{"id":305791,"date":"2020-06-23T15:00:23","date_gmt":"2020-06-23T15:00:23","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=305791"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=305791","title":{"rendered":"\u0414\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0435\u0445\u043d\u0438\u043a \u043e\u0431\u0445\u043e\u0434\u0430 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446 \u0438 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 PT Sandbox"},"content":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/pt\/blog\/507912\/\">\u041a\u043e\u0433\u0434\u0430 \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u0440\u0435\u0447\u044c \u043e \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430\u0445, \u0432\u0441\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u0435\u0431\u0435 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u0443\u044e \u043c\u0430\u0448\u0438\u043d\u0443, \u043d\u0430\u043f\u0438\u0447\u043a\u0430\u043d\u043d\u0443\u044e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u041f\u041e. \u0418 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c. \u0421\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0432\u043e\u043f\u0440\u043e\u0441 \u2014 \u043a\u0430\u043a \u0436\u0435 \u0431\u044b\u0442\u044c, \u0435\u0441\u043b\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442 \u043d\u0435\u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u0432\u0435\u0440\u0448\u0438\u0442 \u0441\u0432\u043e\u044e \u0440\u0430\u0431\u043e\u0442\u0443? \u0417\u0434\u0435\u0441\u044c \u043c\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0441\u0445\u043e\u0434\u044f\u0442\u0441\u044f: \u043a\u0442\u043e-\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442, \u0447\u0442\u043e \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0445\u043e\u0440\u043e\u0448\u0435\u043d\u044c\u043a\u043e \u043f\u043e\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0438\u0437\u043c\u0435\u043d\u0438\u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a \u0441\u0440\u0435\u0434\u044b (\u0445\u0430\u0440\u0434\u0435\u043d\u0438\u043d\u0433), \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u0430\u043b\u0432\u0430\u0440\u044c \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043a\u0430\u0442\u044c \u043f\u043e\u0434\u0432\u043e\u0445. \u0414\u0440\u0443\u0433\u0438\u0435 \u0441\u0447\u0438\u0442\u0430\u044e\u0442, \u0447\u0442\u043e \u044d\u0442\u0430 \u0438\u0433\u0440\u0430 \u043d\u0435 \u0441\u0442\u043e\u0438\u0442 \u0441\u0432\u0435\u0447. \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0441\u0430\u043c \u0444\u0430\u043a\u0442 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u043f\u0440\u043e\u0432\u0435\u0441\u0442\u0438 \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0443 \u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u043e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u2014 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043d\u0435\u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u043e \u0434\u043b\u044f \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u0441\u043e\u0444\u0442\u0430. \u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u0442\u0430\u043a\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043e\u0434\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u044b\u0439 \u0432\u044b\u0432\u043e\u0434 \u043e \u0437\u043b\u043e\u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u044b\u0445 \u0446\u0435\u043b\u044f\u0445 \u041f\u041e, \u043e\u0434\u043d\u0430\u043a\u043e \u0432 \u0441\u043e\u0432\u043e\u043a\u0443\u043f\u043d\u043e\u0441\u0442\u0438 \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430\u043c\u0438 \u043e\u043d\u043e \u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430.<a name=\"habracut\"><\/a><\/p>\n<p>  \u0412 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u0443\u0442\u0438\u043b\u0438\u0442 (<a href=\"https:\/\/github.com\/a0rtega\/pafish\">\u043e\u0434\u0438\u043d<\/a>, <a href=\"https:\/\/github.com\/LordNoteworthy\/al-khaser\">\u0432\u0442\u043e\u0440\u043e\u0439<\/a>), \u0441\u043e\u0447\u0435\u0442\u0430\u044e\u0449\u0438\u0435 \u0432 \u0441\u0435\u0431\u0435 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0445\u043e\u0440\u043e\u0448\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u0434\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446, \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438\u043b\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e (\u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432, \u0441\u043d\u0438\u0444\u0444\u0435\u0440\u043e\u0432, \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u043e\u0432). \u042d\u0442\u0438 \u0431\u0430\u0437\u044b \u0437\u043d\u0430\u043d\u0438\u0439 \u043f\u043e\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u043d\u0430\u0445\u043e\u0434\u043a\u0430\u043c\u0438 \u0441\u0430\u043c\u0438\u0445 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0449\u0443\u0442 \u043d\u043e\u0432\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b, \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u0430\u043c\u0438, \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u043c\u044b\u043c\u0438 \u043f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u0432. \u0414\u043b\u044f \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u043e\u0439 \u043c\u0430\u0441\u0441\u043e\u0432\u043e\u0439 \u043c\u0430\u043b\u0432\u0430\u0440\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d\u0430 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u043e \u0432\u0437\u044f\u0442\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b, \u0443\u043c\u0435\u043d\u0438\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043d\u0435\u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e, \u0432\u0435\u0434\u044c \u0448\u0430\u043d\u0441 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0432\u0441\u043a\u043e\u0440\u0435 \u043e\u043d\u043e \u043f\u043e\u043f\u0430\u0434\u0435\u0442 \u0432 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0438\u043b\u0438 \u043d\u0430 \u043c\u0430\u0448\u0438\u043d\u0443 \u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u043c \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u043c, \u043a\u0440\u0430\u0439\u043d\u0435 \u0432\u0435\u043b\u0438\u043a, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442, \u043d\u0443\u0436\u043d\u043e \u0443\u043c\u0435\u0442\u044c \u043d\u0435 \u0432\u044b\u0434\u0430\u0432\u0430\u0442\u044c \u0441\u0435\u0431\u044f \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u043b\u044c\u0448\u0435.