SaintBear：涉俄背景崛起的新型
威胁组织

文档版本

作者

日期

V1.0

十三陵吴彦祖2021 年 10 月

ThreatBook Labs
微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

目录
一、概述............................................................................................................................................. 1
二、详情............................................................................................................................................. 1
三、样本分析..................................................................................................................................... 3
3.1 Autoit Script 打包 PE......................................................................................................... 4
3.2 Saint Bot.............................................................................................................................. 7
3.3 SmokeLoader................................................................................................................... 14
四、关联分析................................................................................................................................... 18
4.1 拓线分析........................................................................................................................... 18
4.2 归因分析........................................................................................................................... 21
4.3 画像总结........................................................................................................................... 24
附录 - IOC...................................................................................................................................... 25
Domain..................................................................................................................................... 25
IP............................................................................................................................................... 27
Email......................................................................................................................................... 27
Hash..........................................................................................................................................27附录 - 微步情报局.........................................................................................................................30

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

一、概述
近日微步情报局捕获一批针对格鲁吉亚、乌克兰地区的攻击样本，攻击者使用涉及军政、
COVID 疫苗等相关话题投递攻击诱饵。除此之外，也存在一些伪造成发票、比特币相关话题的鱼叉邮件。基于已捕获攻击事件，攻击者的攻击意图同时包含偏 APT 类的高级情报刺探和偏黑产团伙类的个人信息窃密、敛财。单从这一点来看，与已披露的俄罗斯背景的
Gamaredon 组织存在一定相似之处。微步情报局通过整合已有线索并进行深度拓线分析，有如下发现：
攻击者疑似具有俄罗斯背景，攻击目标以俄罗斯西南方向地缘邻国乌克兰、格鲁吉亚为主，涉及军队、政府机构等行业单位，其最早活跃时间至少可追溯到 2020 年 7 月。

攻击者攻击方式主要为鱼叉邮件攻击，所使用网络资产包括私有注册域名和攻击失陷站点，其中还包括少数国内的失陷站点。

鉴于已发现的武器库资产特征明显区别于已披露组织，微步情报局根据 Saint Bot 特马对其命名为 SaintBear 组织。

微步在线通过对相关样本、IP 和域名的溯源分析，已提取录入相关 IOC，可用于威胁情报检测。微步在线威胁感知平台 TDP 、本地威胁情报管理平台 TIP 、威胁情报云API 、互联网安全接入服务 OneDNS 、主机威胁检测与响应平台 OneEDR 等均已
支持对此次攻击事件和团伙的检测。

二、详情
此系列攻击活动主要攻击方式为鱼叉邮件攻击。攻击目标主要为格鲁吉亚、乌克兰等地
区的政府、军队、其他无明确行业属性的企业机构。从鱼叉邮件内容来看，其伪造的内容既包括时政相关话题、也包含黑产团伙常用的发票、交易、比特币相关话题。随邮件投递的附
件载荷（解压后）包括多种形式，如恶意下载的 Lnk 文件、漏洞利用文档、宏文档、恶意
下载脚本、含下载外链的 PDF 文件等。攻击载荷落地运行后主要释放驻留两款特马组件（Autoit Script EXE 及 Saint Bot）实现初步的信息收集、下载器功能。
部分原始攻击邮件展示如下：微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

部分涉及政治题材的攻击诱饵展示如下，其主要为格鲁吉亚地区援助计划（针对战争中流离失所的难民）、新冠肺炎相关管控计划以及乌克兰军队相关题材。

攻击者投递攻击载荷解压后除了文档类载荷多数还会包含恶意下载的 Lnk 文件以增加
用户主机失陷的成功率，部分 Lnk 文件整理如下：
微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

三、样本分析该批样本包括公式编辑器漏洞利用的 rtf 文件、携带外部对象链接的 pdf 文件、恶意 Lnk
文件、恶意宏文档等。样本运行后的初始行为均为下载远程恶意程序执行。
PDF 诱饵中，通过 Action 动作嵌入恶意外链，外链使用 google.com 作为跳板。

