Ene exe что это за программа

В нашем компе поселился замечательный майнер

Просто папку удалить и все, или где-то еще что-то живет?

Если вдруг и у вас завелся друг — проверьте на наличие папки — NsMiner либо файла IMG001

Иконка файла IMG001 такая же, как и у папок, но файл является приложением, возможно и инсталлятором, поэтому, отнеситесь повнимательнее, и не кликайте.
У меня он со 2 февраля прописался, оказывается.

С компьютерами я несколько на «Вы»…

Метки: mining, partisan, 1tv

Комментарии 28

Эм. А как его получить? Непроверенная почта, ссылки в пронхабе, попытка скачать пиратки откуда не надо?

Да фиг знает, по дате создания — я в этот день лишь МР3 файл скачал

Ну вот оттуда и получил (

С этого сайта и ранее скачивал, и на днях — ничего такого не было и нет.
Дать ссылку, проверим?))

Возможно в каком-нибудь сайте мешающий баннер или область со скриптом(или как там они зовутся ) кликнул.

Давай. Кидай в личку

Всегда решением проблемы является ее первоначальная и корректная диагностика, в том числе следов ее появления! Это спящий бот майнинга, который просыпается как по таймеру, так и по сети!
1. Вариант: отследить пакеты инициирующие запуск паразита (wireshark) поймать айпишник и заблокировать на сетевом уровне, дополнительно выяснить чей он, сообщить тому оператору кому принадлежит паразитирующая подсеть, приложить логи и скрины с запросом изолировать нарушителя или данные будут переданы в отдел «К».
2. Вариант: без траты времени и чтобы не вникать (самый простой в этом случае) — иметь два физически раздельных жестких диска, переустановить систему и нужный софт+драйвера, закончить все допнастройки и сделать снапшот системы на второй диск, на системном диске не хранить ничего кроме программ и самой системы! Не сохранять куки и пароли к сайтам! Это традиционная моя рекомендация, которая даёт практически 99% гарантию работы пк и скорого его возврата в строй в случае подобному этому и сохранению персональной информации!
P.S.: второй жёсткий диск лучше иметь как внешним и резервным!
Успехов!

Спасибо!
Активность поймал при первичном запуске Ютуба, на тот момент я знал присутствие программы Майнинга, поэтому через диспетчер задач выявил самый активный файл — загрузку ЦП на 100% вызвало приложение — NsCpuCNMiner64 — завершил его процесс и активность тут же спала.

Ранее пару раз была резкая спонтанная активность компьютера, но ввиду того, что на тот момент не был в курсах чем это было вызвано, закрывал браузеры и инициировал Выход из системы.

Первоначально заметил файл IMG001 на флешке фотоаппарата, когда через кабель загружал фотографии в компьютер, поскольку иконка файла похожа на иконку папки — попытался его открыть, но ничего на первый взгляд не произошло, посмотрев повнимательнее обнаружил что это приложение, поскольку название несколько схоже с файлами создаваемым фотоаппаратом, насторожился, но особо не придал значения.

Проверил отдельный стационарный накопительный диск ноутбука — там тоже присутствовал файл IMG001.
Возможно, дублируется на обнаруженные флеш-накопители.

Вероятно файл-приложение IMG001 является инсталлятором программы.

Вероятно, судя по дате создания, попало при скачивании музыкального файла.

Запускается вместе с компьютером, при последующем ручном вырубании через диспетчер задач всех касательных исполняемых файлов программы майнинга — повторный самостоятельный запуск пока не замечен.

Я уже ознакомился с комментариями ниже, это лёгкий случай! Файл не шифруется, предлагаю проверить hosts файл, но сейчас уже этим балуются только патчи или кряки! Открытие самого ютуб тут не причём, нужно анализировать поведение червя — например отключить интернет и открыть браузер или наоборот и проверить как себя будет вести червь! Нагрузка на железо появляется во время обработки. А не простоя программы, отправьте файл в вирустотал и поставьте хороший антивирус. Вам удобнее быстро исправить пк или решить проблему?

hosts без изменений.

Удобнее быстро исправить пк.

Восстановление не решит проблему?
upd, видимо нет, точки восстановления свежие.

Вот и ответ на все ваши вопросы 🙂
Откат не поможет, но Вы можете попробовать)

Источник

Расширение файла ENE

GROningen MAchine For Chemical Simulations Binary Energy Data Format

Что такое файл ENE?