<\/p>\n<p>  \u0421 \u0446\u0435\u043b\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u043c\u0438 \u0430\u0442\u0430\u043a\u0430\u043c\u0438 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f. \u041f\u0435\u0440\u0435\u0434 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u043c \u0442\u0430\u043a\u043e\u0439 \u0430\u0442\u0430\u043a\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442 \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0446\u0435\u043b\u0438, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442, \u043f\u043e\u0440\u043e\u0439 \u043f\u043e\u043d\u0438\u043c\u0430\u044e\u0442, \u0447\u0442\u043e \u043d\u0435\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0442\u0449\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u043e\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0441\u0440\u0435\u0434 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u043d\u0435 \u0432\u0441\u044f\u043a\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043c\u043e\u0433\u0443\u0442 \u0440\u0430\u0441\u0446\u0435\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u043a\u0430\u043a \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0435\u0441\u043b\u0438 \u0438\u043c \u043d\u0435 \u0441\u043e\u043f\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u0447\u0440\u0435\u0437\u043c\u0435\u0440\u043d\u044b\u0435 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u043c\u0430\u043b\u0432\u0430\u0440\u0438 \u0441\u0435\u0431\u044f \u043e\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u0438\u0442\u044c. \u0422\u0430\u043a\u0436\u0435 \u043d\u0435 \u0441\u0442\u043e\u0438\u0442 \u0437\u0430\u0431\u044b\u0432\u0430\u0442\u044c, \u0447\u0442\u043e \u0432 \u0440\u044f\u0434\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u041f\u041e) \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u2014 \u0442\u0438\u043f\u0438\u0447\u043d\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f.<\/p>\n<p>  \u0412 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u0438\u043c\u0435\u0440\u043e\u0432 \u0441\u043b\u043e\u0436\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0432 \u0442\u0430\u0440\u0433\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0430\u0442\u0430\u043a\u0430\u0445, \u0438 \u043f\u043e\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043c\u044b \u0432\u044b\u044f\u0432\u043b\u044f\u0435\u043c \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u043e\u0431\u043e\u0439\u0442\u0438 \u043d\u0435\u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0443\u044e \u0441\u0440\u0435\u0434\u0443 \u043f\u043e \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u043c <a href=\"https:\/\/attack.mitre.org\/techniques\/T1497\/\">T1497<\/a> \u0438 <a href=\"https:\/\/attack.mitre.org\/techniques\/T1063\/\">T1063<\/a> \u0438\u0437 MITRE ATT&amp;CK.<\/p>\n<h2>PlugX .NET Wrapper<\/h2>\n<p>  <\/p>\n<h4>MD5: ca8042a6d13751ef5c908cf5bc334600<\/h4>\n<p>  PlugX \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0437\u0432\u0430\u0442\u044c \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u043e\u043d \u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d \u0431\u043e\u043b\u0435\u0435 10 \u043b\u0435\u0442. \u0428\u0438\u0440\u043e\u043a\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 \u0438\u0437 \u0430\u0437\u0438\u0430\u0442\u0441\u043a\u0438\u0445 \u0441\u0442\u0440\u0430\u043d (\u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0438 APT-\u0433\u0440\u0443\u043f\u043f\u0430\u043c\u0438). \u0415\u0433\u043e \u043d\u043e\u0432\u044b\u0435 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0434\u043e \u0441\u0438\u0445 \u043f\u043e\u0440. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u043c\u044b <a href=\"https:\/\/unit42.paloaltonetworks.com\/unit42-paranoid-plugx\/\">\u0432\u0437\u044f\u043b\u0438<\/a> \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 PE-\u0444\u0430\u0439\u043b \u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 .NET. \u042d\u0442\u043e \u043b\u0438\u0448\u044c \u043e\u0431\u0435\u0440\u0442\u043a\u0430 \u0434\u043b\u044f PlugX. \u0414\u0440\u043e\u043f\u043f\u0435\u0440 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 vmtoolsd \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u0435\u0441\u043b\u0438 \u043d\u0435\u0442 \u2014 \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 \u0448\u0435\u043b\u043b-\u043a\u043e\u0434 \u0434\u043b\u044f \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0431\u044d\u043a\u0434\u043e\u0440\u0430.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/hg\/t5\/me\/hgt5meuohc03rdhvcj6dse2qffk.jpeg\"><\/p>\n<p>  <i>\u041f\u043e\u0438\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 vmtoolsd<\/i><\/p>\n<p>  \u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u043d\u0430\u0439\u0442\u0438 \u043d\u0443\u0436\u043d\u044b\u0439 \u043d\u0430\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u0441\u0435\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u0423\u0431\u0440\u0430\u0432 \u0437\u0430 \u0441\u043a\u043e\u0431\u043a\u0438 \u0441\u043e\u043f\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0432\u044b\u0437\u043e\u0432\u044b, \u043c\u044b \u0443\u043f\u0440\u0435\u043c\u0441\u044f \u0432 \u0432\u044b\u0437\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u044f\u0434\u0440\u0430 <b>NtQuerySystemInformation<\/b> (\u0437\u0434\u0435\u0441\u044c \u0438 \u0434\u0430\u043b\u0435\u0435 \u0431\u0443\u0434\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u0435\u0444\u0438\u043a\u0441 Nt \u0432\u043c\u0435\u0441\u0442\u043e Zw, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0431\u044b\u043b\u043e \u0440\u0430\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u0441 \u0432\u044b\u0440\u0435\u0437\u043a\u0430\u043c\u0438 \u0438\u0437 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u0439) \u0441\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u043f\u043e\u043b\u044f <b>SystemInformationClass<\/b>, \u0440\u0430\u0432\u043d\u044b\u043c <b>SystemProcessInformation<\/b>, <a href=\"https:\/\/www.geoffchappell.com\/studies\/windows\/km\/ntoskrnl\/api\/ex\/sysinfo\/process.htm\">\u0438\u043b\u0438<\/a> <b>0x5<\/b>:<\/p>\n<p>  <i>syscall Time=??????9276.891649,PID=2996,PPID=1368,TID=2848,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=<b>NtQuerySystemInformation<\/b>,Module=\u00abnt\u00bb,vCPU=1,CR3=0xC7FA000,Syscall=51,<b>SystemInformationClass=0x5<\/b>,SystemInformation=0x4C36A0,SystemInformationLength=0x20400,ReturnLength=0x8DEF0<\/i><\/p>\n<p>  \u041a \u0441\u043b\u043e\u0432\u0443, \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043c\u043e\u0436\u043d\u043e \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u043f\u0440\u043e\u0441\u0442\u043e\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435, \u043f\u0440\u043e\u0441\u043b\u0435\u0434\u0438\u0432 \u0432\u044b\u0437\u043e\u0432 \u0445\u043e\u0440\u043e\u0448\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 CreateToolhelp32Snapshot \u0438\u0437 kernel32:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/0s\/zo\/a3\/0szoa3nii5aigv3gpscz_oqlb0e.jpeg\"><\/p>\n<p>  <i>\u0412\u044b\u0437\u043e\u0432 NtQuerySystemInformation \u0438\u0437 ntdll \u0432 \u0445\u043e\u0434\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u0444\u0443\u043d\u043a\u0446\u0438\u0438 CreateToolhelp32Snapshot \u0438\u0437 kernel32<\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/dd\/qi\/qq\/ddqiqq-ifuexv3qxcr2-15jyzuc.jpeg\"><\/p>\n<p>  <i>\u0412\u044b\u0437\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u044f\u0434\u0440\u0430 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 NtQuerySystemInformation \u0438\u0437 ntdll<\/i><\/p>\n<p>  \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043c\u044b \u0442\u0440\u0430\u043a\u0442\u0443\u0435\u043c \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432 \u043a\u0430\u043a \u043f\u043e\u043f\u044b\u0442\u043a\u0443 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0441 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u043c <b>Read.Process.Name.Enumeration<\/b>.