Lnk 诱 饵 文 件 通 过 命 令 行 脚 本 下 载 木 马 到 本 地 临 时 目 录 ， 命 名 为“WindowsUpdate.exe”，然后执行木马。

宏文档诱饵中提取恶意下载宏代码如下，先将下载执行的脚本写入落地的 bat 配置文
微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

件，然后执行 bat，进而下载执行木马程序。

整理后续下载执行的木马程序，可分为三类：窃密类型的 Autoit Script 打包 PE，SaintBot 下载器特马，SmokeLoader 下载器。下面分开进行分析：

3.1 Autoit Script 打包 PE以“დ ე ვ ნ ი ლთ ა

2021-2022წ ლე ბ ი სს ტრა ტე გ ი ი სს ა მ ო ქ მ ე დ ო გ ე გ მ ა .doc”诱饵中下载的 centuryarticle.exe 为例进行分析。
木马信息如下：名称

centuryarticle.exe

MD5577df0d0d1ebfde0c67cf6489d9a1974

SHA1

a57a31db630fd55666cfd3ccdacf78cec8fabc43

SHA256

4fdc37f59801976606849882095992efecee0931ece77d74015113123
643796e

文件类型

.Net Win32 EXE

文件大小968.68 KB (991928 bytes)

编译时间2021-07-05 07:05:20

C&C

45.146.165.91:8080

功能

Autoit script 打包，用于上传用户磁盘上文件信息。
Table 1

1、样本携带无效的 FindAppConfigFile 数字签名。
微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

2、反编译代码中存在多处俄语描述信息。

该.Net 程序存在多个垃圾类结构混淆，核心类为 ReferenceContext，用于内存模块执
行工作。

3、经分析，该.Net 程序为 AutoIt Script 编译打包后的载体程序，已有反编译工具暂时无法
提取 Autoit 脚本载荷。Dump 该进程内存，暴力提取其中二进制 a3x 内存编译数据，转储为二进制文件。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

使用 AutoIt 反编译工具处理转储的 a3x 文件得到原始 au3 脚本。

4 、 分 析 au3 脚 本 ， 发 现 其 功 能 为 收 集 磁 盘 中 后 缀 为“.doc;.pdf;.ppt;.dot;.xl;.csv;.rtf;.dot;.mdb;.accdb;.pot;.pps;.ppa;.rar;.zip;.tar;.7z;.txt"的文件名，将其回传给 C&C 服务器，然后释放 r.bat 配置文
件并执行，每分钟执行一次结束 CMD 进程命令。
回传地址为：http://45.146.165.91:8080/upld/十六进制磁盘序列号。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

3.2 Saint Bot
以“Bitcoin Wallet.lnk”诱饵中后续下载的 WindowsUpdate.exe 为例分析 Saint Bot 特马。
名称

Hoteluri.exe

MD566c3ae9bddbbbcc2cc979d23792f15ac

SHA1

822c3ee867e390135c260590da2c7bca5dd3112e

SHA256b0b0cb50456a989114468733428ca9ef8096b18bce256634811ddf81f
2119274

文件类型

.Net Win32 EXE

文件大小864.00 KB (884736 bytes)

编译时间

2010-01-22 12:07:17

C&C

45.146.165.91:8080

功能通过多阶内存加载、下载执行实现简单远控功能。
Table 2

1、原始文件名称为 Hoteluri.exe，.Net 程序，并进行 reactor 混淆处理。去混淆分析，运行
之前先进行网络通信检测。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

可见资源段携带加密数据。

2、解密资源段载荷数据，内存装载执行。

核心内存加载执行函数及解密函数如下：

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

3、木马通过内存装载载荷依然为.Net 程序，用于从 orpod.ru 站点下载 def.exe、putty.exe
两个程序然后执行。

4、def.exe 为自解压程序，用于执行 Disable Window Defender.bat 配置文件，关闭
Windows Defender 检测功能。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

5、putty.exe 是 一 个自 解 密 shellcode 载 荷 执行 的 加 载 器程 序 。 携 带 PDB 路 径 ：C:\jehenatoxesutuzu-wititehaziziyadisub-pawejo.pdb。

6、shellcode 继续解密内存 PE 文件。

7、然后木马通过获取 PC 语种信息，过滤俄语系国家（0x419 俄语、0x422 乌克兰语、
0x423 白俄罗斯语、0x42B 亚美尼亚语、0x43F 哈萨克语、0x818 罗马尼亚语、0x819 俄罗

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

斯摩尔多瓦）。

8、检测“wallpaper”文件是否存在，如果不存在则进行文件释放、移动的操作。
I.

