{"id":414163,"date":"2024-06-29T23:36:01","date_gmt":"2024-06-29T23:36:01","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=414163"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2024-06-29T23:36:01","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=414163","title":{"rendered":"<span>\u0414\u0435\u0442\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e, \u0437\u0430\u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u0434 NOTEPAD++<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-1\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\"><a href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/670268\/\"><\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/3k\/rh\/jz\/3krhjzsu21e9pm5nd3menzbisas.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/3k\/rh\/jz\/3krhjzsu21e9pm5nd3menzbisas.jpeg\" data-blurred=\"true\"\/><\/div>\n<p><\/a><br \/>  Lazarus \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u043b\u0430 \u0441\u0432\u043e\u0438\u0445 \u0436\u0435\u0440\u0442\u0432 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043e \u0432\u0430\u043a\u0430\u043d\u0441\u0438\u044f\u0445 \u0432 \u0442\u0430\u043a\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u0445, \u043a\u0430\u043a LockHeed Martin, BAE Systems \u0438 Boeing. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u043b\u0438 \u0436\u0435\u0440\u0442\u0432, \u0438\u0449\u0443\u0449\u0438\u0445 \u0440\u0430\u0431\u043e\u0442\u0443 \u0432 Boeing, \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430 Boeing BDS MSE.docx (<a href=\"https:\/\/twitter.com\/ShadowChasing1\/status\/1455489336850325519\"> \u0442\u0432\u0438\u0442 ShadowChasing1<\/a>). \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442 \u0438\u043c\u044f \u0445\u043e\u0441\u0442\u0430, \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u0435\u0442\u0438, \u0441\u043f\u0438\u0441\u043e\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u0442\u0435\u043c \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u043b\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043e\u0434\u0438\u043d \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 C2. \u041f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0436\u0438\u043c\u0430\u043b\u0438\u0441\u044c, \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c XOR, \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c Base64 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b\u0438\u0441\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 C2. \u0422\u0440\u043e\u044f\u043d \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0447\u0435\u0442\u044b\u0440\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0444\u0430\u0439\u043b .exe \u0438\u043b\u0438 .dll, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 PE (Portable Executable) \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0448\u0435\u043b\u043b-\u043a\u043e\u0434.<a name=\"habracut\"><\/a><\/p>\n<h2><font color=\"#3AC1EF\">\u258d \u0422\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437<\/font><\/h2>\n<p>  <code>SHA256: 803dda6c8dc426f1005acdf765d9ef897dd502cd8a80632eef4738d1d7947269<\/code><\/p>\n<p>  \u0424\u0430\u0439\u043b \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f DLL, \u0438\u043c\u0435\u044e\u0449\u0438\u043c 7 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u043e\u0432. \u041b\u0438\u0448\u044c \u043e\u0434\u043d\u0430 \u0438\u0437 \u044d\u0442\u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 (DllGetFirstChild):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ln\/i0\/2g\/lni02gi77xzwmcrmde_58l0qzt0.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ln\/i0\/2g\/lni02gi77xzwmcrmde_58l0qzt0.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 1<\/font><\/i><\/p>\n<p>  \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044e ObtainUserAgentString \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f User Agent. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0432 \u0434\u0432\u043e\u0438\u0447\u043d\u043e\u043c \u0444\u0430\u0439\u043b\u0435 \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u043d User Agent \u00abMozilla \/ 5.0 (Windows NT 10.0; WOW64; Trident \/ 7.0; rv:11.0) li\u00bb, \u0442\u043e \u0435\u0441\u0442\u044c Internet Explorer \u0432 Windows 10:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/lo\/ci\/bp\/locibppoz7zfoctenlt_cdzvwnm.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/lo\/ci\/bp\/locibppoz7zfoctenlt_cdzvwnm.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 2<\/font><\/i> <\/p>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442 \u0442\u0435\u043a\u0443\u0449\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0434\u0430\u0442\u0443 \u0438 \u0432\u0440\u0435\u043c\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 GetSystemTimeAsFileTime API:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/lf\/vm\/oj\/lfvmojg9sic_ooljdbcasx4ufpa.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/lf\/vm\/oj\/lfvmojg9sic_ooljdbcasx4ufpa.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 3<\/font><\/i> <\/p>\n<p>  \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440\u0430 \u043c\u043e\u0434\u0443\u043b\u044f \u0438\u0437 ntdll.dll \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f GetModuleHandleW:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/sd\/qv\/qe\/sdqvqewrk6wbdwxorflkc-j5loo.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/sd\/qv\/qe\/sdqvqewrk6wbdwxorflkc-j5loo.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 4<\/font><\/i> <\/p>\n<p>  \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b GetProcAddress \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430: &#171;<code>RtlGetCompressionWorkSpaceSize<\/code>&#171;, &#171;<code>RtlCompressBuffer<\/code>&#171;, &#171;<code>RtlDecompressBuffer<\/code>&#171;, &#171;<code>RtlGetVersion<\/code>&#171;. \u041f\u0440\u0438\u043c\u0435\u0440 \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043f\u043e\u043a\u0430\u0437\u0430\u043d \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 5:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/x5\/rb\/e_\/x5rbe_ser7falqm-rzut9fzgguo.