{"id":306001,"date":"2020-06-26T15:01:44","date_gmt":"2020-06-26T15:01:44","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=306001"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=306001","title":{"rendered":"RATKing: \u043d\u043e\u0432\u0430\u044f \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f \u0441 \u0442\u0440\u043e\u044f\u043d\u0430\u043c\u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430"},"content":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/bizone\/blog\/508324\/\">\u0412&nbsp;\u043a\u043e\u043d\u0446\u0435 \u043c\u0430\u044f \u043c\u044b&nbsp;\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0412\u041f\u041e \u043a\u043b\u0430\u0441\u0441\u0430 Remote Access Trojan (RAT)&nbsp;&mdash; \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439.<\/p>\n<p>  \u0420\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u043d\u0430\u043c\u0438 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u043e\u0442\u043b\u0438\u0447\u0438\u043b\u0430\u0441\u044c \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u043d\u0430 \u043d\u0435&nbsp;\u0432\u044b\u0431\u0440\u0430\u043b\u0430 \u0434\u043b\u044f \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043a\u0430\u043a\u043e\u0435-\u0442\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0435 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u043e RAT. \u0412&nbsp;\u0430\u0442\u0430\u043a\u0430\u0445 \u0432&nbsp;\u0440\u0430\u043c\u043a\u0430\u0445 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u0431\u044b\u043b\u0438 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u044b \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0442\u0440\u043e\u044f\u043d\u043e\u0432 (\u0432\u0441\u0435 \u0432&nbsp;\u0448\u0438\u0440\u043e\u043a\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435). \u042d\u0442\u043e\u0439 \u0447\u0435\u0440\u0442\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u043d\u0430\u043f\u043e\u043c\u043d\u0438\u043b\u0430 \u043d\u0430\u043c \u043e&nbsp;\u043a\u0440\u044b\u0441\u0438\u043d\u043e\u043c \u043a\u043e\u0440\u043e\u043b\u0435&nbsp;&mdash; \u043c\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0436\u0438\u0432\u043e\u0442\u043d\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437&nbsp;\u0433\u0440\u044b\u0437\u0443\u043d\u043e\u0432 \u0441&nbsp;\u043f\u0435\u0440\u0435\u043f\u043b\u0435\u0442\u0435\u043d\u043d\u044b\u043c\u0438 \u0445\u0432\u043e\u0441\u0442\u0430\u043c\u0438.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/gm\/q3\/zz\/gmq3zz69rukst7i02hxttap6hs8.jpeg\" width=\"100%\"><br \/>  <i>\u041e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0432\u0437\u044f\u0442 \u0438\u0437&nbsp;\u043c\u043e\u043d\u043e\u0433\u0440\u0430\u0444\u0438\u0438 \u041a.&nbsp;\u041d.&nbsp;\u0420\u043e\u0441\u0441\u0438\u043a\u043e\u0432\u0430 \u00ab\u041c\u044b\u0448\u0438 \u0438&nbsp;\u043c\u044b\u0448\u0435\u0432\u0438\u0434\u043d\u044b\u0435 \u0433\u0440\u044b\u0437\u0443\u043d\u044b, \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0435 \u0432&nbsp;\u0445\u043e\u0437\u044f\u0439\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u043c \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0438\u00bb (1908&nbsp;\u0433.)<\/i><\/p>\n<p>  \u0412&nbsp;\u0447\u0435\u0441\u0442\u044c \u044d\u0442\u043e\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u044b&nbsp;\u043d\u0430\u0437\u0432\u0430\u043b\u0438 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u0443\u044e \u043d\u0430\u043c\u0438 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0443 RATKing. \u0412&nbsp;\u044d\u0442\u043e\u043c \u043f\u043e\u0441\u0442\u0435 \u043c\u044b&nbsp;\u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043e&nbsp;\u0442\u043e\u043c, \u043a\u0430\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0438 \u0430\u0442\u0430\u043a\u0443, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438, \u0430&nbsp;\u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u0434\u0435\u043b\u0438\u043c\u0441\u044f \u0441\u0432\u043e\u0438\u043c\u0438 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f\u043c\u0438 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438 \u044d\u0442\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438.<br \/>  <a name=\"habracut\"><\/a>  <\/p>\n<h2>\u0425\u043e\u0434 \u0430\u0442\u0430\u043a\u0438<\/h2>\n<p>  \u0412\u0441\u0435 \u0430\u0442\u0430\u043a\u0438 \u0432&nbsp;\u044d\u0442\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u043f\u043e&nbsp;\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c\u0443 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443:<\/p>\n<ol>\n<li>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u0441\u043e&nbsp;\u0441\u0441\u044b\u043b\u043a\u043e\u0439 \u043d\u0430&nbsp;Google Drive.<\/li>\n<li>\u041f\u043e&nbsp;\u0441\u0441\u044b\u043b\u043a\u0435 \u0436\u0435\u0440\u0442\u0432\u0430 \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u043b\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 VBS-\u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0433\u043e \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432&nbsp;\u0440\u0435\u0435\u0441\u0442\u0440 Windows \u0438&nbsp;\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b PowerShell, \u0447\u0442\u043e\u0431\u044b \u0438\u0441\u043f\u043e\u043b\u043d\u0438\u0442\u044c&nbsp;\u0435\u0435.<\/li>\n<li>DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0432\u043d\u0435\u0434\u0440\u044f\u043b\u0430 \u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u043f\u0435\u0439\u043b\u043e\u0430\u0434&nbsp;&mdash; \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043e\u0434\u0438\u043d \u0438\u0437&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 RAT&nbsp;&mdash; \u0432&nbsp;\u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438&nbsp;\u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0430 VBS-\u0441\u043a\u0440\u0438\u043f\u0442 \u0432&nbsp;\u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a, \u0447\u0442\u043e\u0431\u044b \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u0442\u044c\u0441\u044f \u0432&nbsp;\u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435.<\/li>\n<li>\u041a\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u043f\u0435\u0439\u043b\u043e\u0430\u0434 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u043b\u0441\u044f \u0432&nbsp;\u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438&nbsp;\u0434\u0430\u0432\u0430\u043b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043e\u043c.  <\/li>\n<\/ol>\n<p>  \u0421\u0445\u0435\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u044d\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0442\u0430\u043a: <\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/si\/s-\/ry\/sis-ry3xkhkks1w9qif795buvly.png\" width=\"100%\"><\/p>\n<p>  \u0414\u0430\u043b\u0435\u0435 \u043c\u044b&nbsp;\u0441\u043e\u0441\u0440\u0435\u0434\u043e\u0442\u043e\u0447\u0438\u043c\u0441\u044f \u043d\u0430&nbsp;\u043f\u0435\u0440\u0432\u044b\u0445 \u0442\u0440\u0435\u0445 \u044d\u0442\u0430\u043f\u0430\u0445, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043d\u0430\u0441 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u0435\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u0412\u041f\u041e. \u041c\u044b&nbsp;\u043d\u0435&nbsp;\u0441\u0442\u0430\u043d\u0435\u043c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0440\u0430\u0431\u043e\u0442\u044b \u0441\u0430\u043c\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u0432. \u041e\u043d\u0438 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432&nbsp;\u0448\u0438\u0440\u043e\u043a\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435&nbsp;&mdash; \u043b\u0438\u0431\u043e \u043f\u0440\u043e\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430&nbsp;\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0444\u043e\u0440\u0443\u043c\u0430\u0445, \u043b\u0438\u0431\u043e \u0438&nbsp;\u0432\u043e\u0432\u0441\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u0440\u043e\u0435\u043a\u0442\u044b \u0441&nbsp;\u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c,&nbsp;&mdash; \u0430&nbsp;\u0437\u043d\u0430\u0447\u0438\u0442, \u043d\u0435&nbsp;\u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b \u0434\u043b\u044f \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 RATKing.