{"id":1670,"date":"2017-07-19T20:55:51","date_gmt":"2017-07-19T17:55:51","guid":{"rendered":"https:\/\/www.artifex.co.il\/he\/?p=1670"},"modified":"2017-07-20T09:09:38","modified_gmt":"2017-07-20T06:09:38","slug":"%d7%97%d7%a7%d7%99%d7%a8%d7%94-%d7%95%d7%90%d7%99%d7%aa%d7%95%d7%a8-%d7%a4%d7%95%d7%92%d7%a2%d7%a0%d7%99%d7%9d-%d7%a0%d7%a4%d7%95%d7%a6%d7%99%d7%9d-%d7%91%d7%90%d7%9e%d7%a6%d7%a2%d7%95%d7%aa-%d7%a9","status":"publish","type":"post","link":"https:\/\/www.artifex.co.il\/he\/?p=1670","title":{"rendered":"\u05d7\u05e7\u05d9\u05e8\u05d4 \u05d5\u05d0\u05d9\u05ea\u05d5\u05e8 \u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd \u05e0\u05e4\u05d5\u05e6\u05d9\u05dd \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05e9\u05d9\u05de\u05d5\u05e9 \u05d1-ELK (\u05db\u05dc\u05d5\u05de\u05e8 Elasticsearch, Logstash &#038; Kibana)"},"content":{"rendered":"<blockquote><p>\u05ea\u05e0\u05d5 \u05dc\u05d9 \u05e0\u05e7\u05d5\u05d3\u05ea \u05de\u05e9\u05e2\u05df \u05d5\u05d0\u05e0\u05d9\u05e3 \u05d0\u05ea \u05d4\u05e2\u05d5\u05dc\u05dd. \/ \u05d0\u05e8\u05db\u05d9\u05de\u05d3\u05e1<\/p><\/blockquote>\n<p>&nbsp;<\/p>\n<p>ELK \u05d0\u05d5 Elastic stack \u05d4\u05d9\u05d0 \u05db\u05dc\u05d9 (\u05d8\u05d5\u05d1, \u05d0\u05d5\u05e1\u05e3 \u05db\u05dc\u05d9) \u05e7\u05d5\u05d3 \u05e4\u05ea\u05d5\u05d7 \u05de\u05d1\u05d9\u05ea \u05d7\u05d1\u05e8\u05ea Elastic \u05d4\u05de\u05d0\u05e4\u05e9\u05e8 \u05d0\u05ea \u05d0\u05d9\u05e1\u05d5\u05e4\u05dd \u05d5\u05e0\u05d9\u05ea\u05d5\u05d7\u05dd \u05e9\u05dc \u05db\u05de\u05d5\u05d9\u05d5\u05ea \u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05d2\u05d3\u05d5\u05dc\u05d5\u05ea \u05d1\u05d9\u05d5\u05ea\u05e8 (\u05d9\u05e9\u05e0\u05dd \u05d9\u05d9\u05e9\u05d5\u05de\u05d9\u05dd \u05d4\u05de\u05d8\u05e4\u05dc\u05d9\u05dd \u05d1\u05db\u05de\u05d5\u05d9\u05d5\u05ea \u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05d1\u05e1\u05d3\u05e8 \u05d2\u05d5\u05d3\u05dc \u05e9\u05dc \u05de\u05e1\u05e4\u05e8 PB \u05d1\u05d5\u05d3\u05d3\u05d9\u05dd). \u05d0\u05d7\u05d3 \u05d4\u05e9\u05d9\u05de\u05d5\u05e9\u05d9\u05dd \u05d4\u05d0\u05e4\u05e9\u05e8\u05d9\u05d9\u05dd \u05d5\u05d4\u05e0\u05e4\u05d5\u05e6\u05d9\u05dd \u05dc\u05db\u05dc\u05d9 \u05e9\u05db\u05d6\u05d4 \u05d4\u05d5\u05d0 \u05d0\u05d9\u05e1\u05d5\u05e3 \u05dc\u05d5\u05d2\u05d9\u05dd \u05de\u05de\u05d2\u05d5\u05d5\u05df \u05de\u05e2\u05e8\u05db\u05d5\u05ea \u05d4\u05d0\u05d1\u05d8\u05d7\u05d4 \u05d1\u05d0\u05e8\u05d2\u05d5\u05df \u05dc\u05e6\u05d5\u05e8\u05da \u05d4\u05ea\u05e8\u05d0\u05d4 \u05d0\u05d5 \u05ea\u05d7\u05e7\u05d5\u05e8 \u05e9\u05dc \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9 \u05e1\u05d9\u05d9\u05d1\u05e8 \u05e9\u05d5\u05e0\u05d9\u05dd.<\/p>\n<p>\u05d1\u05de\u05d0\u05de\u05e8 \u05d4\u05d6\u05d4, \u05dc\u05d0 \u05d0\u05ea\u05de\u05e7\u05d3 \u05d1\u05d0\u05d5\u05e4\u05df \u05d4\u05d4\u05ea\u05e7\u05e0\u05d4 \u05d4\u05de\u05d5\u05de\u05dc\u05e5 \u05e9\u05dc \u05d4\u05db\u05dc\u05d9\u05dd \u05d4\u05dc\u05dc\u05d5 \u05d0\u05dc\u05d0 \u05d3\u05d5\u05d5\u05e7\u05d0 \u05d1\u05d0\u05d5\u05e4\u05df \u05e9\u05d1\u05d5 \u05d9\u05d1\u05d5\u05d0\u05d5 \u05dc\u05d9\u05d3\u05d9 \u05d1\u05d9\u05d8\u05d5\u05d9 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05e0\u05e4\u05d5\u05e6\u05d5\u05ea \u05d1\u05dc\u05d5\u05d2\u05d9\u05dd \u05e9\u05dc \u05de\u05e2\u05e8\u05db\u05d5\u05ea \u05d4\u05d0\u05d1\u05d8\u05d7\u05d4 \u05d4\u05dc\u05dc\u05d5 \u05d5\u05d1\u05d0\u05d5\u05e4\u05df \u05e9\u05d1\u05d5 \u05e0\u05d9\u05ea\u05df \u05dc\u05d0\u05ea\u05e8\u05dd \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05db\u05dc\u05d9 \u05d4-ELK. \u05dc\u05de\u05e8\u05d5\u05ea \u05e9\u05d1\u05de\u05d0\u05de\u05e8 \u05d4\u05d6\u05d4 \u05d0\u05ea\u05de\u05e7\u05d3 \u05d1\u05de\u05e1\u05e4\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05e1\u05e4\u05e6\u05d9\u05e4\u05d9\u05d5\u05ea, \u05d6\u05d5 \u05dc\u05d0\u05d5 \u05d3\u05d5\u05e7\u05d0 \u05d4\u05d2\u05d9\u05e9\u05d4 \u05d4\u05de\u05d5\u05e2\u05d3\u05e4\u05ea \u05e2\u05dc\u05d9\u05d9. \u05d0\u05e0\u05d9 \u05e1\u05d1\u05d5\u05e8 \u05e9\u05d4\u05e0\u05d9\u05e1\u05d9\u05d5\u05df \u05dc\u05d0\u05ea\u05e8, \u05dc\u05e6\u05d5\u05e8\u05da \u05d4\u05d3\u05d5\u05d2\u05de\u05d0 \u05d0\u05ea \u05de\u05ea\u05e7\u05e4\u05ea WannaCry \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea ELK \u05dc\u05d0 \u05d1\u05d4\u05db\u05e8\u05d7 \u05de\u05d1\u05d8\u05d9\u05d7\u05d4 \u05d4\u05e6\u05dc\u05d7\u05d4 \u05d1\u05d0\u05d9\u05ea\u05d5\u05e8 \u05de\u05ea\u05e7\u05e4\u05ea Petya (\u05dc\u05de\u05e9\u05dc). \u05dc\u05db\u05df, \u05d4\u05d2\u05d9\u05e9\u05d4 \u05e9\u05d0\u05e0\u05d9 \u05de\u05de\u05dc\u05d9\u05e5 \u05e2\u05dc\u05d9\u05d4 \u05d4\u05d9\u05d0 \u05d3\u05d5\u05e7\u05d0 \u05dc\u05e0\u05e1\u05d5\u05ea \u05dc\u05d0\u05ea\u05e8 \u05d1\u05db\u05de\u05d4 \u05e9\u05d9\u05d5\u05ea\u05e8 \u05de\u05d3\u05d3\u05d9\u05dd \u05d0\u05ea \u05d4\u05d4\u05ea\u05e0\u05d4\u05d2\u05d5\u05ea \u05d4\u05e0\u05d5\u05e8\u05de\u05dc\u05d9\u05ea \u05d5\u05d4\u05d4\u05d2\u05d9\u05d5\u05e0\u05d9\u05ea \u05d1\u05d0\u05e8\u05d2\u05d5\u05df \u05d5\u05dc\u05d4\u05d2\u05d3\u05d9\u05e8 \u05d0\u05ea \u05d4\u05de\u05ea\u05e7\u05e4\u05d4 \u05db\u05d7\u05e8\u05d9\u05d2\u05d4 \u05de\u05e9\u05de\u05e2\u05d5\u05ea\u05d9\u05ea \u05de\u05d0\u05d5\u05ea\u05dd \u05de\u05d3\u05d3\u05d9\u05dd \u05e9\u05db\u05df, \u05dc\u05d3\u05e2\u05ea\u05d9, \u05e8\u05e7 \u05d1\u05d0\u05d5\u05e4\u05df \u05d4\u05d6\u05d4 \u05d9\u05d4\u05d9\u05d4 \u05e0\u05d9\u05ea\u05df \u05dc\u05d6\u05d4\u05d5\u05ea \u05dc\u05de\u05e2\u05e9\u05d4 \u05d0\u05ea \u05d4\u05de\u05ea\u05e7\u05e4\u05d4 \u05d4\u05d1\u05d0\u05d4 \u05e2\u05d5\u05d3 \u05dc\u05e4\u05e0\u05d9 \u05e9\u05d9\u05e9 \u05dc\u05d4 \u05e9\u05dd.