{"id":347131,"date":"2023-03-23T09:01:53","date_gmt":"2023-03-23T09:01:53","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=347131"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2023-03-23T09:01:53","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=347131","title":{"rendered":"<span>Yet Another RAT: \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043d\u043e\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e \u0412\u041f\u041e<\/span>"},"content":{"rendered":"<div><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/749\/1aa\/0e6\/7491aa0e6d45bb0485f3e98e6163f8cd.png\" alt=\"\u041a\u0430\u0434\u0440 \u0438\u0437 \u043c\/\u0444 &quot;\u041c\u043e\u043d\u0441\u0442\u0440\u044b \u043d\u0430 \u043a\u0430\u043d\u0438\u043a\u0443\u043b\u0430\u0445&quot;\" title=\"\u041a\u0430\u0434\u0440 \u0438\u0437 \u043c\/\u0444 &quot;\u041c\u043e\u043d\u0441\u0442\u0440\u044b \u043d\u0430 \u043a\u0430\u043d\u0438\u043a\u0443\u043b\u0430\u0445&quot;\" width=\"1280\" height=\"690\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/749\/1aa\/0e6\/7491aa0e6d45bb0485f3e98e6163f8cd.png\"\/><\/p>\n<div><figcaption>\u041a\u0430\u0434\u0440 \u0438\u0437 \u043c\/\u0444 &#171;\u041c\u043e\u043d\u0441\u0442\u0440\u044b \u043d\u0430 \u043a\u0430\u043d\u0438\u043a\u0443\u043b\u0430\u0445&#187;<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0448\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 Solar JSOC CERT \u043d\u0430\u0442\u043a\u043d\u0443\u043b\u0430\u0441\u044c \u043d\u0430 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 RAT. \u041d\u043e \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0433\u043b\u0443\u0431\u043e\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u0430\u043b\u043e \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u0434 \u043d\u0430\u043c\u0438 \u043d\u043e\u0432\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f \u0443\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e RAT (3.3a), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 APT31. \u0415\u0433\u043e \u043f\u0435\u0440\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b \u043f\u043e \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/apt31-new-attacks\/\">\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438<\/a> \u0435\u0449\u0435 \u0432 2021 \u0433\u043e\u0434\u0443. \u0417\u0430 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u0412\u041f\u041e \u043f\u0440\u0435\u0442\u0435\u0440\u043f\u0435\u043b\u043e \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u0438 \u043e\u0431\u0437\u0430\u0432\u0435\u043b\u043e\u0441\u044c \u043d\u043e\u0432\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u043e\u043c. \u0415\u0433\u043e \u0438 \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c \u0432 \u0441\u0442\u0430\u0442\u044c\u0435. \u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043e\u043f\u0438\u0448\u0435\u043c \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0439 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 \u0434\u043b\u044f \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430 TLS \u043f\u0440\u0438 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0438 \u0441 C2, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0448\u0430\u0433\u0438 \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0435\u0435 \u0432\u0435\u0440\u0441\u0438\u0438.<\/p>\n<p>\u0414\u043b\u044f \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 RAT \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0441\u043b\u0443\u0436\u0431\u044b. \u0421\u0445\u0435\u043c\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 RAT, \u043a\u0430\u043a \u0438 \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 DLL Hijacking \u0438 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0430 \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/74d\/170\/e5b\/74d170e5b6d02192e18888a16855643f.png\" width=\"974\" height=\"563\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/74d\/170\/e5b\/74d170e5b6d02192e18888a16855643f.png\"\/><\/figure>\n<p>\u00a0\u041e\u043f\u0438\u0448\u0435\u043c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u044d\u0442\u0430\u043f.<\/p>\n<h3>\u042d\u0442\u0430\u043f 1. \u041d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a<\/h3>\n<p>\u0420\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u044b\u0439 RAT \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u0445\u043e\u0441\u0442\u044b \u0443\u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0443\u0447\u0435\u0442\u043d\u044b\u043c \u0437\u0430\u043f\u0438\u0441\u044f\u043c\u0438 \u0441 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438. \u0422\u0430\u043a \u0447\u0442\u043e \u0434\u043b\u044f \u043d\u0430\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u0441\u043b\u0443\u0436\u0431\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b MicrosoftEdgeUpdate.exe \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 LocalSystem. <\/p>\n<p>\u0412 \u043e\u0434\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0440\u044f\u0434\u043e\u043c \u0441 \u0434\u0430\u043d\u043d\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u0432\u0441\u0435\u0433\u0434\u0430 \u0442\u0430\u043a\u0436\u0435 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u043b\u0438\u0441\u044c:<\/p>\n<ul>\n<li>\n<p>\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL (\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a) msedgeupdate.dll;<\/p>\n<\/li>\n<li>\n<p>\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 RAT \u0431\u0435\u0437 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u0441\u043e\u0431\u0440\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u044b \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0439 MicrosoftEdgeUpdate.exe:<\/p>\n<p><code>C:\\ProgramData\\Microsoft\\DRM\\DRMs.exe<\/code><\/p>\n<p><code>C:\\ProgramData\\Microsoft\\DeviceSync\\Data\\DeviceSyncs.exe<\/code><\/p>\n<p><code>C:\\ProgramData\\Microsoft\\DeviceSync\\DeviceSyncs.exe<\/code><\/p>\n<p><code>C:\\ProgramData\\Microsoft\\Crypto\\Cryptos.exe<\/code><\/p>\n<p>MicrosoftEdgeUpdate.exe \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u0438\u043c\u0435\u044e\u0449\u0438\u0439 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0446\u0438\u0444\u0440\u043e\u0432\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c Microsoft, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0435 \u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Microsoft Edge. \u041d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430 \u0444\u0430\u0439\u043b\u0430 MicrosoftEdgeUpdate.exe, \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432 DeviceSyncs.exe:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/1ff\/1fe\/aad\/1ff1feaad9b23f00188235888a119424.jpg\" width=\"1309\" height=\"816\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/1ff\/1fe\/aad\/1ff1feaad9b23f00188235888a119424.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 MicrosoftEdgeUpdate.exe \u0447\u0435\u0440\u0435\u0437 <code>LoadLibraryEx<\/code> \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e msedgeupdate.dll, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0432 \u0442\u043e\u043c \u0436\u0435 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435.<\/p>\n<h2>\u042d\u0442\u0430\u043f 2. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a<\/h2>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL msedgeupdate.dll \u2013 \u044d\u0442\u043e \u043d\u0435\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u0430\u044f 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430, \u043d\u0430\u043a\u0440\u044b\u0442\u0430\u044f VMProtect 3.0-3.5. \u0414\u0430\u0442\u0430 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u0432\u0440\u0443\u0447\u043d\u0443\u044e: 22.04.18 \u0438\u0437 FileHeader \u0438 30.06.2021 \u0438\u0437 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u043e\u0439 \u0442\u0430\u0431\u043b\u0438\u0446\u044b. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043d\u0435 \u0441\u0442\u0430\u0440\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0434\u0440\u0430\u0436\u0430\u0442\u044c \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/044\/46a\/979\/04446a97944bee65326fda442d56e64d.jpg\" width=\"1252\" height=\"783\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/044\/46a\/979\/04446a97944bee65326fda442d56e64d.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/10d\/af8\/44a\/10daf844a92f1ce614ec66d23dc8f28c.png\" alt=\"\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f DLL   \" title=\"\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f DLL   \" width=\"672\" height=\"107\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/10d\/af8\/44a\/10daf844a92f1ce614ec66d23dc8f28c.png\"\/><\/p>\n<div><figcaption>\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f DLL   <\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/048\/a8e\/836\/048a8e83634dba8206c1143a8f62e342.png\" alt=\"\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL   \" title=\"\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL   \" width=\"669\" height=\"370\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/048\/a8e\/836\/048a8e83634dba8206c1143a8f62e342.png\"\/><\/p>\n<div><figcaption>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL   <\/figcaption><\/div>\n<\/figure>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u00ab\u043f\u0430\u0441\u0445\u0430\u043b\u043e\u043a\u00bb \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0441 \u043d\u043e\u043c\u0435\u0440\u0430\u043c\u0438 #1 \u0438 #16:<\/p>\n<p>\u00a0#1 \uc548\ub155\ud558\uc2ed\ub2c8\uae4c \u2013 <em>\u00ab\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442\u00bb<\/em> (\u0432 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0435 \u0441 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u043e\u0433\u043e).<\/p>\n<p>#16 \uc548\ub155 \u2013 <em>\u00ab\u0417\u0434\u0440\u0430\u0432\u0441\u0442\u0432\u0443\u0439\u0442\u0435\u00bb<\/em> (\u0432 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0435 \u0441 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u043e\u0433\u043e).<\/p>\n<p>\u0412\u0441\u0435 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043d\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0430, \u0442\u0430\u043a \u043a\u0430\u043a \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442 \u043e\u0434\u043d\u0443 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u044b\u0440\u0435 API-\u0432\u044b\u0437\u043e\u0432\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ff0\/0b1\/8e5\/ff00b18e5c7d9759626dbd3c79240c47.png\" width=\"973\" height=\"619\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ff0\/0b1\/8e5\/ff00b18e5c7d9759626dbd3c79240c47.png\"\/><\/figure>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0432 DllEntryPoint, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 LoadLibraryEx. <\/p>\n<p>\u0418\u0437 \u0430\u0440\u0441\u0435\u043d\u0430\u043b\u0430 VMProtect \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043c\u043e\u0434\u0443\u043b\u044c \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 API-\u0432\u044b\u0437\u043e\u0432\u043e\u0432, \u0442\u0430\u043a \u043a\u0430\u043a \u043f\u043e\u0441\u043b\u0435 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043a DllEntryPoint \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 .text, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f, \u043d\u043e \u0432\u0441\u0435 API-\u0432\u044b\u0437\u043e\u0432\u044b \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u044b.<\/p>\n<p>\u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0432\u044b\u0441\u043e\u043a\u043e\u0443\u0440\u043e\u0432\u043d\u0435\u0432\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 \u0438 \u0434\u0430\u0434\u0438\u043c \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u043f\u043e:<\/p>\n<p>1. \u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 RAT \u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0430;<\/p>\n<p>2. \u0418\u043d\u0436\u0435\u043a\u0442\u0443 RAT \u0432 <code>C:\\Windows\\System32\\dllhost.exe<\/code> \u0438 \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0443.<\/p>\n<h2>\u041a\u043e\u043d\u0444\u0438\u0433<\/h2>\n<p>\u041a\u043e\u043d\u0444\u0438\u0433 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u043d\u0435\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435 <strong>\u0432 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0435 (\u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL)<\/strong> \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 .data \u043f\u043e RVA 0x770. \u0422\u0430\u043a\u0436\u0435 \u0432\u043e \u0432\u0441\u0435\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u043b raw address \u043a\u043e\u043d\u0444\u0438\u0433\u0430 \u2013 0x11170:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int sleep_min<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u0441\u043d\u0430 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445 \u043f\u0435\u0440\u0435\u0434 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u043e\u0439 \u0441\u0432\u044f\u0437\u0438 \u0441 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   SND_RCV_timeout_secs<\/p>\n<\/td>\n<td>\n<p align=\"left\">timeout \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445 \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int sleep_rand_range<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0440\u0430\u0437\u043c\u0435\u0440 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u0430 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445. \u0413\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0432 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u0435 [sleep_min, sleep_min+sleep_rand_range]<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   new_c2_url_offset<\/p>\n<p align=\"left\">int c2_url_offset<\/p>\n<\/td>\n<td>\n<p>\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u043e\u0442 \u043d\u0430\u0447\u0430\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int c2_port<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u0440\u0442 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int c2_op_mode<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0440\u0435\u0436\u0438\u043c \u0440\u0430\u0431\u043e\u0442\u044b RAT<br \/><em>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b RAT\u00bb.<\/em><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   keylogger_output_filename_offset<\/p>\n<p align=\"left\">int   enc_payload_name_offset<\/p>\n<p align=\"left\">int payload_dirpath_offset<\/p>\n<p align=\"left\">int exe_filepath_offset<\/p>\n<p align=\"left\">int   loader_dll_filepath_offset<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u043e\u0442 \u043d\u0430\u0447\u0430\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char   new_c2_config_url[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">URL \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u043e\u0432\u043e\u0439   \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 c2.