{"id":411400,"date":"2024-06-29T21:56:45","date_gmt":"2024-06-29T21:56:45","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=411400"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=411400","title":{"rendered":"<span>\u041f\u043e \u0441\u043b\u0435\u0434\u0430\u043c TeamBot: \u043a\u0430\u043a \u043c\u044b \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u043d\u043e\u0432\u044b\u043c\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c\u0438 \u0437\u043d\u0430\u043a\u043e\u043c\u043e\u0433\u043e \u0412\u041f\u041e<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/dd0\/315\/d4d\/dd0315d4d30ec82e9c8550ebd29c38ff.jpg\" width=\"1045\" height=\"628\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/dd0\/315\/d4d\/dd0315d4d30ec82e9c8550ebd29c38ff.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0412 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 2021 \u0433\u043e\u0434\u0430 \u043a \u043d\u0430\u043c \u0432 Solar JSOC CERT \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441: \u043e\u0434\u043d\u0430 \u043a\u0440\u0443\u043f\u043d\u0430\u044f \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u043e\u043f\u0440\u043e\u0441\u0438\u043b\u0430 \u043f\u043e\u043c\u043e\u0447\u044c \u0432 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430. \u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0441\u0442\u0430\u0440\u0443\u044e \u0437\u043d\u0430\u043a\u043e\u043c\u0443\u044e &#8212; \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e DLL TeamBot (aka TeamSpy, TVSPY, TeamViewerENT, TVRAT), \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430\u0441\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u043e\u0439 TeamViewer. \u042d\u0442\u043e \u0412\u041f\u041e \u0443\u0436\u0435 \u043b\u0435\u0442 10 \u0444\u0438\u0433\u0443\u0440\u0438\u0440\u0443\u0435\u0442 \u0432 \u043e\u0442\u0447\u0435\u0442\u0430\u0445 \u043a\u0430\u043a \u043e\u0442\u0435\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445, \u0442\u0430\u043a \u0438 \u0437\u0430\u0440\u0443\u0431\u0435\u0436\u043d\u044b\u0445 \u0418\u0411-\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439. \u041d\u043e \u0437\u0430 \u044d\u0442\u0438 \u0433\u043e\u0434\u044b TeamBot \u043d\u0430\u0443\u0447\u0438\u043b\u0441\u044f \u043a\u043e\u0435-\u0447\u0435\u043c\u0443 \u043d\u043e\u0432\u043e\u043c\u0443, \u043e \u0447\u0435\u043c \u043c\u044b \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0432 \u044d\u0442\u043e\u043c \u043f\u043e\u0441\u0442\u0435.<\/p>\n<h2>\u0412\u0435\u043a\u0442\u043e\u0440 \u0430\u0442\u0430\u043a\u0438<\/h2>\n<p>\u0418\u0442\u0430\u043a, TeamBot \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0444\u0438\u0448\u0438\u043d\u0433 (\u043a\u0430\u043a\u0430\u044f \u043d\u0435\u043e\u0436\u0438\u0434\u0430\u043d\u043d\u043e\u0441\u0442\u044c!). \u0412 \u043d\u0430\u0448\u0435\u043c \u043a\u0435\u0439\u0441\u0435 \u0436\u0435\u0440\u0442\u0432\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0438 \u0432\u043e\u0442 \u0442\u0430\u043a\u0438\u0435 \u043f\u0438\u0441\u044c\u043c\u0430:<\/p>\n<figure class=\"bordered\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/14b\/35e\/3f9\/14b35e3f98fb89508eb69f8401c591c4.jpg\" width=\"505\" height=\"314\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/14b\/35e\/3f9\/14b35e3f98fb89508eb69f8401c591c4.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0410\u0440\u0445\u0438\u0432 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b &#171;<strong>\u041a\u043e\u0434 0921.txt<\/strong>&#171;, \u0438\u043c\u044f \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0430\u0440\u043e\u043b\u0435\u043c \u0434\u043b\u044f \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 \u0441 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439.<\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0430\u0440\u0445\u0438\u0432\u0430 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430 \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 <a href=\"https:\/\/habr.com\/ru\/company\/drweb\/blog\/532444\/\">\u0441\u0442\u0430\u0442\u044c\u0435<\/a> \u043d\u0430\u0448\u0438\u0445 \u043a\u043e\u043b\u043b\u0435\u0433 \u0438\u0437 Dr.Web. <em>\u00ab\u0412 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u043c \u0430\u0440\u0445\u0438\u0432\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u044b\u0439 RAR-\u0430\u0440\u0445\u0438\u0432 \u0438 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 \u043f\u0430\u0440\u043e\u043b\u0435\u043c. \u0412 \u0430\u0440\u0445\u0438\u0432\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u0440\u043e\u043f\u043f\u0435\u0440 \u0432 \u0432\u0438\u0434\u0435 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e\u0441\u044f RAR\u2019\u0430, \u0432\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043b\u0435\u0436\u0438\u0442 \u0441\u0430\u043c BackDoor.RMS.180.\u00bb<\/em><\/p>\n<p>\u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0430\u0440\u0445\u0438\u0432\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b \u0438\u0437 \u0441\u0435\u0431\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0449\u0438\u043a NSIS (Nullsoft Scriptable Install System \u2013 <a href=\"https:\/\/nsis.sourceforge.io\">https:\/\/nsis.sourceforge.io<\/a>), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0432 \u0442\u0438\u0445\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0430\u0439\u043b\u044b \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <strong>%PROGRAMDATA%\\ViberPC\\icons<\/strong>:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p><strong>\u0424\u0430\u0439\u043b<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>Teamviewer_Resource_ja.dll<\/p>\n<\/td>\n<td>\n<p>\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 DLL-\u0444\u0430\u0439\u043b TeamViewer 5.0.7687.0,   \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0439 \u0434\u043b\u044f \u0435\u0433\u043e \u0440\u0430\u0431\u043e\u0442\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>TV.dll<\/p>\n<\/td>\n<td>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 DLL-\u0444\u0430\u0439\u043b TeamBot<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>Uniprint.exe<\/p>\n<\/td>\n<td>\n<p>TeamViewer Quick Support (TVQS) 5.0.7687.0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>vpn.cab<\/p>\n<\/td>\n<td>\n<p>\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 cab-\u0430\u0440\u0445\u0438\u0432 \u0441 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u0434\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 vpn-\u0430\u0434\u0430\u043f\u0442\u0435\u0440\u0430   TeamViewer<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b <strong>Uniprint.exe<\/strong> (\u0434\u0430\u043b\u0435\u0435 \u2013 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 TeamViewer) \u0441 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u043c <strong>f<\/strong>:\u00a0 <strong>UniPrint.exe f<\/strong>. <\/p>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL, \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u0430\u044f \u0440\u044f\u0434\u043e\u043c \u0441 <strong>Uniprint.exe<\/strong>, \u0447\u0435\u0440\u0435\u0437 \u0442\u0435\u0445\u043d\u0438\u043a\u0443 DLL Hijacking \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430\u0441\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c TeamViewer.<\/p>\n<p>\u0412 \u0441\u0442\u0430\u0442\u044c\u0435 Dr.Web, \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0439 \u0432\u044b\u0448\u0435, \u0432 \u0441\u043e\u0441\u0442\u0430\u0432\u0435 BackDoor.RMS.180 \u0434\u043b\u044f \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 \u0438\u043c\u044f \u2013 <strong>Uniprint.exe<\/strong>:<\/p>\n<p><em>\u00ab\u0421\u043e\u0441\u0442\u0430\u0432 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e\u0441\u044f \u0434\u0440\u043e\u043f\u043f\u0435\u0440\u0430:<\/em><\/p>\n<p><em>libeay32.dll (f54a31a9211f4a7506fdecb5121e79e7cdc1022e), \u0447\u0438\u0441\u0442\u044b\u0439;<\/em><\/p>\n<p><em>ssleay32.dll (18ee67c1a9e7b9b82e69040f81b61db9155151ab), \u0447\u0438\u0441\u0442\u044b\u0439;<\/em><\/p>\n<p><em>UniPrint.exe (71262de7339ca2c50477f76fcb208f476711c802), \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e;<\/em><\/p>\n<p><em>WinPrint.exe (3c8d1dd39b7814fdc0792721050f953290be96f8), \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e;<\/em><\/p>\n<p><em>winspool.drv (c3e619d796349f2f1efada17c9717cf42d4b77e2) \u2014 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c, \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0439 \u0441\u043a\u0440\u044b\u0442\u0443\u044e \u0440\u0430\u0431\u043e\u0442\u0443 Remote Utilities.\u00bb<\/em><\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 TV.dll<\/h2>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u2013 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 31.08.2021 07:21:32 UTC. \u041e\u043d \u0438\u043c\u0435\u0435\u0442 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b\u0435 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 DLL \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 pdb-\u043f\u0443\u0442\u044c, \u043d\u043e \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f, \u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442. C\u0440\u0430\u0432\u043d\u0438\u0442\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/9b9\/21f\/cd1\/9b921fcd12271b822ea611f13075beaa.jpg\" width=\"1274\" height=\"795\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9b9\/21f\/cd1\/9b921fcd12271b822ea611f13075beaa.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/b6a\/171\/486\/b6a1714860f6ae9086fbe8b84fe003b0.jpg\" width=\"1666\" height=\"404\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b6a\/171\/486\/b6a1714860f6ae9086fbe8b84fe003b0.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0414\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 <strong>TV.dll<\/strong> \u0431\u044b\u043b\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"92\" width=\"92\">\n<p>MD5<\/p>\n<\/td>\n<td>\n<p> 2f87102bd8f9c562155932dc64bb2074<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"92\" width=\"92\">\n<p>SHA-1<\/p>\n<\/td>\n<td>\n<p>31397b16d0bb02c0f62a6cb1fbdfbaf8318e397e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"92\" width=\"92\">\n<p>SHA-256 <\/p>\n<\/td>\n<td>\n<p>49476faa2316fead6927512a39a5e72c0c0b72959ab127d3e1fb760b7d78500c\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0422\u0435\u0445\u043d\u0438\u043a\u0438 \u0434\u043b\u044f \u0443\u0441\u043b\u043e\u0436\u043d\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 (anti-analysis)<\/h3>\n<p>1. <u>\u0428\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u043f\u0443\u0442\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f (\u0434\u0430\u043b\u0435\u0435 \u2013 C2).<\/u><\/p>\n<p>\u0414\u043b\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f NOT \u043a \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u0431\u0430\u0439\u0442\u0443 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u043f\u0443\u0442\u0438 C2. \u0412 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445 \u0434\u0430\u043d\u043d\u044b\u0435 C2 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432 \u043d\u0435\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f. \u0417\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d \u0438 \u043f\u0443\u0442\u044c \u04212 \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \u0440\u044f\u0434\u043e\u043c \u0438 \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c\u0438 0x00-\u0431\u0430\u0439\u0442\u0430\u043c\u0438:<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/185\/49c\/b57\/18549cb57130a00905b87540ae5d25a2.jpg\" width=\"798\" height=\"135\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/185\/49c\/b57\/18549cb57130a00905b87540ae5d25a2.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>2. <u>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 StrChr + wsprintf<\/u><\/p>\n<p>\u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0439 <strong>StrChr<\/strong> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0438\u0441\u043a \u043d\u0443\u0436\u043d\u044b\u0445 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a, \u0430 <strong>wsprintf<\/strong> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438.<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/146\/f08\/583\/146f08583da9cfb7104766aca74c2169.jpg\" width=\"1105\" height=\"358\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/146\/f08\/583\/146f08583da9cfb7104766aca74c2169.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>3. <u>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0445\u0435\u0448\u0435\u0439 API-\u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u043f\u0440\u0438 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0438\u043c\u043f\u043e\u0440\u0442\u0435<\/u><\/p>\n<p>\u041f\u0441\u0435\u0432\u0434\u043e\u043a\u043e\u0434 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 \u0445\u0435\u0448\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f:<\/p>\n<p><code>api_hash = crc32(\"&lt;api_name>\") ^ xor_key<\/code><strong>,<\/strong><\/p>\n<p>\u0433\u0434\u0435 <code>&lt;api_name><\/code><strong> \u2013<\/strong> \u0438\u043c\u044f API-\u0432\u044b\u0437\u043e\u0432\u0430, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, <code>LoadLibraryA<\/code>;<\/p>\n<p><code>xor_key \u2013 0x435A88 (Uniprint.exe OptionalHeader.CheckSum)<\/code> \u0438\u043b\u0438 <code>0x4B4CA51F (Uniprint.exe FileHeader.TimeDateStamp)<\/code><strong>.<\/strong><\/p>\n<p>\u041a\u0441\u0442\u0430\u0442\u0438, \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043a\u043e\u0434\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0435 \u043e\u0442 C2.<\/p>\n<p>4. <u>\u041f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0440\u043e\u043a \u043f\u043e raw-\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e \u0438\u0437 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e PE-\u0444\u0430\u0439\u043b\u0430<\/u><\/p>\n<p>\u0421\u0442\u0440\u043e\u043a\u0438 \u0431\u0435\u0440\u0443\u0442\u0441\u044f \u0438\u0437 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 <strong>TeamViewer.exe<\/strong> (\u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 <strong>Uniprint.exe<\/strong>) \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e.<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/25b\/5b5\/7a9\/25b5b57a99076a022f01c3f2982a5295.jpg\" width=\"927\" height=\"469\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/25b\/5b5\/7a9\/25b5b57a99076a022f01c3f2982a5295.