<\/p>\n<p>\u05d7\u05e9\u05d5\u05d1 \u05dc\u05d9 \u05dc\u05d4\u05d3\u05d2\u05d9\u05e9 \u05e9\u05dc\u05d3\u05e2\u05ea\u05d9, \u05d4\u05d8\u05db\u05e0\u05d9\u05e7\u05d5\u05ea \u05d4\u05de\u05d5\u05d1\u05d0\u05d5\u05ea \u05d1\u05e4\u05d5\u05e1\u05d8 \u05d4\u05d6\u05d4 \u05d4\u05df \u05d0\u05db\u05df \u05d0\u05e4\u05e7\u05d8\u05d9\u05d1\u05d9\u05d5\u05ea \u05dc\u05d0\u05d9\u05ea\u05d5\u05e8 \u05de\u05e7\u05e8\u05d9\u05dd \u05e9\u05dc \u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd, \u05d0\u05d1\u05dc \u05d1\u05d4\u05d7\u05dc\u05d8 \u05e2\u05e9\u05d5\u05d9\u05d5\u05ea \u05dc\u05d4\u05d7\u05d6\u05d9\u05e8 \u05d2\u05dd False Positives \u05d0\u05e9\u05e8 \u05e2\u05e9\u05d5\u05d9\u05d9\u05dd \u05d1\u05d4\u05d7\u05dc\u05d8 \u05dc\u05d4\u05e7\u05e9\u05d5\u05ea \u05e2\u05dc \u05ea\u05d4\u05dc\u05d9\u05da \u05d4\u05d7\u05e7\u05d9\u05e8\u05d4. \u05d0\u05e0\u05d9 \u05d0\u05e6\u05d9\u05e2 \u05dc\u05e7\u05e8\u05d0\u05ea \u05e1\u05d5\u05e3 \u05d4\u05de\u05d0\u05de\u05e8 \u05e4\u05ea\u05e8\u05d5\u05df \u05e9\u05dc\u05d3\u05e2\u05ea\u05d9 \u05e2\u05e9\u05d5\u05d9 \u05dc\u05d4\u05d9\u05d5\u05ea \u05de\u05d5\u05e6\u05dc\u05d7 \u05dc\u05d4\u05ea\u05de\u05d5\u05d3\u05d3\u05d5\u05ea \u05e2\u05dd \u05d1\u05e2\u05d9\u05d4 \u05d6\u05d5. \u05e2\u05dd \u05d6\u05d0\u05ea &#8211; \u05dc\u05d0 \u05db\u05dc \u05d4\u05d8\u05db\u05e0\u05d9\u05e7\u05d5\u05ea \u05d4\u05de\u05e4\u05d5\u05e8\u05d8\u05d5\u05ea \u05db\u05d0\u05df \u05e0\u05d5\u05e1\u05d5 \u05e2\u05dc \u05d9\u05d3\u05d9 \u05dc\u05d0\u05d5\u05e8\u05da \u05d6\u05de\u05df \u05d5\u05dc\u05db\u05df \u05d0\u05d9\u05df \u05d1\u05d0\u05e4\u05e9\u05e8\u05d5\u05ea\u05d9 \u05dc\u05e7\u05d1\u05d5\u05e2 \u05d1\u05d5\u05d5\u05d3\u05d0\u05d5\u05ea \u05d0\u05ea \u05de\u05d9\u05d3\u05ea \u05d4\u05d0\u05e4\u05e7\u05d8\u05d9\u05d1\u05d9\u05d5\u05ea \u05e9\u05dc\u05d4\u05df.<\/p>\n<p>&nbsp;<\/p>\n<p>\u05dc\u05de\u05e8\u05d5\u05ea \u05d4\u05d0\u05de\u05d5\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05d0\u05d3\u05d2\u05d9\u05dd \u05d1\u05d0\u05d5\u05e4\u05df \u05e2\u05e7\u05e8\u05d5\u05e0\u05d9 \u05d0\u05ea \u05d4\u05d6\u05d9\u05d4\u05d5\u05d9 \u05e9\u05dc \u05de\u05e1\u05e4\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05d5\u05db\u05dc\u05d9 \u05ea\u05e7\u05d9\u05e4\u05d4 \u05e0\u05e4\u05d5\u05e6\u05d9\u05dd:<\/p>\n<ol>\n<li>Ransomware\n<ol>\n<li>\u05dc\u05e4\u05d9 \u05de\u05d7\u05e7\u05e8\u05d9\u05dd \u05e9\u05e0\u05e2\u05e9\u05d5(1), \u05d7\u05dc\u05e7 \u05de\u05ea\u05d5\u05db\u05e0\u05d5\u05ea \u05d4\u05db\u05d5\u05e4\u05e8\u05d4 (Ransomware) \u05db\u05d2\u05d5\u05df CryptoLocker ,Critroni ,CTB Locker \u05d5\u05d0\u05d7\u05e8\u05d5\u05ea \u05de\u05d1\u05e6\u05e2\u05d5\u05ea \u05db\u05d7\u05dc\u05e7 \u05de\u05e4\u05e2\u05d5\u05dc\u05ea\u05df (\u05d1\u05d7\u05dc\u05e7 \u05de\u05d4\u05df \u05e2\u05dd \u05ea\u05d7\u05d9\u05dc\u05ea \u05e4\u05e2\u05d5\u05dc\u05ea\u05df \u05d8\u05e8\u05dd \u05d4\u05d4\u05e6\u05e4\u05e0\u05d4 \u05d5\u05d1\u05d7\u05dc\u05e7 \u05d0\u05d7\u05e8 \u05dc\u05d0\u05d7\u05e8 \u05d4\u05d4\u05e6\u05e4\u05e0\u05d4) \u05e4\u05e0\u05d9\u05d5\u05ea \u05dc\u05e9\u05e8\u05ea\/\u05d9 C&amp;C \u05dc\u05e6\u05d5\u05e8\u05da \u05e2\u05d3\u05db\u05d5\u05df \u05d0\u05d5 \u05e7\u05d1\u05dc\u05ea \u05de\u05e4\u05ea\u05d7 \u05d4\u05e6\u05e4\u05e0\u05d4 \u05dc\u05e6\u05d5\u05e8\u05da \u05d4\u05e6\u05e4\u05e0\u05ea \u05d4\u05ea\u05d7\u05e0\u05d4. \u05e4\u05e0\u05d9\u05d5\u05ea \u05d0\u05dc\u05d5 \u05d1\u05d2\u05e8\u05e1\u05d0\u05d5\u05ea \u05e8\u05d0\u05e9\u05d5\u05e0\u05d5\u05ea \u05d1\u05d5\u05e6\u05e2\u05d5 \u05d1-HTTP (\u05d1\u05d7\u05dc\u05e7 \u05de\u05d4\u05df \u05e2\u05dd \u05d4\u05e6\u05e4\u05e0\u05ea \u05d4-Body \u05d1\u05d0\u05dc\u05d2\u05d5\u05e8\u05d9\u05ea\u05de\u05d9\u05dd \u05db\u05de\u05d5 RC4 \u00a0\u05d0\u05d5 AES \u05d5\u05d1\u05d7\u05dc\u05e7 \u05dc\u05dc\u05d0 \u05d4\u05e6\u05e4\u05e0\u05d4) \u05d5\u05d1\u05d2\u05e8\u05e1\u05d0\u05d5\u05ea \u05de\u05ea\u05e7\u05d3\u05de\u05d5\u05ea \u05d9\u05d5\u05ea\u05e8 \u05de\u05d1\u05d5\u05e6\u05e2 \u05e9\u05d9\u05de\u05d5\u05e9 \u05d1\u05d4\u05e6\u05e4\u05e0\u05d4 \u05e9\u05dc \u05d4\u05ea\u05d5\u05d5\u05da \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea HTTPS \u05d0\u05d5 TOR.<\/li>\n<li>\u05dc\u05e4\u05d9 \u05de\u05d7\u05e7\u05e8 \u05e9\u05e2\u05e9\u05ea\u05d4 \u05d7\u05d1\u05e8\u05ea Elastic \u05d1\u05e0\u05d5\u05e9\u05d0(2) \u05e4\u05d5\u05d2\u05e2\u05e0\u05d9 WannaCry \u05de\u05d1\u05e6\u05e2\u05d9\u05dd, \u05e2\u05dd \u05d4\u05e4\u05e2\u05dc\u05ea\u05dd, \u05e4\u05e0\u05d9\u05d5\u05ea \u05e8\u05d1\u05d5\u05ea \u05dc\u05ea\u05d7\u05e0\u05d5\u05ea \u05d1\u05d0\u05d5\u05ea\u05d4 \u05e8\u05e9\u05ea (Subnet) \u05d5\u05dc\u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05e6\u05d9\u05d1\u05d5\u05e8\u05d9\u05d5\u05ea \u05d0\u05e7\u05e8\u05d0\u05d9\u05d5\u05ea, \u05e4\u05e0\u05d9\u05d5\u05ea \u05d0\u05dc\u05d5 \u05d4\u05df \u05dc\u05e4\u05d5\u05e8\u05d8 445 (\u05d1\u05e4\u05e8\u05d5\u05d8\u05d5\u05e7\u05d5\u05dc tcp) \u05dc\u05e6\u05d5\u05e8\u05da \u05d0\u05d9\u05ea\u05d5\u05e8 \u05ea\u05d7\u05e0\u05d5\u05ea \u05d5\u05e9\u05e8\u05ea\u05d9\u05dd \u05d1\u05e8\u05e9\u05ea \u05d4\u05de\u05e7\u05d5\u05de\u05d9\u05ea \u05d5\u05d1\u05e2\u05d5\u05dc\u05dd \u05d0\u05e9\u05e8 \u05de\u05d0\u05e4\u05e9\u05e8\u05d5\u05ea \u05d0\u05dc\u05d9\u05d4\u05df \u05d2\u05d9\u05e9\u05d4 \u05d1\u05e4\u05e8\u05d5\u05d8\u05d5\u05e7\u05d5\u05dc SMB. \u05d1\u05e0\u05d5\u05e1\u05e3, WannaCry, \u05e2\u05dc \u05e4\u05d9 \u05d0\u05d5\u05ea\u05d5 \u05de\u05d7\u05e7\u05e8, \u05de\u05d1\u05e6\u05e2\u05ea \u05d4\u05e4\u05e2\u05dc\u05d4 \u05e9\u05dc \u05ea\u05d4\u05dc\u05d9\u05db\u05d9\u05dd \u05d9\u05d9\u05d7\u05d5\u05d3\u05d9\u05d9\u05dd \u05d0\u05e9\u05e8 \u05d1\u05d3\u05e8\u05da \u05db\u05dc\u05dc \u05dc\u05d0 \u05de\u05d1\u05d5\u05e6\u05e2\u05d9\u05dd \u05d1\u05ea\u05d7\u05e0\u05d5\u05ea \u05e7\u05e6\u05d4 \u05db\u05d2\u05d5\u05df &quot;attrib +h&quot; (\u05d1\u05e2\u05d6\u05e8\u05ea\u00a0tasksche.exe) \u05d0\u05d5 &quot;cmd.exe \/c vssadmin delete shadows&quot;. \u05d1\u05e0\u05d5\u05e1\u05e3, WannaCry, \u05e2\u05dc \u05e4\u05d9 \u05d0\u05d5\u05ea\u05d5 \u05de\u05d7\u05e7\u05e8, \u05de\u05d1\u05e6\u05e2\u05ea \u05e4\u05e0\u05d9\u05d5\u05ea \u05dc\u05d3\u05d5\u05de\u05d9\u05d9\u05e0\u05d9\u05dd (\u05db\u05dc\u05d5\u05de\u05e8 \u05de\u05e0\u05e1\u05d4 \u05dc\u05d0\u05d7\u05d6\u05e8 \u05db\u05ea\u05d5\u05d1\u05ea IP \u05e2\u05d1\u05d5\u05e8\u05dd \u05d5\u05dc\u05d0\u05d7\u05e8 \u05de\u05db\u05df \u05de\u05d1\u05e6\u05e2\u05ea \u05e4\u05e0\u05d9\u05d9\u05ea HTTP \u05d0\u05dc\u05d9\u05d4\u05dd) \u05d1\u05e9\u05de\u05d5\u05ea \u05db\u05d0\u05dc\u05d5 &quot;www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com&quot; \u05d0\u05d5 &quot;www.ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com&quot;. \u05d1\u05d4\u05e7\u05e9\u05e8 \u05d4\u05d6\u05d4 \u05db\u05d3\u05d0\u05d9 \u05dc\u05e6\u05d9\u05d9\u05df \u05e9\u05d2\u05dd \u05d4\u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd Petya, Not-Petya \u05d5\u05e8\u05d1\u05d9\u05dd \u05d0\u05d7\u05e8\u05d9\u05dd, \u05de\u05ea\u05e4\u05e9\u05d8\u05d9\u05dd \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05e4\u05e0\u05d9\u05d5\u05ea SMB \u05d1\u05e4\u05d5\u05e8\u05d8 445 (\u05db\u05e4\u05d9 \u05e9\u05de\u05d5\u05e4\u05d9\u05e2 \u05d1\u05de\u05d0\u05de\u05e8(7) \u05e9\u05dc Iain Thompson \u05d1\u05d0\u05ea\u05e8 The Register)<\/li>\n<li>\u05dc\u05e4\u05d9 \u05de\u05d7\u05e7\u05e8(4) \u05e9\u05e2\u05e9\u05ea\u05d4 \u05d7\u05d1\u05e8\u05ea MalwareBytes \u05dc\u05d2\u05d1\u05d9 \u05ea\u05d5\u05db\u05e0\u05ea \u05d4\u05db\u05d5\u05e4\u05e8\u05d4 Locky \u05d4\u05e4\u05d5\u05d2\u05e2\u05df \u05d1\u05d3&quot;\u05db \u05de\u05d2\u05d9\u05e2 \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05e7\u05d5\u05d1\u05e5 MS Office (\u05dc\u05d3\u05d5\u05d2\u05de\u05d4 \u05e7\u05d5\u05d1\u05e5 doc) \u05d1\u05de\u05e1\u05d2\u05e8\u05ea \u05e7\u05de\u05e4\u05d9\u05d9\u05df \u05e4\u05d9\u05e9\u05d9\u05e0\u05d2 \u05d1\u05de\u05d9\u05d9\u05dc \u05d0\u05e9\u05e8 \u05de\u05d5\u05e8\u05d9\u05d3 \u05e7\u05d5\u05d1\u05e5 exe. \u05de\u05d9\u05d3 \u05e2\u05dd \u05d4\u05e4\u05e2\u05dc\u05ea\u05d5 \u05d4\u05d5\u05d0 \u05de\u05d5\u05e8\u05e5 \u05db\u05e7\u05d5\u05d1\u05e5 \u05d1\u05e9\u05dd svchost.exe \u05de\u05ea\u05d5\u05da \u05ea\u05d9\u05e7\u05d9\u05d9\u05ea %TEMP%. \u05d1\u05e0\u05d5\u05e1\u05e3, Locky \u05de\u05ea\u05e7\u05e9\u05e8 \u05e2\u05dd \u05de\u05e1\u05e4\u05e8 \u05db\u05ea\u05d5\u05d1\u05d5\u05ea IP \u05d1\u05e2\u05d5\u05dc\u05dd \u05d4\u05de\u05d5\u05d2\u05d3\u05e8\u05d5\u05ea \u05d1\u05e7\u05d5\u05d3 \u05d4\u05ea\u05d5\u05db\u05e0\u05d4 (Hardcoded) \u05d1\u05d7\u05dc\u05e7 \u05de\u05df \u05d4\u05d2\u05e8\u05e1\u05d0\u05d5\u05ea \u05de\u05d3\u05d5\u05d1\u05e8 \u05d1-3 \u05db\u05ea\u05d5\u05d1\u05d5\u05ea IP \u05d5\u05d1\u05e0\u05d5\u05e1\u05e3, \u05d4\u05d5\u05d0 \u05de\u05e9\u05ea\u05de\u05e9 \u05d2\u05dd \u05d1-DGA \u05e2\u05dc \u05de\u05e0\u05ea \u05dc\u05d9\u05d9\u05e6\u05e8 \u05d1\u05d0\u05d5\u05e4\u05df \u05d3\u05d9\u05e0\u05d0\u05de\u05d9 \u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05d3\u05d5\u05de\u05d9\u05d9\u05df \u05e9\u05d0\u05dc\u05d9\u05d4\u05df \u05d9\u05e9 \u05dc\u05e4\u05e0\u05d5\u05ea.<\/li>\n<\/ol>\n<\/li>\n<li>Phishing\n<ol>\n<li>\u05de\u05de\u05d7\u05e7\u05e8(3) \u05e9\u05e2\u05e9\u05ea\u05d4 \u05d7\u05d1\u05e8\u05ea TrendMicro \u05e2\u05d5\u05dc\u05d4 \u05db\u05d9 \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05dc\u05e1\u05d1\u05d9\u05d1\u05ea Android \u05de\u05d6\u05d5\u05d4\u05d5\u05ea \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05e9\u05dd \u05d1\u05de\u05d1\u05e0\u05d4 \u05d4\u05d3\u05d5\u05de\u05d4 \u05dc\u05e9\u05dd \u05d3\u05d5\u05de\u05d9\u05d9\u05df, \u05dc\u05de\u05e9\u05dc \u05d4\u05e9\u05dd \u05e9\u05de\u05d6\u05d4\u05d4 \u05d0\u05ea \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d9\u05ea \u05e4\u05d9\u05d9\u05e1\u05d1\u05d5\u05e7 \u05d4\u05d5\u05d0 &quot;com.facebook.katana&quot;, \u05e0\u05d9\u05ea\u05df \u05dc\u05e8\u05d0\u05d5\u05ea \u05d6\u05d0\u05ea \u05d1\u05db\u05ea\u05d5\u05d1\u05ea \u05d4-URL \u05d4\u05de\u05e9\u05de\u05e9\u05ea \u05dc\u05d4\u05d5\u05e8\u05d3\u05ea \u05d4\u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d4 \u05de\u05d4-Google Play Store. \u05dc\u05d4\u05dc\u05df \u05d4\u05db\u05ea\u05d5\u05d1\u05ea \u05d4\u05de\u05dc\u05d0\u05d4: https:\/\/play.google.com\/store\/apps\/details?id=com.facebook.katana. \u05de\u05d0\u05d5\u05ea\u05d5 \u05de\u05d7\u05e7\u05e8 \u05de\u05ea\u05d1\u05e8\u05e8 \u05db\u05d9 \u05d4\u05e9\u05dd \u05d4\u05d6\u05d4 <strong>\u05d0\u05d9\u05e0\u05d5 \u05e0\u05d3\u05e8\u05e9 \u05dc\u05d4\u05d9\u05d5\u05ea \u05d9\u05d9\u05d7\u05d5\u05d3\u05d9 \u05d1\u05d0\u05d5\u05e4\u05df \u05d0\u05d5\u05e0\u05d9\u05d1\u05e8\u05e1\u05dc\u05d9 \u05d0\u05dc\u05d0 \u05e8\u05e7 \u05d9\u05d9\u05d7\u05d5\u05d3\u05d9 \u05d1\u05d0\u05d5\u05ea\u05d5 \u05de\u05db\u05e9\u05d9\u05e8<\/strong>. \u05dc\u05d3\u05d5\u05d2\u05de\u05d4, \u05d7\u05d1\u05e8\u05ea \u05d0\u05d3\u05d5\u05d1\u05d9 \u05d4\u05e4\u05e1\u05d9\u05e7\u05d4 \u05d0\u05ea\u00a0\u05e4\u05d9\u05ea\u05d5\u05d7 \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d9\u05ea \u05d4-Flash \u05e9\u05dc\u05d4 \u05dc\u05d0\u05e0\u05d3\u05e8\u05d5\u05d0\u05d9\u05d3 (\u05e9\u05d4\u05d9\u05ea\u05d4 \u05d6\u05de\u05d9\u05e0\u05d4 \u05ea\u05d7\u05ea \u05d4\u05e9\u05dd &quot;com.adobe.flashplayer&quot;) \u05d1-2012 \u05d5\u05de\u05d0\u05d6 \u05d4\u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d4 \u05e9\u05dc\u05d4\u05dd \u05db\u05d1\u05e8 \u05dc\u05d0 \u05e7\u05d9\u05d9\u05de\u05ea \u05d1-Google Play Store \u05d5\u05dc\u05db\u05df, \u05ea\u05d5\u05e7\u05e4\u05d9\u05dd \u05d9\u05d9\u05e6\u05e8\u05d5 \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05d6\u05d3\u05d5\u05e0\u05d9\u05d5\u05ea \u05ea\u05d7\u05ea \u05e9\u05de\u05d5\u05ea \u05d3\u05d5\u05de\u05d9\u05dd, \u05dc\u05de\u05e9\u05dc:\u00a0&quot;con.adobe.flash.player&quot;,\u00a0&quot;com.adobe.flash.player&quot;, \u05d5\u05d0\u05d7\u05e8\u05d9\u05dd \u05d3\u05d5\u05de\u05d9\u05dd.<\/li>\n<\/ol>\n<\/li>\n<li>\u05db\u05dc\u05d9 \u05ea\u05e7\u05d9\u05e4\u05d4 \u05e0\u05e4\u05d5\u05e6\u05d9\u05dd\n<ol>\n<li>WMImplant<strong>\u00a0<\/strong>&#8211; \u05dc\u05e4\u05d9 \u05d4\u05de\u05d0\u05de\u05e8(5) \u05e9\u05dc \u05d7\u05d1\u05e8\u05ea FireEye \u05db\u05de\u05d5 \u05d2\u05dd \u05dc\u05e4\u05d9 \u05d4\u05de\u05d0\u05de\u05e8(6) \u05e9\u05dc SecurityWeek \u05e9\u05e0\u05db\u05ea\u05d1 \u05e2\u05dc \u05d9\u05d3\u05d9 Ionut Arghire \u05db\u05dc\u05d9 \u05d6\u05d4, \u05d4\u05db\u05ea\u05d5\u05d1 \u05d1-PowerShell, \u05de\u05d0\u05e4\u05e9\u05e8 \u05d2\u05d9\u05e9\u05d4 \u05de\u05e8\u05d7\u05d5\u05e7 (RAT) \u05e2\u05dc \u05d9\u05d3\u05d9 \u05e9\u05d9\u05de\u05d5\u05e9 \u05d1\u05e9\u05d9\u05e8\u05d5\u05ea \u05d4-WMI \u05d4\u05e7\u05d9\u05d9\u05dd \u05d1\u05db\u05dc \u05d4\u05d2\u05e8\u05e1\u05d0\u05d5\u05ea \u05d4\u05d7\u05d3\u05e9\u05d5\u05ea \u05e9\u05dc Windows. \u05d4\u05db\u05dc\u05d9 \u05de\u05d0\u05e4\u05e9\u05e8 \u05d4\u05e9\u05ea\u05dc\u05d8\u05d5\u05ea \u05dc\u05de\u05e2\u05e9\u05d4 \u05de\u05dc\u05d0\u05d4 \u05e2\u05dc \u05d4\u05ea\u05d7\u05e0\u05d4, \u05dc\u05d4\u05e4\u05e2\u05d9\u05dc \u05e7\u05d5\u05d3, \u05dc\u05db\u05d1\u05d5\u05ea \u05d0\u05ea \u05d4\u05ea\u05d7\u05e0\u05d4 \u05d5\u05db\u05d3\u05d5'. \u05de\u05db\u05d9\u05d5\u05d5\u05df \u05e9\u05db\u05da, \u05d4\u05d5\u05d0 \u05e4\u05d5\u05e4\u05d5\u05dc\u05d0\u05e8\u05d9 \u05de\u05d0\u05d3 \u05d2\u05dd \u05d1\u05d9\u05df \u05d4\u05d0\u05e7\u05e8\u05d9\u05dd \u05d4\u05de\u05e2\u05d5\u05e0\u05d9\u05d9\u05e0\u05d9\u05dd \u05dc\u05d4\u05e9\u05d9\u05d2 \u05e9\u05dc\u05d9\u05d8\u05d4 \u05e2\u05dc \u05ea\u05d7\u05e0\u05d5\u05ea Windows \u05d0\u05d5 \u05dc\u05db\u05ea\u05d5\u05d1 \u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd \u05d4\u05de\u05e9\u05ea\u05de\u05e9\u05d9\u05dd \u05d1\u05d5 \u05db\u05d3\u05d9 \u05dc\u05d4\u05ea\u05e4\u05e9\u05d8 \u05d1\u05d9\u05df \u05ea\u05d7\u05e0\u05d5\u05ea (Lateral movement). \u05d1\u05e2\u05ea \u05d4\u05e9\u05d9\u05de\u05d5\u05e9 \u05d1\u05db\u05dc\u05d9 \u05d6\u05d4 \u05e4\u05e7\u05d5\u05d3\u05d5\u05ea \u05d4\u05de\u05d5\u05e4\u05e2\u05dc\u05d5\u05ea \u05e2\u05dc \u05d9\u05d3\u05d5 \u05e2\u05d5\u05d1\u05e8\u05d5\u05ea \u05ea\u05d4\u05dc\u05d9\u05da Obfuscation (\u05dc\u05de\u05e9\u05dc \u05db\u05da: 'Inv`oke-Ex`pression') \u05d4\u05de\u05e7\u05e9\u05d4 \u05e2\u05dc \u05d0\u05d9\u05ea\u05d5\u05e8\u05df \u05d1\u05dc\u05d5\u05d2 \u05d4\u05de\u05e2\u05e8\u05db\u05ea.<\/li>\n<li>Remote Code Exec via Services.msc &#8211; \u05dc\u05e4\u05d9 \u05de\u05d0\u05de\u05e8 (8) \u05d1\u05d0\u05ea\u05e8 CyberWarDog \u05d0\u05d7\u05ea \u05d4\u05d3\u05e8\u05db\u05d9\u05dd \u05d4\u05e0\u05e4\u05d5\u05e6\u05d5\u05ea \u05dc\u05d4\u05e4\u05e2\u05dc\u05ea \u05ea\u05d4\u05dc\u05d9\u05db\u05d9\u05dd \u05e2\u05dc \u05de\u05d7\u05e9\u05d1\u05d9\u05dd \u05de\u05e8\u05d5\u05d7\u05e7\u05d9\u05dd \u05d4\u05d9\u05d0 \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05d4\u05d5\u05e1\u05e4\u05d4, \u05d4\u05e4\u05e2\u05dc\u05d4, \u05db\u05d9\u05d1\u05d5\u05d9 \u05d5\u05d4\u05e1\u05e8\u05d4 \u05e9\u05dc Services \u05de\u05de\u05d7\u05e9\u05d1\u05d9 Windows \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05d4\u05d0\u05e4\u05e9\u05e8\u05d5\u05ea \u05dc\u05e2\u05e9\u05d5\u05ea \u05d6\u05d0\u05ea \u05de\u05e8\u05d7\u05d5\u05e7. \u05db\u05dc\u05d9\u05dd \u05db\u05d2\u05d5\u05df PsExec \u05de\u05e0\u05e6\u05dc\u05d9\u05dd \u05d4\u05ea\u05e0\u05d4\u05d2\u05d5\u05ea \u05d6\u05d5 \u05dc\u05d8\u05d5\u05d1\u05ea \u05e4\u05e2\u05d5\u05dc\u05ea\u05dd \u05d4\u05ea\u05e7\u05d9\u05e0\u05d4. \u05dc\u05e4\u05d9 \u05d4\u05de\u05d0\u05de\u05e8\u05d9\u05dd (8) \u05d5-(9) \u05e0\u05e8\u05d0\u05d4 \u05db\u05d9 \u05db\u05dc\u05d9\u05dd \u05e9\u05e4\u05d5\u05e2\u05dc\u05d9\u05dd \u05d1\u05d0\u05d5\u05e4\u05df \u05d6\u05d4 \u05d9\u05d1\u05e6\u05e2\u05d5 \u05d7\u05d9\u05d1\u05d5\u05e8\u05d9\u05dd \u05dc\u05e9\u05d9\u05ea\u05d5\u05e3 \u05d4\u05d7\u05d1\u05d5\u05d9 $ADMIN \u05d5\u05de\u05e2\u05d3\u05db\u05e0\u05d9\u05dd \u05d0\u05ea \u05e8\u05e9\u05d9\u05de\u05ea \u05d4-Services \u05d4\u05de\u05d0\u05d5\u05d7\u05e1\u05e0\u05ea \u05d1\u05e8\u05d9\u05e9\u05d5\u05dd \u05d4\u05de\u05e2\u05e8\u05db\u05ea.<\/li>\n<li>Mimikatz &#8211; \u05db\u05dc\u05d9 \u05d6\u05d4 (9) \u05de\u05d0\u05e4\u05e9\u05e8 \u05dc\u05d1\u05e6\u05e2 \u05d1\u05d3\u05d9\u05e7\u05d5\u05ea \u05e9\u05d5\u05e0\u05d5\u05ea \u05dc\u05d0\u05d1\u05d8\u05d7\u05ea \u05de\u05d9\u05d3\u05e2 \u05e9\u05dc \u05de\u05e2\u05e8\u05db\u05d5\u05ea Windows \u05db\u05d2\u05d5\u05df \u05d7\u05d9\u05dc\u05d5\u05e5 \u05e1\u05d9\u05e1\u05de\u05d0\u05d5\u05ea, \u05e7\u05d5\u05d3\u05d9 PIN, \u05d5-Kerberos Tickets \u05de\u05d6\u05d9\u05db\u05e8\u05d5\u05df \u05d4\u05de\u05e2\u05e8\u05db\u05ea, \u05d1\u05d9\u05e6\u05d5\u05e2 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 Pass-The-Hash \u05d5\u05e2\u05d5\u05d3. \u05db\u05dc\u05d9 \u05d6\u05d4 \u05e0\u05d9\u05ea\u05df \u05dc\u05d4\u05e8\u05e6\u05d4 \u05d9\u05e9\u05d9\u05e8\u05d5\u05ea \u05de\u05d6\u05db\u05e8\u05d5\u05df \u05d4\u05de\u05e2\u05e8\u05db\u05ea \u05dc\u05dc\u05d0 \u05e9\u05de\u05d9\u05e8\u05d4 \u05d1\u05d3\u05d9\u05e1\u05e7 \u05db\u05de\u05d5 \u05d2\u05dd \u05dc\u05d4\u05e8\u05e6\u05d4 \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05d4\u05e4\u05e2\u05dc\u05ea \u05e7\u05d5\u05d1\u05e5 \u05d4\u05e9\u05de\u05d5\u05e8 \u05d1\u05d3\u05d9\u05e1\u05e7.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>&nbsp;<\/p>\n<p>\u05dc\u05d3\u05e2\u05ea\u05d9, \u05e7\u05d9\u05d9\u05de\u05ea \u05d3\u05e8\u05da \u05d8\u05d5\u05d1\u05d4 (\u05d0\u05dd \u05db\u05d9 \u05d0\u05de\u05e0\u05dd \u05dc\u05d0 \u05de\u05d5\u05e9\u05dc\u05de\u05ea&#8230;) \u05dc\u05d0\u05d9\u05ea\u05d5\u05e8 \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05de\u05e1\u05d5\u05d2\u05d9\u05dd \u05d0\u05dc\u05d5 \u05d1\u05d6\u05de\u05df \u05d0\u05de\u05ea (\u05d0\u05d5 \u05e7\u05e8\u05d5\u05d1 \u05dc\u05d6\u05de\u05df \u05d0\u05de\u05ea) \u05d5\u05db\u05de\u05d5\u05d1\u05df \u05d2\u05dd \u05d1\u05d3\u05d9\u05e2\u05d1\u05d3. \u05e2\u05dc \u05d9\u05d3\u05d9 \u05d0\u05d9\u05e1\u05d5\u05e3 \u05e9\u05dc \u05de\u05e1\u05e4\u05d9\u05e7 \u05de\u05d9\u05d3\u05e2 \u05d0\u05d9\u05db\u05d5\u05ea\u05d9 \u05d5\u05de\u05d3\u05d5\u05d9\u05d9\u05e7 \u05dc\u05d2\u05d1\u05d9 \u05d0\u05d5\u05e4\u05df \u05e4\u05e2\u05d9\u05dc\u05d5\u05ea \u05d4\u05e9\u05e8\u05ea\u05d9\u05dd, \u05d4\u05ea\u05d7\u05e0\u05d5\u05ea, \u05e6\u05d9\u05d5\u05d3\u05d9 \u05d4\u05e7\u05e6\u05d4 \u05d5\u05d4\u05d0\u05e8\u05d2\u05d5\u05df \u05d1\u05d0\u05d5\u05e4\u05df \u05db\u05dc\u05dc\u05d9, \u05dc\u05d3\u05e2\u05ea\u05d9, \u05db\u05db\u05dc \u05e9\u05de\u05d3\u05d5\u05d1\u05e8 \u05d1\u05d0\u05e8\u05d2\u05d5\u05df \u05d2\u05d3\u05d5\u05dc \u05d9\u05d5\u05ea\u05e8, \u05db\u05da \u05d9\u05d4\u05d9\u05d5 \u05d4\u05e1\u05d9\u05db\u05d5\u05d9\u05d9\u05dd \u05e8\u05d1\u05d9\u05dd \u05d9\u05d5\u05ea\u05e8 \u05e9\u05d9\u05d4\u05d9\u05d4 \u05e0\u05d9\u05ea\u05df \u05dc\u05d0\u05ea\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05d0\u05d5 \u05d0\u05ea \u05e4\u05e2\u05d9\u05dc\u05d5\u05ea\u05dd \u05e9\u05dc \u05db\u05dc\u05d9\u05dd \u05de\u05e1\u05d5\u05d2\u05d9\u05dd \u05d0\u05dc\u05d5 \u05d1\u05d0\u05d5\u05e4\u05df \u05d9\u05e2\u05d9\u05dc \u05d5\u05de\u05d3\u05d5\u05d9\u05e7 \u05de\u05d7\u05d3, \u05d5\u05ea\u05d5\u05da \u05d4\u05e9\u05e7\u05e2\u05ea \u05d6\u05de\u05df \u05de\u05d9\u05e0\u05d9\u05de\u05dc\u05d9\u05ea \u05d1\u05db\u05d9\u05d5\u05d5\u05e0\u05d5\u05df \u05de\u05e2\u05e8\u05db\u05ea \u05db\u05d6\u05d5 (\u05d0\u05d5 \u05d1\u05d0\u05d9\u05ea\u05d5\u05e8 False positives) \u05de\u05d0\u05d9\u05d3\u05da.