<\/p>\n<pre><code class=\"css\">{ \t&quot;detect.name&quot;: &quot;Read.Process.Name.Enumeration&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;2996&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????9276.891649&quot; }<\/code><\/pre>\n<p>  <\/p>\n<h2>PipeMon<\/h2>\n<p>  <\/p>\n<h4>SHA1: 93628ed36d3b70c685be8a3436bd489a<\/h4>\n<p>  \u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0441\u0432\u0435\u0436\u0438\u0439 \u043f\u0440\u0438\u043c\u0435\u0440. \u0414\u0432\u0430\u0434\u0446\u0430\u0442\u044c \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043c\u0430\u044f \u043d\u0430\u0448\u0438 \u043a\u043e\u043b\u043b\u0435\u0433\u0438 \u0438\u0437 ESET <a href=\"https:\/\/www.welivesecurity.com\/2020\/05\/21\/no-game-over-winnti-group\/\">\u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438<\/a> \u0441\u0442\u0430\u0442\u044c\u044e \u043e \u043d\u043e\u0432\u043e\u043c \u0431\u044d\u043a\u0434\u043e\u0440\u0435 PipeMon APT-\u0433\u0440\u0443\u043f\u043f\u044b Winnti, \u0445\u043e\u0440\u043e\u0448\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 <a href=\"https:\/\/securelist.com\/shadowpad-in-corporate-networks\/81432\/\">\u0443\u0441\u043f\u0435\u0448\u043d\u044b\u043c\u0438 \u0430\u0442\u0430\u043a\u0430\u043c\u0438<\/a> \u043d\u0430 <a href=\"https:\/\/securelist.com\/operation-shadowhammer-a-high-profile-supply-chain-attack\/90380\/\">\u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u043f\u043e\u0441\u0442\u0430\u0432\u043e\u043a<\/a> (supply chain) \u0438 <a href=\"https:\/\/www.fireeye.com\/blog\/threat-research\/2019\/08\/apt41-dual-espionage-and-cyber-crime-operation.html\">\u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f\u043c\u0438<\/a> \u043a\u0440\u0443\u043f\u043d\u044b\u0445 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439 \u0438\u0437 \u0438\u0433\u0440\u043e\u0432\u043e\u0439 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438. \u0412 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u043d\u043e\u0432\u043e\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u0430 \u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u0430\u043d\u0430\u043b\u043e\u0432 (named pipe) \u0434\u043b\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043c\u0435\u0436\u0434\u0443 \u0441\u0432\u043e\u0438\u043c\u0438 \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438. \u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0446\u0438\u0438, \u043f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u0432\u043d\u0435\u0434\u0440\u0438\u0442\u044c \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0433\u043b\u0430\u0432\u043d\u044b\u0439 \u0438 \u0441\u0442\u043e\u0440\u043e\u0436\u0435\u0432\u043e\u0439 (watchdog) \u043c\u043e\u0434\u0443\u043b\u0438, \u043e\u0434\u0438\u043d \u0438\u0437 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u043f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u0438\u0442 \u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 ESET (<b>ekrn.exe<\/b>) \u0438 Kaspersky (<b>avp.exe<\/b>). \u041b\u044e\u0431\u043e\u043f\u044b\u0442\u043d\u043e, \u0447\u0442\u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u0435\u0433\u0440\u0430\u0434\u043e\u0439: \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c, \u0432\u044b\u0431\u0438\u0440\u0430\u044f \u0434\u0440\u0443\u0433\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441-\u0436\u0435\u0440\u0442\u0432\u0443, \u043c\u0438\u043d\u0443\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0432 \u043f\u043e\u043f\u044b\u0442\u043a\u0435 \u0432\u043d\u0435\u0434\u0440\u0438\u0442\u044c\u0441\u044f \u0432 \u043e\u0445\u0440\u0430\u043d\u044f\u0435\u043c\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u041d\u0435 \u0441\u0430\u043c\u0430\u044f \u0441\u043b\u043e\u0436\u043d\u0430\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0430, \u043d\u043e \u043c\u044b \u043d\u0435 \u043c\u043e\u0433\u043b\u0438 \u043f\u0440\u043e\u0439\u0442\u0438 \u043c\u0438\u043c\u043e, \u0441 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b, \u043d\u0435\u0434\u0430\u0432\u043d\u0435\u0433\u043e, \u0441 \u0434\u0440\u0443\u0433\u043e\u0439 \u2014 \u0441\u043c\u0435\u043b\u043e\u0433\u043e \u0441\u043b\u0443\u0447\u0430\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 <b>Read.Process.Name.Enumeration<\/b>.<\/p>\n<h2>CozyDuke<\/h2>\n<p>  <\/p>\n<h4>MD5: 3d3363598f87c78826c859077606e514<\/h4>\n<p>  APT Cozy Bear (\u043e\u043d\u0430 \u0436\u0435 APT29, The Dukes, YTTRIUM) \u2014 \u043e\u0434\u043d\u0430 \u0438\u0437 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a, \u0443\u0447\u0430\u0441\u0442\u043d\u0438\u043a\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0433\u043e\u0432\u043e\u0440\u044f\u0442 \u043d\u0430 \u0440\u0443\u0441\u0441\u043a\u043e\u043c \u044f\u0437\u044b\u043a\u0435. \u041f\u0440\u043e \u0438\u0445 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u0441 2008 \u0433\u043e\u0434\u0430, \u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f <a href=\"https:\/\/www.welivesecurity.com\/2019\/10\/17\/operation-ghost-dukes-never-left\/\">Operation Ghost<\/a> \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0438\u043c\u0438 \u0412\u041f\u041e \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0432\u044b\u0441\u043e\u043a\u043e. \u0421\u0444\u043e\u043a\u0443\u0441\u0438\u0440\u0443\u0435\u043c\u0441\u044f \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u0444\u043b\u0430\u0433\u043c\u0430\u043d\u0441\u043a\u0438\u0445 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u0432 \u0433\u0440\u0443\u043f\u043f\u044b \u2014 CozyDuke. \u0412 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0432\u043e\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u0434\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043d\u043e\u0433\u043e \u041f\u041e (Kaspersky, Dr.Web, Avira) \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 WMI-\u0437\u0430\u043f\u0440\u043e\u0441\u044b <b>SELECT * FROM AntiVirusProduct<\/b> \u0438 <b>SELECT * FROM FireWallProduct<\/b>.