{"id":368093,"date":"2024-05-21T03:35:21","date_gmt":"2024-05-21T03:35:21","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=368093"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2024-05-21T03:35:21","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=368093","title":{"rendered":"<span>\u0422\u0440\u043e\u044f\u043d SafeRAT: \u0442\u0430\u043a \u043b\u0438 \u043e\u043d \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u0435\u043d?<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/442\/740\/218\/442740218d177f1b33ff74ecf640b352.png\" width=\"780\" height=\"440\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/442\/740\/218\/442740218d177f1b33ff74ecf640b352.png\"\/><\/figure>\n<p>\u0411\u043e\u043b\u044c\u0448\u043e\u0439 \u0445\u0430\u0431\u0440\u043e\u0441\u0430\u043b\u044e\u0442 \u0432\u0441\u0435\u043c! \u0421 \u0432\u0430\u043c\u0438 \u043d\u0430 \u0441\u0432\u044f\u0437\u0438 \u044f, \u041a\u0441\u0435\u043d\u0438\u044f \u041d\u0430\u0443\u043c\u043e\u0432\u0430, \u0438 \u043c\u043e\u0439 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 \u0410\u043d\u0442\u043e\u043d \u0411\u0435\u043b\u043e\u0443\u0441\u043e\u0432. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Positive Technologies, \u0432 \u043e\u0442\u0434\u0435\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e. \u042f \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0441\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0432 \u0441\u0435\u0442\u0438, \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u0430\u043c\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u044e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0442\u0440\u0430\u0444\u0438\u043a, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u0441\u0442\u0432\u0443\u044e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u0438\u0449\u0443 \u043d\u043e\u0432\u044b\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u044b \u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0433\u0440\u043e\u0437. \u0410 \u0410\u043d\u0442\u043e\u043d \u2014 \u0432\u0438\u0440\u0443\u0441\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043e\u043d \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u0432, \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u043d\u0430 \u0447\u0430\u0441\u0442\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u044b \u0432\u0438\u0440\u0443\u0441\u043e\u0432, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u0442\u044c, \u043a\u0430\u043a \u043b\u0443\u0447\u0448\u0435 \u0438\u0445 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438\u043b\u0438 \u043a\u0430\u043a \u043d\u0430\u0439\u0442\u0438 \u043f\u043e\u0445\u043e\u0436\u0438\u0435 \u0434\u0440\u0443\u0433 \u043d\u0430 \u0434\u0440\u0443\u0433\u0430.<\/p>\n<p>\u0412 \u0434\u0435\u043a\u0430\u0431\u0440\u0435 2023 \u0433\u043e\u0434\u0430, \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u0433\u043e \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u043d\u043e\u0432\u044b\u0445 \u0443\u0433\u0440\u043e\u0437 \u0418\u0411, <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/products\/sandbox\/\">\u0438\u0437\u0443\u0447\u0430\u044f \u0432 PT Sandbox<\/a> \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u044b \u0438 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u043c\u044b\u0439 \u0438\u043c\u0438 \u0442\u0440\u0430\u0444\u0438\u043a, \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0441\u0435\u0442\u0435\u0432\u043e\u0435 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u0441 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0430\u0448\u0435 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438 \u043d\u0430\u0447\u0430\u043b\u043e\u0441\u044c. \u041d\u0430\u0434\u043e \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0438 \u043c\u044b \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u044d\u0442\u043e \u0435\u0449\u0435 \u0438 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0448\u0435\u043c\u0443\u0441\u044f \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0443 \u043f\u043e\u0445\u043e\u0436\u0438\u0445 \u0441\u0435\u043c\u043f\u043b\u043e\u0432. \u0421\u0430\u043c\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438, \u0432\u0438\u0434\u0438\u043c\u043e \u043f\u0440\u0438\u0437\u0440\u0430\u0447\u043d\u043e \u043d\u0430\u0434\u0435\u044f\u0441\u044c \u043d\u0430 \u0443\u0431\u0435\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c, \u043d\u0430\u0437\u0432\u0430\u043b\u0438 \u0432 \u043a\u043e\u0434\u0435 \u0441\u0432\u043e\u0439 \u0442\u0440\u043e\u044f\u043d \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f SafeRAT, \u0441 \u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043c\u044b, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043d\u0435 \u0441\u043e\u0433\u043b\u0430\u0441\u043d\u044b, \u043d\u043e \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u043e\u0432! \u041d\u0438\u0436\u0435 \u043c\u044b \u043f\u043e\u0441\u0442\u0430\u0440\u0430\u043b\u0438\u0441\u044c \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u043d\u0435\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u043d\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0441\u044f, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c \u0435\u0433\u043e \u041d\u0415\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. <\/p>\n<h2>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a<\/h2>\n<p>\u041a\u0430\u0436\u0434\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE (EXE) \u0441 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e \u043f\u043e\u0447\u0442\u0435 \u0432 \u043f\u0438\u0441\u044c\u043c\u0430\u0445 \u0441 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c <code>.bat<\/code>. \u041e\u043a\u0430\u0437\u0430\u0432\u0448\u0438\u0441\u044c \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0436\u0435\u0440\u0442\u0432\u044b, \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 WinHTTP \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a \u0437\u0430\u0448\u0438\u0442\u043e\u043c\u0443 \u0432\u043d\u0443\u0442\u0440\u0438 \u043d\u0435\u0433\u043e \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u043c\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 (C2) \u0437\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435\u043c \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u044d\u0442\u0430\u043f\u0430.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a88\/03c\/094\/a8803c094aac156d2b2080630c6841f4.png\" width=\"678\" height=\"164\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a88\/03c\/094\/a8803c094aac156d2b2080630c6841f4.png\"\/><\/figure>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c, \u0447\u0442\u043e \u043a\u043e\u0434 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0437\u044f\u0442 \u0438\u0437 <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/winhttp\/winhttp-sessions-overview\">\u043f\u0440\u0438\u043c\u0435\u0440\u0430 MSDN<\/a>, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0432 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0435\u043c\u043f\u043b\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f User-Agent:<code>WinHTTP Example\/1.0<\/code>.\u00a0\u00a0<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d4a\/1ea\/8c9\/d4a1ea8c9ab245c3dee76a4927f8eae1.png\" width=\"754\" height=\"257\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d4a\/1ea\/8c9\/d4a1ea8c9ab245c3dee76a4927f8eae1.png\"\/><\/figure>\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438 \u043d\u0435\u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439, \u043e\u0434\u043d\u0430\u043a\u043e \u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b. \u041e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u0441 \u0445\u0435\u0448\u0430\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u0432 \u0431\u043b\u043e\u043a\u0435 <a href=\"#1\">\u00ab\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438\u00bb<\/a>. <\/p>\n<h2>\u0428\u0435\u043b\u043b\u043a\u043e\u0434<\/h2>\n<p>64-\u0431\u0438\u0442\u043d\u044b\u0439 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u043e\u0442\u0434\u0430\u0435\u0442\u0441\u044f C2 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 GET-\u0437\u0430\u043f\u0440\u043e\u0441 <code>\/payload.bin<\/code> \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435.   <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/7f2\/a4e\/4e9\/7f2a4e4e9dc95a65d1cb334bbd3868ce.png\" width=\"800\" height=\"574\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/7f2\/a4e\/4e9\/7f2a4e4e9dc95a65d1cb334bbd3868ce.png\"\/><\/figure>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 User-Agent \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430 \u0442\u0430\u043a\u043e\u0435, \u043a\u0430\u043a \u043d\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0432\u044b\u0448\u0435. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043c\u044b \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0438 \u0442\u0430\u043a\u0438\u0435 User\u2011Agent, \u043a\u0430\u043a <code>Chromium<\/code>, <code>Google<\/code>, <code>souhu<\/code>, <code>sougou<\/code>, <code>File Downloader<\/code>, <code>baidu<\/code>, <code>cpp-httplib\/0.14.3<\/code>, <code>ShellcodeDownloader<\/code>, <code>python-requests\/2.25.1<\/code>, <code>Mozilla\/5.0 (compatible; Googlebot\/2.1; +http:\/\/www.google.com\/bot.html)<\/code>. <\/p>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0441\u0442\u0430\u0440\u0442\u0443\u0435\u0442 \u0441 0-\u0433\u043e \u0431\u0430\u0439\u0442\u0430.