{"id":354870,"date":"2024-05-20T22:57:08","date_gmt":"2024-05-20T22:57:08","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=354870"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=354870","title":{"rendered":"\u041b\u044e\u0431\u043e\u0439 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u0440\u043e\u0434\u0432\u0438\u043d\u0443\u0442\u044b\u0439 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u043d\u0435\u043e\u0442\u043b\u0438\u0447\u0438\u043c \u043e\u0442 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u0430<\/span>"},"content":{"rendered":"
<\/div>\n
\n
\n
\n
\n
<\/figure>\n

\u0423 \u043d\u0430\u0441 \u0432\u043e\u0437\u043d\u0438\u043a \u0440\u0435\u0437\u043a\u0438\u0439 \u0440\u043e\u0441\u0442 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0432\u044b\u043b\u0435\u0442\u043e\u0432 Explorer \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u0441\u044f \u0432 \u043f\u0443\u0441\u0442\u043e\u0442\u0435.<\/p>\n

0:000> r eax=00000001 ebx=008bf8aa ecx=77231cf3 edx=00000000 esi=008bf680 edi=008bf8a8 eip=7077c100 esp=008bf664 ebp=008bf678 iopl=0         nv up ei pl zr na pe nc cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00010246 7077c100 ??              ??? <\/code><\/pre>\n
\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043d\u0430\u043c \u043e \u0447\u0451\u043c-\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430.<\/p>\n
0:000> u poi esp 008bf6d4 test    eax,eax 008bf6d6 je      008bf6b9 008bf6d8 xor     edi,edi 008bf6da cmp     dword ptr [esi+430h],edi<\/code><\/pre>\n
\u0421\u0442\u0440\u0430\u043d\u043d\u043e, \u0447\u0442\u043e \u043c\u044b \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c \u043a\u043e\u0434 \u0438\u0437 \u043a\u0430\u043a\u043e\u0433\u043e-\u0442\u043e \u043c\u0435\u0441\u0442\u0430, \u043d\u0435 \u0438\u043c\u0435\u044e\u0449\u0435\u0433\u043e \u0438\u043c\u0435\u043d\u0438. \u0415\u0441\u043b\u0438 \u043f\u0440\u0438\u0433\u043b\u044f\u0434\u0435\u0442\u044c\u0441\u044f, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c, \u0447\u0442\u043e \u043c\u044b \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c \u043a\u043e\u0434 \u0438\u0437 \u0441\u0442\u0435\u043a\u0430<\/em>:\u00a0esp<\/code>\u00a0\u2014 \u044d\u0442\u043e \u00a0008bf664<\/code>, \u0442\u043e \u0435\u0441\u0442\u044c \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u043e\u0434 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0441\u0442\u0435\u043a\u0435.<\/p>\n
\u041a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043a\u043e\u0434 \u0438\u0437 \u0441\u0442\u0435\u043a\u0430?<\/p>\n
\u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u044b.<\/p>\n
\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u044d\u0442\u043e \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u041f\u041e.<\/p>\n
\u0414\u0438\u0437\u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0440\u044f\u0434\u043e\u043c \u0441 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c \u0445\u043e\u0440\u043e\u0448\u0438\u043c \u043a\u043e\u0434\u043e\u043c \u0434\u0430\u0451\u0442 \u043d\u0430\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<\/p>\n
008bf6c4 call    dword ptr [esi+214h] 008bf6ca inc     dword ptr [ebp+8] 008bf6cd push    edi 008bf6ce call    dword ptr [esi+210h]   ; \u0437\u0434\u0435\u0441\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0432\u044b\u0437\u043e\u0432 \u0432 \u043f\u0443\u0441\u0442\u043e\u0442\u0443 008bf6d4 test    eax,eax 008bf6d6 je      008bf6b9 008bf6d8 xor     edi,edi 008bf6da cmp     dword ptr [esi+430h],edi 008bf6e0 je      008bf70d<\/code><\/pre>\n
\u041f\u043e\u0445\u043e\u0436\u0435, \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0430 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0432 esi+210<\/code>\u00a0\u0438 esi+214<\/code>. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u0442\u0430\u043c. \u0412\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0442\u0430\u043c \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0445\u0440\u0430\u043d\u0438\u0442 \u0432\u0441\u0435 \u0441\u0432\u043e\u0438 \u0446\u0435\u043b\u0438 \u0432\u044b\u0437\u043e\u0432\u0430.<\/p>\n
0:000> dps @esi+200 008bf880  1475ff71 008bf884  00000004 008bf888  76daecf0 kernel32!WaitForSingleObject 008bf88c  76daeb00 kernel32!CloseHandle 008bf890  7077c100 008bf894  76dada90 kernel32!SleepStub 008bf898  76db6a40 kernel32!ExitProcessImplementation 008bf89c  76daf140 kernel32!RemoveDirectoryW 008bf8a0  76da6e30 kernel32!GetLastErrorStub 008bf8a4  770d53f0 user32!ExitWindowsEx 008bf8a8  003a0043 008bf8ac  0050005c 008bf8b0  006f0072 008bf8b4  00720067 008bf8b8  006d0061<\/code><\/pre>\n
\u0414\u0430, \u0437\u0434\u0435\u0441\u044c \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0439. \u041f\u043e\u0445\u043e\u0436\u0435, \u044d\u0442\u043e\u0442 \u0437\u043b\u043e\u0432\u0440\u0435\u0434 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0433\u043e-\u0442\u043e \u0434\u043e\u0436\u0434\u0430\u0442\u044c\u0441\u044f, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u043b\u0438 \u0432\u044b\u0439\u0442\u0438 \u0438\u0437 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u0438\u043b\u0438 \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u043f\u0430\u043f\u043a\u0443, \u0438\u043b\u0438 \u0432\u044b\u0439\u0442\u0438 \u0438\u0437 Windows. \u042d\u0442\u0438 \u0431\u0430\u0439\u0442\u044b \u043f\u043e\u0441\u043b\u0435 user32!ExitWindowsEx<\/code>\u00a0\u043f\u043e\u0445\u043e\u0436\u0438 \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 Unicode, \u0442\u0430\u043a \u0447\u0442\u043e \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0441\u0434\u0430\u043c\u043f\u0438\u043c \u0438\u0445 \u043a\u0430\u043a \u0441\u0442\u0440\u043e\u043a\u0443:<\/p>\n