<\/p>\n<p>  \u041a\u0440\u043e\u043c\u0435 \u044d\u0442\u043e\u0433\u043e, \u0431\u044d\u043a\u0434\u043e\u0440 \u0438\u0449\u0435\u0442 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u044b \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0444\u0442\u0430, \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u044f\u044f \u0432\u0435\u0442\u043a\u0443 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Uninstall. WMI-\u0432\u044b\u0437\u043e\u0432\u044b \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043f\u0443\u0442\u0435\u043c \u043d\u0430\u0431\u043b\u044e\u0434\u0435\u043d\u0438\u044f \u0437\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c COM-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 {4590F811-1D3A-11D0-891F-00AA004B2E24} (CLSID_WbemLocator) \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 API CoCreateInstanse \u0438 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440 \u043a\u043b\u0430\u0441\u0441\u0430 \u043e\u0431\u044a\u0435\u043a\u0442\u0430:<\/p>\n<p>  <i>wmimon Time=??????9653.749016,PID=556,PPID=1476,TID=1256,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=ConnectServer,Resource=\u00abroot\\SecurityCenter2\u00bb<\/p>\n<p>  wmimon Time=??????9653.865526,PID=556,PPID=1476,TID=1256,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=ExecQuery,Command=&quot;<b>SELECT * FROM AntiVirusProduct<\/b>&quot;<\/p>\n<p>  wmimon Time=??????9654.718217,PID=556,PPID=1476,TID=1256,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=ExecQuery,Command=&quot;<b>SELECT * FROM FireWallProduct<\/b>&quot;<\/i><\/p>\n<p>  \u041e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0443 \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432\u044b\u0437\u043e\u0432\u043e\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u044f\u0434\u0440\u0430 NtEnumerateKey:<\/p>\n<p>  <i>regmon Time=??????9653.942010,PID=556,PPID=1476,TID=1256,ProcessName=&quot;\\Device\\HarddiskVolume2\\******.exe&quot;,Method=NtEnumerateKey,Key=&quot;\\REGISTRY\\MACHINE\\SOFTWARE\\MICROSOFT\\WINDOWS\\CURRENTVERSION\\UNINSTALL&quot;<\/i><\/p>\n<p>  \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u044f <b>Create.Query.WMI.CheckVM<\/b> \u0438 <b>Read.Registry.Key.CheckInstalledSoft<\/b>:<\/p>\n<pre><code class=\"css\">{ \t&quot;detect.name&quot;: &quot;Create.Query.WMI.CheckVM&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;556&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????9653.865526&quot; } { \t&quot;detect.name&quot;: &quot; Read.Registry.Key.CheckInstalledSoft &quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;556&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????9653.942010&quot; }<\/code><\/pre>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/6t\/w1\/aj\/6tw1ajzujsnd30pcaixzetab6oi.jpeg\"><\/p>\n<p>  <i>\u041e\u043f\u0430\u0441\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 CozyDuke, \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0435 PT Sandbox<\/i><\/p>\n<h2>Zebrocy AutoIt loader<\/h2>\n<p>  <\/p>\n<h4>MD5: 4d552f8927599915990c27fd606bd82f<\/h4>\n<p>  APT Fancy Bear (\u043e\u043d\u0430 \u0436\u0435 APT28, Sofacy, Sednit) \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u043f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u044b\u0445 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a. \u0417\u0430 \u0438\u0445 \u0430\u0432\u0442\u043e\u0440\u0441\u0442\u0432\u043e\u043c \u0434\u0435\u0441\u044f\u0442\u043a\u0438 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u0432, \u043f\u0440\u043e\u043a\u0441\u0438\u0440\u0443\u044e\u0449\u0438\u0445 \u0442\u0440\u043e\u044f\u043d\u043e\u0432 \u0438 \u0438\u043d\u0444\u043e\u0441\u0442\u0438\u043b\u0435\u0440\u043e\u0432: \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0430 \u0442\u0440\u043e\u044f\u043d\u043e\u0432 Xagent, Xtunnel, Sedreco, Downdelph \u0438 \u0434\u0440. \u0421\u043e\u0437\u0434\u0430\u0442\u0435\u043b\u0438 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0432 \u043c\u0438\u0440\u0435 UEFI-\u0440\u0443\u0442\u043a\u0438\u0442\u0430 LoJax <a href=\"https:\/\/unit42.paloaltonetworks.com\/unit42-sofacys-komplex-os-x-trojan\/\">\u043d\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u044e\u0442\u0441\u044f<\/a> \u043b\u0438\u0448\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430\u043c\u0438 \u0434\u043b\u044f Windows. \u041c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u0435\u0446 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0430 Zebrocy, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 AutoIt. \u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0441\u043b\u043e\u0439 \u0443\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e UPX \u043d\u0435 \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 Au3-\u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0438\u0440\u0443\u0435\u043c\u043e\u0433\u043e \u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f VMware, VirtualBox \u0438\u043b\u0438 Parallels:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/fd\/jg\/bg\/fdjgbgtqa8fvmx0ufca8nlsgvao.jpeg\"><\/p>\n<p>  <i>\u041f\u043e\u0438\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 VMware, VirtualBox \u0438\u043b\u0438 Parallels<\/i><\/p>\n<p>  \u0422\u0430\u043a\u0430\u044f \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u043d\u044b\u043c \u0440\u0430\u043d\u0435\u0435 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u043c <b>Read.Process.Name.Enumeration<\/b>.<\/p>\n<p>  \u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0441 2013 \u0433\u043e\u0434\u0430 \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0432\u0430\u0440\u0438\u0430\u0446\u0438\u0439 Zebrocy \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u044f\u0437\u044b\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f: Delphi, C#, Python, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043d\u0430\u0431\u0440\u0430\u0432\u0448\u0438\u0439 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u043e\u0441\u0442\u044c Go. \u0412 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u0430 Go (MD5: f3ec38b8d5a6e29db299e2eadacbcebe) \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043f\u0440\u043e\u0441\u0442\u043e\u0439, \u043d\u043e \u043e\u0447\u0435\u043d\u044c \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u0439 \u0442\u0440\u044e\u043a \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b: \u0442\u0440\u043e\u044f\u043d \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0447\u0442\u043e \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u0438\u043c\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 (\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u044d\u043b\u0435\u043c\u0435\u043d\u0442 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f OLE, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e regsvr) \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0438 <b>sap_<\/b>. \u0428\u0430\u043d\u0441 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e \u043f\u043e\u043f\u0430\u0432\u0448\u0438\u0439 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e, \u043e\u0447\u0435\u043d\u044c \u043c\u0430\u043b. \u0414\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0441 \u0441\u0430\u043c\u043e\u0433\u043e \u043d\u0430\u0447\u0430\u043b\u0430, \u0447\u0442\u043e \u043d\u0435 \u0433\u0430\u0440\u0430\u043d\u0442\u0438\u0440\u0443\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 Zebrocy \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/jy\/-9\/2a\/jy-92a__jgex7gr8giguuhtjxdm.jpeg\"><\/p>\n<p>  <i>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 \u0441\u0442\u0440\u043e\u043a\u0438 spa_ \u0432 Zebrocy Go<\/i><\/p>\n<h2>SmokeLoader<\/h2>\n<p>  <\/p>\n<h4>MD5: 5fc6f24d43bc7ca45a81d159291955d1<\/h4>\n<p>  \u041c\u044b \u0440\u0435\u0448\u0438\u043b\u0438 \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a SmokeLoader \u0432 \u0441\u043f\u0438\u0441\u043e\u043a \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432, \u0442\u0430\u043a \u043a\u0430\u043a, \u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0431\u044b, \u0435\u0433\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u043c\u0443 \u0446\u0435\u043b\u0435\u0432\u043e\u043c\u0443 \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044e (\u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443) \u0441\u043e\u043f\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u043d\u0435\u043c\u0430\u043b\u043e \u043f\u0440\u0438\u0435\u043c\u043e\u0432, <a href=\"https:\/\/research.checkpoint.com\/2019\/2019-resurgence-of-smokeloader\/\">\u0443\u0441\u043b\u043e\u0436\u043d\u044f\u044e\u0449\u0438\u0445<\/a> \u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u043c\u044b \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u0438 \u0441\u043b\u0443\u0447\u0430\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u044d\u0442\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0445\u0430\u043a\u0435\u0440\u0441\u043a\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/operation-ta505-part1\/\">TA505<\/a>.