گسارش تحلیل باج افسار Iron

یلاؼت ِوسات

راسفا جاب لیلحت شراسگ

Iron

: شساگً خیسات 11 / 02 / 1397

2

: همدقم

ساضفا جات تیلاؼف عٍشض صا ،ساضفا جات ٌِیهص سد یشثیاس یاضف ذغس ٍ ُذّاطه Iron یه شثخ .ذّد يیا جات ماً ِت ساضفا یاّ Iron Locker ٍ Iron Unlocker یه ِتخاٌض ضیً یسسشت .دَض یه ىاطً اّ يیا تیلاؼف ذّد جات لاس لیسٍآ ُاه یاذتتا سد ساضفا 2018 یه شظً ِت ٍ ُذض عٍشض یدلایه یٍس شت شتطیت ىآ ضکشوت ذسس یه ىاتص یسیلگًا ىاشتساک .ذضات ساضفا جات یسسشت ٍ لیلحت صا سپ اه یاشت ِچًآ ،سَکزه يیا ،تسا حضاٍ جات ِک تسا ساضفا Iron ،ِؼسَت ٍ یحاشع سد ُداًَاخ ِس صا للاذح جات فلتخه یاّساضفا ُدَوً یسادشت یپک تسا ُداًَاخ يیا . یه شیص ةیتشت ِت اّ : ذٌضات  جات ساضفا Maktub Locker : تسَپ یحاشع سد جات ماغیپ ٍ جات تخادشپ لا یّاَخ  جات ساضفا DMA Locker : سد لاتسَپ لیاف ییاطگضهس اّ  ساضفا جات Satan : عًَ سد لیاف یاّ فذّ دسَه جات يیا ساضفا وّ جات شثکا ذًٌا اّساضفا ، لیاف یسازگضهس صا سپ اّ تیت یاضامت ىایًاتشل صا یه يیَک .ذٌک

: ییارجا لیاف تاصخشم

لیاف مان

ado46, Iron.exe, ftp.exe, core.scr

MD5 1e66656db55e3d599d2a529fff3d34a6 SHA-1 f51bab95b4e4516b593df9affc2d11a4496bd5be SHA-652 15ee6d4a95d9f55145666ca69bd133edf595cc5b5c555e9662be924c6bb5e996 لیاف هزادنا 55995 KB : تسا صخت تفّ یاساد ساضفا جات يیا ییاشخا لیاف صخت ماً یپٍشتًآ یصاده سسدآ یصاده ُصاذًا ماخ ُصاذًا .text 0 4096 613834 0 shared 0 618496 17656 0 .rdata 6.09 638976 263212 263680 .data 0 905216 101676 0 .vmp0 0 1007616 13255 0 .vmp1 7.95 1024000 345644 346112 .rsrc 4.22 1372160 152996 2048

3

: ایوپ لیلحت

كیوػ یسسشت یاشت ساضفا جات شت Iron اس ىآ دشکلوػ ات نیدشک اشخا یّاگطیاهصآ ظیحه سد اس ىآ ییاشخا لیاف ، دسَه کیدضً صا جات داد ىاطً یسسشت يیا صا لغاح حیاتً .نیّد ساشل یسسشت لیاف ،ُساضا دسَه ساضفا یاّ یسَتکشیاد سد دَخَه نتیسَگلا صا ُدافتسا ات اس ظاخ یاّذًَسپ یاساد ٍ ظاخ ییاّ یساگًضهس یاّ AES ٍ RSA یه یسازگضهس ،ذٌک جات ساضفا ، ،یسازگضهس ذٌیآشف ماوتا صا سپ لیاف سد دَخَه یاّ Recycle Bin ضیً اس یه فزح جات .ذٌک ساضفا Iron ای یتایصات طامً Shadow Volume Copies

یوً فزح اس ذٌک یه يیاشتاٌت ، ىاَت لیاف ىذًادشگصات ِت اّ ِتفس تسد صا ی .دَت ساٍذیها جات يیا يیٌچوّ تیمفَه یسازگضهس صا سپ ساضفا ضیهآ لیاف جات ماغیپ ،اّ صیاوً ِت اس دَخ یّاَخ یه .دسازگ جات يیا لیاف ساضفا پ ات ییاّ ذًَس یسازگضهس اس شیص یاّ یه .ذٌک