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/x5\/rb\/e_\/x5rbe_ser7falqm-rzut9fzgguo.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 5<\/font><\/i> <\/p>\n<p>  \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>GetComputerNameW<\/code> \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u0432 NetBIOS:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/bt\/sq\/34\/btsq34en6flgvjiqni66lj9tkoi.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/bt\/sq\/34\/btsq34en6flgvjiqni66lj9tkoi.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 6<\/font><\/i> <\/p>\n<p>  GetAdaptersInfo API \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0431 \u0430\u0434\u0430\u043f\u0442\u0435\u0440\u0435 \u0441 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/zx\/uj\/rm\/zxujrmw1bfxulnpqwemzauc0zyk.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/zx\/uj\/rm\/zxujrmw1bfxulnpqwemzauc0zyk.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 7<\/font><\/i> <\/p>\n<p>  \u0418\u0437\u0432\u043b\u0435\u0447\u0451\u043d\u043d\u044b\u0439 \u0440\u0430\u043d\u0435\u0435 MAC-\u0430\u0434\u0440\u0435\u0441 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0431\u0443\u0444\u0435\u0440:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/jf\/mq\/tk\/jfmqtkld9cv8b91wjxylhuex6bs.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/jf\/mq\/tk\/jfmqtkld9cv8b91wjxylhuex6bs.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 8<\/font><\/i><\/p>\n<p>  \u0424\u0430\u0439\u043b \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442 string \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/9a\/vp\/fm\/9avpfmdieed3cyc9p3s0q9fnwew.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/9a\/vp\/fm\/9avpfmdieed3cyc9p3s0q9fnwew.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 9<\/font><\/i><\/p>\n<p>  <code>CommandLineToArgvW<\/code> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u043c\u0430\u0441\u0441\u0438\u0432\u0430 \u0443\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 (\u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e argv \u0438 argc):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/83\/gu\/rk\/83gurkzaidm3xrzddfgy5kd8h7c.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/83\/gu\/rk\/83gurkzaidm3xrzddfgy5kd8h7c.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 10<\/font><\/i><\/p>\n<p>  \u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e <a href=\"https:\/\/zhuanlan.zhihu.com\/p\/453894016\">\u0441\u0442\u0430\u0442\u044c\u0435<\/a>, \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u041f\u041e \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c\u0441\u044f \u0441\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438:<\/p>\n<pre><code class=\"plaintext\">NTPR P6k+pR6iIKwJpU6oR6ZilgKPL7IxsitJAnpIYSx2KldSSRFFyUIzTBVFAwgzBkI2PS\/+EgASBik\/GgYBwBbRNy7pP+Xq4uTsxOXU6NPmudaEz7Xy5fLQica6yKHvtu2XkYmnhfeC\/4ythf9I6UbAdvxvy1K2Um5ppVrEQY9WiHdxKbolqiKgLMElwSiKJrcWrQ+cMpYy5cnc+s\/hufap15LJmsVFwr7MlMWwiLCGgLZPr4uSk5KIqZiadYGOlkS3cml1ZZdiZmyzZVpovmZiVlNPNXJsck4JXzpPIWw2YBcqCRMFCQJBDG4FfchmxkL2fO8V0jbSTeko2u\/BI9YA9zGpM6UWoiGsdaVdqAmmIpYHjzWyM7IOSQR6SGE4dilXB0lfRXtCOEwkRTAIMgYWNnsvVRJSEvQp\/xryAdsW1Df76fjl3eIb7M7lIujH5vbW7c\/e8tTy2on1uuGh+rbml5GJp4X3gv+MrYXwSOFGzHbxb9BSwFLLaaJau0FNVoh3sim4JZYi1Cz1JZYohya0FpEP9TKZMpTJgvqn4e72sdefyZrF4sI=&amp;<\/code><\/pre>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u044d\u0442\u043e\u0442 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0430, \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 11. \u0421\u043f\u0438\u0441\u043e\u043a \u043f\u043e\u043b\u0443\u0447\u0438\u0432\u0448\u0438\u0445\u0441\u044f \u0441\u0442\u0440\u043e\u043a \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 C2:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/dq\/bo\/5n\/dqbo5n4gf2qywajwn3tjqvttquy.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/dq\/bo\/5n\/dqbo5n4gf2qywajwn3tjqvttquy.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 11<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/oi\/lw\/pp\/oilwppskzpfbs-fzrc49v513tuc.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/oi\/lw\/pp\/oilwppskzpfbs-fzrc49v513tuc.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 12<\/font><\/i><\/p>\n<p>  \u0412 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0435\u0432\u0435\u0440\u0441-\u0438\u043d\u0436\u0438\u043d\u0438\u0440\u0438\u043d\u0433\u0430 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 URL:<\/p>\n<ul>\n<li>https[:]\/\/mante.li\/images\/draw.php<\/li>\n<li>https[:]\/\/bmanal.com\/images\/draw.php<\/li>\n<li>https[:]\/\/shopandtravelusa.com\/vendor\/monolog\/monolog\/src\/Monolog\/monolog.php<\/li>\n<li>https[:]\/\/industryinfostructure.com\/templates\/worldgroup\/view.php<\/li>\n<\/ul>\n<p>  \u041f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 <code>GetNetworkParams<\/code> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/5k\/8s\/5m\/5k8s5mjolnjxxrrcydctrzslcl8.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/5k\/8s\/5m\/5k8s5mjolnjxxrrcydctrzslcl8.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 13<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442 \u0438\u043c\u044f DNS-\u0434\u043e\u043c\u0435\u043d\u0430, \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c\u0443 \u0445\u043e\u0441\u0442\u0443 (0x2 = <b><font color=\"#3AC1EF\">ComputerNameDnsDomain<\/font><\/b>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/gm\/ul\/og\/gmulogdhlqpzihwgf3f5wc6mts0.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/gm\/ul\/og\/gmulogdhlqpzihwgf3f5wc6mts0.