<\/p>\n<p>  \u0414\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 SmokeLoader \u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 <b>System\\CurrentControlSet\\Enum\\IDE<\/b> \u0438 <b>System\\CurrentControlSet\\Enum\\SCSI<\/b> \u0438 \u0438\u0449\u0435\u0442 \u0432 \u043d\u0438\u0445 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 QEMU, VirtualBox, VMware \u0438 Xen:<\/p>\n<p>  <i>regmon Time=??????6940.916639,PID=2168,PPID=2716,TID=2848,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtOpenKeyEx,Key=&quot;<b>\\REGISTRY\\MACHINE\\System\\CurrentControlSet\\Enum\\IDE<\/b>&quot;<\/i><\/p>\n<p>  \u041a\u0440\u043e\u043c\u0435 \u044d\u0442\u043e\u0433\u043e, \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u043b\u0438 \u043e\u043d \u043f\u043e\u0434 \u043e\u0442\u043b\u0430\u0434\u043a\u043e\u0439, \u043e\u0431\u0440\u0430\u0449\u0430\u044f\u0441\u044c \u043a API-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>NtQueryInformationProcess<\/b> \u0441\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <b>ProcessInformationClass<\/b>, \u0440\u0430\u0432\u043d\u044b\u043c <b>ProcessDebugPort<\/b>:<\/p>\n<p>  <i>syscall Time=??????6940.915990,PID=2168,PPID=2716,TID=2848,ProcessName=&quot;\\Device\\HarddiskVolume2\\*.exe&quot;,Method=<b>NtQueryInformationProcess<\/b>,Module=\u00abnt\u00bb,vCPU=1,CR3=0x1F861000,Syscall=22,ProcessHandle=0xFFFFFFFFFFFFFFFF,<b>ProcessInformationClass=0x7<\/b>,ProcessInformation=0x8EBD0,ProcessInformationLength=0x8,ReturnLength=0x8E310<\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/2k\/_p\/mb\/2k_pmbvsqt60jcirenplcmcqa4u.jpeg\"><\/p>\n<p>  <i>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 ProcessInformationClass, <a href=\"https:\/\/docs.microsoft.com\/en-us\/windows\/win32\/api\/winternl\/nf-winternl-ntqueryinformationprocess\">\u0441\u0441\u044b\u043b\u043a\u0430<\/a><\/i><\/p>\n<p>  \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u044f <b>Read.Process.Info.AntiDebug<\/b> \u0438 <b>Read.Registry.Key.CheckVM<\/b>:<\/p>\n<pre><code class=\"css\">{ \t&quot;detect.name&quot;: &quot;Read.Process.Info.AntiDebug&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;2168&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????6940.915990&quot; } { \t&quot;detect.name&quot;: Read.Registry.Key.CheckVM&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;2168&quot;, \t&quot;process.name&quot;: &quot;*.exe&quot;, \t&quot;unixtime&quot;: &quot;??????6940.916639&quot; }<\/code><\/pre>\n<p>  \u041e\u0431\u0440\u0430\u0442\u0438\u043c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0442\u043e SmokeLoader \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u043a\u043e\u043f\u0438\u044e \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 ntdll \u0438 \u0438\u043c\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u0442 \u0438\u0437 \u043d\u0435\u0435 \u0432\u0441\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b Nt-\u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u0438\u0437\u0431\u0435\u0433\u0430\u044f \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438 \u0432\u044b\u0437\u043e\u0432\u043e\u0432. \u042d\u0442\u043e\u0442 \u043f\u0440\u0438\u043c\u0435\u0440 \u043e\u0442\u0440\u0430\u0436\u0430\u0435\u0442 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u044f\u0434\u0440\u0430, \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0438 \u0441\u043b\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438.<\/p>\n<h2>ROKRAT<\/h2>\n<p>  <\/p>\n<h4>MD5: bedc4b9f39dcc0907f8645db1acce59e<\/h4>\n<p>  APT-\u0433\u0440\u0443\u043f\u043f\u0443 ScarCruft (\u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0443\u044e \u043a\u0430\u043a APT37, Group123, TEMP.Reaper) \u0430\u0441\u0441\u043e\u0446\u0438\u0438\u0440\u0443\u044e\u0442 \u0441 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u0438\u043c \u043f\u043e\u043b\u0443\u043e\u0441\u0442\u0440\u043e\u0432\u043e\u043c, \u0438 \u0435\u0435 \u0446\u0435\u043b\u044f\u043c\u0438 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0441\u0442\u0440\u0430\u043d\u044b \u0410\u0437\u0438\u0438 \u0438 \u0421\u0440\u0435\u0434\u043d\u0435\u0433\u043e \u0412\u043e\u0441\u0442\u043e\u043a\u0430. \u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043e\u0431\u043e\u0431\u0449\u0430\u044e\u0442 \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 ScarCruft \u0441 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 Lazarus (HIDDEN COBRA), \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u0447\u0430\u0441\u0442\u043d\u043e\u0439 \u043a \u044d\u043f\u0438\u0434\u0435\u043c\u0438\u0438 WannaCry \u0432 2017 \u0433\u043e\u0434\u0443.<\/p>\n<p>  \u0411\u044d\u043a\u0434\u043e\u0440 \u0433\u0440\u0443\u043f\u043f\u044b ROKRAT, \u043a\u0430\u043a \u0438 SmokeLoader, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0442\u0435\u0445\u043d\u0438\u043a\u0443 \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043a\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e API-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>NtQueryInformationProcess<\/b> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <b>ProcessInformationClass<\/b>, \u0440\u0430\u0432\u043d\u044b\u043c <b>ProcessDebugPort<\/b>, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u044f \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 <b>Read.Process.Info.AntiDebug<\/b>. \u041a\u0440\u043e\u043c\u0435 \u044d\u0442\u043e\u0433\u043e, \u043e\u043d \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 <b>SystemBiosVersion<\/b> \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 <b>HARDWARE\\DESCRIPTION\\System<\/b> \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0441\u0440\u0435\u0434\u044b \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<p>  <i>regmon Time=??????8504.062491,PID=3448,PPID=1476,TID=2032,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryValueKey,Key=&quot;<b>\\REGISTRY\\MACHINE\\HARDWARE\\DESCRIPTION\\SYSTEM<\/b>&quot;,ValueName=&quot;<b>SystemBiosVersion<\/b>&quot;<\/i><\/p>\n<p>  \u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u043f\u0440\u0438\u0435\u043c: \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0441\u043f\u0438\u0441\u043a\u0430 \u0438\u043c\u0435\u043d \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 (SbieDll.dll, dbghelp.dll, api_log.dll, dir_watch.dll) \u0438 \u0442\u043e\u0433\u043e, \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u044b \u043b\u0438 \u043e\u043d\u0438 \u0432 \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u0435 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430:<\/p>\n<p>  <i>librarymon Time=??????8504.052513,PID=3448,PPID=1476,TID=2032,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=LdrGetDllHandle,ModuleName=&quot;<b>SbieDll.dll<\/b>&quot;,ModulePath=&quot;&quot;<\/i><\/p>\n<p>  <i>librarymon Time=??????8504.053067,PID=3448,PPID=1476,TID=2032,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=LdrGetDllHandle,ModuleName=&quot;<b>dbghelp.dll<\/b>&quot;,ModulePath=&quot;&quot;<\/i><\/p>\n<p>  <i>librarymon Time=??????8504.053635,PID=3448,PPID=1476,TID=2032,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=LdrGetDllHandle,ModuleName=&quot;<b>api_log.dll<\/b>&quot;,ModulePath=&quot;&quot;<\/i><\/p>\n<p>  <i>librarymon Time=??????8504.054151,PID=3448,PPID=1476,TID=2032,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=LdrGetDllHandle,ModuleName=&quot;<b>dir_watch.dll<\/b>&quot;,ModulePath=&quot;&quot;<\/i><\/p>\n<p>  \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0435\u0449\u0435 \u0434\u0432\u0430 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f: <b>Read.Registry.Key.CheckBios<\/b> \u0438 <b>Read.File.Module.CheckVM<\/b>:<\/p>\n<pre><code class=\"css\">{ \t&quot;detect.name&quot;: &quot;Read.Registry.Key.CheckBios&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;3448&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????8504.062491&quot; } { \t&quot;detect.name&quot;: &quot;Read.File.Module.CheckVM&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;3448&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????8504.054151&quot; }<\/code><\/pre>\n<p>  <\/p>\n<h2>OopsIE<\/h2>\n<p>  <\/p>\n<h4>MD5: 5998ef679682878e68d5ac4a1733fac5<\/h4>\n<p>  \u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 OilRig (APT34, HELIX KITTEN) \u0431\u043e\u043b\u0435\u0435 \u043f\u044f\u0442\u0438 \u043b\u0435\u0442 \u0430\u0442\u0430\u043a\u0443\u0435\u0442 \u0446\u0435\u043b\u0438 \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u0441\u0440\u0435\u0434\u043d\u0435\u0432\u043e\u0441\u0442\u043e\u0447\u043d\u043e\u043c \u0440\u0435\u0433\u0438\u043e\u043d\u0435. \u0412 \u0430\u043f\u0440\u0435\u043b\u0435 2019 \u0433\u043e\u0434\u0430 <a href=\"https:\/\/securityaffairs.co\/wordpress\/84180\/apt\/oilrig-apt-tools-leaked-online.html\">\u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u0430<\/a> \u0443\u0442\u0435\u0447\u043a\u0430 \u043d\u0430\u0431\u043e\u0440\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0433\u0440\u0443\u043f\u043f\u044b, \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0432\u0448\u0430\u044f \u043b\u0443\u0447\u0448\u0435 \u0438\u0437\u0443\u0447\u0438\u0442\u044c \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u043f\u0440\u0435\u0441\u0442\u0443\u043f\u043d\u0438\u043a\u043e\u0432. \u0410 \u0432 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 \u0442\u043e\u0433\u043e \u0436\u0435 \u0433\u043e\u0434\u0430 <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/turla-espionage-group-hacks-oilrig-apt-infrastructure\/\">\u0432\u044b\u044f\u0441\u043d\u0438\u043b\u043e\u0441\u044c<\/a>, \u0447\u0442\u043e \u0434\u0440\u0443\u0433\u0430\u044f APT-\u0433\u0440\u0443\u043f\u043f\u0430 Turla \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u043b\u0430 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 OilRig \u0434\u043b\u044f \u0435\u0435 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u0441\u0432\u043e\u0438\u0445 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f\u0445.<\/p>\n<p>  \u0411\u044d\u043a\u0434\u043e\u0440 \u0433\u0440\u0443\u043f\u043f\u044b OopsIE \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0441\u0435\u0440\u0438\u044e \u0443\u0436\u0435 \u0437\u043d\u0430\u043a\u043e\u043c\u044b\u0445 \u043d\u0430\u043c WMI-\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0434\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b:<\/p>\n<p>  <i>wmimon Time=??????4570.575516,PID=852,PPID=1476,TID=2668,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=ExecQuery,Command=&quot;<b>Select * from Win32_PointingDevice<\/b>&quot;<\/i><\/p>\n<p>  <i>wmimon Time=??????4574.405101,PID=852,PPID=1476,TID=2668,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=ExecQuery,Command=&quot;<b>Select * from Win32_DiskDrive<\/b>&quot;<\/i><\/p>\n<p>  <i>wmimon Time=??????4575.607899,PID=852,PPID=1476,TID=2668,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=ExecQuery,Command=&quot;<b>Select * from Win32_BaseBoard<\/b>&quot;<\/i><\/p>\n<p>  \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 <b>SbieDll.dll<\/b> \u0432 \u0441\u0432\u043e\u0435\u043c \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435:<\/p>\n<p>  <i>librarymon Time=??????4575.807535,PID=852,PPID=1476,TID=2668,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=LdrLoadDll,ModuleName=&quot;<b>SbieDll.dll<\/b>&quot;,ModulePath=&quot;&quot;<\/i><\/p>\n<p>  \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u044f <b>Create.Query.WMI.CheckVM<\/b> \u0438 <b>Read.File.Module.CheckVM<\/b>.<\/p>\n<h2>Lo2<\/h2>\n<p>  <\/p>\n<h4>MD5: 22f41b6238290913fc4d196b8423724d<\/h4>\n<p>  \u0412 \u043d\u043e\u044f\u0431\u0440\u0435 2019 \u0433\u043e\u0434\u0430 \u043c\u044b <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/issleduem-aktivnost-kibergruppirovki-donot-team\/\">\u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438<\/a> \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0433\u0440\u0443\u043f\u043f\u044b Donot Team (APT-C-35, SectorE02). \u0418\u043d\u0442\u0435\u0440\u0435\u0441 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a Lo2, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u044b\u043c \u0437\u0432\u0435\u043d\u043e\u043c \u0432 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 yty \u2014 \u043c\u043e\u0434\u0443\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430.<\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 Lo2 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0435 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043d\u043e\u0435 \u041f\u041e Avast \u0438 eScan \u043f\u0443\u0442\u0435\u043c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430:<\/p>\n<p>  <i>filetracer Time=??????7260.502664,PID=2648,PPID=1368,TID=1684,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryAttributesFile,FileName=&quot;<b>\\??\\C:\\Program Files\\eScan<\/b>&quot;,FileHandle=0x0,OBJ_CASE_INSENSITIVE=1<\/i><\/p>\n<p>  <i>filetracer Time=??????7260.503217,PID=2648,PPID=1368,TID=1684,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryAttributesFile,FileName=&quot;<b>\\??\\C:\\Program Files (x86)\\eScan<\/b>&quot;,FileHandle=0x0,OBJ_CASE_INSENSITIVE=1<\/i><\/p>\n<p>  <i>filetracer Time=??????7260.503750,PID=2648,PPID=1368,TID=1684,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryAttributesFile,FileName=&quot;<b>\\??\\C:\\Program Files\\Avast Software<\/b>&quot;,FileHandle=0x0,OBJ_CASE_INSENSITIVE=1<\/i><\/p>\n<p>  <i>filetracer Time=??????7260.504231,PID=2648,PPID=1368,TID=1684,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryAttributesFile,FileName=&quot;<b>\\??