Qwen3.6-27B-MTP-GGUF

Теперь у меня достаточно данных для составления полного отчета. Позвольте мне собрать итоговую информацию.

---

Полный статический анализ PE-файла

Общая информация о файле

• - Тип: 64-битный PE (Portable Executable for AMD64)
• - Язык/компилятор: Rust (MinGW-w64), версия rustc 2d8144b7880597b6e6d3dfd63a9a9efae3f533d3
• - Базовый адрес: 0x140000000
• - Точка входа: start @ 0x140045A50 (CRT startup → MinGW)
• - Функции: 1278
• - Строки: 806
• - Сегменты: 8 (.text, .rdata, .idata, .buildid, .data, .pdata, .tls)

TLS Callbacks (выполняются до точки входа)

• - TlsCallback_0 @ 0x140024610 - Rust CRT инициализация TLS
• - TlsCallback_1 @ 0x140045ae0 - 118 байт
• - TlsCallback_2 @ 0x140045b70 - 22 байта

---

ПОВЕДЕНИЕ ФАЙЛА

1. ПЕРСИСТЕНТНОСТЬ (Реестр)

• - Путь: Software\Microsoft\Windows\CurrentVersion\Run
• - API: RegCreateKeyExA, RegSetValueExA, RegOpenKeyExA, RegQueryValueExA
• - API для удаления: RegDeleteKeyA, RegDeleteValueA
• - Функция sub_140003CA0 (0x140003ca0) управляет записью в автозагрузку

2. МОДУЛЬ КРАЖИ ДАННЫХ БРАУЗЕРОВ (Инфостилер)

Функция sub_14000F9D1 (0x14000f9d1) крадёт данные из:

Google Chrome:

• - Проверка процесса: chrome.exe
• - Путь к кукам: ...\Google\Chrome\User Data\Default\Network\Cookies
• - Путь к мастер-ключу: ...\Google\Chrome\User Data\Local State
• - Расшифровка через CryptUnprotectData (DPAPI)
• - Строки: "[Chrome] Not running.", "[Chrome] Decrypting cookies...", "Cannot decrypt master key."

Microsoft Edge:

• - Проверка процесса: msedge.exe
• - Путь к кукам: ...\Microsoft\Edge\User Data\Default\Network\Cookies
• - Путь к мастер-ключу: ...\Microsoft\Edge\User Data\Local State
• - Строки: "[Edge] Not running.", "[Edge] Decrypting cookies..."

Mozilla Firefox:

• - Проверка процесса: firefox.exe
• - Путь к базе куков: ...\cookies.sqlite
• - Чтение в открытом виде (без шифрования)
• - Парсинг SQLite-таблиц (72-байтовые записи)
• - Строки: "[Firefox] Not running.", "[Firefox] Reading cookies (plaintext)..."

3. КРАЖА ДАННЫХ MESSENGER'ОВ

Discord:

• - Путь: ...\Discord\Local Storage\leveldb
• - Строки: "=== Discord ==="

Telegram:

• - Проверка процесса: telegram.exe
• - Путь к данным: tdata
• - Строки: "Telegram is not running.", "Telegram tdata not found."

4. КЛАВИАТУРНЫЙ ШПИОН (Keylogger)

Функция StartAddress (0x14000d893):

• - Hook типа: WH_KEYBOARD_LL (13) - low-level keyboard hook
• - API: SetWindowsHookExA, GetMessageA, TranslateMessage, DispatchMessageA, UnhookWindowsHookEx
• - Запускается в отдельном потоке с циклом сообщений

5. СКРИНШОТЫ

• - Модуль: src/modules/screenshot.rs
• - API графического захвата: GDI32 (BitBlt, CreateCompatibleBitmap, CreateCompatibleDC, GetDIBits)
• - API захвата видео: AVICAP32 (capCreateCaptureWindowA)

6. СЕТЕВОЕ ПОВЕДЕНИЕ (C2 Beacon)

Основная функция бикона: sub_140001000 (0x140001000)

• - HTTP клиент: WinHTTP API
• - User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
• - Флаги запроса: WINHTTP_FLAG_BYPASS_PROXY_CACHE (0x100)

API WinHTTP:

• - WinHttpOpen - инициализация
• - WinHttpConnect - подключение к серверу
• - WinHttpOpenRequest - создание запроса (GET)
• - WinHttpSendRequest - отправка
• - WinHttpReceiveResponse - получение ответа
• - WinHttpReadData - чтение данных
• - WinHttpCloseHandle - закрытие

Beacon-поведение:

• - Экспоненциальная задержка: 5000ms × 2^n (макс. 60000ms)
• - Цикл получения команд с сервера
• - Обработка бинарного протокола команд
• - Случайная задержка между биконами: GetTickCount64() % (2 * jitter + 1) + base - jitter

7. УПРАВЛЕНИЕ СЛУЖБАМИ WINDOWS

Модуль src/modules/services.rs:

• - API: OpenSCManagerA, OpenServiceA, StartServiceA, ControlService, EnumServicesStatusExA, CloseServiceHandle
• - Возможность управления системными службами

8. СБОР ИНФОРМАЦИИ О СИСТЕМЕ

• - Имя пользователя: GetUserNameA
• - Сетевые подключения: GetExtendedTcpTable (IPHLPAPI) - таблица TCP-соединений
• - Формат вывода: "PROTO LOCAL ADDRESS REMOTE ADDRESS STATE PID"

9. КРИПТОГРАФИЯ

• - bcrypt.dll (6 импортов) - криптографические операции
• - CryptUnprotectData (CRYPT32) - расшифровка DPAPI (Chrome/Edge мастер-ключи)
• - Функция sub_140002E2A (0x140002e2a) - обёртка над CryptUnprotectData

10. СОЗДАНИЕ ПРОЦЕССОВ

• - API: CreateProcessA (5 вызовов в основной функции)
• - API: OpenProcess (2 вызова)
• - Возможность запуска внешних процессов и доступа к чужим процессам

---

ИМПОРТИРУЕМЫЕ МОДУЛИ

Модуль	Кол-во импортов	Назначение
KERNEL32	99	Базовые API Windows
USER32	26	GUI, хуки
ADVAPI32	16	Реестр, службы, безопасность
WS2_32	13	WinSock (сети)
WINHTTP	8	HTTP-клиент
WINMM	8	Мультимедиа
bcrypt	6	Криптография
GDI32	7	Графика (скриншоты)
gdiplus	4	Графика+
ole32	4	COM
CRYPT32	1	DPAPI
IPHLPAPI	1	Сетевая информация
AVICAP32	1	Захват видео

---

IOC (Индикаторы компрометации)

• - Пути файлов браузеров: %LOCALAPPDATA%\Google\Chrome\User Data\, %LOCALAPPDATA%\Microsoft\Edge\User Data\
• - Путь Discord: %APPDATA%\Discord\Local Storage\leveldb
• - Ключ реестра: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• - User-Agent HTTP: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
• - Язык разработки: Rust (MinGW-w64)