0:000> du 008bf8a8   008bf8a8  \"C:\\Program Files\\Contoso\\contoso_update.exe\" <\/code><\/pre>\n
\u041f\u043e\u0441\u0442\u043e\u0439\u0442\u0435-\u043a\u0430, \u0447\u0442\u043e? \u0412\u0435\u0441\u044c \u044d\u0442\u043e\u0442 \u0431\u0435\u0441\u043f\u043e\u0440\u044f\u0434\u043e\u043a \u043d\u0430\u0432\u043e\u0434\u0438\u0442 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f Contoso?<\/p>\n
\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u0435\u0435 \u043f\u0440\u0438\u0433\u043b\u044f\u0434\u0438\u043c\u0441\u044f \u043a \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u0430. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c\u0441\u044f, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442. \u041f\u043e\u0445\u043e\u0436\u0435, \u043e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043f\u043b\u0430\u0446\u0434\u0430\u0440\u043c\u0430 esi<\/code>\u00a0, \u0442\u0430\u043a \u0447\u0442\u043e \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0447\u043d\u0451\u043c \u0434\u0438\u0437\u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0441 esi<\/code>.<\/p>\n
008bf684 push    ebp                        ; \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u0430\u0434\u0440\u0430 \u0441\u0442\u0435\u043a\u0430 008bf685 mov     ebp,esp 008bf687 push    ebx                        ; \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 ebx 008bf688 push    esi                        ; \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 esi 008bf689 mov     esi,dword ptr [ebp+8]      ; \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 008bf68c push    edi                        ; \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 edi 008bf68d push    0FFFFFFFFh                 ; INFINITE 008bf68f push    dword ptr [esi+204h]       ; \u0434\u0430\u043d\u043d\u044b\u0435->hProcess 008bf695 lea     ebx,[esi+22Ah]             ; \u0430\u0434\u0440\u0435\u0441 \u043f\u0443\u0442\u0438 + 2 008bf69b call    dword ptr [esi+208h]       ; WaitForSingleObject 008bf6a1 push    dword ptr [esi+204h]       ; \u0434\u0430\u043d\u043d\u044b\u0435->hProcess 008bf6a7 call    dword ptr [esi+20Ch]       ; CloseHandle 008bf6ad and     dword ptr [ebp+8],0        ; count = 0 008bf6b1 lea     edi,[esi+228h]             ; \u0430\u0434\u0440\u0435\u0441 \u043f\u0443\u0442\u0438 008bf6b7 jmp     008bf6cd                   ; \u0432\u0445\u043e\u0434 \u0432 \u0446\u0438\u043a\u043b 008bf6b9 cmp     dword ptr [ebp+8],28h      ; \u0436\u0434\u0430\u043b\u0438 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0434\u043e\u043b\u0433\u043e? 008bf6bd jge     008bf6d8                   ; \u0442\u043e\u0433\u0434\u0430 \u043e\u0441\u0442\u0430\u043d\u043e\u0432 008bf6bf push    1F4h                       ; 500 008bf6c4 call    dword ptr [esi+214h]       ; Sleep 008bf6ca inc     dword ptr [ebp+8]          ; count++ 008bf6cd push    edi                        ; \u043f\u0443\u0442\u044c 008bf6ce call    dword ptr [esi+210h]       ; DeleteFile 008bf6d4 test    eax,eax                    ; \u0423\u0434\u0430\u043b\u0451\u043d \u043b\u0438 \u0444\u0430\u0439\u043b? 008bf6d6 je      008bf6b9                   ; \u0415\u0441\u043b\u0438 \u043d\u0435\u0442 (N), \u0432\u0445\u043e\u0434\u0438\u043c \u0432 \u0446\u0438\u043a\u043b \u0438 \u043f\u0440\u043e\u0431\u0443\u0435\u043c \u0441\u043d\u043e\u0432\u0430 008bf6d8 xor     edi,edi 008bf6da cmp     dword ptr [esi+430h],edi   ; \u0434\u0430\u043d\u043d\u044b\u0435->fRemoveDirectory? 008bf6e0 je      008bf70d                   ; \u041d\u0435\u0442? \u041f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c 008bf6e2 jmp     008bf6f0                   ; \u0412\u0445\u043e\u0434\u0438\u043c \u0432 \u0446\u0438\u043a\u043b \u0434\u043b\u044f \u0443\u0440\u0435\u0437\u0430\u043d\u0438\u044f \u0438\u043c\u0435\u043d\u0438 \u0444\u0430\u0439\u043b\u0430 008bf6e4 cmp     ax,5Ch                     ; \u041e\u0431\u0440\u0430\u0442\u043d\u0430\u044f \u043a\u043e\u0441\u0430\u044f \u0447\u0435\u0440\u0442\u0430? 008bf6e8 jne     008bf6ed                   ; \u041d\u0435\u0442? \u0418\u0433\u043d\u043e\u0440\u0438\u0440\u0443\u0435\u043c 008bf6ea mov     dword ptr [ebp+8],ebx      ; \u0417\u0430\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u043c \u043c\u0435\u0441\u0442\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u0441\u043e\u0439 \u0447\u0435\u0440\u0442\u044b 008bf6ed add     ebx,2                      ; \u041f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u043c \u043a \u0441\u0438\u043c\u0432\u043e\u043b\u0443 008bf6f0 movzx   eax,word ptr [ebx]         ; \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0441\u0438\u043c\u0432\u043e\u043b 008bf6f3 cmp     ax,di                      ; \u041a\u043e\u043d\u0435\u0446 \u0441\u0442\u0440\u043e\u043a\u0438? 008bf6f6 jne     008bf6e4                   ; \u041d\u0435\u0442? \u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0438\u0441\u043a\u0430\u0442\u044c 008bf6f8 mov     ecx,dword ptr [ebp+8]      ; \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u043c\u0435\u0441\u0442\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u0441\u043e\u0439 \u0447\u0435\u0440\u0442\u044b 008bf6fb xor     eax,eax                    ; eax = 0 008bf6fd mov     word ptr [ecx],ax          ; \u0417\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u043c \u0441\u0442\u0440\u043e\u043a\u0443 \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u0441\u043e\u0439 \u0447\u0435\u0440\u0442\u0435 008bf700 lea     eax,[esi+228h]             ; \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u043f\u0443\u0442\u044c (\u0442\u0435\u043f\u0435\u0440\u044c \u0431\u0435\u0437 \u0438\u043c\u0435\u043d\u0438 \u0444\u0430\u0439\u043b\u0430) 008bf706 push    eax                        ; Push \u0430\u0434\u0440\u0435\u0441\u0430 008bf707 call    dword ptr [esi+21Ch]       ; RemoveDirectory 008bf70d cmp     dword ptr [esi+434h],edi   ; \u0434\u0430\u043d\u043d\u044b\u0435->fExitWindows? 