<br \/>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u0441 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c RAT<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char c2_url[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">URL \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t   keylogger_output_filename[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430 \u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0440\u0430\u0431\u043e\u0442\u044b keylogger<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t   enc_payload_name[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0438\u043c\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430   \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (\u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0438\u043c\u0435\u043d\u0438 mutex \u0434\u043b\u044f \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 RAT)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t payload_dirpath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u2013 \u0432\u0441\u0435\u0433\u0434\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0435\u0442 \u0441 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c exe-\u0444\u0430\u0439\u043b\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t exe_filepath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e exe-\u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e DLL<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t   loader_dll_filepath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0434\u0432\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0441 \u043e\u0434\u043d\u0438\u043c \u0438 \u0442\u0435\u043c \u0436\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f, \u043d\u043e \u0441 \u0440\u0430\u0437\u043d\u044b\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f0a\/374\/b1f\/f0a374b1f0b0184d549723faef0e167e.png\" width=\"899\" height=\"200\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f0a\/374\/b1f\/f0a374b1f0b0184d549723faef0e167e.png\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/224\/eb6\/a07\/224eb6a0734092afebf27a2d06bbfe43.png\" width=\"899\" height=\"175\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/224\/eb6\/a07\/224eb6a0734092afebf27a2d06bbfe43.png\"\/><\/figure>\n<p>\u0414\u043b\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u0434\u0432\u0443\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041a\u043e\u043d\u0444\u0438\u0433 1<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041a\u043e\u043d\u0444\u0438\u0433 2<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">sleep_min<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x1F4 (500)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0xB4 (180)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SND_RCV_timeout_secs<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x1F4 (500)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x12C (300)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">sleep_rand_range<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x64 (100)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x3C (60)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>new_c2_url_offset<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>c2_url_offset<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0x30<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">c2_port<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0x1BB (443)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">c2_op_mode<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">keylogger_log_name_offset<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0x41<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">enc_payload_name_offset<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x55<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x47<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">payload_dirpath_offset<\/p>\n<\/td>\n<td colspan=\"2\" rowspan=\"3\">\n<p align=\"center\">\u0437\u0430\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f DLL-\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u043e\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">exe_filepath_offset<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">loader_dll_filepath_offset<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>new_c2_config_url<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">c2_url<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">api.inliines[.]com<br \/>   (213.183.53[.]156)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">keylogger_log_name<\/p>\n<\/td>\n<td>\n<p align=\"left\">1Cdatakey<\/p>\n<\/td>\n<td>\n<p align=\"left\">1c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">enc_payload_name<\/p>\n<\/td>\n<td>\n<p align=\"left\">1Cdatas<\/p>\n<\/td>\n<td>\n<p align=\"left\">1cdata<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">payload_dirpath<\/p>\n<\/td>\n<td colspan=\"2\" rowspan=\"3\">\n<p align=\"center\">\u0437\u0430\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f DLL-\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u043e\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">exe_filepath<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">loader_dll_filepath<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 RAT \u0438 \u0437\u0430\u043f\u0438\u0441\u044c \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/h3>\n<p>\u0414\u043b\u044f \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f xor \u0441 5-\u0431\u0430\u0439\u0442\u043e\u0432\u044b\u043c \u043a\u043b\u044e\u0447\u043e\u043c.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f07\/442\/4e0\/f074424e0559c7ae626c2c6a78d6ef6b.png\" width=\"769\" height=\"528\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f07\/442\/4e0\/f074424e0559c7ae626c2c6a78d6ef6b.png\"\/><\/figure>\n<p>\u041f\u0435\u0440\u0432\u0430\u044f \u0447\u0430\u0441\u0442\u044c xor-\u043a\u043b\u044e\u0447\u0430 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0432\u0438\u0434\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 dword:<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/228\/ac3\/8f5\/228ac38f598fd195f091892926cd7bdd.png\" width=\"491\" height=\"86\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/228\/ac3\/8f5\/228ac38f598fd195f091892926cd7bdd.png\"\/><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 \u043a\u043e\u043d\u0435\u0446 \u043a \u043d\u0435\u0439 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0431\u0430\u0439\u0442 0x0F (\u0432\u0442\u043e\u0440\u0430\u044f \u0447\u0430\u0441\u0442\u044c xor-\u043a\u043b\u044e\u0447\u0430). \u0412 \u0446\u0438\u043a\u043b\u0435 \u043f\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 xor \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u0438\u043c\u0435\u043d\u0435\u0435 \u0437\u043d\u0430\u0447\u0438\u043c\u044b\u0439 \u0431\u0430\u0439\u0442 dword. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u043a\u043b\u044e\u0447 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432 \u0432\u0438\u0434\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0431\u0430\u0439\u0442: <em>13184F290F<\/em>.  \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 RAT \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f xor-\u043a\u043b\u044e\u0447\u0430.  <\/p>\n<p>\u0414\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0444\u0438\u0433 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043f\u043e\u0432\u0435\u0440\u0445 egg-\u0441\u0442\u0440\u043e\u043a\u0438 &#171;w4wg7x&#187; (\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430-\u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440) \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 .data:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/56e\/329\/1dc\/56e3291dcd876b027e8bf19aaf30675c.png\" width=\"766\" height=\"152\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/56e\/329\/1dc\/56e3291dcd876b027e8bf19aaf30675c.png\"\/><\/figure>\n<p>\u0412 \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u043a\u0435 UTF16-LE \u0441\u0442\u0440\u043e\u043a\u0430-\u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a \u00ab\u3477\u6777\u7837\u00bb, \u043d\u043e \u043d\u0435 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u043e \u0447\u0442\u043e-\u0442\u043e, \u0438\u043c\u0435\u044e\u0449\u0435\u0435 \u0441\u043c\u044b\u0441\u043b (\u0438\u043b\u0438 \u0436\u0435 \u044d\u0442\u043e \u00ab\u043d\u0435\u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u043c\u0430\u044f \u0438\u0433\u0440\u0430 \u0441\u043b\u043e\u0432\u00bb \u2013 \u0437\u043d\u0430\u0442\u043e\u043a\u0438 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u043e\u0433\u043e, \u043e\u0442\u0437\u043e\u0432\u0438\u0442\u0435\u0441\u044c!).<\/p>\n<p>\u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e, \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f RAT \u043f\u0443\u0441\u0442\u0430\u044f. \u0414\u0430\u043b\u0435\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WriteProcessMemory \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0438\u043d\u0436\u0435\u043a\u0442 RAT \u0432 <code>C:\\Windows\\System32\\dllhost.exe<\/code>. \u0427\u0435\u0440\u0435\u0437 <code>SetThreadContext<\/code> \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f EntryPoint SUSPENDED-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a.<\/p>\n<h2>\u042d\u0442\u0430\u043f 3. RAT<\/h2>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 RAT.<\/p>\n<h3>\u0421\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0439<\/h3>\n<p>\u0421\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b Solar JSOC CERT \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0434\u0432\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041e\u0431\u0430 \u0444\u0430\u0439\u043b\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0441\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c\u0438 \u0434\u0430\u0442\u0430\u043c\u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0438\u0437 Debug-\u0441\u0435\u043a\u0446\u0438\u0438.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/188\/590\/e9c\/188590e9c96f5f1e340a6a10acef1658.png\" alt=\"21.07.2022 06:44:35 UTC   \" title=\"21.07.2022 06:44:35 UTC   \" width=\"652\" height=\"231\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/188\/590\/e9c\/188590e9c96f5f1e340a6a10acef1658.png\"\/><\/p>\n<div><figcaption>21.07.2022 06:44:35 UTC   <\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d6e\/b71\/acc\/d6eb71acc795d8cde739f119e6a60c37.png\" alt=\"22.07.2022 08:06:19 UTC   \" title=\"22.07.2022 08:06:19 UTC   \" width=\"650\" height=\"228\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d6e\/b71\/acc\/d6eb71acc795d8cde739f119e6a60c37.png\"\/><\/p>\n<div><figcaption>22.07.2022 08:06:19 UTC   <\/figcaption><\/div>\n<\/figure>\n<p>\u0415\u0441\u043b\u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u0435\u043a\u0446\u0438\u0439, \u0442\u043e \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0443 \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0437\u0434\u043d\u0435\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0432\u0441\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u0435\u043a\u0446\u0438\u0439 \u043a\u0440\u043e\u043c\u0435 .text \u0441\u043c\u0435\u0449\u0435\u043d\u044b \u043d\u0430 0x200. Bindiff \u043e\u0446\u0435\u043d\u0438\u043b \u0438\u043d\u0434\u0435\u043a\u0441 \u043f\u043e\u0445\u043e\u0436\u0435\u0441\u0442\u0438 \u0432 94% \u0441 \u0438\u043d\u0434\u0435\u043a\u0441\u043e\u043c \u0434\u043e\u0432\u0435\u0440\u0438\u044f \u0432 99%, \u0442\u043e \u0435\u0441\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0431\u044b\u043b\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043e \u0432 \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0437\u0434\u043d\u0435\u0439 \u0432\u0435\u0440\u0441\u0438\u0438.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/76c\/aaa\/01c\/76caaa01cd62d68081880f5ba9a1d83f.png\" width=\"899\" height=\"274\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/76c\/aaa\/01c\/76caaa01cd62d68081880f5ba9a1d83f.png\"\/><\/figure>\n<p>\u041f\u043e raw-\u0430\u0434\u0440\u0435\u0441\u0443 0xC\u042100 (0x40D800 VA) \u0432 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/467\/540\/376\/46754037656047f02616578678852bce.png\" width=\"899\" height=\"326\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/467\/540\/376\/46754037656047f02616578678852bce.png\"\/><\/figure>\n<p>\u0412 \u043d\u043e\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u0435\u0440\u0435\u0434 \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u043f\u043e raw-\u0430\u0434\u0440\u0435\u0441\u0443 0xCC20 (0x40D820 VA):<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/7a5\/607\/867\/7a5607867048bfa586b6bd0da4c7c921.png\" width=\"899\" height=\"278\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/7a5\/607\/867\/7a5607867048bfa586b6bd0da4c7c921.png\"\/><\/figure>\n<p>\u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0441\u0442\u0430\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f: \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435\u043c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0438 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 remote shell, \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043d\u0430 pipe\u2019\u0430\u0445:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9b3\/bf7\/a16\/9b3bf7a165c3a08bd994d4d2be069061.png\" width=\"899\" height=\"222\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9b3\/bf7\/a16\/9b3bf7a165c3a08bd994d4d2be069061.png\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/f55\/84b\/b64\/f5584bb64fed41bc40936ada20285ac9.jpg\" width=\"1256\" height=\"865\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f55\/84b\/b64\/f5584bb64fed41bc40936ada20285ac9.jpg\" data-blurred=\"true\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/1c9\/805\/3f3\/1c98053f3cff1549779f8a88c2c25c47.png\" width=\"1254\" height=\"824\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/1c9\/805\/3f3\/1c98053f3cff1549779f8a88c2c25c47.png\"\/><\/figure>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0440\u0430\u0437\u043c\u0435\u0440 .text \u0441\u0435\u043a\u0446\u0438\u0438 \u0431\u044b\u043b \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d \u0438\u0437-\u0437\u0430 \u0432\u044b\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u043d\u0438\u044f: \u0441 raw-\u0430\u0434\u0440\u0435\u0441\u0430 0x80A00 \u0438\u043b\u0438 0x80C00 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441\u0435\u043a\u0446\u0438\u044f .rdata (\u0431\u0430\u0439\u0442\u044b 7E 12 0A \u2026).<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/5fa\/955\/5ad\/5fa9555ad36b0dd9ad2a15fc6bdfec04.png\" width=\"899\" height=\"272\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/5fa\/955\/5ad\/5fa9555ad36b0dd9ad2a15fc6bdfec04.png\"\/><\/figure>\n<h3>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 RAT<\/h3>\n<p>\u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041f\u043e\u043c\u0438\u043c\u043e \u0441\u0430\u043c\u043e\u0433\u043e RAT \u0432 PE-\u0444\u0430\u0439\u043b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0435\u0449\u0451 \u0434\u0432\u0430 PE-\u0444\u0430\u0439\u043b\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a79\/ca8\/2da\/a79ca82da26fee0274c4c47cc31b629f.png\" width=\"899\" height=\"92\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a79\/ca8\/2da\/a79ca82da26fee0274c4c47cc31b629f.png\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/619\/521\/602\/61952160245a6771040574876273e477.png\" width=\"519\" height=\"447\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/619\/521\/602\/61952160245a6771040574876273e477.png\"\/><\/figure>\n<p><code>keylogger.exe<\/code> \u2013 \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, keylogger.<\/p>\n<p><code>ConsentUXA.dll<\/code> \u2013 \u044d\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0441\u043d\u0438\u043c\u043a\u043e\u0432 \u044d\u043a\u0440\u0430\u043d\u0430.<\/p>\n<p>\u0420\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u043f\u0440\u043e \u043d\u0438\u0445 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435: <\/p>\n<h2>keylogger.exe<\/h2>\n<p>\u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430 (<code>keylogger.exe<\/code>) \u0432\u0437\u044f\u0442\u043e \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 Name \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u0432.<\/p>\n<p><strong>keylogger.exe<\/strong> \u2013 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u043e\u0431\u043e\u0439 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e keylogger, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 <strong>\u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/strong> \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0441\u0432\u043e\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u0432 \u0444\u0430\u0439\u043b \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c \u00ab\u4757\u3857\u5750\u00bb (ascii-\u0441\u0442\u0440\u043e\u043a\u0430 WGW8PW). \u0415\u0441\u043b\u0438 \u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u043f\u0435\u0440\u0435\u0432\u0435\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b, \u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0447\u0442\u043e-\u0442\u043e \u043d\u0435\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u0435 \u0432\u0440\u043e\u0434\u0435 \u00ab\u0442\u0438\u0433\u0440 \u0441\u0438\u0434\u0438\u0442 \u0437\u0430 \u0434\u0432\u0435\u0440\u043d\u043e\u0439 \u0437\u0430\u043d\u0430\u0432\u0435\u0441\u043a\u043e\u0439\u00bb:<\/p>\n<p>\u4757 \u2013 \u00ab\u0442\u0438\u0433\u0440\u00bb \u0438\u043b\u0438 \u00ab\u0441\u0432\u0438\u0440\u0435\u043f\u044b\u0439 \u0438 \u043e\u0442\u0432\u0430\u0436\u043d\u044b\u0439 \u0441\u043e\u043b\u0434\u0430\u0442\u00bb;<\/p>\n<p>\u3857 \u2013 \u00ab\u0434\u0432\u0435\u0440\u043d\u0430\u044f \u0437\u0430\u043d\u0430\u0432\u0435\u0441\u043a\u0430 \/ \u043f\u0435\u0440\u0435\u0433\u043e\u0440\u043e\u0434\u043a\u0430\u00bb, \u00ab\u043f\u0443\u0448\u0438\u0441\u0442\u044b\u0439 \/ \u043f\u0435\u0440\u043d\u0430\u0442\u044b\u0439\u00bb, \u0432\u0438\u0434 \u0442\u043e\u043d\u043a\u043e\u0433\u043e \u0448\u0435\u043b\u043a\u0430;<\/p>\n<p>\u5750 \u2013 \u00ab\u0441\u0438\u0434\u0435\u0442\u044c\u00bb.