{"id":302282,"date":"2020-04-22T09:00:25","date_gmt":"2020-04-22T09:00:25","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=302282"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=302282","title":{"rendered":"\u041f\u0440\u043e\u0436\u0435\u043a\u0442\u043e\u0440 \u0443\u0433\u0440\u043e\u0437: \u0424\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0432\u0438\u0440\u0443\u0441 Neshta"},"content":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/otus\/blog\/498440\/\"><i><b>\u0421\u0430\u043b\u044e\u0442, \u0445\u0430\u0431\u0440\u043e\u0432\u0447\u0430\u043d\u0435! \u0412 \u043f\u0440\u0435\u0434\u0434\u0432\u0435\u0440\u0438\u0438 \u0441\u0442\u0430\u0440\u0442\u0430 \u043a\u0443\u0440\u0441\u0430 <a href=\"https:\/\/otus.pw\/INUh\/\">\u00ab\u0420\u0435\u0432\u0435\u0440\u0441-\u0438\u043d\u0436\u0438\u043d\u0438\u0440\u0438\u043d\u0433 2.0\u00bb<\/a> \u0445\u043e\u0442\u0438\u043c \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0432\u0430\u043c\u0438 \u0435\u0449\u0435 \u043e\u0434\u043d\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u043c \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u043e\u043c.<\/b><\/i><\/p>\n<hr>\n<p>  <\/p>\n<h3>\u041a\u0440\u0430\u0442\u043a\u0438\u0439 \u043e\u0431\u0437\u043e\u0440<\/h3>\n<p>  Neshta \u2014 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u0440\u044b\u0439 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0432\u0438\u0440\u0443\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u043e \u0441\u0438\u0445 \u043f\u043e\u0440 \u0448\u0438\u0440\u043e\u043a\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d. \u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u043e\u043d \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0432 2003 \u0433\u043e\u0434\u0443 \u0438 \u0440\u0430\u043d\u0435\u0435 \u0430\u0441\u0441\u043e\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u043c \u041f\u041e BlackPOS. \u041e\u043d \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b. \u0412 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u044d\u0442\u0430 \u0443\u0433\u0440\u043e\u0437\u0430 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u0441\u0440\u0435\u0434\u0443 \u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043d\u0435\u043f\u0440\u0435\u0434\u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u043b\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0440\u0443\u0433\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c. \u041e\u043d \u0437\u0430\u0440\u0430\u0436\u0430\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b Windows \u0438 \u043c\u043e\u0436\u0435\u0442 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u0440\u0435\u0441\u0443\u0440\u0441\u044b \u0438 \u0441\u044a\u0435\u043c\u043d\u044b\u0435 \u043d\u043e\u0441\u0438\u0442\u0435\u043b\u0438.<a name=\"habracut\"><\/a><\/p>\n<p>  \u0412 2018 \u0433\u043e\u0434\u0443 Neshta \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0449\u0443\u044e \u043f\u0440\u043e\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u043e\u0441\u0442\u044c, \u043d\u043e \u0442\u0430\u043a\u0436\u0435 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0430 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u044b\u0439, \u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0439 \u0438 \u044d\u043d\u0435\u0440\u0433\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u0435\u043a\u0442\u043e\u0440\u044b. \u0412 \u0446\u0435\u043b\u044f\u0445 \u0443\u0441\u0442\u043e\u0439\u0447\u0438\u0432\u043e\u0441\u0442\u0438 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 Neshta \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0441\u0435\u0431\u044f \u0432 svchost.com, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0437\u043c\u0435\u043d\u044f\u0435\u0442 \u0440\u0435\u0435\u0441\u0442\u0440, \u0447\u0442\u043e\u0431\u044b \u043e\u043d \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437 \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 .exe \u0444\u0430\u0439\u043b\u0430. \u0418\u0437\u0432\u0435\u0441\u0442\u043d\u043e, \u0447\u0442\u043e \u044d\u0442\u0430 \u0443\u0433\u0440\u043e\u0437\u0430 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 POST \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u044d\u043a\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438. \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b Neshta, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0432 \u043d\u0430\u0448\u0435\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u0435, \u043d\u0435 \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0438\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445.<\/p>\n<h3>\u0422\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437<\/h3>\n<p>  \u0412 \u044d\u0442\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u043f\u0442\u043e\u043c\u044b \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f Neshta. \u041c\u044b \u0432\u0437\u044f\u043b\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u044b \u0432\u0438\u0440\u0443\u0441\u0430 \u0437\u0430\u043a\u0430\u0447\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 VirusTotal \u0432 2007, 2008 \u0438 2019.<\/p>\n<p>  \u041c\u044b \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0444\u0430\u0439\u043b\u044b \u0441\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c\u0438 SHA-256 \u0445\u044d\u0448\u0430\u043c\u0438:<\/p>\n<ul>\n<li>29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a<\/li>\n<li>980bac6c9afe8efc9c6fe459a5f77213b0d8524eb00de82437288eb96138b9a2<\/li>\n<li>539452719c057f59238e123c80a0a10a0b577c4d8af7a5447903955e6cf7aa3d<\/li>\n<li>a4d0865565180988c3d9dbf5ce35b7c17bac6458ef234cfed82b4664116851f2<\/li>\n<li>46200c11811058e6d1173a2279213d0b7ccde611590e427b3b28c0f684192d00<\/li>\n<li>c965f9503353ecd6971466d32c1ad2083a5475ce64aadc0b99ac13e2d2c31b75<\/li>\n<\/ul>\n<h3>\u0421\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u0430<\/h3>\n<p>  \u041a\u043e\u0434 Neshta \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Borland Delphi 4.0. \u0420\u0430\u0437\u043c\u0435\u0440 \u0444\u0430\u0439\u043b\u0430 \u043e\u0431\u044b\u0447\u043d\u043e \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 41,472 \u0431\u0430\u0439\u0442\u0430.<\/p>\n<p>  \u041a\u0430\u043a \u0438 \u043b\u044e\u0431\u043e\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b Delphi, Neshta \u0438\u043c\u0435\u0435\u0442 \u0447\u0435\u0442\u044b\u0440\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0445 (DATA, BSS, .idata \u0438 .tls) \u0438 \u0442\u0440\u0438 \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0435\u043c\u044b\u0445 \u0441\u0435\u043a\u0446\u0438\u0438 (.rdata, .reloc \u0438 .rsrc):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ba\/hw\/dv\/bahwdvmmkawtkraqe7nqrfza54w.jpeg\"><br \/>  <i>\u0420\u0438\u0441\u0443\u043d\u043e\u043a 1. \u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0445\u0435\u0434\u0435\u0440\u043e\u0432 \u0441\u0435\u043a\u0446\u0438\u0439.<\/i><\/p>\n<p>  \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u043a\u043e\u0434 Neshta \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 \u043b\u044e\u0431\u043e\u043f\u044b\u0442\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u2014 \u0441\u043c. \u0440\u0438\u0441\u0443\u043d\u043e\u043a 2 \u043d\u0438\u0436\u0435:<\/p>\n<blockquote><p>\u201cDelphi-the best. F*** off all the rest. Neshta 1.0 Made in Belarus. \u041f\u0440\u044b\u0432i\u0442\u0430\u043d\u043d\u0435 \u0443\u0441i\u043c ~\u0446i\u043a\u0430\u0432\u044b\u043c~ \u0431\u0435\u043b\u0430\u0440\u0443\u0441_\u043ai\u043c \u0434\u0437\u044f\u0443\u0447\u0430\u0442\u0430\u043c. \u0410\u043b\u044f\u043a\u0441\u0430\u043d\u0434\u0440 \u0420\u044b\u0433\u043e\u0440\u0430\u0432i\u0447, \u0432\u0430\u043c \u0442\u0430\u043a\u0441\u0430\u043c\u0430 \ud83d\ude42 \u0412\u043e\u0441\u0435\u043d\u044c- \u043a\u0435\u043f\u0441\u043a\u0430\u044f \u043f\u0430\u0440\u0430\u2026 \u0410\u043bi\u0432\u0430\u0440\u044b\u044f \u2014 \u043b\u0435\u043f\u0448\u0430\u0435 \u043fi\u0432\u0430! Best regards 2 Tommy Salo. [Nov-2005] yours [Dziadulja Apanas]\u201d<br \/>  <i>(\u00abDelphi \u2014 \u043b\u0443\u0447\u0448\u0438\u0439. \u041e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0438\u0434\u0443\u0442 \u043d\u0430***. Neshta 1.0 \u0421\u0434\u0435\u043b\u0430\u043d\u043e \u0432 \u0411\u0435\u043b\u0430\u0440\u0443\u0441\u0438. \u041f\u0440\u0438\u0432\u0435\u0442 \u0432\u0441\u0435\u043c ~ \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u043c ~ \u0431\u0435\u043b\u043e\u0440\u0443\u0441_\u043a\u0438\u043c \u0434\u0435\u0432\u0447\u043e\u043d\u043a\u0430\u043c. \u0410\u043b\u044f\u043a\u0441\u0430\u043d\u0434\u0440 \u0413\u0440\u0438\u0433\u043e\u0440\u044c\u0435\u0432\u0438\u0447, \u0432\u0430\u043c \u0442\u043e\u0436\u0435 \ud83d\ude42 \u041e\u0441\u0435\u043d\u044c \u2014 \u043f\u043b\u043e\u0445\u0430\u044f \u043f\u0430\u0440\u0430\u2026 \u0410\u043b\u0438\u0432\u0430\u0440\u0438\u044f \u2014 \u043b\u0443\u0447\u0448\u0435\u0435 \u043f\u0438\u0432\u043e! \u0421 \u043d\u0430\u0438\u043b\u0443\u0447\u0448\u0438\u043c\u0438 \u043f\u043e\u0436\u0435\u043b\u0430\u043d\u0438\u044f\u043c\u0438 \u0434\u043b\u044f \u0422\u043e\u043c\u043c\u0438 \u0421\u0430\u043b\u043e. [\u041d\u043e\u044f\u0431\u0440\u044c-2005] \u0432\u0430\u0448 [\u0414\u0435\u0434\u0443\u043b\u044f \u0410\u043f\u0430\u043d\u0430\u0441])\u00bb<\/i><\/p><\/blockquote>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/2y\/kb\/nk\/2ykbnkxk71ap_flvne4kbodpdau.jpeg\"><br \/>  <i>\u0420\u0438\u0441\u0443\u043d\u043e\u043a 2: \u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0432 \u0442\u0435\u043b\u0435 \u0432\u0438\u0440\u0443\u0441\u0430<\/i><\/p>\n<h3>\u0417\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432<\/h3>\n<p>  \u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e Neshta \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0437\u0430\u0440\u0430\u0436\u0430\u0442\u0435\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0449\u0435\u0442 .exe \u0444\u0430\u0439\u043b\u044b \u043d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0434\u0438\u0441\u043a\u0430\u0445. Neshta \u043d\u0430\u0446\u0435\u043b\u0435\u043d \u043d\u0430 \u00ab.exe\u00bb \u0444\u0430\u0439\u043b\u044b, \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u044f \u043b\u0438\u0448\u044c \u0442\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u0432 \u0441\u0432\u043e\u0435\u043c \u043a\u043e\u0440\u043e\u0442\u043a\u043e\u043c \u043f\u0443\u0442\u0438 \u043b\u044e\u0431\u0443\u044e \u0438\u0437 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0440\u043e\u043a:<\/p>\n<ul>\n<li>%Temp%<\/li>\n<li>%SystemRoot% (usually C:\\Windows)<\/li>\n<li>\\PROGRA~1\\<\/li>\n<\/ul>\n<p>  \u0421\u0432\u043e\u0434\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043e\u043f\u0438\u0441\u0430\u043d\u0430 \u043d\u0438\u0436\u0435 \u0438 \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 3.<\/p>\n<p>  Neshta:<\/p>\n<ol>\n<li>\u0421\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 41,472 (0xA200) \u0431\u0430\u0439\u0442\u0430 \u0441 \u043d\u0430\u0447\u0430\u043b\u0430 \u0446\u0435\u043b\u0435\u0432\u043e\u0433\u043e \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430.