008bf713 je      008bf71e                   ; \u041d\u0435\u0442? \u041f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c 008bf715 push    edi                        ; dwReason = 0 008bf716 push    12h                        ; EWX_REBOOT | EWX_FORCEIFHUNG 008bf718 call    dword ptr [esi+224h]       ; ExitWindowsEx 008bf71e push    edi                        ; dwExitCode = 0 008bf71f call    dword ptr [esi+218h]       ; ExitProcess 008bf725 pop     edi 008bf726 pop     esi 008bf727 pop     ebx 008bf728 pop     ebp 008bf729 ret ; \u041f\u043e\u0445\u043e\u0436\u0435, \u044d\u0442\u043e\u0442 \u043a\u043e\u0434 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f 008bf72a push    ebp 008bf72b mov     ebp,esp 008bf72d push    esi 008bf72e mov     esi,dword ptr [ebp+10h] 008bf731 test    esi,esi 008bf733 jle     008bf746 ...<\/code><\/pre>\n
\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0432 \u0440\u0435\u0432\u0435\u0440\u0441-\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044e \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u043d\u0430 C, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c<\/p>\n
struct Data { char code[0x0204]; HANDLE hProcess; DWORD (CALLBACK* WaitForSingleObject)(HANDLE, DWORD); BOOL (CALLBACK* CloseHandle)(HANDLE); DWORD (CALLBACK* MysteryFunction)(PCWSTR); void (CALLBACK* Sleep)(DWORD); void (CALLBACK* ExitProcess)(UINT); BOOL (CALLBACK* RemoveDirectoryW)(PCWSTR); DWORD (CALLBACK* GetLastError)(); BOOL (CALLBACK* ExitWindowsEx)(UINT, DWORD); wchar_t path[MAX_PATH]; BOOL fRemoveDirectory; BOOL fExitWindows; }; void Payload(Data* data) { \/\/ \u0416\u0434\u0451\u043c, \u043f\u043e\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u0432\u044b\u0445\u043e\u0434 data->WaitForSingleObject(data->hProcess, INFINITE); data->CloseHandle(data->hProcess); \/\/ 20 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u0441 \u0444\u0430\u0439\u043b\u043e\u043c for (int count = 0;     !data-&gt;MysteryFunction(data-&gt;path) &amp;&amp; count &lt; 40;     count++) {     Sleep(500); }  if (data-&gt;fRemoveDirectory) {     PWSTR p = &amp;data-&gt;path[1];     PWSTR lastBackslash = p;     while (*p != L'\\0') {         if (*p == L'\\\\') lastBackslash = p;         p++;     }     *lastBackslash = L'\\0';     RemoveDirectoryW(data-&gt;path); }  if (data-&gt;fExitWindows) {     ExitWindowsEx(EWX_REBOOT | EWX_FORCEIFHUNG, 0); }  }<\/code><\/pre>\n
\u0410\u0433\u0430! \u042d\u0442\u043e \u043d\u0435 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u041f\u041e, \u044d\u0442\u043e \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440!<\/p>\n
\u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0437\u0430\u0433\u0430\u0434\u043e\u0447\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u2014 \u044d\u0442\u043e DeleteFileW<\/code>. \u041e\u043d\u0430 \u0436\u0434\u0451\u0442, \u043f\u043e\u043a\u0430 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d \u0432\u044b\u0445\u043e\u0434 \u0438\u0437 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u0430, \u0447\u0442\u043e\u0431\u044b \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b.<\/p>\n
\u041d\u0430 CodeProject \u0435\u0441\u0442\u044c \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430, \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0449\u0430\u044f, \u043a\u0430\u043a \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0430\u043c\u043e\u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0444\u0430\u0439\u043b; \u043f\u043e\u0445\u043e\u0436\u0435 \u043c\u043d\u043e\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0440\u0435\u0448\u0438\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0442\u043e\u0442 \u043a\u043e\u0434 \u0432 \u0441\u0432\u043e\u0438\u0445 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u0430\u0445. (\u041d\u0435 \u0437\u043d\u0430\u044e, \u0441\u043e\u0431\u043b\u044e\u0434\u0430\u044e\u0442 \u043b\u0438 \u043e\u043d\u0438 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u043e\u043d\u043d\u044b\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u044d\u0442\u043e\u0433\u043e \u043a\u043e\u0434\u0430.)<\/p>\n
\u041d\u0443 \u043b\u0430\u0434\u043d\u043e, \u0430 \u043f\u043e\u0447\u0435\u043c\u0443 \u0436\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432\u044b\u043b\u0435\u0442? \u0427\u0442\u043e \u043d\u0435 \u0442\u0430\u043a \u0441\u00a0DeleteFileW<\/code>?<\/p>\n
\u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u0444\u0430\u0439\u043b\u0443 \u0434\u0430\u043c\u043f\u0430, \u043c\u0435\u0441\u0442\u043e, \u0433\u0434\u0435 \u0434\u043e\u043b\u0436\u0435\u043d \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c\u0441\u044f DeleteFileW<\/code>\u00a0, \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 7077c100<\/code>. \u042d\u0442\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432 \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0437\u0430\u0433\u0430\u0434\u043e\u0447\u043d\u043e\u0439 DLL, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043d\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u0430. \u041a\u0430\u043a \u0436\u0435 \u0442\u0430\u043a \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c?<\/p>\n
