Quasar و Sobaken و Vermin: الكشف عن تفاصيل حملة التجسس السيبراني الجارية

باستخدام أدوات الوصول عن بعد ، Quasar ، Sobaken ، و Vermin ، يقوم مجرمو الإنترنت بمراقبة وكالات الحكومة الأوكرانية وسرقة البيانات من أنظمتهم. تم ذكر هذه المجموعة الإلكترونية لأول مرة في تقرير في يناير 2018 ، وجذبت انتباه ESET في منتصف عام 2017 وتستمر اليوم في تطوير برمجياتها.

في هذا التقرير ، نكشف عن تفاصيل الحملة الحالية ، ونوفر معلومات حول البرامج الضارة ، ونصف الطرق التي يستخدمها المهاجمون لنشر الأهداف واستهدافها والتهرب من الكشف عنها.

الملف الشخصي المهاجمين

لا يبدو أن هذه المجموعة لديها معرفة فنية بارزة أو وصول إلى ثغرات يوم الصفر. ومع ذلك ، نجحت في تطبيق الهندسة الاجتماعية لنشر العمل المالفاري والسري لفترة طويلة.

تمكنا من تتبع عملها حتى أكتوبر 2015 ، ولكن من المحتمل أن تكون المجموعة قد بدأت أنشطتها قبل ذلك بكثير.

يستخدم المهاجمون ثلاثة تعديلات على .NET malvari: Quasar RAT (أداة الإدارة عن بُعد) و Sobaken (مشتق من RAT من Quasar) و RAT Vermin المخصص. تم استخدام الأدوات في نفس الوقت على نفس الأهداف ، فهي تشترك جزئيًا في البنية التحتية وتتصل بنفس خوادم C&C. التفسير المحتمل لاستخدام ثلاثة تعديلات متوازية هو حقيقة أنها تم تطويرها بشكل مستقل عن بعضها البعض.

الضحايا

يتم استخدام البرامج الضارة في الهجمات على الوكالات الحكومية الأوكرانية. وفقا للقياس عن بعد ESET ، تم تسجيل مئات الضحايا في مختلف المنظمات وعدة مئات من الملفات القابلة للتنفيذ المتعلقة بهذه الحملة.

الجدول الزمني

يوضح الشكل 1 أحداث الحملة الرئيسية بترتيب زمني.


الشكل 1. الشكل الزمني للحملة

التوزيع

وفقًا لبيانات القياس عن بُعد الخاصة بنا ، يستخدم المهاجمون البريد الإلكتروني كقناة توزيع أساسية لثلاث مجموعات RAT. يستخدمون الهندسة الاجتماعية لإقناع الضحايا بتنزيل البرامج الضارة وتشغيلها.

في معظم الحالات ، تتم كتابة أسماء الملفات باللغة الأوكرانية وترتبط بعمل الضحايا. فيما يلي أمثلة لهذه الملفات:

• "تعليمات لتنظيم حماية الخدمة العسكرية لأوكرانيا وهذا العضو في الأسرة" ("الأمر بشأن ضمان أمن الأفراد العسكريين في الجيش الأوكراني وأفراد أسرهم")
• "سأعاقب المسودة الجديدة ، وتعيين مراجعة Viluchennya" ("المسودة الجديدة لأمر التحقق من الانسحاب")
• "Donning OVK Zbіlshennya limu" ("قسم المشتريات Don HVAC. زيادة حد الائتمان")

بالإضافة إلى التقنيات الأساسية للهندسة الاجتماعية (لفت الانتباه إلى الاستثمار) ، يستخدم المهاجمون ثلاث طرق تقنية. من المحتمل أن يؤدي ذلك إلى تحسين أداء الحملة.

الطريقة رقم 1 : تستخدم تطبيقات البريد الإلكتروني حرف إلغاء Unicode من اليمين إلى اليسار ، والذي يغير اتجاه قراءة الأحرف ، لإخفاء الامتداد الحقيقي. في الواقع ، هذه ملفات قابلة للتنفيذ باستخدام رموز Word أو Excel أو PowerPoint أو Acrobat Reader ، حتى لا تتسبب في الشك.

مثال على اسم الملف: كما هو موضح في الشكل 2 ، "نقل الحطب الصلب (الحطب) للحرق غير المحمي _ <> xcod scr" ("نقل الحطب للتدفئة") سيبدو كملف .DOCX للمستخدمين غير المهتمين.