.000, .0cd, .3fr, .8ba, .8bc, .8be, .8bf, .8bi8, .8bl, .8bs, .8bx, .8by, .8li, .DayZProfile, .abk, .ade, .adpb, .adr, .aip, .amxx, .ape, .api, .apk, .arch00, .aro, .arw, .asa, .ascx, .ashx, .asmx, .asp, .asr, .asset, .bar, .bay, .bc6, .bc7, .bi8, .bic, .big, .bin, .bkf, .bkp, .blob, .blp, .bml, .bp2, .bp3, .bpl, .bsa, .bsp, .cab, .cap, .cas, .ccd, .cch, .cer, .cfg, .cfr, .cgf, .chk, .class, .clr, .cms, .cod, .col, .con, .cpp, .cr2, .crt, .crw, .csi, .cso, .css, .csv, .ctt, .cty, .cwf, .d3dbsp, .dal, .dap, .das, .db0, .dbb, .dbf, .dbx, .dcp, .dcr, .dcu, .ddc, .ddcx, .dem, .der, .desc, .dev, .dex, .dic, .dif, .dii, .disk, .dmg, .dmp, .dob, .dox, .dpk, .dpl, .dpr, .dsk, .dsp, .dvd, .dxg, .elf, .epk, .eql, .erf, .esm, .f90, .fcd, .fla, .flp, .for, .forge, .fos, .fpk, .fpp, .fsh, .gam, .gdb, .gho, .grf, .h3m, .h4r, .hkdb, .hkx, .hplg, .htm, .html, .hvpl, .ibank, .icxs, .img, .indd, .ipa, .iso, .isu, .isz, .itdb, .itl, .itm, .iwd, .iwi, .jar, .jav, .java, .jpe, .kdc, .kmz, .layout, .lbf, .lbi, .lcd, .lcf, .ldb, .ldf, .lgp, .litemod, .lng, .lrf, .ltm, .ltx, .lvl, .m3u, .m4a, .map, .mbx, .mcd, .mcgame, .mcmeta, .md0, .md0, .md2, .md3, .mdb, .mdbackup, .mddata, .mdf, .mdl, .mdn, .mds, .mef, .menu, .mm6, .mm7, .mm8, .moz, .mpq, .mpqge, .mrwref, .mxp, .ncf, .nds, .nrg, .nri, .nrw, .ntl, .odb, .odf, .odp, .ods, .odt, .orf, .owl, .oxt, .p02, .p7b, .p7c, .pab, .pbp, .pef, .pem, .pfx, .pkb, .pkh, .pkpass, .plc, .pli, .pot, .potm, .potx, .ppf, .ppsm, .pptm, .prc, .prt, .psa, .pst, .ptx, .pwf, .pxp, .qbb, .qdf, .qel, .qic, .qpx, .qtr, .r3d, .raf, .re4, .res, .rgn, .rgss3a, .rim, .rofl, .rrt, .rsrc, .rsw, .rte, .rw2, .rwl, .sad, .sav, .sc2save, .scm, .scx, .sdb, .sdc, .sds, .sdt, .shw, .sid, .sidd, .sidn, .sie, .sis, .slm, .slt, .snp, .snx, .spr, .sql, .sr2, .srf, .srw, .std, .stt, .sud, .sum, .svg, .svr, .swd, .syncdb, .t00, .t03, .t05, .t02, .t03, .tar.gz, .tax, .tcx, .thmx, .tlz, .tor, .torrent, .tpu, .tpx, .ttarch2, .tur, .txd, .txf, .uax, .udf, .umx, .unity3d, .unr, .uop, .upk, .upoi, .url, .usa, .usx, .ut2, .ut3, .utc, .utx, .uvx, .uxx, .vcd, .vdf, .ver, .vfs0, .vhd, .vmf, .vmt, .vpk, .vpp_pc, .vsi, .vtf, .w3g, .w3x, .wad, .war, .wb2, .wdgt, .wks, .wmdb, .wmo, .wotreplay, .wpd, .wpl, .wps, .wtd, .wtf, .x3f, .xla, .xlam, .xlc, .xlk, .xll, .xlm, .xlr, .xlsb, .xltx, .xlv, .xlwx, .xpi, .xpt, .yab, .yps, .z02, .z04, .zap, .zipx, .zoo, .ztmp

