wiper – PT ESC / Mon, 05 Oct 2026 12:59:34 +0000 en-US hourly 1 https://wordpress.org/?v=7.1.3 /wp-content/uploads/2026/09/cropped-cropped-large_icon-32x32.png wiper – PT ESC / 32 32 consumerWiper: архитектура и механизм работы. часть 2 /consumerwiper-architecture-and-mechanism-of-operation-part-2/ Mon, 12 Jan 2026 12:23:12 +0000 http://localhost:8080/consumerwiper-%d0%b0%d1%80%d1%85%d0%b8%d1%82%d0%b5%d0%ba%d1%82%d1%83%d1%80%d0%b0-%d0%b8-%d0%bc%d0%b5%d1%85%d0%b0%d0%bd%d0%b8%d0%b7%d0%bc-%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%8b-2/ consumerWiper: архитектура и механизм работы. Часть 2 ❗️

Выводы

Анализ данного ВПО демонстрирует рациональный подход злоумышленников. Поскольку перезапись больших файлов занимает достаточно много времени, они прибегают к поэтапному уничтожению. На первом этапе происходит частичное повреждение как можно большего количества файлов, и только после этого выполняется полная перезапись всех файлов. Подобная стратегия позволяет ВПО нанести как можно больший ущерб за короткое время.

Хеш-суммы (SHA256):

7A00F5219F61850B5999BDE9669094AC8932971E15978D11962E42AF964C096C
89E0F599AFA7705DF55BF345C41236E70EFA813C7E82CAEE4171DCE678010B66
E4DFCF17AAB37F01B0D24010CAB1875F28EE545A9D330C85DE1A21EC682E840F
8554F4062D3FC3DD8EFEDA65B8620CE74D98B125627D5BE72BCA7B0930EDF737
5CFCE12D2C8687EBA1529EC82F93B85FF2B503959D19D82E9873C0C473CAEBE1
BA2D428D5B4E0EE1CC4A952FEC254DE453D8514E546F64919ABD13C0BBC59473


#ioc #dfir #ir #wiper #malware
@ptescalator]]> consumerWiper: архитектура и механизм работы. часть 1 /consumerwiper-architecture-and-mechanism-of-operation-part-1/ Mon, 12 Jan 2026 12:22:40 +0000 http://localhost:8080/consumerwiper-%d0%b0%d1%80%d1%85%d0%b8%d1%82%d0%b5%d0%ba%d1%82%d1%83%d1%80%d0%b0-%d0%b8-%d0%bc%d0%b5%d1%85%d0%b0%d0%bd%d0%b8%d0%b7%d0%bc-%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%8b/ consumerWiper: архитектура и механизм работы. Часть 1 ☹️

В ходе расследования одного из инцидентов командой реагирования PT ESC был обнаружен вайпер consumerWiper, распространяемый в виде установочного пакета MSI и состоящий из нескольких функциональных компонентов.

С помощью утилиты lessmsi можно посмотреть список файлов (скриншот 1), которые содержатся в пакете, и извлечь их для последующего изучения. В таблице CustomAction определена команда, выполняемая во время установки MSI-пакета:

cmd.exe /c schtasks /create /ru SYSTEM /tn task /sc minute /tr "\"C:\users\control32.exe\" YES 3407657776"


С ее помощью создается исполняемая каждую минуту задача с именем task, запускающая основной компонент ВПО от имени SYSTEM.

📂 Вайпер состоит из шести исполняемых файлов со следующими функциями:

• collect32.exe — рекурсивный обход файловой системы и составление листинга файлов

• consume32.exe — уничтожение файлов

• fullscreen32.exe — вывод окна с сообщением о системном сбое

• disconnect32.exe / disconnect64.exe — отключение всех сетевых адаптеров в системе

• control32.exe — запуск и координация остальных утилит

Разберем функционал и особенности реализации компонентов ВПО.

1️⃣ collect32.exe

При запуске с аргументом командной строки YES перечисляет файлы на каждом логическом диске и записывает результат в файл list_%d.dll (где %d — порядковый номер диска, каждая строка файла — один путь). При запуске без аргумента или с любым другим аргументом перечисляются файлы в каталоге trash (значения ключа, отличные от YES, не используются в процессе работы ВПО, так что предположительно использовались для тестирования утилиты). Утилита игнорирует файлы с расширением .dll и все файлы в каталогах C:\Program Files\, C:\Program Files (x86)\ и C:\Windows.

2️⃣ consume32.exe
Утилита выполняет основную работу по уничтожению файлов. При запуске в аргументах командной строки передаются:

• путь до листинга файлов, подлежащих затиранию (например, созданный list_%d.dll)

• количество строк, которые следует пропустить

• количество строк, которые следует обработать

• режим затирания (1MB/ALL)

Вместо удаления файлов используется алгоритм перезаписи данных блоками по 1 МБ, содержащими 0xFF. Утилита имеет два режима перезаписи данных: 1 МБ в начале каждого файла или полная перезапись файла. В обоих вариантах перезапись начинается с оффсета в 512 байт.

3️⃣ fullscreen32.exe

Выводит окно, показывающее ложное сообщение о сбое ОС и восстановлении файлов (скриншот 2). С помощью вызовов ShowCursor(0) и BlockInput(1) блокируется взаимодействие пользователя с системой. По достижении 100% утилита зависает в бесконечном цикле, отображая максимальный прогресс.

4️⃣, 5️⃣ disconnect32.exe / disconnect64.exe

При запуске перечисляют все сетевые адаптеры (GUID класса — 4D36E972-E325-11CE-BFC1-08002BE10318) и отключают их. Наличие 64-битной версии обусловлено тем, что 32-битные программы запускаются на 64-битных системах с помощью WOW64, поэтому работа с драйверами устройств может происходить не совсем корректно.

6️⃣ control32.exe

Центральный компонент вайпера, ответственный за оркестрацию всех прочих утилит. Запускается с двумя аргументами — YES / любое другое значение и метка времени. При запуске проверяется, что системное время в момент запуска больше, чем то, которое указано в аргументах командной строки, иначе происходит завершение работы ВПО без выполнения полезной нагрузки.

Именно эта утилита запускается с помощью созданной при установке задачи планировщика с аргументами:
• YES
• 3407657776

Утилиты запускаются в следующем порядке (скриншот 3):

1. collect32.exe (с передачей аргумента YES при наличии)

2. fullscreen32.exe

3. disconnect32.exe / disconnect64.exe (в зависимости от архитектуры машины)

4. consume32.exe

Отдельно стоит отметить, что при запуске consume32.exe для каждого диска запускается отдельный поток исполнения, в котором над пачками по 1000 файлов вызывается сначала частичное уничтожение (аргумент 1MB, скриншот 4), а затем — десятикратное полное уничтожение (аргумент ALL) (скриншот 5).


#dfir #ir #wiper #malware
@ptescalator]]>