windows

Anti-debug — набор приёмов, которыми программа определяет, запущена ли она под отладчиком. Вредоносное ПО использует их, чтобы усложнить анализ; легитимные приложения — для защиты коммерческой логики. Исследователю важно распознавать эти техники на этапе статического и динамического анализа: они...

Обзор и происхождение Konni — Windows-семейство вредоносного ПО класса RAT/ботнет, связываемое исследователями с северокорейской активностью и тесно пересекающееся с кластером Kimsuky. Семейство активно как минимум с середины 2010-х годов и фигурирует в каталоге Malpedia (Windows-раздел) как...

Обзор и происхождение Kimsuky — северно-корейская APT-группа, активная с начала 2010-х годов и отслеживаемая под множеством псевдонимов (Thallium, APT-C-26, Velvet Chollima, Mercury и др.). Классификация malware_type «botnet» отражает наличие зафиксированной инфраструктуры управления: в...

Обзор и происхождение DarkVNC — семейство вредоносного ПО для Windows, относящееся к классу инструментов удалённого доступа (RAT/backdoor) с функциональностью VNC-управления. Его основная задача — предоставить оператору скрытое интерактивное управление рабочим столом жертвы: просмотр и...

Обзор и происхождение DeltaStealer — семейство Windows-стилеров класса «stealer-as-a-service», предназначенное для массового сбора учётных данных, cookie-сессий, данных браузеров, криптовалютных кошельков и данных мессенджеров с последующей отправкой на сервер управления (C2). Семейство...

Обзор и происхождение SeroRAT — семейство вредоносного ПО для Windows, сочетающее свойства удалённого доступа (RAT) и ботнета: заражённые машины подключаются к серверу управления (C2) и ожидают команд оператора. Семейство фигурирует в открытых базах индикаторов под собственной подписью SeroRAT...

Обзор и происхождение CloudEyE — это семейство вредоносных загрузчиков для Windows, тесно связанное с упаковщиком/криптером, известным по связи с GuLoader (также встречается написание Parallax). В экосистеме угроз CloudEyE часто фигурирует как имя самого протектора, под которым распространяются...

Обзор и происхождение WARDENStealer — семейство Windows-стилера класса «stealer-as-a-service», предназначенное для массового сбора учётных данных, cookie-сессий, данных браузеров и криптовалютных кошельков с последующей отправкой на сервер управления (C2). В MalwareBazaar семейство фигурирует...

Обзор и происхождение Mirai — известное семейство вредоносного кода, изначально создавшееся как ботнет для скомпрометированных Linux-устройств интернета вещей (камеры, роутеры, DVR) и прославившееся масштабными DDoS-атаками 2016 года, в том числе на DNS-провайдера, обслуживавшего крупные...

NX bit (No-eXecute bit) — аппаратный флаг в записях таблиц страниц процессора, который запрещает выполнение инструкций из определённых областей памяти. DEP (Data Execution Prevention) — системная политика Windows, использующая этот флаг для защиты от запуска кода из данных. Вместе они образуют...

Обзор и происхождение Satacom — семейство вредоносного ПО для Windows, сочетающее свойства загрузчика/ботнета и модели «stealer-as-a-service». В открытых источниках и базах индикаторов семейство фигурирует также под именем LegionLoader: тег LegionLoader сопровождает свежие IOC-записи, что...

Обзор и происхождение GCleaner — семейство вредоносного ПО для Windows, сочетающее функции загрузчика и ботнета: первичная задача — закрепиться на узле, получить конфигурацию и команды с управляющего сервера и доставить вторичную нагрузку. Семейство имеет запись в каталоге Malpedia...

Обзор и происхождение TitanStealer — семейство инфостилеров для Windows, зарегистрированное в каталоге Malpedia (win.titan_stealer) и продолжающее появляться в актуальных IOC-потоках, в частности в ThreatFox, что указывает на текущую, а не историческую активность. Основная задача семейства —...

Обзор и происхождение CountLoader — семейство загрузчика (loader-as-a-service) для Windows, функция которого — закрепление на узле, получение команд с управляющего сервера и доставка вторичной нагрузки. Семейство зафиксировано в каталоге Malpedia (win.count_loader), а свежие образцы и IOC...

Обзор и происхождение YapStealer — инфостилер для Windows, задача которого — массовый сбор учётных данных, cookie-сессий браузеров и данных криптовалютных кошельков с последующей выгрузкой на серверы оператора. Семейство отслеживается в MalwareBazaar под подписью YapStealer; самостоятельной...

Обзор и происхождение Donut (в каталогах фигурирует как donut_injector) — это не классический бот или стилер, а инструмент преобразования полезной нагрузки в позиционно-независимый shellcode с последующей инъекцией в память процессов Windows. Первоначально проект был опубликован как open-source...

Обзор и происхождение SmartLoader — семейство вредоносного ПО для Windows, классифицируемое как загрузчик/ботнет: его задача — закрепиться на узле, получить конфигурацию и команды с управляющего сервера и доставить вторичную нагрузку. Семейство зафиксировано в каталоге Malpedia...

Обзор и происхождение Collection RAT — семейство вредоносного ПО класса RAT (Remote Access Trojan) для Windows, обеспечивающее оператору удалённый контроль над заражённой рабочей станцией. Семейство зафиксировано в Malpedia (запись win.collection_rat), а в базе ThreatFox присутствуют...

Обзор и происхождение QuirkyLoader — семейство вредоносных загрузчиков (loader/downloader) для Windows, основная функция которых — доставка, расшифровка и запуск последующих стадий вредоносного ПО на скомпрометированной машине. Сам по себе загрузчик не содержит финальной нагрузки: он выступает...

Обзор и происхождение NWHStealer — семейство инфостилеров для Windows, отслеживаемое в MalwareBazaar под одноимённой сигнатурой. Семейство относится к классу «stealer-as-a-service»: его основная задача — массовый сбор конфиденциальных данных пользователя с последующей выгрузкой на сервер...