4 جات ِک ییاّذًَسپ یسسشت ات ساضفا Iron یه یسازگضهس جات يیا ِک نیذض ِخَته ذٌک دسَه ضیً اس اّشویگ ساضفا یه ساشل فذّ ذّد اشیص ، ییاّذًَسپ ذًٌاه vdf, .wotreplay, .DayZProfile . لیاف ِت طَتشه یاّ یصات یاّ یه یشتَیپهاک .ذضات ،ذّد یه ىاطً ُذهآ تسذت حیاتً یسَتکشیاد اّ جات ظسَت شیص ی ساضفا Iron یسازگضهس یوً .ذًَض

windows, Microsoft, Mozilla Firefox, Opera, Internet Explorer, Temp, Local, LocalLow, $Recycle.bin, boot, i₃₈₆, st_v₂, intel, recycle, ₃₆₀rec, ₃₆₀sec, ₃₆₀sand, internet explorer, msbuild

تسا حضاٍ ِک

043rec, 043sec, 043sand ظسَت Qihoo ₃₆₀ ، ِک يیچ سد شمتسه یتیٌها تکشض کی تسا ، ِتفای ِؼسَت ذًا . لاثه سَع ِت سٍشیٍ یتًآ 360 Total Security تکشض يیا تلاَػحه صا یکی یه .ذضات .دساد دَخٍ ذٌضات یٌیچ ،ساضفا جات ىاگذٌّد ِؼسَت ِکٌیا لاوتحا يیاشتاٌت جات یهَوػ ذیلک کی ُساضا دسَه ساضفا RSA ذٌک یه فیشؼت شیص تسَغ ِت اس . MIGJAoGBAIOYf3KqEOGaxdLmMLypMyZ1q/K+r4DuCdYpwZfs3EPug0ye7UjZa3QMOP5/Oy Srl/uBJtkmEghEtUEo/zfcBJ7007O1ytJ7/ebIUv+ZcN1Rlswzdv7uZxYRC8u1HvrgBvAz6Atbzx+ FbFVqLB3gGixYTqbjqANq71AR4r91+oJtAgMBAAE= ىاطً شیص شیَػت ُذٌّد لیاف جات يیا ظسَت ُذض یسازگضهس یاّ یه ساضفا .ذضات

5 ضیً شیَػت سد ِک سَغًاوّ لتال ُذّاطه ،تسا لیاف ماوت ذًَسپ سپ اّ صا ِت ،یسازگضهس " .encry " اذیپ شییغت یه ماً ِت لیاف کی ٍ ذٌک !HELP_YOUR_FILES تهشف ات HTML یه دادیا جات ماغیپ لهاض ِک دَض یّاَخ یه .ذضات جات ماغیپ شیص شیَػت سد جات یّاَخ ساضفا Iron یه ُذّاطه اس .ذیٌک

6 جات ماغیپ ساسا شت لیاف ،یّاَخ ظَػخه ٍ یَل ذیلک کی ات اّ یًاتشل نتسیس یاشت ِک ،تسا ُذض ذیلَت ُذض یسازگضهس ٍ ذیلک یغَػخ لیاف ییاطگضهس تْخ سسدآ ِت یفخه سٍشس کی یٍس شت اّ http://y5mogzal7w75p4bn.ml ییاطگضهس ذیلک تفایسد یاشت ىایًاتشل ِک ،تسا ُذض ُشیخر تًشتٌیا سد لیاف ِت دٍسٍ یاشت یًاتشل .ذٌیاوً ِؼخاشه ىآ ِت ذیات اّ ذیات تیاس بٍ يیا دَخ ِت طَتشه ِساٌض سد ِک جات ماغیپ یاْتًا تسا ُذهآ یّاَخ اس ُدَوً ملاػا يیوخاْه .ذیاوً دساٍ ذًا ِک یًاتشل تسیات یه غلثه 0.2 تیت تیت لَپ فیک ِت اس يیَک يیَک 1cimKyzS46PRNEiG89iFU0qzckVuEQuUj ذٌیاوً لاسسا ، شیغ سد ِک جات تخادشپ تلْه ىایاپ صا سپ تسَغ يیا 12 یه تػاس سٍشس ،ذضات ، يیت صا اس ییاطگضهس ذیلک ُدشت ٍ لیاف ذٌتسیً ییاطگضهس لتال شگید اّ . سسدآ ِت یلیویا ،نخاْه ًاٌوض recoverfile@mail7tor.com ً اس ضی طاثتسا یاشت یًاتشل ات یشیگ سا ُداد ساشل یّاَخ جات ماغیپ سد ، .ت

