IOCs

Индикаторы компрометации (IOCs), обновляемые каждые 30 минут, связанные с кампаниями EITest. Домен stat-dns.com, используемый в DGA-алгоритме EITest, был переведён в режим sinkhole. В результате кампания EITest, по-видимому, прекращена с 2018-03-15.

backend-decipher.py

Расшифровывает данные, передаваемые с заражённого веб-сайта через скрипт EITest на C2-сервер EITest.

infol_Decrypter.py

Расшифровывает данные, передаваемые жертвами на help.php и download.php.

injPayloadDecrypter.py

Расшифровывает данные, передаваемые с C2-сервера EITest на заражённый веб-сайт (содержимое, которое должно быть внедрено в веб-страницу).

parsing-EITest_GET-requests.py

Обрабатывает GET-запросы с sinkhole-сервера EITest и сохраняет их в базе данных MySQL. Принимает на вход большой файл журнала, содержащий миллионы запросов, декодирует и обрабатывает их с использованием нескольких потоков.

Malicious files

Содержит различные артефакты, принадлежащие EITest.