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a96\/bd4\/3b1\/a96bd43b11f1b40410376af7ad425a13.png\" width=\"892\" height=\"394\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a96\/bd4\/3b1\/a96bd43b11f1b40410376af7ad425a13.png\"\/><\/figure>\n<p>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u0432\u043e\u0439 \u0430\u0434\u0440\u0435\u0441 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0440\u043e\u0441\u0442\u043e\u0433\u043e \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u044f.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/ccc\/9a7\/782\/ccc9a77822c996abf9408e1ebb1f81b6.jpg\" width=\"337\" height=\"179\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ccc\/9a7\/782\/ccc9a77822c996abf9408e1ebb1f81b6.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430 \u0443\u043a\u0430\u0437\u0430\u043d\u044b \u0430\u0434\u0440\u0435\u0441 C2 \u0438 \u043f\u043e\u0440\u0442, \u043a\u0430\u043a \u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043e \u043d\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0432\u044b\u0448\u0435. \u041e\u043d\u0438 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0432\u0438\u0434\u0435: <\/p>\n<pre><code class=\"cpp\">struct C2 {    uint32_t port;          char addr[256];  }; <\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u043e\u0433\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 \u0445\u0435\u0448\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0445 \u0438\u043c\u0435\u043d:<\/p>\n<pre><code class=\"cpp\">def hash_exp(name, poly):      result = poly     for i in range(len(name)):          result = (result * 0x21) &amp; 0xFFFFFFFFFFFFFFFF               v = struct.unpack_from('&lt;b', name, i)[0]         i += 1         result += v     return result <\/code><\/pre>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u0434\u0432\u0443\u043c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430\u043c\u0438, \u0438\u043c\u0435\u044e\u0449\u0438\u043c\u0438 \u043a\u0430\u043a \u043f\u043e\u0445\u043e\u0436\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0442\u0430\u043a \u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u0438\u044f. <\/p>\n<h3>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u2116 1 (payload.bin) <\/h3>\n<p>\u0412 \u044d\u0442\u043e\u043c \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 poly \u0440\u0430\u0432\u0435\u043d <code>0x85967AEFDADF5658<\/code>. \u041e\u043d \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 ntdll: <\/p>\n<ul>\n<li>\n<p><code>LdrLoadDll (0xD33201CB07BB2036) <\/code><\/p>\n<\/li>\n<li>\n<p><code>RtlInitUnicodeString (0x4E80BBE9CCE6585C) <\/code><\/p>\n<\/li>\n<li>\n<p><code>NtAllocateVirtualMemory (0xD1A4739FEC736F3F)<\/code> <\/p>\n<\/li>\n<\/ul>\n<p>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 <code>ws2_32.dll<\/code>, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0435\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0441\u043e\u043a\u0435\u0442\u0430 (TCP) \u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u044d\u0442\u0430\u043f\u0430. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043f\u0430\u043a\u0435\u0442 \u043d\u0430 \u0442\u043e\u0442 \u0430\u0434\u0440\u0435\u0441 C2, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0448\u0438\u0442 \u0432 \u043a\u043e\u043d\u0446\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/ede\/07d\/68b\/ede07d68bbc61ce85807e9678921a64c.jpg\" width=\"545\" height=\"25\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ede\/07d\/68b\/ede07d68bbc61ce85807e9678921a64c.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u041f\u0435\u0440\u0432\u044b\u0439 DWORD \u2014 \u044d\u0442\u043e \u0434\u043b\u0438\u043d\u0430 \u043f\u0430\u043a\u0435\u0442\u0430, \u0434\u0430\u043b\u0435\u0435 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0437\u0430\u0445\u0430\u0440\u0434\u043a\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 <code>efaSnigoL<\/code> (\u043f\u0435\u0440\u0435\u0432\u0435\u0440\u043d\u0443\u0442\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 <code>LoginSafe<\/code>). <\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/a15\/200\/844\/a15200844e58d8cb282cb10f08f4069c.jpg\" width=\"509\" height=\"240\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a15\/200\/844\/a15200844e58d8cb282cb10f08f4069c.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0412 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 \u044d\u0442\u043e\u0442 \u043f\u0430\u043a\u0435\u0442 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u044d\u0442\u0430\u043f\u0430, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435. \u0422\u0430\u043a\u0436\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u2116 1 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0443 \u2116 2 \u0430\u0434\u0440\u0435\u0441 C2. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/5ce\/97b\/484\/5ce97b4840113da3a49575c3a521af28.jpg\" width=\"744\" height=\"803\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/5ce\/97b\/484\/5ce97b4840113da3a49575c3a521af28.jpg\" data-blurred=\"true\"\/><\/figure>\n<h3>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u2116 2 <\/h3>\n<p>\u0412\u0442\u043e\u0440\u043e\u0439 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u0432\u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 ntdll \u043f\u043e \u0442\u043e\u043c\u0443 \u0436\u0435 \u0445\u0435\u0448-\u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443, \u0447\u0442\u043e \u0438 \u043f\u0435\u0440\u0432\u044b\u0439, \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 poly: <code>0x8596741254585658<\/code>. <\/p>\n<p>\u041d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430 \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 PE-\u043c\u043e\u0434\u0443\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0441\u0430\u043c\u043e\u0433\u043e \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/206\/395\/3e5\/2063953e55d4ed36ddc550c616a04964.jpg\" width=\"875\" height=\"399\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/206\/395\/3e5\/2063953e55d4ed36ddc550c616a04964.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043c\u043e\u0434\u0443\u043b\u044f \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e Online \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u0435\u0439 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435. <\/p>\n<h2>\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043c\u043e\u0434\u0443\u043b\u044c<\/h2>\n<p>\u041c\u043e\u0434\u0443\u043b\u044c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f x64 DLL \u0441 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u043c \u2014 <code>Online<\/code>. \u0414\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 (\u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430) \u2014 05.11.2023 03:00:19. \u0418\u043c\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430 \u2014 <code>online.dll<\/code>. <\/p>\n<h3>Online<\/h3>\n<p>\u0412\u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0435 <code>Global\\safeRat<\/code> \u2014 \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e \u043d\u0435\u043c\u0443 \u043c\u044b \u0438 \u0434\u0430\u043b\u0438 \u0432\u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0443.             <\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/6d3\/a13\/036\/6d3a13036ef5e04829d705f912465b5e.jpg\" width=\"392\" height=\"62\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/6d3\/a13\/036\/6d3a13036ef5e04829d705f912465b5e.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044c \u0438\u0437\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u043e\u0432 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0447\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u043b\u0438 \u0431\u044b\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u044b \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u043c \u0438\u043b\u0438 XDR-\u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/43e\/190\/fdb\/43e190fdba42870903c3fa2da2f479e5.jpg\" width=\"445\" height=\"206\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/43e\/190\/fdb\/43e190fdba42870903c3fa2da2f479e5.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0421\u0443\u0442\u044c \u043c\u0435\u0442\u043e\u0434\u0430 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>CreateFileMappingA<\/code> \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0444\u0430\u0439\u043b \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438, \u0437\u0430\u0442\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043d\u0430 \u0441\u0435\u043a\u0446\u0438\u044e TEXT \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043c\u043e\u0434\u0443\u043b\u044f \u043f\u0440\u0430\u0432\u0430 RWX \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u0435\u043a\u0446\u0438\u044e \u0432 \u043c\u043e\u0434\u0443\u043b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u2014 \u0447\u0442\u043e\u0431\u044b \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u043c\u043e\u0434\u0443\u043b\u044f \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u043e \u0444\u0430\u0439\u043b\u0443. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u044e\u0442\u0441\u044f \u0440\u0430\u043d\u0435\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0441\u0435\u043a\u0446\u0438\u044e.   <\/p>\n<p>\u0421\u0440\u0435\u0434\u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 <code>Online<\/code>: <\/p>\n<ul>\n<li>\n<p>\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u0432\u0435\u0440\u0445\u043d\u0435\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043d\u0435\u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u043c\u043e\u0433\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f; <\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0438\u0441\u043a \u0430\u0434\u0440\u0435\u0441\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>NtTraceEvent<\/code> \u0438 \u043f\u0430\u0442\u0447\u0438\u043d\u0433 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0431\u0430\u0439\u0442\u0430 \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043d\u0430 <code>0xC3<\/code> (ret), \u0447\u0442\u043e\u0431\u044b \u043e\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u043d\u0435 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c ETW-\u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0434\u043b\u044f EDR-\u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0437\u0430\u0449\u0438\u0442\u044b; <\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0438\u0441\u043a \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u043d\u043e\u043c\u0435\u0440\u0430 syscall NtQueryInformationProcess \u0434\u043b\u044f \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f; <\/p>\n<\/li>\n<li>\n<p>\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0443\u0442\u0435\u0439 \u0434\u043b\u044f \u0444\u0430\u0439\u043b\u043e\u0432 wallet.safe \u0438 clip.safe \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 <code>C:\\ProgramData<\/code> (\u0444\u0430\u0439\u043b <code>clip.safe<\/code> \u2014 \u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0431\u0443\u0444\u0435\u0440\u0430 \u043e\u0431\u043c\u0435\u043d\u0430, \u0430 \u0444\u0430\u0439\u043b <code>wallet.safe<\/code> \u2014 \u0434\u043b\u044f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0440\u0430\u0431\u043e\u0442\u044b \u043a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440\u0430); <\/p>\n<\/li>\n<li>\n<p>\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u0434\u0440\u0435\u0441\u0430 C2 (\u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0441\u0435\u043c\u043f\u043b \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441\u0438\u0442\u044c \u0443 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043d\u043e\u0432\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0435\u0433\u043e \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435, \u043d\u043e \u0432\u043d\u0430\u0447\u0430\u043b\u0435 \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442);<\/p>\n<\/li>\n<li>\n<p>\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 C2 \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043f\u043e \u043f\u0443\u0442\u0438 <code>HKCU\\Software\\&lt;computer_name><\/code> (\u0435\u0441\u043b\u0438 \u0438\u043c\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c, \u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u043d\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0441\u0442\u0440\u043e\u043a\u0430 <code>UnKnow<\/code>). <\/p>\n<\/li>\n<\/ul>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/aa2\/2e8\/b69\/aa22e8b69562d64d5eaa77ac9b033f9f.jpg\" width=\"392\" height=\"249\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/aa2\/2e8\/b69\/aa22e8b69562d64d5eaa77ac9b033f9f.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0423\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0435 \u0432\u044b\u0448\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <code>Mov<\/code>, \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 base64 \u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u043f\u043e\u0431\u0430\u0439\u0442\u043d\u044b\u043c XOR (<code>0x46<\/code>). <\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/8de\/cb7\/c42\/8decb7c425ac3b3ed5dc340078bb6e1c.jpg\" width=\"388\" height=\"275\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/8de\/cb7\/c42\/8decb7c425ac3b3ed5dc340078bb6e1c.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u041e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0441\u0435\u043c\u043f\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>Online<\/code>. \u0412 \u043d\u0430\u0447\u0430\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u0442\u043e\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0431\u044a\u0435\u043a\u0442 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CClientSocket<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0435 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435. <\/p>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 \u044d\u0442\u043e\u043c \u043e\u0431\u044a\u0435\u043a\u0442\u0435 \u0435\u0441\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CBuffer<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0431\u0443\u0444\u0435\u0440 \u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u043c\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u0414\u0430\u043b\u0435\u0435 \u043e\u0431\u044a\u0435\u043a\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u043f\u043e TCP. \u041f\u0440\u0438\u0435\u043c \u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435. \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u044d\u0442\u0430\u043f\u043e\u043c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CKernelManager<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u0442\u0441\u044f \u043e\u0442 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CManager<\/code> \u0438 \u0441\u043b\u0443\u0436\u0438\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0440\u043e\u0434\u0430 \u043e\u0440\u043a\u0435\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u043c \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u043f\u043e\u0442\u043e\u043a\u043e\u0432 \u0438 \u043f\u043b\u0430\u0433\u0438\u043d\u043e\u0432, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0445 \u043e\u0442 C2. \u0412 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440\u0435 CKernelManager \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u043e\u0442\u043e\u043a, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0438\u0439 \u0437\u0430 \u0440\u0430\u0431\u043e\u0442\u0443 \u043a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440\u0430. \u041f\u0440\u0438\u0447\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u043a\u043b\u0430\u0432\u0438\u0430\u0442\u0443\u0440\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 <code>IDirectInput8A<\/code> \u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e <code>SysKeyboard<\/code>. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/29b\/bcd\/dd3\/29bbcddd379f2dc5bb60b2f2c5e5396f.jpg\" width=\"887\" height=\"431\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/29b\/bcd\/dd3\/29bbcddd379f2dc5bb60b2f2c5e5396f.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0441\u0435\u043c\u043f\u043b \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u043d\u0430\u0447\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \u0412 \u043d\u0435\u0435 \u0432\u0445\u043e\u0434\u044f\u0442: <\/p>\n<ul>\n<li>\n<p>IP-\u0430\u0434\u0440\u0435\u0441 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430, <\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430, <\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, <\/p>\n<\/li>\n<li>\n<p>PID \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, <\/p>\n<\/li>\n<li>\n<p>\u0441\u043f\u0438\u0441\u043e\u043a \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u0432, <\/p>\n<\/li>\n<li>\n<p>\u0441\u0442\u0430\u0442\u0443\u0441 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f (\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0438 \u043e\u043d \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u043c),<\/p>\n<\/li>\n<li>\n<p>\u0440\u0430\u0437\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043a\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0440\u0430: <code>GetTickCount64 \u2212 GetTickCount64()<\/code> (\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u0432 \u0412\u041c), <\/p>\n<\/li>\n<li>\n<p>\u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f. <\/p>\n<\/li>\n<\/ul>\n<p>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432 \u0432\u0438\u0434\u0435 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b: <\/p>\n<pre><code class=\"cpp\">#pragma pack(push, 1) struct system_info  {     char sz;      char host_ip_addr[130];     char reg_remark_or_comp_name[50];     char username[51];     uint32_t curr_pid;     char gap_EC[64];     char AVs[128];     char reg_cfg_Group_val;     char gap_1AD[63];     char is_admin;     char module_filename[255];     char reg_cfg_Run_val[3];     char gap_2EF[5];     uint32_t ticks_diff;     SYSTEMTIME localtime; }; #pragma pack(pop)<\/code><\/pre>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043e\u043d\u0438 \u0441\u0436\u0438\u043c\u0430\u044e\u0442\u0441\u044f Zlib \u0438 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f RC4. \u0414\u043b\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>rand % 511<\/code>. \u041b\u0438\u0431\u043e \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a <code>123<\/code>. \u0414\u0430\u043b\u0435\u0435 \u044d\u0442\u043e \u0447\u0438\u0441\u043b\u043e \u0444\u043e\u0440\u043c\u0430\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 \u0432\u0438\u0434\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f RC4.        <\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/241\/55f\/9a4\/24155f9a42dc7c99ddb77dfc5dff1141.jpg\" width=\"436\" height=\"601\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/241\/55f\/9a4\/24155f9a42dc7c99ddb77dfc5dff1141.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u0430\u043a\u0435\u0442\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<pre><code class=\"cpp\">struct packet  {    uint32_t key;   uint32_t packet_size;   uint32_t payload_size;   uint8_t payload[payload_size];  };  <\/code><\/pre>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u043b\u0438\u043d\u0430 \u0440\u0430\u0437\u0436\u0430\u0442\u043e\u0433\u043e \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 <code>payload_size<\/code>. \u041e\u0442 C2 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u043f\u0430\u043a\u0435\u0442 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b, \u0437\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043f\u043e\u043b\u044f <code>key<\/code> \u0438 <code>packet_size<\/code> \u043f\u043e\u043c\u0435\u043d\u044f\u043d\u044b \u043c\u0435\u0441\u0442\u0430\u043c\u0438, \u0442\u043e \u0435\u0441\u0442\u044c \u0440\u0430\u0437\u043c\u0435\u0440 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432 \u043d\u0443\u043b\u0435\u0432\u043e\u043c DWORD, \u0430 \u043a\u043b\u044e\u0447 \u2014 \u0432 \u043f\u0435\u0440\u0432\u043e\u043c. \u0412 \u0442\u0440\u0430\u0444\u0438\u043a\u0435 \u044d\u0442\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c: <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/55c\/fb2\/fa0\/55cfb2fa0a807446371fc98d1bd378c4.png\" alt=\"\" title=\"\" width=\"800\" height=\"483\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/55c\/fb2\/fa0\/55cfb2fa0a807446371fc98d1bd378c4.png\"\/><\/figure>\n<p>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0441\u0435\u0441\u0441\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0432 \u00ab<a href=\"https:\/\/gchq.github.io\/CyberChef\/#recipe=From_Hex('Auto')RC4(%7B'option':'UTF8','string':'481'%7D,'Latin1','Latin1')Zlib_Inflate(0,0,'Adaptive',false,false)Find_\/_Replace(%7B'option':'Regex','string':'%5B%5C%5Cx00%5D%7B1,%7D'%7D,'%5C%5Cn',true,false,true,false)To_Hexdump(16,false,false,false)&amp;input=ZDFkN2NiMTNjM2JlNzAxZTI2ZWEzMTgxYTVlNzg0N2JkZDk1MTFiNWY3ZTQ1ZWFkY2NmMTVlYjMwOWUzODViMjU3MjJkMDAxNWNhMzBlZTViMTIyMTcyZDMzMGI4N2U0NTg2ZTliZjBiN2M2YTM3NjEyMDE4N2UyMDk3MGMyOWQ2NTRiMzgxZDhhOWMxZDZhOTc5NzJkY2FmYThhYzI4MmI1OWM1MzYyMDI3MjRmNWRjOWJhNGJlMWZmYmNiNDAyMjUxZjQ0MzFkNzA0ZjRhOGMwMmQ1MjZlYmIyODllM2E2NzM1Nzk3YWVjZmQ1ZWFhMGJmMDY4NTA\">\u041a\u0438\u0431\u0435\u0440\u0448\u0435\u0444\u0435<\/a>\u00bb.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0438 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u043f\u0430\u043a\u0435\u0442\u0430 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0441\u0435\u043c\u043f\u043b \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043d\u0443\u043b\u0435\u0432\u043e\u0439 \u0431\u0430\u0439\u0442, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043a\u043e\u043c\u0430\u043d\u0434\u044b (\u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 <code>0e<\/code>). \u041e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043a\u043e\u043c\u0430\u043d\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 <code>CKernelManager<\/code>. \u0412 \u043e\u0442\u0432\u0435\u0442 \u043a\u043b\u0438\u0435\u043d\u0442 \u043f\u043e\u0441\u044b\u043b\u0430\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u043e\u0442\u0441\u0442\u0443\u043a \u0432 \u0432\u0438\u0434\u0435 \u0442\u043e\u0439 \u0436\u0435 \u0441\u0430\u043c\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/589\/f8f\/07e\/589f8f07edd6d8b92239e8023cea97ae.jpg\" width=\"998\" height=\"733\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/589\/f8f\/07e\/589f8f07edd6d8b92239e8023cea97ae.jpg\" data-blurred=\"true\"\/><\/figure>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\"><strong>\u0418\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043a\u043e\u043c\u0430\u043d\u0434\u044b<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">   0    <\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u0430\u0437\u043b\u043e\u0433\u0438\u043d\u0438\u0432\u0430\u0435\u0442 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f Windows    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">2<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0423\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0444\u043b\u0430\u0433 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u044b    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">3<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>Remark<\/code>    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">4<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>Group<\/code>    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">6\u00ad\u201312, 14\u00ad\u2013\u00ad\u00ad17, 19\u00ad\u201321, 25, 32\u00ad\u00ad\u201334    <\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043b\u0430\u0433\u0438\u043d (\u043d\u043e\u043c\u0435\u0440 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u2014 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043f\u043b\u0430\u0433\u0438\u043d\u0430)    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">13<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u0437\u044b\u0432\u0430\u0435\u0442 BSOD \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>NtRaiseHardError<\/code>, \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0432 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u044e SeShutdownPrivilege    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">18<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a \u043a\u043b\u0438\u043f\u043f\u0435\u0440\u0430 (\u0441\u0442\u0438\u043b\u0435\u0440 \u0431\u0443\u0444\u0435\u0440\u0430 \u043e\u0431\u043c\u0435\u043d\u0430)    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">22<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0431\u043d\u043e\u0432\u043b\u044f\u0435\u0442 C2    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">23<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">24<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a \u043a\u043b\u0438\u043f\u043f\u0435\u0440\u0430 (\u0441\u0442\u0438\u043b\u0435\u0440 \u0431\u0443\u0444\u0435\u0440\u0430 \u043e\u0431\u043c\u0435\u043d\u0430)    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">26\u00ad\u201331    <\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">35<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>Run<\/code>    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">36\u00ad\u201342    <\/p>\n<\/td>\n<td>\n<p>\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u043d\u043e\u043c\u0435\u0440\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441\u0442\u0438\u043b\u0435\u0440 \u043f\u043e\u0445\u0438\u0449\u0430\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0435: <br \/>\u00b7 QQBrowser,<br \/>\u00b7 Telegram,<br \/>\u00b7 Chrome,<br \/>\u00b7 Firefox,<br \/>\u00b7 360 Secure Browser,<br \/>\u00b7 Sogou Explorer<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0418\u0441\u0445\u043e\u0434\u044f \u0438\u0437 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438 \u0432 \u0441\u0435\u0440\u0432\u0438\u0441\u0435 <a href=\"https:\/\/www.virustotal.com\/gui\/file\/0bc5545cf48254aff60e1757e45f7020a64ee9eda2e6db9352e9107811309f8e\">VirusTotal<\/a> \u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0446\u0435\u043b\u0435\u0439 SafeRAT (Sogou, 360 Secure Browser, QQBrowser), \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c, \u0447\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d \u043d\u0430 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0433\u043e\u0432\u043e\u0440\u044f\u0449\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. <\/p>\n<p>\u0421\u0443\u0434\u044f \u043f\u043e \u0438\u043c\u0435\u043d\u0430\u043c \u043a\u043b\u0430\u0441\u0441\u043e\u0432 (<code>CKernelManager<\/code>, <code>CClientSocket<\/code>) \u0438 \u043e\u0431\u0449\u0435\u0439 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u043a\u043e\u0434\u0430, \u043c\u043e\u0436\u043d\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0432\u044b\u0432\u043e\u0434, \u0447\u0442\u043e SafeRAT \u2014 \u044d\u0442\u043e \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u0430\u044f \u043f\u043e\u0434\u0435\u043b\u043a\u0430, \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u043d\u0430 \u0443\u0442\u0435\u043a\u0448\u0438\u0445 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0430\u0445 Gh0st, \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u0443\u0440\u0435\u0437\u0430\u043d\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c\u044e. <\/p>\n<p><a