\\C:\\Program Files (x86)\\Avast Software<\/b>&quot;,FileHandle=0x0,OBJ_CASE_INSENSITIVE=1<\/i><\/p>\n<p>  \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043c \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 <b>Read.File.Name.CheckAntivirus<\/b>:<\/p>\n<pre><code class=\"css\">{ \t&quot;detect.name&quot;: &quot;Read.File.Name.CheckAntivirus&quot;, \t&quot;detect.type&quot;: &quot;suspicious&quot;, \t&quot;process.id&quot;: &quot;2648&quot;, \t&quot;process.name&quot;: &quot;***.exe&quot;, \t&quot;unixtime&quot;: &quot;??????7260.504231&quot; }<\/code><\/pre>\n<p>  \u0414\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0440\u0435\u0434\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043a \u043f\u043e\u0440\u0442\u0443 \u0432\u0432\u043e\u0434\u0430-\u0432\u044b\u0432\u043e\u0434\u0430 0x5658. \u0415\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 VMware \u0434\u043b\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u043e\u0439.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ex\/vu\/uu\/exvuuuykby5556y9pewpznigtvs.jpeg\"><\/p>\n<p>  <i>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 VMware \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u043e\u043c Lo2<\/i><\/p>\n<p>  \u0417\u0430\u043c\u0435\u0442\u0438\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0430\u043a\u043e\u0433\u043e \u043f\u0440\u0438\u0435\u043c\u0430 \u043f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0442\u0440\u0443\u0434\u043d\u043e. \u0422\u0430\u043a \u043a\u0430\u043a \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0440\u0435\u0434\u043a\u043e \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0438 \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0435\u0440\u043e\u0432\u0441\u043a\u0438\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0439, \u0438\u0434\u0443\u0449\u0438\u0445 \u043f\u043e\u0434\u0440\u044f\u0434, \u0435\u0435 \u043c\u043e\u0436\u043d\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u0440\u0438 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0430\u043c\u043f\u0430 \u043f\u0430\u043c\u044f\u0442\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u041f\u0440\u0438\u043c\u0435\u0440 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0449\u0435\u0433\u043e YARA-\u043f\u0440\u0430\u0432\u0438\u043b\u0430:<\/p>\n<pre><code class=\"css\">rule tool_mem_ZZ_antiVM__Risktool__VMwarePort{ \tstrings: \t\t$asm_code_x86 = { \t\t\tBB 00 00 00 00 \t\t\tB9 0A 00 00 00 \t\t\tBA 58 56 00 00 \t\t\tED \t\t\t81 FB 68 58 4D 56 \t\t} \tcondition: \t\tany of them }<\/code><\/pre>\n<p>  <\/p>\n<h2>FinFisher<\/h2>\n<p>  <\/p>\n<h4>MD5: a7b990d5f57b244dd17e9a937a41e7f5<\/h4>\n<p>  \u0412 2018 \u0433\u043e\u0434\u0443 \u043c\u044b <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/webinar\/291458\/\">\u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0438<\/a> \u0432\u0435\u0431\u0438\u043d\u0430\u0440, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0435\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b-\u0448\u043f\u0438\u043e\u043d\u0430 FinFisher (FinSpy), \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0435\u0439 Gamma Group. \u041d\u0438\u0436\u0435 \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439, \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043e\u0431\u0445\u043e\u0434 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u044b:<\/p>\n<ul>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043a\u043b\u044e\u0447 <b>DigitalProductId<\/b> \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 <b>SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion<\/b> \u043d\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0440\u043e\u043a: \u00ab55274-649-6478953-23109\u00bb, \u00abA22-00001\u00bb, \u00ab47220\u00bb.<\/li>\n<\/ul>\n<p>  regmon Time=??????<i>7840.046022,PID=2724,PPID=1324,TID=2648,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryValueKey,Key=&quot;<b>\\REGISTRY\\MACHINE\\SOFTWARE\\WOW6432NODE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION<\/b>&quot;,ValueName=&quot;<b>DigitalProductId<\/b>&quot;<\/i><\/p>\n<ul>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043a\u043b\u044e\u0447 <b>SystemBiosDate<\/b> \u0432\u0435\u0442\u043a\u0438 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 <b>HARDWARE\\Description\\System<\/b> \u043d\u0430 \u0440\u0430\u0432\u0435\u043d\u0441\u0442\u0432\u043e \u0441\u0442\u0440\u043e\u043a\u0435 \u00ab01\/02\/03\u00bb.<\/li>\n<\/ul>\n<p>  <i>regmon Time=***7840.051014,PID=2724,PPID=1324,TID=2648,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=NtQueryValueKey,Key=&quot;<b>\\REGISTRY\\MACHINE\\HARDWARE\\DESCRIPTION\\SYSTEM<\/b>&quot;,ValueName=&quot;<b>SystemBiosDate<\/b>&quot;<\/i><\/p>\n<ul>\n<li>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0438\u043c\u0435\u043d\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u043e\u0432 \u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0437\u043e\u0432 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <b>NtQuerySystemInformation<\/b>.<\/li>\n<\/ul>\n<p>  <i>syscall Time=??????7827.116200,PID=2724,PPID=1324,TID=2648,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=<b>NtQuerySystemInformation<\/b>,Module=\u00abnt\u00bb,vCPU=1,CR3=0x51C15000,Syscall=51,<b>SystemInformationClass=0x5<\/b>,SystemInformation=0x4036E0,SystemInformationLength=0x10400,ReturnLength=0x9BE290<\/i><\/p>\n<ul>\n<li>\u0412\u044b\u0437\u044b\u0432\u0430\u0435\u0442 API-\u0444\u0443\u043d\u043a\u0446\u0438\u044e <b>NtSetInformationThread<\/b> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <b>ThreadInformationClass<\/b>, \u0440\u0430\u0432\u043d\u044b\u043c 0x11 (<b>HideFromDebugger<\/b>).<\/li>\n<\/ul>\n<p>  <i>syscall Time=??????7835.094102,PID=2724,PPID=1324,TID=908,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=<b>NtSetInformationThread<\/b>,Module=\u00abnt\u00bb,vCPU=1,CR3=0x4E1FC000,Syscall=10,ThreadHandle=0xFFFFFFFFFFFFFFFE,<b>ThreadInformationClass=0x11<\/b>,ThreadInformation=0x0,ThreadInformationLength=0x0<\/i><\/p>\n<ul>\n<li>\u0412\u044b\u0437\u044b\u0432\u0430\u0435\u0442 API-\u0444\u0443\u043d\u043a\u0446\u0438\u044e <b>NtQueryInformationProcess<\/b> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <b>ProcessInformationClass<\/b>, \u0440\u0430\u0432\u043d\u044b\u043c 0x7 (DebugPort).<\/li>\n<\/ul>\n<p>  <i>syscall Time=??????7841.348199,PID=2724,PPID=1324,TID=2648,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=<b>NtQueryInformationProcess<\/b>,Module=\u00abnt\u00bb,vCPU=0,CR3=0x51C15000,Syscall=22,ProcessHandle=0xFFFFFFFFFFFFFFFF,<b>ProcessInformationClass=0x7<\/b>,ProcessInformation=0x9BEC20,ProcessInformationLength=0x8,ReturnLength=0x9BE360<\/i><\/p>\n<ul>\n<li>\u0412\u044b\u0437\u044b\u0432\u0430\u0435\u0442 API-\u0444\u0443\u043d\u043a\u0446\u0438\u044e <b>NtQueryInformationProcess<\/b> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <b>ProcessInformationClass<\/b>, \u0440\u0430\u0432\u043d\u044b\u043c 0x1e (<b>ProcessDebugObjectHandle<\/b>).