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>5. <u>Anti-debug \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0438\u0441\u043a \u043e\u043a\u043d\u0430 OllyDbg, \u043d\u043e \u0441\u043e \u0441\u0432\u043e\u0438\u043c\u0438 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u043c\u0438<\/u><\/p>\n<p>\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>FindWindow<\/code> \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u043e\u043a\u043e\u043d \u0441 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430\u043c\u0438 &#171;<strong>ollyDbG<\/strong>&#187; \u0438 &#171;<strong>ollyDb<\/strong>&#171;:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/0ca\/c36\/058\/0cac36058ce1267326c82296b25a73ac.jpg\" width=\"655\" height=\"272\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0ca\/c36\/058\/0cac36058ce1267326c82296b25a73ac.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u2013 \u043f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043e\u043a\u043d\u0430 \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0442\u044c \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443 \u2013 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u044e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 xor-\u043a\u043b\u044e\u0447\u0430. \u0418\u0437-\u0437\u0430 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 API, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442, \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0445\u0443\u043a\u0438 \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0430 \u0432\u0435\u0441\u044c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432 \u0445\u0443\u043a\u0430\u0445.<\/p>\n<h3>\u041f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 MinHook<\/h3>\n<p>\u0414\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0443\u043a\u043e\u0432 \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c <a href=\"https:\/\/github.com\/TsudaKageyu\/minhook\">MinHook<\/a>. \u0421\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043a\u043e\u0434\u0443 \u0432\u0438\u0434\u043d\u043e \u043d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435:<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/97e\/832\/bc9\/97e832bc9332edfcd4873eb3c1f2a43a.jpg\" width=\"1005\" height=\"797\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/97e\/832\/bc9\/97e832bc9332edfcd4873eb3c1f2a43a.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c BackDoor.RMS.180 \u0432 \u043a\u0435\u0439\u0441\u0435, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u043c Dr.Web: <em>\u00ab\u0414\u0430\u043b\u0435\u0435 \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0430\u0435\u0442 \u043a \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0443 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0439. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 <\/em>MinHook<em>.\u00bb<\/em><\/p>\n<h3>\u041d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u044d\u0442\u0430\u043f \u0437\u0430\u043f\u0443\u0441\u043a\u0430<\/h3>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 Uniprint.exe (\u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 <strong>Teamviewer.exe)<\/strong> \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a:<\/p>\n<p><u>1. Killswitch-\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430<\/u><\/p>\n<p>\u041e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 <strong>foobar.jpg<\/strong> \u043d\u0430 \u0440\u0430\u0431\u043e\u0447\u0435\u043c \u0441\u0442\u043e\u043b\u0435 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/dc1\/9d4\/93a\/dc19d493a0bac2308736b41150b7e86c.jpg\" width=\"807\" height=\"182\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/dc1\/9d4\/93a\/dc19d493a0bac2308736b41150b7e86c.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u0444\u0430\u0439\u043b\u0430 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer.<\/p>\n<p><u>2. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer<\/u><\/p>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u0443\u0442\u0451\u043c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u043e\u0439 \u0441\u0443\u043c\u043c\u044b \u0444\u0430\u0439\u043b\u0430 \u0438\u043b\u0438 \u0434\u0430\u0442\u044b \u0435\u0433\u043e \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438:<\/p>\n<p><code>OptionalHeader.CheckSum == 0x435A88<\/code><\/p>\n<p><code>FileHeader.TimeDateStamp == 0x4B4CA51F (12.01.2010 16:36:47 UTC)<\/code><\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b \u0438 BackDoor.RMS.180 \u0438\u0437 \u043a\u0435\u0439\u0441\u0430 \u00a0Dr.Web: <em>\u00ab\u0417\u0430\u0442\u0435\u043c \u0431\u044d\u043a\u0434\u043e\u0440 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043a\u0430\u043a\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043e\u043d \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 IMAGE_NT_HEADERS.OptionalHeader.CheckSum \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f:\u00bb<\/em><\/p>\n<p><em>\u00a0<\/em><u>3. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0440\u0435\u0436\u0438\u043c\u0430 Windows<\/u><\/p>\n<p>\u0422\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0440\u0435\u0436\u0438\u043c \u0432 Windows \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u044b \u0431\u0435\u0437 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438.<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/0a8\/3c2\/c39\/0a83c2c39b3a6bcc8bb30dd3446b8960.jpg\" width=\"795\" height=\"135\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0a8\/3c2\/c39\/0a83c2c39b3a6bcc8bb30dd3446b8960.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0415\u0441\u043b\u0438 \u0434\u0430\u043d\u043d\u044b\u0439 \u0440\u0435\u0436\u0438\u043c \u0432\u043a\u043b\u044e\u0447\u0435\u043d, \u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 xor-\u043a\u043b\u044e\u0447\u0430.  \u0418\u0437-\u0437\u0430 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0438\u043c\u043f\u043e\u0440\u0442 API-\u0432\u044b\u0437\u043e\u0432\u043e\u0432  \u0438 \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0445\u0443\u043a\u0438 \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438.<\/p>\n<p>\u041a\u043e\u0433\u0434\u0430 \u0432\u0441\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0440\u043e\u0439\u0434\u0435\u043d\u044b, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0445\u0443\u043a\u043e\u0432 \u043d\u0430 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438.<\/p>\n<h3>\u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 TeamViewer \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c<\/h3>\n<p>\u0427\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0436\u0435\u0440\u0442\u0432\u0435, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u0440\u044b\u0439 \u0444\u0430\u0439\u043b <strong>Uniprint.exe<\/strong>. \u042d\u0442\u043e \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b TeamViewer QuickSupport 2010 \u0433\u043e\u0434\u0430 \u0432\u044b\u043f\u0443\u0441\u043a\u0430. \u0412\u0435\u0440\u0441\u0438\u044f \u0444\u0430\u0439\u043b\u0430 <strong>5.0.7687<\/strong>. \u0412\u0435\u0440\u043e\u044f\u0442\u043d\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0430\u043a\u043e\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043e\u0431\u0443\u0441\u043b\u043e\u0432\u043b\u0435\u043d\u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0435\u043c \u0432 \u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043a \u0442\u0435\u0445\u043d\u0438\u043a\u0435 DLL Hijacking. \u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0431\u0435\u0437 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 <strong>TV.dll<\/strong> \u043e\u043d \u043d\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c TeamViewer, \u043d\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u0432 \u0440\u0435\u0436\u0438\u043c \u043e\u043d\u043b\u0430\u0439\u043d \u0438, \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f. <\/p>\n<p>\u0412 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 TeamBot \u0440\u044f\u0434\u043e\u043c \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL \u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c TeamViewer \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0430\u0441\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f DLL Teamviewer_Resource_ja.dll, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b\u0430 \u0432 \u0441\u0435\u0431\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 TeamViewer \u043d\u0430 \u044f\u043f\u043e\u043d\u0441\u043a\u043e\u043c \u044f\u0437\u044b\u043a\u0435. \u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u044d\u0442\u043e \u0431\u044b\u043b\u043e \u0441\u0434\u0435\u043b\u0430\u043d\u043e \u0434\u043b\u044f \u0443\u0441\u043b\u043e\u0436\u043d\u0435\u043d\u0438\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0441 TeamViewer. \u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 TeamViewer \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0431\u0435\u0437 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432\u0435\u0440\u0441\u0438\u0438 (\u0434\u043b\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u0441\u043f\u0440\u0430\u0432\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u0430\u043d\u0433\u043b\u043e\u044f\u0437\u044b\u0447\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b):<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/958\/1e7\/b51\/9581e7b51e2d8ccd7243e3ea49a389d8.jpg\" width=\"1229\" height=\"756\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/958\/1e7\/b51\/9581e7b51e2d8ccd7243e3ea49a389d8.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u0442\u0430\u043a\u043e\u0439 \u0441\u0442\u0430\u0440\u044b\u0439 \u0444\u0430\u0439\u043b \u043c\u043e\u0433 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c TeamViewer \u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0435\u0440\u0435\u0434 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u043e\u0439 \u0445\u0443\u043a\u043e\u0432 \u0438\u0437\u043c\u0435\u043d\u044f\u044e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer:<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/30d\/036\/cf2\/30d036cf2d88ccac4bddb2300525153e.jpg\" width=\"649\" height=\"246\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/30d\/036\/cf2\/30d036cf2d88ccac4bddb2300525153e.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u044f <strong>mw_replace_tv_version<\/strong> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u043e\u0438\u0441\u043a \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u043f\u0430\u043c\u044f\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0434\u043e\u0432\u043b\u0435\u0442\u0432\u043e\u0440\u044f\u044e\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f\u043c:<\/p>\n<ul>\n<li>\n<p>\u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <strong>MEM_COMMIT<\/strong>;<\/p>\n<\/li>\n<li>\n<p>\u0442\u0438\u043f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <strong>MEM_PRIVATE<\/strong>;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0430\u0432\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 <strong>PAGE _READWRITE<\/strong>.<\/p>\n<\/li>\n<\/ul>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 16 \u0431\u0430\u0439\u0442, \u043f\u043e\u043a\u0430 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 UTF16-LE \u0441\u0442\u0440\u043e\u043a\u0430 <strong>&#171;5.0.7687&#187;<\/strong>.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0437\u0430\u043c\u0435\u043d\u0430 <strong>&#171;5.0.7&#187;<\/strong> \u043d\u0430 <strong>&#171;15.0.&#187;<\/strong>, \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0447\u0435\u0433\u043e \u0432\u0435\u0440\u0441\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f <strong>&#171;15.0.687&#187;<\/strong>.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/6d5\/5b6\/9c4\/6d55b69c48c62989529f13ce4a0f7c9d.jpg\" width=\"817\" height=\"806\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/6d5\/5b6\/9c4\/6d55b69c48c62989529f13ce4a0f7c9d.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 TeamViewer \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u043a \u0434\u0440\u0443\u0433\u0438\u043c \u0430\u0434\u0440\u0435\u0441\u0430\u043c TeamViewer, \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u0434\u043b\u044f 15-\u0439 \u0432\u0435\u0440\u0441\u0438\u0438. \u0414\u0430\u043d\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u043d\u0430 \u044d\u0442\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u0447\u0442\u043e \u0432 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u043c \u0438\u0442\u043e\u0433\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u0442 \u043a \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u043c\u0443 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044e \u0438 \u0441\u0442\u0430\u0442\u0443\u0441\u0443 \u00ab\u043e\u043d\u043b\u0430\u0439\u043d\u00bb:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/ced\/002\/fb1\/ced002fb101ab7ac36a3a74173b2721e.jpg\" width=\"739\" height=\"765\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ced\/002\/fb1\/ced002fb101ab7ac36a3a74173b2721e.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041c\u044b \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u043b\u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0439 \u043f\u0440\u0438\u0435\u043c \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 TeamViewer Quick Support \u2013 <strong>5.1.17330 QS<\/strong> \u2013 \u0438 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u043e!<\/p>\n<p>\u0422\u0430\u043a\u0430\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0437\u0430\u043c\u0435\u043d\u044b \u0432\u0435\u0440\u0441\u0438\u0438 <strong>\u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c<\/strong> \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2021 \u0433\u043e\u0434\u0430. \u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c (\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f TeamViewer) \u0432\u0432\u0435\u043b \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438. \u00a0\u0417\u0434\u0435\u0441\u044c \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0438\u0437-\u0437\u0430 \u043d\u0435\u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0437\u0430\u043c\u0435\u043d\u044b \u0432\u0435\u0440\u0441\u0438\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u043e\u0442\u0435\u0440\u044f\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 TeamViewer. RAT-\u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b, \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u043c\u044b\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL, \u043e\u0441\u0442\u0430\u043b\u0441\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0435 \u0441 C2.<\/p>\n<h3>\u0410\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438<\/h3>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0443 TeamViewer:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p><strong>\u0410\u0440\u0433\u0443\u043c\u0435\u043d\u0442<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p>f<\/p>\n<\/td>\n<td>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e   \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer \u0431\u0435\u0437   \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 WMI \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e COM-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 IWbemServices \u0438 \u0432\u044b\u0437\u043e\u0432 \u043c\u0435\u0442\u043e\u0434\u0430 Win32_Process::Create.