Программы, которые поддерживают ENE расширение файла

Ниже приведена таблица со списком программ, которые поддерживают ENE файлы. Файлы с расширением ENE, как и любые другие форматы файлов, можно найти в любой операционной системе. Указанные файлы могут быть переданы на другие устройства, будь то мобильные или стационарные, но не все системы могут быть способны правильно обрабатывать такие файлы.

Программы, обслуживающие файл ENE

Как открыть файл ENE?

Проблемы с доступом к ENE могут быть вызваны разными причинами. Что важно, все распространенные проблемы, связанные с файлами с расширением ENE, могут решать сами пользователи. Процесс быстрый и не требует участия ИТ-специалиста. Мы подготовили список, который поможет вам решить ваши проблемы с файлами ENE.

Шаг 1. Получить Gromacs

Шаг 2. Обновите Gromacs до последней версии

Если проблемы с открытием файлов ENE по-прежнему возникают даже после установки Gromacs, возможно, у вас устаревшая версия программного обеспечения. Проверьте веб-сайт разработчика, доступна ли более новая версия Gromacs. Разработчики программного обеспечения могут реализовать поддержку более современных форматов файлов в обновленных версиях своих продуктов. Причиной того, что Gromacs не может обрабатывать файлы с ENE, может быть то, что программное обеспечение устарело. Последняя версия Gromacs должна поддерживать все форматы файлов, которые совместимы со старыми версиями программного обеспечения.

Шаг 3. Назначьте Gromacs для ENE файлов

Если проблема не была решена на предыдущем шаге, вам следует связать ENE файлы с последней версией Gromacs, установленной на вашем устройстве. Следующий шаг не должен создавать проблем. Процедура проста и в значительной степени не зависит от системы

Процедура изменения программы по умолчанию в Windows

Процедура изменения программы по умолчанию в Mac OS

Шаг 4. Убедитесь, что ENE не неисправен

Если проблема по-прежнему возникает после выполнения шагов 1-3, проверьте, является ли файл ENE действительным. Вероятно, файл поврежден и, следовательно, недоступен.

Если ENE действительно заражен, возможно, вредоносное ПО блокирует его открытие. Сканируйте файл ENE и ваш компьютер на наличие вредоносных программ или вирусов. Если файл ENE действительно заражен, следуйте инструкциям ниже.

2. Убедитесь, что файл с расширением ENE завершен и не содержит ошибок

Вы получили ENE файл от другого человека? Попросите его / ее отправить еще раз. В процессе копирования файла могут возникнуть ошибки, делающие файл неполным или поврежденным. Это может быть источником проблем с файлом. Это может произойти, если процесс загрузки файла с расширением ENE был прерван и данные файла повреждены. Загрузите файл снова из того же источника.

3. Проверьте, есть ли у пользователя, вошедшего в систему, права администратора.

Существует вероятность того, что данный файл может быть доступен только пользователям с достаточными системными привилегиями. Войдите в систему, используя учетную запись администратора, и посмотрите, решит ли это проблему.

4. Убедитесь, что в системе достаточно ресурсов для запуска Gromacs

Если в системе недостаточно ресурсов для открытия файлов ENE, попробуйте закрыть все запущенные в данный момент приложения и повторите попытку.

5. Проверьте, есть ли у вас последние обновления операционной системы и драйверов

Последние версии программ и драйверов могут помочь вам решить проблемы с файлами GROningen MAchine For Chemical Simulations Binary Energy Data Format и обеспечить безопасность вашего устройства и операционной системы. Устаревшие драйверы или программное обеспечение могли привести к невозможности использования периферийного устройства, необходимого для обработки файлов ENE.

Вы хотите помочь?

Если у Вас есть дополнительная информация о расширение файла ENE мы будем признательны, если Вы поделитесь ею с пользователями нашего сайта. Воспользуйтесь формуляром, находящимся здесь и отправьте нам свою информацию о файле ENE.

Источник

Ene что это за папка windows 10

Сообщества › Компьютерная Помощь › Блог › В нашем компе поселился замечательный майнер

Просто папку удалить и все, или где-то еще что-то живет?

Если вдруг и у вас завелся друг — проверьте на наличие папки — NsMiner либо файла IMG001

Иконка файла IMG001 такая же, как и у папок, но файл является приложением, возможно и инсталлятором, поэтому, отнеситесь повнимательнее, и не кликайте.
У меня он со 2 февраля прописался, оказывается.