class=\"anchor\" name=\"1\" id=\"1\"><\/a><\/p>\n<details class=\"spoiler\">\n<summary>\u0412\u0435\u0440\u0434\u0438\u043a\u0442\u044b \u043d\u0430\u0448\u0438\u0445 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432<\/summary>\n<div class=\"spoiler__content\">\n<p>PT Sandbox: <\/p>\n<ul>\n<li>\n<p>tool_win_ZZ_SafeRAT__Backdoor__Loader <\/p>\n<\/li>\n<li>\n<p>tool_win_ZZ_SafeRAT__Backdoor__MainModule <\/p>\n<\/li>\n<li>\n<p>tool_mem_ZZ_SafeRAT__Backdoor__MainModule <\/p>\n<\/li>\n<li>\n<p>tool_win_ZZ_SafeRAT__Backdoor__Shellcode <\/p>\n<\/li>\n<li>\n<p>tool_mem_ZZ_SafeRAT__Backdoor__Shellcode <\/p>\n<\/li>\n<li>\n<p>Trojan-Downloader.Win32.SafeRAT.a <\/p>\n<\/li>\n<\/ul>\n<p>PT Network Attack Discovery: <\/p>\n<ul>\n<li>\n<p>REMOTE [PTsecurity] SafeRAT 10010258 <\/p>\n<\/li>\n<li>\n<p>REMOTE [PTsecurity] SafeRAT 10010259 <\/p>\n<\/li>\n<li>\n<p>REMOTE [PTsecurity] SafeRAT 10010260 <\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<details class=\"spoiler\">\n<summary>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438<\/summary>\n<div class=\"spoiler__content\">\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438:<\/p>\n<ul>\n<li>\n<p>0bc5545cf48254aff60e1757e45f7020a64ee9eda2e6db9352e9107811309f8e<\/p>\n<\/li>\n<li>\n<p>1720528e27ba5ceaa207de277155ddf1880f1d3d3dacd5ee61f54c908712d63c<\/p>\n<\/li>\n<li>\n<p>1c84b5fe2ae149b94c3da5bb0a925a03121b40c425bad018e39e1bf22667d597<\/p>\n<\/li>\n<li>\n<p>63943b876cad63a0024e908f8c412a63aec181b6765cfa0365bbdee90943694f<\/p>\n<\/li>\n<li>\n<p>6d09ee4e5800516fb1f4afb65de6fccb0861757a2b366157c401826e7fbe6b55<\/p>\n<\/li>\n<li>\n<p>6dbce4cd9e1c3c024c43424699ee3510ad7453a48d8c966f995995de23b7333f<\/p>\n<\/li>\n<li>\n<p>acee04a9da6a6fc6e78bddd8285d9d7a0e8bbd9da73171b87a3e04917fbbab5d<\/p>\n<\/li>\n<li>\n<p>aef9cfcabb5f39bcb66ee081d42e30461abcc55601f5f3236abbc5435911a2e4<\/p>\n<\/li>\n<li>\n<p>b1c19d93439f8f773910e386bb108f95050b6188e48a2607fb38e9083b974262<\/p>\n<\/li>\n<li>\n<p>b60280482ec39af421c349c480163e466d300334f748ea9d479203258198baf6<\/p>\n<\/li>\n<\/ul>\n<p>\u0428\u0435\u043b\u043b\u043a\u043e\u0434\u044b: <\/p>\n<ul>\n<li>\n<p>215a4fefc44e9cf8e3b2e320e09cca29f1cda0eac8b99844d72ef36c14939803 <\/p>\n<\/li>\n<li>\n<p>5d8981b146880cbee147a07f9905de2c1fb75e965386b7c3d12a4a2ccee0da85 <\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043c\u043e\u0434\u0443\u043b\u044c: <\/p>\n<ul>\n<li>\n<p>979f17cad701227065fd405eeaeb1e00a917ae605c1616d4de92ba6da86407bc<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0435\u0442\u0435\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b: <\/p>\n<ul>\n<li>\n<p>103.216.152.150:280<\/p>\n<\/li>\n<li>\n<p>103.216.152.150:3300<\/p>\n<\/li>\n<li>\n<p>104.218.234.78:280<\/p>\n<\/li>\n<li>\n<p>104.218.234.78:8000<\/p>\n<\/li>\n<li>\n<p>154.213.17.136:8000<\/p>\n<\/li>\n<li>\n<p>154.213.17.147:280<\/p>\n<\/li>\n<li>\n<p>154.23.182.133:280<\/p>\n<\/li>\n<li>\n<p>154.23.182.133:8000<\/p>\n<\/li>\n<li>\n<p>154.23.182.24:280<\/p>\n<\/li>\n<li>\n<p>154.23.187.249:280<\/p>\n<\/li>\n<li>\n<p>154.23.187.249:8000<\/p>\n<\/li>\n<li>\n<p>154.55.128.137:280<\/p>\n<\/li>\n<li>\n<p>154.55.128.137:8000<\/p>\n<\/li>\n<li>\n<p>156.245.19.172:280<\/p>\n<\/li>\n<li>\n<p>202.95.14.203:8000<\/p>\n<\/li>\n<li>\n<p>202.95.14.223:280<\/p>\n<\/li>\n<li>\n<p>27.124.4.221:8000<\/p>\n<\/li>\n<li>\n<p>27.124.4.228:280<\/p>\n<\/li>\n<li>\n<p>27.124.4.229:280<\/p>\n<\/li>\n<li>\n<p>27.124.44.10:280<\/p>\n<\/li>\n<li>\n<p>27.124.44.3:8000<\/p>\n<\/li>\n<li>\n<p>43.135.39.104:280<\/p>\n<\/li>\n<li>\n<p>43.135.39.104:8000<\/p>\n<\/li>\n<li>\n<p>43.243.73.220:280<\/p>\n<\/li>\n<li>\n<p>43.243.73.220:8000<\/p>\n<\/li>\n<li>\n<p>45.195.204.101:280<\/p>\n<\/li>\n<li>\n<p>45.195.204.36:280<\/p>\n<\/li>\n<li>\n<p>45.195.204.76:8000<\/p>\n<\/li>\n<li>\n<p>45.248.11.63:280<\/p>\n<\/li>\n<li>\n<p>45.248.11.63:8000<\/p>\n<\/li>\n<li>\n<p>45.249.93.80:280<\/p>\n<\/li>\n<li>\n<p>45.249.93.80:8000<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/793440\/\"> https:\/\/habr.com\/ru\/articles\/793440\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>\u0411\u043e\u043b\u044c\u0448\u043e\u0439 \u0445\u0430\u0431\u0440\u043e\u0441\u0430\u043b\u044e\u0442 \u0432\u0441\u0435\u043c! \u0421 \u0432\u0430\u043c\u0438 \u043d\u0430 \u0441\u0432\u044f\u0437\u0438 \u044f, \u041a\u0441\u0435\u043d\u0438\u044f \u041d\u0430\u0443\u043c\u043e\u0432\u0430, \u0438 \u043c\u043e\u0439 \u043a\u043e\u043b\u043b\u0435\u0433\u0430 \u0410\u043d\u0442\u043e\u043d \u0411\u0435\u043b\u043e\u0443\u0441\u043e\u0432. \u041c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Positive Technologies, \u0432 \u043e\u0442\u0434\u0435\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e. \u042f \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0441\u044c \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0432 \u0441\u0435\u0442\u0438, \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u0430\u043c\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u044e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0442\u0440\u0430\u0444\u0438\u043a, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u0441\u0442\u0432\u0443\u044e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043b\u044f \u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u0438\u0449\u0443 \u043d\u043e\u0432\u044b\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u044b \u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0433\u0440\u043e\u0437. \u0410 \u0410\u043d\u0442\u043e\u043d \u2014 \u0432\u0438\u0440\u0443\u0441\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043e\u043d \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u0432, \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u043d\u0430 \u0447\u0430\u0441\u0442\u0438 \u043e\u0431\u0440\u0430\u0437\u0446\u044b \u0432\u0438\u0440\u0443\u0441\u043e\u0432, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u0442\u044c, \u043a\u0430\u043a \u043b\u0443\u0447\u0448\u0435 \u0438\u0445 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438\u043b\u0438 \u043a\u0430\u043a \u043d\u0430\u0439\u0442\u0438 \u043f\u043e\u0445\u043e\u0436\u0438\u0435 \u0434\u0440\u0443\u0433 \u043d\u0430 \u0434\u0440\u0443\u0433\u0430.<\/p>\n<p>\u0412 \u0434\u0435\u043a\u0430\u0431\u0440\u0435 2023 \u0433\u043e\u0434\u0430, \u0432 \u0445\u043e\u0434\u0435 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u0433\u043e \u043e\u0442\u0441\u043b\u0435\u0436\u0438\u0432\u0430\u043d\u0438\u044f \u043d\u043e\u0432\u044b\u0445 \u0443\u0433\u0440\u043e\u0437 \u0418\u0411, <a href=\"https:\/\/www.ptsecurity.com\/ru-ru\/products\/sandbox\/\">\u0438\u0437\u0443\u0447\u0430\u044f \u0432 PT Sandbox<\/a> \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0430\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u044b \u0438 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u043c\u044b\u0439 \u0438\u043c\u0438 \u0442\u0440\u0430\u0444\u0438\u043a, \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0441\u0435\u0442\u0435\u0432\u043e\u0435 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u0441 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0430\u0448\u0435 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438 \u043d\u0430\u0447\u0430\u043b\u043e\u0441\u044c. \u041d\u0430\u0434\u043e \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0438 \u043c\u044b \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u044d\u0442\u043e \u0435\u0449\u0435 \u0438 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0448\u0435\u043c\u0443\u0441\u044f \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0443 \u043f\u043e\u0445\u043e\u0436\u0438\u0445 \u0441\u0435\u043c\u043f\u043b\u043e\u0432. \u0421\u0430\u043c\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438, \u0432\u0438\u0434\u0438\u043c\u043e \u043f\u0440\u0438\u0437\u0440\u0430\u0447\u043d\u043e \u043d\u0430\u0434\u0435\u044f\u0441\u044c \u043d\u0430 \u0443\u0431\u0435\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c, \u043d\u0430\u0437\u0432\u0430\u043b\u0438 \u0432 \u043a\u043e\u0434\u0435 \u0441\u0432\u043e\u0439 \u0442\u0440\u043e\u044f\u043d \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f SafeRAT, \u0441 \u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043c\u044b, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043d\u0435 \u0441\u043e\u0433\u043b\u0430\u0441\u043d\u044b, \u043d\u043e \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u043e\u0432! \u041d\u0438\u0436\u0435 \u043c\u044b \u043f\u043e\u0441\u0442\u0430\u0440\u0430\u043b\u0438\u0441\u044c \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u043d\u0435\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u043d\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0441\u044f, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c \u0435\u0433\u043e \u041d\u0415\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. <\/p>\n<h2>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a<\/h2>\n<p>\u041a\u0430\u0436\u0434\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE (EXE) \u0441 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e \u043f\u043e\u0447\u0442\u0435 \u0432 \u043f\u0438\u0441\u044c\u043c\u0430\u0445 \u0441 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c <code>.bat<\/code>. \u041e\u043a\u0430\u0437\u0430\u0432\u0448\u0438\u0441\u044c \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0436\u0435\u0440\u0442\u0432\u044b, \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 WinHTTP \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a \u0437\u0430\u0448\u0438\u0442\u043e\u043c\u0443 \u0432\u043d\u0443\u0442\u0440\u0438 \u043d\u0435\u0433\u043e \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u043c\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 (C2) \u0437\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435\u043c \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u044d\u0442\u0430\u043f\u0430.