<\/li>\n<li>\u0421\u043e\u0437\u0434\u0430\u0435\u0442 \u0434\u0432\u0430 \u0440\u0430\u0437\u0434\u0435\u043b\u0430 \u0438 \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442 \u043f\u0430\u043c\u044f\u0442\u044c \u0441 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u043e\u043c PAGE_READWRITE \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0438 \u043a\u043e\u043d\u0446\u0435 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430.<\/li>\n<li>\u041f\u043e\u043c\u0435\u0449\u0430\u0435\u0442 \u0441\u0432\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0438 \u043a\u043e\u0434 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u0417\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 41,472 \u0431\u0430\u0439\u0442\u0430.<\/li>\n<li>\u0417\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0438 \u043a\u043e\u0434 \u0432 \u0444\u0430\u0439\u043b, \u0440\u0430\u0437\u043c\u0435\u0440 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 41,472 \u0431\u0430\u0439\u0442\u0430.<\/li>\n<\/ol>\n<p>  \u042d\u0442\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/cq\/ti\/0p\/cqti0pu9yx7cgae1unwrkbg5zcm.jpeg\"><br \/>  <i>\u0420\u0438\u0441\u0443\u043d\u043e\u043a 3: \u0417\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u0430<\/i><\/p>\n<p>  \u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0438\u0441\u0445\u043e\u0434\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043f\u043e\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 <code><code>%Temp%\\3582-490\\&lt;filename&gt;<\/code><\/code> \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WinExec API.<\/p>\n<h3>\u0423\u0441\u0442\u043e\u0439\u0447\u0438\u0432\u043e\u0441\u0442\u044c<\/h3>\n<p>  Neshta \u043f\u043e\u043c\u0435\u0449\u0430\u0435\u0442 \u0441\u0435\u0431\u044f \u0432 <code>C:\\Windows\\svchost.com<\/code> \u0438 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0441\u0435\u0431\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b:<\/p>\n<p>  \u041a\u043b\u044e\u0447 \u0440\u0435\u0435\u0441\u0442\u0440\u0430: <i>HKLM\\SOFTWARE\\Classes\\exefile\\shell\\open\\command<\/i><br \/>  \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430: <i>(Default)<\/i><br \/>  \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435: <code>%SystemRoot%\\svchost.com &quot;%1&quot; %*<\/code><br \/>  \u042d\u0442\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u0440\u0435\u0434\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c Neshta \u043f\u0440\u0438 \u043a\u0430\u0436\u0434\u043e\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0435 .exe-\u0444\u0430\u0439\u043b\u0430. &quot;%1&quot; %* \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b .exe. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, Neshta \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043c\u044c\u044e\u0442\u0435\u043a\u0441 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430: <\/p>\n<p>  <code>MutexPolesskayaGlush*.*&lt;0x90&gt;svchost.com&lt;0x90&gt;exefile\\shell\\open\\command\u2039\u00c0 &quot;%1&quot; %*\u0153\u2018@<\/code><\/p>\n<p>  \u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u2014 \u00abdirectx.sys\u00bb, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 %SystemRoot%. \u042d\u0442\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b (\u0430 \u043d\u0435 \u0434\u0440\u0430\u0439\u0432\u0435\u0440 \u044f\u0434\u0440\u0430), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043f\u0443\u0442\u044c \u043a \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u043c\u0443 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430. \u041e\u043d \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437, \u043a\u043e\u0433\u0434\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b.