<\/p>\n<p>\u05d1\u05e9\u05d5\u05e8\u05d5\u05ea \u05d4\u05d1\u05d0\u05d5\u05ea \u05d0\u05e0\u05e1\u05d4 \u05dc\u05d4\u05e6\u05d9\u05d2 \u05d0\u05ea \u05d4\u05db\u05d9\u05d5\u05d5\u05df \u05d4\u05db\u05dc\u05dc\u05d9 \u05e9\u05dc \u05d0\u05e1\u05d8\u05e8\u05d8\u05d2\u05d9\u05d4 \u05db\u05d6\u05d5. \u05db\u05de\u05d5\u05d1\u05df, \u05e0\u05d9\u05ea\u05df \u05dc\u05de\u05de\u05e9 \u05e4\u05ea\u05e8\u05d5\u05df \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05d1\u05d0\u05d5\u05e4\u05e0\u05d9\u05dd \u05e9\u05d5\u05e0\u05d9\u05dd \u05e9\u05d9\u05d4\u05d9\u05d5 \u05d8\u05d5\u05d1\u05d9\u05dd \u05d9\u05d5\u05ea\u05e8 \u05d5\u05e4\u05d7\u05d5\u05ea \u05de\u05d0\u05dc\u05d5 \u05d4\u05de\u05d5\u05d1\u05d0\u05d9\u05dd \u05dc\u05d4\u05dc\u05df \u05d0\u05d1\u05dc \u05d4\u05e2\u05e7\u05e8\u05d5\u05e0\u05d5\u05ea \u05d4\u05d1\u05e1\u05d9\u05e1\u05d9\u05d9\u05dd \u05dc\u05d3\u05e2\u05ea\u05d9 \u05d9\u05d4\u05d9\u05d5 \u05e7\u05d9\u05d9\u05de\u05d9\u05dd \u05d1\u05d9\u05d9\u05e9\u05d5\u05de\u05d9\u05dd \u05e8\u05d1\u05d9\u05dd \u05d0\u05d7\u05e8\u05d9\u05dd.<\/p>\n<p>\u05d1\u05e9\u05d5\u05e0\u05d4 \u05de\u05de\u05e2\u05e8\u05db\u05d5\u05ea \u05d4\u05de\u05ea\u05d1\u05e1\u05e1\u05d5\u05ea \u05e2\u05dc \u05d6\u05d9\u05d4\u05d5\u05d9 \u05d7\u05ea\u05d9\u05de\u05d5\u05ea (Signatures) \u05e9\u05dc \u05d0\u05d9\u05d5\u05de\u05d9\u05dd \u05de\u05d5\u05db\u05e8\u05d9\u05dd (\u05dc\u05de\u05e9\u05dc Hash \u05e9\u05dc \u05e7\u05d1\u05e6\u05d9\u05dd \u05e9\u05dc \u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd \u05d9\u05d3\u05d5\u05e2\u05d9\u05dd \u05d0\u05d5 \u05db\u05ea\u05d5\u05d1\u05d5\u05ea IP \u05d4\u05de\u05e7\u05d5\u05e9\u05e8\u05d5\u05ea \u05dc\u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd \u05d9\u05d3\u05d5\u05e2\u05d9\u05dd) \u05d5\u05d1\u05e9\u05d5\u05e0\u05d4 \u05d2\u05dd \u05de\u05de\u05e2\u05e8\u05db\u05d5\u05ea \u05d4\u05de\u05ea\u05d1\u05e1\u05e1\u05d5\u05ea \u05e2\u05dc \u05d6\u05d9\u05d4\u05d5\u05d9 \u05d7\u05ea\u05d9\u05de\u05d5\u05ea \u05e9\u05dc \u05d4\u05ea\u05e0\u05d4\u05d2\u05d5\u05d9\u05d5\u05ea \u05e9\u05dc \u05e4\u05d5\u05d2\u05e2\u05e0\u05d9\u05dd \u05d9\u05d3\u05d5\u05e2\u05d9\u05dd (\u05d4\u05d5\u05e8\u05d3\u05ea \u05e7\u05d5\u05d1\u05e5 + \u05e4\u05e0\u05d9\u05d9\u05d4 \u05dc\u05db\u05ea\u05d5\u05d1\u05ea X + \u05d9\u05e6\u05d9\u05e8\u05ea \u05e7\u05d5\u05d1\u05e5 Y + \u05d1\u05d9\u05e6\u05d5\u05e2 \u05e4\u05e2\u05d5\u05dc\u05d4 Z = \u05e4\u05d5\u05d2\u05e2\u05df \u05de\u05e1\u05d5\u05d2 A) \u05d4\u05d4\u05e6\u05e2\u05d4 \u05e9\u05dc\u05d9 \u05d4\u05d9\u05d0 \u05dc\u05d6\u05d4\u05d5\u05ea \u05d0\u05ea \u05d4\u05d4\u05ea\u05e0\u05d4\u05d2\u05d5\u05ea \u05d4\u05e0\u05d5\u05e8\u05de\u05dc\u05d9\u05ea \u05e2\u05dc \u05d1\u05e1\u05d9\u05e1 \u05e8\u05d7\u05d1 \u05db\u05db\u05dc \u05d4\u05e0\u05d9\u05ea\u05df \u05e9\u05dc \u05de\u05d3\u05d3\u05d9\u05dd \u05e8\u05dc\u05d5\u05d5\u05e0\u05d8\u05d9\u05d9\u05dd \u05d5\u05dc\u05d4\u05d2\u05d3\u05d9\u05e8 \u05d0\u05ea \u05d4\u05d1\u05e2\u05d9\u05d4 \u05db\u05d0\u05d5\u05e1\u05e3 \u05e9\u05dc \u05d7\u05e8\u05d9\u05d2\u05d5\u05ea \u05d1\u05de\u05e1\u05e4\u05e8 \u05de\u05d3\u05d3\u05d9\u05dd \u05de\u05de\u05e0\u05d4. \u05d7\u05e9\u05d5\u05d1 \u05dc\u05d4\u05d1\u05d4\u05d9\u05e8, \u05e2\u05dd \u05d6\u05d0\u05ea, \u05e9\u05de\u05e2\u05e8\u05db\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05dc\u05d0 \u05ea\u05e1\u05e4\u05e7 \u05d4\u05ea\u05e8\u05d0\u05d5\u05ea \u05de\u05e9\u05d5\u05d9\u05d9\u05de\u05d5\u05ea (\u05db\u05dc\u05d5\u05de\u05e8 &#8211; \u05d1\u05e2\u05dc\u05d5\u05ea \u05e9\u05dd) \u05dc\u05de\u05e9\u05dc &quot;\u05d6\u05d5\u05d4\u05ea\u05d4 \u05de\u05ea\u05e7\u05e4\u05ea WannaCry&quot; \u05d0\u05dc\u05d0 \u05d4\u05ea\u05e8\u05d0\u05d4 \u05e2\u05dc \u05d4\u05e4\u05e2\u05d9\u05dc\u05d5\u05ea \u05d4\u05d7\u05e8\u05d9\u05d2\u05d4 \u05e9\u05d0\u05e8\u05e2\u05d4. \u05de\u05e9\u05d4\u05d5 \u05d1\u05e0\u05d5\u05e1\u05d7 &quot;\u05d6\u05d5\u05d4\u05ea\u05d4 \u05d7\u05e8\u05d9\u05d2\u05d4 \u05d1\u05d4\u05d9\u05e7\u05e3 \u05d4\u05e7\u05e9\u05e8\u05d9\u05dd \u05d1\u05d9\u05df \u05de\u05d7\u05e9\u05d1\u05d9\u05dd \u05d1-SMB, \u05d5\u05d1\u05e0\u05d5\u05e1\u05e3, \u05d6\u05d5\u05d4\u05ea\u05d4 \u05d2\u05dd \u05d7\u05e8\u05d9\u05d2\u05d4 \u05d1\u05d4\u05d9\u05e7\u05e3 \u05d4\u05e4\u05e0\u05d9\u05d5\u05ea \u05dc\u05d0\u05d9\u05e0\u05d8\u05e8\u05e0\u05d8 \u05d1-SMB \u05d5\u05d2\u05dd \u05d6\u05d5\u05d4\u05d4 \u05d7\u05e9\u05d3 \u05dc\u05e9\u05d9\u05de\u05d5\u05e9 \u05d1\u05d3\u05d5\u05de\u05d9\u05d9\u05e0\u05d9\u05dd \u05de\u05d1\u05d5\u05e1\u05e1\u05d9 DGA \u05d5\u05db\u05dc \u05d6\u05d4 \u05ea\u05d5\u05da \u05e4\u05d7\u05d5\u05ea \u05de\u05d7\u05e6\u05d9 \u05e9\u05e2\u05d4&quot;, \u05d0\u05d7\u05e8\u05d9\u05d5\u05ea \u05d4\u05de\u05e9\u05ea\u05de\u05e9 \u05d1\u05de\u05e2\u05e8\u05db\u05ea \u05ea\u05d4\u05d9\u05d4 \u05dc\u05d4\u05d2\u05d3\u05d9\u05e8 \u05d0\u05d5 \u05dc\u05e1\u05d5\u05d5\u05d2 \u05d0\u05ea \u05d4\u05de\u05ea\u05e7\u05e4\u05d4 \u05db-WannaCry. \u05e2\u05dd \u05d6\u05d0\u05ea, \u05dc\u05e7\u05e8\u05d0\u05ea \u05e1\u05d5\u05e4\u05d5 \u05e9\u05dc \u05de\u05d0\u05de\u05e8 \u05d6\u05d4 \u05d0\u05e6\u05d9\u05e2 \u05d3\u05e8\u05da \u05d1\u05d9\u05e0\u05d9\u05d9\u05dd \u05e9\u05d0\u05d5\u05dc\u05d9 \u05ea\u05d0\u05e4\u05e9\u05e8 \u05d2\u05dd \u05d0\u05ea \u05d1\u05d9\u05e6\u05d5\u05e2\u05df \u05e9\u05dc \u05de\u05e9\u05d9\u05de\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4. \u05d1\u05e9\u05d5\u05e8\u05d5\u05ea \u05d4\u05d1\u05d0\u05d5\u05ea \u05d0\u05e0\u05e1\u05d4 \u05dc\u05d4\u05d3\u05d2\u05d9\u05dd \u05db\u05d9\u05e6\u05d3 \u05dc\u05d3\u05d5\u05d2\u05de\u05d4, \u05e0\u05d9\u05ea\u05df \u05dc\u05d6\u05d4\u05d5\u05ea \u05d0\u05ea \u05d4\u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05d5\u05d0\u05ea \u05e4\u05e2\u05d9\u05dc\u05d5\u05ea \u05d4\u05db\u05dc\u05d9\u05dd \u05d4\u05e0&quot;\u05dc \u05d1\u05e8\u05e9\u05ea \u05e2\u05dc \u05d1\u05e1\u05d9\u05e1 \u05d6\u05d9\u05d4\u05d5\u05d9 \u05de\u05d9\u05d3\u05e2\u05d9\u05dd \u05d7\u05e8\u05d9\u05d2\u05d9\u05dd \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05db\u05dc\u05d9 BigData \u05de\u05ea\u05d0\u05d9\u05de\u05d9\u05dd.