<\/p>\n<p>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b, \u0442\u0430\u043a \u043a\u0430\u043a ascii-\u0441\u0442\u0440\u043e\u043a\u0430 WGW8PW \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f RAT \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 egg-\u0441\u0442\u0440\u043e\u043a\u0438.<\/p>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430, \u0435\u0441\u043b\u0438 \u0443 RAT \u0435\u0441\u0442\u044c \u043f\u0440\u0430\u0432\u0430 LocalSystem, \u0442\u043e \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u043e\u0442\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u0430\u0436\u0434\u044b\u0435 \u0442\u0440\u0438 \u043c\u0438\u043d\u0443\u0442\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0438 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043d\u043e\u0432\u043e\u0433\u043e \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0440\u0443\u0435\u0442 keylogger. \u0421\u0445\u0435\u043c\u0430 \u0438\u043d\u0436\u0435\u043a\u0442\u0430 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430 \u0432\u044b\u0448\u0435\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0439 \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u0430\u043c\u043e\u0433\u043e RAT. \u041f\u0435\u0440\u0435\u0434 \u0441\u0430\u043c\u0438\u043c \u0438\u043d\u0436\u0435\u043a\u0442\u043e\u043c \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0432 raw-\u043e\u0431\u0440\u0430\u0437\u0435 <code>keylogger.exe<\/code> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0437\u0430\u043c\u0435\u043d\u0430 egg-\u0441\u0442\u0440\u043e\u043a\u0438 WGW8PW \u043d\u0430 \u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430 <code>keylogger_output_filename<\/code> \u0438\u0437 \u043a\u043e\u043d\u0444\u0438\u0433\u0430 RAT:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/6ce\/fc6\/ded\/6cefc6dedfc891ae0e19d7535413ae3f.png\" width=\"899\" height=\"429\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/6ce\/fc6\/ded\/6cefc6dedfc891ae0e19d7535413ae3f.png\"\/><\/figure>\n<p>Mutex &#171;<code>KeyLog<\/code>&#187; \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f, \u0447\u0442\u043e\u0431\u044b \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043b \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0434\u0438\u043d \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440 Keylogger. \u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043d\u0435\u0432\u0438\u0434\u0438\u043c\u043e\u0435 \u043e\u043a\u043d\u043e c \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c <code>SetEvent<\/code>, \u043a\u043b\u0430\u0441\u0441\u043e\u043c <code>Twnd<\/code> \u0438 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u0430 <code>WM_INPUT<\/code>. \u0414\u0430\u043b\u0435\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>RegisterRawInputDevices<\/code> \u043e\u043a\u043d\u0443 \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f <code>WM_INPUT<\/code> \u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>GetRawInputData<\/code> \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0436\u0430\u0442\u044b\u0435 \u043a\u043b\u0430\u0432\u0438\u0448\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435:<\/p>\n<p>\u00a0<code>\\r\\n\\r\\n[%02d:%02d:%02d %4d-%02d-%02d]--[USER:&lt;\u0438\u043c\u044f_\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f>]--[&lt;\u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a_\u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e_\u043e\u043a\u043d\u0430 >]\\r\\n&lt;\u043d\u0430\u0436\u0430\u0442\u044b\u0435 \u043a\u043b\u0430\u0432\u0438\u0448\u0438><\/code><\/p>\n<p>\u041f\u0435\u0440\u0435\u0434 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u0434\u0430\u043d\u043d\u044b\u0435 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043e\u0434\u043d\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0433\u043e xor 0x7F.<\/p>\n<h3>ConsentUXA.dll<\/h3>\n<p>\u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430 (<code>ConsentUXA.dll<\/code>) \u0432\u0437\u044f\u0442\u043e \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 Name \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u0432.<\/p>\n<p><code>ConsentUXA.dll<\/code> \u2013 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0430\u044f \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 #1 ScreenCapture, #2 ScreenSpy.<\/p>\n<p>\u0414\u0430\u0442\u0430 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0438\u0437 File Header \u2013 20.07.2022 01:31:32 UTC.<\/p>\n<p>\u041f\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f\u043c \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0443\u0447\u0430\u0441\u0442\u043a\u0430\u043c \u043a\u043e\u0434\u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0437\u0430 \u043e\u0441\u043d\u043e\u0432\u0443 \u0431\u044b\u043b \u0432\u0437\u044f\u0442 <a href=\"https:\/\/github.com\/zibility\/Remote\/blob\/master\/client\/ClientDll\/ScreenSpy.cpp\">\u043a\u043e\u0434 \u043c\u043e\u0434\u0443\u043b\u044f ScreenSpy Gh0st RAT \u0441 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u043e\u0442 31.07.2016<\/a>.<\/p>\n<p>\u0412 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u0432 \u0444\u0430\u0439\u043b\u0435 server\\2015Remote\\2015Remote.rc \u0443\u043a\u0430\u0437\u0430\u043d\u0430 \u0432\u0435\u0440\u0441\u0438\u044f 1.0.0.1, \u0447\u0442\u043e \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 \u0431\u043e\u043b\u0435\u0435 \u0441\u0442\u0430\u0440\u044b\u0445 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u0432 Gh0st RAT:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/74a\/b3e\/459\/74ab3e459440098e9e2a10b00b9e144a.png\" width=\"735\" height=\"211\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/74a\/b3e\/459\/74ab3e459440098e9e2a10b00b9e144a.png\"\/><\/figure>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0438\u043c\u0435\u044e\u0442\u0441\u044f \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438-\u043a\u043b\u043e\u043d\u044b \u0441 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u043a\u043e\u0434\u0430\u043c\u0438 Gh0st RAT \u0432\u0435\u0440\u0441\u0438\u0438 3.6. \u0417\u0434\u0435\u0441\u044c \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d \u043e\u0434\u0438\u043d \u0438\u0437 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u043e\u0432 \u0441 \u0441\u0430\u043c\u044b\u043c \u043f\u043e\u0445\u043e\u0436\u0438\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u044d\u0442\u043e\u0442 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 2016 \u0433\u043e\u0434\u0430 (\u043e\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f zibility) \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0431\u043e\u043b\u0435\u0435 \u043d\u043e\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e Gh0st.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d10\/b41\/9cb\/d10b419cbdbb348e7f4a16fe69f9b627.png\" alt=\"\u041a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440 ScreenSpy \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438   \" title=\"\u041a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440 ScreenSpy \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438   \" width=\"531\" height=\"702\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d10\/b41\/9cb\/d10b419cbdbb348e7f4a16fe69f9b627.png\"\/><\/p>\n<div><figcaption><a href=\"https:\/\/github.com\/zibility\/Remote\/blob\/d6ce322a9dde208185a4361d7a7d7a0ede53d395\/client\/ClientDll\/ScreenSpy.cpp#L13\">\u041a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440 ScreenSpy \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438<\/a>   <\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/820\/e4f\/60c\/820e4f60c10db776330d5f6ae32c431b.png\" alt=\"ConstructBI \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438\" title=\"ConstructBI \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438\" width=\"916\" height=\"593\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/820\/e4f\/60c\/820e4f60c10db776330d5f6ae32c431b.png\"\/><\/p>\n<div><figcaption><a href=\"https:\/\/github.com\/zibility\/Remote\/blob\/d6ce322a9dde208185a4361d7a7d7a0ede53d395\/client\/ClientDll\/ScreenSpy.cpp#L119\">ConstructBI \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438<\/a><\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/db8\/302\/78c\/db830278ce263d47345a541d786614b0.png\" width=\"916\" height=\"759\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/db8\/302\/78c\/db830278ce263d47345a541d786614b0.png\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/179\/07e\/31f\/17907e31f26ada395e57cecbf81f5a64.png\" alt=\"CompareBitmap \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438   \" title=\"CompareBitmap \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438   \" width=\"712\" height=\"813\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/179\/07e\/31f\/17907e31f26ada395e57cecbf81f5a64.png\"\/><\/p>\n<div><figcaption><a href=\"https:\/\/github.com\/zibility\/Remote\/blob\/d6ce322a9dde208185a4361d7a7d7a0ede53d395\/client\/ClientDll\/ScreenSpy.cpp#L262\">CompareBitmap \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438<\/a>   <\/figcaption><\/div>\n<\/figure>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f #1 ScreenCapture \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u044d\u043a\u0440\u0430\u043d\u0430. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0431\u043e\u0442\u044b \u0432\u044b\u0432\u043e\u0434\u044f\u0442\u0441\u044f \u0432 <code>STD_OUTPUT_HANDLE<\/code>. \u041f\u0435\u0440\u0432\u044b\u0435 4 \u0431\u0430\u0439\u0442\u0430 \u2013 \u0440\u0430\u0437\u043c\u0435\u0440, \u0434\u0430\u043b\u0435\u0435 \u2013 \u0434\u0430\u043d\u043d\u044b\u0435 bmp-\u0444\u0430\u0439\u043b\u0430.<\/p>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f #1 ScreenSpy \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u044b \u044d\u043a\u0440\u0430\u043d\u0430, \u0438\u043c\u0438\u0442\u0438\u0440\u0443\u044f \u00ab\u0441\u043b\u0435\u0436\u043a\u0443\u00bb \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u0438. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0431\u043e\u0442\u044b \u0442\u0430\u043a\u0436\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0432 <code>STD_OUTPUT_HANDLE<\/code>. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u043e\u0435 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u044d\u043a\u0440\u0430\u043d\u0430, \u043a\u043e\u0433\u0434\u0430 \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0435\u0433\u043e \u0447\u0430\u0441\u0442\u044c. \u041f\u0435\u0440\u0435\u0434 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u043e\u0439 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0447\u0430\u0441\u0442\u0435\u0439 \u0441 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u043c\u0438 \u0447\u0430\u0441\u0442\u044f\u043c\u0438 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043d\u0438\u043c\u043a\u0430. \u0412 <code>STD_OUTPUT_HANDLE<\/code> \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0435 \u0447\u0430\u0441\u0442\u0438 (\u0437\u0434\u0435\u0441\u044c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043d\u0435 \u0431\u0443\u0434\u0435\u043c \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0445 \u0447\u0430\u0441\u0442\u0435\u0439, \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 \u043a\u043e\u0434 \u0435\u0441\u0442\u044c \u043d\u0430 github). \u0424\u043e\u0440\u043c\u0430\u0442 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d: \u043f\u0435\u0440\u0432\u044b\u0435 4 \u0431\u0430\u0439\u0442\u0430 \u2013 \u0440\u0430\u0437\u043c\u0435\u0440, \u0434\u0430\u043b\u0435\u0435 \u2013 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 bmp-\u0444\u0430\u0439\u043b\u0430.<\/p>\n<h3>\u0411\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 wolfSSL<\/h3>\n<p>\u0412\u0441\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u043d\u044b\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u044b \u043e\u0431\u0449\u0430\u043b\u0438\u0441\u044c \u0441 C2 \u0447\u0435\u0440\u0435\u0437 raw-\u0441\u043e\u043a\u0435\u0442\u044b \u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c wolfSSL, \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u044e\u0449\u0443\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 SSL. \u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 \u0441\u0442\u0440\u043e\u043a\u0430\u0445 \u043d\u0435 \u0431\u044b\u043b\u043e \u043d\u0438\u043a\u0430\u043a\u0438\u0445 <strong>\u043f\u0440\u044f\u043c\u044b\u0445<\/strong> \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0439 \u044d\u0442\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438. \u041f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043a\u043e\u0434\u0430 \u0432 \u0433\u043b\u0430\u0437\u0430 \u0431\u0440\u043e\u0441\u0438\u043b\u0438\u0441\u044c \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043a\u043e\u0434\u044b \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/1c5\/3f0\/f00\/1c53f0f0006b734c99eba14a8b34a21b.png\" width=\"536\" height=\"498\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/1c5\/3f0\/f00\/1c53f0f0006b734c99eba14a8b34a21b.png\"\/><\/figure>\n<p>\u041a\u043e\u0434\u044b \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u043e\u0448\u0438\u0431\u043e\u043a \u0432 wolfSSL \u0438\u043c\u0435\u044e\u0442 \u043e\u0442\u0440\u0438\u0446\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f. \u0422\u0430\u043a\u0436\u0435 \u043c\u044b <a href=\"https:\/\/gist.github.com\/stvemillertime\/b79bec53c6d10df1b34dc30e3dabd6cd\">\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438<\/a> yara-\u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043e\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f Steven Miller, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 wolfSSL.<\/p>\n<h2>\u041e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0438<\/h2>\n<p>\u041f\u0440\u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0438 \u0432\u0435\u0440\u0441\u0438\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u043b\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 \u0438 \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u043e\u0433\u0434\u0430 \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0435 yara-\u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u0451\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c. \u0410 \u043f\u043e\u0437\u0436\u0435 \u043e\u0434\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0438 \u0440\u0430\u0437\u043c\u0435\u0440 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b <code>WOLFSSL_CTX<\/code> \u043f\u043e\u043c\u043e\u0433\u043b\u0438 \u0442\u043e\u0447\u043d\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0435\u0439.<\/p>\n<p>\u041e\u043f\u0435\u0447\u0430\u0442\u043a\u0430 \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0436\u0435\u0441\u0442\u043a\u043e \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 DOWNGRD, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0435 TLS 1.3. \u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0434\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0441 \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u043e\u0439 \u043f\u043e\u044f\u0432\u0438\u043b\u0430\u0441\u044c \u0432 \u0440\u0435\u043b\u0438\u0437\u0435 3.12.0 (08.08.2017) \u0432 \u0444\u0430\u0439\u043b\u0435 src\/internal.c: <a href=\"https:\/\/github.com\/wolfSSL\/wolfssl\/releases\/tag\/v3.12.0-stable\">https:\/\/github.com\/wolfSSL\/wolfssl\/releases\/tag\/v3.12.0-stable<\/a><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/35f\/8d5\/6b8\/35f8d56b82adcdd4528ba888eff7ebb1.png\" width=\"896\" height=\"81\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/35f\/8d5\/6b8\/35f8d56b82adcdd4528ba888eff7ebb1.png\"\/><\/figure>\n<p>\u0412\u043c\u0435\u0441\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f <code>DOWNGRD<\/code> \u0431\u044b\u043b\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <code>DOGNGRD<\/code> (0x47 \u2013 &#171;G&#187;, 0x57 \u2013 &#171;W&#187;). \u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u043e\u0431\u044b\u0447\u043d\u0430\u044f \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u0430. \u0415\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u0441\u043f\u0443\u0441\u0442\u044f 3 \u0433\u043e\u0434\u0430 \u0432 \u0432\u0435\u0440\u0441\u0438\u0438 4.4.0 (22.04.2020):<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/605\/96b\/711\/60596b711dd79396b5a76c73ed076f96.png\" width=\"973\" height=\"202\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/605\/96b\/711\/60596b711dd79396b5a76c73ed076f96.png\"\/><\/figure>\n<p>\u0412\u043e \u0432\u0441\u0435\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u0430 \u0441\u0442\u0440\u043e\u043a\u0430 \u0441 \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u043e\u0439 DOGNGRD, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0435\u0440\u0441\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL \u0432\u0430\u0440\u044c\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043e\u0442 3.12.0 \u0434\u043e 4.4.0 \u043d\u0435 \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e.