<\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u044d\u0442\u0430\u043f\u043e\u0432 \u0430\u0442\u0430\u043a\u0438<\/h2>\n<p>  <\/p>\n<h3>\u042d\u0442\u0430\u043f&nbsp;1. \u0424\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u0430\u044f \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0430<\/h3>\n<p>  \u0410\u0442\u0430\u043a\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u043b\u0430\u0441\u044c \u0441&nbsp;\u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0436\u0435\u0440\u0442\u0432\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e (\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0440\u0430\u0437\u043d\u044b\u0435 \u0448\u0430\u0431\u043b\u043e\u043d\u044b \u0441&nbsp;\u0442\u0435\u043a\u0441\u0442\u043e\u043c, \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u043d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d \u043e\u0434\u0438\u043d \u0438\u0437&nbsp;\u043f\u0440\u0438\u043c\u0435\u0440\u043e\u0432). \u0412&nbsp;\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0438 \u0431\u044b\u043b\u0430 \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430&nbsp;\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 <code>drive.google.com<\/code>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u044f\u043a\u043e\u0431\u044b \u0432\u0435\u043b\u0430 \u043d\u0430&nbsp;\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430 \u0432&nbsp;\u0444\u043e\u0440\u043c\u0430\u0442\u0435 PDF.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/qe\/bk\/r3\/qebkr3xty_xbf5f9vs8aj_epbmi.png\" width=\"100%\"><br \/>  <i>\u041f\u0440\u0438\u043c\u0435\u0440 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430<\/i><\/p>\n<p>  \u041e\u0434\u043d\u0430\u043a\u043e \u043d\u0430&nbsp;\u0434\u0435\u043b\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0441\u044f \u0432\u043e\u0432\u0441\u0435 \u043d\u0435&nbsp;PDF-\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442, \u0430&nbsp;VBS-\u0441\u043a\u0440\u0438\u043f\u0442.<\/p>\n<p>  \u041f\u0440\u0438 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0435 \u043f\u043e&nbsp;\u0441\u0441\u044b\u043b\u043a\u0435 \u0438\u0437&nbsp;\u043f\u0438\u0441\u044c\u043c\u0430 \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0432\u044b\u0448\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b \u0441&nbsp;\u0438\u043c\u0435\u043d\u0435\u043c <code>Cargo Flight Details.vbs<\/code>. \u0412&nbsp;\u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0434\u0430\u0436\u0435 \u043d\u0435&nbsp;\u043f\u044b\u0442\u0430\u043b\u0438\u0441\u044c \u0437\u0430\u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b \u043f\u043e\u0434 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442.<\/p>\n<p>  \u0412&nbsp;\u0442\u043e&nbsp;\u0436\u0435 \u0432\u0440\u0435\u043c\u044f \u0432&nbsp;\u0440\u0430\u043c\u043a\u0430\u0445 \u044d\u0442\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u043c\u044b&nbsp;\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0441\u043a\u0440\u0438\u043f\u0442 \u0441&nbsp;\u0438\u043c\u0435\u043d\u0435\u043c <code>Cargo Trip Detail.pdf.vbs<\/code>. \u041e\u043d&nbsp;\u0443\u0436\u0435 \u043c\u043e\u0433 \u0441\u043e\u0439\u0442\u0438 \u0437\u0430&nbsp;\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 PDF, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043f\u043e&nbsp;\u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e Windows \u0441\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432. \u041f\u0440\u0430\u0432\u0434\u0430, \u0432&nbsp;\u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u043e\u0434\u043e\u0437\u0440\u0435\u043d\u0438\u0435 \u0432\u0441\u0435 \u0435\u0449\u0435 \u043c\u043e\u0433\u043b\u0430 \u0432\u044b\u0437\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0438\u043a\u043e\u043d\u043a\u0430, \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u0432\u0448\u0430\u044f VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0443.<\/p>\n<p>  \u041d\u0430&nbsp;\u044d\u0442\u043e\u043c \u044d\u0442\u0430\u043f\u0435 \u0436\u0435\u0440\u0442\u0432\u0430 \u043c\u043e\u0433\u043b\u0430 \u0440\u0430\u0441\u043f\u043e\u0437\u043d\u0430\u0442\u044c \u043e\u0431\u043c\u0430\u043d: \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043d\u0430&nbsp;\u0441\u0435\u043a\u0443\u043d\u0434\u0443 \u043f\u0440\u0438\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c\u0441\u044f \u043a&nbsp;\u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u0430\u043c. \u041e\u0434\u043d\u0430\u043a\u043e \u0432&nbsp;\u0442\u0430\u043a\u0438\u0445 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u044b\u0445 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0437\u0430\u0447\u0430\u0441\u0442\u0443\u044e \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u044e\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430&nbsp;\u043d\u0435\u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0438\u043b\u0438 \u0441\u043f\u0435\u0448\u0430\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.<\/p>\n<h3>\u042d\u0442\u0430\u043f&nbsp;2. \u0420\u0430\u0431\u043e\u0442\u0430 VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/h3>\n<p>  VBS-\u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043c\u043e\u0433 \u043e\u0442\u043a\u0440\u044b\u0442\u044c \u043f\u043e&nbsp;\u043d\u0435\u043e\u0441\u0442\u043e\u0440\u043e\u0436\u043d\u043e\u0441\u0442\u0438, \u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 \u0432&nbsp;\u0440\u0435\u0435\u0441\u0442\u0440 Windows. \u0421\u043a\u0440\u0438\u043f\u0442 \u0431\u044b\u043b \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d: \u0441\u0442\u0440\u043e\u043a\u0438 \u0432&nbsp;\u043d\u0435\u043c \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u044b \u0432&nbsp;\u0432\u0438\u0434\u0435 \u0431\u0430\u0439\u0442\u043e\u0432, \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u043c \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u043c.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/ol\/jr\/9c\/oljr9cmxz4k7-dbodmtoxtplj30.png\" width=\"100%\"><br \/>  <i>\u041f\u0440\u0438\u043c\u0435\u0440 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/i><\/p>\n<p>  \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u0440\u043e\u0441\u0442: \u0438\u0437&nbsp;\u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u043b\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0439 \u0442\u0440\u0435\u0442\u0438\u0439 \u0441\u0438\u043c\u0432\u043e\u043b, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u0438\u0437&nbsp;base16&nbsp;\u0432 \u0438\u0441\u0445\u043e\u0434\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0438\u0437&nbsp;\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f <code>57Q53s63t72s69J70r74e2El53v68m65j6CH6Ct<\/code> (\u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043e \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0432\u044b\u0448\u0435) \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0430\u0441\u044c \u0441\u0442\u0440\u043e\u043a\u0430 <code>WScript.Shell<\/code>.