<\/p>\n<p>\u05d0\u05d9\u05e1\u05d5\u05e3:<\/p>\n<p>Sysmon &#8211; \u05db\u05dc\u05d9 \u05d4-Sysmon \u05d4\u05d5\u05d0 \u05d7\u05dc\u05e7 \u05de\u05d4\u05db\u05dc\u05d9\u05dd \u05de\u05d0\u05ea\u05e8 \u05d4-Sysinternals \u05e9\u05d4\u05d5\u05e7\u05dd \u05e2\u05dc \u05d9\u05d3\u05d9 \u05d4\u05de\u05e4\u05ea\u05d7\u05d9\u05dd \u05de\u05d0\u05e8\u05e7 \u05e8\u05d5\u05e1\u05d9\u05e0\u05d5\u05d1\u05d9\u05e5' \u05d5\u05d1\u05e8\u05d5\u05e1 \u05e7\u05d5\u05d2\u05d5\u05d5\u05dc (12). \u05db\u05dc\u05d9 \u05d6\u05d4 \u05de\u05d0\u05e4\u05e9\u05e8 \u05e8\u05d9\u05e9\u05d5\u05dd \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05dc-EventLog \u05dc\u05e4\u05d9 \u05db\u05dc \u05de\u05d9\u05e0\u05d9 \u05e7\u05e8\u05d9\u05d8\u05e8\u05d9\u05d5\u05e0\u05d9\u05dd. \u05e0\u05e9\u05ea\u05de\u05e9 \u05d1\u05db\u05dc\u05d9 \u05d6\u05d4 \u05e2\u05dc \u05de\u05e0\u05ea \u05dc\u05d0\u05e1\u05d5\u05e3 \u05de\u05d9\u05d3\u05e2 \u05e2\u05dc \u05d0\u05d5\u05e4\u05df \u05d4\u05ea\u05e0\u05d4\u05d2\u05d5\u05ea\u05df \u05e9\u05dc \u05de\u05e2\u05e8\u05db\u05d5\u05ea Windows.<\/p>\n<p>Winlogbeat &#8211; \u05db\u05dc\u05d9 (13) \u05e9\u05dc \u05d7\u05d1\u05e8\u05ea Elastic \u05d4\u05de\u05d0\u05e4\u05e9\u05e8 \u05d0\u05ea \u05e9\u05dc\u05d9\u05e4\u05ea\u05dd \u05d5\u05d4\u05e2\u05d1\u05e8\u05ea\u05dd \u05e9\u05dc \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05e9\u05e0\u05e8\u05e9\u05de\u05d5 \u05d1-Windows Event Log \u05d0\u05dc \u05de\u05e2\u05e8\u05db\u05ea Elasticsearch \u05dc\u05e6\u05d5\u05e8\u05da \u05e0\u05d9\u05ea\u05d5\u05d7 \u05d5\u05d7\u05d9\u05e4\u05d5\u05e9.<\/p>\n<p>NXLog &#8211; \u05db\u05dc\u05d9 (14) \u05d0\u05d9\u05e1\u05d5\u05e3 \u05d4\u05de\u05d0\u05e4\u05e9\u05e8 \u05dc\u05e9\u05dc\u05d5\u05e3\u00a0\u05dc\u05d5\u05d2\u05d9\u05dd \u05de\u05e7\u05d1\u05e6\u05d9\u05dd \u05d0\u05d5 \u05de-Windows Event Log \u05d0\u05d5 \u05de\u05de\u05e7\u05d5\u05e8\u05d5\u05ea \u05e0\u05d5\u05e1\u05e4\u05d9\u05dd, \u05dc\u05d1\u05e6\u05e2 \u05e2\u05dc\u05d9\u05d4\u05dd \u05e2\u05d9\u05d1\u05d5\u05d3\u05d9\u05dd \u05e4\u05e9\u05d5\u05d8\u05d9\u05dd \u05d5\u05dc\u05d4\u05e2\u05d1\u05d9\u05e8\u05dd \u05dc\u05d0\u05d7\u05e8 \u05de\u05db\u05df \u05dc\u05de\u05d2\u05d5\u05d5\u05df \u05de\u05e2\u05e8\u05db\u05d5\u05ea<\/p>\n<p>Logstash &#8211; \u05db\u05dc\u05d9 (15) \u05de\u05d1\u05d9\u05ea Elastic \u05d4\u05de\u05d0\u05e4\u05e9\u05e8 \u05e7\u05dc\u05d9\u05d8\u05ea \u05dc\u05d5\u05d2\u05d9\u05dd \u05d0\u05d5 \u05de\u05d9\u05d3\u05e2\u05d9\u05dd \u05d1\u05de\u05d2\u05d5\u05d5\u05df \u05d3\u05e8\u05db\u05d9\u05dd, \u05dc\u05d1\u05e6\u05e2 \u05e2\u05dc\u05d9\u05d4\u05dd \u05de\u05d2\u05d5\u05d5\u05df \u05e2\u05d9\u05d1\u05d5\u05d3\u05d9\u05dd \u05d5\u05dc\u05d4\u05e2\u05d1\u05d9\u05e8 \u05d0\u05d5\u05ea\u05dd \u05d4\u05dc\u05d0\u05d4 \u05dc\u05db\u05dc\u05d9\u05dd \u05e8\u05d1\u05d9\u05dd \u05d5\u05d1\u05d9\u05e0\u05d9\u05d4\u05dd \u05d2\u05dd Elasticsearch.<\/p>\n<p>\u05d1\u05e2\u05d6\u05e8\u05ea Sysmon \u05e0\u05d9\u05ea\u05df \u05dc\u05d2\u05e8\u05d5\u05dd \u05dc-Windows \u05dc\u05e8\u05e9\u05d5\u05dd \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05d1\u05e2\u05dc\u05d9 \u05e2\u05e0\u05d9\u05d9\u05df \u05e2\u05d1\u05d5\u05e8\u05d9\u05e0\u05d5 \u05de\u05e9\u05e8\u05ea\u05d9\u05dd \u05d5\u05ea\u05d7\u05e0\u05d5\u05ea \u05d4\u05e7\u05e6\u05d4 \u05d0\u05dc \u05d4-EventLog \u05e9\u05dc \u05db\u05dc \u05e9\u05e8\u05ea\/\u05ea\u05d7\u05e0\u05d4. \u05d1\u05e2\u05d6\u05e8\u05ea Winlogbeat \u05e0\u05d9\u05ea\u05df \u05dc\u05d4\u05e2\u05d1\u05d9\u05e8 \u05d0\u05ea \u05d4\u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05e9\u05e0\u05e8\u05e9\u05de\u05d5 \u05d1-EventLog \u05d0\u05dc \u05de\u05e2\u05e8\u05db\u05ea \u05d4-Elasticsearch. \u05d0\u05e4\u05e9\u05e8\u05d5\u05ea \u05e0\u05d5\u05e1\u05e4\u05ea \u05ea\u05d4\u05d9\u05d4 \u05dc\u05d4\u05e9\u05ea\u05de\u05e9 \u05d1-NXLOG \u05e9\u05d9\u05d5\u05ea\u05e7\u05df \u05e2\u05dc \u05e9\u05e8\u05ea\u05d9 \u05d4-Windows (\u05d1\u05de\u05e7\u05d5\u05dd Winlogbeat) \u05d5\u05d9\u05e2\u05d1\u05d9\u05e8 \u05d0\u05ea \u05d4\u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05d1-TCP \u05d0\u05d5 UDP \u05d1\u05de\u05d1\u05e0\u05d4 \u05e8\u05e6\u05d5\u05d9 \u05d0\u05dc \u05e9\u05d9\u05e8\u05d5\u05ea Logstash \u05d0\u05e9\u05e8 \u05d9\u05e2\u05d1\u05d9\u05e8 \u05d0\u05ea \u05d4\u05d7\u05d5\u05de\u05e8 \u05d0\u05dc Elasticsearch.<\/p>\n<p>\u05d7\u05e9\u05d5\u05d1 \u05dc\u05d4\u05d1\u05d9\u05df, \u05d1\u05e0\u05d5\u05e1\u05e3, \u05e9\u05db\u05db\u05dc \u05e9\u05d4\u05de\u05d9\u05d3\u05e2 \u05e9\u05d9\u05e0\u05d5\u05ea\u05d1 \u05dc\u05d0\u05dc\u05e1\u05d8\u05d9\u05e7 \u05d9\u05d4\u05d9\u05d4 \u05de\u05e4\u05d5\u05e8\u05d8 \u05d9\u05d5\u05ea\u05e8 \u05d5\u05de\u05d2\u05d5\u05d5\u05df \u05d9\u05d5\u05ea\u05e8 (\u05de\u05d1\u05d7\u05d9\u05e0\u05ea \u05de\u05e2\u05e8\u05db\u05d5\u05ea \u05d4\u05de\u05e7\u05d5\u05e8 \u05d4\u05de\u05d9\u05d9\u05e6\u05d0\u05d5\u05ea \u05d0\u05d5\u05ea\u05d5) \u05db\u05da \u05d4\u05e1\u05d9\u05db\u05d5\u05d9\u05d9\u05dd \u05dc\u05d0\u05ea\u05e8 \u05d9\u05d5\u05ea\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05d5\u05d0\u05d9\u05d5\u05de\u05d9\u05dd \u05e2\u05d5\u05dc\u05d9\u05dd \u05d1\u05d4\u05ea\u05d0\u05dd. \u05d4\u05de\u05e9\u05de\u05e2\u05d5\u05ea \u05d4\u05d9\u05d0 \u05e9\u05d0\u05dd, \u05d1\u05e0\u05d5\u05e1\u05e3 (\u05d0\u05d5 \u05d1\u05de\u05e7\u05d5\u05dd \u05d0\u05dd \u05d0\u05d9\u05df \u05d1\u05e8\u05d9\u05e8\u05d4) \u05dc\u05dc\u05d5\u05d2\u05d9\u05dd \u05d4\u05de\u05d2\u05d9\u05e2\u05d9\u05dd \u05de\u05d4\u05ea\u05d7\u05e0\u05d5\u05ea\/\u05e9\u05e8\u05ea\u05d9\u05dd \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea Winlogbeat+syslog \u05d0\u05d5 \u05e2&quot;\u05d9 Logstash+Nxlog+Sysmon, \u05d9\u05d4\u05d9\u05d5 \u05d1\u05e8\u05e9\u05d5\u05ea\u05d9\u05e0\u05d5 \u05d2\u05dd \u05dc\u05d5\u05d2\u05d9\u05dd \u05d0\u05e4\u05dc\u05d9\u05e7\u05d8\u05d9\u05d1\u05d9\u05d9\u05dd \u05e9\u05dc \u05e4\u05d9\u05d9\u05e8\u05d5\u05d5\u05dc\u05d9\u05dd \u05d5\u05e6\u05d9\u05d5\u05d3\u05d9 \u05d0\u05d1\u05d8\u05d7\u05d4 \u05e9\u05d5\u05e0\u05d9\u05dd &#8211; \u05db\u05df \u05d9\u05d9\u05d8\u05d1.