0x20 <\/td>\n<td>\u041a\u0440\u0430\u0436\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u2013 \u0442\u0435\u0433\u0438, \u043c\u0435\u0436\u0434\u0443 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0439 \u0443\u0447\u0430\u0441\u0442\u043e\u043a \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <\/td>\n<\/tr>\n<tr>\n<td> 0x21<\/td>\n<td>\u041f\u043e\u043b\u043d\u0430\u044f \u043a\u0440\u0430\u0436\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b<\/td>\n<\/tr>\n<tr>\n<td> 0x22<\/td>\n<td> \u041f\u043e\u043b\u043d\u0430\u044f \u043a\u0440\u0430\u0436\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, \u0442\u0435\u043b\u043e \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 <\/td>\n<\/tr>\n<tr>\n<td> 0x2E<\/td>\n<td>\u041f\u043e\u0438\u0441\u043a \u0432 \u0442\u0435\u043b\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0441\u0442\u0440\u043e\u043a \u0441 \u0442\u0435\u0433\u0430\u043c\u0438 0x40 \u0438 0x41, \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u2013 \u043a\u0440\u0430\u0436\u0430 \u0442\u0435\u043b\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <\/td>\n<\/tr>\n<tr>\n<td> 0x30 <\/td>\n<td>\u0411\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 <\/td>\n<\/tr>\n<tr>\n<td> 0x31<\/td>\n<td> \u0421\u0434\u0435\u043b\u0430\u0442\u044c screenshot \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b<\/td>\n<\/tr>\n<tr>\n<td><nobr>0x32,0x33<\/nobr><\/td>\n<td>\u0420\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 \u0434\u0440\u0443\u0433\u0443\u044e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 (\u043f\u0443\u0442\u044c \u043a \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435 \u2014 \u043e\u0434\u0438\u043d \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432). \u041f\u043e\u043c\u0438\u043c\u043e \u044d\u0442\u043e\u0433\u043e \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 \u2014 \u0441\u0442\u0440\u043e\u043a\u0430 <b>&lt;%Registry Salt%&gt;#&lt;%URL%&gt;<\/b>, \u0431\u043e\u0442 \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a <b>&lt;%URL%&gt;<\/b>, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u043e\u0442\u0442\u0443\u0434\u0430 \u0434\u0430\u043d\u043d\u044b\u0435, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0438\u0445 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0443 <b>IcedID_reg(&lt;%Registry Salt%&gt;)<\/b> <\/td>\n<\/tr>\n<tr>\n<td> 0x34<\/td>\n<td> \u0420\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 \u0434\u0440\u0443\u0433\u0443\u044e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 (\u043f\u0443\u0442\u044c \u043a \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435 \u2014 \u043e\u0434\u0438\u043d \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432) <\/td>\n<\/tr>\n<tr>\n<td><nobr>0x40,0x41<\/nobr><\/td>\n<td> \u0421\u0442\u0440\u043e\u043a\u0438-\u043f\u0430\u0442\u0442\u0435\u0440\u043d\u044b \u0432 \u0442\u0435\u043b\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <\/td>\n<\/tr>\n<tr>\n<td> 0x51 <\/td>\n<td> \u041f\u0440\u043e\u0438\u0433\u043d\u043e\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 <\/td>\n<\/tr>\n<tr>\n<td> 0x60 <\/td>\n<td> \u0421\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 (\u0437\u0430\u043c\u0435\u043d\u044f\u0435\u0442 \u0442\u0435\u043b\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043d\u0430 \u00abTrue\u00bb \u043b\u0438\u0431\u043e \u00abFalse\u00bb \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u0438\u043c\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u0448\u0435) <\/td>\n<\/tr>\n<tr>\n<td> 0x61<\/td>\n<td> \u041f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (\u0438\u043c\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u0448\u0435)<\/td>\n<\/tr>\n<tr>\n<td> 0x62 <\/td>\n<td> \u0423\u0434\u0430\u043b\u0438\u0442\u044c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (\u0437\u0430\u043c\u0435\u043d\u044f\u0435\u0442 \u0442\u0435\u043b\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043d\u0430 \u00abTrue\u00bb \u043b\u0438\u0431\u043e \u00abFalse\u00bb \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u0438\u043c\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u0448\u0435) <\/td>\n<\/tr>\n<tr>\n<td> 0x63 <\/td>\n<td> \u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 (\u0437\u0430\u043c\u0435\u043d\u044f\u0435\u0442 \u0442\u0435\u043b\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043d\u0430 \u00abTrue\u00bb \u043b\u0438\u0431\u043e \u00abFalse\u00bb \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b) <\/td>\n<\/tr>\n<tr>\n<td> 0x64 <\/td>\n<td>\u0421\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0442\u0435\u043b\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0431\u043e\u0442\u0430 (\u0437\u0430\u043c\u0435\u043d\u044f\u0435\u0442 \u0442\u0435\u043b\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043d\u0430 \u00abTrue\u00bb \u043b\u0438\u0431\u043e \u00abFalse\u00bb \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b) <\/td>\n<\/tr>\n<\/table>\n<p>  \u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u043e\u043b\u044f <b>data<\/b> \u0435\u0441\u043b\u0438 <b>type<\/b> \u0440\u0430\u0432\u0435\u043d 0x40 \u0438\u043b\u0438 0x41:<\/p>\n<pre><code class=\"cpp\">typedef struct ConfigBlock {     BStrings patterns[N];     int(0); } ConfigBlock;<\/code><\/pre>\n<p>  \u0418\u043d\u0430\u0447\u0435 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u043e\u043b\u044f:<\/p>\n<pre><code class=\"cpp\">typedef struct BaseBlock {     int typeSizeStr;     string urlStr;     int flagSize;     char flag[flagSize];     int firstOptStrSize;     char firstOptStr[firstOptStrSize];     int secondOptStrSize;     char secondOptStr[secondOptStrSize];     int thirdOptStrSize;     char thirdOptStr[thirdOptStrSize]; } BaseBlock; <\/code><\/pre>\n<p>  \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0431\u043b\u0438\u0436\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043e\u0434\u0438\u043d \u0438\u0437 \u0431\u043b\u043e\u043a\u043e\u0432 \u0441\u0435\u043c\u043f\u043b\u0430:<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/k2\/um\/x_\/k2umx_oc-ftptuundim8rft1yaw.png\" alt=\"image\"><\/div>\n<p>  \u041e\u0431\u0440\u0430\u0442\u0438\u043c \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043f\u043e\u043b\u0435 \u00abConfig block type\u00bb \u0432 \u0431\u043b\u043e\u043a\u0435 \u00abConfig block common information\u00bb. \u041e\u043d\u043e \u0440\u0430\u0432\u043d\u043e 0x11 \u2013 \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b, URL \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u043f\u043e\u0434 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e\u0433\u043e \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u044f <b>^[^=]*\\\/wcmfd\\\/wcmpw\\\/CustomerLogin$<\/b> \u043f\u0440\u043e\u0438\u0437\u043e\u0439\u0434\u0435\u0442 \u0437\u0430\u043c\u0435\u043d\u0430 \u0432 \u0442\u0435\u043b\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u0441\u0442\u0440\u043e\u043a\u0438 <b>&lt;body<\/b> (\u0432\u0442\u043e\u0440\u043e\u0439 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442) \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 <b>&lt;body style=\u00abdisplay: none;\u00bb<\/b> (\u0442\u0440\u0435\u0442\u0438\u0439 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442). <\/p>\n<p>  \u0412 \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0438\u0437 \u0442\u0438\u043f\u043e\u0432 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u0432\u044f\u0437\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a. \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u043f\u0430\u0440\u0441\u0430 \u043d\u0430 \u0441\u0432\u044f\u0437\u043d\u044b\u0435 \u0441\u043f\u0438\u0441\u043a\u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 \u043d\u0438\u0436\u0435 \u0432 \u0432\u0438\u0434\u0435 \u0441\u043a\u0440\u0438\u043d\u0430 IDA Pro. Python-\u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u0430\u0440\u0441\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c <a href=\"https:\/\/github.com\/mResearch\/research\/blob\/master\/icedid_config.py\">\u0442\u0443\u0442<\/a>.<\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/e9\/5m\/ke\/e95mkeu6eqisfys7fnhe63fqvtg.png\" alt=\"image\"><\/div>\n<h3>\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u043e CnC<br \/>  <\/h3>\n<p>  \u0417\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u043d\u0430\u0431\u043b\u044e\u0434\u0435\u043d\u0438\u044f \u0437\u0430 \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u0435\u043c IcedID \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043c\u043d\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0440\u043e\u044f\u043d \u0432\u043a\u043b\u044e\u0447\u0430\u043b \u0432 \u0441\u043f\u0438\u0441\u043e\u043a \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b CnC. \u0414\u043e\u043c\u0435\u043d\u044b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043c \u0432 \u0432\u0438\u0434\u0435 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u044f (e-mail \u0441 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u043b\u0430 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u2192 \u0434\u043e\u043c\u0435\u043d):  <\/p>\n<table>\n<tr>\n<th><nobr>\u041f\u043e\u0447\u0442\u0430<\/nobr><\/th>\n<th>\u0414\u043e\u043c\u0435\u043d\u044b<\/th>\n<\/tr>\n<tr>\n<td>davidphugley@jourrapide.com<\/td>\n<td>percalabia.com<br \/>   borrespons.com<br \/>   divorough.com<br \/>   eyrannon.com<br \/>   britically.com   <\/td>\n<\/tr>\n<tr>\n<td>joshuastaube@dayrep.com<\/td>\n<td>manismay.com<br \/>   deterhood.com<br \/>   marrivate.com<br \/>   greatoric.com<br \/>   phonetarif.com   <\/td>\n<\/tr>\n<tr>\n<td>CynthiaTHeller@grr.la<\/td>\n<td>binncu.net<\/td>\n<\/tr>\n<tr>\n<td>PatriceAAdams@grr.la<\/td>\n<td>arcadyflyff.com<\/td>\n<\/tr>\n<tr>\n<td>LindaJRowan@dayrep.com<\/td>\n<td>yutlitsi.com<\/td>\n<\/tr>\n<tr>\n<td>SeanHumphreys@pokemail.net<\/td>\n<td>urnachay.com<\/td>\n<\/tr>\n<tr>\n<td>RuthFThigpen@pokemail.net<\/td>\n<td>oksigur.net<\/td>\n<\/tr>\n<tr>\n<td>FlorenceTButler@pokemail.net<\/td>\n<td>rfisoty.com<\/td>\n<\/tr>\n<tr>\n<td>FreidaDDelgado@pokemail.net<\/td>\n<td>urnisim.net<\/td>\n<\/tr>\n<tr>\n<td>TinaLHobson@grr.la<\/td>\n<td>cupicratings.com<\/td>\n<\/tr>\n<tr>\n<td>ElisaRTucker@pokemail.net<\/td>\n<td>freegameshacks.net<\/td>\n<\/tr>\n<tr>\n<td>DaleKMontes@pokemail.net<\/td>\n<td>gordondeen.net<\/td>\n<\/tr>\n<tr>\n<td>patrickggutierez@dayrep.com<\/td>\n<td>poorloo.com<br \/>   dismissey.com<br \/>   euphratt.com<br \/>   detrole.com   <\/td>\n<\/tr>\n<tr>\n<td>JustineRBoatner@pokemail.net<\/td>\n<td>lumpyve.com<\/td>\n<\/tr>\n<tr>\n<td>MatthewAPerkins@grr.la<\/td>\n<td>gooblesooq.com<br \/>   fzlajsf.net   <\/td>\n<\/tr>\n<tr>\n<td>JosephLSmith@grr.la<\/td>\n<td>newpctoday.com<br \/>   triodgt.com   <\/td>\n<\/tr>\n<tr>\n<td>DominicNDecker@pokemail.net<\/td>\n<td>onsunga.net<\/td>\n<\/tr>\n<tr>\n<td>MarcellaBCraighead@pokemail.net<\/td>\n<td>rybatas.com<\/td>\n<\/tr>\n<tr>\n<td>KellyJMaldonado@grr.la<\/td>\n<td>netocraze.net<br \/>   irtazin.net   <\/td>\n<\/tr>\n<\/table>\n<p>  \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0442\u0435\u043f\u0435\u0440\u044c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u044b\u043b\u0438 \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0434\u043e\u043c\u0435\u043d\u044b:<\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u044e\u0449\u0438\u0445 \u043b\u0438\u0446\u0430\u0445<\/b><\/p>\n<div class=\"spoiler_text\">\u041f\u043e\u0447\u0442\u0430 <b>davidphugley@jourrapide.com<\/b>:<\/p>\n<ul>\n<li>Registrar: PDR Ltd. d\/b\/a PublicDomainRegistry.com<\/li>\n<li>Name: David P. Hugley (registrant, admin, tech)<\/li>\n<li>Street: 2453 Round Table Drive (registrant, admin, tech)<\/li>\n<li>City: Hamilton (registrant, admin, tech)<\/li>\n<li>State: Ohio (registrant, admin, tech)<\/li>\n<li>Postal: 45011 (registrant, admin, tech)<\/li>\n<li>Country: US (registrant, admin, tech)<\/li>\n<li>Phone: 15138878784 (registrant, admin, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>joshuastaube@dayrep.com<\/b>:<\/p>\n<ul>\n<li>Registrar: PDR Ltd. d\/b\/a PublicDomainRegistry.com<\/li>\n<li>Name: Joshua S. Taube (registrant, admin, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 2173 Kyle Street (registrant, admin, tech)<\/li>\n<li>City: Hay Springs (registrant, admin, tech)<\/li>\n<li>State: Nevada (registrant, admin, tech)<\/li>\n<li>Postal: 69347 (registrant, admin, tech)<\/li>\n<li>Country: US (registrant, admin, tech)<\/li>\n<li>Phone: 13086385612 (registrant, admin, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>CynthiaTHeller@grr.la<\/b>:<\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Cynthia Heller (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 396 Tennessee Avenue (registrant, admin, billing, tech)<\/li>\n<li>City: Southfield (registrant, admin, billing, tech)<\/li>\n<li>State: MX (registrant, admin, billing, tech)<\/li>\n<li>Postal: 48034 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 12482469621 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>PatriceAAdams@grr.la<\/b>:<\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Patrice Adams (registrant, admin, billing, tech)<\/li>\n<li>Organization<\/li>\n<li>Street: 3997 Marietta Street (registrant, admin, billing, tech)<\/li>\n<li>City:Cazadero (registrant, admin, billing, tech)<\/li>\n<li>State: JL (registrant, admin, billing, tech)<\/li>\n<li>Postal: 95421 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 17076322681 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>LindaJRowan@dayrep.com<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Linda Rowan (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 1908 Luke Lane (registrant, admin, billing, tech)<\/li>\n<li>City: Elk City (registrant, admin, billing, tech)<\/li>\n<li>State: EK (registrant, admin, billing, tech)<\/li>\n<li>Postal: 73644 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 15802259140 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>SeanHumphreys@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Sean Humphreys (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 4661 Kincheloe Road (registrant, admin, billing, tech)<\/li>\n<li>City: Portland (registrant, admin, billing, tech)<\/li>\n<li>State: EL (registrant, admin, billing, tech)<\/li>\n<li>Postal: 97205 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 16384273711 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>RuthFThigpen@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Ruth Thigpen (registrant, admin, billing, tech)<\/li>\n<li>Organization<\/li>\n<li>Street: 765 Michael Street (registrant, admin, billing, tech)<\/li>\n<li>City: Houston (registrant, admin, billing, tech)<\/li>\n<li>State: DK (registrant, admin, billing, tech)<\/li>\n<li>Postal: 77021 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 