将自身移动至开机启动目录，名称为随机选择一个当前 PC 已安装程序名称。

II.

释放用于启动木马的 vbs 脚本和 bat 文件，中间还会释放用于删除原始木马文件的 bat
文件。

III. 将系统组件 ntdll.dll 拷贝至 wallpaper.mp4（后续通过加载 wallpaper.mp4 获取 ntdll 相关 API 调用，属于一种对抗杀软手段）。

释放代码如下：微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

9、如存在 wallpaer 文件（以此判断是否为第一次执行该木马），则会尝试系统进程
EhStorAuthn.exe APC 注入自身以及持久化设置。

EhStorAuthn.exe APC 注入代码如下：木马总共会设置三种驻留方式，包括前面提到的移动木马到开机启动目录，以及此处进
行的注册表启动项设置、创建任务计划。
Maintenance 计划任务，每 5 分钟运行一次 vbs 文件，Vbs 进行木马加载。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

10、随后木马将进行 C&C 交互。

上线数据如下，收集 PC 主机信息（系统版本、磁盘信息、用户名称等信息）进行 base64
编码，使用“transfer=”字段连接，上传到 C&C 服务器。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

11、RAT 分发如下，实现简单的下载执行、木马更新、卸载等功能。

3.3 SmokeLoader
以“Confirmation.zip”解压后的“Letter Confirm.doc”攻击载荷为例，Letter Confirm.doc
为 CVE-2017-11882 漏洞利用文档，下载远程资源执行。下载 URL：http://bit[.]ly/36fee98，
短 链 接 跳 转 到 https://mohge[.]xyz/install.txt ， 下 载 PE 文 件 保 存 在
C:\Users\Public\69577.exe 木马。69577.exe 为 SmokeLoader 木马，这是一款流传在黑市
上的商业木马，对 69577.exe 进行简要分析，样本信息如下：
名称69577.exeMD5

1bf3028a0b65a4174a66f3677e872026

SHA1

1e33b01f84a96b93cdded1d23fdb1b7f6f58a077

SHA256619393d5caf08cf12e3e447e71b139a064978216122e40f769ac8838a
7edfca4
微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

文件类型

Win32 EXE

文件大小621.00 KB (635904 bytes)

编译时间2021-01-15 10:27:01

C&C

baiden00.ru、update3d.xyz

PDB

D:\TEST\9f789s7

功能通过多层打包注入实现下载执行功能，下载 Saint Bot 特马。
Table 3

1、样本采用填充大量的垃圾函数调用进行混淆，对抗静态分析。

2、解密文件偏移 0x92ff0 处的数据，得到内存 PE。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

3、将解密的内存 PE 注入创建的自身傀儡进程。

4、dump 注入 PE 文件，该程序采样纯汇编代码开发，并且代码经过垃圾代码和花指令形
式的混淆处理。该内存 PE 将继续进行内置的 shellcode 解密执行。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

5、动态监控，shellcode 将进行下载执行功能。下载远程资源经分析为 Saint Bot 下载器特马。Saint Bot 将继续下载后续载荷，此处不进行赘叙。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

四、关联分析
经过对此系列攻击事件中的攻击样本的深入分析，我们发现当前攻击事件中展现出的
TTPs 特征并不能与已知组织关联，考虑到攻击样本在样本层面和网络资产层面均表现出较强的指纹特征，我们先对此系列攻击样本进行拓线分析以寻找更多的线索，然后我们将基于已有情报信息对攻击者组织命名并给出初步画像。

4.1 拓线分析
基于已有的样本及网络资产信息，我们进行如下拓线分析：
1、 样本拓线
根据 doc 文件元数据信息、宏文档模板代码信息、Lnk 文件创建时间等指纹可拓线多个同归属攻击样本。