<\/p>\n<p>&nbsp;<\/p>\n<p>\u05e0\u05d9\u05ea\u05d5\u05d7:<\/p>\n<ol>\n<li>Ransomware:\n<ol>\n<li>\u05dc\u05e4\u05d9 \u05d4\u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05e9\u05e6\u05d9\u05d9\u05e0\u05ea\u05d9 \u05dc\u05e2\u05d9\u05dc, \u05d5\u05d0\u05e9\u05e8 \u05e0\u05de\u05e6\u05d0\u05d5 \u05e2\u05dc \u05d9\u05d3\u05d9 \u05d7\u05d5\u05e7\u05e8\u05d9\u05dd \u05e9\u05d5\u05e0\u05d9\u05dd \u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05d6\u05db\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05de\u05ea\u05e7\u05e4\u05d5\u05ea Ransomware \u05e8\u05d1\u05d5\u05ea \u05de\u05e9\u05ea\u05de\u05e9\u05d5\u05ea \u05d1-Tor \u05db\u05e4\u05dc\u05d8\u05e4\u05d5\u05e8\u05de\u05d4 \u05dc\u05ea\u05e7\u05e9\u05d5\u05e8\u05ea \u05e2\u05dd \u05e9\u05e8\u05ea \u05d4-C&amp;C. \u05d1\u05d0\u05d5\u05e4\u05df \u05e2\u05e7\u05e8\u05d5\u05e0\u05d9, Tor \u05d3\u05d5\u05d0\u05d2 \u05dc\u05d0 \u05e8\u05e7 \u05dc\u05d4\u05e6\u05e4\u05e0\u05ea \u05d4\u05ea\u05e2\u05d1\u05d5\u05e8\u05d4 \u05d0\u05dc\u05d0 \u05d2\u05dd \u05de\u05e1\u05ea\u05d9\u05e8 \u05d0\u05ea \u05d4\u05ea\u05e2\u05d1\u05d5\u05e8\u05d4 \u05e9\u05dc\u05d5 \u05db-HTTPS \u05e8\u05d2\u05d9\u05dc \u05db\u05d3\u05d9 \u05dc\u05d4\u05e7\u05e9\u05d5\u05ea \u05e2\u05dc \u05d0\u05d9\u05ea\u05d5\u05e8\u05d5. \u05e2\u05dd \u05d6\u05d0\u05ea, \u05db\u05e4\u05d9 \u05e9\u05de\u05d5\u05e4\u05d9\u05e2 \u05d1\u05de\u05d0\u05de\u05e8 \u05d4\u05de\u05e6&quot;\u05d1 (16) \u05e7\u05d9\u05d9\u05de\u05ea \u05d3\u05e8\u05da \u05e2\u05dc \u05d1\u05e1\u05d9\u05e1 \u05d0\u05dc\u05d2\u05d5\u05e8\u05d9\u05ea\u05dd \u05e1\u05d8\u05d8\u05d9\u05e1\u05d8\u05d9 \u05dc\u05d6\u05d4\u05d5\u05ea \u05d0\u05ea \u05d4\u05ea\u05e7\u05e9\u05d5\u05e8\u05d5\u05ea \u05d4\u05dc\u05dc\u05d5. \u05db\u05e4\u05d9 \u05e9\u05e0\u05d9\u05ea\u05df \u05dc\u05e8\u05d0\u05d5\u05ea \u05d2\u05dd \u05d1\u05de\u05d0\u05de\u05e8 \u05e9\u05dc \u05d7\u05d1\u05e8\u05ea Fortinet, \u05d2\u05dd \u05de\u05d5\u05e6\u05e8 \u05d4-Firewall \u05e9\u05dc \u05d4\u05d7\u05d1\u05e8\u05d4 \u05de\u05e1\u05d5\u05d2\u05dc \u05dc\u05d6\u05d4\u05d5\u05ea \u05d5\u05dc\u05d7\u05e1\u05d5\u05dd \u05ea\u05e2\u05d1\u05d5\u05e8\u05ea Tor (\u05d2\u05dd \u05d0\u05dd \u05d1\u05d0\u05e8\u05d2\u05d5\u05e0\u05db\u05dd \u05e6\u05d9\u05d5\u05d3 \u05d3\u05d5\u05de\u05d4 \u05de\u05e9\u05de\u05e9 \u05dc\u05d7\u05e1\u05d9\u05de\u05ea\u05df \u05e9\u05dc \u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05d0\u05dc\u05d5, \u05e2\u05d3\u05d9\u05d9\u05df, \u05e2\u05dc \u05d1\u05e1\u05d9\u05e1 \u05d4\u05dc\u05d5\u05d2\u05d9\u05dd \u05e9\u05dc \u05d4\u05ea\u05d7\u05e0\u05d5\u05ea \u05d5\/\u05d0\u05d5 \u05e9\u05dc \u05d4\u05e4\u05d9\u05d9\u05e8\u05d5\u05d5\u05dc \u05d9\u05d4\u05d9\u05d4 \u05e0\u05d9\u05ea\u05df \u05dc\u05d0\u05ea\u05e8 \u05d0\u05ea \u05e0\u05e1\u05d9\u05d5\u05e0\u05d5\u05ea \u05d4\u05d2\u05d9\u05e9\u05d4 \u05e9\u05dc \u05e8\u05db\u05d9\u05d1\u05d9\u05dd \u05d4\u05de\u05ea\u05e7\u05e9\u05e8\u05d9\u05dd \u05e2\u05dc \u05d1\u05e1\u05d9\u05e1 \u05d4-Tor Network\u00a0\u05d5\u05db\u05da \u05dc\u05d0\u05ea\u05e8 \u05ea\u05d7\u05e0\u05d5\u05ea \u05d5\/\u05d0\u05d5 \u05e9\u05e8\u05ea\u05d9\u05dd \u05e9\u05e0\u05e4\u05d2\u05e2\u05d5. \u05d1\u05e0\u05d5\u05e1\u05e3, \u05e7\u05d9\u05d9\u05de\u05d9\u05dd \u05d0\u05ea\u05e8\u05d9\u05dd \u05db\u05de\u05d5 \u05d6\u05d4 \u05d4\u05de\u05d5\u05e4\u05d9\u05e2 \u05de\u05d8\u05d4 (18) \u05d4\u05de\u05db\u05d9\u05dc\u05d9\u05dd \u05e8\u05e9\u05d9\u05de\u05ea \u05db\u05ea\u05d5\u05d1\u05d5\u05ea IP \u05e9\u05dc \u05e9\u05e8\u05ea\u05d9 Tor relay \u05d0\u05e9\u05e8 \u05e0\u05d9\u05ea\u05df \u05dc\u05d1\u05d3\u05d5\u05e7 \u05d0\u05d5\u05ea\u05dd \u05d0\u05dc \u05de\u05d5\u05dc \u05d4\u05d7\u05d5\u05de\u05e8 \u05e9\u05e0\u05d0\u05d2\u05e8 \u05d1\u05d0\u05dc\u05e1\u05d8\u05d9\u05e7. \u05d6\u05d5 \u05d0\u05de\u05e0\u05dd \u05e1\u05d5\u05d2 \u05e9\u05dc \u05d2\u05d9\u05e9\u05d4 \u05d4\u05de\u05d1\u05d5\u05e1\u05e1\u05ea \u05e2\u05dc \u05d7\u05ea\u05d9\u05de\u05d5\u05ea \u05d0\u05d1\u05dc \u05e2\u05d3\u05d9\u05d9\u05df \u05d0\u05d9\u05dc\u05d5 \u05d7\u05ea\u05d9\u05de\u05d5\u05ea \u05db\u05dc\u05dc\u05d9\u05d5\u05ea \u05dc\u05ea\u05e7\u05e9\u05d5\u05e8\u05ea Tor \u05d5\u05dc\u05d0 \u05d7\u05ea\u05d9\u05de\u05d5\u05ea \u05dc\u05ea\u05e7\u05e9\u05d5\u05e8\u05ea \u05e9\u05dc \u05e4\u05d5\u05d2\u05e2\u05df \u05e1\u05e4\u05e6\u05d9\u05e4\u05d9 \u05db\u05d6\u05d4 \u05d0\u05d5 \u05d0\u05d7\u05e8.<\/li>\n<li>\u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05d6\u05db\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05e4\u05d5\u05e2\u05e0\u05d9\u05dd \u05e8\u05d1\u05d9\u05dd \u05d3\u05d5\u05d2\u05de\u05ea WannaCry \u05d5-NotPetya \u05de\u05e0\u05e1\u05d9\u05dd \u05dc\u05d4\u05ea\u05e4\u05e9\u05d8 \u05d1\u05d0\u05de\u05e6\u05e2\u05d5\u05ea \u05d4\u05d7\u05d5\u05dc\u05e9\u05d4 \u05e9\u05e4\u05d5\u05e8\u05e1\u05de\u05d4 \u05d1-SMB \u05d5\u05dc\u05db\u05df, \u05db\u05de\u05d5\u05ea \u05ea\u05e2\u05d1\u05d5\u05e8\u05ea \u05d4-SMB \u05d1\u05d9\u05df \u05ea\u05d7\u05e0\u05d5\u05ea \u05d5\u05e9\u05e8\u05ea\u05d9\u05dd \u05d1\u05d0\u05e8\u05d2\u05d5\u05df \u05db\u05db\u05dc \u05d4\u05e0\u05e8\u05d0\u05d4 \u05ea\u05d2\u05d3\u05dc \u05d1\u05d0\u05d5\u05e4\u05df \u05de\u05e9\u05de\u05e2\u05d5\u05ea\u05d9 \u05d5\u05d1\u05e0\u05d5\u05e1\u05e3, \u05d2\u05dd \u05db\u05de\u05d5\u05ea \u05d4\u05e0\u05e1\u05d9\u05d5\u05e0\u05d5\u05ea \u05e9\u05dc \u05d4\u05ea\u05d7\u05e0\u05d5\u05ea \u05d5\u05d4\u05e9\u05e8\u05ea\u05d9\u05dd \u05e9\u05e0\u05e4\u05d2\u05e2\u05d5 \u05dc\u05e6\u05d0\u05ea \u05d4\u05d7\u05d5\u05e6\u05d4 \u05de\u05d4\u05d0\u05e8\u05d2\u05d5\u05df \u05d1\u05e4\u05d5\u05e8\u05d8 \u05d4\u05d6\u05d4 (445) \u05ea\u05d2\u05d3\u05dc \u05de\u05e9\u05de\u05e2\u05d5\u05ea\u05d9\u05ea. \u05dc\u05db\u05df, \u05de\u05d3\u05d9\u05d3\u05d4 \u05e9\u05dc \u05de\u05d3\u05d3 \u05d6\u05d4 \u05d1\u05d0\u05d5\u05e4\u05df \u05e7\u05d1\u05d5\u05e2 \u05d5\u05d0\u05d9\u05ea\u05d5\u05e8 \u05d0\u05e0\u05d5\u05de\u05dc\u05d9\u05d5\u05ea \u05d1\u05d4\u05ea\u05e0\u05d4\u05d2\u05d5\u05ea\u05d5 \u05ea\u05e1\u05d9\u05d9\u05e2 \u05dc\u05d0\u05ea\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4.