С компьютерами я несколько на «Вы»…

Метки: mining, partisan, 1tv

Комментарии 28

Эм. А как его получить? Непроверенная почта, ссылки в пронхабе, попытка скачать пиратки откуда не надо?

Да фиг знает, по дате создания — я в этот день лишь МР3 файл скачал

Ну вот оттуда и получил (

С этого сайта и ранее скачивал, и на днях — ничего такого не было и нет.
Дать ссылку, проверим?))

Возможно в каком-нибудь сайте мешающий баннер или область со скриптом(или как там они зовутся ) кликнул.

Давай. Кидай в личку

Всегда решением проблемы является ее первоначальная и корректная диагностика, в том числе следов ее появления! Это спящий бот майнинга, который просыпается как по таймеру, так и по сети!
1. Вариант: отследить пакеты инициирующие запуск паразита (wireshark) поймать айпишник и заблокировать на сетевом уровне, дополнительно выяснить чей он, сообщить тому оператору кому принадлежит паразитирующая подсеть, приложить логи и скрины с запросом изолировать нарушителя или данные будут переданы в отдел «К».
2. Вариант: без траты времени и чтобы не вникать (самый простой в этом случае) — иметь два физически раздельных жестких диска, переустановить систему и нужный софт+драйвера, закончить все допнастройки и сделать снапшот системы на второй диск, на системном диске не хранить ничего кроме программ и самой системы! Не сохранять куки и пароли к сайтам! Это традиционная моя рекомендация, которая даёт практически 99% гарантию работы пк и скорого его возврата в строй в случае подобному этому и сохранению персональной информации!
P.S.: второй жёсткий диск лучше иметь как внешним и резервным!
Успехов!

Спасибо!
Активность поймал при первичном запуске Ютуба, на тот момент я знал присутствие программы Майнинга, поэтому через диспетчер задач выявил самый активный файл — загрузку ЦП на 100% вызвало приложение — NsCpuCNMiner64 — завершил его процесс и активность тут же спала.

Ранее пару раз была резкая спонтанная активность компьютера, но ввиду того, что на тот момент не был в курсах чем это было вызвано, закрывал браузеры и инициировал Выход из системы.

Первоначально заметил файл IMG001 на флешке фотоаппарата, когда через кабель загружал фотографии в компьютер, поскольку иконка файла похожа на иконку папки — попытался его открыть, но ничего на первый взгляд не произошло, посмотрев повнимательнее обнаружил что это приложение, поскольку название несколько схоже с файлами создаваемым фотоаппаратом, насторожился, но особо не придал значения.

Проверил отдельный стационарный накопительный диск ноутбука — там тоже присутствовал файл IMG001.
Возможно, дублируется на обнаруженные флеш-накопители.

Вероятно файл-приложение IMG001 является инсталлятором программы.

Вероятно, судя по дате создания, попало при скачивании музыкального файла.

Запускается вместе с компьютером, при последующем ручном вырубании через диспетчер задач всех касательных исполняемых файлов программы майнинга — повторный самостоятельный запуск пока не замечен.

Я уже ознакомился с комментариями ниже, это лёгкий случай! Файл не шифруется, предлагаю проверить hosts файл, но сейчас уже этим балуются только патчи или кряки! Открытие самого ютуб тут не причём, нужно анализировать поведение червя — например отключить интернет и открыть браузер или наоборот и проверить как себя будет вести червь! Нагрузка на железо появляется во время обработки. А не простоя программы, отправьте файл в вирустотал и поставьте хороший антивирус. Вам удобнее быстро исправить пк или решить проблему?

hosts без изменений.

Удобнее быстро исправить пк.

Восстановление не решит проблему?
upd, видимо нет, точки восстановления свежие.

Вот и ответ на все ваши вопросы 🙂
Откат не поможет, но Вы можете попробовать)

Удалите эти файлы и папки Windows, чтобы освободить место на диске

1 min

Windows содержит множество файлов и папок, которые вам не нужны.

Источник

Пока расследование не разлучит нас: малварь, которая может сидеть в сети компании годами

Недавно мы расследовали АРТ-атаку на одну российскую компанию и нашли много занятного софта. Сначала мы обнаружили продвинутый бэкдор PlugX, популярный у китайских группировок, АРТ-атаки которых обычно нацелены на похищение конфиденциальной информации, а не денег. Затем из скомпрометированной сети удалось вытащить несколько других схожих между собой бэкдоров (nccTrojan, dnsTrojan, dloTrojan) и даже общедоступных утилит.