<\/p>\n<p>  \u0414\u043b\u044f \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u0441\u0442\u0440\u043e\u043a \u043c\u044b&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u043d\u0430&nbsp;Python:<\/p>\n<pre><code class=\"python\">def decode_str(data_enc):        return binascii.unhexlify(''.join([data_enc[i:i+2] for i in range(0, len(data_enc), 3)]))<\/code><\/pre>\n<p>  \u041d\u0438\u0436\u0435 \u043d\u0430&nbsp;\u0441\u0442\u0440\u043e\u043a\u0430\u0445 9&ndash;10 \u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u043f\u0440\u0438 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0441\u044f DLL-\u0444\u0430\u0439\u043b. \u0418\u043c\u0435\u043d\u043d\u043e \u043e\u043d&nbsp;\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0441\u044f \u043d\u0430&nbsp;\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u044d\u0442\u0430\u043f\u0435 \u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e PowerShell.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/mv\/ry\/s-\/mvrys-u_ld_bxrl-xrbvzaeh7ik.png\" width=\"100%\"><br \/>  <i>\u0421\u0442\u0440\u043e\u043a\u0430 \u0441&nbsp;\u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c DLL<\/i><\/p>\n<p>  \u041a\u0430\u0436\u0434\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0432&nbsp;VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0430\u0441\u044c \u043f\u043e&nbsp;\u043c\u0435\u0440\u0435 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u0441\u0442\u0440\u043e\u043a.<\/p>\n<p>  \u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u043b\u0430\u0441\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u044f <code>wscript.sleep<\/code> &mdash; \u0441&nbsp;\u0435\u0435&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u043e\u0441\u044c \u043e\u0442\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435.<\/p>\n<p>  \u0414\u0430\u043b\u0435\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0441&nbsp;\u0440\u0435\u0435\u0441\u0442\u0440\u043e\u043c Windows. \u041e\u043d&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044e WMI. \u0421&nbsp;\u0435\u0435&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u043a\u043b\u044e\u0447, \u0438&nbsp;\u0432&nbsp;\u0435\u0433\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u043e\u0441\u044c \u0442\u0435\u043b\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u041e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043a&nbsp;\u0440\u0435\u0435\u0441\u0442\u0440\u0443 \u0447\u0435\u0440\u0435\u0437 WMI \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u043e\u0441\u044c \u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<pre><code class=\"python\">GetObject(winmgmts {impersonationLevel=impersonate}!\\\\.\\root\\default:StdRegProv)<\/code><\/pre>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/cd\/wj\/fv\/cdwjfvyd5e0ukgidq-acr5vicrc.png\"><br \/>  <i>\u0417\u0430\u043f\u0438\u0441\u044c, \u0441\u0434\u0435\u043b\u0430\u043d\u043d\u0430\u044f \u0432&nbsp;\u0440\u0435\u0435\u0441\u0442\u0440\u0435 VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c<\/i><\/p>\n<h3>\u042d\u0442\u0430\u043f&nbsp;3. \u0420\u0430\u0431\u043e\u0442\u0430 DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438<\/h3>\n<p>  \u041d\u0430&nbsp;\u0442\u0440\u0435\u0442\u044c\u0435\u043c \u044d\u0442\u0430\u043f\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430 \u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u043f\u0435\u0439\u043b\u043e\u0430\u0434, \u0432\u043d\u0435\u0434\u0440\u044f\u043b\u0430 \u0435\u0433\u043e \u0432&nbsp;\u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438&nbsp;\u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u043b\u0430 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043f\u0440\u0438 \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432&nbsp;\u0441\u0438\u0441\u0442\u0435\u043c\u0443.<\/p>\n<p>  <b>\u0417\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 PowerShell<\/b><\/p>\n<p>  DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u043b\u0430\u0441\u044c \u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432&nbsp;PowerShell:<\/p>\n<pre><code class=\"powershell\">[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:\\\/\\\/\\\/Software\\\/\\\/\\\/&lt;rnd_sub_key_name&gt; ).&lt;rnd_value_name&gt;); [GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0<\/code><\/pre>\n<p>  \u042d\u0442\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u0435\u043b\u0430\u043b\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<\/p>\n<ul>\n<li>\u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441&nbsp;\u0438\u043c\u0435\u043d\u0435\u043c <code>rnd_value_name<\/code> &mdash; \u044d\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0438 \u0441\u043e\u0431\u043e\u0439 DLL-\u0444\u0430\u0439\u043b, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u043d\u0430&nbsp;\u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 .Net;<\/li>\n<li>\u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0439 .Net-\u043c\u043e\u0434\u0443\u043b\u044c \u0432&nbsp;\u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <code>powershell.exe&nbsp;<\/code>\u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>[System.Threading.Thread]::GetDomain().Load()<\/code>&nbsp;<i>(\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 Load() <a href=\"https:\/\/docs.microsoft.com\/ru-ru\/dotnet\/api\/system.appdomain.load?view=netcore-3.1\">\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e \u043d\u0430&nbsp;\u0441\u0430\u0439\u0442\u0435 Microsoft<\/a>)<\/i>;<\/li>\n<li>\u0438\u0441\u043f\u043e\u043b\u043d\u044f\u043b\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e&nbsp;<code>GUyyvmzVhebFCw]::EhwwK()<\/code>&nbsp;&mdash; \u0441&nbsp;\u043d\u0435\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u043b\u043e\u0441\u044c \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 DLL\u2011\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438&nbsp;&mdash; \u0441&nbsp;\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 <code>vbsScriptPath<\/code>, <code>xorKey<\/code>, <code>vbsScriptName<\/code>. \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>xorKey<\/code> \u0445\u0440\u0430\u043d\u0438\u043b \u043a\u043b\u044e\u0447 \u0434\u043b\u044f \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0433\u043e \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430, \u0430&nbsp;\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b <code>vbsScriptPath<\/code>&nbsp;\u0438&nbsp;<code>vbsScriptName<\/code> \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u0442\u044c VBS-\u0441\u043a\u0440\u0438\u043f\u0442 \u0432&nbsp;\u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a.<\/li>\n<\/ul>\n<p>  <b>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438<\/b><\/p>\n<p>  \u0412&nbsp;\u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b \u0442\u0430\u043a:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/rx\/4z\/bj\/rx4zbjfhhxryaqf_dxjqbskyjqa.png\" width=\"100%\"><br \/>  <i>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0432&nbsp;\u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435 (\u043a\u0440\u0430\u0441\u043d\u044b\u043c \u043f\u043e\u0434\u0447\u0435\u0440\u043a\u043d\u0443\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f, \u0441&nbsp;\u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0430\u0447\u0438\u043d\u0430\u043b\u043e\u0441\u044c \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 DLL-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438)<\/i><\/p>\n<p>  \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0437\u0430\u0449\u0438\u0449\u0435\u043d \u043f\u0440\u043e\u0442\u0435\u043a\u0442\u043e\u0440\u043e\u043c .Net Reactor. \u0421\u043e&nbsp;\u0441\u043d\u044f\u0442\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0442\u0435\u043a\u0442\u043e\u0440\u0430 \u043e\u0442\u043b\u0438\u0447\u043d\u043e \u0441\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0443\u0442\u0438\u043b\u0438\u0442\u0430 de4dot.