拓线攻击样本涉及军队、政治会议、比特币、COVID-19 疫苗相关样本。
样本名称SHA256დ ე ვ ნ ი ლთ ა 2021-2022

96f815abb422bb75117e867384306a3f1b36

წ ლე ბ ი ს ს ტ რ ა ტ ე გ ი ი ს

25e48b81c44ebf032953deb2b3ff

ს ა მ ო ქ მ ე დ ო გ ე გ მ ა .doc
828-შ ი ც ვ ლი ლე ბ ა .doc

0be1801a6c5ca473e2563b6b77e76167d88
828e1347db4215b7a83e161dae67f

486F829D1FE33CE134468174A9AFC3B1

81abe96eebca2540994d7fc63bbaf9a4a2f5.mlw

84a0d004d33c20f7027b8923b996

Bitcoin Wallet.lnk

5dabf2e0fcc2366d512eda2a37d73f4d6c38
1aa5cb8e35e9ce7f53dae1065e4a

COVID-19-Vaccine-Coupon.lnk

101d9f3a9e4a8d0c8d80bcd40082e10ab71

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

a7d45a04ab443ef8761dfad246ca5
VACCINE #1.lnk

7c49aef0aac1e4e8174dbc0a45a32b334fb2
7ae110de0fcef8adfba13c535f95

Накладная 20210420-531.lnk

b9efac3f35ef7a89becb9940d27f5f7d6e1c675424a12edc13db4d3d0303dfa3

COVID-21.lnk

ced5f53bafc5896be0a62ed5bdabed38a622
4f8dcbe61669e833749ff62693dd

interview.doc

f357f9bf438f44b2029dfa12c03856393484f7
23b9df03ecde3e1ef03ddffcb7

BИПЛАТИ.DOC

534954b612815ade42c2860cc600907546b
757885ab458c584710e8a5b27eb06

NATO_04062021.doc

9803e65afa5b8eef0b6f7ced42ebd15f97988
9b791b8eadfc98e7f102853451a
Table 42、 在对网络资产梳理过程中，我们发现攻击者用于注册域名的私有邮箱。
hromenokruslan1995@rambler.ru
raisasharap88@rambler.ru
alf39300@rambler.ru
fedyaimakar@rambler.ru
kunicinzahar1969@rambler.ru
konskiikarl86@rambler.ru
alisavahrusheva@rambler.ru
Table 5基于这些邮箱，可拓线其他网络资产。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

3、 通过分析疑似攻击者的私有 IP 资产 176.113.115.133、45.146.165.91、45.146.164.37
可继续拓线其他域名资产。

4、URL 指纹拓线鉴于样本分析提取出的形如 hxxp://45.146.164.37:8080/upld/08A69F4B 的 url 存在明显指纹，我们可拓线满足“hxxp://IPv4:8080/upld/[0-9A-Z]{8}”形式的 URL。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

4.2 归因分析1、 受害者分析
从捕获的攻击诱饵来看，涉及的政治题材多为格鲁吉亚地区战争遗留难民收容问题以及
COVID-19 相关的防控政策、此外还有一些乌克兰军队相关题材。我们可以初步研判受害者主要位于格鲁吉亚、乌克兰。此外，我们对出现在 VT 平台的攻击样本的上传地址、上传时间也进行了统计梳理，样本上传地址主要为 UA（乌克兰）和 GE（格鲁吉亚），结合对
应的上传时间（UTC）推算、上传地址应该为真实信息（非境外代理），由此可进一步判定
受害者主要分布在乌克兰、格鲁吉亚等国家。考虑到俄罗斯西南方向的地缘政治关系，以及已知的俄罗斯背景 APT 组织（如 APT28、APT29、Turla）均存在攻击这些国家的历史事件，基于这些事实，俄罗斯背景黑客组织具有较大可能性参与主导此系列攻击活动。
样本名称
COVID-19-Vaccine-Coupon.zip