Программы, используемые в этой преступной кампании, не отличаются сложностью, за исключением, может быть, PlugX. К тому же три из четырех вредоносов использовали при запуске давно известную технику DLL hijacking. Тем не менее, как показало наше исследование, даже при таких условиях злоумышленники могут годами оставаться в скомпрометированных сетях.

Мы решили изучить обнаруженный софт и поделиться своими наблюдениями.

PlugX

PlugX — сложная вредоносная программа. Мы постараемся рассказать о ее основных функциях, а более подробное описание малвари можно найти в отчете Dr. Web.

Запуск PlugX

PlugX, как правило, распространяется в виде самораспаковывающихся архивов, содержащих:

Такой набор характерен для техники DLL hijacking, при которой злоумышленник заменяет легитимную DLL на вредоносную. При этом малварь получает возможность работать от имени легитимного процесса и обходить таким образом средства защиты (рис. 1).

Рис. 1. Наглядное представление техники DLL hijacking

Рассмотрим в качестве примера один из экземпляров PlugX, характеристики которого приведены в табл. 1.

Вот что происходит при запуске невредоносного исполняемого файла (EXE) из пакета.

Сначала одна из импортируемых им библиотек (отдельная DLL) заменяется вредоносной. После загрузки в память процесса DLL открывает третий файл из пакета PlugX, который обходит средства защиты за счет отсутствия видимого исполняемого кода. Тем не менее он содержит шелл-код, после исполнения которого в памяти расшифровывается еще один дополнительный шелл-код. Он с помощью функции RtlDecompressBuffer() распаковывает PlugX (DLL). При открытии мы видим, что сигнатуры MZ и PE в исполняемом файле PlugX заменены на XV (рис. 2) — скорее всего, это тоже нужно, чтобы скрыть модуль от средств защиты.

Рис. 2. Исполняемый файл PlugX в распакованном виде с измененными сигнатурами MZ и PE

Наконец, запускается распакованная вредоносная библиотека, и управление передается ей.

В другом экземпляре PlugX мы обнаружили интересную особенность: малварь пыталась скрыть некоторые библиотечные вызовы от песочниц. При восстановлении импортов вместо адреса импортируемой функции сохранялся адрес тремя байтами ранее. Результат для функции SetFileAttributesW() виден на рис. 3.

Рис. 3. При получении адреса функции SetFileAttributesW() сохраняется адрес 0x7577D4F4

В табл. 2 приведены характеристики этого экземпляра.

б)
Рис. 4. Фрагмент декомпилированного кода (а) и соответствующий ему фрагмент листинга перехваченных инструкций (б), где встречается вызов функции SetFileAttributesW()

Основная нагрузка PlugX не сохраняется в расшифрованном виде на диске.

Работа PlugX

После запуска вредоносная программа расшифровывает конфигурацию, которая содержит адреса серверов управления, а также информацию, необходимую для дальнейшего функционирования (например, способ закрепления в системе или путь, по которому копируются файлы малвари).

При этом данные для конфигурации могут браться из основного загрузчика или из отдельного файла в текущей рабочей директории. Из того же файла может быть подтянута новая конфигурация при ее обновлении в ходе взаимодействия с сервером управления.

То, как вредонос будет вести себя дальше, во многом определяет его конфигурация.

В зависимости от значения check_flag в конфигурации PlugX вредоносная программа может начать поиск в зараженной системе сетевого адаптера, MAC-адрес которого совпадает с адресом, заданным в самой малвари. В случае совпадения вредоносная программа завершит свое исполнение. Вероятно, таким образом она пытается обнаружить виртуальную среду.

Если значение mode_flag равно 0, вредоносная программа закрепляется в системе (подробнее в разделе «Закрепление в системе»). Затем она переходит к инициализации плагинов и взаимодействию с сервером управления (подробнее в разделе «Функциональность плагинов и исполнение команд»).

Если значение mode_flag равно 2, вредоносная программа сразу переходит к инициализации плагинов и взаимодействию с сервером управления.