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p>k<\/p>\n<\/td>\n<td>\n<p>\u0423\u0434\u0430\u043b\u044f\u0435\u0442 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u0438 \u043c\u0435\u0442\u043e\u0434\u044b   \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p>w &lt;value><\/p>\n<\/td>\n<td>\n<p>&lt;value> \u2013 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432   \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445<\/p>\n<p>\u0417\u0430\u0434\u0430\u0435\u0442 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0443 \u043f\u0435\u0440\u0435\u0434 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c   \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u043e\u0440\u043a\u0435\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0425\u0443\u043a user32.CreateDialogParamW. \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a RAT-\u043f\u043e\u0442\u043e\u043a\u0430<\/h3>\n<p>\u0411\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u0445\u0443\u043a\u043e\u0432 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u0441\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u043e\u043a\u043e\u043d TeamViewer <br \/>\u0438 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u0435\u0433\u043e \u0440\u0430\u0431\u043e\u0442\u044b \u0432 \u0442\u0438\u0445\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435. \u041e\u0431\u0449\u0438\u0439 \u0441\u043f\u0438\u0441\u043e\u043a API-\u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0445\u0443\u043a\u0438, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d \u043d\u0438\u0436\u0435.<\/p>\n<details class=\"spoiler\">\n<summary>\u0420\u0430\u0441\u043a\u0440\u044b\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a<\/summary>\n<div class=\"spoiler__content\">\n<p><strong>\u0425\u0443\u043a\u0438 kernel32.dll<\/strong><\/p>\n<p>CreateFileW<\/p>\n<p>CreateMutexA<\/p>\n<p>CreateDirectoryW<\/p>\n<p>MoveFileW<\/p>\n<p>MoveFilewExW<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 user32.dll<\/strong><\/p>\n<p>CreateDialogParamW<\/p>\n<p>RegisterClassExW<\/p>\n<p>CreateWindowExW<\/p>\n<p>MoveWindow<\/p>\n<p>SetWindowPos<\/p>\n<p>ShowWindow<\/p>\n<p>Shell_NotifyIconW<\/p>\n<p>InvalidateRect<\/p>\n<p>MessageBoxA<\/p>\n<p>MessageBoxW<\/p>\n<p>IsWindowVisible<\/p>\n<p>BringWindowToTop<\/p>\n<p>SetForegroundWindow<\/p>\n<p>SetFocus<\/p>\n<p>FindWindowW<\/p>\n<p>SystemParametersInfoW<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 shell32.dll<\/strong><\/p>\n<p>RegCreateKeyExW<\/p>\n<p>RegOpenKeyExW<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 iphlpapi.dll<\/strong><\/p>\n<p>GetAdaptersInfo<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 wintrust.dll<\/strong><\/p>\n<p>WinVerifyTrust<\/p>\n<p>\u00a0<strong>\u0425\u0443\u043a\u0438 wsock32.dll<\/strong><\/p>\n<p>bind<\/p>\n<\/div>\n<\/details>\n<p>\u041e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c\u0441\u044f \u043d\u0430 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u043a\u043e\u0434\u0430 \u0445\u0443\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a\u0438 \u043e\u043f\u0440\u043e\u0441\u0430 C2 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0418\u0442\u0430\u043a, \u0447\u0442\u043e \u0436\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u0445\u0443\u043a:<\/p>\n<ul>\n<li>\n<p>\u0414\u0435\u043b\u0430\u0435\u0442 \u043e\u043a\u043d\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer \u043d\u0435\u0432\u0438\u0434\u0438\u043c\u044b\u043c\u0438 \u0438 \u0443\u0431\u0438\u0440\u0430\u0435\u0442 \u0442\u0435\u043a\u0441\u0442 \u0438\u0445 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432. \u0412 \u0438\u0442\u043e\u0433\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u043e\u043a\u043d\u0430 \u0438 \u0436\u0443\u0440\u043d\u0430\u043b \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u043e\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u043a\u043d\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c\u0438 TeamViewer.<\/p>\n<\/li>\n<li>\n<p>\u0412 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u0441 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c <strong>pdll<\/strong> <br \/> (\u043e\u043d\u0438 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>RtlDecompressBuffer<\/code> \u0438 \u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0432 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 <strong>&#171;%system_directory%\\rundll32.exe&#187; -svcr &#171;%pdll-file%&#187;<\/strong>).<\/p>\n<\/li>\n<li>\n<p>\u0414\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0432\u0445\u043e\u0434\u044f\u0449\u0435\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0431\u0440\u0430\u043d\u0434\u043c\u0430\u0443\u044d\u0440\u0430 &#171;UniPrint Manager&#187;, \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u044e\u0449\u0435\u0435 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u0442\u0440\u0430\u0444\u0438\u043a \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 <strong>Uniprint.exe<\/strong>:<\/p>\n<\/li>\n<\/ul>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d27\/010\/4db\/d270104dbd33de70eb6e3334c0074c26.png\" width=\"447\" height=\"587\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d27\/010\/4db\/d270104dbd33de70eb6e3334c0074c26.png\"\/><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>\u0421\u043e\u0437\u0434\u0430\u0435\u0442 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043b\u0443\u0436\u0431\u0443 <strong>USBManager<\/strong> (\u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u043c\u043e\u0435 \u0438\u043c\u044f USB Ports Manager), \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 svchost.exe \u0432 \u0441\u0432\u043e\u0435\u0439 \u0433\u0440\u0443\u043f\u043f\u0435 \u2013 <strong>USBPortsManagerGrp<\/strong>. \u041a\u043e\u043c\u0430\u043d\u0434\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430: <strong>%%SYSTEMROOT%%\\system32\\svchost.exe -k &#171;USBPortsManagerGrp&#187; -svcr &#171;&lt;\u0438\u043c\u044f_\u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e_\u0444\u0430\u0439\u043b\u0430_TeamViewer>&#187;. <\/strong>\u0421\u043b\u0443\u0436\u0431\u0430 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u0435\u0442 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 (persistence) TeamBot \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0443\u0442\u0451\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 -svcr, \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u044e\u0449\u0435\u0433\u043e logon (\u0441\u043e\u0431\u044b\u0442\u0438\u0435 <strong>WTS_SESSION_LOGON<\/strong>) \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.<\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 &#171;<strong>UniPrint.exe f<\/strong>&#187; \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0432 \u043a\u043b\u044e\u0447 <strong>HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce.<\/strong><\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0442\u043e\u043a \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043a\u043e\u043c\u0430\u043d\u0434 \u0441 C2.<\/p>\n<\/li>\n<\/ul>\n<h3>\u0412\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441 C2<\/h3>\n<p>\u041f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b \u043e\u043f\u0440\u043e\u0441\u0430 C2 \u2013 60 \u0441\u0435\u043a\u0443\u043d\u0434. \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043c\u043e\u0436\u0435\u0442 \u0438\u0437\u043c\u0435\u043d\u044f\u0442\u044c\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0438 \u043d\u043e\u0432\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 C2. \u0415\u0441\u043b\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043c\u0435\u043d\u044c\u0448\u0435 10 \u0441\u0435\u043a\u0443\u043d\u0434, \u0442\u043e \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b \u043e\u043f\u0440\u043e\u0441\u0430 \u0441\u043d\u043e\u0432\u0430 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.<\/p>\n<p>\u041f\u0440\u0438 \u043a\u0430\u0436\u0434\u043e\u043c \u043e\u043f\u0440\u043e\u0441\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f:<\/p>\n<ul>\n<li>\n<p>\u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 C2;<\/p>\n<\/li>\n<li>\n<p>\u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0430 TeamBot \u0432 <strong>TeamViewer.ini<\/strong>;<\/p>\n<\/li>\n<li>\n<p>\u0430\u043a\u0442\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2.<\/p>\n<\/li>\n<\/ul>\n<p>\u0421\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u043d\u0430 C2 (\u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u0440\u0430\u0437\u043c\u0435\u0440 \u2013 4096 \u0431\u0430\u0439\u0442):<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p><strong>\u041f\u043e\u043b\u0435 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0437\u0430\u043f\u0440\u043e\u0441\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>word data_size<\/p>\n<\/td>\n<td>\n<p>\u0440\u0430\u0437\u043c\u0435\u0440 \u043f\u0430\u043a\u0435\u0442\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword magic<\/p>\n<\/td>\n<td>\n<p>0x832EB9B<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>word reserved<\/p>\n<\/td>\n<td>\n<p>0x0102 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char reserved<\/p>\n<\/td>\n<td>\n<p>0x01 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char bool_svc_created_and_running<\/p>\n<\/td>\n<td>\n<p>0x1, \u0435\u0441\u043b\u0438 \u0441\u043b\u0443\u0436\u0431 <strong>USBManager<\/strong> \u0441\u043e\u0437\u0434\u0430\u043d\u0430 <br \/>\u0438 \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char is_WoW64_process<\/p>\n<\/td>\n<td>\n<p>0x1, \u0435\u0441\u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 TeamViewer \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u043d\u0430   64-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u043e\u0439 \u041e\u0421.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char is_local_admin<\/p>\n<\/td>\n<td>\n<p>0x1, \u0435\u0441\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0447\u043b\u0435\u043d \u0433\u0440\u0443\u043f\u043f\u044b \u00ab\u0410\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b\u00bb<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char is_elevated_token<\/p>\n<\/td>\n<td>\n<p>0x1, \u0435\u0441\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0438\u043c\u0435\u0435\u0442 \u043f\u0440\u0430\u0432\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char c2_action_return_code<\/p>\n<\/td>\n<td>\n<p>0x0 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/p>\n<p>\u043a\u043e\u0434 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b,   \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u0439 \u0441 \u04212<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char bool_is_vpn_service_installed<\/p>\n<\/td>\n<td>\n<p>0x1, \u0435\u0441\u043b\u0438   \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f \u0441\u043b\u0443\u0436\u0431\u0430 <strong>teamviewervpn<\/strong> (\u0435\u0441\u0442\u044c C2-\u043a\u043e\u043c\u0430\u043d\u0434\u0430 <strong>vpn<\/strong>).<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>word reserved<\/p>\n<\/td>\n<td>\n<p>0x0 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char reserved<\/p>\n<\/td>\n<td>\n<p>0x17 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char   is_workstation_or_server<\/p>\n<\/td>\n<td>\n<p>\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f c \u043f\u043e\u043c\u043e\u0449\u044c\u044e <strong>Netapi32.NetServerGetInfo<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword mb_session_id<\/p>\n<\/td>\n<td>\n<p>0x0 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.<\/p>\n<p>\u0412\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0441\u0435\u0441\u0441\u0438\u0438. \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435   \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0441 C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword crc32_username_fqdn_hostname_sid<\/p>\n<\/td>\n<td>\n<p><strong>CRC32(&#171;username&#187;+&#187;fqdn_hostname&#187;+&#187;sid_str&#187;)<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword   win_major_version<\/p>\n<\/td>\n<td rowspan=\"3\">\n<p>\u0432\u0435\u0440\u0441\u0438\u044f \u0438 \u043d\u043e\u043c\u0435\u0440 \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u0438\u044f \u041e\u0421 Windows<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword   win_minor_version<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword   win_build_number<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword   screenshot_buffer_size<\/p>\n<\/td>\n<td>\n<p>\u0440\u0430\u0437\u043c\u0435\u0440 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0430 \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430 \u0432   \u0431\u0430\u0439\u0442\u0430\u0445<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword   c2_action_output_buffer_size<\/p>\n<\/td>\n<td>\n<p>0x0 \u043f\u043e   \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.<\/p>\n<p>\u0420\u0430\u0437\u043c\u0435\u0440 \u0431\u0443\u0444\u0435\u0440\u0430, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0435\u0433\u043e \u0432\u044b\u0432\u043e\u0434 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u043e\u0439   \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u0439 \u0441 C2.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>dword   cleartext_user_password_length<\/p>\n<\/td>\n<td>\n<p>\u0414\u043b\u0438\u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0430\u0440\u043e\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438\u0437 \u0440\u0430\u0437\u0434\u0435\u043b\u0430   <strong>[PWD]<\/strong> \u0444\u0430\u0439\u043b\u0430 <strong>TeamViewer.ini<\/strong> \u0434\u043b\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f   <strong>fqdn_hostname\\username<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char username[]<\/p>\n<\/td>\n<td>\n<p>\u0418\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char   fqdn_hostname[]<\/p>\n<\/td>\n<td>\n<p><strong>hostname<\/strong> \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 <strong>ComputerNameDnsFullyQualified<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char   lowercased_locale[]<\/p>\n<\/td>\n<td>\n<p>\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043b\u043e\u043a\u0430\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u043d\u0438\u0436\u043d\u0435\u043c   \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char   cleartext_user_password[] (if length != 0)<\/p>\n<\/td>\n<td>\n<p>\u041f\u0430\u0440\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438\u0437 \u0440\u0430\u0437\u0434\u0435\u043b\u0430 <strong>[PWD]<\/strong> \u0444\u0430\u0439\u043b\u0430 <strong>TeamViewer.ini<\/strong> \u0434\u043b\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f   <strong>fqdn_hostname\\username<\/strong> \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char fg_window_titlebar_text[]<\/p>\n<\/td>\n<td>\n<p>\u0422\u0435\u043a\u0441\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char   tv_file_full_path[]<\/p>\n<\/td>\n<td>\n<p>\u041f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u043a \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 TeamViewer (<strong>Uniprint.exe<\/strong>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char TV_ID[]<\/p>\n<\/td>\n<td rowspan=\"2\">\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 TeamViewer ID \u0438 \u043f\u0430\u0440\u043e\u043b\u044f   \u043a\u043b\u0438\u0435\u043d\u0442\u0430 TeamViewer \u0434\u043b\u044f   \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0436\u0435\u0440\u0442\u0432\u0435.