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 14<\/font><\/i><\/p>\n<p>  \u0412\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0431\u0443\u0444\u0435\u0440 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f \u0441\u0435\u0442\u0435\u0432\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/bn\/_8\/u8\/bn_8u8vead1olt9xbuxipmdjrxk.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/bn\/_8\/u8\/bn_8u8vead1olt9xbuxipmdjrxk.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 15<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/eq\/gv\/on\/eqgvon_uuoxyrqnssjbq3sunbmy.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/eq\/gv\/on\/eqgvon_uuoxyrqnssjbq3sunbmy.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 16<\/font><\/i><\/p>\n<p>  \u0412\u044b\u0437\u044b\u0432\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>GetUserNameW<\/code>, \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0435 \u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u043e\u0442\u043e\u043a\u043e\u043c:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/fg\/g-\/uj\/fgg-uj59-cy_i0gjovtd8i6qkkk.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/fg\/g-\/uj\/fgg-uj59-cy_i0gjovtd8i6qkkk.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 17<\/font><\/i><\/p>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0434\u0435\u043b\u0430\u0435\u0442 \u0441\u043d\u044d\u043f\u0448\u043e\u0442 \u0432\u0441\u0435\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 CreateToolhelp32Snapshot\u00a0API (0x2 = <b><font color=\"#3AC1EF\">TH32CS_SNAPPROCESS<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/mj\/sd\/0i\/mjsd0ilo4jjzkoiniip1va6278m.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/mj\/sd\/0i\/mjsd0ilo4jjzkoiniip1va6278m.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 18<\/font><\/i><\/p>\n<p>  \u0424\u0430\u0439\u043b \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043f\u0435\u0440\u0432\u043e\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0438\u0437 \u0441\u043d\u044d\u043f\u0448\u043e\u0442\u0430 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 <code>Process32FirstW<\/code>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/fn\/4q\/dj\/fn4qdjjjy2vqoyngm_ialfmecle.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/fn\/4q\/dj\/fn4qdjjjy2vqoyngm_ialfmecle.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 19<\/font><\/i><\/p>\n<p>  \u0417\u0430\u0442\u0435\u043c \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b OpenProcess (0x410 = <b><font color=\"#3AC1EF\">PROCESS_QUERY_INFORMATION<\/font><\/b> | <b><font color=\"#3AC1EF\">PROCESS_VM_READ<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/rp\/xh\/vs\/rpxhvsexbzbdt-tlewvnn8uudfy.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/rp\/xh\/vs\/rpxhvsexbzbdt-tlewvnn8uudfy.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 20<\/font><\/i><\/p>\n<p>  \u0415\u0441\u043b\u0438 \u0443 \u0444\u0430\u0439\u043b\u0430 \u043d\u0435 \u0445\u0432\u0430\u0442\u0430\u0435\u0442 \u043f\u0440\u0430\u0432 \u0434\u043b\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u043e\u043d \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442 \u0432\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0431\u0443\u0444\u0435\u0440 \u00abUnknown\u00bb \u0441 \u0438\u043c\u0435\u043d\u0435\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430.<\/p>\n<p>  \u0414\u0430\u043b\u0435\u0435 \u043e\u043d \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 CreateToolhelp32Snapshot\u00a0API (0x8 = <b><font color=\"#3AC1EF\">TH32CS_SNAPMODULE<\/font><\/b>) \u0434\u0435\u043b\u0430\u0435\u0442 \u0441\u043d\u044d\u043f\u0448\u043e\u0442 \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0435\u0433\u043e \u043c\u043e\u0434\u0443\u043b\u044f\u043c\u0438:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/qb\/bj\/eg\/qbbjeg7mxgnupk-amgchqlhimt4.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/qb\/bj\/eg\/qbbjeg7mxgnupk-amgchqlhimt4.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 21<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u0435\u0440\u0432\u043e\u043c \u043c\u043e\u0434\u0443\u043b\u0435, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u043c \u0441 \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f <code>Module32FirstW<\/code>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/id\/uf\/t9\/iduft9frmqmjihzzuvvkcwip-yo.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/id\/uf\/t9\/iduft9frmqmjihzzuvvkcwip-yo.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 22<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 DLL \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435, \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u043c \u0432 \u0441\u043d\u044d\u043f\u0448\u043e\u0442:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/jm\/ic\/fh\/jmicfhux3qab_mypx4k0lgd1hw0.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/jm\/ic\/fh\/jmicfhux3qab_mypx4k0lgd1hw0.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 23<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c \u0442\u043e\u043a\u0435\u043d\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 OpenProcessToken (0x8 = <b><font color=\"#3AC1EF\">TOKEN_QUERY<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/p-\/0q\/qv\/p-0qqvd76tejdwpmfq2yiqgmdq8.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/p-\/0q\/qv\/p-0qqvd76tejdwpmfq2yiqgmdq8.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 24<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0442\u043e\u043a\u0435\u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f GetTokenInformation (0x1 = <b><font color=\"#3AC1EF\">TokenUser<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/n8\/ox\/el\/n8oxelxab0fz7tskyhnwkr5mqlw.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/n8\/ox\/el\/n8oxelxab0fz7tskyhnwkr5mqlw.