<\/li>\n<\/ul>\n<p>  <i>syscall Time=??????7841.348624,PID=2724,PPID=1324,TID=2648,ProcessName=&quot;\\Device\\HarddiskVolume2\\***.exe&quot;,Method=<b>NtQueryInformationProcess<\/b>,Module=\u00abnt\u00bb,vCPU=0,CR3=0x51C15000,Syscall=22,ProcessHandle=0xFFFFFFFFFFFFFFFF,<b>ProcessInformationClass=0x1E<\/b>,ProcessInformation=0x9BEC20,ProcessInformationLength=0x8,ReturnLength=0x9BE360<\/i><\/p>\n<p>  \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043f\u0438\u0441\u043e\u043a \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u043e\u0431\u044b\u0442\u0438\u0439:<\/p>\n<ul>\n<li>Read.Registry.Key.DigitalProductId,<\/li>\n<li>Read.Registry.Key.CheckBios,<\/li>\n<li>Read.Process.Name.Enumeration.<\/li>\n<li>Write.Thread.Info.AntiDebug,<\/li>\n<li>Read.Process.Info.AntiDebug.<\/li>\n<\/ul>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/gu\/6n\/k8\/gu6nk8jt5-d_gjpthoqaulauhnq.jpeg\"><\/p>\n<p>  <i>\u041e\u043f\u0430\u0441\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 FinFisher, \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0435 PT Sandbox<\/i><\/p>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>  \u0412 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043b\u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0439, \u043d\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e: \u043f\u0440\u0438\u0435\u043c\u044b \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043a\u0438, \u0434\u0435\u0442\u0435\u043a\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043d\u043e\u0433\u043e \u041f\u041e. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u0438\u043c\u0435\u0440\u043e\u0432 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043b\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0430 \u0441\u043b\u043e\u0436\u043d\u044b\u0445 \u0442\u0440\u043e\u044f\u043d\u043e\u0432 \u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 APT-\u0430\u0442\u0430\u043a. \u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u043c\u043d\u043e\u0433\u043e\u043e\u0431\u0440\u0430\u0437\u0438\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u043f\u043e\u0434\u0445\u043e\u0434\u043e\u0432 \u043d\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0441\u044f \u0441 <a href=\"https:\/\/blog.talosintelligence.com\/2020\/05\/astaroth-analysis.html\">\u043a\u043e\u043c\u0431\u0430\u0439\u043d\u0430\u043c\u0438<\/a> \u043f\u043e \u0440\u0430\u0441\u043f\u043e\u0437\u043d\u0430\u0432\u0430\u043d\u0438\u044e \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u044e\u0449\u0438\u0445 \u043c\u0430\u0448\u0438\u043d. \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f \u043f\u0443\u0441\u0442\u044c \u0438 \u043d\u0435 \u0441\u0430\u043c\u044b\u0435 \u043f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u044b\u0435, \u043d\u043e \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0443\u043d\u043a\u0442 \u0432 \u0433\u0440\u0430\u0444\u0435 \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0432 \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u043d\u0435 \u043f\u043e\u043c\u0435\u0448\u0430\u0435\u0442.<\/p>\n<p>  <b>\u0410\u0432\u0442\u043e\u0440<\/b>: \u0410\u043b\u0435\u043a\u0441\u0435\u0439 \u0412\u0438\u0448\u043d\u044f\u043a\u043e\u0432, \u0441\u0442\u0430\u0440\u0448\u0438\u0439 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442 \u0433\u0440\u0443\u043f\u043f\u044b \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u0433\u0440\u043e\u0437 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 Positive Technologies<\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/company\/pt\/blog\/507912\/\"> https:\/\/habr.com\/ru\/company\/pt\/blog\/507912\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/pt\/blog\/507912\/\">\u041a\u043e\u0433\u0434\u0430 \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u0440\u0435\u0447\u044c \u043e \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430\u0445, \u0432\u0441\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u0435\u0431\u0435 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u0443\u044e \u043c\u0430\u0448\u0438\u043d\u0443, \u043d\u0430\u043f\u0438\u0447\u043a\u0430\u043d\u043d\u0443\u044e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u041f\u041e. \u0418 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c. \u0421\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0432\u043e\u043f\u0440\u043e\u0441 \u2014 \u043a\u0430\u043a \u0436\u0435 \u0431\u044b\u0442\u044c, \u0435\u0441\u043b\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442 \u043d\u0435\u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u0432\u0435\u0440\u0448\u0438\u0442 \u0441\u0432\u043e\u044e \u0440\u0430\u0431\u043e\u0442\u0443? \u0417\u0434\u0435\u0441\u044c \u043c\u043d\u0435\u043d\u0438\u044f \u0440\u0430\u0441\u0445\u043e\u0434\u044f\u0442\u0441\u044f: \u043a\u0442\u043e-\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442, \u0447\u0442\u043e \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0445\u043e\u0440\u043e\u0448\u0435\u043d\u044c\u043a\u043e \u043f\u043e\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0441 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0438\u0437\u043c\u0435\u043d\u0438\u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a \u0441\u0440\u0435\u0434\u044b (\u0445\u0430\u0440\u0434\u0435\u043d\u0438\u043d\u0433), \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u0430\u043b\u0432\u0430\u0440\u044c \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043a\u0430\u0442\u044c \u043f\u043e\u0434\u0432\u043e\u0445. \u0414\u0440\u0443\u0433\u0438\u0435 \u0441\u0447\u0438\u0442\u0430\u044e\u0442, \u0447\u0442\u043e \u044d\u0442\u0430 \u0438\u0433\u0440\u0430 \u043d\u0435 \u0441\u0442\u043e\u0438\u0442 \u0441\u0432\u0435\u0447. \u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0441\u0430\u043c \u0444\u0430\u043a\u0442 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u043f\u0440\u043e\u0432\u0435\u0441\u0442\u0438 \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0443 \u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u043e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u2014 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043d\u0435\u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u043e \u0434\u043b\u044f \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u0441\u043e\u0444\u0442\u0430. \u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u0442\u0430\u043a\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043e\u0434\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u044b\u0439 \u0432\u044b\u0432\u043e\u0434 \u043e \u0437\u043b\u043e\u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u044b\u0445 \u0446\u0435\u043b\u044f\u0445 \u041f\u041e, \u043e\u0434\u043d\u0430\u043a\u043e \u0432 \u0441\u043e\u0432\u043e\u043a\u0443\u043f\u043d\u043e\u0441\u0442\u0438 \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430\u043c\u0438 \u043e\u043d\u043e \u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u0430.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-305791","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/305791","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=305791"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/305791\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=305791"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=305791"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=305791"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}