<\/p>\n<p>TeamBot \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442   \u044d\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0437 \u043d\u0435\u0432\u0438\u0434\u0438\u043c\u043e\u0433\u043e \u0433\u043b\u0430\u0432\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"306\" width=\"306\">\n<p>char   TV_password[]<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u043f\u0435\u0440\u0435\u0434 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u043e\u0439 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 RC4. \u041a\u043b\u044e\u0447 \u2013 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0435 \u0438\u043c\u044f C2 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, <strong>&#171;widolapsed[.]info&#187;<\/strong>).<\/p>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043f\u043e \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0443 http\/https (\u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438) POST-\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0444\u043e\u0440\u043c\u0430\u0442\u0430:<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/b3b\/92d\/49b\/b3b92d49b2049ba42bb2bab10c087cc0.png\" width=\"894\" height=\"245\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b3b\/92d\/49b\/b3b92d49b2049ba42bb2bab10c087cc0.png\"\/><figcaption><\/figcaption><\/figure>\n<p><u>\u0424\u043e\u0440\u043c\u0430\u0442 \u0437\u0430\u043f\u0440\u043e\u0441\u0430:<\/u><\/p>\n<p>\u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438:<\/p>\n<p><em>POST \/C4E23A5C\/ HTTP\/1.1<\/em><\/p>\n<p><em>Cache-Control: no-cache<\/em><\/p>\n<p><em>Content-Length: 37194<\/em><\/p>\n<p><em>Content-Type: multipart\/form-data; boundary<\/em><strong><em>=&#8212;&#8212;&#8212;&lt;random_dword_from_RtlRandom><\/em><\/strong><\/p>\n<p><em>User-Agent: Mozilla\/4.0 (compatible; MSIE 6.0; DynGate)<\/em><\/p>\n<p><em>Host: <\/em><strong><em>widolapsed.info (RC4_key)<\/em><\/strong><\/p>\n<p><em>Connection: close<\/em><\/p>\n<p><em>&#8212;&#8212;&#8212;-<\/em><strong><em>&lt;random_dword_from_RtlRandom><\/em><\/strong><\/p>\n<p><em>Content-Disposition: form-data; name=&#187;k&#187;<\/em><\/p>\n<p><em>Content-Type: text\/plain<\/em><\/p>\n<p><em>Content-Transfer-Encoding: binary<\/em><\/p>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435:<\/p>\n<p><em>RC4_encrypted_header RC4_encrypted_screenshot RC4_encrypted cmd_output<\/em><\/p>\n<p>\u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 User-Agent \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0430\u0433\u0435\u043d\u0442 TeamViewer \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430.<\/p>\n<p><u>\u0424\u043e\u0440\u043c\u0430\u0442 \u043e\u0442\u0432\u0435\u0442\u0430:<\/u><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p><strong>\u041f\u043e\u043b\u0435 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043e\u0442\u0432\u0435\u0442\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>dword magic<\/p>\n<\/td>\n<td>\n<p>\u0415\u0441\u043b\u0438 \u0440\u0430\u0432\u043d\u043e <strong>0x832EB9B<\/strong>, \u0442\u043e \u0437\u0430\u043f\u0438\u0441\u0430\u0442\u044c   \u043d\u043e\u0432\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b <strong>[Settings]<\/strong> \u0432 \u0444\u0430\u0439\u043b <strong>TeamViewer.ini<\/strong>   \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0441 \u04212 \u043f\u0440\u0438 \u0435\u0451 \u043d\u0430\u043b\u0438\u0447\u0438\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>word c2_poll_interval<\/p>\n<\/td>\n<td>\n<p>\u0418\u043d\u0442\u0435\u0440\u0432\u0430\u043b \u043e\u043f\u0440\u043e\u0441\u0430 C2 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>dword mb_session_id<\/p>\n<\/td>\n<td>\n<p>\u0412\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0441\u0435\u0441\u0441\u0438\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>char use_new_c2_delay_ht_value<\/p>\n<\/td>\n<td>\n<p>\u0417\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432 \u0447\u0430\u0441\u0430\u0445 \u043f\u0435\u0440\u0435\u0434 \u0441\u043c\u0435\u043d\u043e\u0439 \u0434\u0430\u043d\u043d\u044b\u0445   \u043e \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043a C2 (\u0434\u043e\u043c\u0435\u043d, \u043f\u0443\u0442\u044c, http\/https) \u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0435   \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u043e\u0442\u0432\u0435\u0442\u0435.<\/p>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <strong>&#171;ht&#187;<\/strong> \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 <strong>[Settings]<\/strong> \u0432 \u0444\u0430\u0439\u043b\u0435 <strong>TeamViewer.ini..<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>char bool_use_https_hsn_value<\/p>\n<\/td>\n<td>\n<p>\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043b\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b https \u043f\u0440\u0438 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0438 \u0441 C2. \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 &#171;hsn&#187; \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 <strong>[Settings]<\/strong> \u0432 \u0444\u0430\u0439\u043b\u0435 <strong>TeamViewer.ini<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>word c2_domain_length<\/p>\n<\/td>\n<td>\n<p>\u0414\u043b\u0438\u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0438 \u043d\u043e\u0432\u043e\u0433\u043e C2 \u0434\u043e\u043c\u0435\u043d\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>word c2_path_length<\/p>\n<\/td>\n<td>\n<p>\u0414\u043b\u0438\u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0438 \u043d\u043e\u0432\u043e\u0433\u043e C2 \u043f\u0443\u0442\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>word run_c2_dispatch_command_thread<\/p>\n<\/td>\n<td>\n<p>\u0418\u043c\u0435\u0435\u0442\u0441\u044f \u043b\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>char c2_domain_hdn_value[]<\/p>\n<\/td>\n<td>\n<p>\u0421\u0442\u0440\u043e\u043a\u0430 \u043d\u043e\u0432\u043e\u0433\u043e C2 \u0434\u043e\u043c\u0435\u043d\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>char c2_path_hpn_value[]<\/p>\n<\/td>\n<td>\n<p>\u0421\u0442\u0440\u043e\u043a\u0430 \u043d\u043e\u0432\u043e\u0433\u043e C2 \u043f\u0443\u0442\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"292\" width=\"292\">\n<p>char c2_cmd_string[]<\/p>\n<\/td>\n<td>\n<p>\u0421\u0442\u0440\u043e\u043a\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u0442 C2 \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435:<\/p>\n<p><strong>action_name action_arg1 action_arg2\u2026<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f TeamBot \u0432 ini-\u0444\u0430\u0439\u043b\u0435<\/h3>\n<p>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f TeamBot \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u0432 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435 <strong>TeamViewer.ini<\/strong>. \u041f\u043e\u043c\u0438\u043c\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 TeamViewer (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, <strong>LogIncomingConnections = 0<\/strong> \u0434\u043b\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439), \u0435\u0441\u0442\u044c \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438, \u043e\u0442\u043d\u043e\u0441\u044f\u0449\u0438\u0435\u0441\u044f \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u043a TeamBot:<\/p>\n<figure class=\"bordered\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/5ef\/441\/442\/5ef441442819a7dcbeb8eb2091841e7e.jpg\" width=\"351\" height=\"360\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/5ef\/441\/442\/5ef441442819a7dcbeb8eb2091841e7e.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0414\u043b\u044f \u043b\u0443\u0447\u0448\u0435\u0433\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440 \u0444\u043e\u0440\u043c\u0430\u0442\u0430 \u0438\u0445 \u0437\u0430\u043f\u0438\u0441\u0438.<\/p>\n<p><em>hdn \/ hdc \u2013 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e &#171;host domain new&#187; \u0438 &#171;host domain current&#187;.<\/em><\/p>\n<p><em>\u0421\u0438\u043c\u0432\u043e\u043b\u044b n \u0438 c \u043e\u0442\u0440\u0430\u0436\u0430\u044e\u0442 \u0442\u0438\u043f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430:<\/em><\/p>\n<p><em>\u0424\u043e\u0440\u043c\u0430\u0442 \u0437\u0430\u043f\u0438\u0441\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f:<\/em><\/p>\n<p><em>h&lt;parameter_name>&lt;parameter_type>, \u0433\u0434\u0435<\/em><\/p>\n<p><em>&lt;parameter_name> \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/em><\/p>\n<ul>\n<li>\n<p><em>d \u2013 domain;<\/em><\/p>\n<\/li>\n<li>\n<p>p \u2013 path;<\/p>\n<\/li>\n<li>\n<p><em>s \u2013 security.<\/em><\/p>\n<\/li>\n<\/ul>\n<p><em>&lt;parameter_type> \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/em><\/p>\n<ul>\n<li>\n<p><em>n (&#171;new&#187;) \u2013 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u043d\u0430 h \u0438 \u043e\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u043d\u0430 n, \u043e\u0442\u043d\u043e\u0441\u044f\u0442\u0441\u044f \u043a \u043d\u043e\u0432\u044b\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2;<\/em><\/p>\n<\/li>\n<li>\n<p><em>c (&#171;current&#187;) \u2013 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u043d\u0430 h \u0438 \u043e\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0435\u0441\u044f \u043d\u0430 c, \u043e\u0442\u043d\u043e\u0441\u044f\u0442\u0441\u044f \u043a \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u04212.<\/em><\/p>\n<\/li>\n<\/ul>\n<p>TeamBot \u043f\u0440\u0438 \u043a\u0430\u0436\u0434\u043e\u043c \u043e\u043f\u0440\u043e\u0441\u0435 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 C2 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 current-\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0438\u0437 ini-\u0444\u0430\u0439\u043b\u0430. \u0415\u0441\u043b\u0438 current-\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439 \u043d\u0435\u0442, \u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b C2, \u0432\u0448\u0438\u0442\u044b\u0435 \u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e DLL. \u041d\u043e\u0432\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043e\u0442 C2 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 new-\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0432 ini-\u0444\u0430\u0439\u043b\u0435 \u0438 \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f current-\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0441\u0442\u0443\u043f\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u043c\u0435\u043d\u0438, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c gd (\u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 unix timestamp). \u0421\u0445\u0435\u043c\u0430 \u0440\u043e\u0442\u0430\u0446\u0438\u0438 C2: <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/4a0\/0d1\/f89\/4a00d1f890093a1caba0d8160d30419f.jpg\" width=\"837\" height=\"821\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/4a0\/0d1\/f89\/4a00d1f890093a1caba0d8160d30419f.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0434 \u0441\u043f\u043e\u0439\u043b\u0435\u0440\u043e\u043c &#8212; \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 TeamBot \u0432 ini-\u0444\u0430\u0439\u043b\u0435. <\/p>\n<details class=\"spoiler\">\n<summary>\u0421\u043f\u043e\u0439\u043b\u0435\u0440<\/summary>\n<div class=\"spoiler__content\">\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"center\"><strong>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440   \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\"><strong><em>\u0420\u0430\u0437\u0434\u0435\u043b [Settings]<\/em><\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\">  <strong>new<\/strong> \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0437\u0430\u0434\u0430\u044e\u0442 \u043d\u043e\u0432\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2 \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0430\u043d\u0438\u044f \u0441\u0442\u0430\u0440\u044b\u0445              \u0434\u0430\u043d\u043d\u044b\u0445                                                <\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>hdn<\/p>\n<p>&#171;host   domain new&#187;<\/p>\n<\/td>\n<td>\n<p>\u0414\u043e\u043c\u0435\u043d C2.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440, <strong>reneagemones.info<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>hpn<\/p>\n<p>&#171;host path new&#187;<\/p>\n<\/td>\n<td>\n<p>\u041f\u0443\u0442\u044c   C2.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440,   <strong>\/C4E23A5C\/<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>hsn<\/p>\n<p>&#171;host security new&#187;<\/p>\n<\/td>\n<td>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c   \u043b\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b https \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u04212.<\/p>\n<p>\u041f\u043e   \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e 0x1<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p align=\"center\"><strong>                         current<\/strong> \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b<strong> <\/strong>\u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u044e\u0442 \u0442\u0435\u043a\u0443\u0449\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>hd\u0441<\/p>\n<p>&#171;host   domain current&#187;<\/p>\n<\/td>\n<td>\n<p>\u0414\u043e\u043c\u0435\u043d C2.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440, <strong>reneagemones.info<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>hp\u0441<\/p>\n<p>&#171;host path current&#187;<\/p>\n<\/td>\n<td>\n<p>\u041f\u0443\u0442\u044c   C2.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440,   <strong>\/C4E23A5C\/<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>hs\u0441<\/p>\n<p>&#171;host security current&#187;<\/p>\n<\/td>\n<td>\n<p>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c   \u043b\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b https \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u04212.