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c, \u0447\u0442\u043e \u043a\u043e\u0434 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0437\u044f\u0442 \u0438\u0437 <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/winhttp\/winhttp-sessions-overview\">\u043f\u0440\u0438\u043c\u0435\u0440\u0430 MSDN<\/a>, \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0432 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0435\u043c\u043f\u043b\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f User-Agent:<code>WinHTTP Example\/1.0<\/code>.\u00a0\u00a0<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438 \u043d\u0435\u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439, \u043e\u0434\u043d\u0430\u043a\u043e \u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b. \u041e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u0441 \u0445\u0435\u0448\u0430\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u0432 \u0431\u043b\u043e\u043a\u0435 <a href=\"#1\">\u00ab\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438\u00bb<\/a>. <\/p>\n<h2>\u0428\u0435\u043b\u043b\u043a\u043e\u0434<\/h2>\n<p>64-\u0431\u0438\u0442\u043d\u044b\u0439 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u043e\u0442\u0434\u0430\u0435\u0442\u0441\u044f C2 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 GET-\u0437\u0430\u043f\u0440\u043e\u0441 <code>\/payload.bin<\/code> \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435.   <\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 User-Agent \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430 \u0442\u0430\u043a\u043e\u0435, \u043a\u0430\u043a \u043d\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0432\u044b\u0448\u0435. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043c\u044b \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0438 \u0442\u0430\u043a\u0438\u0435 User\u2011Agent, \u043a\u0430\u043a <code>Chromium<\/code>, <code>Google<\/code>, <code>souhu<\/code>, <code>sougou<\/code>, <code>File Downloader<\/code>, <code>baidu<\/code>, <code>cpp-httplib\/0.14.3<\/code>, <code>ShellcodeDownloader<\/code>, <code>python-requests\/2.25.1<\/code>, <code>Mozilla\/5.0 (compatible; Googlebot\/2.1; +http:\/\/www.google.com\/bot.html)<\/code>. <\/p>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0441\u0442\u0430\u0440\u0442\u0443\u0435\u0442 \u0441 0-\u0433\u043e \u0431\u0430\u0439\u0442\u0430.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u0432\u043e\u0439 \u0430\u0434\u0440\u0435\u0441 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0440\u043e\u0441\u0442\u043e\u0433\u043e \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u044f.<\/p>\n<figure class=\"\"><\/figure>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430 \u0443\u043a\u0430\u0437\u0430\u043d\u044b \u0430\u0434\u0440\u0435\u0441 C2 \u0438 \u043f\u043e\u0440\u0442, \u043a\u0430\u043a \u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043e \u043d\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435 \u0432\u044b\u0448\u0435. \u041e\u043d\u0438 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0432\u0438\u0434\u0435: <\/p>\n<pre><code class=\"cpp\">struct C2 {    uint32_t port;          char addr[256];  }; <\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u043e\u0433\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 \u0445\u0435\u0448\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0445 \u0438\u043c\u0435\u043d:<\/p>\n<pre><code class=\"cpp\">def hash_exp(name, poly):      result = poly     for i in range(len(name)):          result = (result * 0x21) &amp; 0xFFFFFFFFFFFFFFFF               v = struct.unpack_from('&lt;b', name, i)[0]         i += 1         result += v     return result <\/code><\/pre>\n<p>\u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u0434\u0432\u0443\u043c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430\u043c\u0438, \u0438\u043c\u0435\u044e\u0449\u0438\u043c\u0438 \u043a\u0430\u043a \u043f\u043e\u0445\u043e\u0436\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0442\u0430\u043a \u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u0438\u044f. <\/p>\n<h3>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u2116 1 (payload.bin) <\/h3>\n<p>\u0412 \u044d\u0442\u043e\u043c \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 poly \u0440\u0430\u0432\u0435\u043d <code>0x85967AEFDADF5658<\/code>. \u041e\u043d \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 ntdll: <\/p>\n<ul>\n<li>\n<p><code>LdrLoadDll (0xD33201CB07BB2036) <\/code><\/p>\n<\/li>\n<li>\n<p><code>RtlInitUnicodeString (0x4E80BBE9CCE6585C) <\/code><\/p>\n<\/li>\n<li>\n<p><code>NtAllocateVirtualMemory (0xD1A4739FEC736F3F)<\/code> <\/p>\n<\/li>\n<\/ul>\n<p>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 <code>ws2_32.dll<\/code>, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0435\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0441\u043e\u043a\u0435\u0442\u0430 (TCP) \u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u044d\u0442\u0430\u043f\u0430. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043f\u0430\u043a\u0435\u0442 \u043d\u0430 \u0442\u043e\u0442 \u0430\u0434\u0440\u0435\u0441 C2, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u0448\u0438\u0442 \u0432 \u043a\u043e\u043d\u0446\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430. <\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u0435\u0440\u0432\u044b\u0439 DWORD \u2014 \u044d\u0442\u043e \u0434\u043b\u0438\u043d\u0430 \u043f\u0430\u043a\u0435\u0442\u0430, \u0434\u0430\u043b\u0435\u0435 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0437\u0430\u0445\u0430\u0440\u0434\u043a\u043e\u0436\u0435\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 <code>efaSnigoL<\/code> (\u043f\u0435\u0440\u0435\u0432\u0435\u0440\u043d\u0443\u0442\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 <code>LoginSafe<\/code>). <\/p>\n<figure class=\"\"><\/figure>\n<p>\u0412 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 \u044d\u0442\u043e\u0442 \u043f\u0430\u043a\u0435\u0442 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u044d\u0442\u0430\u043f\u0430, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435. \u0422\u0430\u043a\u0436\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u2116 1 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0443 \u2116 2 \u0430\u0434\u0440\u0435\u0441 C2. <\/p>\n<figure class=\"full-width\"><\/figure>\n<h3>\u0428\u0435\u043b\u043b\u043a\u043e\u0434 \u2116 2 <\/h3>\n<p>\u0412\u0442\u043e\u0440\u043e\u0439 \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u0432\u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0437 ntdll \u043f\u043e \u0442\u043e\u043c\u0443 \u0436\u0435 \u0445\u0435\u0448-\u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443, \u0447\u0442\u043e \u0438 \u043f\u0435\u0440\u0432\u044b\u0439, \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 poly: <code>0x8596741254585658<\/code>. <\/p>\n<p>\u041d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430 \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 PE-\u043c\u043e\u0434\u0443\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0441\u0430\u043c\u043e\u0433\u043e \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u0430.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043c\u043e\u0434\u0443\u043b\u044f \u0448\u0435\u043b\u043b\u043a\u043e\u0434 \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e Online \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u0435\u0439 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435. <\/p>\n<h2>\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043c\u043e\u0434\u0443\u043b\u044c<\/h2>\n<p>\u041c\u043e\u0434\u0443\u043b\u044c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f x64 DLL \u0441 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u043c \u2014 <code>Online<\/code>. \u0414\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 (\u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430) \u2014 05.11.2023 03:00:19. \u0418\u043c\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430 \u2014 <code>online.dll<\/code>. <\/p>\n<h3>Online<\/h3>\n<p>\u0412\u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0435 <code>Global\\safeRat<\/code> \u2014 \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e \u043d\u0435\u043c\u0443 \u043c\u044b \u0438 \u0434\u0430\u043b\u0438 \u0432\u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0443.             <\/p>\n<figure class=\"\"><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044c \u0438\u0437\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u043e\u0432 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0447\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u043b\u0438 \u0431\u044b\u0442\u044c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u044b \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u043c \u0438\u043b\u0438 XDR-\u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439.<\/p>\n<figure class=\"\"><\/figure>\n<p>\u0421\u0443\u0442\u044c \u043c\u0435\u0442\u043e\u0434\u0430 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>CreateFileMappingA<\/code> \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0444\u0430\u0439\u043b \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438, \u0437\u0430\u0442\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043d\u0430 \u0441\u0435\u043a\u0446\u0438\u044e TEXT \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043c\u043e\u0434\u0443\u043b\u044f \u043f\u0440\u0430\u0432\u0430 RWX \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u0435\u043a\u0446\u0438\u044e \u0432 \u043c\u043e\u0434\u0443\u043b\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u2014 \u0447\u0442\u043e\u0431\u044b \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u043c\u043e\u0434\u0443\u043b\u044f \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u043e \u0444\u0430\u0439\u043b\u0443. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u044e\u0442\u0441\u044f \u0440\u0430\u043d\u0435\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0441\u0435\u043a\u0446\u0438\u044e.   <\/p>\n<p>\u0421\u0440\u0435\u0434\u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 <code>Online<\/code>: <\/p>\n<ul>\n<li>\n<p>\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u0432\u0435\u0440\u0445\u043d\u0435\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043d\u0435\u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u043c\u043e\u0433\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f; <\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0438\u0441\u043a \u0430\u0434\u0440\u0435\u0441\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>NtTraceEvent<\/code> \u0438 \u043f\u0430\u0442\u0447\u0438\u043d\u0433 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0431\u0430\u0439\u0442\u0430 \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043d\u0430 <code>0xC3<\/code> (ret), \u0447\u0442\u043e\u0431\u044b \u043e\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u043d\u0435 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c ETW-\u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0434\u043b\u044f EDR-\u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0437\u0430\u0449\u0438\u0442\u044b; <\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0438\u0441\u043a \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u043d\u043e\u043c\u0435\u0440\u0430 syscall NtQueryInformationProcess \u0434\u043b\u044f \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f; <\/p>\n<\/li>\n<li>\n<p>\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0443\u0442\u0435\u0439 \u0434\u043b\u044f \u0444\u0430\u0439\u043b\u043e\u0432 wallet.safe \u0438 clip.safe \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 <code>C:\\ProgramData<\/code> (\u0444\u0430\u0439\u043b <code>clip.safe<\/code> \u2014 \u0434\u043b\u044f \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0431\u0443\u0444\u0435\u0440\u0430 \u043e\u0431\u043c\u0435\u043d\u0430, \u0430 \u0444\u0430\u0439\u043b <code>wallet.safe<\/code> \u2014 \u0434\u043b\u044f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u0440\u0430\u0431\u043e\u0442\u044b \u043a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440\u0430); <\/p>\n<\/li>\n<li>\n<p>\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043d\u0438\u0435 \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u0434\u0440\u0435\u0441\u0430 C2 (\u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0441\u0435\u043c\u043f\u043b \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441\u0438\u0442\u044c \u0443 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043d\u043e\u0432\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0435\u0433\u043e \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435, \u043d\u043e \u0432\u043d\u0430\u0447\u0430\u043b\u0435 \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442);<\/p>\n<\/li>\n<li>\n<p>\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 C2 \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043f\u043e \u043f\u0443\u0442\u0438 <code>HKCU\\Software\\&lt;computer_name><\/code> (\u0435\u0441\u043b\u0438 \u0438\u043c\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c, \u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u043d\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0441\u0442\u0440\u043e\u043a\u0430 <code>UnKnow<\/code>). <\/p>\n<\/li>\n<\/ul>\n<figure class=\"\"><\/figure>\n<p>\u0423\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0435 \u0432\u044b\u0448\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <code>Mov<\/code>, \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 base64 \u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u043f\u043e\u0431\u0430\u0439\u0442\u043d\u044b\u043c XOR (<code>0x46<\/code>). <\/p>\n<figure class=\"\"><\/figure>\n<p>\u041e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0441\u0435\u043c\u043f\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>Online<\/code>. \u0412 \u043d\u0430\u0447\u0430\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u0442\u043e\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0431\u044a\u0435\u043a\u0442 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CClientSocket<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0435 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435. <\/p>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 \u044d\u0442\u043e\u043c \u043e\u0431\u044a\u0435\u043a\u0442\u0435 \u0435\u0441\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u043b\u043e\u0436\u0435\u043d\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CBuffer<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0431\u0443\u0444\u0435\u0440 \u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u043c\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u0414\u0430\u043b\u0435\u0435 \u043e\u0431\u044a\u0435\u043a\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u043f\u043e TCP. \u041f\u0440\u0438\u0435\u043c \u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435. \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u044d\u0442\u0430\u043f\u043e\u043c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CKernelManager<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u0442\u0441\u044f \u043e\u0442 \u043a\u043b\u0430\u0441\u0441\u0430 <code>CManager<\/code> \u0438 \u0441\u043b\u0443\u0436\u0438\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0440\u043e\u0434\u0430 \u043e\u0440\u043a\u0435\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u043c \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u043f\u043e\u0442\u043e\u043a\u043e\u0432 \u0438 \u043f\u043b\u0430\u0433\u0438\u043d\u043e\u0432, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0445 \u043e\u0442 C2. \u0412 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440\u0435 CKernelManager \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u043e\u0442\u043e\u043a, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0438\u0439 \u0437\u0430 \u0440\u0430\u0431\u043e\u0442\u0443 \u043a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440\u0430. \u041f\u0440\u0438\u0447\u0435\u043c \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u043a\u043b\u0430\u0432\u0438\u0430\u0442\u0443\u0440\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 <code>IDirectInput8A<\/code> \u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e <code>SysKeyboard<\/code>. <\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0441\u0435\u043c\u043f\u043b \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u043d\u0430\u0447\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0434\u043b\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \u0412 \u043d\u0435\u0435 \u0432\u0445\u043e\u0434\u044f\u0442: <\/p>\n<ul>\n<li>\n<p>IP-\u0430\u0434\u0440\u0435\u0441 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430, <\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430, <\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, <\/p>\n<\/li>\n<li>\n<p>PID \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, <\/p>\n<\/li>\n<li>\n<p>\u0441\u043f\u0438\u0441\u043e\u043a \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043e\u0432, <\/p>\n<\/li>\n<li>\n<p>\u0441\u0442\u0430\u0442\u0443\u0441 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f (\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0438 \u043e\u043d \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u043c),<\/p>\n<\/li>\n<li>\n<p>\u0440\u0430\u0437\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043a\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0440\u0430: <code>GetTickCount64 \u2212 GetTickCount64()<\/code> (\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0440\u0430\u0431\u043e\u0442\u044b \u0432 \u0412\u041c), <\/p>\n<\/li>\n<li>\n<p>\u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f. <\/p>\n<\/li>\n<\/ul>\n<p>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432 \u0432\u0438\u0434\u0435 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b: <\/p>\n<pre><code class=\"cpp\">#pragma pack(push, 1) struct system_info  {     char sz;      char host_ip_addr[130];     char reg_remark_or_comp_name[50];     char username[51];     uint32_t curr_pid;     char gap_EC[64];     char AVs[128];     char reg_cfg_Group_val;     char gap_1AD[63];     char is_admin;     char module_filename[255];     char reg_cfg_Run_val[3];     char gap_2EF[5];     uint32_t ticks_diff;     SYSTEMTIME localtime; }; #pragma pack(pop)<\/code><\/pre>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043e\u043d\u0438 \u0441\u0436\u0438\u043c\u0430\u044e\u0442\u0441\u044f Zlib \u0438 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f RC4. \u0414\u043b\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>rand % 511<\/code>. \u041b\u0438\u0431\u043e \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a <code>123<\/code>. \u0414\u0430\u043b\u0435\u0435 \u044d\u0442\u043e \u0447\u0438\u0441\u043b\u043e \u0444\u043e\u0440\u043c\u0430\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 \u0432\u0438\u0434\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f RC4.        <\/p>\n<figure class=\"\"><\/figure>\n<p>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u0430\u043a\u0435\u0442\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<pre><code class=\"cpp\">struct packet  {    uint32_t key;   uint32_t packet_size;   uint32_t payload_size;   uint8_t payload[payload_size];  };  <\/code><\/pre>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u043b\u0438\u043d\u0430 \u0440\u0430\u0437\u0436\u0430\u0442\u043e\u0433\u043e \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 <code>payload_size<\/code>. \u041e\u0442 C2 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u043f\u0430\u043a\u0435\u0442 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b, \u0437\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043f\u043e\u043b\u044f <code>key<\/code> \u0438 <code>packet_size<\/code> \u043f\u043e\u043c\u0435\u043d\u044f\u043d\u044b \u043c\u0435\u0441\u0442\u0430\u043c\u0438, \u0442\u043e \u0435\u0441\u0442\u044c \u0440\u0430\u0437\u043c\u0435\u0440 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432 \u043d\u0443\u043b\u0435\u0432\u043e\u043c DWORD, \u0430 \u043a\u043b\u044e\u0447 \u2014 \u0432 \u043f\u0435\u0440\u0432\u043e\u043c. \u0412 \u0442\u0440\u0430\u0444\u0438\u043a\u0435 \u044d\u0442\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c: <\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0441\u0435\u0441\u0441\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0432 \u00ab<a href=\"https:\/\/gchq.github.io\/CyberChef\/#recipe=From_Hex('Auto')RC4(%7B'option':'UTF8','string':'481'%7D,'Latin1','Latin1')Zlib_Inflate(0,0,'Adaptive',false,false)Find_\/_Replace(%7B'option':'Regex','string':'%5B%5C%5Cx00%5D%7B1,%7D'%7D,'%5C%5Cn',true,false,true,false)To_Hexdump(16,false,false,false)&amp;input=ZDFkN2NiMTNjM2JlNzAxZTI2ZWEzMTgxYTVlNzg0N2JkZDk1MTFiNWY3ZTQ1ZWFkY2NmMTVlYjMwOWUzODViMjU3MjJkMDAxNWNhMzBlZTViMTIyMTcyZDMzMGI4N2U0NTg2ZTliZjBiN2M2YTM3NjEyMDE4N2UyMDk3MGMyOWQ2NTRiMzgxZDhhOWMxZDZhOTc5NzJkY2FmYThhYzI4MmI1OWM1MzYyMDI3MjRmNWRjOWJhNGJlMWZmYmNiNDAyMjUxZjQ0MzFkNzA0ZjRhOGMwMmQ1MjZlYmIyODllM2E2NzM1Nzk3YWVjZmQ1ZWFhMGJmMDY4NTA\">\u041a\u0438\u0431\u0435\u0440\u0448\u0435\u0444\u0435<\/a>\u00bb.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0438 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u043f\u0430\u043a\u0435\u0442\u0430 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0441\u0435\u043c\u043f\u043b \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043d\u0443\u043b\u0435\u0432\u043e\u0439 \u0431\u0430\u0439\u0442, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043a\u043e\u043c\u0430\u043d\u0434\u044b (\u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 <code>0e<\/code>). \u041e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0443 \u043a\u043e\u043c\u0430\u043d\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 <code>CKernelManager<\/code>. \u0412 \u043e\u0442\u0432\u0435\u0442 \u043a\u043b\u0438\u0435\u043d\u0442 \u043f\u043e\u0441\u044b\u043b\u0430\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u043e\u0442\u0441\u0442\u0443\u043a \u0432 \u0432\u0438\u0434\u0435 \u0442\u043e\u0439 \u0436\u0435 \u0441\u0430\u043c\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b. <\/p>\n<figure class=\"full-width\"><\/figure>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\"><strong>\u0418\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043a\u043e\u043c\u0430\u043d\u0434\u044b<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">   0    <\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u0430\u0437\u043b\u043e\u0433\u0438\u043d\u0438\u0432\u0430\u0435\u0442 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f Windows    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">2<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0423\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0444\u043b\u0430\u0433 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u044b    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">3<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>Remark<\/code>    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">4<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>Group<\/code>    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">6\u00ad\u201312, 14\u00ad\u2013\u00ad\u00ad17, 19\u00ad\u201321, 25, 32\u00ad\u00ad\u201334    <\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043b\u0430\u0433\u0438\u043d (\u043d\u043e\u043c\u0435\u0440 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u2014 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043f\u043b\u0430\u0433\u0438\u043d\u0430)    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">13<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u0437\u044b\u0432\u0430\u0435\u0442 BSOD \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <code>NtRaiseHardError<\/code>, \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0432 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u044e SeShutdownPrivilege    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">18<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a \u043a\u043b\u0438\u043f\u043f\u0435\u0440\u0430 (\u0441\u0442\u0438\u043b\u0435\u0440 \u0431\u0443\u0444\u0435\u0440\u0430 \u043e\u0431\u043c\u0435\u043d\u0430)    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">22<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0431\u043d\u043e\u0432\u043b\u044f\u0435\u0442 C2    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">23<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">24<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a \u043a\u043b\u0438\u043f\u043f\u0435\u0440\u0430 (\u0441\u0442\u0438\u043b\u0435\u0440 \u0431\u0443\u0444\u0435\u0440\u0430 \u043e\u0431\u043c\u0435\u043d\u0430)    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">26\u00ad\u201331    <\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">35<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043d\u043e\u0432\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>Run<\/code>    <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"350\" width=\"350\">\n<p align=\"center\">36\u00ad\u201342    <\/p>\n<\/td>\n<td>\n<p>\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u043d\u043e\u043c\u0435\u0440\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441\u0442\u0438\u043b\u0435\u0440 \u043f\u043e\u0445\u0438\u0449\u0430\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0435: <br \/>\u00b7 QQBrowser,<br \/>\u00b7 Telegram,<br \/>\u00b7 Chrome,<br \/>\u00b7 Firefox,<br \/>\u00b7 360 Secure Browser,<br \/>\u00b7 Sogou Explorer<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0418\u0441\u0445\u043e\u0434\u044f \u0438\u0437 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438 \u0432 \u0441\u0435\u0440\u0432\u0438\u0441\u0435 <a href=\"https:\/\/www.virustotal.com\/gui\/file\/0bc5545cf48254aff60e1757e45f7020a64ee9eda2e6db9352e9107811309f8e\">VirusTotal<\/a> \u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0446\u0435\u043b\u0435\u0439 SafeRAT (Sogou, 360 Secure Browser, QQBrowser), \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c, \u0447\u0442\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d \u043d\u0430 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0433\u043e\u0432\u043e\u0440\u044f\u0449\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. <\/p>\n<p>\u0421\u0443\u0434\u044f \u043f\u043e \u0438\u043c\u0435\u043d\u0430\u043c \u043a\u043b\u0430\u0441\u0441\u043e\u0432 (<code>CKernelManager<\/code>, <code>CClientSock<\/code><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-368093","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/368093","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=368093"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/368093\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=368093"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=368093"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=368093"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}