One peculiar aspect of the main she

One peculiar aspect of the main shellcode is the fact that it employs multiple consecutive layers of decryption and well-known anti-debugging tricks, such as test of debugging flags an, RDTSC timing checks and jump-hops over hooks, possibly to defeat automated sandbox, analysis tools and researchers. The shellcode has also been programmed with a special date-based deactivation logic. In fact, it parses the content of “C:WindowsSoftwareDistributionReportingEvents.log” file and it scans all the available Microsoft updates installed on the machine. The shellcode will not perform any additional malicious action if there are updates installed after April, 8 2014. This means that even after a successful exploitation with reliable code execution, after this date the shellcode may decide to not drop the secondary backdoor payload and simply abort the execution. When the activation logic detects the correct condition to trigger, the exploit drops in the temporary folder a backdoor file named ‘svchost.exe’ and runs it. The dropped backdoor is a generic malware written in Visual Basic 6 which communicates over HTTPS and relies on execution of multiple windows scripts via WScript.Shell and it can install/run additional MSI components.

ผลลัพธ์ (ไทย) 1:

ด้านหนึ่งแปลกของ shellcode หลักคือ ความจริงที่ว่า มีหลายชั้นกันถอดรหัสลับและรู้จักป้องกันดีบัก เช่นทดสอบการดีบักธง RDTSC เวลาเช็คและกระโดดข้ามผ่านตะขอ อาจจะหั่น sandbox โดยอัตโนมัติ เครื่องมือวิเคราะห์ และนักวิจัย Shellcode ได้รับการโปรแกรม ด้วยตรรกะปิดใช้วันพิเศษ วิเคราะห์เนื้อหาของไฟล์ "C:WindowsSoftwareDistributionReportingEvents.log" และมันสแกนทั้งหมด Microsoft ปรับปรุงติดตั้งบนเครื่องจริง Shellcode จะดำเนินการกระทำใด ๆ ที่เป็นอันตรายเพิ่มเติมหากมีการปรับปรุงที่ติดตั้งหลังจากเมษายน 8 2557 ซึ่งหมายความ ว่า แม้ประโยชน์ประสบความสำเร็จด้วยการใช้รหัสที่เชื่อถือได้ หลังจากวันที่นี้ shellcode ที่อาจตัดสินใจไม่วางรองลับ ๆ น้ำหนักที่บรรทุก และเพียงแค่ยกเลิกการดำเนินการ เมื่อเปิดใช้ตรรกะตรวจพบเงื่อนไขถูกต้องเพื่อทริกเกอร์ การโกงลดลงในโฟลเดอร์ชั่วคราวแฟ้มลับ ๆ ชื่อ 'svchost.exe' และเรียกใช้มัน ลับ ๆ มัลแวร์ทั่วไปเขียนใน Visual Basic 6 ซึ่งการสื่อสารผ่าน HTTPS และอาศัยการดำเนินการของหลาย windows สคริปต์ผ่าน WScript.Shell และมันสามารถติดตั้ง/เรียกใช้คอมโพเนนต์เพิ่มเติมของ MSI

ผลลัพธ์ (ไทย) 2:

แง่มุมหนึ่งที่แปลกประหลาดของ shellcode หลักคือความเป็นจริงที่ว่ามันมีพนักงานชั้นติดต่อกันหลายถอดรหัสและเป็นที่รู้จักเทคนิคการต่อต้านการแก้จุดบกพร่องเช่นการทดสอบของธงแก้จุดบกพร่องที่ RDTSC การตรวจสอบเวลาและกระโดดกระโดดมากกว่าตะขออาจจะเอาชนะ Sandbox อัตโนมัติ เครื่องมือในการวิเคราะห์และนักวิจัย shellcode ยังได้รับการโปรแกรมด้วยตรรกะเสื่อมตามวันพิเศษ ในความเป็นจริงมันจะแยกวิเคราะห์เนื้อหาของ "C: Windows SoftwareDistribution ReportingEvents.log" แฟ้มและมันสแกนทั้งหมดปรับปรุงไมโครซอฟท์มีให้บริการติดตั้งบนเครื่อง shellcode จะไม่ดำเนินการที่เป็นอันตรายใด ๆ เพิ่มเติมว่ามีการปรับปรุงติดตั้งหลังจากเดือนเมษายน 8 ปี 2014 ซึ่งหมายความว่าแม้หลังจากที่ประสบความสำเร็จกับการแสวงหาผลประโยชน์เรียกใช้โค้ดน่าเชื่อถือและหลังจากวันนี้ shellcode อาจตัดสินใจที่จะไม่ลดลงส่วนของข้อมูลลับๆรองและก็ยกเลิก การดำเนินการ เมื่อตรรกะการเปิดใช้งานจะตรวจสอบสภาพที่ถูกต้องที่จะเรียกการใช้ประโยชน์จากการลดลงในโฟลเดอร์ชั่วคราวไฟล์ลับๆชื่อ 'svchost.exe และมันวิ่ง ลับๆลดลงเป็นมัลแวร์ทั่วไปเขียนใน Visual Basic 6 ที่สื่อสารผ่าน HTTPS และอาศัยการดำเนินการของหน้าต่างหลายสคริปต์ผ่าน WScript.Shell และมันสามารถติดตั้ง / ใช้องค์ประกอบของ MSI เพิ่มเติม

ผลลัพธ์ (ไทย) 3:

ลักษณะพิเศษของ shellcode หลักคือความจริงที่ว่ามันใช้ติดต่อกันหลายชั้นของการถอดรหัสและเป็นที่รู้จักกันในการดีบักเทคนิคเช่นการทดสอบการตรวจแก้จุดบกพร่องธง , rdtsc เวลาตรวจสอบและกระโดด กระโดดข้าม ก้านอาจจะเอาชนะ sandbox แบบอัตโนมัติ เครื่องมือวิเคราะห์ และวิจัย การ shellcode ยังได้รับโปรแกรมพิเศษวันตรรกะเสื่อมตาม ในความเป็นจริง มันวิเคราะห์เนื้อหาของ " C : windowssoftwaredistributionreportingevents ล็อกไฟล์และสแกนทั้งหมดของ Microsoft การปรับปรุงที่ติดตั้งบนเครื่อง การ shellcode จะไม่แสดงการกระทำที่เป็นอันตรายใด ๆเพิ่มเติม หากมีการปรับปรุงติดตั้งหลังวันที่ 8 2014 ซึ่งหมายความว่าแม้หลังจากการประสบความสำเร็จกับปฏิบัติการรหัส เชื่อถือได้ หลังจากวันที่นี้ shellcode อาจตัดสินใจที่จะไม่ปล่อยรอง payload และเพียงแค่ยกเลิกการประหารลับๆ . เมื่อเปิดใช้งานตรรกะตรวจจับสภาพที่ถูกต้องเพื่อเรียกใช้ประโยชน์จากการลดลงในโฟลเดอร์ชั่วคราวไฟล์ลับๆที่ชื่อ " svchost . exe และวิ่งมัน ลดลงลับๆเป็นทั่วไปมัลแวร์ที่เขียนใน Visual Basic 6 ที่สื่อสารผ่าน HTTPS และอาศัยการดำเนินการของสคริปต์หลายหน้าต่างผ่าน wscript เปลือก และมันสามารถติดตั้ง MSI / เรียกใช้ส่วนประกอบเพิ่มเติม