الشكل 2. ملف تنفيذي متنكّر في شكل مستند Word

الطريقة 2 : تطبيقات البريد الإلكتروني التي تتنكر كأرشيفات استخراج ذاتي لـ RAR.

مثال: بريد إلكتروني يحتوي على التطبيق "Punishment_MOU_Dodatka_do_Instrucii_440_ost.rar" ("أمر وزارة الدفاع ، المرفقات بالتعليمات رقم 440") ، كما هو موضح في الشكل 3. يوجد داخل أرشيف RAR ملف قابل للتنفيذ يسمى "Punishment_MOU_Dodatki_do_Instruciiii_440_ost.exe" باستخدام الرمز.

من المفترض أن الضحايا يقومون بتشغيل هذا الملف ، بانتظار المزيد من تفريغ محتويات أرشيف الاستخراج الذاتي ، ولكنهم بذلك يطلقون عن غير قصد ملفًا ضارًا قابل للتنفيذ.

الطريقة الثالثة : مستند Word + استغلال CVE-2017-0199. يتم تطبيق هذه الثغرة الأمنية عندما يفتح الضحية مستند Word معد خصيصًا. ترسل عملية Word طلب HTTP إلى ملف HTA يحتوي على برنامج نصي ضار موجود على خادم بعيد. ثم يتم تشغيل البرنامج النصي الخبيث بواسطة mshta.exe . ظهرت أول معلومات عامة حول هذه الثغرة الأمنية في أبريل 2017 ، وأغلقتها Microsoft عن طريق إصدار تحديث أمني لجميع إصدارات Windows و Office.

وفقًا لقياس ESET عن بُعد ، بدأ هؤلاء المهاجمون باستخدام هذه الطريقة في مايو 2017. استخدم المهاجمون hxxp: // chip-tuning lg [] ua / لتسليم ملفات HTA والحمولة النهائية.


الشكل 3 الشكل 3. ملف مقنع في أرشيف RAR استخراج ذاتي. تشير بيانات الإصدار وحقوق الطبع والنشر إلى أنها مزيفة

التثبيت والمثابرة

إجراء التثبيت هو نفسه بالنسبة للتعديلات الثلاثة للملفاري المستخدم من قبل هذه المجموعة. تقوم القطارة بتفريغ ملفات الحمولة (Vermin أو Quasar أو Sobaken) إلى المجلد %APPDATA% ، في مجلد فرعي باسم الشركة الشرعية (عادةً Adobe أو Intel أو Microsoft). ثم ، كما هو موضح في الشكل 4 ، يقوم بإنشاء مهمة في المجدول لتشغيل المكون كل 10 دقائق لضمان الثبات. تستخدم بعض الإصدارات أيضًا طريقة استخدام وظيفة اختصار لوحة تحكم Windows لجعل مجلداتها غير قابلة للوصول من مستكشف Windows. لن تفتح هذه المجلدات عند النقر عليها في Windows Explorer ؛ بدلاً من ذلك ، تفتح صفحة "All Tasks".


الشكل 4. مهمة تطلق مكون ضار كل 10 دقائق

أمثلة:

C:\Users\Admin\AppData\Roaming\Microsoft\Proof\Settings.{ED7BA470-8E54-465E-825C- 99712043E01C}\TransactionBroker32.exe
C:\Users\Admin\AppData\Roaming\Adobe\SLStore\Setting.{ED7BA470-8E54-465E-825C- 99712043E01C}\AdobeSLService.exe

الاستهداف

يستخدم المهاجمون الكثير من الحيل حتى لا تعمل البرامج الضارة إلا على الأجهزة المستهدفة. هم حريصون بشكل خاص لتجنب أنظمة التحليل الآلي وصناديق الرمل.

الطريقة رقم 1 : التحقق من تخطيط لوحة المفاتيح في Windows
يتحقق Malvar من تثبيت تخطيط لوحة المفاتيح الروسية أو الأوكرانية. إذا لم يكن كذلك ، يتوقف عملها على الفور.