上传时间2021-04-29 09:50:05

上传地
UA

文件哈希
a16e466bed46fcf9c0a771ca0e41bc42a1ac
13e66717354e4824f61d1695dbb1

vaccine.zip

2021-04-27 11:05:26

UA

2b7a8ab805953c83390d5f48c6bf068198b4
dfd95c900c7f3f219baab7931e4d

20210420-531.zip

2021-04-22 05:05:08

UA

e0dad702c6639587a513e2ab60bc3e46e4b
0cf7a20f455474be7bc66e7c4e7a1

NATO_AC-A(2021).zip

2021-04-09 07:00:39

UA

5227adda2d80fb9b66110eeb26d57e69bbb
b7bd681aecc3b1e882dc15e06be17

bitcoin.zip

2021-04-09 03:33:55

US

07ed980373c344fd37d7bdf294636dff79652
3721c883d48bb518b2e98774f2c

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

Bitcoin Wallet.lnk

2021-05-13 06:54:12

CN

5dabf2e0fcc2366d512eda2a37d73f4d6c381
aa5cb8e35e9ce7f53dae1065e4a

newCOVID-21.zip

2021-02-17 20:01:21

US

b7c6b82a8074737fb35adccddf63abeca715
73fe759bd6937cd36af5658af864

Ордер на Ваш ареш2021-06-03 06:23:39

UA

т.msg

e3c0411b5fb4f412c1632663c43945b45b26
40292e270d0e6823afff9349a977

Заява №4872823.msg

2021-05-14 10:07:49

UA

6a8e912bf4c481492e642cf956fa333d403fc
e71d57281e1ad931f9bad372a30

Fw_ Заява №487223_2.eml

2021-05-19 17:35:05

UA

a7756b90f3d238c5e955b664fe26709e35aa
de1c3c70be2163f13262a7c61be8

828-შ ი ც ვ ლი ლე ბ ა .doc

2021-07-05 09:07:29

GE

0be1801a6c5ca473e2563b6b77e76167d88
828e1347db4215b7a83e161dae67f

დ ე ვ ნ ი ლთ ა 2021-2022

2021-07-05 09:08:23

GEწ ლე ბ ი ს ს ტ რ ა ტ ე გ ი ი ს

96f815abb422bb75117e867384306a3f1b36
25e48b81c44ebf032953deb2b3ff

ს ა მ ო ქ მ ე დ ო გ ე გ მ ა .doc
Order_76479018501028319_Alibaba.c

2021-06-29 08:28:53

GEom_(06242021(85255).zip

d5d4ef6cf174f55c3b4ec7e8a0e8Billing payment (Trip on 18 JULY 21 -2021-07-13 09:27:48

GE

PNR ref WY115S).pdf

5414706a95344682e16af79bdbba768497fc
0cf39d9326b4796aafed8741d7cd

Georgia_Private_Sector_Poster_Input

2021-06-17 05:56:33

GE

s_06_2021.pdf
Update-AV.zip

275388ffad3a1046087068a296a6060ed372

f69125eafdd54e1aae10707e0d95b0526e80
b3b224f2b64f5f6d65485ca9e886

2021-04-16 22:19:32

GBc66dae5fe5a7550df3c3cb51bdf3235e7c16c
54c9fedb385af59887a48134d1f

form_request.doc

2021-04-12 15:40:50

UA

245ab54cb110b42dc85a9e9aaa54f1ed6d15
563bb9e480199208b398ba6212d6

NATO_04062021.doc

2021-04-06 11:35:32

UA

9803e65afa5b8eef0b6f7ced42ebd15f97988
9b791b8eadfc98e7f102853451ainterview.doc

2021-04-19 06:16:40

UA

0a4bdca82ccdf857eaf9b3fe4fe3826e80fdce
8e74c0b11a2836089d7853141b

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

ukaz_3247.doc.rtf

2021-04-20 15:51:23

DE

b9f8fdab1a57aff5f00b1b252e38d898e3628c
c14394395d1e9e6877b0733b07

BИПЛАТИ.DOC

2021-04-20 15:52:08

DE

534954b612815ade42c2860cc600907546b
757885ab458c584710e8a5b27eb06

Table 6 攻击样本上传源信息2、 代码指纹分析在样本分析过程中，多处可见俄语相关的特征代码，此部分特征可同样作为将此系列攻击事件归因至俄罗斯背景黑客的一个论证点。Autoit Script 打包 PE 中可见的俄语异常描述
信息如下：