<\/p>\n<p>  \u0414\u0430\u043d\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a:<\/p>\n<ul>\n<li>\u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u043b \u0438\u043d\u0436\u0435\u043a\u0442 \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432&nbsp;\u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 (\u0432&nbsp;\u0434\u0430\u043d\u043d\u043e\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u044d\u0442\u043e <code>svchost.exe<\/code>);<\/li>\n<li>\u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b VBS-\u0441\u043a\u0440\u0438\u043f\u0442 \u0432&nbsp;\u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a.<\/li>\n<\/ul>\n<p>  <b>\u0418\u043d\u0436\u0435\u043a\u0442 \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430<\/b><\/p>\n<p>  \u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u044e, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0432\u044b\u0437\u044b\u0432\u0430\u043b PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/li\/p5\/wz\/lip5wzwvnmotw1ss649nlrcc5nc.png\" width=\"100%\"><br \/>  <i>\u0424\u0443\u043d\u043a\u0446\u0438\u044f, \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u043c\u0430\u044f PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c<\/i><\/p>\n<p>  \u0414\u0430\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u043b\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f:<\/p>\n<ul>\n<li>\u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u043b\u0430 \u0434\u0432\u0430 \u043c\u0430\u0441\u0441\u0438\u0432\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 (<code>array<\/code> \u0438&nbsp;<code>array2<\/code> \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435). \u041f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u043e\u043d\u0438 \u0431\u044b\u043b\u0438 \u0441\u0436\u0430\u0442\u044b \u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e gzip \u0438&nbsp;\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u043c XOR \u0441&nbsp;\u043a\u043b\u044e\u0447\u043e\u043c <code>xorKey<\/code>;<\/li>\n<li>\u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043b\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432&nbsp;\u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0435 \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u043f\u0430\u043c\u044f\u0442\u0438. \u0414\u0430\u043d\u043d\u044b\u0435 \u0438\u0437&nbsp;<code>array<\/code>&nbsp;&mdash; \u0432&nbsp;\u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0430\u043c\u044f\u0442\u0438, \u043d\u0430&nbsp;\u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u043b <code>intPtr<\/code>&nbsp;(<code>payload pointer<\/code> \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435); \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0437&nbsp;<code>array2<\/code>&nbsp;&mdash; \u0432&nbsp;\u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0430\u043c\u044f\u0442\u0438, \u043d\u0430&nbsp;\u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u043b <code>intPtr2<\/code>&nbsp;(<code>shellcode pointer<\/code> \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435);<\/li>\n<li>\u0432\u044b\u0437\u044b\u0432\u0430\u043b\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>CallWindowProcA<\/code>&nbsp;<i>(<a href=\"https:\/\/docs.microsoft.com\/en-us\/windows\/win32\/api\/winuser\/nf-winuser-callwindowproca\">\u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/a> \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0435\u0441\u0442\u044c \u043d\u0430&nbsp;\u0441\u0430\u0439\u0442\u0435 Microsoft)<\/i> \u0441\u043e&nbsp;\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 (\u043d\u0438\u0436\u0435 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u044b \u0438\u043c\u0435\u043d\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432, \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u043e\u043d\u0438 \u0438\u0434\u0443\u0442 \u0432&nbsp;\u0442\u043e\u043c&nbsp;\u0436\u0435 \u043f\u043e\u0440\u044f\u0434\u043a\u0435, \u043d\u043e&nbsp;\u0441&nbsp;\u0440\u0430\u0431\u043e\u0447\u0438\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438):<br \/> \n<ul>\n<li><code>lpPrevWndFunc<\/code>&nbsp;&mdash;&nbsp;\u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430&nbsp;\u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0437 <code>array2<\/code>;<\/li>\n<li><code>hWnd<\/code>&nbsp;&mdash;&nbsp;\u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430&nbsp;\u0441\u0442\u0440\u043e\u043a\u0443, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0443\u044e \u043f\u0443\u0442\u044c \u043a&nbsp;\u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 <code>svchost.exe<\/code>;<\/li>\n<li><code>Msg<\/code>&nbsp;&mdash;&nbsp;\u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430&nbsp;\u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0437 <code>array<\/code>;<\/li>\n<li><code>wParam<\/code>,&nbsp;<code>lParam<\/code>&nbsp;&mdash; \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f (\u0432&nbsp;\u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u044d\u0442\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043d\u0435&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0438&nbsp;\u0438\u043c\u0435\u043b\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f 0);<\/li>\n<\/ul>\n<\/li>\n<li>\u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u0430 \u0444\u0430\u0439\u043b <code>%AppData%\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\&lt;name&gt;.url<\/code>, \u0433\u0434\u0435 <code>&lt;name&gt;<\/code> &mdash; \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0435 4&nbsp;\u0441\u0438\u043c\u0432\u043e\u043b\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>vbsScriptName<\/code>&nbsp;(\u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u043a\u043e\u0434\u0430 \u0441&nbsp;\u044d\u0442\u0438\u043c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435\u043c \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441&nbsp;\u043a\u043e\u043c\u0430\u043d\u0434\u044b <code>File.Copy<\/code>). \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u043b URL-\u0444\u0430\u0439\u043b \u0432&nbsp;\u0441\u043f\u0438\u0441\u043e\u043a \u0444\u0430\u0439\u043b\u043e\u0432 \u0434\u043b\u044f \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u0438 \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432&nbsp;\u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438&nbsp;\u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u044f\u043b\u0441\u044f \u043d\u0430&nbsp;\u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435. URL-\u0444\u0430\u0439\u043b \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b \u0441\u0441\u044b\u043b\u043a\u0443 \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043f\u0442:<\/li>\n<\/ul>\n<p>  <\/p>\n<pre><code class=\"python\">[InternetShortcut] URL = file : \/\/\/&lt;vbsScriptPath&gt; <\/code><\/pre>\n<p>  \u0414\u043b\u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u043b\u0441\u044f \u0438\u043d\u0436\u0435\u043a\u0442, \u043c\u044b&nbsp;\u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u0438 \u043c\u0430\u0441\u0441\u0438\u0432\u044b \u0434\u0430\u043d\u043d\u044b\u0445 <code>array<\/code> \u0438 <code>array2<\/code>. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043c\u044b&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u043d\u0430&nbsp;Python:<\/p>\n<pre><code class=\"python\">def decrypt(data, key):     return gzip.decompress(         bytearray([data[i] ^ key[i % len(key)] for i in range(len(data))])[4:])     <\/code><\/pre>\n<p>  \u0412&nbsp;\u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043c\u044b&nbsp;\u0432\u044b\u044f\u0441\u043d\u0438\u043b\u0438, \u0447\u0442\u043e:<\/p>\n<ul>\n<li><code>array<\/code> \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b \u0441\u043e\u0431\u043e\u0439 PE-\u0444\u0430\u0439\u043b&nbsp;&mdash; \u044d\u0442\u043e \u0438&nbsp;\u0435\u0441\u0442\u044c \u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u043f\u0435\u0439\u043b\u043e\u0430\u0434;<\/li>\n<li><code>array2<\/code> \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b \u0441\u043e\u0431\u043e\u0439 \u0448\u0435\u043b\u043b-\u043a\u043e\u0434, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0439 \u0434\u043b\u044f \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043d\u0436\u0435\u043a\u0442\u0430.