الطريقة رقم 2 : تحقق من عنوان IP
تحصل Malvar على عنوان IP الخاص بجهاز كمبيوتر مصاب من خلال طلب لخدمة مشروعة
Ipinfo.io/json. سيتم الانتهاء من العمل إذا لم يتم العثور على عنوان IP في أوكرانيا أو روسيا ، أو إذا كان مسجلاً في أحد مقدمي الخدمات السحابية المختارين أو مطوري برامج مكافحة الفيروسات. يظهر الرمز الذي ينفذ التحقق في نتائج التفكيك في الشكلين 5 و 6.


الشكل 5. رمز التحقق من تحديد الموقع الجغرافي لعنوان IP للجهاز المصاب


الشكل 6. رمز يطابق عنوان IP مع قائمة بمزودي الخدمات السحابية وموردي مكافحة الفيروسات

الطريقة الثالثة : اختبار محاكاة الشبكة
غالبًا ما تستخدم أنظمة التحليل الآلي أدوات مثل Fakenet-NG ، حيث تنجح اتصالات DNS / HTTP وتنتج أي نتيجة. يحاول مؤلفو مالفاري تحديد مثل هذه الأنظمة من خلال إنشاء اسم موقع / عنوان URL عشوائي والتحقق من عدم وجود اتصال بعنوان URL هذا (في الشكل 7) ، كما سيكون على نظام حقيقي.


الرقم 7 الرقم. رمز إنشاء عنوان URL عشوائي وبدء التحميل

الطريقة الرابعة : التحقق من اسم مستخدم محدد
لا تبدأ البرامج الضارة تحت حساب باسم مستخدم نموذجي لأنظمة تحليل البرامج الضارة التلقائية ، كما هو موضح في الشكل 8.


الشكل 8. التوفيق بين اسم المستخدم الحالي وقائمة أنظمة تحليل البرامج الضارة المعروفة

تطبيق إخفاء المعلومات

منذ منتصف عام 2017 ، كان المهاجمون يستخدمون إخفاء المعلومات ، ويخفون المكونات الضارة في الصور على مواقع الاستضافة المجانية saveshot.net و ibb.co.

علم إخفاء المعلومات هو علم يسمح لك بإخفاء البيانات "بشكل كامل" ، داخل معلومات أخرى غير مصنفة. في حالتنا ، تم تشفير ملف EXE الضار وإخفائه في ملف JPEG ، كما هو الحال في الشكل 9. يقوم Malvar بتنزيل JPEG وفك تشفيره ، واستخراج البيانات المخفية ، وفك تشفير ملف EXE من هذه البيانات وتشغيله.


الشكل 9. مثال لصورة JPEG المستخدمة لإخفاء المكون الضار الذي تم تسليمه (تم تغيير حجمه وإزالته)

عملية فك التشفير معقدة للغاية ويمكن وصفها على النحو التالي:

1. تنزيل ملف JPEG من عنوان URL مشفر في ملف ثنائي.

2. القوة الغاشمة لكلمة مرور مكونة من ثمانية أرقام عن طريق حساب التجزئة الخاصة بها ومطابقتها مع التجزئة في الملف الثنائي الذي تم تنزيله. تستخدم هذه الخطوة وحدة المعالجة المركزية بشكل مكثف ؛ تستغرق أكثر من 10 دقائق لإكمالها على جهاز كمبيوتر عادي. على الأرجح ، هذا إجراء آخر لمواجهة أنظمة تحليل البرامج الضارة المؤتمتة.

3. معالجة ملف JPEG واستخراج البيانات المخفية فيه ، كما يمكن رؤيته من الكود المفكك في الشكلين 10 و 11. الخوارزمية المستخدمة من قبل البرامج الضارة تشبه إلى حد كبير تلك المستخدمة في JSteg ، واحدة من أقدم وأبسط خوارزميات إخفاء المعلومات لملفات JPEG. تخفي البيانات في LSB (البت الأقل دلالة) لمعاملات تحويل جيب التمام المنفصلة لملف JPEG. لا تؤثر هذه البيانات المخفية عادةً على الصورة المرئية للعين المجردة ، ولكن يمكن للخوارزميات المتخصصة اكتشاف وجودها بسهولة. ومع ذلك ، من السهل جدًا تنفيذ خوارزمية إخفاء المعلومات ، والتي ربما كانت السبب في اختيارها من قبل مؤلفي الملف.

4. استخراج البيانات وتفريغها باستخدام برنامج GZip.