SmokeLoader 木马是一款流传在俄罗斯地下黑市的木马组件，该木马携带俄语环境的语言描述信息。

在对 Saint Bot 的分析中，其中包括对于当前 PC 环境语种信息的检测代码，如中马环
境为特定的俄语系国家则不予运行（猜测为针对特定的格鲁吉亚语环境）。这种过滤逻辑也经常出现在俄背景的勒索病毒中。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

3、 网络资产分析
此系列攻击活动中投入使用的网络资产绝大多数都位于俄罗斯境内，这进一步表明涉俄
背景的属性。

4.3 画像总结我们借鉴攻击者所使用的 Saint Bot 下载器特马名称将该组织命名为 SaintBear 组织，Saint 的由来为 Saint Bot 下载器中使用的互斥体名称。基于上述数据拓线分析以及关联归
因分析，给出 Saint 组织基本画像如下：
名称SaintBear，圣博特时间线

2021 年 7 月由微步在线披露，最早活动时间可追溯至 2020 年 7 月.

背景

疑似具有俄罗斯背景。

攻击目标攻击目标为以格鲁吉亚、乌克兰为主的俄罗斯西南方向的欧洲国家，涉及行业目标包括政府机构、军队等，除此之外还包括密币等相关企业机构。

攻击目的高价值情报窃取、敛财。

攻击方式鱼叉网络攻击、网络渗透攻击。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

鱼叉载荷类型

漏洞文档、宏文档、伪装安装包、Lnk 文件、ISO 镜像。

武器库木马Autoit Script 及其打包 PE，Saint Bot 下载器，SmokeLoader 下载器，Taurus Stealer。

三句话描述

1、 攻击能力一般，多为简单的鱼叉邮件攻击。
2、 攻击目标较为泛散，包括高价值的政府机构以及一般企业机构。
3、 网络资产注册一般位于俄罗斯境内。

Table 7 Saint 画像

附录 - IOC
Domain000000027.xyz
1000018.xyz
1000019.xyz
1000020.xyz
1017.site
1120.site1202.site1221.site15052021.space
150520212.space
150520213.space
1681683130.website
16868138130.space
1833.site
1924.site2055.site2215.site
2330.site32369815.xyz
32369825.xyz
微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

32689657.xyz
32689658.xyz
32689659.xyz
33655990.cyou
36902154.xyz
380222000.xyz
380222001.xyz
60917858.xyz
65917858.xyz
68468438438.xyz
6983625.xyz
8003659902.site
8003659902.space
99996665550.fun
99kg.sitealmamaterbook.ru
buking.site
coronavirus5g.site
getvps.site
giraffe-tour.ru
gosloto.site
name1d.site
name4050.com
orpod.ru
sinoptik.site
smm2021.net
sony-vaio.ru
update-0019992.ru
webleads.pro

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

4895458025-4545445-222435-9635794543-3242314342-234123423728.space
512521525-5245451515-985978774-2341235146436.xyz
9348243249382479234343284324023432748892349702394023.xyz
9832473219412342343423243242364-34939246823743287468793247237.site
29572459487545-4543543-543534255-454-35432524-5243523-234543.xyz

IP
45.146.165.91
31.42.185.63
194.58.112.173
194.147.142.232
176.113.115.133
46.17.104.120
45.146.164.37

Emailhromenokruslan1995@rambler.ru
raisasharap88@rambler.ru
alf39300@rambler.ru
fedyaimakar@rambler.ru
kunicinzahar1969@rambler.ru
konskiikarl86@rambler.ru
alisavahrusheva@rambler.ru