<\/li>\n<\/ul>\n<p>  \u0428\u0435\u043b\u043b-\u043a\u043e\u0434 \u0438\u0437&nbsp;\u043c\u0430\u0441\u0441\u0438\u0432\u0430 <code>array2<\/code> \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b\u0441\u044f \u0432&nbsp;\u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>lpPrevWndFunc<\/code> \u0432&nbsp;\u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>CallWindowProcA<\/code>. <code>lpPrevWndFunc<\/code> &mdash; \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0433\u043e \u0432\u044b\u0437\u043e\u0432\u0430, \u0435\u0435&nbsp;\u043f\u0440\u043e\u0442\u043e\u0442\u0438\u043f \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a:<\/p>\n<pre><code class=\"python\">LRESULT WndFunc(   HWND    hWnd,   UINT    Msg,   WPARAM  wParam,   LPARAM  lParam ); <\/code><\/pre>\n<p>  \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>CallWindowProcA<\/code> \u0441&nbsp;\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 <code>hWnd<\/code>, <code>Msg<\/code>, <code>wParam<\/code>, <code>lParam<\/code>&nbsp;\u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0448\u0435\u043b\u043b-\u043a\u043e\u0434 \u0438\u0437&nbsp;\u043c\u0430\u0441\u0441\u0438\u0432\u0430 <code>array2<\/code> \u0441&nbsp;\u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 <code>hWnd<\/code> \u0438 <code>Msg<\/code>. <code>hWnd<\/code> &mdash; \u044d\u0442\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430&nbsp;\u0441\u0442\u0440\u043e\u043a\u0443, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0443\u044e \u043f\u0443\u0442\u044c \u043a&nbsp;\u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 <code>svchost.exe<\/code>, \u0430 <code>Msg<\/code> &mdash; \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430&nbsp;\u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u043f\u0435\u0439\u043b\u043e\u0430\u0434.<\/p>\n<p>  \u0428\u0435\u043b\u043b-\u043a\u043e\u0434 \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0430\u0434\u0440\u0435\u0441\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0438\u0437&nbsp;<code>kernel32.dll<\/code>&nbsp;\u0438&nbsp;<code>ntdll32.dll<\/code>&nbsp;\u043f\u043e&nbsp;\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c \u0445\u0435\u0448\u0435\u0439 \u043e\u0442&nbsp;\u0438\u0445&nbsp;\u0438\u043c\u0435\u043d \u0438&nbsp;\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b \u0438\u043d\u0436\u0435\u043a\u0442 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0433\u043e \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432&nbsp;\u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <code>svchost.exe<\/code>, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0443 Process Hollowing (\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043e&nbsp;\u043d\u0435\u0439 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0432&nbsp;\u044d\u0442\u043e\u0439 <a href=\"https:\/\/github.com\/m0n0ph1\/Process-Hollowing\">\u0441\u0442\u0430\u0442\u044c\u0435<\/a>). \u041f\u0440\u0438 \u0438\u043d\u0436\u0435\u043a\u0442\u0435 \u0448\u0435\u043b\u043b-\u043a\u043e\u0434:<\/p>\n<ul>\n<li>\u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b \u043f\u0440\u043e\u0446\u0435\u0441\u0441 <code>svchost.exe<\/code> \u0432&nbsp;\u043f\u0440\u0438\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u043c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>CreateProcessW<\/code>;<\/li>\n<li>\u0437\u0430\u0442\u0435\u043c \u0441\u043a\u0440\u044b\u0432\u0430\u043b \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0435\u043a\u0446\u0438\u0438 \u0432&nbsp;\u0430\u0434\u0440\u0435\u0441\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <code>svchost.exe<\/code>&nbsp;\u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>NtUnmapViewOfSection<\/code>. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043e\u0441\u0432\u043e\u0431\u043e\u0436\u0434\u0430\u043b\u0430 \u043f\u0430\u043c\u044f\u0442\u044c \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <code>svchost.exe<\/code>, \u0447\u0442\u043e\u0431\u044b \u0437\u0430\u0442\u0435\u043c \u043f\u043e&nbsp;\u044d\u0442\u043e\u043c\u0443 \u0430\u0434\u0440\u0435\u0441\u0443 \u0432\u044b\u0434\u0435\u043b\u0438\u0442\u044c \u043f\u0430\u043c\u044f\u0442\u044c \u0434\u043b\u044f \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430;<\/li>\n<li>\u0432\u044b\u0434\u0435\u043b\u044f\u043b \u043f\u0430\u043c\u044f\u0442\u044c \u0434\u043b\u044f \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432&nbsp;\u0430\u0434\u0440\u0435\u0441\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <code>svchost.exe<\/code> \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>VirtualAllocEx<\/code>;<\/li>\n<\/ul>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/zs\/go\/sv\/zsgosvcbytoyihxs9dwxyyoka6o.png\" width=\"100%\"><br \/>  <i>\u041d\u0430\u0447\u0430\u043b\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043d\u0436\u0435\u043a\u0442\u0430<\/i><\/p>\n<ul>\n<li>\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432&nbsp;\u0430\u0434\u0440\u0435\u0441\u043d\u043e\u0435 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <code>svchost.exe<\/code> \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>WriteProcessMemory<\/code> (\u043a\u0430\u043a \u043d\u0430&nbsp;\u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u043d\u0438\u0436\u0435);<\/li>\n<li>\u0432\u043e\u0437\u043e\u0431\u043d\u043e\u0432\u043b\u044f\u043b \u043f\u0440\u043e\u0446\u0435\u0441\u0441 <code>svchost.exe<\/code> \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>ResumeThread<\/code>.<\/li>\n<\/ul>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/hf\/qe\/u-\/hfqeu-_cnpt0llyllzam_f8n-a0.png\" width=\"100%\"><br \/>  <i>\u0417\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043d\u0436\u0435\u043a\u0442\u0430<\/i><\/p>\n<h2>\u0417\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0435 \u0412\u041f\u041e<\/h2>\n<p>  \u0412&nbsp;\u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u0432&nbsp;\u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u043b\u0430\u0441\u044c \u043e\u0434\u043d\u0430 \u0438\u0437&nbsp;\u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c \u043a\u043b\u0430\u0441\u0441\u0430 RAT. \u0412&nbsp;\u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043d\u0438\u0436\u0435 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0432&nbsp;\u0430\u0442\u0430\u043a\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u044b&nbsp;\u0441&nbsp;\u0443\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u043c\u043e\u0436\u0435\u043c \u043f\u0440\u0438\u043f\u0438\u0441\u0430\u0442\u044c \u043e\u0434\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0441\u0435\u043c\u043f\u043b\u044b \u043e\u0431\u0440\u0430\u0449\u0430\u043b\u0438\u0441\u044c \u043a&nbsp;\u043e\u0434\u043d\u043e\u043c\u0443 \u0438&nbsp;\u0442\u043e\u043c\u0443&nbsp;\u0436\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f.  