17137485876 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>FlorenceTButler@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Florence Butler (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 4554 Par Drive (registrant, admin, billing, tech)<\/li>\n<li>City: Lompoc (registrant, admin, billing, tech)<\/li>\n<li>State: JL (registrant, admin, billing, tech)<\/li>\n<li>Postal: 93436 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 198058660048 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>FreidaDDelgado@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Freida Delgado (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 4439 Burning Memory Lane (registrant, admin, billing, tech)<\/li>\n<li>City: Philadelphia (registrant, admin, billing, tech)<\/li>\n<li>State: BX (registrant, admin, billing, tech)<\/li>\n<li>Postal: 19115 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 12153306416 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>TinaLHobson@grr.la<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Tina Hobson (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 3960 Woodridge Lane (registrant, admin, billing, tech)<\/li>\n<li>City: Memphis (registrant, admin, billing, tech)<\/li>\n<li>State: TN (registrant, admin, billing, tech)<\/li>\n<li>Postal: 38110 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 19012994734 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>ElisaRTucker@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Elisa Tucker (registrant, admin, billing, tech)<\/li>\n<li>Organization<\/li>\n<li>Street: 3316 Corbin Branch Road (registrant, admin, billing, tech)<\/li>\n<li>City: Johnson City (registrant, admin, billing, tech)<\/li>\n<li>State: TN (registrant, admin, billing, tech)<\/li>\n<li>Postal: 37601 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 14234332211 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>DaleKMontes@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Dale Montes (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 2719 Norman Street (registrant, admin, billing, tech)<\/li>\n<li>City: Los Angeles (registrant, admin, billing, tech)<\/li>\n<li>State: JL (registrant, admin, billing, tech)<\/li>\n<li>Postal: 90008 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 13232919311 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>patrickggutierez@dayrep.com<\/b>: <\/p>\n<ul>\n<li>Registrar: PDR Ltd. d\/b\/a PublicDomainRegistry.com<\/li>\n<li>Name: Patrick G. Gutierez (registrant, admin, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 1146 Mount Olive Road (registrant, admin, tech)<\/li>\n<li>City: Atlanta (registrant, admin, tech)<\/li>\n<li>State: Georgia (registrant, admin, tech)<\/li>\n<li>Postal: 30328 (registrant, admin, tech)<\/li>\n<li>Country: US (registrant, admin, tech)<\/li>\n<li>Phone: 16789874672 (registrant, admin, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>JustineRBoatner@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Justine Boatner (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 2875 Kemper Lane (registrant, admin, billing, tech)<\/li>\n<li>City: Kearns (registrant, admin, billing, tech)<\/li>\n<li>State: YT (registrant, admin, billing, tech)<\/li>\n<li>Postal: 84118 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 18019026902 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>MatthewAPerkins@grr.la<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Matthew Perkins (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 2507 Locust Street (registrant, admin, billing, tech)<\/li>\n<li>City: Ellaville (registrant, admin, billing, tech)<\/li>\n<li>State: QZ (registrant, admin, billing, tech)<\/li>\n<li>Postal: 31806 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 12299379022 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>JosephLSmith@grr.la<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Joseph Smith (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 2808 Ruckman Road (registrant, admin, billing, tech)<\/li>\n<li>City: Oklahoma City (registrant, admin, billing, tech)<\/li>\n<li>State: EK (registrant, admin, billing, tech)<\/li>\n<li>Postal: 73102 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 14058506091 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>DominicNDecker@pokemail.net<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Dominic Decker (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 1169 Golden Ridge Road (registrant, admin, billing, tech)<\/li>\n<li>City: Gloversville (registrant, admin, billing, tech)<\/li>\n<li>State: NY (registrant, admin, billing, tech)<\/li>\n<li>Postal: 12078 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 15187485876 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>MarcellaBCraighead@pokemail.net<\/b>:<\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Marcella Craighead (registrant, admin, billing, tech)<\/li>\n<li>Organization:<\/li>\n<li>Street: 