<\/p>\n<h3>BlackBerry Cylance \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 Neshta<\/h3>\n<p>  BlackBerry Cylance \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0430\u0433\u0435\u043d\u0442\u043e\u0432 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u0438\u0441\u043a\u0443\u0441\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u043d\u0442\u0435\u043b\u043b\u0435\u043a\u0442\u0430, \u043e\u0431\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u0443\u0433\u0440\u043e\u0437 \u043d\u0430 \u043c\u0438\u043b\u043b\u0438\u043e\u043d\u0430\u0445 \u043a\u0430\u043a \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u044b\u0445, \u0442\u0430\u043a \u0438 \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432. \u041d\u0430\u0448\u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0430\u0433\u0435\u043d\u0442\u044b \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u044e\u0442 Neshta, \u043e\u0441\u043d\u043e\u0432\u044b\u0432\u0430\u044f\u0441\u044c \u043d\u0430 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u0435 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u043e\u0432 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u043c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438, \u0432\u043c\u0435\u0441\u0442\u043e \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u0430. BlackBerry Cylance, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u0442 <a href=\"https:\/\/threatvector.cylance.com\/en_us\/home\/cylance-vs-future-threats-the-predictive-advantage.html\">\u043f\u0440\u043e\u0433\u043d\u043e\u0437\u043d\u043e\u0435 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u043e<\/a> \u043f\u0435\u0440\u0435\u0434 \u0443\u0433\u0440\u043e\u0437\u0430\u043c\u0438 \u043d\u0443\u043b\u0435\u0432\u043e\u0433\u043e \u0434\u043d\u044f, \u043e\u0431\u0443\u0447\u0435\u043d\u0430 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u0430 \u043f\u0440\u043e\u0442\u0438\u0432 \u043d\u043e\u0432\u044b\u0445 \u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a. \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043f\u043e\u0441\u0435\u0442\u0438\u0442\u0435 <a href=\"https:\/\/www.cylance.com\/\">https:\/\/www.cylance.com<\/a>.<\/p>\n<h2>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435<\/h2>\n<p>  <\/p>\n<h4>\u041f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 (IOCs)<\/h4>\n<p>  <\/p>\n<ul>\n<li>\u0425\u044d\u0448\u0438<\/li>\n<\/ul>\n<p>  o 29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a<br \/>  o 980bac6c9afe8efc9c6fe459a5f77213b0d8524eb00de82437288eb96138b9a2<br \/>  o 539452719c057f59238e123c80a0a10a0b577c4d8af7a5447903955e6cf7aa3d<br \/>  o a4d0865565180988c3d9dbf5ce35b7c17bac6458ef234cfed82b4664116851f2<br \/>  o 46200c11811058e6d1173a2279213d0b7ccde611590e427b3b28c0f684192d00<br \/>  o c965f9503353ecd6971466d32c1ad2083a5475ce64aadc0b99ac13e2d2c31b75<\/p>\n<ul>\n<li>\u0418\u043c\u0435\u043d\u0430 \u0444\u0430\u0439\u043b\u043e\u0432<\/li>\n<\/ul>\n<p>  o %SystemRoot%\\svchost.com<br \/>  o %SystemRoot%\\directx.sys<br \/>  o %Temp%\\tmp5023.tmp<\/p>\n<ul>\n<li>C2s\/IPs<\/li>\n<li>\u041c\u044c\u044e\u0442\u0435\u043a\u0441\u044b<\/li>\n<\/ul>\n<p>  o MutexPolesskayaGlush*.*&lt;0x90&gt;svchost.com&lt;0x90&gt;exefile\\shell\\open\\command\u2039\u00c0 &quot;%1&quot; %*\u0153\u2018@<\/p>\n<ul>\n<li>\u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438<\/li>\n<\/ul>\n<p>  o Delphi-the best. F**k off all the rest. Neshta 1.0 Made in Belarus. \u041f\u0440\u044b\u0432i\u0442\u0430\u043d\u043d\u0435 \u0443\u0441i\u043c ~\u0446i\u043a\u0430\u0432\u044b\u043c~ \u0431\u0435\u043b\u0430\u0440\u0443\u0441_\u043ai\u043c \u0434\u0437\u044f\u0443\u0447\u0430\u0442\u0430\u043c. \u0410\u043b\u044f\u043a\u0441\u0430\u043d\u0434\u0440 \u0420\u044b\u0433\u043e\u0440\u0430\u0432i\u0447, \u0432\u0430\u043c \u0442\u0430\u043a\u0441\u0430\u043c\u0430 \ud83d\ude42 \u0412\u043e\u0441\u0435\u043d\u044c- \u043a\u0435\u043f\u0441\u043a\u0430\u044f \u043f\u0430\u0440\u0430\u2026 \u0410\u043bi\u0432\u0430\u0440\u044b\u044f \u2014 \u043b\u0435\u043f\u0448\u0430\u0435 \u043fi\u0432\u0430! Best regards 2 Tommy Salo. [Nov-2005] yours [Dziadulja Apanas]<\/p>\n<div class=\"scrollable-table\">\n<table>\n<tr>\n<td>sha256<\/td>\n<td>29fd307edb4cfa4400a586d38116a90ce91233a3fc277de1cab7890e681c409a<\/td>\n<\/tr>\n<tr>\n<td>\u0442\u0438\u043f<\/td>\n<td>pe32 executable (gui) intel 80386, for ms windows<\/td>\n<\/tr>\n<tr>\n<td>\u0440\u0430\u0437\u043c\u0435\u0440<\/td>\n<td>41472<\/td>\n<\/tr>\n<tr>\n<td>timestamp<\/td>\n<td>1992:06:20 07:22:17+09:00<\/td>\n<\/tr>\n<tr>\n<td>itw<\/td>\n<td>svchost[.]com<\/td>\n<\/tr>\n<\/table>\n<\/div>\n<hr>\n<p>  <a href=\"https:\/\/otus.pw\/INUh\/\">\u0423\u0437\u043d\u0430\u0442\u044c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043e \u043a\u0443\u0440\u0441\u0435.<\/a><\/p>\n<hr>\n<\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/company\/otus\/blog\/498440\/\"> https:\/\/habr.com\/ru\/company\/otus\/blog\/498440\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/otus\/blog\/498440\/\"><i><b>\u0421\u0430\u043b\u044e\u0442, \u0445\u0430\u0431\u0440\u043e\u0432\u0447\u0430\u043d\u0435! \u0412 \u043f\u0440\u0435\u0434\u0434\u0432\u0435\u0440\u0438\u0438 \u0441\u0442\u0430\u0440\u0442\u0430 \u043a\u0443\u0440\u0441\u0430 <a href=\"https:\/\/otus.pw\/INUh\/\">\u00ab\u0420\u0435\u0432\u0435\u0440\u0441-\u0438\u043d\u0436\u0438\u043d\u0438\u0440\u0438\u043d\u0433 2.0\u00bb<\/a> \u0445\u043e\u0442\u0438\u043c \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0432\u0430\u043c\u0438 \u0435\u0449\u0435 \u043e\u0434\u043d\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u043c \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u043e\u043c.<\/b><\/i><\/p>\n<hr>\n<p>  <\/p>\n<h3>\u041a\u0440\u0430\u0442\u043a\u0438\u0439 \u043e\u0431\u0437\u043e\u0440<\/h3>\n<p>  Neshta \u2014 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u0440\u044b\u0439 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0432\u0438\u0440\u0443\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u043e \u0441\u0438\u0445 \u043f\u043e\u0440 \u0448\u0438\u0440\u043e\u043a\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d. \u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u043e\u043d \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0432 2003 \u0433\u043e\u0434\u0443 \u0438 \u0440\u0430\u043d\u0435\u0435 \u0430\u0441\u0441\u043e\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u043c \u041f\u041e BlackPOS. \u041e\u043d \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b. \u0412 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u044d\u0442\u0430 \u0443\u0433\u0440\u043e\u0437\u0430 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u0441\u0440\u0435\u0434\u0443 \u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e\u043c \u043d\u0435\u043f\u0440\u0435\u0434\u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u043b\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0440\u0443\u0433\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c. \u041e\u043d \u0437\u0430\u0440\u0430\u0436\u0430\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b Windows \u0438 \u043c\u043e\u0436\u0435\u0442 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u0440\u0435\u0441\u0443\u0440\u0441\u044b \u0438 \u0441\u044a\u0435\u043c\u043d\u044b\u0435 \u043d\u043e\u0441\u0438\u0442\u0435\u043b\u0438.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-302282","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/302282","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=302282"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/302282\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=302282"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=302282"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=302282"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}