<\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438, \u0447\u0442\u043e \u0432 \u0432\u0435\u0440\u0441\u0438\u0438 4.5.0 &#171;\u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u044b&#187; \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 Finished-\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u0432 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0435 TLS \u0432 \u0444\u0430\u0439\u043b\u0435 <code>wolfssl\/internal.h<\/code>, \u0441\u043b\u0435\u0433\u043a\u0430 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0438\u0441\u044c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/77c\/422\/4f6\/77c4224f684193f9f2c71808c212d60f.png\" width=\"978\" height=\"76\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/77c\/422\/4f6\/77c4224f684193f9f2c71808c212d60f.png\"\/><\/figure>\n<p>\u0412 \u043a\u043e\u043d\u0435\u0446 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440 \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0431\u0430\u0439\u0442 0x00. \u042d\u0442\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u00ab\u043b\u043e\u043c\u0430\u0435\u0442\u00bb \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0435 yara-\u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0442\u0430\u043a \u043a\u0430\u043a \u0431\u0430\u0437\u043e\u0432\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u0430<\/p>\n<p>\u00a0<code>$base = \"CLNTSRVRclient finished\" ascii wide<\/code><\/p>\n<p><code>$base2 = \"CLNTserver finished\" ascii wide<\/code><\/p>\n<p>\u0432 wolfSSL \u0432\u0435\u0440\u0441\u0438\u0438 \u043d\u0438\u0436\u0435 4.4.0 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043f\u043e-\u0434\u0440\u0443\u0433\u043e\u043c\u0443:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/7bd\/e38\/6d7\/7bde386d7d573e5a6eed5067114976fb.png\" width=\"766\" height=\"43\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/7bd\/e38\/6d7\/7bde386d7d573e5a6eed5067114976fb.png\"\/><\/figure>\n<p>\u0414\u043b\u044f \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f wolfSSL \u043b\u044e\u0431\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 \u043c\u043e\u0436\u0435\u043c \u043f\u043e\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u043e\u0432\u0430\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0436\u0435\u0441\u0442\u043a\u043e \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 md5 inner pad \u0438 md5 outer pad, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 Finished-\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u0438 \u0437\u0430\u0434\u0430\u044e\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 <code>wolfssl\/internal.c<\/code>:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/132\/e90\/bde\/132e90bdef7533210a11f90346398696.png\" width=\"888\" height=\"324\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/132\/e90\/bde\/132e90bdef7533210a11f90346398696.png\"\/><\/figure>\n<p>\u041a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430 <code>PAD_MD5<\/code> \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0430 \u0432 \u0444\u0430\u0439\u043b\u0435 <code>wolfssl\/internal.h<\/code>:<\/p>\n<p><code>PAD_MD5\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 = 48,\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \/* pad length for finished *\/<\/code><\/p>\n<p>\u00a0\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0432 yara-\u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0431\u0430\u0437\u043e\u0432\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438:<\/p>\n<p><code>\/\/ md5_inner_pad<\/code><\/p>\n<p><code>$base3 = { 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 36 }<\/code><\/p>\n<p><code>\/\/ md5_outer_pad<\/code><\/p>\n<p><code>$base4 = { 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C 5C } <\/code><\/p>\n<p>\u041f\u043e\u0437\u0436\u0435 \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438, \u0447\u0442\u043e \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>wolfSSL_Init<\/code> \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f <code>wc_InitRng(&amp;globalRNG)<\/code>:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/16a\/29a\/e94\/16a29ae9466420efcc9e03d6e00c85a7.png\" width=\"616\" height=\"460\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/16a\/29a\/e94\/16a29ae9466420efcc9e03d6e00c85a7.png\"\/><\/figure>\n<p>\u0422\u0430\u043a \u043a\u0430\u043a \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0431\u044b\u043b\u0430 \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0441 \u043e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u0435\u0439, \u043c\u044b \u0432\u0438\u0434\u0438\u043c \u0432\u044b\u0437\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>wc_InitRng<\/code>, \u043d\u043e \u0432 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>wolfSSL_Init<\/code> \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f <code>wolfSSL_RAND_seed(NULL, 0)<\/code>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0434\u0430\u043b\u0435\u0435 \u043f\u043e \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u0432\u044b\u0437\u043e\u0432 <code>wc_InitRng<\/code>: <\/p>\n<p><code>wolfSSL_RAND_seed \u2192 wolfSSL_RAND_Init \u2192 wc_InitRng<\/code><\/p>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u044f <code>wolfSSL_RAND_seed<\/code> \u0441\u0442\u0430\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c\u0441\u044f \u0432 <code>wolfSSL_Init<\/code>, \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 4.1.0:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/c7a\/e82\/51d\/c7ae8251d4a891fdd1ba35a20a0788fb.png\" width=\"974\" height=\"319\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/c7a\/e82\/51d\/c7ae8251d4a891fdd1ba35a20a0788fb.png\"\/><\/figure>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d \u0432\u0435\u0440\u0441\u0438\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL \u0441\u043e\u043a\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f:<\/p>\n<p>4.0.0 &lt; <code>wolfSSL_version<\/code> &lt; 4.4.0<\/p>\n<p>\u0414\u043b\u044f \u0431\u043e\u043b\u0435\u0435 \u0442\u043e\u0447\u043d\u043e\u0433\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0432\u0435\u0440\u0441\u0438\u0438 \u043c\u044b \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u043c \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b <code>WOLFSSL_CTX<\/code>. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0440\u0430\u0437\u043c\u0435\u0440 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432, \u0437\u0430\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0445 \u043f\u0440\u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL. \u041c\u044b \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b\u0438 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u0432 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0434\u043b\u044f \u0440\u0430\u0437\u043d\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 wolfSSL. \u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e (\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u043c\u043d\u043e\u0433\u0438\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b <code>WOLFSSL_CTX<\/code> \u0432 RAT \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u043b\u0438 \u0441\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f\u043c\u0438 \u0432 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435, \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e).<\/p>\n<p>\u0422\u0430\u0431\u043b\u0438\u0446\u0430 \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u0432 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b <code>WOLFSSL_CTX<\/code> \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"center\"><strong>\u0412\u0435\u0440\u0441\u0438\u044f wolfSSL<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u0420\u0430\u0437\u043c\u0435\u0440 WOLFSSL_CTX<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">v4.1.0-stable<\/p>\n<\/td>\n<td>\n<p align=\"center\">0xF4<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">wolfRand-RC2<\/p>\n<\/td>\n<td>\n<p align=\"center\">0xF8<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">v4.2.0-stable<\/p>\n<\/td>\n<td>\n<p align=\"center\">0xFC<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">v4.2.0c<\/p>\n<\/td>\n<td>\n<p align=\"center\">0xFC<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">v4.3.0-stable<\/p>\n<\/td>\n<td>\n<p align=\"center\">0xFC<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0420\u0430\u0437\u043c\u0435\u0440 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b <code>WOLFSSL_CTX<\/code> \u0432 RAT \u2013 0xF4:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/fce\/6a6\/f5f\/fce6a6f5f26396617aeaea8861c47cfd.png\" width=\"586\" height=\"424\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/fce\/6a6\/f5f\/fce6a6f5f26396617aeaea8861c47cfd.png\"\/><\/figure>\n<p>\u0412 \u0438\u0442\u043e\u0433\u0435 \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u0432 \u0434\u0435\u043b\u0430\u0435\u043c \u0432\u044b\u0432\u043e\u0434, \u0447\u0442\u043e \u0432 RAT \u0441 \u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f wolfSSL \u0432\u0435\u0440\u0441\u0438\u0438 v4.1.0-stable (23.06.2019).<\/p>\n<h2>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0432 RAT<\/h2>\n<p>\u0414\u043b\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441 C2 RAT \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 raw-\u0441\u043e\u043a\u0435\u0442\u044b \u0438 \u043c\u0435\u0442\u043e\u0434\u044b \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043a\u0440\u0430\u0442\u043a\u043e \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b wolfSSL. <\/p>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f TLS 1.2 \u0438 \u0440\u0435\u0436\u0438\u043c SSL_VERIFY_NONE, \u043f\u0440\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u043c RAT \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 C2 \u043f\u0440\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/1f5\/f5e\/5d0\/1f5f5e5d0ce2d713dc225a88aa508b31.png\" width=\"782\" height=\"844\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/1f5\/f5e\/5d0\/1f5f5e5d0ce2d713dc225a88aa508b31.png\"\/><\/figure>\n<p>\u00a0\u0423 RAT \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u043a\u0430\u043a\u0438\u0435-\u043b\u0438\u0431\u043e \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b.<\/p>\n<p>\u00a0\u0414\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b wolfSSL \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432\u0441\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u0432 <a href=\"https:\/\/github.com\/wolfSSL\/wolfssl-examples\/blob\/master\/tls\/README.md#client-tls\">\u0441\u0442\u0430\u0442\u044c\u0435<\/a> \u043c\u0435\u0442\u043e\u0434\u044b (wolfSSL_Init, wolfSSL_CTX_new, wolfSSL_new, wolfSSL_set_fd, wolfSSL_connect), \u043a\u0440\u043e\u043c\u0435 \u0442\u0435\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u044b \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438.<\/p>\n<p>\u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f wolfSSL_read (\u0432 \u0441\u0430\u043c\u043e\u043c RAT \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 mw_wolfSSL_readall) \u0438 wolfSSL_write.<\/p>\n<h3>\u041a\u043b\u0430\u0441\u0441\u044b, STL, RTTI-\u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b<\/h3>\n<p>\u0412\u0441\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0434\u043b\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441 C2 \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 wolfSSL \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0432 \u043a\u043b\u0430\u0441\u0441\u0435 TCPSocket, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u0442\u0441\u044f \u043e\u0442 \u0431\u0430\u0437\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430 TSocket \u0441 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043c\u0435\u0442\u043e\u0434\u0430\u043c\u0438.<\/p>\n<p>\u0421\u0430\u043c RAT \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043d\u0430 C++ \u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043c\u0435\u0442\u043e\u0434\u044b \u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b STL. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b \u0438 \u043c\u0435\u0442\u043e\u0434\u044b std::string, std::wstring, std::vector, std::list, std::shared_ptr, std::tuple, std::unique_ptr, std::ofstream, std::ifstream, std::filebuf.<\/p>\n<p>\u0418\u043c\u0435\u044e\u0442\u0441\u044f RTTI-\u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0435 \u0442\u0438\u043f\u044b \u0434\u0430\u043d\u043d\u044b\u0445 RAT. \u041f\u0440\u0438\u043c\u0435\u0440 \u043e\u0434\u043d\u043e\u0439 \u043f\u043e\u043b\u043d\u043e\u0439 RTTI-\u0441\u0442\u0440\u043e\u043a\u0438:<\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;void (__cdecl*) std::shared_ptr&lt;TSocket>,NETHEAD,MByteArray*),std::shared_ptr&lt;TSocket>,NETHEAD,MByteArray *><\/code><\/p>\n<p>\u0414\u0430\u043d\u043d\u0430\u044f RTTI-\u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043c\u0435\u0442\u043e\u0434\u0430\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043e\u0437\u0434\u0430\u044e\u0442 std::unique_ptr, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 tuple \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0434\u043b\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u043e\u0442\u043e\u043a\u0430. \u0418\u0437 \u0434\u043b\u0438\u043d\u043d\u043e\u0439 RTTI-\u0441\u0442\u0440\u043e\u043a\u0438 \u0432\u044b\u0434\u0435\u043b\u0438\u043c \u0441\u0430\u043c\u044b\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0439 \u0444\u0440\u0430\u0433\u043c\u0435\u043d\u0442:<\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;void (__cdecl*)(std::shared_ptr&lt;TSocket>,NETHEAD,MByteArray*),std::shared_ptr&lt;TSocket>,NETHEAD,MByteArray *><\/code><\/p>\n<p>\u0412 \u043d\u0435\u043c \u0432\u0438\u0434\u043d\u044b \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0435 \u0442\u0438\u043f\u044b NETHEAD (\u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f C2) \u0438 MByteArray. \u0422\u0430\u043a\u0436\u0435 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 IDA \u0432\u0441\u0435\u0433\u0434\u0430 \u0441\u0442\u043e\u0438\u0442 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043a\u043e\u0434 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432, \u0442\u0430\u043a \u043a\u0430\u043a \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 tuple \u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f\u0445 \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0432 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u043c \u043f\u043e\u0440\u044f\u0434\u043a\u0435, \u0447\u0442\u043e \u0438 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u043e\u0441\u044c \u0432 \u043d\u0430\u0448\u0438\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f06\/7f9\/e9d\/f067f9e9d71a80386d916116ad896386.png\" width=\"703\" height=\"181\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f06\/7f9\/e9d\/f067f9e9d71a80386d916116ad896386.png\"\/><\/figure>\n<p>\u041e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 RTTI-\u0441\u0442\u0440\u043e\u043a\u0438 \u043c\u044b \u0432\u044b\u043d\u0435\u0441\u043b\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b \u00abIndicators of Compromise\u00bb. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043e\u043d\u0438 \u043f\u0440\u0438\u0433\u043e\u0434\u044f\u0442\u0441\u044f \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u044b\u0445 \u0440\u0435\u043b\u0438\u0437\u043e\u0432 RAT. \u0410 \u043e\u043d\u0438 \u0442\u043e\u0447\u043d\u043e \u0431\u0443\u0434\u0443\u0442. \u041f\u043e \u043a\u043e\u0434\u0443 \u0432\u0438\u0434\u043d\u044b \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0435 \u0442\u0438\u043f\u044b \u0434\u0430\u043d\u043d\u044b\u0445, \u043a\u043b\u0430\u0441\u0441\u044b, \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435, \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u043e\u043b\u0438\u043c\u043e\u0440\u0444\u0438\u0437\u043c. \u0410 \u043f\u043e \u043a\u043e\u0434\u0443 \u0432\u0435\u0440\u0441\u0438\u0438 3.3a \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0438\u0434\u0451\u0442 \u0430\u043a\u0442\u0438\u0432\u043d\u0430\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0438 \u0434\u043e\u0440\u0430\u0431\u043e\u0442\u043a\u0430 RAT.