1659 Lilac Lane (registrant, admin, billing, tech)<\/li>\n<li>City: Savannah (registrant, admin, billing, tech)<\/li>\n<li>State: QZ (registrant, admin, billing, tech)<\/li>\n<li>Postal: 31401 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 19125956971 (registrant, admin, billing, tech)<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0447\u0442\u0430 <b>KellyJMaldonado@grr.la<\/b>: <\/p>\n<ul>\n<li>Registrar: Eranet International Limited<\/li>\n<li>Name: Kelly Maldonado (registrant, admin, billing, tech)<\/li>\n<li>Organization: NA<\/li>\n<li>Street: 4391 Ben Street (registrant, admin, billing, tech)<\/li>\n<li>City: Albany (registrant, admin, billing, tech)<\/li>\n<li>State: NY (registrant, admin, billing, tech)<\/li>\n<li>Postal: 12207 (registrant, admin, billing, tech)<\/li>\n<li>Country: US (registrant, admin, billing, tech)<\/li>\n<li>Phone: 15182623616 (registrant, admin, billing, tech)<\/li>\n<\/ul><\/div>\n<\/div>\n<p>  \u0418 \u043d\u0430\u043a\u043e\u043d\u0435\u0446, \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0445\u0440\u043e\u043d\u043e\u043b\u043e\u0433\u0438\u044e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f IP-\u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u0434\u043e\u043c\u0435\u043d\u043e\u0432. \u0412 \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u0431\u044b\u043b\u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u044b \u0432\u0441\u0435 IP-\u0430\u0434\u0440\u0435\u0441\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2017 \u0433\u043e\u0434\u0430:<\/p>\n<div class=\"spoiler\"><b class=\"spoiler_title\">\u0422\u0430\u0431\u043b\u0438\u0446\u0430 IP-\u0430\u0434\u0440\u0435\u0441\u043e\u0432<\/b><\/p>\n<div class=\"spoiler_text\">\n<table>\n<tr>\n<th>Domain<\/th>\n<th>IP<\/th>\n<th>Country<\/th>\n<th>First seen in the wild<\/th>\n<\/tr>\n<tr>\n<td>gooblesooq.com<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>11\/7\/2017<\/td>\n<\/tr>\n<tr>\n<td>irtazin.net<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>11\/7\/2017<\/td>\n<\/tr>\n<tr>\n<td>netocraze.net<\/td>\n<td>185.5.251.33<\/td>\n<td>RU<\/td>\n<td>11\/7\/2017<\/td>\n<\/tr>\n<tr>\n<td>triodgt.com<\/td>\n<td>185.5.251.33<\/td>\n<td>RU<\/td>\n<td>11\/7\/2017<\/td>\n<\/tr>\n<tr>\n<td>newpctoday.com<\/td>\n<td>185.5.251.33<\/td>\n<td>RU<\/td>\n<td>11\/7\/2017<\/td>\n<\/tr>\n<tr>\n<td>fzlajsf.net<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>11\/25\/2017<\/td>\n<\/tr>\n<tr>\n<td>netocraze.net<\/td>\n<td>185.48.56.139<\/td>\n<td>NL<\/td>\n<td>11\/27\/2017<\/td>\n<\/tr>\n<tr>\n<td>triodgt.com<\/td>\n<td>185.48.56.139<\/td>\n<td>NL<\/td>\n<td>11\/27\/2017<\/td>\n<\/tr>\n<tr>\n<td>newpctoday.com<\/td>\n<td>185.48.56.139<\/td>\n<td>NL<\/td>\n<td>11\/29\/2017<\/td>\n<\/tr>\n<tr>\n<td>netocraze.net<\/td>\n<td>185.22.65.17<\/td>\n<td>KZ<\/td>\n<td>12\/1\/2017<\/td>\n<\/tr>\n<tr>\n<td>triodgt.com<\/td>\n<td>185.22.65.17<\/td>\n<td>KZ<\/td>\n<td>12\/1\/2017<\/td>\n<\/tr>\n<tr>\n<td>newpctoday.com<\/td>\n<td>185.22.65.17<\/td>\n<td>KZ<\/td>\n<td>12\/1\/2017<\/td>\n<\/tr>\n<tr>\n<td>gordondeen.net<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>12\/11\/2017<\/td>\n<\/tr>\n<tr>\n<td>netocraze.net<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>12\/11\/2017<\/td>\n<\/tr>\n<tr>\n<td>arcadyflyff.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>12\/12\/2017<\/td>\n<\/tr>\n<tr>\n<td>cupicratings.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>12\/12\/2017<\/td>\n<\/tr>\n<tr>\n<td>freegameshacks.net<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>12\/12\/2017<\/td>\n<\/tr>\n<tr>\n<td>newpctoday.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>12\/13\/2018<\/td>\n<\/tr>\n<tr>\n<td>onsunga.net<\/td>\n<td>107.150.99.20<\/td>\n<td>CN<\/td>\n<td>12\/17\/2017<\/td>\n<\/tr>\n<tr>\n<td>oksigur.net<\/td>\n<td>107.150.99.20<\/td>\n<td>CN<\/td>\n<td>12\/17\/2017<\/td>\n<\/tr>\n<tr>\n<td>rfisoty.com<\/td>\n<td>107.150.99.20<\/td>\n<td>CN<\/td>\n<td>12\/17\/2017<\/td>\n<\/tr>\n<tr>\n<td>rybatas.com<\/td>\n<td>107.150.99.20<\/td>\n<td>CN<\/td>\n<td>12\/17\/2017<\/td>\n<\/tr>\n<tr>\n<td>urnachay.com<\/td>\n<td>107.150.99.20<\/td>\n<td>CN<\/td>\n<td>12\/17\/2017<\/td>\n<\/tr>\n<tr>\n<td>rfisoty.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>1\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>rybatas.com<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>1\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnachay.com<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>1\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>yutlitsi.com<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>1\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnisim.net<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>1\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>oksigur.net<\/td>\n<td>185.127.26.227<\/td>\n<td>RU<\/td>\n<td>1\/26\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnachay.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>1\/31\/2018<\/td>\n<\/tr>\n<tr>\n<td>oksigur.net<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>1\/31\/2018<\/td>\n<\/tr>\n<tr>\n<td>yutlitsi.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>2\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnisim.net<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>2\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>divorough.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>2\/21\/2018<\/td>\n<\/tr>\n<tr>\n<td>percalabia.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>2\/22\/2018<\/td>\n<\/tr>\n<tr>\n<td>borrespons.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>2\/26\/2018<\/td>\n<\/tr>\n<tr>\n<td>britically.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>2\/26\/2018<\/td>\n<\/tr>\n<tr>\n<td>eyrannon.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>2\/26\/2018<\/td>\n<\/tr>\n<tr>\n<td>deterhood.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>3\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>greatoric.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>3\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>manismay.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>3\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>marrivate.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>3\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>moindal.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>3\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>phonetarif.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>3\/1\/2018<\/td>\n<\/tr>\n<tr>\n<td>moindal.com<\/td>\n<td>185.169.229.119<\/td>\n<td>CH<\/td>\n<td>3\/5\/2018<\/td>\n<\/tr>\n<tr>\n<td>dismissey.com<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>4\/3\/2018<\/td>\n<\/tr>\n<tr>\n<td>euphratt.com<\/td>\n<td>109.234.35.121<\/td>\n<td>RU<\/td>\n<td>4\/4\/2018<\/td>\n<\/tr>\n<tr>\n<td>percalabia.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>4\/23\/2018<\/td>\n<\/tr>\n<tr>\n<td>deterhood.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>4\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>eyrannon.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>4\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>greatoric.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>4\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>marrivate.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>4\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>euphratt.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>4\/25\/2018<\/td>\n<\/tr>\n<tr>\n<td>borrespons.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>britically.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>dismissey.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>divorough.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>rfisoty.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>detrole.com<\/td>\n<td>109.236.87.25<\/td>\n<td>NL<\/td>\n<td>5\/8\/2018<\/td>\n<\/tr>\n<tr>\n<td>manismay.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/8\/2018<\/td>\n<\/tr>\n<tr>\n<td>phonetarif.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/13\/2018<\/td>\n<\/tr>\n<tr>\n<td>binncu.net<\/td>\n<td>46.148.26.106<\/td>\n<td>UA<\/td>\n<td>5\/17\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnisim.net<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>5\/17\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnachay.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>5\/18\/2018<\/td>\n<\/tr>\n<tr>\n<td>yutlitsi.com<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>5\/18\/2018<\/td>\n<\/tr>\n<tr>\n<td>oksigur.net<\/td>\n<td>46.148.26.11<\/td>\n<td>UA<\/td>\n<td>5\/21\/2018<\/td>\n<\/tr>\n<tr>\n<td>greatoric.com<\/td>\n<td>5.187.0.158<\/td>\n<td>DE<\/td>\n<td>5\/22\/2018<\/td>\n<\/tr>\n<tr>\n<td>marrivate.com<\/td>\n<td>5.187.0.158<\/td>\n<td>DE<\/td>\n<td>5\/22\/2018<\/td>\n<\/tr>\n<tr>\n<td>percalabia.com<\/td>\n<td>5.187.0.158<\/td>\n<td>DE<\/td>\n<td>5\/22\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnachay.com<\/td>\n<td>5.187.0.158<\/td>\n<td>DE<\/td>\n<td>5\/22\/2018<\/td>\n<\/tr>\n<tr>\n<td>yutlitsi.com<\/td>\n<td>5.187.0.158<\/td>\n<td>DE<\/td>\n<td>5\/22\/2018<\/td>\n<\/tr>\n<tr>\n<td>lumpyve.com<\/td>\n<td>185.48.56.134<\/td>\n<td>NL<\/td>\n<td>5\/24\/2018<\/td>\n<\/tr>\n<tr>\n<td>urnisim.net<\/td>\n<td>5.187.0.158<\/td>\n<td>DE<\/td>\n<td>5\/27\/2018<\/td>\n<\/tr>\n<tr>\n<td>borrespons.com<\/td>\n<td>85.143.202.82<\/td>\n<td>RU<\/td>\n<td>6\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>manismay.com<\/td>\n<td>85.143.202.82<\/td>\n<td>RU<\/td>\n<td>6\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>phonetarif.com<\/td>\n<td>85.143.202.82<\/td>\n<td>RU<\/td>\n<td>6\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>rfisoty.com<\/td>\n<td>85.143.202.82<\/td>\n<td>RU<\/td>\n<td>6\/7\/2018<\/td>\n<\/tr>\n<tr>\n<td>borrespons.com<\/td>\n<td>212.83.61.213<\/td>\n<td>DE<\/td>\n<td>6\/20\/2018<\/td>\n<\/tr>\n<tr>\n<td>manismay.com<\/td>\n<td>212.83.61.213<\/td>\n<td>DE<\/td>\n<td>6\/20\/2018<\/td>\n<\/tr>\n<tr>\n<td>rfisoty.com<\/td>\n<td>212.83.61.213<\/td>\n<td>DE<\/td>\n<td>6\/20\/2018<\/td>\n<\/tr>\n<tr>\n<td>lumpyve.com<\/td>\n<td>212.83.61.213<\/td>\n<td>DE<\/td>\n<td>6\/20\/2018<\/td>\n<\/tr>\n<tr>\n<td>phonetarif.com<\/td>\n<td>212.83.61.213<\/td>\n<td>DE<\/td>\n<td>6\/20\/2018<\/td>\n<\/tr>\n<\/table>\n<p>  <\/div>\n<\/div>\n<p>  \u0418\u0437\u0443\u0447\u0438\u0432 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043c\u043e\u0436\u043d\u043e \u0440\u0435\u0437\u044e\u043c\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u0447\u0442\u043e \u0432\u0441\u0435 \u0434\u043e\u043c\u0435\u043d\u044b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043d\u0430 \u043f\u043e\u0447\u0442\u0443, \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u044b. \u041c\u0435\u0441\u0442\u043e\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0443\u044e\u0449\u0435\u0433\u043e \u043b\u0438\u0446\u0430 \u2014 \u0421\u0428\u0410, \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043a\u0430\u043a \u0441\u0430\u043c\u0438 \u0434\u043e\u043c\u0435\u043d\u044b \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u044b \u0432 \u0420\u043e\u0441\u0441\u0438\u0438, \u0423\u043a\u0440\u0430\u0438\u043d\u0435, \u041d\u0438\u0434\u0435\u0440\u043b\u0430\u043d\u0434\u0430\u0445, \u041a\u0438\u0442\u0430\u0435, \u041a\u0430\u0437\u0430\u0445\u0441\u0442\u0430\u043d\u0435 \u0438 \u0413\u0435\u0440\u043c\u0430\u043d\u0438\u0438 (\u0432 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u0442\u0441\u044f \u0442\u0435\u043d\u0434\u0435\u043d\u0446\u0438\u044f \u00ab\u043f\u0435\u0440\u0435\u0435\u0437\u0434\u0430\u00bb \u0434\u043e\u043c\u0435\u043d\u043e\u0432 \u043d\u0430 \u0423\u043a\u0440\u0430\u0438\u043d\u0443 \u0438 \u0432 \u0413\u0435\u0440\u043c\u0430\u043d\u0438\u044e). \u0412\u0441\u0435 \u0434\u043e\u043c\u0435\u043d\u044b \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0437\u043e\u043d\u0430\u0445 \u00abcom\u00bb \u0438 \u00abnet\u00bb. \u0410\u043b\u0444\u0430\u0432\u0438\u0442, \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0434\u043e\u043c\u0435\u043d, \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 \u0432 \u0441\u0435\u0431\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0431\u0443\u043a\u0432\u044b \u0430\u043d\u0433\u043b\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430. \u041d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 CnC \u043f\u043e\u0434\u043d\u044f\u0442 Web-\u0441\u0435\u0440\u0432\u0435\u0440 OpenResty.<\/p>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>  \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u00ab\u0434\u0440\u0435\u0432\u043d\u043e\u0441\u0442\u044c\u00bb \u0437\u0435\u0432\u0441\u043e\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0442\u0440\u043e\u044f\u043d\u043e\u0432, \u0438\u0445 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u043d\u0435 \u043f\u0430\u0434\u0430\u0435\u0442. \u041a\u0430\u043a \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u2013 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0435 IcedID \u043d\u0430 \u0430\u0440\u0435\u043d\u0435 \u0442\u0440\u043e\u044f\u043d\u043e\u0432, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0431\u0430\u043d\u043a\u043e\u0432. \u0425\u043e\u0442\u044f \u0431\u0430\u043d\u043a\u0435\u0440 \u0443\u0436\u0435 \u043d\u0430 \u0441\u0442\u0430\u0440\u0442\u0435 \u0438\u043c\u0435\u043b \u043e\u0431\u0448\u0438\u0440\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439, \u043e\u043d \u0432\u0441\u0435 \u0435\u0449\u0435 \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u0441\u0442\u0432\u0443\u0435\u0442\u0441\u044f: \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u044e\u0442\u0441\u044f \u043c\u0435\u0442\u043e\u0434\u044b \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0438, \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u0441\u043f\u0438\u0441\u043a\u0430 \u0446\u0435\u043b\u0435\u0439. \u0412\u0435\u0440\u043e\u044f\u0442\u043d\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043e\u0431\u0437\u0430\u0432\u0435\u0434\u0435\u0442\u0441\u044f \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430\u043c\u0438 \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0443, \u0430 CnC-\u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0430\u0447\u043d\u0435\u0442 \u0438\u0437\u0431\u0438\u0440\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u0434\u0430\u0432\u0430\u0442\u044c Web-\u0438\u043d\u0436\u0435\u043a\u0442\u044b \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u043c. \u041f\u043e\u043a\u0430 \u0436\u0435 \u0442\u0440\u043e\u044f\u043d \u043d\u0435 \u0443\u0434\u043e\u0432\u043b\u0435\u0442\u0432\u043e\u0440\u044f\u044e\u0442 \u0432\u0441\u0435\u043c \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0441\u0432\u043e\u0438\u0445 \u00ab\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439\u00bb, \u043e \u0447\u0435\u043c \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0432 \u0434\u0435\u043a\u0430\u0431\u0440\u0435 \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e \u0433\u043e\u0434\u0430 TrickBot\u2019\u0430 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u043e \u0441 IcedID.