<\/p>\n<p>\u041f\u043e   \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e 0x1<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p>\u0412\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>ht<\/p>\n<p>&#171;host time&#187;<\/p>\n<\/td>\n<td>\n<p>\u0412\u0440\u0435\u043c\u044f   \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0438 \u043f\u0435\u0440\u0435\u0434 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u00ab\u043d\u043e\u0432\u044b\u0445\u00bb \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2 \u0432 \u0447\u0430\u0441\u0430\u0445.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>gd<\/p>\n<\/td>\n<td>\n<p>\u041c\u0435\u0442\u043a\u0430   \u0432\u0440\u0435\u043c\u0435\u043d\u0438, \u043f\u043e\u0441\u043b\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a C2.<\/p>\n<p>\u0417\u0430\u0434\u0430\u0435\u0442\u0441\u044f   \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435 <strong>UNIX timestamp<\/strong>. <\/p>\n<p><strong>gd = current_unix_time + 3600 * ht<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>&lt;tv_vpn_service_name><\/p>\n<\/td>\n<td>\n<p>\u041f\u043e\u043b\u043d\u044b\u0439   \u043f\u0443\u0442\u044c \u0434\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u0447\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 vpn-\u0441\u043b\u0443\u0436\u0431\u044b TeamViewer.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440,   <strong>install.exe<\/strong> \u0438\u0437 \u0430\u0440\u0445\u0438\u0432\u0430 <strong>vpn.cab<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p><strong><em>\u0420\u0430\u0437\u0434\u0435\u043b [PWD]<\/em><\/strong><\/p>\n<p>\u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f \u043f\u0430\u0440\u043e\u043b\u0438 \u0443\u0447\u0435\u0442\u043d\u044b\u0445   \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0432\u0432\u043e\u0434\u0430 \u043f\u0430\u0440\u043e\u043b\u0435\u0439 \u0432 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0435   \u043e\u043a\u043d\u0430 \u0432\u0432\u043e\u0434\u0430 \u043f\u0430\u0440\u043e\u043b\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0436\u0435\u0442 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0442\u044c TeamBot<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>\u041a\u043b\u044e\u0447\u0438 \u0444\u043e\u0440\u043c\u0430\u0442\u0430<\/p>\n<p><strong>&lt;fqdn_formatted_hostname>\\<br \/>   &lt;username><\/strong><\/p>\n<\/td>\n<td>\n<p>\u041f\u0430\u0440\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435, \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0439   \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0445 \u043e\u043a\u043e\u043d \u043d\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u043c \u0440\u0430\u0431\u043e\u0447\u0435\u043c \u0441\u0442\u043e\u043b\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\">\n<p><strong><em>\u0420\u0430\u0437\u0434\u0435\u043b\u044b [&lt;SID_string>],<\/em><\/strong><\/p>\n<p>\u0413\u0434\u0435 &lt;SID_string>   \u2013 SID-\u0441\u0442\u0440\u043e\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>gd<\/p>\n<\/td>\n<td>\n<p>\u0421\u043b\u0443\u0447\u0430\u0439\u043d\u043e   \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 ID-\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432   ini-\u0444\u0430\u0439\u043b \u043f\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u0435 <strong>0x5D22927C (&#171;genid&#187;)<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<\/details>\n<h3>\u0421\u043f\u0438\u0441\u043e\u043a \u043a\u043e\u043c\u0430\u043d\u0434<\/h3>\n<p>\u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0432 \u043e\u0442\u0432\u0435\u0442\u0435 C2 \u2013 \u0441\u0442\u0440\u043e\u043a\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 \u0444\u043e\u0440\u043c\u0430\u0442\u0435: <code>action_name action_arg1 action_arg2\u2026<\/code><\/p>\n<p>\u0412\u043d\u0443\u0442\u0440\u0438 TeamBot \u043d\u0430\u0434 <code>action_name<\/code> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u043e\u0432\u0430\u043d\u0438\u044f:<\/p>\n<p><code>encrypted_action_name = CRC32(action_name) ^ xor_key<\/code>, \u0433\u0434\u0435 <code>xor_key = 0x435A88 (Uniprint.exe OptionalHeader.CheckSum)<\/code><strong> <\/strong>\u0438\u043b\u0438<strong> <\/strong><code>0x4B4CA51F (Uniprint.exe FileHeader.TimeDateStamp)<\/code>.<\/p>\n<p>\u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u0441\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 \u043a\u043e\u0434\u0435 TeamBot \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 4-\u0431\u0430\u0439\u0442\u043e\u0432\u044b\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438.<\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0438 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u0438 \u0432 <a href=\"https:\/\/blog.avast.com\/a-deeper-look-into-malware-abusing-teamviewer\">\u0441\u0442\u0430\u0442\u044c\u0435<\/a> \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Avast \u0432 2017 \u0433\u043e\u0434\u0443 : <em>\u00abThe communication via the TeamViewer chat allows for the basic backdoor functionalities to be performed: applist, wcmd, ver, os, vpn, locale, time, webcam, genid. Inside the TeamSpy code, these commands are compared to their crc32 checksums, so collisions can very easily happen. Because crc32(wcmd) = 07B182EB = crc32(aacvqdz), both of these commands are interchangeable.\u00bb<\/em><\/p>\n<p><strong>\u0422\u0430\u0431\u043b\u0438\u0446\u0430 \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0439 \u043a\u043e\u043c\u0430\u043d\u0434 TeamBot<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p><strong>\u041a\u043e\u043c\u0430\u043d\u0434\u044b \u0438\u0437 \u0441\u0442\u0430\u0442\u044c\u0438 Avast 2017<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041a\u043e\u043c\u0430\u043d\u0434\u044b TeamBot 2021<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>wcmd<\/p>\n<\/td>\n<td>\n<p>cmdw<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>vpn<\/p>\n<\/td>\n<td>\n<p>vpn<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>genid<\/p>\n<\/td>\n<td>\n<p>genid<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><strong>\u041a\u043e\u043c\u0430\u043d\u0434\u044b TeamBot 2021<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p align=\"center\">\n<p align=\"center\"><strong>\u041a\u043e\u043c\u0430\u043d\u0434\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\" data-colwidth=\"215,0\" width=\"215\">\n<p align=\"center\"><strong><em>\u0421\u0435\u0440\u0432\u0438\u0441\u043d\u044b\u0435 (utility) \u043a\u043e\u043c\u0430\u043d\u0434\u044b<\/em><\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>kill<\/p>\n<p>0x076A0CE1<\/p>\n<\/td>\n<td>\n<p>\u0421\u0430\u043c\u043e\u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>update<\/p>\n<p>0x98666FF0<\/p>\n<\/td>\n<td>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043d\u0435\u0442, \u0442\u043e \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u0430\u0442\u044c   \u0444\u0430\u0439\u043b update.cab \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL \u0438 \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u0435\u0433\u043e. \u0418\u043d\u0430\u0447\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c cab-\u0444\u0430\u0439\u043b \u0441 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e URL   \u0432 \u0444\u0430\u0439\u043b \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <strong>u%long_int_value_from_RtlRandom%.cab<\/strong>, \u0434\u0430\u043b\u0435\u0435 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u0438 \u0443\u0434\u0430\u043b\u0438\u0442\u044c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>stop<\/p>\n<p>0xB9154C3E<\/p>\n<\/td>\n<td>\n<p>\u041e\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u0441\u043b\u0443\u0436\u0431\u044b <strong>USBManager<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>reboot<\/p>\n<p>0xC110DE04<\/p>\n<\/td>\n<td>\n<p>\u041f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0445\u043e\u0441\u0442\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>poweroff<\/p>\n<p>0xE6F1017F<\/p>\n<\/td>\n<td>\n<p>\u0412\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0445\u043e\u0441\u0442\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>genid<\/p>\n<p>0x5D22927C<\/p>\n<\/td>\n<td>\n<p>\u0421\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 ID \u0442\u0435\u043a\u0443\u0449\u0435\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0438 \u0437\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u0435\u0433\u043e \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 gd \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 [SID-str] \u0432 -\u0444\u0430\u0439\u043b TeamViewer.ini. <\/p>\n<p>\u041f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 TeamViewer \u0441 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u043c &#187; w 5&#8243;<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\" data-colwidth=\"215,0\" width=\"215\">\n<p align=\"center\"><strong><em>\u041a\u043e\u043c\u0430\u043d\u0434\u044b   \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441 TeamViewer<\/em><\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>expired<\/p>\n<p>0x190CB7C3<\/p>\n<\/td>\n<td rowspan=\"2\">\n<p>\u0413\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u043d\u043e\u0432\u043e\u0433\u043e \u043f\u0430\u0440\u043e\u043b\u044f TeamViewer<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>genpass<\/p>\n<p>0x4231AB6<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>vpn<\/p>\n<p>0x2A4BA2D1<\/p>\n<\/td>\n<td>\n<p>\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430\/\u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u0441\u043b\u0443\u0436\u0431\u044b teamviewervpn<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>restart<\/p>\n<p>0xE7BA788F<\/p>\n<\/td>\n<td>\n<p>\u041f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\" data-colwidth=\"215,0\" width=\"215\">\n<p align=\"center\"><strong><em>\u041a\u043e\u043c\u0430\u043d\u0434\u044b \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \/ \u0437\u0430\u043f\u0443\u0441\u043a\u0430<\/em><\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>cmd<\/p>\n<p>0x2F1F4648<\/p>\n<\/td>\n<td>\n<p>cmd (no window,   without waiting for completion).<\/p>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0443\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e   ShellExecuteExA<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>cmdvw<\/p>\n<p>0x2965D6C5<\/p>\n<p>cmdwv<\/p>\n<p>0x4779D712<\/p>\n<\/td>\n<td>\n<p>cmdwv (w \u2013 wait   for completion, v \u2013 visible window).<\/p>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0443\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e   ShellExecuteExA<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>cmdw<\/p>\n<p>0x876BCF36<\/p>\n<\/td>\n<td>\n<p>cmdw (wait for completion).<\/p>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0443\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e   ShellExecuteExA<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>cmdv<\/p>\n<p>0xF06CFFA0<\/p>\n<\/td>\n<td>\n<p>cmdv (v \u2013 visible window, without waiting for completion).<\/p>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0443\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e   ShellExecuteExA<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>cmdr<\/p>\n<p>0xF7013BB9<\/p>\n<\/td>\n<td>\n<p>cmdr (r \u2013 result)<\/p>\n<p>\u0412 \u0442\u0438\u0445\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u0443 \u0441   \u043f\u043e\u043c\u043e\u0449\u044c\u044e CreateProcess \u0438 &#171;%system_dir%\/cmd.exe&#187; \/c.<\/p>\n<p>\u0412\u044b\u0432\u043e\u0434 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043d\u0430 \u04212<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>dwl<\/p>\n<p>0x94A62224<\/p>\n<\/td>\n<td>\n<p>dwl   (only download).<\/p>\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 C2 \u043d\u0430 \u0445\u043e\u0441\u0442 \u0436\u0435\u0440\u0442\u0432\u044b \u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>dwlr<\/p>\n<p>0xB3BEAFAE<\/p>\n<\/td>\n<td>\n<p>dwlr   (download and run).<\/p>\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0444\u0430\u0439\u043b \u0441 C2 \u0441 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e URL \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c   \u0432 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>dlldwlr<\/p>\n<p>0x539B9257<\/p>\n<\/td>\n<td>\n<p>\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c pdll-\u0444\u0430\u0439\u043b \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 C2 \u0432   \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0435\u0433\u043e.<\/p>\n<p>pdll-\u0444\u0430\u0439\u043b   \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 RtlDecompressBuffer \u0438   \u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 &#171;%system_directory%\\rundll32.exe&#187;   -svcr &#171;%pdll-file%&#187;<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>rundll<\/p>\n<p>0xDF32D24A<\/p>\n<\/td>\n<td>\n<p>\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0439 pdll-\u0444\u0430\u0439\u043b.<\/p>\n<p>pdll-\u0444\u0430\u0439\u043b   \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 RtlDecompressBuffer \u0438   \u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 &#171;%system_directory%\\rundll32.exe&#187;   -svcr &#171;%pdll-file%&#187;<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>killdll<\/p>\n<p>0xD4C57BA8<\/p>\n<\/td>\n<td>\n<p>\u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0441\u0435\u0445 pdll-\u0444\u0430\u0439\u043b\u043e\u0432   \u0438\u0437 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td colspan=\"2\" data-colwidth=\"215,0\" width=\"215\">\n<p align=\"center\"><strong><em>\u041e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0445 \u043e\u043a\u043e\u043d \u0441 \u043e\u0448\u0438\u0431\u043a\u0430\u043c\u0438<\/em><\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>fuac<\/p>\n<p>0xC52DEDF4<\/p>\n<\/td>\n<td rowspan=\"3\">\n<p>\u0414\u0430\u043d\u043d\u044b\u0435   \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043d\u0430 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u043c \u0440\u0430\u0431\u043e\u0447\u0435\u043c \u0441\u0442\u043e\u043b\u0435 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445   \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0445 \u043e\u043a\u043e\u043d \u0441 \u0432\u0432\u043e\u0434\u043e\u043c \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0430\u0440\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432   \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435. \u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432\u044b\u0439\u0442\u0438 \u0438\u0437 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430 \u043c\u043e\u0436\u043d\u043e   \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e\u043c \u0432\u0432\u043e\u0434\u0435 \u043f\u0430\u0440\u043e\u043b\u044f. \u0412 \u043f\u0440\u043e\u0442\u0438\u0432\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0435\u0433\u043e   \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u044b\u0439 \u0432\u0432\u043e\u0434. \u00a0\u041f\u0430\u0440\u043e\u043b\u044c \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432   \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b [PWD] \u0432 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 &lt;fqdn_formatted_hostname>\\&lt;username> \u0432 \u0444\u0430\u0439\u043b TeamViewer.ini.