<\/p>\n<h2>\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b RAT<\/h2>\n<p>\u041d\u0438\u0436\u0435 \u043e\u043f\u0438\u0448\u0435\u043c \u0441\u0430\u043c\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 RAT, \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043e\u0431\u043b\u0430\u0434\u0430\u044e\u0442 \u0434\u0430\u043b\u0435\u043a\u043e \u043d\u0435 \u0432\u0441\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u0435\u043b\u0438 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430 \u0412\u041f\u041e.<\/p>\n<h4>Failover C2<\/h4>\n<p>\u0418\u043c\u0435\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b \u0441\u043c\u0435\u043d\u044b C2 (failover C2), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 C2. \u0421\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435 \u0437\u0430\u0434\u0430\u043d \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>new_c2_url<\/code>. \u0410 \u0442\u0430\u043a\u0436\u0435 \u0432 \u0434\u0432\u0443\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445:<\/p>\n<ul>\n<li>\n<p>\u0434\u043e \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0441 C2, \u0435\u0441\u043b\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0443\u043a\u0430\u0437\u0430\u043d C2;<\/p>\n<\/li>\n<li>\n<p>\u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0446\u0438\u043a\u043b\u0435 \u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0441 C2, \u0435\u0441\u043b\u0438 \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u0442\u044c\u0441\u044f.<\/p>\n<\/li>\n<\/ul>\n<p>\u0427\u0435\u0440\u0435\u0437 wolfSSL GET-\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0441 <code>new_c2_url<\/code> \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0435 \u0432\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b (\u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 tmpnam_s, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, <code>%temp%\\uwg.0<\/code>), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0442\u0435\u043c \u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u0430\u043c\u044f\u0442\u044c. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f. \u0411\u0435\u0440\u0435\u0442\u0441\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u043c\u0435\u0436\u0434\u0443 \u0436\u0435\u0441\u0442\u043a\u043e \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c\u0438 \u0441\u0442\u0440\u043e\u043a\u0430\u043c\u0438 <code>YTc1YzI1Y2ZmNTg4NDFj<\/code>  \u0438 <code>YjVhZDI1MGUzNjJmMThkZmI<\/code>. \u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443 base64, \u0437\u0430\u0442\u0435\u043c \u0447\u0435\u0440\u0435\u0437 xor 9. \u0421\u0445\u0435\u043c\u0430 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438 \u00ab\u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f\u00bb xor-\u043a\u043b\u044e\u0447\u0430 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0439 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 <em>\u00ab\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 RAT \u0438 \u0437\u0430\u043f\u0438\u0441\u044c \u043a\u043e\u043d\u0444\u0438\u0433\u0430\u00bb<\/em>.<\/p>\n<p>\u0412 \u0438\u0442\u043e\u0433\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0444\u043e\u0440\u043c\u0430\u0442\u0430:<\/p>\n<p><code>new_c2_URI\\tnew_c2_port\\tnew_operation_mode_value<\/code>, \u0433\u0434\u0435<\/p>\n<p>\u00a0<code>new_c2_URI<\/code> \u2013 URI \u043d\u043e\u0432\u043e\u0433\u043e C2.<\/p>\n<p><code>new_c2_port<\/code> \u2013 \u043f\u043e\u0440\u0442 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u043d\u043e\u0432\u043e\u043c\u0443 C2.<\/p>\n<p><code>new_operation_mode_value<\/code> \u2013 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f 0, 1, 2.<\/p>\n<p>\u00a00 \u2013 \u0441\u043e\u0437\u0434\u0430\u0442\u044c <code>shared_ptr&lt;TCPSocket><\/code>.<\/p>\n<p>1 \u2013 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0439 <code>shared_ptr&lt;TCPSocket><\/code>.<\/p>\n<p>2 \u2013 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u043e\u0442\u043e\u043a \u043e\u0442\u0441\u0442\u0443\u043a\u0430 \u043d\u0430 C2 \u2013 \u043a\u0430\u0436\u0434\u0443\u044e \u043c\u0438\u043d\u0443\u0442\u0443 \u043d\u0430 C2 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a (\u0431\u0435\u0437 \u0431\u043b\u043e\u043a\u0430 \u0434\u0430\u043d\u043d\u044b\u0445), \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 0x70000019.<\/p>\n<p>\u0412 \u043a\u043e\u043d\u0444\u0438\u0433\u0430\u0445 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>new_c2_url<\/code> \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b.<\/p>\n<h4>Authenticated Proxy<\/h4>\n<p>RAT \u043c\u043e\u0436\u0435\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0442\u044c\u0441\u044f \u0441 C2 \u0447\u0435\u0440\u0435\u0437 http proxy-\u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c HTTP Tunneling. \u0422\u0430\u043a\u0436\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u043e\u043a\u0441\u0438 \u0441 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 GSSAPI SPNEGO. \u041f\u0440\u0438\u043c\u0435\u0440 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 RAT \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438:<\/p>\n<p><code>CONNECT &lt;c2_url>:&lt;c2_port> HTTP\/1.1 \\r\\n<\/code><\/p>\n<p><code>User-Agent: My Service Endpoint 1.0\\r\\n<\/code><\/p>\n<p><code>Host: &lt;c2_url>\\r\\n<\/code><\/p>\n<p><code>Proxy-Connection: Keep-Alive\\r\\n<\/code><\/p>\n<p><code>Pragma: no-cache\\r\\n<\/code><\/p>\n<p><code>Proxy-Authorization: Negotiate &lt;base64_encoded_client_token>\\r\\n<\/code><\/p>\n<p><code>Content-Length: 0\\r\\n\\r\\n<\/code><\/p>\n<p><code>User-Agent: My Service Endpoint 1.0<\/code> \u0431\u044b\u043b \u0437\u0430\u043c\u0435\u0447\u0435\u043d \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438: <a href=\"https:\/\/github.com\/airfer\/NtlmProxy\/blob\/2c83aa83f29e9f24f9efcd0c2a0e4850328d07e0\/ntlm_proxy.c#L320\">https:\/\/github.com\/airfer\/NtlmProxy\/blob\/2c83aa83f29e9f24f9efcd0c2a0e4850328d07e0\/ntlm_proxy.c#L320<\/a><\/p>\n<p>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043a\u0430\u043a\u0430\u044f-\u0442\u043e \u0435\u0433\u043e \u0447\u0430\u0441\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u043f\u0440\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043a\u043e\u0434\u0430, \u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0437\u0430 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e \u043d\u0430 \u043f\u0440\u043e\u043a\u0441\u0438.<\/p>\n<h4>\u0412\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441 C2<\/h4>\n<p>\u041f\u0435\u0440\u0432\u044b\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u043c \u043d\u0430 C2 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b RAT. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 ID \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0432\u0441\u0435 \u0442\u0430\u043a \u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f MD5-\u0445\u0435\u0448 \u0441\u0442\u0440\u043e\u043a\u0438 MAC-\u0430\u0434\u0440\u0435\u0441\u0430 \u0438 \u0438\u043c\u0435\u043d\u0438 \u0445\u043e\u0441\u0442\u0430 (\u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0431\u0435\u0437 \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u0442\u0435\u043b\u0435\u0439), \u043a\u0430\u043a \u0431\u044b\u043b\u043e \u0432 \u0432\u0435\u0440\u0441\u0438\u0438 1.0. \u0421 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0442\u0435 \u0436\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u043e\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0431<em>\u043e<\/em>\u043b\u044c\u0448\u0438\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 RAT. \u041f\u043e\u0441\u043b\u0435 \u043e\u0436\u0438\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0432\u0435\u0442 \u043e\u0442 C2.<\/p>\n<p>\u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a, \u0437\u0430\u0442\u0435\u043c, \u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0435. \u0412\u0441\u0435 \u043f\u0430\u043a\u0435\u0442\u044b (\u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0438 \u0434\u0430\u043d\u043d\u044b\u0435) \u043f\u0435\u0440\u0435\u0434 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u043e\u0439 \u0447\u0435\u0440\u0435\u0437 wolfSSL \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f \u043f\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443 RC4 \u0441 \u043a\u043b\u044e\u0447\u043e\u043c 0x9CEC78BD. \u041f\u0440\u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0438 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 \u043f\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443 RC4 \u0441 \u0442\u0435\u043c \u0436\u0435 \u043a\u043b\u044e\u0447\u043e\u043c.<\/p>\n<h4>\u0414\u0430\u043d\u043d\u044b\u0435, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u043c\u044b\u0435 \u0441 \u0436\u0435\u0440\u0442\u0432\u044b<\/h4>\n<p>\u00a0\u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0440\u0430\u0437\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u043c \u0442\u0430\u0431\u0443\u043b\u044f\u0446\u0438\u0438 0x9 \u2013 &#171;\\t&#187;.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">BYTE client_id[16]<\/p>\n<\/td>\n<td>\n<p align=\"left\">MD5(MAC+hostname)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char hostname[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u043c\u044f \u0445\u043e\u0441\u0442\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char username[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char IP_decimal_str[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">IP \u0432 \u0432\u0438\u0434\u0435 \u0434\u0435\u0441\u044f\u0442\u0438\u0447\u043d\u043e\u0433\u043e   \u0447\u0438\u0441\u043b\u0430. <br \/>   \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f IP \u2013 \u043f\u0435\u0440\u0435\u0432\u0435\u0441\u0442\u0438   \u0432 hex <br \/>   \u0438 \u0441\u0447\u0438\u0442\u0430\u0442\u044c \u043a\u0430\u043a little endian<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char version[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0432\u0435\u0440\u0441\u0438\u044f RAT (&#171;3.3a&#187;)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char cpu_arch[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#171;32&#187;   \u0438\u043b\u0438 &#171;64&#187;<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char OSMajorVersion[]<\/p>\n<\/td>\n<td rowspan=\"3\">\n<p align=\"left\">\u0414\u0430\u043d\u043d\u044b\u0435   \u041e\u0421<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char OSMinorVersion[]<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char BuildNumber[]<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char PlatformID<\/p>\n<\/td>\n<td>\n<p align=\"left\">2 (VER_PLATFORM_WIN32_NT)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">BYTE ProductType<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0422\u0438\u043f \u0445\u043e\u0441\u0442\u0430<\/p>\n<p align=\"left\">1 (VER_NT_WORKSTATION)<\/p>\n<p align=\"left\">2 (VER_NT_DOMAIN_CONTROLLER)<\/p>\n<p align=\"left\">3 (VER_NT_SERVER)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char CreateProcessType[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435   \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442 \u0442\u0438\u043f WinAPI   \u0432\u044b\u0437\u043e\u0432\u0430 \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432.<\/p>\n<p align=\"left\">&#171;system&#187; \u2013 CreateProcessA.<\/p>\n<p align=\"left\">&#171;user&#187; \u2013 CreateProcessAsUserA.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char exe_filepath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 exe_filepath \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char end<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#171;0&#187;.   \u041f\u043e\u0441\u043b\u0435 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u0438\u043c\u0432\u043e\u043b\u0430 \u0437\u043d\u0430\u043a \u0442\u0430\u0431\u0443\u043b\u044f\u0446\u0438\u0438 \u043d\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h4>\u041e\u0431\u0449\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u043d\u0430 C2<\/h4>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\"><strong>\u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a (NETHEAD)<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">dword cmd_id<\/p>\n<\/td>\n<td>\n<p align=\"left\">id   \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, 0x70000001<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">dword reserved1<\/p>\n<\/td>\n<td>\n<p align=\"left\">0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">dword cmd_return_code<\/p>\n<\/td>\n<td>\n<p align=\"left\">0 \u0438\u043b\u0438 \u043a\u043e\u0434 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">dword data_size<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0440\u0430\u0437\u043c\u0435\u0440 \u0434\u0430\u043d\u043d\u044b\u0445<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\"><strong>\u0414\u0430\u043d\u043d\u044b\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"left\">\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b  \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434. \u0414\u0430\u043d\u043d\u044b\u0435 \u0442\u0430\u043a\u0436\u0435 \u043c\u043e\u0433\u0443\u0442 \u0432\u043e\u0432\u0441\u0435 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u0440\u0438   \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u0431\u0435\u0437 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432\u044b\u0432\u043e\u0434\u0430 \u0438\u043b\u0438 \u043e\u0431\u043c\u0435\u043d\u0435 ping-\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f\u043c\u0438.<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430, \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u0433\u043e \u043d\u0430 C2 (\u0437\u043b\u0435\u043d\u044b\u043c \u2013 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a, \u043a\u0440\u0430\u0441\u043d\u044b\u043c \u2013 \u0434\u0430\u043d\u043d\u044b\u0435):<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/65d\/840\/08e\/65d84008e8272969299873dd3a5c8d5f.png\" width=\"965\" height=\"257\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/65d\/840\/08e\/65d84008e8272969299873dd3a5c8d5f.png\"\/><\/figure>\n<h4>\u041e\u0431\u0449\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0445 \u043e\u0442 C2<\/h4>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"4\">\n<p align=\"center\"><strong>\u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a (NETHEAD)<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"4\">\n<p align=\"center\">\u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u0435\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"4\">\n<p align=\"center\"><strong>\u0414\u0430\u043d\u043d\u044b\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\">int arg1_size<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">\u0440\u0430\u0437\u043c\u0435\u0440 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int arg2_size<\/p>\n<\/td>\n<td rowspan=\"2\">\n<p align=\"left\">__int64 offset<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0440\u0430\u0437\u043c\u0435\u0440 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430<\/p>\n<\/td>\n<td rowspan=\"2\">\n<p align=\"left\">\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u0435 <br \/>   \u0432 \u0444\u0430\u0439\u043b\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   is_2nd_arg_present<\/p>\n<\/td>\n<td>\n<p align=\"left\">1 \u2013 \u0432\u0442\u043e\u0440\u043e\u0439 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442.<\/p>\n<p align=\"left\">0 \u2013 \u0432 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"left\">char arg1[arg1_size]<\/p>\n<\/td>\n<td colspan=\"2\" rowspan=\"2\">\n<p align=\"left\">\u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"left\">char arg2[arg2_size]<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h4>\u0422\u0430\u0431\u043b\u0438\u0446\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434<\/h4>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041a\u043e\u043c\u0430\u043d\u0434\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0431\u0440\u0430\u0442\u044c   \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c system info<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000002<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c   \u0441\u043f\u0438\u0441\u043e\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000003<\/p>\n<\/td>\n<td rowspan=\"4\">\n<p align=\"left\">\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f   WinAPI SHFileOperationW.<\/p>\n<p align=\"left\">3 \u2013 \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435   \u0444\u0430\u0439\u043b\u043e\u0432;<\/p>\n<p align=\"left\">4 \u2013 \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435   \u0444\u0430\u0439\u043b\u043e\u0432;<\/p>\n<p align=\"left\">5 \u2013   \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432;<\/p>\n<p align=\"left\">6 \u2013   \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432.