5. فك تشفير البيانات غير المضغوطة على AES بكلمة المرور التي تم الحصول عليها في الخطوة رقم 2.

6. فك تشفير base64 البيانات المشفرة.

7. كتابة ملف EXE على القرص والتنفيذ.

ونتيجة لذلك ، تخلى مؤلفو هذا التهديد عن فكرة استخدام إخفاء المعلومات وبدأوا في استخدام hxxp: // chip-tuning lg [] ua لنقل الملفات القابلة للتنفيذ غير المشفرة.


الشكل 10. رمز إخفاء المعلومات داخل مفكك تشفير JPEG


الشكل 11. رمز إخفاء المعلومات داخل مفكك تشفير JPEG

تعديل مالفاري

يستخدم هؤلاء المهاجمون ثلاثة تعديلات للمالفاري في هجماتهم. نقدم أدناه نظرة عامة موجزة على كل منها ونركز على وصف السمات المميزة.

كوازار

Quasar هو RAT مفتوح المصدر متاح على GitHub. لقد رأينا العديد من الحملات التي استخدمت فيها هذه المجموعة الإلكترونية ملفات ثنائية Quasar RAT. استمرت الحملة المعروفة الأولى من أكتوبر 2015 إلى أبريل 2016. تم عقد الجلسة التالية في فبراير 2017. تظهر التحف التجميعية المسار إلى PDB n:\projects\Viral\baybak_files_only\QRClient\QuasarRAT-master\Library\obj\ Release\Library.pdb

تم تنفيذ حملة أخرى مع Quasar RAT ، باستخدام خوادم الأوامر لهؤلاء المهاجمين (mailukr.net) ، في يوليو - سبتمبر 2017. استخدم المهاجمون نسخة قديمة من Quasar RAT تسمى "xRAT 2.0 RELEASE3". تظهر آثار المترجم في مسار القطارة إلى PDB N:\shtorm\WinRARArchive\ obj\Release\WinRAR.pdb

سوباكين

Sobaken هو نسخة معدلة بشكل كبير من Quasar RAT. إذا قارنت بنية برنامجي Quasar و Sobaken ، يمكنك ملاحظة الكثير من الأشياء المشتركة - انظر الشكل 12.

قلل مؤلفو Sobaken وظائف البرامج الضارة ، لذلك أصبح الملف القابل للتنفيذ أصغر حجمًا وأسهل في الإخفاء. كما أضافوا حيلًا لتجاوز وضع الحماية وأخرى موصوفة أعلاه.


الشكل 12 الشكل 12. تطور Sobaken. Left Quasar RAT v1.3 ، في الوسط واليمين - نسختين من Sobaken

الهوام

Vermin هو باب خلفي مخصص يستخدمه هذا cybergroup فقط. للمرة الأولى ، تم توثيق البرامج الضارة في تقرير Palo Alto Networks يناير 2018. ظهر الباب الخلفي في منتصف عام 2016 ولا يزال قيد الاستخدام. مثل Quasar مع Sobaken ، هو مكتوب في .NET. لجعل التحليل صعبًا ، تتم حماية الكود باستخدام نظام حماية كود مفاعل .NET التجاري أو حامي المصدر المفتوح ConfuserEx.

بالإضافة إلى ذلك ، مثل Sobaken ، يستخدم Vitevic Assembly Embedder ، وهو برنامج مجاني لتضمين ملفات DLL الضرورية في الملف القابل للتنفيذ الرئيسي ، والمتوفر في Visual Studio Marketplace.

وظيفية

Vermin هو باب خلفي مميز بالكامل مع العديد من المكونات الاختيارية. يدعم أحدث إصدار معروف في وقت كتابة هذا التقرير (Vermin 2.0) الأوامر التالية ، والتي يمكن فهم جوهرها من الأسماء:
- StartCaptureScreen
- StopCaptureScreen
- دليل القراءة
- رفع الملف
- تنزيل الملف
- CancelUploadFile
- CancelDownloadFile
- GetMonitors
- حذف الملفات
- ShellExec
- العمليات
- KillProcess
- CheckIfProcessIsRunning
- CheckIfTaskIsRunning
- RunKeyLogger
- CreateFolder
- RenameFolder
- DeleteFolder
- UpdateBot
- RenameFile
- ArchiveAndSplit
- StartAudioCapture
- StopAudioCapture
- SetMicVolume