Если значение mode_flag равно 3, вредоносная программа внедряет шелл-код в Internet Explorer. Передача управления вредоносному коду осуществляется с помощью функции CreateRemoteThread(). Также производится инициализация плагинов, и создается именованный пайп, через который вредоносная программа получает команды, предназначенные для исполнения плагинами.

Закрепление в системе

Если конфигурация PlugX предусматривает закрепление вредоноса в зараженной системе, то в ней прописан каталог, в который будут скопированы компоненты малвари.

Анализируемый образец выбирает одну из следующих директорий в зависимости от разрядности малвари:

В зависимости от persistence_flag PlugX может закрепляться:

Помним, что малварь может и не закрепляться вовсе.

В зависимости от конфигурации вредоносная программа может также попытаться создать процесс с повышенными привилегиями с последующим внедрением в него кода. В конфигурации могут быть перечислены до четырех целевых процессов.

Функциональность плагинов PlugX и исполняемые команды

Основная функциональность бэкдора реализована с помощью так называемых плагинов. Фрагмент функции, в которой производится инициализация плагинов, приведен на рис. 5.

Рис. 5. Фрагмент инициализации плагинов PlugX

PlugX может управлять процессами и службами, работать с файловой системой, вносить изменения в реестр. Он также имеет компоненты кейлоггера и скринлоггера и может получать удаленный доступ к зараженной системе — все это дает обширные возможности злоумышленникам в скомпрометированной сети.

Полный перечень функций вредоносной программы, доступной через плагины, приведен в табл. 3.

Табл. 3. Функциональность PlugX, доступная через плагины

Фрагмент функции обработки команд, полученных от сервера управления приведена на рис. 6.

Рис. 6. Команды сервера управления, которые получает PlugX

Описание команд приведено в табл. 4.

Табл. 4. Команды сервера управления, которые получает PlugX

nccTrojan

Один из обнаруженных нами бэкдоров найден в отчете VIRUS BULLETIN и назван авторами nccTrojan по константному значению в коде основного пейлоада. Характеристики попавшегося нам образца малвари приведены в табл. 5.

Запуск nccTrojan

Работа nccTrojan

nccTrojan расшифровывает конфигурацию, хранящуюся по определенному смещению в оверлее. Конфигурация зашифрована с помощью алгоритма AES-CFB-256, он же используется для шифрования взаимодействия с сервером управления. Пары «ключ шифрования + вектор инициализации» захардкоржены и различны для шифрования конфигурации и взаимодействия с сервером управления.

Расшифрованная конфигурация содержит информацию о сервере управления и выглядит следующим образом:

Если соединение установлено, то на сервер управления отправляется следующая информация:

При этом из собранных данных формируется строка, которая дальше зашифровывается и отправляется на сервер управления. Формат создаваемой строки:

Далее вредоносная программа переходит к взаимодействию с сервером управления и может исполнять команды, приведенные в табл. 6.

Табл. 6. Команды, исполняемые nccTrojan

dnsTrojan

Следующий бэкдор мы обнаружили впервые: на момент расследования мы не нашли упоминаний о нем в отчетах других экспертов. Его отличительная особенность — общение с сервером управления через DNS. В остальном по своей функциональности вредоносная программа схожа с бэкдором nccTrojan. Чтобы сохранить единообразие в названиях найденной малвари, назвали ее dnsTrojan.

Запуск dnsTrojan

После запуска вредоносная программа извлекает из ресурсов, распаковывает и сохраняет в рабочей директории два файла:

Работа dnsTrojan

Все свои действия вредоносная программа логирует в файл %ProgramData%\logD.dat, при этом записанные данные похожи на отладочную информацию для злоумышленников (рис. 7).

Рис. 7. Фрагмент файла logD.dat

Взаимодействие с сервером управления осуществляется с использованием DNS-туннелирования. Данные передаются серверу управления в виде DNS-запроса TXT-записи в зашифрованном виде.

Сразу после запуска на сервер управления отправляются следующие данные:

Из них формируется сообщение вида 8SDXCAXRZDJ;O0V2m0SImxhY;6.1.1;1;00-13-d2-e3-d6-2e;2020113052831619.

Все передаваемые на сервер управления данные преобразуются следующим образом:

При формировании домена, для которого запрашивается TXT-запись, после каждого 64-го символа ставится точка. Запросы, отправляемые вредоносной программой, можно увидеть на рис. 8.