Hash81abe96eebca2540994d7fc63bbaf9a4a2f584a0d004d33c20f7027b8923b996
ced5f53bafc5896be0a62ed5bdabed38a6224f8dcbe61669e833749ff62693dd
f357f9bf438f44b2029dfa12c03856393484f723b9df03ecde3e1ef03ddffcb7
a4b705baac8bb2c0d2bc111eae9735fb8586d6d1dab050f3c89fb12589470969
96f815abb422bb75117e867384306a3f1b3625e48b81c44ebf032953deb2b3ff
9803e65afa5b8eef0b6f7ced42ebd15f979889b791b8eadfc98e7f102853451a

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

e2effc3e66480e3fe920feb13fab570b6d8326ceee16def8b92453ab1c57290f
ea9e5ad0ef82af2c0c75c371e683352a781eb2260a45c584d70995edec956ce9534954b612815ade42c2860cc600907546b757885ab458c584710e8a5b27eb06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微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

5227adda2d80fb9b66110eeb26d57e69bbbb7bd681aecc3b1e882dc15e06be17
b838ae877db681cb4ec2fbe6f92a6a1af366f7479725db7d7854ea35c2e85cb0
2b15ade9de6fb993149f27c802bb5bc95ad3fc1ca5f2e86622a044cf3541a70d
07ed980373c344fd37d7bdf294636dff796523721c883d48bb518b2e98774f2c
461eeadbe118b5ad64a62f2991a8bd66bdcd3dd1808cd7070871e7cc02effad7
b7c6b82a8074737fb35adccddf63abeca71573fe759bd6937cd36af5658af864
5d8c5bb9858fb51271d344eac586cff3f440c074254f165c23dd87b985b2110b
e3c0411b5fb4f412c1632663c43945b45b2640292e270d0e6823afff9349a977
5d9c7192cae28f4b6cc0463efe8f4361e449f87c2ad5e74a6192a0ad96525417
6a8e912bf4c481492e642cf956fa333d403fce71d57281e1ad931f9bad372a30
64057982a5874a9ccdb1b53fc15dd40f298eda2eb38324ac676329f5c81b64e0
a7756b90f3d238c5e955b664fe26709e35aade1c3c70be2163f13262a7c61be8
f4a56c86e2903d509ede20609182fbe001b3a3ca05f8c23c597189935d4f71b8
275388ffad3a1046087068a296a6060ed372d5d4ef6cf174f55c3b4ec7e8a0e8
10d21d4bf93e78a059a32b0210bd7891e349aabe88d0184d162c104b1e8bee2e5414706a95344682e16af79bdbba768497fc0cf39d9326b4796aafed8741d7cd
f69125eafdd54e1aae10707e0d95b0526e80b3b224f2b64f5f6d65485ca9e886c66dae5fe5a7550df3c3cb51bdf3235e7c16c54c9fedb385af59887a48134d1f
a856ae150144179848e0cc9be7618b4404c20c356eb93db490c8496ae2775b5e52173598ca2f4a023ec193261b0f65f57d9be3cb448cd6e2fcc0c8f3f15eaaf7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微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

附录 - 微步情报局
微步情报局，即微步在线研究响应团队，负责微步在线安全分析与安全服务业务，主要
研究内容包括威胁情报自动化研发、高级 APT 组织&黑产研究与追踪、恶意代码与自动化分析技术、重大事件应急响应等。
微步情报局由精通木马分析与取证技术、Web 攻击技术、溯源技术、大数据、AI 等安
全技术的资深专家组成，并通过自动化情报生产系统、云沙箱、黑客画像系统、威胁狩猎系
统、追踪溯源系统、威胁感知系统、大数据关联知识图谱等自主研发的系统，对微步在线每天新增的百万级样本文件、千万级 URL、PDNS、Whois 数据进行实时的自动化分析、同源
分析及大数据关联分析。微步情报局自设立以来，累计率先发现了包括数十个境外高级 APT
组织针对我国关键基础设施和金融、能源、政府、高科技等行业的定向攻击行动，协助数百家各个行业头部客户处置了肆虐全球的 WannaCry 勒索事件、BlackTech 定向攻击我国证
券和高科技事件、海莲花长期定向攻击我国海事/高科技/金融的攻击活动、OldFox 定向攻击
全国上百家手机行业相关企业的事件。

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051

微步在线科技有限公司 | www.threatbook.cn | 400-030-1051