\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0443, \u0447\u0442\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u044f DeleteFileW<\/code>\u00a0\u0441\u043e\u0437\u0434\u0430\u043b\u0430 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c (detour) \u0432 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u0435 Contoso. \u041a\u043e\u0433\u0434\u0430 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u043f\u044b\u0442\u0430\u043b\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043e\u043d \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043d\u0435 \u0430\u0434\u0440\u0435\u0441 DeleteFileW<\/code>\u00a0, \u0430 \u0430\u0434\u0440\u0435\u0441 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0443\u0442\u0438. \u0417\u0430\u0442\u0435\u043c \u043e\u043d \u043f\u043e\u043f\u044b\u0442\u0430\u043b\u0441\u044f \u0432\u044b\u0437\u0432\u0430\u0442\u044c \u0438\u0437 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u044d\u0442\u043e\u0442 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c, \u043d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0432 Explorer (\u0438\u043b\u0438 \u0435\u0441\u043b\u0438 \u043e\u043d \u0435\u0441\u0442\u044c, \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043a\u0430\u043a\u043e\u043c-\u0442\u043e \u0434\u0440\u0443\u0433\u043e\u043c \u043c\u0435\u0441\u0442\u0435), \u0432 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u043c \u0438\u0442\u043e\u0433\u0435 \u0432\u044b\u0437\u043e\u0432 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u0432 \u043f\u0443\u0441\u0442\u043e\u0435 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u043e.<\/p>\n
\u041d\u0438 \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430, \u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043e\u0431\u0445\u043e\u0434\u043d\u044b\u0445 \u043f\u0443\u0442\u0435\u0439 \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043a\u0442\u043e-\u0442\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0432 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c, \u043d\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u044f, \u0447\u0442\u043e \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u0443\u0435\u0442 \u0432\u044b\u0437\u043e\u0432 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0443\u0442\u0438 \u0432 Explorer. \u0410 \u043c\u043e\u0436\u0435\u0442, \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0431\u044b\u043b \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u043c. \u0418\u043b\u0438, \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u0441\u043b\u043e\u0435\u043c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 Windows. \u041a\u0430\u043a \u0431\u044b \u0442\u043e \u043d\u0438 \u0431\u044b\u043b\u043e, \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u043c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u0432\u044b\u043b\u0435\u0442 Explorer.<\/p>\n
\u0418\u0437-\u0437\u0430 \u044d\u0442\u043e\u0433\u043e \u043b\u044e\u0434\u0438 \u0432\u0440\u043e\u0434\u0435 \u043c\u0435\u043d\u044f \u0442\u0440\u0430\u0442\u044f\u0442 \u043c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430 \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u0435 \u044d\u0442\u0438\u0445 \u0432\u044b\u043b\u0435\u0442\u043e\u0432 \u043b\u0438\u0448\u044c \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u0438\u0439\u0442\u0438 \u043a \u0432\u044b\u0432\u043e\u0434\u0443, \u0447\u0442\u043e \u0438\u0445 \u043f\u0440\u0438\u0447\u0438\u043d\u043e\u0439 \u0441\u0442\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043b\u044e\u0434\u0438, \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u0443.<\/p>\n
\u0415\u0441\u043b\u0438 \u0432\u0430\u043c \u043d\u0443\u0436\u043d\u043e \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u0441\u0430\u043c\u043e\u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u043f\u043e\u0436\u0430\u043b\u0443\u0439\u0441\u0442\u0430, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0439\u0442\u0435 \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0432 \u0447\u0435\u0439-\u0442\u043e \u0447\u0443\u0436\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u0412\u043e\u0442 \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u043d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044f \u0441\u043b\u0435\u0434\u043e\u0432:<\/p>\n
\u0421\u043e\u0437\u0434\u0430\u0439\u0442\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b cleanup.js<\/code>\u00a0\u0441\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c:<\/p>\n
var fso = new ActiveXObject(\"Scripting.FileSystemObject\"); fso.DeleteFile(\"C:\\Users\\Name\\AppData\\Local\\Temp\\cleanup.js\"); var path = \"C:\\Program Files\\Contoso\\contoso_update.exe\"; for (var count = 0; fso.FileExists(path) && count < 40; count++) { try { fso.DeleteFile(path); break; } catch (e) { } WSH.Sleep(500); }<\/code><\/pre>\n
\u042d\u0442\u043e\u0442 \u0441\u043a\u0440\u0438\u043f\u0442 \u0443\u0434\u0430\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f, \u0430 \u0437\u0430\u0442\u0435\u043c \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u0434\u0432\u0430\u0434\u0446\u0430\u0442\u0438 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0438\u0442\u044c contoso_update.exe<\/code>. \u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u0435 \u0435\u0433\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 wscript cleanup.js<\/code>\u00a0\u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044c\u0442\u0435 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0432\u043e\u044e \u0440\u0430\u0431\u043e\u0442\u0443. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u0434\u0430, \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043e\u0431\u0445\u043e\u0434\u043d\u044b\u0445 \u043f\u0443\u0442\u0435\u0439, \u0432\u0441\u0451 \u0437\u0430\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043e.<\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n
<\/div>\n

 \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438  https:\/\/habr.com\/ru\/articles\/761050\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
<\/div>\n
\n
\n
\n
\n
<\/figure>\n