يتم تنفيذ معظم الأوامر في الحمولة الرئيسية. فقط عدد قليل من الأوامر والوظائف الإضافية - من خلال المكونات الاختيارية التي يتم تحميلها من قبل المهاجمين على آلة الضحية. من بين المكونات الاختيارية:
- تسجيل صوتي
- كيلوغر
- سرقة كلمة المرور
- سرقة ملف من USB (USB file stealer)

أداة تسجيل الصوت (AudioManager)

مكوّن كامل من الهوامش يمكنه تسجيل الصوت من ميكروفون كمبيوتر الضحية. يقبل ثلاثة أوامر Vermin: StartAudioCapture و StopAudioCapture و SetMicVolume. يتم ضغط البيانات المستلمة باستخدام برامج ترميز Speex وتحميلها بتنسيق SOAP إلى خوادم Vermin C&C.

Keylogger (KeyboardHookLib)

Keylogger in Vermin هو ملف تنفيذي منفصل بسيط يعترض كل ضغطات المفاتيح ويكتبها في الملف في شكل مشفر. كما يكتب محتويات المخزن المؤقت وأسماء النوافذ النشطة. لا يستطيع برنامج Keylogger نفسه الاتصال بخوادم Vermin C&C ؛ يتم استخدام الباب الخلفي الرئيسي لنقل المعلومات التي تم جمعها.

يؤكد المسار إلى PDB في keylogger الاتصال ببرنامج Vermin الضار:
Z:\Projects\Vermin\KeyboardHookLib\obj\Release\AdobePrintLib.pdb

أداة سرقة كلمة المرور (PwdFetcher)

يتم استخدام مكون سرقة كلمة مرور Vermin منفصل لاستخراج كلمات المرور المحفوظة من المتصفحات (Chrome و Opera). يبدو أن الجزء الرئيسي من الشفرة تم نسخه من مقالة من هبر . تحتوي بعض العينات أيضًا على رمز لاستخراج المعلومات من متصفح Firefox ، ولكن لا يبدو أنه مستخدم. كما هو موضح في الشكل 13 ، يحتوي هذا المكون أيضًا على مسارات PDB مشابهة لمكون keylogger ، مما يؤكد الاتصال مع Vermin.


الشكل 13. التحف التجميعية التي تسمح لك لربط عنصر سرقة كلمة المرور مع Vermin

أداة USB File Theft Tool (UsbGuard)

UsbGuard.exe هو مكون اختياري يستخدمه كل من Sobaken و Vermin. هذا هو برنامج صغير منفصل يراقب محركات أقراص USB المتصلة بالكمبيوتر وينسخ جميع الملفات التي تتوافق مع الفلتر الذي قام المهاجمون بتكوينه. ثم تُنقل الملفات المسروقة باستخدام الوحدة الخلفية الرئيسية. تم العثور على العديد من المسارات المختلفة لـ PDB في عينة هذا المكون ، مما يربطه بشكل واضح بـ Vermin.

منذ أبريل 2018 ، تم استخدام مكون سرقة الملف كأداة منفصلة. يقوم بنسخ الملفات وتحميلها على الفور إلى خادم يسيطر عليه المهاجم.

في العينات التي تم تحليلها ، بحث المهاجمون عن الملفات ذات الامتدادات التالية:
- وثيقة
- دوكإكس
- XLS
- XLSX
- الرمز البريدي
- رر
- 7 ز
- وثيقة
- النص
- RTF
- xlsm
- pdf
- jpg
- jpeg
- tif
- ODT
- ods

الخلاصة

من بين العديد من الهجمات باستخدام البرامج الضارة التي تستهدف أهدافًا عالية المستوى في أوكرانيا ، لم تحظ هذه الحملة باهتمام كبير. ربما يرجع ذلك إلى استخدام التعليمات البرمجية من مصادر مفتوحة. ومع ذلك ، فقد انتقلت المجموعة بالفعل إلى تطوير أدواتها الخاصة.

قد يرجع استخدام العديد من عائلات البرمجيات الخبيثة وآليات العدوى ، بما في ذلك الهندسة الاجتماعية وإخفاء المعلومات ، على مدى السنوات الثلاث الماضية إلى حقيقة أن المهاجمين يجربون طرقًا أو يعملون في عدة مجموعات.