7 تخادشپ ُاگسد ِت طَتشه شیٍاػت جات ساضفا Iron یه ُذّاطه شیص سد اس .ذییاوً یتیاس بٍ ِت ِؼخاشه صا سپ یًاتشل ِساٌض ،ِعَتشه سداک سد ذیات ذض ُساضا ِک یٍس شت ٍ ذیاوً دساٍ اس دَخ ِوکد ی Submit دٍسٍ صا سپ .ذیاوً کیلک ، ماغیپ یه ُداد صیاوً یًاتشل ِت شیص یاّ : دَض

8 ىاٌَػ ات لٍا ماغیپ " !ملاس " ، یه ُداد صیاوً یًاتشل ِت یػخض ِساٌض ىدشک دساٍ صا سپ ىآ سد ٍ دَض لیاف ِکٌیا صا اس دَخ یساسهشض صاشتا نخاْه ُذض یسازگضهس اّ ُدَوً ملاػا ِهادا سد ٍ تسا ُدشک ملاػا ،ذًا لیاف ِک يیا تسَغ سد یه اس دَخ یاّ غیشس ِچ شّ ذیّاَخ غلثه شت .ذییاوً تخادشپ اس جات مٍد ماغیپ َُحً لیاف ییاطگضهس ی اّ جات غلثه تخادشپ صا سپ یه ىاطً اس ذّد سد یؼس نخاْه ادٌیا سد . یًاتشل داوتػا ةلخ دساد جات تخادشپ یاشت .

9 سد ِک ىاٌَػ يیا ات مَس ماغیپ " ؟دَض تخادشپ ذیات جات ساذمه ِچ " یه ملاػا نخاْه لٍذخ كثع ِک ذٌک َخَه ،د یه ِلحشه ذٌچ لهاض تخادشپ تلْه ِک ذضات ،تخادشپ تلْه ىایاپ تسَغ سد ِلحشه دساٍ ذؼت ی ی ُذض ِچ شّ یًاتشل لٍذخ يیا كثع .تفای ذّاَخ صیاضفا ضیً جات غلثه ٍ غلثه شتؼیشس ذیاوً تخادشپ اس جات سشض شتوک یه ذٌک صا ذؼت ِک یتسَغ سد . 15 ض ًَِگ چیّ دَطً تخادشپ جات غلثه صٍس ُشیخر یاشت یتًاو ٍ دَض غغل یًاتشل یاشت تیاس ات طاثتسا تسا يکوه ِظحل شّ ٍ دساذً دَخٍ ییاطگضهس ذیلک ِت یسشتسد لیاف .ذًٍشت يیت صا ِطیوّ یاشت ُذض یسازگضهس یاّ

10 ىاٌَػ ات مساْچ ماغیپ " ؟نّد مادًا اس تخادشپ یمیشع ِچ صا " ذضات یه ،ىآ كثع شت غلثه تخادشپ صا سپ دسَه ،شظً یه لَع ِمیلد کی لیاف ییاطگضهس یاشت مصلا یاّساضتا ات ذطک خا سد اّ سد .دشیگ ساشل یًاتشل سایت جات غلثه ،ِهادا تیت لَپ فیک سسدآ ، لیاف ییاطگضهس یاّساضتا ٍ يیَک یه لاؼف تخادشپ صا سپ ِک اّ ،ذًَض ِتفشگ ساشل .ذًا ِتکً يیا سد ِک یا یه اخ دآ دَوً ُساضا ىآ ِت ىاَت تیت لَپ فیک سس یه يیَک ات ِک ذضات جات ماغیپ سد ِک یسسدآ .تسا تٍافته دساد دَخٍ یّاَخ اها ندٌپ ماغیپ سد تیاس بٍ سسدآ ، ییاّ تیت ِیْت تْخ .تسا ُذض ُداد ساشل يیَک یسسشت كثع یتًآ شثکا ُذض مادًا یاّ سٍشیٍ جات يیا ،شثتؼه یاّ ییاساٌض ىاخٍشت کی ىاٌَػ ِت اس ساضفا ُدَوً جات رَفً لاوتحا ازل .ذًا ِهاًصشّ ِلوخ صا لٍاذته یاّ ُاس صا نتسیس ِت ساضفا .دساد دَخٍ اّ