<\/p>\n<p>\u00a0   <\/p>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b   \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0437\u043e\u0432 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 #401 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL \u0441 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438:<\/p>\n<p>&#171;%system_dir%\\rundll32.exe&#187;   &#171;%TV_dll_full_path%&#187;,#401 &lt;cmd_argument>   &#171;%TV_executable_full_path%&#187;,<\/p>\n<p>\u0433\u0434\u0435 &lt;cmd_argument> \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442   \u043a\u043e\u043c\u0430\u043d\u0434\u044b:<\/p>\n<p>fuac \u2013 u;<\/p>\n<p>fake \u2013 f;<\/p>\n<p>ferror \u2013 e.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>fake<\/p>\n<p>0xCD8EABE7<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"215\" width=\"215\">\n<p>ferror<\/p>\n<p>0xF4D35C00<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u044b \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0445 \u043e\u043a\u043e\u043d: <\/p>\n<p>\u0410\u0440\u0433\u0443\u043c\u0435\u043d\u0442 &#171;f&#187; \u0431\u0435\u0437 \u043f\u0440\u0430\u0432 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/fba\/449\/062\/fba449062c086705b1d5be10162a5b0c.jpg\" width=\"1082\" height=\"760\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/fba\/449\/062\/fba449062c086705b1d5be10162a5b0c.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u0438 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u043e\u0431 \u043e\u0448\u0438\u0431\u043a\u0430\u0445:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/aa5\/144\/e3c\/aa5144e3c95fa630dd5374edd47c1c6b.png\" width=\"1050\" height=\"770\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/aa5\/144\/e3c\/aa5144e3c95fa630dd5374edd47c1c6b.png\"\/><figcaption><\/figcaption><\/figure>\n<h2>\u0412\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044f\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u0435\u0431-\u043f\u0430\u043d\u0435\u043b\u0438 C2<\/h2>\n<p>\u041d\u0430 C2 \u0442\u0430\u043a\u0436\u0435 \u0431\u044b\u043b \u043f\u043e\u0434\u043d\u044f\u0442 \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440. \u041f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 URL \u04212 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0444\u043e\u0440\u043c\u0430 \u0441 \u043b\u043e\u0433\u0438\u043d\u043e\u043c, \u043f\u0430\u0440\u043e\u043b\u0435\u043c \u0438 CAPTCHA. \u041b\u043e\u0433\u0438\u043d\u0430 \u0438 \u043f\u0430\u0440\u043e\u043b\u044f \u0443 \u043d\u0430\u0441 \u043d\u0435 \u0431\u044b\u043b\u043e, \u043d\u043e \u043c\u044b \u0437\u0430\u043c\u0435\u0442\u0438\u043b\u0438, \u0447\u0442\u043e \u0441\u0440\u0435\u0434\u0438 \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0438\u0438 \u043f\u0430\u043d\u0435\u043b\u0438 \u043b\u043e\u0433\u0438\u043d\u0430, \u0431\u044b\u043b js-\u0441\u043a\u0440\u0438\u043f\u0442 main.js \u043d\u0430 ~3700 \u0441\u0442\u0440\u043e\u043a. \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u0444\u0430\u0439\u043b\u0430 \u0431\u044b\u043b\u0430 \u0432\u0438\u0434\u043d\u0430 \u0432\u0435\u0440\u0441\u0438\u044f \u0431\u043e\u0442\u043d\u0435\u0442\u0430:<\/p>\n<figure class=\"bordered full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/e2c\/ca9\/8a8\/e2cca98a86e7d684c23d0953f41bf2ba.jpg\" width=\"1266\" height=\"507\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e2c\/ca9\/8a8\/e2cca98a86e7d684c23d0953f41bf2ba.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0424\u0430\u0439\u043b \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0430\u043b\u0441\u044f \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0433\u043e \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0430 \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 \u0432 \u043f\u0430\u043d\u0435\u043b\u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u043c, \u043d\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b \u0441\u0430\u043c\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445, \u043d\u043e \u0440\u0430\u0441\u043a\u0440\u044b\u0432\u0430\u043b \u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443.<\/p>\n<p>\u0421\u0443\u0434\u044f \u043f\u043e \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u043c\u0443 js-\u0444\u0430\u0439\u043b\u0443 \u0432\u0435\u0431-\u043f\u0430\u043d\u0435\u043b\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f TeamBot \u0438\u043c\u0435\u043b\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438:<\/p>\n<ul>\n<li>\n<p>\u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438;<\/p>\n<\/li>\n<li>\n<p>\u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043a\u0430\u043a \u043e\u0434\u043d\u0438\u043c \u0431\u043e\u0442\u043e\u043c, \u0442\u0430\u043a \u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c\u0438;<\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043f\u043e \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0432\u0437\u044f\u0442\u043e\u043c\u0443 \u0431\u043e\u0442\u0443;<\/p>\n<\/li>\n<li>\n<p>\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \/ \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u0447;<\/p>\n<\/li>\n<li>\n<p>\u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438;<\/p>\n<\/li>\n<li>\n<p>\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 telegram-\u0431\u043e\u0442\u0430.<\/p>\n<\/li>\n<\/ul>\n<p><strong>POST-\u043c\u0435\u0442\u043e\u0434\u044b \u043f\u0430\u043d\u0435\u043b\u0438 \u0431\u043e\u0442\u043d\u0435\u0442\u0430:<\/strong><\/p>\n<p>timezones, getbots, comment, screenshot, gettasks, getgtasks, cleartask, addtask, addgtask, removetask, removegtask, remove, logout, getfiles, uploadfile, removefile, removeuser, tgbotstate<\/p>\n<p><strong>GET-\u043c\u0435\u0442\u043e\u0434 \u043f\u0430\u043d\u0435\u043b\u0438 \u0431\u043e\u0442\u043d\u0435\u0442\u0430<\/strong> \u2013 statistic.<\/p>\n<p><strong>\u041f\u043e\u043b\u044f \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0431\u043e\u0442\u043e\u0432:<\/strong><\/p>\n<p>bot_id, ip, country, os, lastwnd, runasadmin, tasks, comment, added_dt, last_dt, id, country_code, city, type, osmajor, osminor, oswks, osbuild, os64, lang, lang_code, service, compname, region, admin, username, cmdsupport, killsupport, screensm, vpn, dllmajor, dllminor, build, bot_pass, userpass.<\/p>\n<p><strong>\u041f\u043e\u043b\u044f \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0444\u0430\u0439\u043b\u043e\u0432:<\/strong><\/p>\n<p>id, date_added, user, filetype, filename, len, hash.<\/p>\n<p><strong>\u041f\u043e\u043b\u044f \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439:<\/strong><\/p>\n<p>id, login, lonline, roles.<\/p>\n<p><strong>\u0422\u0438\u043f\u044b \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438<\/strong><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/2ed\/18f\/dac\/2ed18fdacc08cb32ce0d390419537667.jpg\" width=\"1139\" height=\"782\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/2ed\/18f\/dac\/2ed18fdacc08cb32ce0d390419537667.jpg\" data-blurred=\"true\"\/><figcaption><\/figcaption><\/figure>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>\u0421 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0439 \u0434\u043e\u043b\u0435\u0439 \u0443\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043c\u043e\u0436\u043d\u043e \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u0432 \u0430\u0442\u0430\u043a\u0430\u0445 2017 \u00a0(\u043e\u0442\u0447\u0435\u0442 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Avast), 2020 (\u043e\u0442\u0447\u0435\u0442 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Dr.Web) \u0438 2021 \u0433\u043e\u0434\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u043e\u0434\u043d\u0430 \u043a\u043e\u0434\u043e\u0432\u0430\u044f \u0431\u0430\u0437\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0434\u043e\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u0430\u0441\u044c \u043f\u043e\u0434 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u043d\u0443\u0436\u0434\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432. \u041c\u044b \u0443\u0432\u0435\u0440\u0435\u043d\u044b, \u0447\u0442\u043e \u044d\u0442\u043e \u0435\u0449\u0451 \u043d\u0435 \u043a\u043e\u043d\u0435\u0446 \u0438\u0441\u0442\u043e\u0440\u0438\u0438 TeamBot, \u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0442 \u0435\u0433\u043e \u0434\u043e\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0442\u044c. \u041d\u043e \u0435\u0441\u0442\u044c \u0438 \u0445\u043e\u0440\u043e\u0448\u0438\u0435 \u043d\u043e\u0432\u043e\u0441\u0442\u0438: \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 DLL \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u0430\u043c\u0438.<\/p>\n<h2>P.S<\/h2>\n<h2>\u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 (IOC)<\/h2>\n<p>\u041e\u0431\u0440\u0430\u0437\u0446\u044b, \u0438\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u044b\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p><strong>\u0418\u043c\u044f \u0444\u0430\u0439\u043b\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>SHA256<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>\u041a\u043e\u043c\u043f\u043b\u0435\u043a\u0442   \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0443 \u043e\u0442 20.08.2021 \u0411\u041d.rar<\/p>\n<\/td>\n<td>\n<p>0dcdfffae1d38b64f5b5165d3415172db747b2126f36320427302d2f9e989227<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>\u041a\u043e\u043c\u043f\u043b\u0435\u043a\u0442   \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0443 \u043e\u0442 20.08.2021 \u0411\u041d.pdf.exe<\/p>\n<\/td>\n<td>\n<p>258b364ab27f67fe67b70169cbf89998ad2bcf6e348d05e9426c40463f4e65e9<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p>TV.dll<\/p>\n<\/td>\n<td>\n<p>34137ec65921ebd1b68d8b76e6900c9ce49a1be3690685cc84049936ad28f995<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><u>\u0425\u043e\u0441\u0442\u043e\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b:<\/u><\/p>\n<p>\u041a\u0430\u0442\u0430\u043b\u043e\u0433 %APPDATA%\\ViberPC\\icons\\<\/p>\n<p>\u041a\u0430\u0442\u0430\u043b\u043e\u0433 %PROGRAMDATA%\\ViberPC\\icons\\<\/p>\n<p>\u0413\u0440\u0443\u043f\u043f\u0430 USBPortsManagerGrp<\/p>\n<p>\u0421\u043b\u0443\u0436\u0431\u0430 USBManager (\u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 &#171;USB Ports Manager&#187;)<\/p>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u043e \u0431\u0440\u0430\u043d\u0434\u043c\u0430\u0443\u044d\u0440\u0430 &#171;UniPrint Manager&#187;<\/p>\n<p>\u00a0<u>\u0421\u0435\u0442\u0435\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u0438\u0437 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u043e\u0439 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL:<\/u><\/p>\n<p>widolapsed.info\/C4E23A5C\/<\/p>\n<p>outnegorave.info\/C4E23A5C\/<\/p>\n<p>reneagemones.info\/C4E23A5C\/<\/p>\n<p><u>\u0421\u0435\u0442\u0435\u0432\u044b\u0435 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u0438\u0437 \u0434\u0440\u0443\u0433\u0438\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438:<\/u><\/p>\n<p>45.147.229.222\/A9F5CA80\/<\/p>\n<p>tendiever.com\/update\/<\/p>\n<p>widolapsed.info\/B8C631A8\/<\/p>\n<p>novaleadfore.info\/C85A35E0\/<\/p>\n<p>sump.tech\/o2kmz\/<\/p>\n<p>outnegorave.info\/B8C631A8\/<\/p>\n<p>outnegorave.info\/DA560AB0\/<\/p>\n<p><strong><em>\u0410\u0432\u0442\u043e\u0440: \u0410\u043d\u0442\u043e\u043d\u00a0\u041a\u0430\u0440\u0433\u0438\u043d, \u0438\u043d\u0436\u0435\u043d\u0435\u0440 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f &#171;\u0420\u043e\u0441\u0442\u0435\u043b\u0435\u043a\u043e\u043c-\u0421\u043e\u043b\u0430\u0440&#187;<\/em><\/strong><\/p>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/652679\/\"> https:\/\/habr.com\/ru\/articles\/652679\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0412 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 2021 \u0433\u043e\u0434\u0430 \u043a \u043d\u0430\u043c \u0432 Solar JSOC CERT \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441: \u043e\u0434\u043d\u0430 \u043a\u0440\u0443\u043f\u043d\u0430\u044f \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u043e\u043f\u0440\u043e\u0441\u0438\u043b\u0430 \u043f\u043e\u043c\u043e\u0447\u044c \u0432 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430. \u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0441\u0442\u0430\u0440\u0443\u044e \u0437\u043d\u0430\u043a\u043e\u043c\u0443\u044e &#8212; \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e DLL TeamBot (aka TeamSpy, TVSPY, TeamViewerENT, TVRAT), \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430\u0441\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u043e\u0439 TeamViewer. \u042d\u0442\u043e \u0412\u041f\u041e \u0443\u0436\u0435 \u043b\u0435\u0442 10 \u0444\u0438\u0433\u0443\u0440\u0438\u0440\u0443\u0435\u0442 \u0432 \u043e\u0442\u0447\u0435\u0442\u0430\u0445 \u043a\u0430\u043a \u043e\u0442\u0435\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445, \u0442\u0430\u043a \u0438 \u0437\u0430\u0440\u0443\u0431\u0435\u0436\u043d\u044b\u0445 \u0418\u0411-\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439. \u041d\u043e \u0437\u0430 \u044d\u0442\u0438 \u0433\u043e\u0434\u044b TeamBot \u043d\u0430\u0443\u0447\u0438\u043b\u0441\u044f \u043a\u043e\u0435-\u0447\u0435\u043c\u0443 \u043d\u043e\u0432\u043e\u043c\u0443, \u043e \u0447\u0435\u043c \u043c\u044b \u0438 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0432 \u044d\u0442\u043e\u043c \u043f\u043e\u0441\u0442\u0435.<\/p>\n<h2>\u0412\u0435\u043a\u0442\u043e\u0440 \u0430\u0442\u0430\u043a\u0438<\/h2>\n<p>\u0418\u0442\u0430\u043a, TeamBot \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0444\u0438\u0448\u0438\u043d\u0433 (\u043a\u0430\u043a\u0430\u044f \u043d\u0435\u043e\u0436\u0438\u0434\u0430\u043d\u043d\u043e\u0441\u0442\u044c!). \u0412 \u043d\u0430\u0448\u0435\u043c \u043a\u0435\u0439\u0441\u0435 \u0436\u0435\u0440\u0442\u0432\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0438 \u0432\u043e\u0442 \u0442\u0430\u043a\u0438\u0435 \u043f\u0438\u0441\u044c\u043c\u0430:<\/p>\n<figure class=\"bordered\"><figcaption><\/figcaption><\/figure>\n<p>\u0410\u0440\u0445\u0438\u0432 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b &#171;<strong>\u041a\u043e\u0434 0921.txt<\/strong>&#171;, \u0438\u043c\u044f \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0430\u0440\u043e\u043b\u0435\u043c \u0434\u043b\u044f \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u043a\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 \u0441 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439.