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tbody>\n<tr>\n<th> \u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0412\u041f\u041e   <\/th>\n<th> \u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u043e   <\/th>\n<th> SHA-256  <\/th>\n<th> C&amp;C  <\/th>\n<th> \u041f\u0440\u043e\u0446\u0435\u0441\u0441, \u0432&nbsp;\u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u043d\u0436\u0435\u043a\u0442   <\/th>\n<\/tr>\n<tr>\n<td> Darktrack   <\/td>\n<td> 16-04-2020   <\/td>\n<td><code>ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702<\/code>   <\/td>\n<td> kimjoy007.dyndns[.]org:2017   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> Parallax   <\/td>\n<td> 24-04-2020   <\/td>\n<td><code>b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043<\/code>   <\/td>\n<td> kimjoy007.dyndns[.]org:2019   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> WARZONE   <\/td>\n<td> 18-05-2020   <\/td>\n<td> <code>3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3<\/code>   <\/td>\n<td> kimjoy007.dyndns[.]org:9933   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> Netwire   <\/td>\n<td> 20-05-2020   <\/td>\n<td><code>6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d<\/code>   <\/td>\n<td> kimjoy007.dyndns[.]org:2000   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>  <i>\u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0412\u041f\u041e \u0441&nbsp;\u043e\u0434\u043d\u0438\u043c \u0438&nbsp;\u0442\u0435\u043c&nbsp;\u0436\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f<\/i><\/p>\n<p>  \u0417\u0434\u0435\u0441\u044c \u043f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u044b \u0434\u0432\u0435 \u0432\u0435\u0449\u0438.<\/p>\n<p>  \u0412\u043e-\u043f\u0435\u0440\u0432\u044b\u0445, \u0441\u0430\u043c \u0444\u0430\u043a\u0442, \u0447\u0442\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432 RAT. \u0422\u0430\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043d\u0435&nbsp;\u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043a\u0438\u0431\u0435\u0440\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0447\u0430\u0441\u0442\u0443\u044e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043f\u0440\u0438\u0431\u043b\u0438\u0437\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u044b\u0445 \u0434\u043b\u044f \u043d\u0438\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432.<\/p>\n<p>  \u0412\u043e-\u0432\u0442\u043e\u0440\u044b\u0445, RATKing \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043b\u0438\u0431\u043e \u043f\u0440\u043e\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430&nbsp;\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0444\u043e\u0440\u0443\u043c\u0430\u0445 \u0437\u0430&nbsp;\u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0443\u044e \u0446\u0435\u043d\u0443, \u043b\u0438\u0431\u043e \u0438&nbsp;\u0432\u043e\u0432\u0441\u0435 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043f\u0440\u043e\u0435\u043a\u0442\u0430\u043c\u0438 \u0441&nbsp;\u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c.<\/p>\n<p>  \u0411\u043e\u043b\u0435\u0435 \u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432&nbsp;\u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u0412\u041f\u041e&nbsp;&mdash; \u0441&nbsp;\u043e\u0434\u043d\u043e\u0439 \u0432\u0430\u0436\u043d\u043e\u0439 \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u043e\u0439&nbsp;&mdash; \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d \u0432&nbsp;\u043a\u043e\u043d\u0446\u0435 \u0441\u0442\u0430\u0442\u044c\u0438.<\/p>\n<h2>\u041e&nbsp;\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435<\/h2>\n<p>  \u041c\u044b&nbsp;\u043d\u0435&nbsp;\u043c\u043e\u0436\u0435\u043c \u043e\u0442\u043d\u0435\u0441\u0442\u0438 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u0443\u044e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044e \u043a&nbsp;\u043a\u0430\u043a\u0438\u043c-\u043b\u0438\u0431\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c. \u041f\u043e\u043a\u0430 \u043c\u044b&nbsp;\u0441\u0447\u0438\u0442\u0430\u0435\u043c, \u0447\u0442\u043e \u044d\u0442\u0438 \u0430\u0442\u0430\u043a\u0438 \u0441\u043e\u0432\u0435\u0440\u0448\u0438\u043b\u0430 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u043d\u043e\u0432\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430. \u041a\u0430\u043a \u043c\u044b&nbsp;\u0443\u0436\u0435 \u043f\u0438\u0441\u0430\u043b\u0438 \u0432&nbsp;\u043d\u0430\u0447\u0430\u043b\u0435, \u043c\u044b&nbsp;\u043d\u0430\u0437\u0432\u0430\u043b\u0438 \u0435\u0435&nbsp;RATKing.<\/p>\n<p>  \u0414\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442, \u043f\u043e\u0445\u043e\u0436\u0438\u0439 \u043d\u0430&nbsp;\u0443\u0442\u0438\u043b\u0438\u0442\u0443 <a href=\"https:\/\/www.youtube.com\/watch?v=XUeaRL0cePk\">VBS-Crypter<\/a> \u043e\u0442&nbsp;\u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 <a href=\"https:\/\/github.com\/NYAN-x-CAT\">NYAN-x-CAT<\/a>. \u041d\u0430&nbsp;\u044d\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0441\u0445\u043e\u0436\u0435\u0441\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u044d\u0442\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430, \u0441\u043e&nbsp;\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432. \u0412&nbsp;\u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043e\u043d\u0438 \u043e\u0431\u0430:<\/p>\n<ul>\n<li>\u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0442 \u043e\u0442\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>Sleep<\/code>;<\/li>\n<li>\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 WMI;<\/li>\n<li>\u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442 \u0442\u0435\u043b\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0432&nbsp;\u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 \u043a\u043b\u044e\u0447\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430;<\/li>\n<li>\u0438\u0441\u043f\u043e\u043b\u043d\u044f\u044e\u0442 \u044d\u0442\u043e\u0442 \u0444\u0430\u0439\u043b \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 PowerShell \u0432&nbsp;\u0435\u0433\u043e&nbsp;\u0436\u0435 \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435.<\/li>\n<\/ul>\n<p>  \u0414\u043b\u044f \u043d\u0430\u0433\u043b\u044f\u0434\u043d\u043e\u0441\u0442\u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 PowerShell \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u0438\u0437&nbsp;\u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0441\u043a\u0440\u0438\u043f\u0442, \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0439 \u0441&nbsp;\u043f\u043e\u043c\u043e\u0449\u044c\u044e VBS-Crypter:<\/p>\n<pre><code class=\"powershell\">((Get-ItemPropertyHKCU:\\Software\\NYANxCAT\\).NYANxCAT);$text=-join$text[-1..-$text.Length];[AppDomain]::CurrentDomain.Load([Convert]::FromBase64String($text)).EntryPoint.Invoke($Null,$Null);<\/code><\/pre>\n<p>  \u0441&nbsp;\u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0441\u043a\u0440\u0438\u043f\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432:<\/p>\n<pre><code class=\"powershell\">[System.Threading.Thread]::GetDomain().Load((ItemProperty HKCU:\\\/\\\/\\\/Software\\\/\\\/\\\/&lt;rnd_sub_key_name&gt; ).&lt;rnd_value_name&gt;); [GUyyvmzVhebFCw]::EhwwK('WScript.ScriptFullName', 'rWZlgEtiZr', 'WScript.ScriptName'),0 <\/code><\/pre>\n<p>  \u0417\u0430\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0432&nbsp;\u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437&nbsp;\u043f\u0435\u0439\u043b\u043e\u0430\u0434\u043e\u0432 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u043e\u0442&nbsp;NYAN-x-CAT&nbsp;&mdash; <a href=\"https:\/\/github.com\/NYAN-x-CAT\/Lime-RAT\">LimeRAT<\/a>.<\/p>\n<p>  \u0410\u0434\u0440\u0435\u0441\u0430 C&amp;C-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043d\u0430&nbsp;\u0435\u0449\u0435 \u043e\u0434\u043d\u0443 \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0447\u0435\u0440\u0442\u0443 RATKing: \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u043f\u0440\u0435\u0434\u043f\u043e\u0447\u0438\u0442\u0430\u0435\u0442 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e DNS (\u0441\u043c. \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c C&amp;C&nbsp;\u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u0441&nbsp;IoC).