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 25<\/font><\/i><\/p>\n<p>  \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>LookupAccountSidW<\/code> \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0438\u043c\u044f \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430 \u0434\u043b\u044f SID \u0438 \u0438\u043c\u044f \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u0430, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u043d\u0430\u0439\u0434\u0435\u043d SID:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/l-\/my\/6q\/l-my6qva90wzg9gvpwti5csvpak.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/l-\/my\/6q\/l-my6qva90wzg9gvpwti5csvpak.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 26<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0430 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u0442\u043e\u043a\u0435\u043d\u043e\u043c \u0441\u0435\u0441\u0441\u0438\u0438 Terminal Services \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f GetTokenInformation (0xC = <b><font color=\"#3AC1EF\">TokenSessionId<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/7w\/yb\/6u\/7wyb6uroka82fuqpy1sgg8ecmy4.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/7w\/yb\/6u\/7wyb6uroka82fuqpy1sgg8ecmy4.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 27<\/font><\/i><\/p>\n<p>  \u0427\u0442\u043e\u0431\u044b \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043d\u0443\u0436\u043d\u044b\u0439 \u0440\u0430\u0437\u043c\u0435\u0440 \u0431\u0443\u0444\u0435\u0440\u0430 WorkSpace \u0434\u043b\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 RtlCompressBuffer \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f RtlGetCompressionWorkSpaceSize\u00a0API (0x102 = <b><font color=\"#3AC1EF\">COMPRESSION_FORMAT_LZNT1<\/font><\/b> | <b><font color=\"#3AC1EF\">COMPRESSION_ENGINE_MAXIMUM<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/v2\/ax\/fv\/v2axfv6gcip8w7rjjxswkq9waie.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/v2\/ax\/fv\/v2axfv6gcip8w7rjjxswkq9waie.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 28<\/font><\/i><\/p>\n<p>  \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>RtlCompressBuffer<\/code> \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0441\u0436\u0438\u043c\u0430\u0435\u0442 \u0431\u0443\u0444\u0435\u0440\u044b, \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0435 \u043d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0430\u0445 15 \u0438 16 (0x102 = <b><font color=\"#3AC1EF\">COMPRESSION_FORMAT_LZNT1<\/font><\/b> | <b><font color=\"#3AC1EF\">COMPRESSION_ENGINE_MAXIMUM<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ik\/pd\/xm\/ikpdxmylsz4zicpl-74phyxbkf4.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ik\/pd\/xm\/ikpdxmylsz4zicpl-74phyxbkf4.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 29<\/font><\/i><\/p>\n<p>  DLL \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u043e\u0434\u0438\u043d \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 C2 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435, \u0430 \u043f\u043e\u0442\u043e\u043c \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 <code>InternetOpenW<\/code> \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u0439 <code>WinINet<\/code>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ex\/pt\/o8\/expto8nodxyol6dzg7ayz8pzqqo.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ex\/pt\/o8\/expto8nodxyol6dzg7ayz8pzqqo.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 30<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u044f URL \u0432 \u043a\u0430\u043d\u043e\u043d\u0438\u0447\u043d\u044b\u0439 \u0432\u0438\u0434 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f <code>InternetCanonicalizeUrlW<\/code>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/vj\/mk\/hf\/vjmkhfqe-qqihaosrbliy5vruq8.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/vj\/mk\/hf\/vjmkhfqe-qqihaosrbliy5vruq8.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 31<\/font><\/i><\/p>\n<p>  \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 InternetCrackUrlW API \u0437\u043b\u043e\u0432\u0440\u0435\u0434 \u0440\u0430\u0437\u0431\u0438\u0432\u0430\u0435\u0442 URL \u043d\u0430 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/df\/hd\/1w\/dfhd1wftgitqjfw3b7usecirmbc.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/df\/hd\/1w\/dfhd1wftgitqjfw3b7usecirmbc.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 32<\/font><\/i><\/p>\n<p>  \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b InternetSetOptionW \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0442\u0430\u0439\u043c\u0430\u0443\u0442\u044b \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f, \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043d\u0430 150 \u0441 (0x2 = <b><font color=\"#3AC1EF\">INTERNET_OPTION_CONNECT_TIMEOUT<\/font><\/b>, 0x5 = <b><font color=\"#3AC1EF\">INTERNET_OPTION_SEND_TIMEOUT<\/font><\/b>, 0x6 = <b><font color=\"#3AC1EF\">INTERNET_OPTION_RECEIVE_TIMEOUT<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/y0\/rc\/jw\/y0rcjwdcxu9hureecy_bzlqvxyu.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/y0\/rc\/jw\/y0rcjwdcxu9hureecy_bzlqvxyu.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 33<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/q2\/j4\/kw\/q2j4kw9fixajads2b3xyc5tj8ke.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/q2\/j4\/kw\/q2j4kw9fixajads2b3xyc5tj8ke.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 34<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ka\/zy\/4g\/kazy4g-40-zu1wlm-egcap3noco.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ka\/zy\/4g\/kazy4g-40-zu1wlm-egcap3noco.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 35<\/font><\/i><\/p>\n<p>  DLL \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 HTTP-\u0441\u0435\u0441\u0441\u0438\u044e \u0441 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c C2 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0440\u0442 443 (0x3 = <b><font color=\"#3AC1EF\">INTERNET_SERVICE_HTTP<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/vi\/co\/te\/vicote3ufn2r_aggzbv8ddoc_ao.