يؤكد التطبيق الناجح للتقنيات التافهة (على سبيل المثال ، إرسال RAR و EXE عبر البريد الإلكتروني) على أهمية الحماية من العامل البشري.

مؤشرات التوافق (IoC)

خوادم C & C

Sobaken C&C

akamaicdn.ru
akamainet021.info
cdnakamai.ru
windowsupdate.kiev.ua
akamainet022.info
akamainet066.info
akamainet067.info
notifymail.ru
mailukr.net
188.227.16.73
212.116.121.46
206.54.179.160

Quasar C&C

188.227.75.189
mailukr.net
cdnakamai.ru
notifymail.ru

Vermin C&C

185.158.153.222
188.227.17.68
195.78.105.23
tech-adobe.dyndns.biz
notifymail.ru
akamainet023.info
mailukr.net
185.125.46.24
akamainet024.info
206.54.179.196

نقل المكونات واستخراج البيانات

chip-tuning.lg.ua
www.chip-tuning.lg.ua
olx.website
news24ua.info
rst.website
1ua.eu
novaposhta.website

SHA1

الهوام

028EBDBEBAC7239B41A1F4CE8D2CC61B1E09983B
07E1AF6D3F7B42D2E26DF12A217DEBACEDB8B1B9
09457ACB28C754AA419AB6A7E8B1940201EF3FFE
0EEE92EC2723ED9623F84082DAD962778F4CF776
10128AB8770FBDECD81B8894208A760A3C266D78
131F99A2E18A358B60F09FD61EE312E74B02C07C
14F69C7BFAF1DF16E755CCF754017089238B0E7B
1509F85DE302BE83A47D5AFAD9BEE2542BA317FC
170CEE6523B6620124F52201D943D7D9CA7B95E5
191159F855A0E580290871C945245E3597A5F25C
1F12C32A41D82E978DE333CD4E93FDAA1396BE94
22B17966B597568DB46B94B253CD37CBCF561321
2C7332D8247376842BD1B1BD5298844307649C99
2E08BA5DF30C0718C1733A7836B5F4D98D84905E
2EDF808F8252A4CBCB92F47A0AEDC1AAAE79A777
360F54B33AC960EE29CA0557A28F6BB8417EF409
431FCE6A47D0A48A57F699AA084C9FF175A9D15F
45438834FDC5C690DA3BC1F60722BE86B871280D
4A8A8188E3A7A137651B24780DF37CB6F610CC19
4C1E4E136B7922F9E28D1B38E9760E28929E4F0B
5B6EA57FFC09593C3B65D903368EA5F7FAA2EB68
61D366939FE36861B2FECB38A4DFF6D86C925A00
6A72366D8AE09F72F0466FB59E8ED372F8B460D7
6FECA622B0FB282064F7DE42BA472A8EC908D0D6
70A772485C5ED330C6876FA901BA722CD44CA05E
70D97367A3DBD5D45482B6AF8C78C58B64D3F3B3
7803FD9753930522705F2B6B4E73622887892C28
7B11A84B18DC4B5F1F2826E7925F0B2DC1B936AE
889FD0BEB3197DDD6C88F5C40D6B8E4D74A892CE
9B6FBABFA2A77FA633F7A2EB352979D5C68CEBC6
A451291F17489E3A59F440A1B693D691B053C531
A53D77E55A06CF131D670339BACEC5AC0F0C6D66
A925D0AFB5D4F5FAC65543C993BE4172F1DBF329
B5F81C804E47B76C74C38DF03A5CBE8A4FE69A9A
B99DE55043099E9506B304660B8E1374787AB195
C00C104FC3E9F5977D11C67EF0C8C671D4DFC412
CA0296FA9F48E83EA3F26988401B3F4C4E655F7A
D4C6540E789BD3839D65E7EDA5CCA8832493649E
D5EDE1BBB9A12757E24BE283AFC8D746ADC4A0D4
DEFBFD98C74BEFF839EEB189F0F6C385AD6BA19B
ECF152EB6417A069573F2C7D9A35B9CC31EC8F56
EE2D40825C77C8DFEF67999F0C521919E6672A10
EF09AC6BA08A116F2C4080CBEE8CEF9523E21265
F414C49CF502D1B6CC46E08F3AC97D7846B30732