<\/p>\n<p align=\"left\">\u0414\u043b\u044f   \u043a\u043e\u043c\u0430\u043d\u0434 3-5 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u0432\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430 \u0441 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u043e\u0439 wildcards.<\/p>\n<p align=\"left\">arg1 \u2013 source.<\/p>\n<p align=\"left\">arg2 \u2013 destination.<\/p>\n<p align=\"left\">\u0412 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 6 \u2013 \u0442\u043e\u043b\u044c\u043a\u043e arg1<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000004<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000005<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000006<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000007<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412   \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435 \u0441\u0447\u0438\u0442\u0430\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u043e \u0437\u0430\u0434\u0430\u043d\u043d\u043e\u043c\u0443 \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e \u0434\u043b\u044f \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0438   \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0438\u0445 \u043d\u0430 C2.<\/p>\n<p align=\"left\">arg1 \u2013 \u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430.<\/p>\n<p align=\"left\">arg2 \u2013 \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000008<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412   \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u043e\u0442 C2<\/p>\n<p align=\"left\">\u0421\u043d\u0430\u0447\u0430\u043b\u0430   \u043d\u0430 C2 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f   \u0440\u0430\u0437\u043c\u0435\u0440 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u0434\u0430\u043b\u0435\u0435 \u0438\u0434\u0451\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 C2 \u0438 \u0438\u0445 \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u0444\u0430\u0439\u043b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000009<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412   \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c remote shell,   \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 <br \/>   \u043d\u0430 pipe\u2019\u0430\u0445. \u041f\u0435\u0440\u0435\u0434   \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435\u043c shell \u043d\u0430 C2 \u0434\u0443\u0431\u043b\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a   (\u0431\u0435\u0437 \u0434\u0430\u043d\u043d\u044b\u0445)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x7000000B<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c   \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0434\u0438\u0441\u043a\u0430\u0445 \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435<\/p>\n<p align=\"left\">drive_label\\tdrive_type\\tdrive_size\\tfree_space\\n<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x7000000C<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0437\u0434\u0430\u0442\u044c   \u043a\u0430\u0442\u0430\u043b\u043e\u0433<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x7000000F<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u0432\u0435\u0440\u0448\u0438\u0442\u044c   \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 keylogger<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000010<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c   cmdline \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e CreateProcess, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f   \u0434\u0432\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430:<\/p>\n<p align=\"left\">arg1 \u2013 application name;<\/p>\n<p align=\"left\">arg2 \u2013 application arguments.<\/p>\n<p align=\"left\">\u041e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c   \u043d\u0430 C2 \u043a\u043e\u0434 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u0432   \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000011<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c   cmdline \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c   \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0430 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000012<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u043a\u043b\u044e\u0447\u0438\u0442\u044c   \u0440\u0435\u0436\u0438\u043c, \u043f\u0440\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f CreateProcessAsUser (\u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e   \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000013<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u043a\u043b\u044e\u0447\u0438\u0442\u044c   \u0440\u0435\u0436\u0438\u043c, \u043f\u0440\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f CreateProcessA<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000014<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0437\u0434\u0430\u0442\u044c   \u043f\u043e\u0442\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u0443\u0434\u0435\u0442 \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0432\u0435\u0441\u044c \u0442\u0440\u0430\u0444\u0438\u043a <br \/>   \u043d\u0430 \u0437\u0430\u0434\u0430\u043d\u043d\u044b\u0439 \u0445\u043e\u0441\u0442 \u0438 \u043f\u043e\u0440\u0442. \u041f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 raw-\u0441\u043e\u043a\u0435\u0442\u044b (send, recv).<\/p>\n<p align=\"left\">arg1 \u2013 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f   \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000015<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0437\u0434\u0430\u0442\u044c   \u043f\u043e\u0442\u043e\u043a, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f ScreenSpy (\u0441\u043b\u0435\u0436\u043a\u0430 <br \/>   \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u0438).<\/p>\n<p align=\"left\">\u0412   \u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0434\u0440\u043e\u043f\u0430\u0435\u0442 ConsentUXA.dll, \u0434\u0435\u043b\u0430\u0435\u0442 \u0435\u0433\u043e \u0441\u043a\u0440\u044b\u0442\u044b\u043c \u0438   \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 rundll32.exe ConsentUXA.dll ScreenSpy &lt;c2_arg1_bits_per_pixel>.<\/p>\n<p align=\"left\">\u0414\u0430\u043d\u043d\u044b\u0435   \u0441\u0436\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 deflate \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0430 C2, dll \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f.<\/p>\n<p align=\"left\">arg1 \u2013 bytes per pixel<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000016<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u0434\u0435\u043b\u0430\u0442\u044c   \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442.<\/p>\n<p align=\"left\">\u0412   \u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0434\u0440\u043e\u043f\u0430\u0435\u0442 InitializeCriticalSection.dll,   \u0434\u0435\u043b\u0430\u0435\u0442 \u0435\u0433\u043e \u0441\u043a\u0440\u044b\u0442\u044b\u043c. \u041f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u043e\u0442\u043e\u043a\u0438 \u0432\u0432\u043e\u0434\u0430\/\u0432\u044b\u0432\u043e\u0434\u0430 \u0431\u0443\u0434\u0443\u0449\u0435\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 <br \/>   \u0432 \u043f\u0430\u0439\u043f\u044b \u0438 \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 rundll32 InitializeCriticalSection.dll   ScreenCapture   &lt;c2_arg1_bits_per_pixel>.<\/p>\n<p align=\"left\">\u0414\u0430\u043d\u043d\u044b\u0435   \u0441\u0436\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 deflate \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0430 \u04212, dll \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f.<\/p>\n<p align=\"left\">arg1 \u2013 bytes per pixel<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000017<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c   \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0444\u0430\u0439\u043b\u0430 keylogger \u043d\u0430 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000018<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0423\u0434\u0430\u043b\u0438\u0442\u044c   \u0444\u0430\u0439\u043b keylogger<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000019<\/p>\n<\/td>\n<td>\n<p align=\"left\">Ping-\u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u0431\u0435\u0437 \u0434\u0430\u043d\u043d\u044b\u0445.   \u042d\u0442\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 \u043e\u0431\u043c\u0435\u043d\u0438\u0432\u0430\u0435\u0442\u0441\u044f RAT   \u0441 C2 \u0432 \u043f\u043e\u0442\u043e\u043a\u0435 \u043e\u0442\u0441\u0442\u0443\u043a\u0430.   \u0414\u0430\u043d\u043d\u0430\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u0433\u043d\u043e\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f <br \/>   \u0432 \u043f\u043e\u0442\u043e\u043a\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">0x70000021<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0437\u0434\u0430\u0442\u044c   \u043f\u043e\u0442\u043e\u043a \u0441 remote shell   \u0447\u0435\u0440\u0435\u0437 screen buffer.   \u041f\u0435\u0440\u0435\u0434 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435\u043c shell   \u043d\u0430 C2 \u0434\u0443\u0431\u043b\u0438\u0440\u0443\u0435\u0442\u0441\u044f   \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a (\u0431\u0435\u0437 \u0434\u0430\u043d\u043d\u044b\u0445). \u0421 C2 \u0438\u0434\u0451\u0442 \u043e\u0431\u043c\u0435\u043d \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u043e \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0430\u0442\u0430\u0445 \u043a\u0443\u0440\u0441\u043e\u0440\u0430, \u0432\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0445   \u0441\u0438\u043c\u0432\u043e\u043b\u0430\u0445 \u0438 \u0438\u0445 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u0445. \u042d\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0436\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 deflate \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0430 C2<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0412\u044b\u0448\u0435 \u043c\u044b \u043e\u043f\u0438\u0441\u0430\u043b\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a, \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0438 \u043d\u043e\u0432\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 RAT, \u043f\u043e\u0434\u0435\u043b\u0438\u043b\u0438\u0441\u044c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u044f\u043c\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u0435\u0435 \u0432\u0435\u0440\u0441\u0438\u044e, \u0438 \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u0438 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 yara-\u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438.<\/p>\n<p>\u041c\u044b \u0443\u0431\u0435\u0436\u0434\u0435\u043d\u044b, \u0447\u0442\u043e \u043d\u043e\u0432\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f RAT \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0435, \u0442\u0430\u043a \u043a\u0430\u043a \u0432\u0438\u0434\u043d\u044b \u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u043e\u0442\u043b\u0438\u0447\u0438\u044f \u043f\u043e \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0441 \u0432\u0435\u0440\u0441\u0438\u0435\u0439 1.0. \u0412 \u043d\u043e\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043c\u043d\u043e\u0433\u043e\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043e (wolfSSL, keylogger, ScreenSpy, \u043d\u043e\u0432\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b), \u043d\u043e \u0432\u0438\u0434\u043d\u044b \u0438 \u00ab\u0441\u0442\u0430\u0440\u044b\u0435\u00bb \u043f\u0440\u0438\u0435\u043c\u044b. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0441\u043f\u043e\u0441\u043e\u0431 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f xor-\u043a\u043b\u044e\u0447\u0435\u0439, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 egg-\u0441\u0442\u0440\u043e\u043a, \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 id \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0438 \u0434\u0440\u0443\u0433\u0438\u0435.<\/p>\n<p>\u0423 \u043d\u0430\u0441 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0434\u0430\u043d\u043d\u044b\u0445, \u0447\u0442\u043e\u0431\u044b \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c, \u0447\u0442\u043e \u0434\u0430\u043d\u043d\u044b\u0439 RAT \u0434\u043e\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u0441\u044f \u0438\u043b\u0438 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f \u0432\u0441\u0435 \u0442\u043e\u0439 \u0436\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 APT31. \u041d\u043e, \u0441\u0443\u0434\u044f \u043f\u043e \u0441\u0445\u043e\u0436\u0435\u0441\u0442\u0438 \u0432 \u0442\u0430\u043a\u0442\u0438\u043a\u0430\u0445 \u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432, \u0437\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u043e\u0433\u043e RAT \u0441\u0442\u043e\u044f\u0442 APT-\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 \u0430\u0437\u0438\u0430\u0442\u0441\u043a\u043e\u0433\u043e \u0440\u0435\u0433\u0438\u043e\u043d\u0430. \u0412 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438: <\/p>\n<ul>\n<li>\n<p>\u0441\u0445\u0435\u043c\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u2013 DLL Hijacking;<\/p>\n<\/li>\n<li>\n<p>\u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0438 \u0440\u0430\u0437\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u2013 C:\\ProgramData;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 \u2013 \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0431\u044d\u043a\u0434\u043e\u0440 PlugX;<\/p>\n<\/li>\n<li>\n<p>\u0437\u0430\u0438\u043c\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0438\u0437 Gh0st RAT;<\/p>\n<\/li>\n<li>\n<p>\u0434\u0440\u0443\u0433\u0438\u0435.<\/p>\n<\/li>\n<\/ul>\n<h2>Indicators of compromise<\/h2>\n<p>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0435 \u0441\u0443\u043c\u043c\u044b \u043f\u0440\u0438\u0432\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 SHA256.<\/p>\n<p>\u00a0\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439 RAT<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">msedgeupdate.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">7259da2c7c36dab389fd3ab56d053fef8aa581fab84dbb36327e271e52917906<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">1Cdatas<\/p>\n<\/td>\n<td>\n<p align=\"left\">064a158a475d275c6be6d79b86c32f33e1723837020e05e0df96bbd2767ca1ca<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">msedgeupdate.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">2676ff82303dd30c23608d55c3d5214e18319d584763afe8ec058ca6ab149d51<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">1cdata<\/p>\n<\/td>\n<td>\n<p align=\"left\">267c0a4ffb1a70028f841e0acf960dfdb87971129043baa2869f61e2a74a96d4<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u00a0PE-\u0444\u0430\u0439\u043b\u044b, \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0432 RAT<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">keylogger.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">b3418389642603379450f51b0c6028d1dbaa44bada61857d9d9cf0f564b84e64<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">ConsentUXA.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">2f54780cb0f04cfe7304d7863a71449a5defe55e8a27ca2d1a1476f1ebdd55c9<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>C2<\/p>\n<p>api.inliines[.]com (213.183.53[.]156)<\/p>\n<h3>1.1. RTTI-\u0441\u0442\u0440\u043e\u043a\u0438<\/h3>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;void (__cdecl*)(std::shared_ptr&lt;TSocket>,NETHEAD,MByteArray*),std::shared_ptr&lt;TSocket>,NETHEAD,MByteArray *><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;void (__cdecl*)(std::shared_ptr&lt;TSocket>),std::shared_ptr&lt;TSocket> ><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(void)><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(std::shared_ptr&lt;TSocket>,void *),std::shared_ptr&lt;TSocket>,void *><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(TSocket *,unsigned int),TSocket *,unsigned int><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(NETHEAD,int,char *),NETHEAD,int,char *><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(NETHEAD,int),NETHEAD,int><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(NETHEAD,__int64,std::basic_string&lt;char,std::char_traits&lt;char>,std::allocator&lt;char> >),NETHEAD,__int64,std::basic_string&lt;char,std::char_traits&lt;char>,std::allocator&lt;char> > ><\/code><\/p>\n<p><code>std::_LaunchPad&lt;std::unique_ptr&lt;std::tuple&lt;unsigned long (__stdcall*)(NETHEAD),NETHEAD><\/code><\/p>\n<p><strong><em>\u0410\u0432\u0442\u043e\u0440: \u0410\u043d\u0442\u043e\u043d\u00a0\u041a\u0430\u0440\u0433\u0438\u043d, \u0438\u043d\u0436\u0435\u043d\u0435\u0440 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f &#171;\u0420\u0422\u041a-\u0421\u043e\u043b\u0430\u0440&#187;<\/em><\/strong>.  <\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n<p> <!----> <!----><\/div>\n<p> <!----> <!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/company\/solarsecurity\/blog\/723526\/\"> https:\/\/habr.com\/ru\/company\/solarsecurity\/blog\/723526\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\">\n<div><figcaption>\u041a\u0430\u0434\u0440 \u0438\u0437 \u043c\/\u0444 &#171;\u041c\u043e\u043d\u0441\u0442\u0440\u044b \u043d\u0430 \u043a\u0430\u043d\u0438\u043a\u0443\u043b\u0430\u0445&#187;<\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0448\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 Solar JSOC CERT \u043d\u0430\u0442\u043a\u043d\u0443\u043b\u0430\u0441\u044c \u043d\u0430 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 RAT. \u041d\u043e \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0433\u043b\u0443\u0431\u043e\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0442\u0430\u043b\u043e \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u0434 \u043d\u0430\u043c\u0438 \u043d\u043e\u0432\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f \u0443\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e RAT (3.3a), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 APT31. \u0415\u0433\u043e \u043f\u0435\u0440\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b \u043f\u043e \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/apt31-new-attacks\/\">\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438<\/a> \u0435\u0449\u0435 \u0432 2021 \u0433\u043e\u0434\u0443. \u0417\u0430 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u0412\u041f\u041e \u043f\u0440\u0435\u0442\u0435\u0440\u043f\u0435\u043b\u043e \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u0438 \u043e\u0431\u0437\u0430\u0432\u0435\u043b\u043e\u0441\u044c \u043d\u043e\u0432\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u043e\u043c. \u0415\u0433\u043e \u0438 \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c \u0432 \u0441\u0442\u0430\u0442\u044c\u0435. \u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043e\u043f\u0438\u0448\u0435\u043c \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 wolfSSL, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0439 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 \u0434\u043b\u044f \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430 TLS \u043f\u0440\u0438 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0438 \u0441 C2, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0448\u0430\u0433\u0438 \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0435\u0435 \u0432\u0435\u0440\u0441\u0438\u0438.<\/p>\n<p>\u0414\u043b\u044f \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 RAT \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0441\u043b\u0443\u0436\u0431\u044b. \u0421\u0445\u0435\u043c\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 RAT, \u043a\u0430\u043a \u0438 \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 DLL Hijacking \u0438 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0430 \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u00a0\u041e\u043f\u0438\u0448\u0435\u043c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u044d\u0442\u0430\u043f.<\/p>\n<h3>\u042d\u0442\u0430\u043f 1. \u041d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a<\/h3>\n<p>\u0420\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u044b\u0439 RAT \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u0445\u043e\u0441\u0442\u044b \u0443\u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0443\u0447\u0435\u0442\u043d\u044b\u043c \u0437\u0430\u043f\u0438\u0441\u044f\u043c\u0438 \u0441 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438. \u0422\u0430\u043a \u0447\u0442\u043e \u0434\u043b\u044f \u043d\u0430\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u0441\u043b\u0443\u0436\u0431\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b MicrosoftEdgeUpdate.exe \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 LocalSystem. <\/p>\n<p>\u0412 \u043e\u0434\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0440\u044f\u0434\u043e\u043c \u0441 \u0434\u0430\u043d\u043d\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u0432\u0441\u0435\u0433\u0434\u0430 \u0442\u0430\u043a\u0436\u0435 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u043b\u0438\u0441\u044c:<\/p>\n<ul>\n<li>\n<p>\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL (\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a) msedgeupdate.dll;<\/p>\n<\/li>\n<li>\n<p>\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 RAT \u0431\u0435\u0437 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u0441\u043e\u0431\u0440\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u044b \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0439 MicrosoftEdgeUpdate.exe:<\/p>\n<p><code>C:\\ProgramData\\Microsoft\\DRM\\DRMs.exe<\/code><\/p>\n<p><code>C:\\ProgramData\\Microsoft\\DeviceSync\\Data\\DeviceSyncs.exe<\/code><\/p>\n<p><code>C:\\ProgramData\\Microsoft\\DeviceSync\\DeviceSyncs.exe<\/code><\/p>\n<p><code>C:\\ProgramData\\Microsoft\\Crypto\\Cryptos.exe<\/code><\/p>\n<p>MicrosoftEdgeUpdate.exe \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u0438\u043c\u0435\u044e\u0449\u0438\u0439 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0446\u0438\u0444\u0440\u043e\u0432\u0443\u044e \u043f\u043e\u0434\u043f\u0438\u0441\u044c Microsoft, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0435 \u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430 Microsoft Edge. \u041d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430 \u0444\u0430\u0439\u043b\u0430 MicrosoftEdgeUpdate.exe, \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432 DeviceSyncs.exe:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 MicrosoftEdgeUpdate.exe \u0447\u0435\u0440\u0435\u0437 <code>LoadLibraryEx<\/code> \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e msedgeupdate.dll, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0432 \u0442\u043e\u043c \u0436\u0435 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435.<\/p>\n<h2>\u042d\u0442\u0430\u043f 2. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a<\/h2>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL msedgeupdate.dll \u2013 \u044d\u0442\u043e \u043d\u0435\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u0430\u044f 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430, \u043d\u0430\u043a\u0440\u044b\u0442\u0430\u044f VMProtect 3.0-3.5. \u0414\u0430\u0442\u0430 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u0432\u0440\u0443\u0447\u043d\u0443\u044e: 22.04.18 \u0438\u0437 FileHeader \u0438 30.06.2021 \u0438\u0437 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u043e\u0439 \u0442\u0430\u0431\u043b\u0438\u0446\u044b. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043d\u0435 \u0441\u0442\u0430\u0440\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0434\u0440\u0430\u0436\u0430\u0442\u044c \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438<\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f DLL   <\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\">\n<div><figcaption>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL   <\/figcaption><\/div>\n<\/figure>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u00ab\u043f\u0430\u0441\u0445\u0430\u043b\u043e\u043a\u00bb \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0441 \u043d\u043e\u043c\u0435\u0440\u0430\u043c\u0438 #1 \u0438 #16:<\/p>\n<p>\u00a0#1 \uc548\ub155\ud558\uc2ed\ub2c8\uae4c \u2013 <em>\u00ab\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442\u00bb<\/em> (\u0432 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0435 \u0441 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u043e\u0433\u043e).<\/p>\n<p>#16 \uc548\ub155 \u2013 <em>\u00ab\u0417\u0434\u0440\u0430\u0432\u0441\u0442\u0432\u0443\u0439\u0442\u0435\u00bb<\/em> (\u0432 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0435 \u0441 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u043e\u0433\u043e).<\/p>\n<p>\u0412\u0441\u0435 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043d\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0430, \u0442\u0430\u043a \u043a\u0430\u043a \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442 \u043e\u0434\u043d\u0443 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u044b\u0440\u0435 API-\u0432\u044b\u0437\u043e\u0432\u0430:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0432 DllEntryPoint, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 LoadLibraryEx. <\/p>\n<p>\u0418\u0437 \u0430\u0440\u0441\u0435\u043d\u0430\u043b\u0430 VMProtect \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043c\u043e\u0434\u0443\u043b\u044c \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 API-\u0432\u044b\u0437\u043e\u0432\u043e\u0432, \u0442\u0430\u043a \u043a\u0430\u043a \u043f\u043e\u0441\u043b\u0435 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043a DllEntryPoint \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 .text, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f, \u043d\u043e \u0432\u0441\u0435 API-\u0432\u044b\u0437\u043e\u0432\u044b \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u044b.<\/p>\n<p>\u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0432\u044b\u0441\u043e\u043a\u043e\u0443\u0440\u043e\u0432\u043d\u0435\u0432\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 \u0438 \u0434\u0430\u0434\u0438\u043c \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u043f\u043e:<\/p>\n<p>1. \u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435 RAT \u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0430;<\/p>\n<p>2. \u0418\u043d\u0436\u0435\u043a\u0442\u0443 RAT \u0432 <code>C:\\Windows\\System32\\dllhost.exe<\/code> \u0438 \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0443.<\/p>\n<h2>\u041a\u043e\u043d\u0444\u0438\u0433<\/h2>\n<p>\u041a\u043e\u043d\u0444\u0438\u0433 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u043d\u0435\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435 <strong>\u0432 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0435 (\u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL)<\/strong> \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 .data \u043f\u043e RVA 0x770. \u0422\u0430\u043a\u0436\u0435 \u0432\u043e \u0432\u0441\u0435\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u043b raw address \u043a\u043e\u043d\u0444\u0438\u0433\u0430 \u2013 0x11170:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int sleep_min<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u0441\u043d\u0430 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445 \u043f\u0435\u0440\u0435\u0434 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u043e\u0439 \u0441\u0432\u044f\u0437\u0438 \u0441 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   SND_RCV_timeout_secs<\/p>\n<\/td>\n<td>\n<p align=\"left\">timeout \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445 \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int sleep_rand_range<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0440\u0430\u0437\u043c\u0435\u0440 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u0430 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445. \u0413\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0432 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u0435 [sleep_min, sleep_min+sleep_rand_range]<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   new_c2_url_offset<\/p>\n<p align=\"left\">int c2_url_offset<\/p>\n<\/td>\n<td>\n<p>\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u043e\u0442 \u043d\u0430\u0447\u0430\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int c2_port<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u0440\u0442 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int c2_op_mode<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0440\u0435\u0436\u0438\u043c \u0440\u0430\u0431\u043e\u0442\u044b RAT<br \/><em>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b RAT\u00bb.<\/em><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">int   keylogger_output_filename_offset<\/p>\n<p align=\"left\">int   enc_payload_name_offset<\/p>\n<p align=\"left\">int payload_dirpath_offset<\/p>\n<p align=\"left\">int exe_filepath_offset<\/p>\n<p align=\"left\">int   loader_dll_filepath_offset<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u043e\u0442 \u043d\u0430\u0447\u0430\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char   new_c2_config_url[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">URL \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u043e\u0432\u043e\u0439   \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 c2.<br \/>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u0441 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435\u043c RAT<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">char c2_url[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">URL \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t   keylogger_output_filename[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430 \u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0440\u0430\u0431\u043e\u0442\u044b keylogger<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t   enc_payload_name[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0438\u043c\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430   \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (\u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0438\u043c\u0435\u043d\u0438 mutex \u0434\u043b\u044f \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 RAT)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t payload_dirpath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0440\u0430\u0441\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u2013 \u0432\u0441\u0435\u0433\u0434\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0435\u0442 \u0441 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c exe-\u0444\u0430\u0439\u043b\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t exe_filepath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e exe-\u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e DLL<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">wchar_t   loader_dll_filepath[]<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0434\u0432\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0441 \u043e\u0434\u043d\u0438\u043c \u0438 \u0442\u0435\u043c \u0436\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f, \u043d\u043e \u0441 \u0440\u0430\u0437\u043d\u044b\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432:<\/p>\n<figure class=\"full-width\"><\/figure>\n<figure class=\"full-width\"><\/figure>\n<p>\u0414\u043b\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u0434\u0432\u0443\u0445 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435   \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041a\u043e\u043d\u0444\u0438\u0433 1<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041a\u043e\u043d\u0444\u0438\u0433 2<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">sleep_min<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x1F4 (500)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0xB4 (180)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">SND_RCV_timeout_secs<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x1F4 (500)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x12C (300)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">sleep_rand_range<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x64 (100)<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x3C (60)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>new_c2_url_offset<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>c2_url_offset<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0x30<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">c2_port<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0x1BB (443)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">c2_op_mode<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">keylogger_log_name_offset<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">0x41<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">enc_payload_name_offset<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x55<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x47<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">payload_dirpath_offset<\/p>\n<\/td>\n<td colspan=\"2\" rowspan=\"3\">\n<p align=\"center\">\u0437\u0430\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f DLL-\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u043e\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">exe_filepath_offset<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">loader_dll_filepath_offset<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>new_c2_config_url<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">c2_url<\/p>\n<\/td>\n<td colspan=\"2\">\n<p align=\"center\">api.inliines[.]com<br \/>   (213.183.53[.]156)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">keylogger_log_name<\/p>\n<\/td>\n<td>\n<p align=\"left\">1Cdatakey<\/p>\n<\/td>\n<td>\n<p align=\"left\">1c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">enc_payload_name<\/p>\n<\/td>\n<td>\n<p align=\"left\">1Cdatas<\/p>\n<\/td>\n<td>\n<p align=\"left\">1cdata<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">payload_dirpath<\/p>\n<\/td>\n<td colspan=\"2\" rowspan=\"3\">\n<p align=\"center\">\u0437\u0430\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f DLL-\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u043e\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">exe_filepath<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">loader_dll_filepath<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 RAT \u0438 \u0437\u0430\u043f\u0438\u0441\u044c \u043a\u043e\u043d\u0444\u0438\u0433\u0430<\/h3>\n<p>\u0414\u043b\u044f \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f xor \u0441 5-\u0431\u0430\u0439\u0442\u043e\u0432\u044b\u043c \u043a\u043b\u044e\u0447\u043e\u043c.