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/vi\/co\/te\/vicote3ufn2r_aggzbv8ddoc_ao.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 36<\/font><\/i><\/p>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u043a URI, \u0438\u0437\u0432\u043b\u0435\u0447\u0451\u043d\u043d\u043e\u043c\u0443 \u0438\u0437 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e URL:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ud\/_t\/sx\/ud_tsxzswizpsxcinbqgwtw-7my.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ud\/_t\/sx\/ud_tsxzswizpsxcinbqgwtw-7my.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 37<\/font><\/i><\/p>\n<p>  \u0424\u043b\u0430\u0433\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440\u0430 \u0437\u0430\u0434\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 InternetSetOptionW API (0x1F = <b><font color=\"#3AC1EF\">INTERNET_OPTION_SECURITY_FLAGS<\/font><\/b>, 0xF180 = <b><font color=\"#3AC1EF\">SECURITY_FLAG_IGNORE_REVOCATION<\/font><\/b> | <b><font color=\"#3AC1EF\">SECURITY_FLAG_IGNORE_UNKNOWN_CA <\/font><\/b>| <b><font color=\"#3AC1EF\">SECURITY_FLAG_IGNORE_CERT_CN_INVALID<\/font><\/b> | <b><font color=\"#3AC1EF\">SECURITY_FLAG_IGNORE_CERT_DATE_INVALID<\/font><\/b> | <b><font color=\"#3AC1EF\">SECURITY_FLAG_IGNORE_REDIRECT_TO_HTTP<\/font><\/b> | <b><font color=\"#3AC1EF\">SECURITY_FLAG_IGNORE_REDIRECT_TO_HTTPS<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/we\/az\/ec\/weazec00y4tvbegtpnmoqnhmkeu.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/we\/az\/ec\/weazec00y4tvbegtpnmoqnhmkeu.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 38<\/font><\/i><\/p>\n<p>  \u0420\u0430\u043d\u0435\u0435 \u0441\u0436\u0430\u0442\u044b\u0439 \u0431\u0443\u0444\u0435\u0440 (\u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u044f \u0434\u0432\u0443\u0445 \u0431\u0443\u0444\u0435\u0440\u043e\u0432) \u0448\u0438\u0444\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 XOR (\u043a\u043b\u044e\u0447 = 32-\u0431\u0430\u0439\u0442\u043d\u044b\u0439 \u043c\u0430\u0441\u0441\u0438\u0432):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/rq\/zd\/za\/rqzdzaxjqmkpved_y3fzcza2-mc.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/rq\/zd\/za\/rqzdzaxjqmkpved_y3fzcza2-mc.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 39<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/z4\/fx\/ev\/z4fxevkezrbeoqrifoxnrqhxlgo.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/z4\/fx\/ev\/z4fxevkezrbeoqrifoxnrqhxlgo.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 40<\/font><\/i><\/p>\n<p>  \u0414\u0430\u043b\u0435\u0435 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0431\u0443\u0444\u0435\u0440 \u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Base64:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ha\/vs\/0o\/havs0oau18hmqcox-kfkvbvfr08.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ha\/vs\/0o\/havs0oau18hmqcox-kfkvbvfr08.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 41<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/bp\/98\/vj\/bp98vj-4v17md73keni9v3pokpm.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/bp\/98\/vj\/bp98vj-4v17md73keni9v3pokpm.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 42<\/font><\/i><\/p>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b: \u00absearch=YOIPOUP&amp;ei=6128&amp;oq=&lt;Base64-encoded buffer>\u00bb:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ve\/p-\/qu\/vep-quternrosazbqr-dzllpvpm.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ve\/p-\/qu\/vep-quternrosazbqr-dzllpvpm.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 43<\/font><\/i><\/p>\n<p>  \u0418\u0437\u0432\u043b\u0435\u0447\u0451\u043d\u043d\u044b\u0439 \u0440\u0430\u043d\u0435\u0435 User Agent \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043a \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440\u0443 HTTP-\u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b HttpAddRequestHeadersW (0xA0000000 = <b><font color=\"#3AC1EF\">HTTP_ADDREQ_FLAG_REPLACE<\/font><\/b> | <b><font color=\"#3AC1EF\">HTTP_ADDREQ_FLAG_ADD<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/zr\/v7\/uk\/zrv7ukd_wldnydux5qm0wvawrps.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/zr\/v7\/uk\/zrv7ukd_wldnydux5qm0wvawrps.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 44<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 C2 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f HttpSendRequestW:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/aa\/nu\/93\/aanu93ad_7pnecw2kbzritotbda.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/aa\/nu\/93\/aanu93ad_7pnecw2kbzritotbda.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 45<\/font><\/i><\/p>\n<p>  \u0421\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0432\u0441\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b C2 \u0443\u0436\u0435 \u0431\u044b\u043b\u0438 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u044b. \u041c\u044b \u044d\u043c\u0443\u043b\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 FakeNet.<\/p>\n<p>  \u0420\u0430\u0437\u043c\u0435\u0440 \u043e\u0442\u0432\u0435\u0442\u0430 C2 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b HttpQueryInfoW (0x5 = <b><font color=\"#3AC1EF\">HTTP_QUERY_CONTENT_LENGTH<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/dd\/bh\/vd\/ddbhvdy-devxnuq6ggxtcgznazo.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/dd\/bh\/vd\/ddbhvdy-devxnuq6ggxtcgznazo.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 46<\/font><\/i><\/p>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442 \u043e\u0442\u0432\u0435\u0442 C2 \u0432 \u0431\u0443\u0444\u0435\u0440 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u044b\u0437\u043e\u0432\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 InternetReadFile:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/kc\/19\/j6\/kc19j6rqaoickcbbfpf9mo913fk.