سوباكين

087F77998004207BCCFFBF3030B6789648930FA5
0A4A2BCB3EF4E19973D5C4BE4E141B665CC0BFE0
1CEEF0813C0F096E6DA5461DC4B3BF901C500C56
293DBFF0230DAB3C4C21428F90C8EF06E9F35608
37E2947BFB5FC0839087C5BCE194EC193F824C85
39525CBCA591F2A10946BA62A56E4C3382CD4FC0
3CE0A18E9A8A2B95827008DBFF16364B6FEDF361
3E869038080DAE006FF6B20DF9B0CD9CB3A5E1A1
400830AB6DD46789B00D081ADF0F82623472FB13
43F382A330A454FF83F4F35FB571ECF587A4694A
4449FBE2B28A81B760B284880ADBED43462C2030
4712AF28168FD728A13EFD520E0665FFD076B6FB
4F504D7B35660943B206D6034752C686365EA58D
53239A62E09BB0B4E49B7954D533258FEF3342C4
540292753FA0CC4ACB49E5F11FEDEA4B7DEF11D8
5589E8018DC7F934A8FDAB62670C9140AF31CAB6
57BBA7D8786D3B0C5F93BC20AB505DF3F69C72D4
630FE59D60F6882A0B9E35ED606BF06AD4BA048C
63EA7C844D86882F491812813AAAD746738A6BE9
64121FA2FD2E38AC85A911A9F7ADD8CA1E1A9820
64DBA711FDD52FECF534CAC0C6FE8848FE36F196
650AB5E674FEF431EBC8CF98141506DDC80C5E64
6EF13E9D5B0B6FCB5EB2A7439AAD7B21EA7FB7AC
7177F64362A504F3DF8AA815CEF7136D5A819C04
9B91EC03A09C4CF6DBEC637B3551BDCA11F04A9B
A26764AFB1DAC34CAA2123F7BF3543D385147024
A55319D3DBD7B9A587F5156CF201C327C803FBC9
A841FF1EE379269F00261337A043448D3D72E6FD
AAB5BAAAE8A2577E1036769F0D349F553E4D129B
ACB989B3401780999474C5B1D7F9198ECA11549A
B65372E41E7761A68AEF87001BBB698D8D8D5EC6
BDB5E0B6CA0AA03E0BECA23B46A8420473091DFF
C4421084C19423D311A94D7BB6CB0169C44CBECD
C7E76993BB419DC755BD0C04255AB88E6C77B294
CF5238C467EBE2704528EED18AB4259BFDC604E3
D2334E161A1720E2DF048E4366150729B9395144
D35FB6E031720876482E728A40532703EF02A305
D82DF2903AA4BC5FD4274B5D1BFAF9E081771628
E4B3CBCA9A53B7B93177A270C2A76F981D157C34
E585AA2C5BFB9D42D2E58DB3833330D056713B9A
F4A485696FC871307C22906701CBBB3FA522499B
F5C75450108440D0BC9E7B210F072EF25A196D20

كوازار

0A4915B81D9A9ACF4E19181DEEEBBE244430C16B
323160C88A254127D9ADB2848AE044AFFF376A4D
395166835495B418773C9690227779D592F94F71
3EE410DD50FC64F39DFF0C4EE8CC676F0F7D5A74
5B665152F6596D4412267F9C490878455BA235F9
5FE8558EB8A3C244BE2DA8BE750221B9A9EE8539
61CB5E535F0AC90A1F904EC9937298F50E2B4974
6A1CD05F07B1024287CEA400237E1EA9D2FE1678
7676AFF05A3550E5BBFF78CF4D10C9E094447D72
86165F464EC1912A43445D80559D65C165E2CF76
AB3CD05BE6B0BA8567B84D10EDE28ABF87E115AC
BFD7158E1C2F6BA525E24F85ED8CCF8EF40FD370
CFEBEFC92DCDF1687FD0BC1B50457EBDEA8672A2
D21B8514990B0CEAC5EAE687DEAA60B447139B9D

إخفاء المعلومات

04DA3E81684E4963ABEC4C0F6D56DF9F00D2EF26
3C618A0C4BF4D3D24C9F2A84D191FC296ED22FA4
746155881D5AB2635566399ACC89E43F6F3DA91A
CADBC40A4EFB10F4E9BD8F4EC3742FA8C37F4231
E22CE72406B14EF32A469569FBE77839B56F2D69