<\/p>\n<h2>IoC<\/h2>\n<p>  \u0412&nbsp;\u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d \u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0447\u0435\u043d\u044c VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441&nbsp;\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c\u044e \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u043d\u0435\u0441\u0442\u0438 \u043a&nbsp;\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438. \u0412\u0441\u0435 \u044d\u0442\u0438 \u0441\u043a\u0440\u0438\u043f\u0442\u044b \u043f\u043e\u0445\u043e\u0436\u0438 \u0438&nbsp;\u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0442 \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u0443\u044e \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439. \u0412\u0441\u0435 \u043e\u043d\u0438 \u0438\u043d\u0436\u0435\u043a\u0442\u044f\u0442 \u0412\u041f\u041e \u043a\u043b\u0430\u0441\u0441\u0430 RAT \u0432&nbsp;\u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 Windows. \u0423&nbsp;\u0432\u0441\u0435\u0445 \u043d\u0438\u0445 \u0430\u0434\u0440\u0435\u0441\u0430 C&amp;C \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0441&nbsp;\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Dynamic DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432.<\/p>\n<p>  \u0422\u0435\u043c \u043d\u0435&nbsp;\u043c\u0435\u043d\u0435\u0435, \u043c\u044b&nbsp;\u043d\u0435&nbsp;\u043c\u043e\u0436\u0435\u043c \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c, \u0447\u0442\u043e \u0432\u0441\u0435 \u044d\u0442\u0438 \u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u043b\u0438\u0441\u044c \u043e\u0434\u043d\u0438\u043c\u0438 \u0438&nbsp;\u0442\u0435\u043c\u0438&nbsp;\u0436\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438, \u0437\u0430&nbsp;\u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u0441\u0435\u043c\u043f\u043b\u043e\u0432 \u0441&nbsp;\u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u043c\u0438 \u0430\u0434\u0440\u0435\u0441\u0430\u043c\u0438 C&amp;C (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, kimjoy007.dyndns.org).  <\/p>\n<div class=\"scrollable-table\">\n<table>\n<tbody>\n<tr>\n<th> \u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0412\u041f\u041e   <\/th>\n<th> SHA-256   <\/th>\n<th> C&amp;C   <\/th>\n<th> \u041f\u0440\u043e\u0446\u0435\u0441\u0441, \u0432&nbsp;\u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u043d\u0436\u0435\u043a\u0442   <\/th>\n<\/tr>\n<tr>\n<td rowspan=\"26\"> Parallax   <\/td>\n<td> <code>b4ecd8dbbceaadd482f1b23b712bcddc5464bccaac11fe78ea5fd0ba932a4043<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>00edb8200dfeee3bdd0086c5e8e07c6056d322df913679a9f22a2b00b836fd72<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>504cbae901c4b3987aa9ba458a230944cb8bd96bbf778ceb54c773b781346146<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>1487017e087b75ad930baa8b017e8388d1e99c75d26b5d1deec8b80e9333f189<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>c4160ec3c8ad01539f1c16fb35ed9c8c5a53a8fda8877f0d5e044241ea805891<\/code>   <\/td>\n<td> franco20.dvrdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>515249d6813bb2dde1723d35ee8eb6eeb8775014ca629ede017c3d83a77634ce<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>1b70f6fee760bcfe0c457f0a85ca451ed66e61f0e340d830f382c5d2f7ab803f<\/code>   <\/td>\n<td> franco20.dvrdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>b2bdffa5853f29c881d7d9bff91b640bc1c90e996f85406be3b36b2500f61aa1<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>c9745a8f33b3841fe7bfafd21ad4678d46fe6ea6125a8fedfcd2d5aee13f1601<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>1dfc66968527fbd4c0df2ea34c577a7ce7a2ba9b54ba00be62120cc88035fa65<\/code>   <\/td>\n<td> franco20.dvrdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>c6c05f21e16e488eed3001d0d9dd9c49366779559ad77fcd233de15b1773c981<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> cmd   <\/td>\n<\/tr>\n<tr>\n<td> <code>3b785cdcd69a96902ee62499c25138a70e81f14b6b989a2f81d82239a19a3aed<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>4d71ceb9d6c53ac356c0f5bdfd1a5b28981061be87e38e077ee3a419e4c476f9<\/code>   <\/td>\n<td> 2004para.ddns.net   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>00185cc085f284ece264e3263c7771073a65783c250c5fd9afc7a85ed94acc77<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>0342107c0d2a069100e87ef5415e90fd86b1b1b1c975d0eb04ab1489e198fc78<\/code>   <\/td>\n<td> franco20.dvrdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>de33b7a7b059599dc62337f92ceba644ac7b09f60d06324ecf6177fff06b8d10<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>80a8114d63606e225e620c64ad8e28c9996caaa9a9e87dd602c8f920c2197007<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>acb157ba5a48631e1f9f269e6282f042666098614b66129224d213e27c1149bb<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> cmd   <\/td>\n<\/tr>\n<tr>\n<td> <code>bf608318018dc10016b438f851aab719ea0abe6afc166c8aea6b04f2320896d3<\/code>   <\/td>\n<td> franco20.dvrdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>4d0c9b8ad097d35b447d715a815c67ff3d78638b305776cde4d90bfdcb368e38<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>e7c676f5be41d49296454cd6e4280d89e37f506d84d57b22f0be0d87625568ba<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>9375d54fcda9c7d65f861dfda698e25710fda75b5ebfc7a238599f4b0d34205f<\/code>   <\/td>\n<td> franco20.dvrdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>128367797fdf3c952831c2472f7a308f345ca04aa67b3f82b945cfea2ae11ce5<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>09bd720880461cb6e996046c7d6a1c937aa1c99bd19582a562053782600da79d<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>0a176164d2e1d5e2288881cc2e2d88800801001d03caedd524db365513e11276<\/code>   <\/td>\n<td> paradickhead.homeip.net   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>0af5194950187fd7cbd75b1b39aab6e1e78dae7c216d08512755849c6a0d1cbe<\/code>   <\/td>\n<td> hope.doomdns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td rowspan=\"2\"> Warzone   <\/td>\n<td> <code>3786324ce3f8c1ea3784e5389f84234f81828658b22b8a502b7d48866f5aa3d3<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> <code>db0d5a67a0ced6b2de3ee7d7fc845a34b9d6ca608e5fead7f16c9a640fa659eb<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> Netwire   <\/td>\n<td> <code>6dac218f741b022f5cad3b5ee01dbda80693f7045b42a0c70335d8a729002f2d<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> Darktrack   <\/td>\n<td> <code>ea64fe672c953adc19553ea3b9118ce4ee88a14d92fc7e75aa04972848472702<\/code>   <\/td>\n<td> kimjoy007.dyndns.org   <\/td>\n<td> svchost   <\/td>\n<\/tr>\n<tr>\n<td> WSH RAT   <\/td>\n<td> <code>d410ced15c848825dcf75d30808cde7784e5b208f9a57b0896e828f890faea0e<\/code>   <\/td>\n<td> anekesolution.linkpc.net   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td>\n<p> Lime   <\/p>\n<p>   <\/td>\n<td> <code>896604d27d88c75a475b28e88e54104e66f480bcab89cc75b6cdc6b29f8e438b<\/code>   <\/td>\n<td> softmy.duckdns.org   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td rowspan=\"31\"> QuasarRAT   <\/td>\n<td> <code>bd1e29e9d17edbab41c3634649da5c5d20375f055ccf968c022811cd9624be57<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>12044aa527742282ad5154a4de24e55c9e1fae42ef844ed6f2f890296122153b<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>be93cc77d864dafd7d8c21317722879b65cfbb3297416bde6ca6edbfd8166572<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>933a136f8969707a84a61f711018cd21ee891d5793216e063ac961b5d165f6c0<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>71dea554d93728cce8074dbdb4f63ceb072d4bb644f0718420f780398dafd943<\/code>   <\/td>\n<td> chrom1.myq-see.com   