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/kc\/19\/j6\/kc19j6rqaoickcbbfpf9mo913fk.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 47<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441 \u043f\u0430\u0440\u0441\u0438\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 \u043c\u0435\u0436\u0434\u0443 \u0442\u044d\u0433\u0430\u043c\u0438 <code>&lt;html>&lt;\/html><\/code> \u0438 <code>&lt;div>&lt;\/div><\/code>:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/92\/nh\/ix\/92nhixajf94b92qqk-m6-nzo3vc.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/92\/nh\/ix\/92nhixajf94b92qqk-m6-nzo3vc.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 48<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u043e\u0435 \u041f\u041e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043f\u043e\u0445\u043e\u0436\u0438\u0439 POST-\u0437\u0430\u043f\u0440\u043e\u0441 \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432: \u00absearch=DOWPANY&amp;ei=6128\u00bb:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/g6\/0g\/ye\/g60gyerq6xzwnfsf39rnymxblau.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/g6\/0g\/ye\/g60gyerq6xzwnfsf39rnymxblau.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 49<\/font><\/i><\/p>\n<p>  \u041e\u0442\u0432\u0435\u0442 C2 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Base64, \u0430 \u0437\u0430\u0442\u0435\u043c \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442\u0441\u044f XOR. \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u043a\u043e\u0434 \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0447\u0435\u0442\u044b\u0440\u0435 \u0440\u0430\u0437\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430 EAX:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ta\/8q\/sq\/ta8qsqkducxwuwn6bjser4-pk6e.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ta\/8q\/sq\/ta8qsqkducxwuwn6bjser4-pk6e.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 50<\/font><\/i><\/p>\n<p>  <b><font color=\"#3AC1EF\">EAX = 0 \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 PE \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430<\/font><\/b><\/p>\n<p>  \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0442\u0435\u043a\u0443\u0449\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f GetNativeSystemInfo:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/za\/xu\/a5\/zaxua5zpvqosea3_r3anq5jz0w8.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/za\/xu\/a5\/zaxua5zpvqosea3_r3anq5jz0w8.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 51<\/font><\/i><\/p>\n<p>  DLL \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 VirtualAlloc, \u0432\u044b\u0434\u0435\u043b\u044f\u044e\u0449\u0438\u0445 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u043e\u0434 \u043d\u043e\u0432\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b (0x3000 = <b><font color=\"#3AC1EF\">MEM_COMMIT<\/font><\/b> | <b><font color=\"#3AC1EF\">MEM_RESERVE<\/font><\/b>, 0x4 = <b><font color=\"#3AC1EF\">PAGE_READWRITE<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/dv\/sh\/9h\/dvsh9hzv8ypcdc_dri3khmyicwa.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/dv\/sh\/9h\/dvsh9hzv8ypcdc_dri3khmyicwa.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 52<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430 \u043c\u0435\u043d\u044f\u0435\u0442 \u0437\u0430\u0449\u0438\u0442\u0443 \u043f\u0430\u043c\u044f\u0442\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0437\u0430\u0449\u0438\u0442\u0430 \u043f\u0430\u043c\u044f\u0442\u0438 \u0434\u043b\u044f \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430 \u043a\u043e\u0434\u0430 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0430 \u043d\u0430 0x20 = <b><font color=\"#3AC1EF\">PAGE_EXECUTE_READ<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/fi\/zo\/jx\/fizojx-_xubaboargfrmaszyncy.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/fi\/zo\/jx\/fizojx-_xubaboargfrmaszyncy.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 53<\/font><\/i><\/p>\n<p>  \u0421\u043f\u0443\u0441\u0442\u044f \u0435\u0449\u0451 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u043f\u043e\u0442\u043e\u043a \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u043d\u043e\u0432\u043e\u043c\u0443 PE.<\/p>\n<p>  <b><font color=\"#3AC1EF\">EAX = 1 \u2014 \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0444\u0430\u0439\u043b .exe<\/font><\/b><\/p>\n<p>  \u0414\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u0443\u0442\u044c \u043a \u043f\u0430\u043f\u043a\u0435 AppData, \u0432\u044b\u0437\u044b\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443 SHGetFolderPathW (0x1c = <b><font color=\"#3AC1EF\">CSIDL_LOCAL_APPDATA<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/kf\/v9\/x1\/kfv9x1hz1ydsud8wjgymedskvzg.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/kf\/v9\/x1\/kfv9x1hz1ydsud8wjgymedskvzg.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 54<\/font><\/i><\/p>\n<p>  \u0414\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f GetTickCount:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ct\/gt\/-h\/ctgt-hj7cs1lvqyszavxzvtkgx8.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ct\/gt\/-h\/ctgt-hj7cs1lvqyszavxzvtkgx8.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 55<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u043a\u043e\u0434 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0444\u0430\u0439\u043b \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u0448\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f (0x40000000 = <b><font color=\"#3AC1EF\">GENERIC_WRITE<\/font><\/b>, 0x1 = <b><font color=\"#3AC1EF\">FILE_SHARE_READ<\/font><\/b>, 0x2 = <b><font color=\"#3AC1EF\">CREATE_ALWAYS<\/font><\/b>, 0x80 = <b><font color=\"#3AC1EF\">FILE_ATTRIBUTE_NORMAL<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/pg\/og\/ia\/pgogiazz5tvjfacam1qiqdew-mm.