ملفات Hta

39F5B17471FD839CC6108266826A4AD8F6ECD6A3
751FBD034D63A5E0A3CA64F55045AE24E575384A
76433D1D13DF60EC0461ED6D8007A95C7A163FF9
89DF6A7551B00969E22DC1CAE7147447ACA10988
D6D148050F03F5B14681A1BBF457572B9401B664

أداة تسجيل الصوت

1F49946CA2CE51DC51615000BAA63F6C5A9961F1
98F62C2E6045D5A15D33C8383ADACF9232E5FBE3
E7C4A69EBD7B41A6AF914DD3D3F64E1AA1ABE9B4
F233A0F2997BB554D4F1A4B7AC77DAE4180850FA

كيلوغر

21921864D2F1AB2761C36031A2E1D2C00C9B304A
3C2D0615BEF6F88FED6E308D4F45B6133080C74F
91E8346910E0E6783ACFC4F2B9A745C81BD7573A

أداة سرقة كلمة المرور

2A5C9D4DAE5E53B2962FBE2B7FA8798A127BC9A6
9B1586766AF9885EF960F05F8606D1230B36AC15
A2F0D5AF81D93752CFF1CF1E8BB9E6CAEE6D1B5E
CE18467B33161E39C36FC6C5B52F68D49ABCFC2A

أداة USB لسرقة الملفات

050EB7D20EE8EF1E1DAEE2F421E5BF648FB645DF
069A919B3BC8070BB2D71D3E1AD9F7642D8ECF0F
0D265E0BDA9DF83815759ABCA64938EC0FF65733
0D7DF910D0FB7B100F084BFB8DFA0A9F2371171A
2FF3F5DA2960BE95E50B751680F450896AD1ED67
3200ECC7503F184F72AB9DA1DC3E1F8D43DDFD48
46D256EF277328E803D2B15CA7C188267059949D
524EE1B7269D02F725E55254A015200BB472463A
53A0EFD3D448DA8E32CFDDA5848312D3CF802B06
6FC150A9CAFA75813E7473C687935E7E4A5DCE24
70559245303F99630A27CB47B328C20C9666F0BB
7D8044A5CBEFE3B016F2132A5750C30BB647E599
8FD919D531A7A80615517E1AC13C2D0F050AF20D
9D22421DA9696B535C708178C72323F64D31FC80
BFD2DFA3D6AF31DF4B9CC2F6B31B239ADF1CECA1
C08A6222B59A187F3CF27A7BAE4CACFACC97DDEE
C2F6A65E14605828880927B9BA3C386507BD8161
C562006D2FA53B15052A4B80C94B86355CCA7427
CB43058D9EBB517832DF7058641AEDF6B303E736
CC8A9C28E884FDA0E1B3F6CEAB12805FEA17D3C1
D3CC27CA772E30C6260C5A3B6309D27F08A295CD
E7A2DE3776BA7D939711E620C7D6AB25946C9881
EE6EFA7A6A85A1B2FA6351787A1612F060086320
EF0ABB3A0CD1E65B33C0F109DD18F156FC0F0CDE
F63BE193C8A0FBB430F3B88CC8194D755BAD9CD1

كشف ESET

تم التعرف على معظم الملفات تلقائيًا بواسطة ESET استنادًا إلى مبدأ تشابه البرامج الضارة. ترتبط الاكتشافات بشكل مباشر بمعظم الملفات في الحملة:
MSIL/Agent AWB
MSIL/Agent AZG
MSIL/Agent AZJ
MSIL/Agent AZX
MSIL/Agent BCH
MSIL/Agent BCV
MSIL/Agent BCY
MSIL/Agent BFT
MSIL/Agent BGB
MSIL/Agent BGC
MSIL/Agent BGE
MSIL/Agent BGM
MSIL/Agent BJU
MSIL/Agent SCM
MSIL/Spy Agent BBB
MSIL/Spy Agent BIF
MSIL/TrojanDownloader Agent DYV
MSIL/TrojanDownloader Small BBM
MSIL/TrojanDropper Agent DBE
MSIL/TrojanDropper Agent DJQ
MSIL/TrojanDropper Agent DJR