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u0435\u0440\u0432\u0430\u044f \u0447\u0430\u0441\u0442\u044c xor-\u043a\u043b\u044e\u0447\u0430 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0432\u0438\u0434\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 dword:<\/p>\n<figure class=\"\"><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 \u043a\u043e\u043d\u0435\u0446 \u043a \u043d\u0435\u0439 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0431\u0430\u0439\u0442 0x0F (\u0432\u0442\u043e\u0440\u0430\u044f \u0447\u0430\u0441\u0442\u044c xor-\u043a\u043b\u044e\u0447\u0430). \u0412 \u0446\u0438\u043a\u043b\u0435 \u043f\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 xor \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u0438\u043c\u0435\u043d\u0435\u0435 \u0437\u043d\u0430\u0447\u0438\u043c\u044b\u0439 \u0431\u0430\u0439\u0442 dword. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u043a\u043b\u044e\u0447 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432 \u0432\u0438\u0434\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0431\u0430\u0439\u0442: <em>13184F290F<\/em>.  \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 RAT \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f xor-\u043a\u043b\u044e\u0447\u0430.  <\/p>\n<p>\u0414\u043e\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0444\u0438\u0433 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043f\u043e\u0432\u0435\u0440\u0445 egg-\u0441\u0442\u0440\u043e\u043a\u0438 &#171;w4wg7x&#187; (\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430-\u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440) \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 .data:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0412 \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u043a\u0435 UTF16-LE \u0441\u0442\u0440\u043e\u043a\u0430-\u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a \u00ab\u3477\u6777\u7837\u00bb, \u043d\u043e \u043d\u0435 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u043e \u0447\u0442\u043e-\u0442\u043e, \u0438\u043c\u0435\u044e\u0449\u0435\u0435 \u0441\u043c\u044b\u0441\u043b (\u0438\u043b\u0438 \u0436\u0435 \u044d\u0442\u043e \u00ab\u043d\u0435\u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u043c\u0430\u044f \u0438\u0433\u0440\u0430 \u0441\u043b\u043e\u0432\u00bb \u2013 \u0437\u043d\u0430\u0442\u043e\u043a\u0438 \u043a\u043e\u0440\u0435\u0439\u0441\u043a\u043e\u0433\u043e, \u043e\u0442\u0437\u043e\u0432\u0438\u0442\u0435\u0441\u044c!).<\/p>\n<p>\u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e, \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f RAT \u043f\u0443\u0441\u0442\u0430\u044f. \u0414\u0430\u043b\u0435\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WriteProcessMemory \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0438\u043d\u0436\u0435\u043a\u0442 RAT \u0432 <code>C:\\Windows\\System32\\dllhost.exe<\/code>. \u0427\u0435\u0440\u0435\u0437 <code>SetThreadContext<\/code> \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f EntryPoint SUSPENDED-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a.<\/p>\n<h2>\u042d\u0442\u0430\u043f 3. RAT<\/h2>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u0430 RAT.<\/p>\n<h3>\u0421\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0439<\/h3>\n<p>\u0421\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b Solar JSOC CERT \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0434\u0432\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041e\u0431\u0430 \u0444\u0430\u0439\u043b\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0441\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c\u0438 \u0434\u0430\u0442\u0430\u043c\u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0438\u0437 Debug-\u0441\u0435\u043a\u0446\u0438\u0438.<\/p>\n<figure class=\"full-width\">\n<div><figcaption>21.07.2022 06:44:35 UTC   <\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\">\n<div><figcaption>22.07.2022 08:06:19 UTC   <\/figcaption><\/div>\n<\/figure>\n<p>\u0415\u0441\u043b\u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u0435\u043a\u0446\u0438\u0439, \u0442\u043e \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0443 \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0437\u0434\u043d\u0435\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0432\u0441\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u0435\u043a\u0446\u0438\u0439 \u043a\u0440\u043e\u043c\u0435 .text \u0441\u043c\u0435\u0449\u0435\u043d\u044b \u043d\u0430 0x200. Bindiff \u043e\u0446\u0435\u043d\u0438\u043b \u0438\u043d\u0434\u0435\u043a\u0441 \u043f\u043e\u0445\u043e\u0436\u0435\u0441\u0442\u0438 \u0432 94% \u0441 \u0438\u043d\u0434\u0435\u043a\u0441\u043e\u043c \u0434\u043e\u0432\u0435\u0440\u0438\u044f \u0432 99%, \u0442\u043e \u0435\u0441\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0431\u044b\u043b\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043e \u0432 \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0437\u0434\u043d\u0435\u0439 \u0432\u0435\u0440\u0441\u0438\u0438.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u043e raw-\u0430\u0434\u0440\u0435\u0441\u0443 0xC\u042100 (0x40D800 VA) \u0432 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0412 \u043d\u043e\u0432\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u0435\u0440\u0435\u0434 \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u043f\u043e raw-\u0430\u0434\u0440\u0435\u0441\u0443 0xCC20 (0x40D820 VA):<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0414\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0441\u0442\u0430\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f: \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435\u043c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0438 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 remote shell, \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043d\u0430 pipe\u2019\u0430\u0445:<\/p>\n<figure class=\"full-width\"><\/figure>\n<figure class=\"full-width\"><\/figure>\n<figure class=\"full-width\"><\/figure>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0440\u0430\u0437\u043c\u0435\u0440 .text \u0441\u0435\u043a\u0446\u0438\u0438 \u0431\u044b\u043b \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d \u0438\u0437-\u0437\u0430 \u0432\u044b\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u043d\u0438\u044f: \u0441 raw-\u0430\u0434\u0440\u0435\u0441\u0430 0x80A00 \u0438\u043b\u0438 0x80C00 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441\u0435\u043a\u0446\u0438\u044f .rdata (\u0431\u0430\u0439\u0442\u044b 7E 12 0A \u2026).<\/p>\n<figure class=\"full-width\"><\/figure>\n<h3>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 RAT<\/h3>\n<p>\u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041f\u043e\u043c\u0438\u043c\u043e \u0441\u0430\u043c\u043e\u0433\u043e RAT \u0432 PE-\u0444\u0430\u0439\u043b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0435\u0449\u0451 \u0434\u0432\u0430 PE-\u0444\u0430\u0439\u043b\u0430:<\/p>\n<figure class=\"full-width\"><\/figure>\n<figure class=\"full-width\"><\/figure>\n<p><code>keylogger.exe<\/code> \u2013 \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, keylogger.<\/p>\n<p><code>ConsentUXA.dll<\/code> \u2013 \u044d\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0441\u043d\u0438\u043c\u043a\u043e\u0432 \u044d\u043a\u0440\u0430\u043d\u0430.<\/p>\n<p>\u0420\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u043f\u0440\u043e \u043d\u0438\u0445 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435: <\/p>\n<h2>keylogger.exe<\/h2>\n<p>\u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430 (<code>keylogger.exe<\/code>) \u0432\u0437\u044f\u0442\u043e \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 Name \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u0432.<\/p>\n<p><strong>keylogger.exe<\/strong> \u2013 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u043e\u0431\u043e\u0439 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e keylogger, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 <strong>\u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/strong> \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0441\u0432\u043e\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u0432 \u0444\u0430\u0439\u043b \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c \u00ab\u4757\u3857\u5750\u00bb (ascii-\u0441\u0442\u0440\u043e\u043a\u0430 WGW8PW). \u0415\u0441\u043b\u0438 \u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u043f\u0435\u0440\u0435\u0432\u0435\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b, \u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0447\u0442\u043e-\u0442\u043e \u043d\u0435\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u0435 \u0432\u0440\u043e\u0434\u0435 \u00ab\u0442\u0438\u0433\u0440 \u0441\u0438\u0434\u0438\u0442 \u0437\u0430 \u0434\u0432\u0435\u0440\u043d\u043e\u0439 \u0437\u0430\u043d\u0430\u0432\u0435\u0441\u043a\u043e\u0439\u00bb:<\/p>\n<p>\u4757 \u2013 \u00ab\u0442\u0438\u0433\u0440\u00bb \u0438\u043b\u0438 \u00ab\u0441\u0432\u0438\u0440\u0435\u043f\u044b\u0439 \u0438 \u043e\u0442\u0432\u0430\u0436\u043d\u044b\u0439 \u0441\u043e\u043b\u0434\u0430\u0442\u00bb;<\/p>\n<p>\u3857 \u2013 \u00ab\u0434\u0432\u0435\u0440\u043d\u0430\u044f \u0437\u0430\u043d\u0430\u0432\u0435\u0441\u043a\u0430 \/ \u043f\u0435\u0440\u0435\u0433\u043e\u0440\u043e\u0434\u043a\u0430\u00bb, \u00ab\u043f\u0443\u0448\u0438\u0441\u0442\u044b\u0439 \/ \u043f\u0435\u0440\u043d\u0430\u0442\u044b\u0439\u00bb, \u0432\u0438\u0434 \u0442\u043e\u043d\u043a\u043e\u0433\u043e \u0448\u0435\u043b\u043a\u0430;<\/p>\n<p>\u5750 \u2013 \u00ab\u0441\u0438\u0434\u0435\u0442\u044c\u00bb.<\/p>\n<p>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b, \u0442\u0430\u043a \u043a\u0430\u043a ascii-\u0441\u0442\u0440\u043e\u043a\u0430 WGW8PW \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f RAT \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 egg-\u0441\u0442\u0440\u043e\u043a\u0438.<\/p>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430, \u0435\u0441\u043b\u0438 \u0443 RAT \u0435\u0441\u0442\u044c \u043f\u0440\u0430\u0432\u0430 LocalSystem, \u0442\u043e \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u043e\u0442\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u0430\u0436\u0434\u044b\u0435 \u0442\u0440\u0438 \u043c\u0438\u043d\u0443\u0442\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0438 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043d\u043e\u0432\u043e\u0433\u043e \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0440\u0443\u0435\u0442 keylogger. \u0421\u0445\u0435\u043c\u0430 \u0438\u043d\u0436\u0435\u043a\u0442\u0430 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430 \u0432\u044b\u0448\u0435\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0439 \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u0430\u043c\u043e\u0433\u043e RAT. \u041f\u0435\u0440\u0435\u0434 \u0441\u0430\u043c\u0438\u043c \u0438\u043d\u0436\u0435\u043a\u0442\u043e\u043c \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0432 raw-\u043e\u0431\u0440\u0430\u0437\u0435 <code>keylogger.exe<\/code> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0437\u0430\u043c\u0435\u043d\u0430 egg-\u0441\u0442\u0440\u043e\u043a\u0438 WGW8PW \u043d\u0430 \u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430 <code>keylogger_output_filename<\/code> \u0438\u0437 \u043a\u043e\u043d\u0444\u0438\u0433\u0430 RAT:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>Mutex &#171;<code>KeyLog<\/code>&#187; \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f, \u0447\u0442\u043e\u0431\u044b \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043b \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0434\u0438\u043d \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440 Keylogger. \u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043d\u0435\u0432\u0438\u0434\u0438\u043c\u043e\u0435 \u043e\u043a\u043d\u043e c \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c <code>SetEvent<\/code>, \u043a\u043b\u0430\u0441\u0441\u043e\u043c <code>Twnd<\/code> \u0438 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u0430 <code>WM_INPUT<\/code>. \u0414\u0430\u043b\u0435\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>RegisterRawInputDevices<\/code> \u043e\u043a\u043d\u0443 \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f <code>WM_INPUT<\/code> \u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>GetRawInputData<\/code> \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442\u0441\u044f \u043d\u0430\u0436\u0430\u0442\u044b\u0435 \u043a\u043b\u0430\u0432\u0438\u0448\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435:<\/p>\n<p>\u00a0<code>\\r\\n\\r\\n[%02d:%02d:%02d %4d-%02d-%02d]--[USER:&lt;\u0438\u043c\u044f_\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f>]--[&lt;\u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a_\u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e_\u043e\u043a\u043d\u0430 >]\\r\\n&lt;\u043d\u0430\u0436\u0430\u0442\u044b\u0435 \u043a\u043b\u0430\u0432\u0438\u0448\u0438><\/code><\/p>\n<p>\u041f\u0435\u0440\u0435\u0434 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u0434\u0430\u043d\u043d\u044b\u0435 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043e\u0434\u043d\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0433\u043e xor 0x7F.<\/p>\n<h3>ConsentUXA.dll<\/h3>\n<p>\u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430 (<code>ConsentUXA.dll<\/code>) \u0432\u0437\u044f\u0442\u043e \u0438\u0437 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 Name \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u0432.<\/p>\n<p><code>ConsentUXA.dll<\/code> \u2013 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0430\u044f \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 #1 ScreenCapture, #2 ScreenSpy.<\/p>\n<p>\u0414\u0430\u0442\u0430 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0438\u0437 File Header \u2013 20.07.2022 01:31:32 UTC.<\/p>\n<p>\u041f\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f\u043c \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0443\u0447\u0430\u0441\u0442\u043a\u0430\u043c \u043a\u043e\u0434\u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0437\u0430 \u043e\u0441\u043d\u043e\u0432\u0443 \u0431\u044b\u043b \u0432\u0437\u044f\u0442 <a href=\"https:\/\/github.com\/zibility\/Remote\/blob\/master\/client\/ClientDll\/ScreenSpy.cpp\">\u043a\u043e\u0434 \u043c\u043e\u0434\u0443\u043b\u044f ScreenSpy Gh0st RAT \u0441 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u043e\u0442 31.07.2016<\/a>.<\/p>\n<p>\u0412<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-347131","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/347131","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=347131"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/347131\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=347131"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=347131"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=347131"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}