:اتسیا لیلحت

صا سپ ذک یسسشت جات غثٌه ساضفا : ذیدشگ لغاح شیص حیاتً صیپ ِک سَغًاوّ ضیً شت ذض ُساضا ، غثٌهذک جات يیا ات یتاّاثض ساضفا غثٌهذک جات ساضفا Satan دساد . كثع یسسشت َُحً ُذض مادًا یاّ یسازگضهس ی لیاف ظسَت اّ جات ٍد تسا تٍافته شگیذکی ات ساضفا اها ، ت ط تا یتاْ لیاف تسیل سد یه ساشل فذّ دسَه ِک ییاّ جات ٍد يیت ذٌّد سد ِک تسا ُذض ُذّاطه ساضفا لتال شیص شیَػت یه ُذّاطه .ذضات

11 جات يیا صا ساضفا ًِاختاتک اّ ی ٍ ی صٍذٌ ی ؼتاَت ُاشوّ ِت ی ًِاختاتک صا ماذکشّ صا ه ُدافتسا اّ ی ذٌک . شیَػت سد جات غثٌهذک ِت طَتشه ِک شیص ساضفا Iron یه ذضات دشتساک ًِاختاتک يیا تسا ُذّاطه لتال یتَخ ِت اّ . يیٌچوّ ًِاختاتک يیا لهاک تسیل ِهادا سد ضیً ُدافتسا دسَه غتاَت ُاشوّ ِت اّ .تسا ُذهآ يته

12 USER₂₃.dll USER₂₃.dll USER₂₃.dll WINHTTP.dll GetProcessWindowStation GetSysColorBrush GetUserObjectInformation W MessageBoxA OpenClipboard CloseClipboard DialogBoxParam W EmptyClipboard GetDlgCtrlID GetDlgItem SendMessageA SetClipboardData SetDlgItemTextA SetWindowLongA SetWindowPos wsprintfA WinHttpCloseHandle WinHttpQueryHeaders WS₃_₂₃.dll SHELL₂₃.dll ole₂₃.dll GDI₂₃.dll ADVAPI₂₃.dll gethostbyname inet_addr inet_ntoa WSACleanup WSAStartup ShellExecuteA SHEmptyRecycl eBinA SHGetFolderPat hW CoCreateGuid CoCreateInstance CoInitialize CoTaskMemFree CoUninitialize CreateFontIndirectA CreateSolidBrush GetObjectA GetStockObject SetBkColor SetTextColor DeregisterEventSource RegisterEventSourceA ReportEventA

13 KERNEL₂₃.dll KERNEL₂₃.dll KERNEL₂₃.dll KERNEL₂₃.dll KERNEL₂₃.dll UnhandledException Filter VirtualFree VirtualQuery WaitForSingleObject Ex WideCharToMultiBy te WriteConsoleW WriteFile TlsFree TlsGetValue TlsSetValue GetCPInfo GetCurrentProcess GetCurrentProcessId MoveFileExW MultiByteToWideCh ar TlsAlloc GetConsoleMode GetCurrentThreadId GetEnvironmentString sW GetFileAttributesExW GetFileType GetLastError GetModuleFileNameA GetModuleFileName W GetModuleHandleA GetModuleHandleEx W GetModuleHandleW GetOEMCP GetProcAddress GetProcessHeap GetStartupInfoW GetStdHandle GetStringTypeW QueryPerformanceCo unter RaiseException ReadConsoleInputA ReadConsoleW ReadFile ReleaseMutex ResetEvent RtlUnwind SetConsoleCtrlHandl er SetConsoleMode SetEndOfFile SetEnvironmentVari ableA SetEvent SetFilePointerEx SetLastError SetStdHandle SetUnhandledExcept ionFilter Sleep TerminateProcess CloseHandle CompareStringW CreateEventW CreateFileW CreateMutexA DecodePointer DeleteCriticalSection EncodePointer EnterCriticalSection ExitProcess FindClose FindFirstFileExA FindNextFileA FlushConsoleInputBuffer FlushFileBuffers FreeEnvironmentStringsW FreeLibrary GetACP GetCommandLineA GetCommandLineW GetConsoleCP GetSystemTimeAsFileTime GetTickCount GlobalAlloc GlobalLock GlobalMemoryStatus GlobalUnlock HeapAlloc HeapFree HeapReAlloc HeapSize InitializeCriticalSectionAndSpi nCount InitializeSListHead IsDebuggerPresent IsProcessorFeaturePresent IsValidCodePage LCMapStringW LeaveCriticalSection LoadLibraryA LoadLibraryExW LocalAlloc LocalFree ،ذّد یه ىاطً اّ لیلحت صا لغاح حیاتً ذک جات ساضفا Iron شػحٌه لاهاک تسا دشف ِت کی ذًٌاه ٍ جات ساضفا ذیذخ لاهاک یه شظً ِت ٍ ذسس ساد دَخٍ ضیً ىاکها يیا ِک د ظسَت یثًاخ ُطٍشپ کی ِؼسَت جات ىاگذٌّد ساضفا Satan .ذضات ،لاح يیا ات سَع ِت غغل یوً تفگ ىاَت ِک ِچ یسک یٍّشگ ای ُذٌّد ِؼسَت جات يیا ساضفا .تسا یسررب ساسا رب جاب ،هتفرگ تروص یاه راسفا Iron ،ارجا زا سپ 32 یم داجیا ار دنیارف اهدهنیارف فهیا ههک ،دنک یم ریز تسیل قبط : دنشاب Iron.exe