\u0423 \u043d\u0430\u0441 \u0432\u043e\u0437\u043d\u0438\u043a \u0440\u0435\u0437\u043a\u0438\u0439 \u0440\u043e\u0441\u0442 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0432\u044b\u043b\u0435\u0442\u043e\u0432 Explorer \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u0441\u044f \u0432 \u043f\u0443\u0441\u0442\u043e\u0442\u0435.<\/p>\n
0:000> r eax=00000001 ebx=008bf8aa ecx=77231cf3 edx=00000000 esi=008bf680 edi=008bf8a8 eip=7077c100 esp=008bf664 ebp=008bf678 iopl=0         nv up ei pl zr na pe nc cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00010246 7077c100 ??              ??? <\/code><\/pre>\n
\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043d\u0430\u043c \u043e \u0447\u0451\u043c-\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430.<\/p>\n
0:000> u poi esp 008bf6d4 test    eax,eax 008bf6d6 je      008bf6b9 008bf6d8 xor     edi,edi 008bf6da cmp     dword ptr [esi+430h],edi<\/code><\/pre>\n
\u0421\u0442\u0440\u0430\u043d\u043d\u043e, \u0447\u0442\u043e \u043c\u044b \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c \u043a\u043e\u0434 \u0438\u0437 \u043a\u0430\u043a\u043e\u0433\u043e-\u0442\u043e \u043c\u0435\u0441\u0442\u0430, \u043d\u0435 \u0438\u043c\u0435\u044e\u0449\u0435\u0433\u043e \u0438\u043c\u0435\u043d\u0438. \u0415\u0441\u043b\u0438 \u043f\u0440\u0438\u0433\u043b\u044f\u0434\u0435\u0442\u044c\u0441\u044f, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c, \u0447\u0442\u043e \u043c\u044b \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c \u043a\u043e\u0434 \u0438\u0437 \u0441\u0442\u0435\u043a\u0430<\/em>:\u00a0esp<\/code>\u00a0\u2014 \u044d\u0442\u043e \u00a0008bf664<\/code>, \u0442\u043e \u0435\u0441\u0442\u044c \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043a\u043e\u0434 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u0441\u0442\u0435\u043a\u0435.<\/p>\n
\u041a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043a\u043e\u0434 \u0438\u0437 \u0441\u0442\u0435\u043a\u0430?<\/p>\n
\u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u044b.<\/p>\n
\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u044d\u0442\u043e \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u041f\u041e.<\/p>\n
\u0414\u0438\u0437\u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0440\u044f\u0434\u043e\u043c \u0441 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c \u0445\u043e\u0440\u043e\u0448\u0438\u043c \u043a\u043e\u0434\u043e\u043c \u0434\u0430\u0451\u0442 \u043d\u0430\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<\/p>\n
008bf6c4 call    dword ptr [esi+214h] 008bf6ca inc     dword ptr [ebp+8] 008bf6cd push    edi 008bf6ce call    dword ptr [esi+210h]   ; \u0437\u0434\u0435\u0441\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0432\u044b\u0437\u043e\u0432 \u0432 \u043f\u0443\u0441\u0442\u043e\u0442\u0443 008bf6d4 test    eax,eax 008bf6d6 je      008bf6b9 008bf6d8 xor     edi,edi 008bf6da cmp     dword ptr [esi+430h],edi 008bf6e0 je      008bf70d<\/code><\/pre>\n
\u041f\u043e\u0445\u043e\u0436\u0435, \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0430 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0432 esi+210<\/code>\u00a0\u0438 esi+214<\/code>. \u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u0442\u0430\u043c. \u0412\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0442\u0430\u043c \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0445\u0440\u0430\u043d\u0438\u0442 \u0432\u0441\u0435 \u0441\u0432\u043e\u0438 \u0446\u0435\u043b\u0438 \u0432\u044b\u0437\u043e\u0432\u0430.<\/p>\n
0:000> dps @esi+200 008bf880  1475ff71 008bf884  00000004 008bf888  76daecf0 kernel32!WaitForSingleObject 008bf88c  76daeb00 kernel32!CloseHandle 008bf890  7077c100 008bf894  76dada90 kernel32!SleepStub 008bf898  76db6a40 kernel32!ExitProcessImplementation 008bf89c  76daf140 kernel32!RemoveDirectoryW 008bf8a0  76da6e30 kernel32!GetLastErrorStub 008bf8a4  770d53f0 user32!ExitWindowsEx 008bf8a8  003a0043 008bf8ac  0050005c 008bf8b0  006f0072 008bf8b4  00720067 008bf8b8  006d0061<\/code><\/pre>\n
\u0414\u0430, \u0437\u0434\u0435\u0441\u044c \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0439. \u041f\u043e\u0445\u043e\u0436\u0435, \u044d\u0442\u043e\u0442 \u0437\u043b\u043e\u0432\u0440\u0435\u0434 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0433\u043e-\u0442\u043e \u0434\u043e\u0436\u0434\u0430\u0442\u044c\u0441\u044f, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u043b\u0438 \u0432\u044b\u0439\u0442\u0438 \u0438\u0437 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u0438\u043b\u0438 \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u043f\u0430\u043f\u043a\u0443, \u0438\u043b\u0438 \u0432\u044b\u0439\u0442\u0438 \u0438\u0437 Windows. \u042d\u0442\u0438 \u0431\u0430\u0439\u0442\u044b \u043f\u043e\u0441\u043b\u0435 user32!ExitWindowsEx<\/code>\u00a0\u043f\u043e\u0445\u043e\u0436\u0438 \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 Unicode, \u0442\u0430\u043a \u0447\u0442\u043e \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0441\u0434\u0430\u043c\u043f\u0438\u043c \u0438\u0445 \u043a\u0430\u043a \u0441\u0442\u0440\u043e\u043a\u0443:<\/p>\n
0:000> du 008bf8a8   008bf8a8  \"C:\\Program Files\\Contoso\\contoso_update.exe\" <\/code><\/pre>\n
\u041f\u043e\u0441\u0442\u043e\u0439\u0442\u0435-\u043a\u0430, \u0447\u0442\u043e? \u0412\u0435\u0441\u044c \u044d\u0442\u043e\u0442 \u0431\u0435\u0441\u043f\u043e\u0440\u044f\u0434\u043e\u043a \u043d\u0430\u0432\u043e\u0434\u0438\u0442 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f Contoso?<\/p>\n