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/pg\/og\/ia\/pgogiazz5tvjfacam1qiqdew-mm.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 56<\/font><\/i><\/p>\n<p>  \u0421\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0437\u0430\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u043f\u0435\u0440\u0435\u0434\u0430\u043d \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 C2:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/8y\/2t\/9l\/8y2t9lndrhra1evearpeytbv8dk.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/8y\/2t\/9l\/8y2t9lndrhra1evearpeytbv8dk.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 57<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u0434\u0432\u043e\u0438\u0447\u043d\u044b\u0439 \u043a\u043e\u0434 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0444\u0430\u0439\u043b, \u0432\u044b\u0437\u044b\u0432\u0430\u044f CreateProcessW API:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/or\/ds\/x-\/ordsx-nxc2tqh302sfsgqzchh-u.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/or\/ds\/x-\/ordsx-nxc2tqh302sfsgqzchh-u.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 58<\/font><\/i><\/p>\n<p>  <b><font color=\"#3AC1EF\">EAX = 2 \u2014 \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0444\u0430\u0439\u043b .dll<\/font><\/b><\/p>\n<p>  \u041f\u043e\u0442\u043e\u043a \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u0445\u043e\u0436 \u0441 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0432\u044b\u0448\u0435, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u044b \u043f\u043e\u043a\u0430\u0436\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u0438\u044f. \u0414\u043b\u044f \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0444\u0430\u0439\u043b\u0430 DLL \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f Rundll32.exe (\u0442\u0430\u043a\u0436\u0435 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0437\u0430\u0434\u0430\u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ba\/rx\/fd\/barxfdhd8vajut4vrwc7owonk7o.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ba\/rx\/fd\/barxfdhd8vajut4vrwc7owonk7o.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 59<\/font><\/i><\/p>\n<p>  <b><font color=\"#3AC1EF\">EAX = 3 \u2014 \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0448\u0435\u043b\u043b-\u043a\u043e\u0434<\/font><\/b><\/p>\n<p>  \u041f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u043f\u043e\u0434\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b VirtualAlloc (0x1000 = <b><font color=\"#3AC1EF\">MEM_COMMIT<\/font><\/b>, 0x40 = <b><font color=\"#3AC1EF\">PAGE_EXECUTE_READWRITE<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/in\/hp\/ku\/inhpkuv7uptyancaitwexbx__9y.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/in\/hp\/ku\/inhpkuv7uptyancaitwexbx__9y.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 60<\/font><\/i><\/p>\n<p>  DLL \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043d\u0430 \u0430\u043d\u0442\u0438\u0430\u043d\u0430\u043b\u0438\u0437. \u041e\u043d\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 isProcessorFeaturePresent API, \u0447\u0442\u043e\u0431\u044b \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c, \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u043b\u0438 _fastfail(). \u0415\u0441\u043b\u0438 \u044d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442\u0441\u044f, \u0442\u0435\u043a\u0443\u0449\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432\u044b\u0437\u043e\u0432\u043e\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u0439 GetCurrentProcess \u0438 TerminateProcess (0x17 = <b><font color=\"#3AC1EF\">PF_FASTFAIL_AVAILABLE<\/font><\/b>):<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/zo\/u9\/ts\/zou9tsppepi3g1_vvgkrak0k0ec.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/zo\/u9\/ts\/zou9tsppepi3g1_vvgkrak0k0ec.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 61<\/font><\/i><\/p>\n<p>  \u0417\u043b\u043e\u0432\u0440\u0435\u0434\u043d\u044b\u0439 \u043a\u043e\u0434 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043a \u0448\u0435\u043b\u043b-\u043a\u043e\u0434\u0443, \u0430 \u0437\u0430\u0442\u0435\u043c \u043e\u0441\u0432\u043e\u0431\u043e\u0436\u0434\u0430\u0435\u0442 \u0432\u044b\u0434\u0435\u043b\u0435\u043d\u043d\u0443\u044e \u0440\u0430\u043d\u0435\u0435 \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u043f\u0430\u043c\u044f\u0442\u0438:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/ux\/_m\/yp\/ux_mypawcaftqouxdugv29jyaji.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/ux\/_m\/yp\/ux_mypawcaftqouxdugv29jyaji.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 62<\/font><\/i><\/p>\n<p>  \u041a\u0430\u043a \u0433\u043e\u0432\u043e\u0440\u0438\u043b\u043e\u0441\u044c \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u043d\u0430\u0448\u0435\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u043d\u0443\u044e \u0432\u044b\u0448\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430, \u0430 \u0432\u0441\u0435 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043f\u043e\u043b\u043d\u0435 \u0431\u0435\u0437\u043e\u0431\u0438\u0434\u043d\u044b.<\/p>\n<p>  \u041c\u044b \u0438\u0437\u0443\u0447\u0438\u043b\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438 Notepad++ (SHA256: f3e2e6f9e7aa065e89040a0c16d1f948489b3751e5eb5efac8106d5f7d65d98d 64-bit) \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0430 \u0434\u0432\u0443\u0445 \u0444\u0430\u0439\u043b\u043e\u0432. \u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e \u043d\u0438\u0436\u0435, \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043e\u0447\u0435\u043d\u044c \u0441\u0445\u043e\u0436\u0438:<\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/3k\/rh\/jz\/3krhjzsu21e9pm5nd3menzbisas.