<\/div>\n<p>        <script class=\"js-mediator-script\">!function(e){function t(t,n){if(!(n in e)){for(var r,a=e.document,i=a.scripts,o=i.length;o--;)if(-1!==i[o].src.indexOf(t)){r=i[o];break}if(!r){r=a.createElement(\"script\"),r.type=\"text\/javascript\",r.async=!0,r.defer=!0,r.src=t,r.charset=\"UTF-8\";var d=function(){var e=a.getElementsByTagName(\"script\")[0];e.parentNode.insertBefore(r,e)};\"[object Opera]\"==e.opera?a.addEventListener?a.addEventListener(\"DOMContentLoaded\",d,!1):e.attachEvent(\"onload\",d):d()}}}t(\"\/\/mediator.mail.ru\/script\/2820404\/\",\"_mediator\")}(window);<\/script>     <br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/post\/418189\/\"> https:\/\/habr.com\/post\/418189\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\n<div data-io-article-url=\"https:\/\/habr.com\/company\/group-ib\/blog\/418189\/\" class=\"post__text post__text-html js-mediator-article\"><b>\u042d\u043a\u0441\u043f\u0435\u0440\u0442\u044b Group-IB \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0442\u0440\u043e\u044f\u043d, \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0431\u0430\u043d\u043a\u043e\u0432 \u0421\u0428\u0410, \u0438 \u0432\u044b\u043b\u043e\u0436\u0438\u043b\u0438 \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0433\u043b\u0443\u0431\u043e\u043a\u043e\u0433\u043e \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 Python-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\u043c\u0438 \u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043f\u043e CnC-\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c <br \/>  <\/b><\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/b0\/4i\/rd\/b04ird-g1xlcbwcd27zrl3rzg90.png\" alt=\"image\"><\/div>\n<p>  \u0412 \u043d\u043e\u044f\u0431\u0440\u0435 2017 \u0433\u043e\u0434\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 IBM X-Force \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u043e\u0442\u0447\u0435\u0442 \u043f\u043e \u043d\u043e\u0432\u043e\u043c\u0443 \u0442\u0440\u043e\u044f\u043d\u0443 \u2014 <a href=\"https:\/\/securityintelligence.com\/new-banking-trojan-icedid-discovered-by-ibm-x-force-research\/\">IcedID<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0446\u0435\u043b\u0435\u043d \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0430\u043c\u0435\u0440\u0438\u043a\u0430\u043d\u0441\u043a\u0438\u0445 \u0431\u0430\u043d\u043a\u043e\u0432. \u0411\u043e\u0442 \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u043c\u043d\u043e\u0433\u0438\u043c\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c\u0438 \u043f\u0435\u0447\u0430\u043b\u044c\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e Zeus, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435: \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043c\u043e\u0434\u0443\u043b\u0438, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u0430\u0442\u0430\u043a\u0443 man-in-the-browser (MITB). \u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043f\u043e \u0441\u0432\u043e\u0438\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c \u043d\u043e\u0432\u044b\u0439 \u0442\u0440\u043e\u044f\u043d \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f \u043f\u043e\u0445\u043e\u0436 \u043d\u0430 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0435 \u0431\u0430\u043d\u043a\u0435\u0440\u044b \u2014 Trickbot, GOZI, Dridex, \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0431\u0430\u043d\u043a\u043e\u0432, IcedID \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043d\u0435\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u043e\u0440\u043c\u0430\u0442 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u0414\u0440\u0443\u0433\u043e\u0439 \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u044d\u0442\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0440\u0430\u0437\u0432\u0435\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043f\u0440\u044f\u043c\u043e \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0438\u0306 \u043c\u0430\u0448\u0438\u043d\u0435 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438 MITB.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-288478","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/288478","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=288478"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/288478\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=288478"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=288478"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=288478"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}