<\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u0430\u0440\u0445\u0438\u0432\u0430 \u0444\u0438\u0448\u0438\u043d\u0433\u043e\u0432\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430 \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 <a href=\"https:\/\/habr.com\/ru\/company\/drweb\/blog\/532444\/\">\u0441\u0442\u0430\u0442\u044c\u0435<\/a> \u043d\u0430\u0448\u0438\u0445 \u043a\u043e\u043b\u043b\u0435\u0433 \u0438\u0437 Dr.Web. <em>\u00ab\u0412 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u043d\u043e\u043c \u0430\u0440\u0445\u0438\u0432\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u044b\u0439 RAR-\u0430\u0440\u0445\u0438\u0432 \u0438 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 \u043f\u0430\u0440\u043e\u043b\u0435\u043c. \u0412 \u0430\u0440\u0445\u0438\u0432\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u0440\u043e\u043f\u043f\u0435\u0440 \u0432 \u0432\u0438\u0434\u0435 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e\u0441\u044f RAR\u2019\u0430, \u0432\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043b\u0435\u0436\u0438\u0442 \u0441\u0430\u043c BackDoor.RMS.180.\u00bb<\/em><\/p>\n<p>\u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0430\u0440\u0445\u0438\u0432\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b \u0438\u0437 \u0441\u0435\u0431\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0449\u0438\u043a NSIS (Nullsoft Scriptable Install System \u2013 <a href=\"https:\/\/nsis.sourceforge.io\">https:\/\/nsis.sourceforge.io<\/a>), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0432 \u0442\u0438\u0445\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0430\u0439\u043b\u044b \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <strong>%PROGRAMDATA%\\ViberPC\\icons<\/strong>:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p><strong>\u0424\u0430\u0439\u043b<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>Teamviewer_Resource_ja.dll<\/p>\n<\/td>\n<td>\n<p>\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 DLL-\u0444\u0430\u0439\u043b TeamViewer 5.0.7687.0,   \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0439 \u0434\u043b\u044f \u0435\u0433\u043e \u0440\u0430\u0431\u043e\u0442\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>TV.dll<\/p>\n<\/td>\n<td>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 DLL-\u0444\u0430\u0439\u043b TeamBot<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>Uniprint.exe<\/p>\n<\/td>\n<td>\n<p>TeamViewer Quick Support (TVQS) 5.0.7687.0<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"240\" width=\"240\">\n<p>vpn.cab<\/p>\n<\/td>\n<td>\n<p>\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 cab-\u0430\u0440\u0445\u0438\u0432 \u0441 \u0444\u0430\u0439\u043b\u0430\u043c\u0438 \u0434\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 vpn-\u0430\u0434\u0430\u043f\u0442\u0435\u0440\u0430   TeamViewer<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b <strong>Uniprint.exe<\/strong> (\u0434\u0430\u043b\u0435\u0435 \u2013 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 TeamViewer) \u0441 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u043c <strong>f<\/strong>:\u00a0 <strong>UniPrint.exe f<\/strong>. <\/p>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL, \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u0430\u044f \u0440\u044f\u0434\u043e\u043c \u0441 <strong>Uniprint.exe<\/strong>, \u0447\u0435\u0440\u0435\u0437 \u0442\u0435\u0445\u043d\u0438\u043a\u0443 DLL Hijacking \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430\u0441\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c TeamViewer.<\/p>\n<p>\u0412 \u0441\u0442\u0430\u0442\u044c\u0435 Dr.Web, \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0439 \u0432\u044b\u0448\u0435, \u0432 \u0441\u043e\u0441\u0442\u0430\u0432\u0435 BackDoor.RMS.180 \u0434\u043b\u044f \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 \u0438\u043c\u044f \u2013 <strong>Uniprint.exe<\/strong>:<\/p>\n<p><em>\u00ab\u0421\u043e\u0441\u0442\u0430\u0432 \u0441\u0430\u043c\u043e\u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e\u0441\u044f \u0434\u0440\u043e\u043f\u043f\u0435\u0440\u0430:<\/em><\/p>\n<p><em>libeay32.dll (f54a31a9211f4a7506fdecb5121e79e7cdc1022e), \u0447\u0438\u0441\u0442\u044b\u0439;<\/em><\/p>\n<p><em>ssleay32.dll (18ee67c1a9e7b9b82e69040f81b61db9155151ab), \u0447\u0438\u0441\u0442\u044b\u0439;<\/em><\/p>\n<p><em>UniPrint.exe (71262de7339ca2c50477f76fcb208f476711c802), \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e;<\/em><\/p>\n<p><em>WinPrint.exe (3c8d1dd39b7814fdc0792721050f953290be96f8), \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e;<\/em><\/p>\n<p><em>winspool.drv (c3e619d796349f2f1efada17c9717cf42d4b77e2) \u2014 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c, \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0439 \u0441\u043a\u0440\u044b\u0442\u0443\u044e \u0440\u0430\u0431\u043e\u0442\u0443 Remote Utilities.\u00bb<\/em><\/p>\n<h2>\u0410\u043d\u0430\u043b\u0438\u0437 TV.dll<\/h2>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u2013 32-\u0440\u0430\u0437\u0440\u044f\u0434\u043d\u044b\u0439 \u0444\u0430\u0439\u043b, \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 31.08.2021 07:21:32 UTC. \u041e\u043d \u0438\u043c\u0435\u0435\u0442 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u044b\u0435 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 DLL \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 pdb-\u043f\u0443\u0442\u044c, \u043d\u043e \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043e\u0442\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f, \u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442. C\u0440\u0430\u0432\u043d\u0438\u0442\u0435:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0414\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 <strong>TV.dll<\/strong> \u0431\u044b\u043b\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"92\" width=\"92\">\n<p>MD5<\/p>\n<\/td>\n<td>\n<p> 2f87102bd8f9c562155932dc64bb2074<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"92\" width=\"92\">\n<p>SHA-1<\/p>\n<\/td>\n<td>\n<p>31397b16d0bb02c0f62a6cb1fbdfbaf8318e397e<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"92\" width=\"92\">\n<p>SHA-256 <\/p>\n<\/td>\n<td>\n<p>49476faa2316fead6927512a39a5e72c0c0b72959ab127d3e1fb760b7d78500c\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0422\u0435\u0445\u043d\u0438\u043a\u0438 \u0434\u043b\u044f \u0443\u0441\u043b\u043e\u0436\u043d\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 (anti-analysis)<\/h3>\n<p>1. <u>\u0428\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u043f\u0443\u0442\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f (\u0434\u0430\u043b\u0435\u0435 \u2013 C2).<\/u><\/p>\n<p>\u0414\u043b\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u044f NOT \u043a \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u0431\u0430\u0439\u0442\u0443 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u043f\u0443\u0442\u0438 C2. \u0412 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u0446\u0430\u0445 \u0434\u0430\u043d\u043d\u044b\u0435 C2 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432 \u043d\u0435\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0448\u0438\u0444\u0440\u0443\u044e\u0442\u0441\u044f. \u0417\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d \u0438 \u043f\u0443\u0442\u044c \u04212 \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u0440\u0430\u0441\u043f\u043e\u043b\u0430\u0433\u0430\u044e\u0442\u0441\u044f \u0440\u044f\u0434\u043e\u043c \u0438 \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u044b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c\u0438 0x00-\u0431\u0430\u0439\u0442\u0430\u043c\u0438:<\/p>\n<figure class=\"bordered full-width\"><figcaption><\/figcaption><\/figure>\n<p>2. <u>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 StrChr + wsprintf<\/u><\/p>\n<p>\u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0439 <strong>StrChr<\/strong> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0438\u0441\u043a \u043d\u0443\u0436\u043d\u044b\u0445 \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a, \u0430 <strong>wsprintf<\/strong> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438.<\/p>\n<figure class=\"bordered full-width\"><figcaption><\/figcaption><\/figure>\n<p>3. <u>\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0445\u0435\u0448\u0435\u0439 API-\u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u043f\u0440\u0438 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u0438\u043c\u043f\u043e\u0440\u0442\u0435<\/u><\/p>\n<p>\u041f\u0441\u0435\u0432\u0434\u043e\u043a\u043e\u0434 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430 \u0445\u0435\u0448\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f:<\/p>\n<p><code>api_hash = crc32(\"&lt;api_name>\") ^ xor_key<\/code><strong>,<\/strong><\/p>\n<p>\u0433\u0434\u0435 <code>&lt;api_name><\/code><strong> \u2013<\/strong> \u0438\u043c\u044f API-\u0432\u044b\u0437\u043e\u0432\u0430, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, <code>LoadLibraryA<\/code>;<\/p>\n<p><code>xor_key \u2013 0x435A88 (Uniprint.exe OptionalHeader.CheckSum)<\/code> \u0438\u043b\u0438 <code>0x4B4CA51F (Uniprint.exe FileHeader.TimeDateStamp)<\/code><strong>.<\/strong><\/p>\n<p>\u041a\u0441\u0442\u0430\u0442\u0438, \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043a\u043e\u0434\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0435 \u043e\u0442 C2.<\/p>\n<p>4. <u>\u041f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0440\u043e\u043a \u043f\u043e raw-\u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e \u0438\u0437 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e PE-\u0444\u0430\u0439\u043b\u0430<\/u><\/p>\n<p>\u0421\u0442\u0440\u043e\u043a\u0438 \u0431\u0435\u0440\u0443\u0442\u0441\u044f \u0438\u0437 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 <strong>TeamViewer.exe<\/strong> (\u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 <strong>Uniprint.exe<\/strong>) \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e.<\/p>\n<figure class=\"bordered full-width\"><figcaption><\/figcaption><\/figure>\n<p>5. <u>Anti-debug \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0438\u0441\u043a \u043e\u043a\u043d\u0430 OllyDbg, \u043d\u043e \u0441\u043e \u0441\u0432\u043e\u0438\u043c\u0438 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044f\u043c\u0438<\/u><\/p>\n<p>\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>FindWindow<\/code> \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u043e\u043a\u043e\u043d \u0441 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430\u043c\u0438 &#171;<strong>ollyDbG<\/strong>&#187; \u0438 &#171;<strong>ollyDb<\/strong>&#171;:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u2013 \u043f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043e\u043a\u043d\u0430 \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0442\u044c \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443 \u2013 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u044e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 xor-\u043a\u043b\u044e\u0447\u0430. \u0418\u0437-\u0437\u0430 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 API, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442, \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0445\u0443\u043a\u0438 \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u0430 \u0432\u0435\u0441\u044c \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u0432 \u0445\u0443\u043a\u0430\u0445.<\/p>\n<h3>\u041f\u0435\u0440\u0435\u0445\u0432\u0430\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 MinHook<\/h3>\n<p>\u0414\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0445\u0443\u043a\u043e\u0432 \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c <a href=\"https:\/\/github.com\/TsudaKageyu\/minhook\">MinHook<\/a>. \u0421\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043a\u043e\u0434\u0443 \u0432\u0438\u0434\u043d\u043e \u043d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435:<\/p>\n<figure class=\"bordered full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c BackDoor.RMS.180 \u0432 \u043a\u0435\u0439\u0441\u0435, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u043c Dr.Web: <em>\u00ab\u0414\u0430\u043b\u0435\u0435 \u043f\u0440\u0438\u0441\u0442\u0443\u043f\u0430\u0435\u0442 \u043a \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0443 API-\u0444\u0443\u043d\u043a\u0446\u0438\u0439. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 <\/em>MinHook<em>.\u00bb<\/em><\/p>\n<h3>\u041d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u044d\u0442\u0430\u043f \u0437\u0430\u043f\u0443\u0441\u043a\u0430<\/h3>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 Uniprint.exe (\u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 <strong>Teamviewer.exe)<\/strong> \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a:<\/p>\n<p><u>1. Killswitch-\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430<\/u><\/p>\n<p>\u041e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0444\u0430\u0439\u043b\u0430 <strong>foobar.jpg<\/strong> \u043d\u0430 \u0440\u0430\u0431\u043e\u0447\u0435\u043c \u0441\u0442\u043e\u043b\u0435 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041f\u0440\u0438 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u0444\u0430\u0439\u043b\u0430 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer.<\/p>\n<p><u>2. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer<\/u><\/p>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u0443\u0442\u0451\u043c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u043e\u0439 \u0441\u0443\u043c\u043c\u044b \u0444\u0430\u0439\u043b\u0430 \u0438\u043b\u0438 \u0434\u0430\u0442\u044b \u0435\u0433\u043e \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438:<\/p>\n<p><code>OptionalHeader.CheckSum == 0x435A88<\/code><\/p>\n<p><code>FileHeader.TimeDateStamp == 0x4B4CA51F (12.01.2010 16:36:47 UTC)<\/code><\/p>\n<p>\u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b \u0438 BackDoor.RMS.180 \u0438\u0437 \u043a\u0435\u0439\u0441\u0430 \u00a0Dr.Web: <em>\u00ab\u0417\u0430\u0442\u0435\u043c \u0431\u044d\u043a\u0434\u043e\u0440 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435 \u043a\u0430\u043a\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u043e\u043d \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 IMAGE_NT_HEADERS.OptionalHeader.CheckSum \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f:\u00bb<\/em><\/p>\n<p><em>\u00a0<\/em><u>3. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0440\u0435\u0436\u0438\u043c\u0430 Windows<\/u><\/p>\n<p>\u0422\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0440\u0435\u0436\u0438\u043c \u0432 Windows \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0434\u0440\u0430\u0439\u0432\u0435\u0440\u044b \u0431\u0435\u0437 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u0438.<\/p>\n<figure class=\"bordered full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0415\u0441\u043b\u0438 \u0434\u0430\u043d\u043d\u044b\u0439 \u0440\u0435\u0436\u0438\u043c \u0432\u043a\u043b\u044e\u0447\u0435\u043d, \u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 xor-\u043a\u043b\u044e\u0447\u0430.  \u0418\u0437-\u0437\u0430 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0438\u043c\u043f\u043e\u0440\u0442 API-\u0432\u044b\u0437\u043e\u0432\u043e\u0432  \u0438 \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0445\u0443\u043a\u0438 \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438.<\/p>\n<p>\u041a\u043e\u0433\u0434\u0430 \u0432\u0441\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0440\u043e\u0439\u0434\u0435\u043d\u044b, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0445\u0443\u043a\u043e\u0432 \u043d\u0430 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 WinAPI-\u0444\u0443\u043d\u043a\u0446\u0438\u0438.<\/p>\n<h3>\u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 TeamViewer \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c<\/h3>\n<p>\u0427\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0436\u0435\u0440\u0442\u0432\u0435, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u0440\u044b\u0439 \u0444\u0430\u0439\u043b <strong>Uniprint.exe<\/strong>. \u042d\u0442\u043e \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b TeamViewer QuickSupport 2010 \u0433\u043e\u0434\u0430 \u0432\u044b\u043f\u0443\u0441\u043a\u0430. \u0412\u0435\u0440\u0441\u0438\u044f \u0444\u0430\u0439\u043b\u0430 <strong>5.0.7687<\/strong>. \u0412\u0435\u0440\u043e\u044f\u0442\u043d\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0430\u043a\u043e\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043e\u0431\u0443\u0441\u043b\u043e\u0432\u043b\u0435\u043d\u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0435\u043c \u0432 \u043d\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043a \u0442\u0435\u0445\u043d\u0438\u043a\u0435 DLL Hijacking. \u041f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0431\u0435\u0437 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 <strong>TV.dll<\/strong> \u043e\u043d \u043d\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c TeamViewer, \u043d\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u0432 \u0440\u0435\u0436\u0438\u043c \u043e\u043d\u043b\u0430\u0439\u043d \u0438, \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f. <\/p>\n<p>\u0412 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u043c\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 TeamBot \u0440\u044f\u0434\u043e\u043c \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL \u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c TeamViewer \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0430\u0441\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f DLL Teamviewer_Resource_ja.dll, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b\u0430 \u0432 \u0441\u0435\u0431\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 TeamViewer \u043d\u0430 \u044f\u043f\u043e\u043d\u0441\u043a\u043e\u043c \u044f\u0437\u044b\u043a\u0435. \u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u044d\u0442\u043e \u0431\u044b\u043b\u043e \u0441\u0434\u0435\u043b\u0430\u043d\u043e \u0434\u043b\u044f \u0443\u0441\u043b\u043e\u0436\u043d\u0435\u043d\u0438\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0441 TeamViewer. \u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 TeamViewer \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0431\u0435\u0437 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432\u0435\u0440\u0441\u0438\u0438 (\u0434\u043b\u044f \u0443\u0434\u043e\u0431\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u0441\u043f\u0440\u0430\u0432\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u0430\u043d\u0433\u043b\u043e\u044f\u0437\u044b\u0447\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b):<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u0442\u0430\u043a\u043e\u0439 \u0441\u0442\u0430\u0440\u044b\u0439 \u0444\u0430\u0439\u043b \u043c\u043e\u0433 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c TeamViewer \u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0435\u0440\u0435\u0434 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u043e\u0439 \u0445\u0443\u043a\u043e\u0432 \u0438\u0437\u043c\u0435\u043d\u044f\u044e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer:<\/p>\n<figure class=\"bordered full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u044f <strong>mw_replace_tv_version<\/strong> \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u043e\u0438\u0441\u043a \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u043f\u0430\u043c\u044f\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0434\u043e\u0432\u043b\u0435\u0442\u0432\u043e\u0440\u044f\u044e\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f\u043c:<\/p>\n<ul>\n<li>\n<p>\u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <strong>MEM_COMMIT<\/strong>;<\/p>\n<\/li>\n<li>\n<p>\u0442\u0438\u043f \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <strong>MEM_PRIVATE<\/strong>;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0430\u0432\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 <strong>PAGE _READWRITE<\/strong>.<\/p>\n<\/li>\n<\/ul>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0430\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 16 \u0431\u0430\u0439\u0442, \u043f\u043e\u043a\u0430 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0430 UTF16-LE \u0441\u0442\u0440\u043e\u043a\u0430 <strong>&#171;5.0.7687&#187;<\/strong>.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0437\u0430\u043c\u0435\u043d\u0430 <strong>&#171;5.0.7&#187;<\/strong> \u043d\u0430 <strong>&#171;15.0.&#187;<\/strong>, \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0447\u0435\u0433\u043e \u0432\u0435\u0440\u0441\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f <strong>&#171;15.0.687&#187;<\/strong>.<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 TeamViewer \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u043a \u0434\u0440\u0443\u0433\u0438\u043c \u0430\u0434\u0440\u0435\u0441\u0430\u043c TeamViewer, \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u043c \u0434\u043b\u044f 15-\u0439 \u0432\u0435\u0440\u0441\u0438\u0438. \u0414\u0430\u043d\u043d\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432\u0435\u0440\u0441\u0438\u0438 \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u043d\u0430 \u044d\u0442\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u0447\u0442\u043e \u0432 \u043a\u043e\u043d\u0435\u0447\u043d\u043e\u043c \u0438\u0442\u043e\u0433\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u0442 \u043a \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u043c\u0443 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044e \u0438 \u0441\u0442\u0430\u0442\u0443\u0441\u0443 \u00ab\u043e\u043d\u043b\u0430\u0439\u043d\u00bb:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041c\u044b \u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u043b\u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0439 \u043f\u0440\u0438\u0435\u043c \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u0430\u0440\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 TeamViewer Quick Support \u2013 <strong>5.1.17330 QS<\/strong> \u2013 \u0438 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u043e!<\/p>\n<p>\u0422\u0430\u043a\u0430\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0437\u0430\u043c\u0435\u043d\u044b \u0432\u0435\u0440\u0441\u0438\u0438 <strong>\u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c<\/strong> \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0441 \u043d\u043e\u044f\u0431\u0440\u044f 2021 \u0433\u043e\u0434\u0430. \u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c (\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f TeamViewer) \u0432\u0432\u0435\u043b \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438. \u00a0\u0417\u0434\u0435\u0441\u044c \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0438\u0437-\u0437\u0430 \u043d\u0435\u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0437\u0430\u043c\u0435\u043d\u044b \u0432\u0435\u0440\u0441\u0438\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u043e\u0442\u0435\u0440\u044f\u043b\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 TeamViewer. RAT-\u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b, \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u043c\u044b\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL, \u043e\u0441\u0442\u0430\u043b\u0441\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c\u044b\u0435 \u0441 C2.<\/p>\n<h3>\u0410\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438<\/h3>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f DLL \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0443 TeamViewer:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p><strong>\u0410\u0440\u0433\u0443\u043c\u0435\u043d\u0442<\/strong><\/p>\n<\/td>\n<td>\n<p><strong>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p>f<\/p>\n<\/td>\n<td>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e   \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer \u0431\u0435\u0437   \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 WMI \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e COM-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 IWbemServices \u0438 \u0432\u044b\u0437\u043e\u0432 \u043c\u0435\u0442\u043e\u0434\u0430 Win32_Process::Create.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p>k<\/p>\n<\/td>\n<td>\n<p>\u0423\u0434\u0430\u043b\u044f\u0435\u0442 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u0438 \u043c\u0435\u0442\u043e\u0434\u044b   \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b.<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td data-colwidth=\"137\" width=\"137\">\n<p>w &lt;value><\/p>\n<\/td>\n<td>\n<p>&lt;value> \u2013 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0432   \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u0445<\/p>\n<p>\u0417\u0430\u0434\u0430\u0435\u0442 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0443 \u043f\u0435\u0440\u0435\u0434 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u043c   \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u043e\u0440\u043a\u0435\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0425\u0443\u043a user32.CreateDialogParamW. \u0417\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a RAT-\u043f\u043e\u0442\u043e\u043a\u0430<\/h3>\n<p>\u0411\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u0445\u0443\u043a\u043e\u0432 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u0441\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u043e\u043a\u043e\u043d TeamViewer <br \/>\u0438 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u0435\u0433\u043e \u0440\u0430\u0431\u043e\u0442\u044b \u0432 \u0442\u0438\u0445\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435. \u041e\u0431\u0449\u0438\u0439 \u0441\u043f\u0438\u0441\u043e\u043a API-\u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0445\u0443\u043a\u0438, \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d \u043d\u0438\u0436\u0435.<\/p>\n<details class=\"spoiler\">\n<summary>\u0420\u0430\u0441\u043a\u0440\u044b\u0442\u044c \u0441\u043f\u0438\u0441\u043e\u043a<\/summary>\n<div class=\"spoiler__content\">\n<p><strong>\u0425\u0443\u043a\u0438 kernel32.dll<\/strong><\/p>\n<p>CreateFileW<\/p>\n<p>CreateMutexA<\/p>\n<p>CreateDirectoryW<\/p>\n<p>MoveFileW<\/p>\n<p>MoveFilewExW<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 user32.dll<\/strong><\/p>\n<p>CreateDialogParamW<\/p>\n<p>RegisterClassExW<\/p>\n<p>CreateWindowExW<\/p>\n<p>MoveWindow<\/p>\n<p>SetWindowPos<\/p>\n<p>ShowWindow<\/p>\n<p>Shell_NotifyIconW<\/p>\n<p>InvalidateRect<\/p>\n<p>MessageBoxA<\/p>\n<p>MessageBoxW<\/p>\n<p>IsWindowVisible<\/p>\n<p>BringWindowToTop<\/p>\n<p>SetForegroundWindow<\/p>\n<p>SetFocus<\/p>\n<p>FindWindowW<\/p>\n<p>SystemParametersInfoW<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 shell32.dll<\/strong><\/p>\n<p>RegCreateKeyExW<\/p>\n<p>RegOpenKeyExW<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 iphlpapi.dll<\/strong><\/p>\n<p>GetAdaptersInfo<\/p>\n<p><strong>\u0425\u0443\u043a\u0438 wintrust.dll<\/strong><\/p>\n<p>WinVerifyTrust<\/p>\n<p>\u00a0<strong>\u0425\u0443\u043a\u0438 wsock32.dll<\/strong><\/p>\n<p>bind<\/p>\n<\/div>\n<\/details>\n<p>\u041e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c\u0441\u044f \u043d\u0430 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0438 \u043a\u043e\u0434\u0430 \u0445\u0443\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u043e\u0442\u043e\u043a\u0438 \u043e\u043f\u0440\u043e\u0441\u0430 C2 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0418\u0442\u0430\u043a, \u0447\u0442\u043e \u0436\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u0445\u0443\u043a:<\/p>\n<ul>\n<li>\n<p>\u0414\u0435\u043b\u0430\u0435\u0442 \u043e\u043a\u043d\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 TeamViewer \u043d\u0435\u0432\u0438\u0434\u0438\u043c\u044b\u043c\u0438 \u0438 \u0443\u0431\u0438\u0440\u0430\u0435\u0442 \u0442\u0435\u043a\u0441\u0442 \u0438\u0445 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432. \u0412 \u0438\u0442\u043e\u0433\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u043e\u043a\u043d\u0430 \u0438 \u0436\u0443\u0440\u043d\u0430\u043b \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u043e\u0432, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u043a\u043d\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c\u0438 TeamViewer.<\/p>\n<\/li>\n<li>\n<p>\u0412 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 DLL \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u0441 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c <strong>pdll<\/strong> <br \/> (\u043e\u043d\u0438<\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-411400","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/411400","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=411400"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/411400\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=411400"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=411400"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=411400"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}