\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u0435\u0435 \u043f\u0440\u0438\u0433\u043b\u044f\u0434\u0438\u043c\u0441\u044f \u043a \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u0430. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c\u0441\u044f, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442. \u041f\u043e\u0445\u043e\u0436\u0435, \u043e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043f\u043b\u0430\u0446\u0434\u0430\u0440\u043c\u0430 esi<\/code>\u00a0, \u0442\u0430\u043a \u0447\u0442\u043e \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043d\u0430\u0447\u043d\u0451\u043c \u0434\u0438\u0437\u0430\u0441\u0441\u0435\u043c\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0441 esi<\/code>.<\/p>\n
008bf684 push    ebp                        ; \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u0430\u0434\u0440\u0430 \u0441\u0442\u0435\u043a\u0430 008bf685 mov     ebp,esp 008bf687 push    ebx                        ; \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 ebx 008bf688 push    esi                        ; \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 esi 008bf689 mov     esi,dword ptr [ebp+8]      ; \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 008bf68c push    edi                        ; \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 edi 008bf68d push    0FFFFFFFFh                 ; INFINITE 008bf68f push    dword ptr [esi+204h]       ; \u0434\u0430\u043d\u043d\u044b\u0435->hProcess 008bf695 lea     ebx,[esi+22Ah]             ; \u0430\u0434\u0440\u0435\u0441 \u043f\u0443\u0442\u0438 + 2 008bf69b call    dword ptr [esi+208h]       ; WaitForSingleObject 008bf6a1 push    dword ptr [esi+204h]       ; \u0434\u0430\u043d\u043d\u044b\u0435->hProcess 008bf6a7 call    dword ptr [esi+20Ch]       ; CloseHandle 008bf6ad and     dword ptr [ebp+8],0        ; count = 0 008bf6b1 lea     edi,[esi+228h]             ; \u0430\u0434\u0440\u0435\u0441 \u043f\u0443\u0442\u0438 008bf6b7 jmp     008bf6cd                   ; \u0432\u0445\u043e\u0434 \u0432 \u0446\u0438\u043a\u043b 008bf6b9 cmp     dword ptr [ebp+8],28h      ; \u0436\u0434\u0430\u043b\u0438 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0434\u043e\u043b\u0433\u043e? 008bf6bd jge     008bf6d8                   ; \u0442\u043e\u0433\u0434\u0430 \u043e\u0441\u0442\u0430\u043d\u043e\u0432 008bf6bf push    1F4h                       ; 500 008bf6c4 call    dword ptr [esi+214h]       ; Sleep 008bf6ca inc     dword ptr [ebp+8]          ; count++ 008bf6cd push    edi                        ; \u043f\u0443\u0442\u044c 008bf6ce call    dword ptr [esi+210h]       ; DeleteFile 008bf6d4 test    eax,eax                    ; \u0423\u0434\u0430\u043b\u0451\u043d \u043b\u0438 \u0444\u0430\u0439\u043b? 008bf6d6 je      008bf6b9                   ; \u0415\u0441\u043b\u0438 \u043d\u0435\u0442 (N), \u0432\u0445\u043e\u0434\u0438\u043c \u0432 \u0446\u0438\u043a\u043b \u0438 \u043f\u0440\u043e\u0431\u0443\u0435\u043c \u0441\u043d\u043e\u0432\u0430 008bf6d8 xor     edi,edi 008bf6da cmp     dword ptr [esi+430h],edi   ; \u0434\u0430\u043d\u043d\u044b\u0435->fRemoveDirectory? 008bf6e0 je      008bf70d                   ; \u041d\u0435\u0442? \u041f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c 008bf6e2 jmp     008bf6f0                   ; \u0412\u0445\u043e\u0434\u0438\u043c \u0432 \u0446\u0438\u043a\u043b \u0434\u043b\u044f \u0443\u0440\u0435\u0437\u0430\u043d\u0438\u044f \u0438\u043c\u0435\u043d\u0438 \u0444\u0430\u0439\u043b\u0430 008bf6e4 cmp     ax,5Ch                     ; \u041e\u0431\u0440\u0430\u0442\u043d\u0430\u044f \u043a\u043e\u0441\u0430\u044f \u0447\u0435\u0440\u0442\u0430? 008bf6e8 jne     008bf6ed                   ; \u041d\u0435\u0442? \u0418\u0433\u043d\u043e\u0440\u0438\u0440\u0443\u0435\u043c 008bf6ea mov     dword ptr [ebp+8],ebx      ; \u0417\u0430\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u043c \u043c\u0435\u0441\u0442\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u0441\u043e\u0439 \u0447\u0435\u0440\u0442\u044b 008bf6ed add     ebx,2                      ; \u041f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u043c \u043a \u0441\u0438\u043c\u0432\u043e\u043b\u0443 008bf6f0 movzx   eax,word ptr [ebx]         ; \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0441\u0438\u043c\u0432\u043e\u043b 008bf6f3 cmp     ax,di                      ; \u041a\u043e\u043d\u0435\u0446 \u0441\u0442\u0440\u043e\u043a\u0438? 008bf6f6 jne     008bf6e4                   ; \u041d\u0435\u0442? \u041f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u043c \u0438\u0441\u043a\u0430\u0442\u044c 008bf6f8 mov     ecx,dword ptr [ebp+8]      ; \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u043c\u0435\u0441\u0442\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u0441\u043e\u0439 \u0447\u0435\u0440\u0442\u044b 008bf6fb xor     eax,eax                    ; eax = 0 008bf6fd mov     word ptr [ecx],ax          ; \u0417\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u043c \u0441\u0442\u0440\u043e\u043a\u0443 \u043d\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043e\u0431\u0440\u0430\u0442\u043d\u043e\u0439 \u043a\u043e\u0441\u043e\u0439 \u0447\u0435\u0440\u0442\u0435 008bf700 lea     eax,[esi+228h]             ; \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u043f\u0443\u0442\u044c (\u0442\u0435\u043f\u0435\u0440\u044c \u0431\u0435\u0437 \u0438\u043c\u0435\u043d\u0438 \u0444\u0430\u0439\u043b\u0430) 008bf706 push    eax                        ; Push \u0430\u0434\u0440\u0435\u0441\u0430 008bf707 call    dword ptr [esi+21Ch]       ; RemoveDirectory 008bf70d cmp     dword ptr [esi+434h],edi   ; \u0434\u0430\u043d\u043d\u044b\u0435->fExitWindows? 008bf713 je      008bf71e                   ; \u041d\u0435\u0442? \u041f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c 008bf715 push    edi                        ; dwReason = 0 008bf716 push    12h                        ; EWX_REBOOT | EWX_FORCEIFHUNG 008bf718 call    dword ptr [esi+224h]       ; ExitWindowsEx 008bf71e push    edi                        ; dwExitCode = 0 008bf71f call    dword ptr [esi+218h]       ; ExitProcess 008bf725 pop     edi 008bf726 pop     esi 008bf727 pop     ebx 008bf728 pop     ebp 008bf729 ret ; \u041f\u043e\u0445\u043e\u0436\u0435, \u044d\u0442\u043e\u0442 \u043a\u043e\u0434 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f 008bf72a push    ebp 008bf72b mov     ebp,esp 008bf72d push    esi 008bf72e mov     esi,dword ptr [ebp+10h] 008bf731 test    esi,esi 008bf733 jle     008bf746 ...<\/code><\/pre>\n