iexplore.exe http://y₅mogzal₃w₃₅p₆bn.ml/

iexplore.exe SCODEF:₃₅₃₈ CREDAT:₃₇₅₅₅₇ /prefetch:₃

iexplore.exe http://y₅mogzal₃w₃₅p₆bn.ml/

iexplore.exe SCODEF:₃₃₃₈ CREDAT:₃₇₅₅₅₇ /prefetch:₃

iexplore.exe http://y₅mogzal₃w₃₅p₆bn.ml/

iexplore.exe SCODEF:₅₅₆₄ CREDAT:₃₇₅₅₅₇ /prefetch:₃

14

iexplore.exe SCODEF:₃₂₉₆ CREDAT:₃₇₅₅₅₇ /prefetch:₃

iexplore.exe http://y₅mogzal₃w₃₅p₆bn.ml/

iexplore.exe SCODEF:₃₈₂₆ CREDAT:₃₇₅₅₅₇ /prefetch:₃

iexplore.exe http://y₅mogzal₃w₃₅p₆bn.ml/

iexplore.exe SCODEF:₅₅₅₆ CREDAT:₃₇₅₅₅₇ /prefetch:₃

: هکبش کیفارت لیلحت

عاثتسا صا یطخت شیص شیَػت ساضفا جات یا ِکثض تا Iron .ذّد یه ىاطً اس یاّ تساَخسد DNS .ذضات یه شیص لٍذخ حشض ِت ساضفا جات یاشخا صا سپ ، ٌِهاد یپ یآ سسدآ سَطک y₅mogzal₂w₂₅p₆bn.ml _{104.31.69.125 اکیشها ُذحته تلاایا} myip.dnsomatic.com 67.215.92.215 اکیشها ُذحته تلاایا صا يیت دساَه قَف یپ یآ ، 104.31.69.125 سٍشس ِت طَتشه ، C&C .ذضات یه ساضفا جات .تسا ُدشک ساشلشت طاثتسا اّ ىآ ات ساضفا جات ِک ییاّ ىاتضیه تسیل

15 یپ یآ سسدآ تسَپ ُساوض سَطک ماً 104.31.69.125 80 TCP اکیشها ُذحته تلاایا 67.215.92.215 _TCP96 اکیشها ُذحته تلاایا ِک ذّد یه ىاطً اّ لیلحت صا لغاح حیاتً جات ساضفا Iron ،ِلوح صا سپ یآ یپ نتتسیس عختطه اس یًاتتشل ُدشک کی ٍ لاسسا تساَخسد ِتست سٍشس ِت اس C&C سا لاس یه ذیاوً . یه شظً ِت جات ذسس ساضفا Iron وتسیس شّ یاشت ی یه یسازگضهس ِک ،ذٌک ییاساٌض ذک کی یته ظاػتخا ذتّد دسَه اس نتسیس ىآ ُساتٍد ات ِلوح جات يیا .ذّذً ساشل شیدامه ساضفا سٍشس ِت اس شیص C&C .ذیاوً یه لاسسا  یسازگضهس ذیلک  ییاساٌض ذک  عٍشض جات ایآ( ات ساضفا )تسا ُذض اشخا تیمفَه

16  Randk (seed)  Market (unknown)

: ییاسانش

داذؼت ،شساضگ يیا شساگً ىاهص سد یٌؼی شضاح لاح سد 47 صا دسَه 66 یتًآ ِتت سداتل اتیًد شتثتؼه سٍشتیٍ جات يیا یگدَلآ عیخطت ًِاهاس سد ساضفا VirusTotal ُذض .ذًا