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/3k\/rh\/jz\/3krhjzsu21e9pm5nd3menzbisas.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 63<\/font><\/i><\/p>\n<p>  <img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/wt\/ko\/1r\/wtko1rv2urpb4p06nslsw4a3phy.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/wt\/ko\/1r\/wtko1rv2urpb4p06nslsw4a3phy.jpeg\" data-blurred=\"true\"\/><br \/>  <i><font color=\"#999999\">\u0420\u0438\u0441\u0443\u043d\u043e\u043a 64<\/font><\/i><\/p>\n<h4><font color=\"#3AC1EF\">\u0421\u043f\u0440\u0430\u0432\u043e\u0447\u043d\u044b\u0435 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b<\/font><\/h4>\n<p>  <\/p>\n<ol>\n<li><a href=\"https:\/\/docs.microsoft.com\/en-us\/windows\/win32\/api\/\">MSDN<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/fireeye\/flare-fakenet-ng\">Fakenet<\/a><\/li>\n<li><a href=\"https:\/\/www.virustotal.com\/gui\/file\/803dda6c8dc426f1005acdf765d9ef897dd502cd8a80632eef4738d1d7947269\">VirusTotal<\/a>  <\/li>\n<li><a href=\"https:\/\/bazaar.abuse.ch\/sample\/803dda6c8dc426f1005acdf765d9ef897dd502cd8a80632eef4738d1d7947269\/\">MalwareBazaar<\/a><\/li>\n<\/ol>\n<p>  <\/p>\n<h4><font color=\"#3AC1EF\">\u041f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438<\/font><\/h4>\n<blockquote>\n<div class=\"spoiler\" role=\"button\" tabindex=\"0\">                         <b class=\"spoiler_title\">\u0414\u043e\u043c\u0435\u043d\u044b C2:<\/b>                         <\/p>\n<div class=\"spoiler_text\">\n<ul>\n<li>mante.li<\/li>\n<li>bmanal.com<\/li>\n<li>shopandtravelusa.com<\/li>\n<li>industryinfostructure.com<\/li>\n<\/ul>\n<p>  <\/div>\n<\/p><\/div>\n<\/blockquote>\n<p><code>SHA256: 803dda6c8dc426f1005acdf765d9ef897dd502cd8a80632eef4738d1d7947269<\/code>  <\/p>\n<blockquote>\n<div class=\"spoiler\" role=\"button\" tabindex=\"0\">                         <b class=\"spoiler_title\">URL:<\/b>                         <\/p>\n<div class=\"spoiler_text\">\n<ul>\n<li>https[:]\/\/mante.li\/images\/draw.php<\/li>\n<li>https[:]\/\/bmanal.com\/images\/draw.php<\/li>\n<li>https[:]\/\/shopandtravelusa.com\/vendor\/monolog\/monolog\/src\/Monolog\/monolog.php<\/li>\n<li>https[:]\/\/industryinfostructure.com\/templates\/worldgroup\/view.php<\/li>\n<\/ul>\n<p>  <\/div>\n<\/p><\/div>\n<\/blockquote>\n<p><a href=\"https:\/\/bit.ly\/3PT6wqs?utm_source=habr&amp;utm_medium=article&amp;utm_campaign=v.ivshin&amp;utm_content=detalnyj_analiz_vredonosnogo_po,_zamaskirovannogo_pod_notepad++\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/xb\/o4\/gm\/xbo4gmrlicdllfwrmtuypqrlcgg.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/xb\/o4\/gm\/xbo4gmrlicdllfwrmtuypqrlcgg.jpeg\" data-blurred=\"true\"\/><\/a><\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/670268\/\"> https:\/\/habr.com\/ru\/articles\/670268\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-1\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\"><a href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/670268\/\"><\/p>\n<div style=\"text-align:center;\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/webt\/3k\/rh\/jz\/3krhjzsu21e9pm5nd3menzbisas.jpeg\" data-src=\"https:\/\/habrastorage.org\/webt\/3k\/rh\/jz\/3krhjzsu21e9pm5nd3menzbisas.jpeg\" data-blurred=\"true\"\/><\/div>\n<p><\/a><br \/>  Lazarus \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u043b\u0430 \u0441\u0432\u043e\u0438\u0445 \u0436\u0435\u0440\u0442\u0432 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u043e \u0432\u0430\u043a\u0430\u043d\u0441\u0438\u044f\u0445 \u0432 \u0442\u0430\u043a\u0438\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u0445, \u043a\u0430\u043a LockHeed Martin, BAE Systems \u0438 Boeing. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u043b\u0438 \u0436\u0435\u0440\u0442\u0432, \u0438\u0449\u0443\u0449\u0438\u0445 \u0440\u0430\u0431\u043e\u0442\u0443 \u0432 Boeing, \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430 Boeing BDS MSE.docx (<a href=\"https:\/\/twitter.com\/ShadowChasing1\/status\/1455489336850325519\"> \u0442\u0432\u0438\u0442 ShadowChasing1<\/a>). \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0438\u0437\u0432\u043b\u0435\u043a\u0430\u0435\u0442 \u0438\u043c\u044f \u0445\u043e\u0441\u0442\u0430, \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u0435\u0442\u0438, \u0441\u043f\u0438\u0441\u043e\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0437\u0430\u0442\u0435\u043c \u0434\u043e\u043b\u0436\u043d\u0430 \u0431\u044b\u043b\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043e\u0434\u0438\u043d \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 C2. \u041f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0436\u0438\u043c\u0430\u043b\u0438\u0441\u044c, \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c XOR, \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c Base64 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b\u0438\u0441\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 C2. \u0422\u0440\u043e\u044f\u043d \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0447\u0435\u0442\u044b\u0440\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0444\u0430\u0439\u043b .exe \u0438\u043b\u0438 .dll, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 PE (Portable Executable) \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0448\u0435\u043b\u043b-\u043a\u043e\u0434.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-414163","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/414163","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=414163"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/414163\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=414163"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=414163"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=414163"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}