\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0432 \u0440\u0435\u0432\u0435\u0440\u0441-\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044e \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u043d\u0430 C, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c<\/p>\n
struct Data { char code[0x0204]; HANDLE hProcess; DWORD (CALLBACK* WaitForSingleObject)(HANDLE, DWORD); BOOL (CALLBACK* CloseHandle)(HANDLE); DWORD (CALLBACK* MysteryFunction)(PCWSTR); void (CALLBACK* Sleep)(DWORD); void (CALLBACK* ExitProcess)(UINT); BOOL (CALLBACK* RemoveDirectoryW)(PCWSTR); DWORD (CALLBACK* GetLastError)(); BOOL (CALLBACK* ExitWindowsEx)(UINT, DWORD); wchar_t path[MAX_PATH]; BOOL fRemoveDirectory; BOOL fExitWindows; }; void Payload(Data* data) { \/\/ \u0416\u0434\u0451\u043c, \u043f\u043e\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u0432\u044b\u0445\u043e\u0434 data->WaitForSingleObject(data->hProcess, INFINITE); data->CloseHandle(data->hProcess); \/\/ 20 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u0441 \u0444\u0430\u0439\u043b\u043e\u043c for (int count = 0;     !data-&gt;MysteryFunction(data-&gt;path) &amp;&amp; count &lt; 40;     count++) {     Sleep(500); }  if (data-&gt;fRemoveDirectory) {     PWSTR p = &amp;data-&gt;path[1];     PWSTR lastBackslash = p;     while (*p != L'\\0') {         if (*p == L'\\\\') lastBackslash = p;         p++;     }     *lastBackslash = L'\\0';     RemoveDirectoryW(data-&gt;path); }  if (data-&gt;fExitWindows) {     ExitWindowsEx(EWX_REBOOT | EWX_FORCEIFHUNG, 0); }  }<\/code><\/pre>\n
\u0410\u0433\u0430! \u042d\u0442\u043e \u043d\u0435 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u041f\u041e, \u044d\u0442\u043e \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440!<\/p>\n
\u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0437\u0430\u0433\u0430\u0434\u043e\u0447\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u2014 \u044d\u0442\u043e DeleteFileW<\/code>. \u041e\u043d\u0430 \u0436\u0434\u0451\u0442, \u043f\u043e\u043a\u0430 \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d \u0432\u044b\u0445\u043e\u0434 \u0438\u0437 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u0430, \u0447\u0442\u043e\u0431\u044b \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b.<\/p>\n
\u041d\u0430 CodeProject \u0435\u0441\u0442\u044c \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430, \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0449\u0430\u044f, \u043a\u0430\u043a \u043d\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0430\u043c\u043e\u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0444\u0430\u0439\u043b; \u043f\u043e\u0445\u043e\u0436\u0435 \u043c\u043d\u043e\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0440\u0435\u0448\u0438\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0442\u043e\u0442 \u043a\u043e\u0434 \u0432 \u0441\u0432\u043e\u0438\u0445 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u0430\u0445. (\u041d\u0435 \u0437\u043d\u0430\u044e, \u0441\u043e\u0431\u043b\u044e\u0434\u0430\u044e\u0442 \u043b\u0438 \u043e\u043d\u0438 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u043e\u043d\u043d\u044b\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u044d\u0442\u043e\u0433\u043e \u043a\u043e\u0434\u0430.)<\/p>\n
\u041d\u0443 \u043b\u0430\u0434\u043d\u043e, \u0430 \u043f\u043e\u0447\u0435\u043c\u0443 \u0436\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432\u044b\u043b\u0435\u0442? \u0427\u0442\u043e \u043d\u0435 \u0442\u0430\u043a \u0441\u00a0DeleteFileW<\/code>?<\/p>\n
\u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u0444\u0430\u0439\u043b\u0443 \u0434\u0430\u043c\u043f\u0430, \u043c\u0435\u0441\u0442\u043e, \u0433\u0434\u0435 \u0434\u043e\u043b\u0436\u0435\u043d \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c\u0441\u044f DeleteFileW<\/code>\u00a0, \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 7077c100<\/code>. \u042d\u0442\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0432 \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0437\u0430\u0433\u0430\u0434\u043e\u0447\u043d\u043e\u0439 DLL, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043d\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u0430. \u041a\u0430\u043a \u0436\u0435 \u0442\u0430\u043a \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c?<\/p>\n
\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0443, \u0447\u0442\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u044f DeleteFileW<\/code>\u00a0\u0441\u043e\u0437\u0434\u0430\u043b\u0430 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c (detour) \u0432 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u0435 Contoso. \u041a\u043e\u0433\u0434\u0430 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u043f\u044b\u0442\u0430\u043b\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043e\u043d \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043d\u0435 \u0430\u0434\u0440\u0435\u0441 DeleteFileW<\/code>\u00a0, \u0430 \u0430\u0434\u0440\u0435\u0441 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0443\u0442\u0438. \u0417\u0430\u0442\u0435\u043c \u043e\u043d \u043f\u043e\u043f\u044b\u0442\u0430\u043b\u0441\u044f \u0432\u044b\u0437\u0432\u0430\u0442\u044c \u0438\u0437 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u044d\u0442\u043e\u0442 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c, \u043d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0432 Explorer (\u0438\u043b\u0438 \u0435\u0441\u043b\u0438 \u043e\u043d \u0435\u0441\u0442\u044c, \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043a\u0430\u043a\u043e\u043c-\u0442\u043e \u0434\u0440\u0443\u0433\u043e\u043c \u043c\u0435\u0441\u0442\u0435), \u0432 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u043c \u0438\u0442\u043e\u0433\u0435 \u0432\u044b\u0437\u043e\u0432 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u0432 \u043f\u0443\u0441\u0442\u043e\u0435 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u043e.<\/p>\n