В ответ на запрос, отправленный на предыдущем шаге из TXT-записей, dnsTrojan получает команды сервера и может исполнить их (табл. 8).

dloTrojan

dloTrojan — еще одна обнаруженная в процессе расследования вредоносная программа, которую мы классифицировали как бэкдор. Эта малварь не относится ни к одному из известных семейств вредоносов.

Характеристики файлов исследуемого нами образца приведены в табл. 9.

Запуск dloTrojan

На сцену опять выходит DLL hijacking.

Итак, вредоносная программа dloTrojan состоит из двух компонентов:

После запуска исполняемого EXE-файла подгружается код вредоносной DLL. При этом библиотека проверяет имя процесса, в который она загружена, и оно должно соответствовать имени ChromeFrameHelperSrv.exe. В противном случае, вредоносный код завершит свое исполнение.

Далее библиотека расшифровывает вредоносный исполняемый файл, код которого внедряется в еще один запущенный процесс ChromeFrameHelperSrv.exe с использованием техники Process Hollowing.

Работа dloTrojan

Вредоносная программа пытается получить данные значения с именем TID из одного из двух ключей реестра (это зависит от имеющихся привилегий в системе):

Если же значение в реестре отсутствует, создается один из указанных ключей реестра. В параметре TID прописывается строка из 16 произвольных символов, которую в дальнейшем можно рассматривать как ID зараженной системы.

Строки во вредоносной программе зашифрованы методом простого сложения по модулю двух с одним байтом (отличается для различных строк).

Затем малварь расшифровывает адрес сервера управления. В зависимости от конфигурации вредоносная программа может иметь несколько адресов, в текущей конфигурации адрес сервера управления один.

Теперь dloTrojan устанавливает соединение с сервером управления. Если подключиться к серверу не удалось, малварь пытается найти настроенные прокси-серверы одним из способов:

Далее на сервер управления отправляется следующая информация о зараженной системе:

Данные передаются на сервер управления в зашифрованном виде.

В конце концов вредоносная программа получает возможность исполнять команды сервера управления: запускать cmd-шелл, создавать и удалять файлы, собирать информацию о дисках.

Перечень возможных команд приведен в табл. 10.

Табл. 10. Команды, исполняемые dloTrojan

И еще несколько программ, которые мы раскопали в ходе расследования

Вернемся к общедоступным утилитам, найденным на зараженных системах. С их помощью можно залезть в систему, утащить конфиденциальные данные и выполнить другие вредоносные действия. Ловите краткое описание каждой.

GetPassword

GetPassword предназначена для получения паролей из зараженной системы. Раньше исходный код утилиты лежал в репозитории MimikatzLite, но сейчас его почему-то удалили. Можем только поделиться скриншотом на рис. 9.

Рис. 9. Скриншот работы утилиты GetPassword

Quarks PwDump

Еще одна утилита для извлечения паролей из ОС Windows.

Исходный код можно найти в репозитории 0daytool-quarkspwdump. Скриншот утилиты приведен на рис. 10.

Рис. 10. Скриншот работы утилиты Quarks PwDump

wpmd v 2.3 (beta)

wpmd (windows password and masterkey decrypt) также предназначена для получения паролей в ОС Windows. Увы, источник мы не нашли, поэтому можем только показать скриншот (рис. 11).

Рис. 11. Скриншот работы утилиты wpmd v 2.3 (beta)

os.exe

os.exe позволяет определить версию ОС Windows (рис. 12). Источник тоже не найден 🙁

Рис. 12. Скриншот работы утилиты os.exe

nbtscan 1.0.35

nbtscan — утилита командной строки, предназначенная для сканирования открытых серверов имен NETBIOS в локальной или удаленной TCP/IP-сети. Она обеспечивает поиск открытых общих ресурсов (рис. 13). Доступна на ресурсе Unixwiz.net.

Рис. 13. Скриншот работы утилиты nbtscan

Это расследование в очередной раз убедило нас, что даже заезженные и понятные техники способны доставить жертвам много неприятностей. Злоумышленники могут годами копаться в IT-инфраструктуре жертвы, которая и подозревать ничего не будет. Думаем, выводы вы сделаете сами 🙂

PlugX (SHA256: EXE, DLL, Shell-code)

PlugX-executor: (SHA256: EXE)

nccTrojan (SHA256: EXE, DLL)

dnsTrojan (SHA256: EXE)

dloTrojan (SHA256: EXE, DLL)

Источник