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>0d344e8d72d752c06dc6a7f3abf2ff7678925fde872756bf78713027e1e332d5<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>0ed7f282fd242c3f2de949650c9253373265e9152c034c7df3f5f91769c6a4eb<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>aabb6759ce408ebfa2cc57702b14adaec933d8e4821abceaef0c1af3263b1bfa<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>1699a37ddcf4769111daf33b7d313cf376f47e92f6b92b2119bd0c860539f745<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>3472597945f3bbf84e735a778fd75c57855bb86aca9b0a4d0e4049817b508c8c<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>809010d8823da84cdbb2c8e6b70be725a6023c381041ebda8b125d1a6a71e9b1<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>4217a2da69f663f1ab42ebac61978014ec4f562501efb2e040db7ebb223a7dff<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>08f34b3088af792a95c49bcb9aa016d4660609409663bf1b51f4c331b87bae00<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>79b4efcce84e9e7a2e85df7b0327406bee0b359ad1445b4f08e390309ea0c90d<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>12ea7ce04e0177a71a551e6d61e4a7916b1709729b2d3e9daf7b1bdd0785f63a<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>d7b8eb42ae35e9cc46744f1285557423f24666db1bde92bf7679f0ce7b389af9<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>def09b0fed3360c457257266cb851fffd8c844bc04a623c210a2efafdf000d5c<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>50119497c5f919a7e816a37178d28906fb3171b07fc869961ef92601ceca4c1c<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>ade5a2f25f603bf4502efa800d3cf5d19d1f0d69499b0f2e9ec7c85c6dd49621<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>189d5813c931889190881ee34749d390e3baa80b2c67b426b10b3666c3cc64b7<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>c3193dd67650723753289a4aebf97d4c72a1afe73c7135bee91c77bdf1517f21<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>a6f814f14698141753fc6fb7850ead9af2ebcb0e32ab99236a733ddb03b9eec2<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>a55116253624641544175a30c956dbd0638b714ff97b9de0e24145720dcfdf74<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>d6e0f0fb460d9108397850169112bd90a372f66d87b028e522184682a825d213<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>522ba6a242c35e2bf8303e99f03a85d867496bbb0572226e226af48cc1461a86<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>fabfdc209b02fe522f81356680db89f8861583da89984c20273904e0cf9f4a02<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>08ec13b7da6e0d645e4508b19ba616e4cf4e0421aa8e26ac7f69e13dc8796691<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>8433c75730578f963556ec99fbc8d97fa63a522cef71933f260f385c76a8ee8d<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>99f6bfd9edb9bf108b11c149dd59346484c7418fc4c455401c15c8ac74b70c74<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>d13520e48f0ff745e31a1dfd6f15ab56c9faecb51f3d5d3d87f6f2e1abe6b5cf<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm   <\/td>\n<\/tr>\n<tr>\n<td> <code>9e6978b16bd52fcd9c331839545c943adc87e0fbd7b3f947bab22ffdd309f747<\/code>   <\/td>\n<td> darkhate-23030.portmap.io   <\/td>\n<td> RegAsm\u2060   <\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/company\/bizone\/blog\/508324\/\"> https:\/\/habr.com\/ru\/company\/bizone\/blog\/508324\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\n<div class=\"post__text post__text-html post__text_v1\" id=\"post-content-body\" data-io-article-url=\"https:\/\/habr.com\/ru\/company\/bizone\/blog\/508324\/\">\u0412&nbsp;\u043a\u043e\u043d\u0446\u0435 \u043c\u0430\u044f \u043c\u044b&nbsp;\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0412\u041f\u041e \u043a\u043b\u0430\u0441\u0441\u0430 Remote Access Trojan (RAT)&nbsp;&mdash; \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439.<\/p>\n<p>  \u0420\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u0430\u044f \u043d\u0430\u043c\u0438 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u043e\u0442\u043b\u0438\u0447\u0438\u043b\u0430\u0441\u044c \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u043d\u0430 \u043d\u0435&nbsp;\u0432\u044b\u0431\u0440\u0430\u043b\u0430 \u0434\u043b\u044f \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043a\u0430\u043a\u043e\u0435-\u0442\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0435 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u043e RAT. \u0412&nbsp;\u0430\u0442\u0430\u043a\u0430\u0445 \u0432&nbsp;\u0440\u0430\u043c\u043a\u0430\u0445 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u0431\u044b\u043b\u0438 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u044b \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0442\u0440\u043e\u044f\u043d\u043e\u0432 (\u0432\u0441\u0435 \u0432&nbsp;\u0448\u0438\u0440\u043e\u043a\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435). \u042d\u0442\u043e\u0439 \u0447\u0435\u0440\u0442\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u043d\u0430\u043f\u043e\u043c\u043d\u0438\u043b\u0430 \u043d\u0430\u043c \u043e&nbsp;\u043a\u0440\u044b\u0441\u0438\u043d\u043e\u043c \u043a\u043e\u0440\u043e\u043b\u0435&nbsp;&mdash; \u043c\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0436\u0438\u0432\u043e\u0442\u043d\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437&nbsp;\u0433\u0440\u044b\u0437\u0443\u043d\u043e\u0432 \u0441&nbsp;\u043f\u0435\u0440\u0435\u043f\u043b\u0435\u0442\u0435\u043d\u043d\u044b\u043c\u0438 \u0445\u0432\u043e\u0441\u0442\u0430\u043c\u0438.<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/webt\/gm\/q3\/zz\/gmq3zz69rukst7i02hxttap6hs8.jpeg\" width=\"100%\"><br \/>  <i>\u041e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0432\u0437\u044f\u0442 \u0438\u0437&nbsp;\u043c\u043e\u043d\u043e\u0433\u0440\u0430\u0444\u0438\u0438 \u041a.&nbsp;\u041d.&nbsp;\u0420\u043e\u0441\u0441\u0438\u043a\u043e\u0432\u0430 \u00ab\u041c\u044b\u0448\u0438 \u0438&nbsp;\u043c\u044b\u0448\u0435\u0432\u0438\u0434\u043d\u044b\u0435 \u0433\u0440\u044b\u0437\u0443\u043d\u044b, \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u0435 \u0432&nbsp;\u0445\u043e\u0437\u044f\u0439\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u043c \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0438\u00bb (1908&nbsp;\u0433.)<\/i><\/p>\n<p>  \u0412&nbsp;\u0447\u0435\u0441\u0442\u044c \u044d\u0442\u043e\u0433\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u043c\u044b&nbsp;\u043d\u0430\u0437\u0432\u0430\u043b\u0438 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u0443\u044e \u043d\u0430\u043c\u0438 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0443 RATKing. \u0412&nbsp;\u044d\u0442\u043e\u043c \u043f\u043e\u0441\u0442\u0435 \u043c\u044b&nbsp;\u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043e&nbsp;\u0442\u043e\u043c, \u043a\u0430\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0438 \u0430\u0442\u0430\u043a\u0443, \u043a\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438, \u0430&nbsp;\u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u0434\u0435\u043b\u0438\u043c\u0441\u044f \u0441\u0432\u043e\u0438\u043c\u0438 \u0441\u043e\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f\u043c\u0438 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438 \u044d\u0442\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438.  <\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-306001","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/306001","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=306001"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/306001\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=306001"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=306001"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=306001"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}