\u041d\u0438 \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430, \u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043e\u0431\u0445\u043e\u0434\u043d\u044b\u0445 \u043f\u0443\u0442\u0435\u0439 \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043a\u0442\u043e-\u0442\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0432 \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c, \u043d\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u044f, \u0447\u0442\u043e \u0434\u0435\u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440 \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u0443\u0435\u0442 \u0432\u044b\u0437\u043e\u0432 \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0443\u0442\u0438 \u0432 Explorer. \u0410 \u043c\u043e\u0436\u0435\u0442, \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0431\u044b\u043b \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u043c. \u0418\u043b\u0438, \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043e\u0431\u0445\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u0441\u043b\u043e\u0435\u043c \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 Windows. \u041a\u0430\u043a \u0431\u044b \u0442\u043e \u043d\u0438 \u0431\u044b\u043b\u043e, \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u043c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u0432\u044b\u043b\u0435\u0442 Explorer.<\/p>\n
\u0418\u0437-\u0437\u0430 \u044d\u0442\u043e\u0433\u043e \u043b\u044e\u0434\u0438 \u0432\u0440\u043e\u0434\u0435 \u043c\u0435\u043d\u044f \u0442\u0440\u0430\u0442\u044f\u0442 \u043c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430 \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u0435 \u044d\u0442\u0438\u0445 \u0432\u044b\u043b\u0435\u0442\u043e\u0432 \u043b\u0438\u0448\u044c \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u0438\u0439\u0442\u0438 \u043a \u0432\u044b\u0432\u043e\u0434\u0443, \u0447\u0442\u043e \u0438\u0445 \u043f\u0440\u0438\u0447\u0438\u043d\u043e\u0439 \u0441\u0442\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043b\u044e\u0434\u0438, \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u0443.<\/p>\n
\u0415\u0441\u043b\u0438 \u0432\u0430\u043c \u043d\u0443\u0436\u043d\u043e \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u0441\u0430\u043c\u043e\u0443\u0434\u0430\u043b\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u043f\u043e\u0436\u0430\u043b\u0443\u0439\u0441\u0442\u0430, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0439\u0442\u0435 \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0432 \u0447\u0435\u0439-\u0442\u043e \u0447\u0443\u0436\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u0412\u043e\u0442 \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u043d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044f \u0441\u043b\u0435\u0434\u043e\u0432:<\/p>\n
\u0421\u043e\u0437\u0434\u0430\u0439\u0442\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b cleanup.js<\/code>\u00a0\u0441\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c:<\/p>\n
var fso = new ActiveXObject(\"Scripting.FileSystemObject\"); fso.DeleteFile(\"C:\\Users\\Name\\AppData\\Local\\Temp\\cleanup.js\"); var path = \"C:\\Program Files\\Contoso\\contoso_update.exe\"; for (var count = 0; fso.FileExists(path) && count < 40; count++) { try { fso.DeleteFile(path); break; } catch (e) { } WSH.Sleep(500); }<\/code><\/pre>\n
\u042d\u0442\u043e\u0442 \u0441\u043a\u0440\u0438\u043f\u0442 \u0443\u0434\u0430\u043b\u044f\u0435\u0442 \u0441\u0435\u0431\u044f, \u0430 \u0437\u0430\u0442\u0435\u043c \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u0434\u0432\u0430\u0434\u0446\u0430\u0442\u0438 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0443\u0434\u0430\u043b\u0438\u0442\u044c contoso_update.exe<\/code>. \u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u0435 \u0435\u0433\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 wscript cleanup.js<\/code>\u00a0\u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044c\u0442\u0435 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0432\u043e\u044e \u0440\u0430\u0431\u043e\u0442\u0443. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u0438\u043d\u044a\u0435\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u0434\u0430, \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043e\u0431\u0445\u043e\u0434\u043d\u044b\u0445 \u043f\u0443\u0442\u0435\u0439, \u0432\u0441\u0451 \u0437\u0430\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043e.<\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n
<\/div>\n

 \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438  https:\/\/habr.com\/ru\/articles\/761050\/<\/a>
<\/br><\/br><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-354870","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/354870","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=354870"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/354870\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=354870"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=354870"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=354870"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}