مؤشرات الاختراق

مؤشرات الاختراق (IOCs) يتم تحديثها كل 30 دقيقة وتتعلق بحملات EITest. النطاق stat-dns.com المستخدم في خوارزمية DGA الخاصة بـ EITest تم احتواؤه عبر تقنية Sinkhole. نتيجة لذلك، يبدو أن حملة EITest قد توقفت منذ 2018-03-15.

backend-decipher.py

يفك تشفير البيانات المرسلة من موقع ويب مصاب عبر سكربت EITest إلى خادم القيادة والتحكم (C2) الخاص بـ EITest.

infol_Decrypter.py

يفك تشفير البيانات المرسلة من الضحايا إلى help.php و download.php.

injPayloadDecrypter.py

يفك تشفير البيانات المرسلة من خادم C2 الخاص بـ EITest إلى موقع الويب المصاب (المحتوى الذي سيتم حقنه في صفحة الويب).

parsing-EITest_GET-requests.py

يعالج طلبات GET الواردة من خادم EITest sinkhole ويخزنها في قاعدة بيانات MySQL. يأخذ كمدخل ملف سجل كبير يحتوي على ملايين الطلبات، ويفك تشفيرها ويعالجها باستخدام خيوط متعددة.

ملفات خبيثة

يحتوي على قطع أثرية مختلفة تابعة لـ EITest.