<\/li>\n<li>\u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05d6\u05db\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4, \u05de\u05e4\u05e2\u05d9\u05dc\u05d5\u05ea \u05d1\u05de\u05d7\u05e9\u05d1\u05d9\u05dd \u05e9\u05e0\u05e4\u05d2\u05e2\u05d5 \u05e7\u05d1\u05e6\u05d9\u05dd \u05d1\u05de\u05e7\u05d5\u05de\u05d5\u05ea \u05dc\u05d0 \u05e9\u05d2\u05e8\u05ea\u05d9\u05d9\u05dd \u05db\u05d2\u05d5\u05df &quot;cmd.exe \/c vssadmin delete shadows&quot; \u05d5\u05d0\u05d7\u05e8\u05d9\u05dd. \u05dc\u05db\u05df, \u05d0\u05d9\u05e1\u05d5\u05e3 \u05de\u05d9\u05d3\u05e2 \u05d6\u05d4 \u05e9\u05dc \u05d4\u05ea\u05d4\u05dc\u05d9\u05db\u05d9\u05dd \u05d4\u05e8\u05e6\u05d9\u05dd \u05d1\u05db\u05dc \u05e9\u05e8\u05ea\/\u05ea\u05d7\u05e0\u05d4 \u05d4\u05d9\u05e0\u05d5 \u05e7\u05e8\u05d9\u05d8\u05d9 \u05dc\u05e6\u05d5\u05e8\u05da \u05d0\u05d9\u05ea\u05d5\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05e2\u05dc \u05d9\u05d3\u05d9 \u05d0\u05d9\u05ea\u05d5\u05e8 \u05e7\u05d1\u05e6\u05d9\u05dd \u05d0\u05d5 \u05e9\u05d5\u05e8\u05d5\u05ea \u05e4\u05e7\u05d5\u05d3\u05d4 \u05e0\u05d3\u05d9\u05e8\u05d5\u05ea \u05d1\u05de\u05d9\u05d5\u05d7\u05d3.<\/li>\n<li>\u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05d6\u05db\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05de\u05e9\u05ea\u05de\u05e9\u05d5\u05ea \u05e4\u05e2\u05de\u05d9\u05dd \u05e8\u05d1\u05d5\u05ea \u05d1\u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05d3\u05d5\u05de\u05d9\u05d9\u05df \u05d4\u05de\u05d9\u05d5\u05e6\u05e8\u05d5\u05ea \u05d3\u05d9\u05e0\u05d0\u05de\u05d9\u05ea \u05e2\u05dc \u05d9\u05d3\u05d9 \u05de\u05e0\u05d2\u05e0\u05d5\u05df DGA \u05db\u05d2\u05d5\u05df \u05d6\u05d5 \u05dc\u05de\u05e9\u05dc:\u00a0&quot;www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com&quot;. \u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05db\u05d0\u05dc\u05d5 \u05d9\u05d4\u05d9\u05d5, \u05e2\u05dc \u05e4\u05d9 \u05e8\u05d5\u05d1, \u05d0\u05e8\u05d5\u05db\u05d5\u05ea \u05d9\u05d5\u05ea\u05e8 \u05de\u05db\u05ea\u05d5\u05d1\u05d5\u05ea &quot;\u05e8\u05d2\u05d9\u05dc\u05d5\u05ea&quot; \u05d5\u05d9\u05db\u05d9\u05dc\u05d5 \u05e6\u05d9\u05e8\u05d5\u05e4\u05d9 \u05d0\u05d5\u05ea\u05d9\u05d5\u05ea \u05e9\u05d4\u05d9\u05e0\u05dd \u05e0\u05d3\u05d9\u05e8\u05d9\u05dd \u05d9\u05d7\u05e1\u05d9\u05ea \u05d1\u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05d3\u05d5\u05de\u05d9\u05d9\u05df &quot;\u05e8\u05d2\u05d9\u05dc\u05d5\u05ea&quot;. \u05dc\u05db\u05df, \u05dc\u05d3\u05e2\u05ea\u05d9, \u05e0\u05d9\u05ea\u05df \u05dc\u05d0\u05ea\u05e8 \u05d2\u05d9\u05e9\u05d4 \u05dc\u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05d0\u05dc\u05d5 \u05e2\u05dc \u05d9\u05d3\u05d9 \u05de\u05d3\u05d9\u05d3\u05ea \u05e9\u05db\u05d9\u05d7\u05d5\u05ea\u05df \u05e9\u05dc \u05d0\u05d5\u05ea\u05d9\u05d5\u05ea \u05e2\u05d9\u05e7\u05e8\u05d9\u05d5\u05ea \u05d5\u05de\u05d3\u05d9\u05d3\u05ea \u05d0\u05d5\u05e8\u05db\u05d9 \u05d4\u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05d5\u05d0\u05d9\u05ea\u05d5\u05e8 \u05db\u05ea\u05d5\u05d1\u05d5\u05ea \u05e9\u05d4\u05df \u05d0\u05d5 \u05d0\u05e8\u05d5\u05db\u05d5\u05ea \u05d1\u05d4\u05e8\u05d1\u05d4 \u05de\u05d4\u05e8\u05d2\u05d9\u05dc \u05d0\u05d5 \u05de\u05db\u05d9\u05dc\u05d5\u05ea \u05e6\u05d9\u05e8\u05d5\u05e4\u05d9 \u05d0\u05d5\u05ea\u05d9\u05d5\u05ea \u05e0\u05d3\u05d9\u05e8\u05d9\u05dd \u05d1\u05de\u05d9\u05d5\u05d7\u05d3.<\/li>\n<\/ol>\n<\/li>\n<li>Phishing:\n<ol>\n<li>\u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05d6\u05db\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05d1\u05e9\u05dc \u05d4\u05e2\u05d5\u05d1\u05d3\u05d4 \u05e9\u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05de\u05d6\u05d5\u05d4\u05d5\u05ea \u05e2\u05dc \u05d9\u05d3\u05d9 \u05e9\u05dd, \u05ea\u05d5\u05e7\u05e4\u05d9\u05dd \u05de\u05e6\u05d9\u05d1\u05d9\u05dd \u05dc\u05d0 \u05e4\u05e2\u05dd \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05d1\u05e2\u05dc\u05d9 \u05e9\u05dd \u05de\u05d6\u05d4\u05d4 \u05d3\u05d5\u05de\u05d4 (\u05dc\u05de\u05e9\u05dc &quot;com.adobe.flash.player&quot; \u05db\u05d0\u05e9\u05e8\u05e8 \u05d4\u05e9\u05dd \u05d4\u05d0\u05de\u05d9\u05ea\u05d9 \u05d4\u05d5\u05d0 &quot;com.adobe.flashplayer&quot;) \u05d1\u05d7\u05e0\u05d5\u05ea \u05d4\u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05e2\u05dc \u05de\u05e0\u05ea \u05dc\u05e4\u05ea\u05d5\u05ea \u05de\u05e9\u05ea\u05de\u05e9\u05d9\u05dd \u05dc\u05d4\u05d5\u05e8\u05d9\u05d3 \u05d0\u05d5\u05ea\u05df. \u05dc\u05db\u05df, \u05e9\u05d9\u05de\u05d5\u05e9 \u05d1-fuzzy query \u05e9\u05dc Elasticsearch \u05d9\u05db\u05d5\u05dc \u05d1\u05d4\u05d7\u05dc\u05d8 \u05dc\u05d0\u05ea\u05e8 \u05e9\u05de\u05d5\u05ea \u05e9\u05dc \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05e9\u05d3\u05d5\u05de\u05d5\u05ea \u05de\u05d0\u05d3 \u05dc\u05e9\u05de\u05d5\u05ea \u05e9\u05dc \u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05d0\u05d7\u05e8\u05d5\u05ea. \u05d1\u05de\u05d9\u05d3\u05d4 \u05d5\u05d9\u05e9 \u05d1\u05d9\u05d3\u05d9\u05e0\u05d5 \u05ea\u05d9\u05e2\u05d5\u05d3 \u05dc\u05d2\u05d1\u05d9 \u05d4\u05d0\u05e4\u05dc\u05d9\u05e7\u05e6\u05d9\u05d5\u05ea \u05e9\u05d4\u05d5\u05e8\u05d9\u05d3\u05d5 \u05de\u05e9\u05ea\u05de\u05e9\u05d9\u05dd, \u05d0\u05d5 \u05d1\u05d4\u05e8\u05d7\u05d1\u05d4 &#8211; \u05e4\u05e0\u05d9\u05d5\u05ea \u05dc\u05d0\u05ea\u05e8\u05d9\u05dd (\u05dc\u05de\u05e9\u05dc \u05de\u05dc\u05d5\u05d2\u05d9\u05dd \u05e9\u05dc DNS), \u05e0\u05d9\u05ea\u05df \u05dc\u05d1\u05e6\u05e2 \u05e9\u05d0\u05d9\u05dc\u05ea\u05d5\u05ea fuzzy query \u05dc\u05e4\u05d9 \u05d4\u05e2\u05e8\u05db\u05d9\u05dd \u05d4\u05e0\u05e4\u05d5\u05e6\u05d9\u05dd \u05d1\u05d9\u05d5\u05ea\u05e8 \u05e2\u05dc \u05d4\u05e2\u05e8\u05db\u05d9\u05dd \u05d4\u05e0\u05d3\u05d9\u05e8\u05d9\u05dd \u05d9\u05d5\u05ea\u05e8. \u05dc\u05de\u05e9\u05dc &#8211; \u05d0\u05dd \u05de\u05e9\u05ea\u05de\u05e9\u05d9\u05dd \u05e8\u05d1\u05d9\u05dd \u05d9\u05d7\u05e1\u05d9\u05ea \u05e4\u05d5\u05e0\u05d9\u05dd \u05dc\u05d3\u05d5\u05de\u05d9\u05d9\u05df \u05e9\u05e9\u05de\u05d5 artifex.co.il \u05de\u05e0\u05d2\u05e0\u05d5\u05df \u05db\u05d6\u05d4 \u05d9\u05d1\u05d3\u05d5\u05e7 \u05d1\u05e8\u05e9\u05d9\u05de\u05ea \u05d4\u05e2\u05e8\u05db\u05d9\u05dd \u05d4\u05e0\u05d3\u05d9\u05e8\u05d9\u05dd \u05d9\u05d7\u05e1\u05d9\u05ea \u05d4\u05d0\u05dd \u05d9\u05e9\u05e0\u05dd \u05e2\u05e8\u05db\u05d9\u05dd \u05e9\u05d3\u05d5\u05de\u05d9\u05dd (fuzzy) \u05dc\u05d5 \u05dc\u05de\u05e9\u05dc artifix.co.il. \u05dc\u05d3\u05e2\u05ea\u05d9, \u05e9\u05d9\u05de\u05d5\u05e9 \u05d1\u05db\u05d9\u05d5\u05d5\u05df \u05db\u05d6\u05d4 \u05d9\u05d0\u05e4\u05e9\u05e8 \u05d6\u05d9\u05d4\u05d5\u05d9 \u05e9\u05dc \u05de\u05ea\u05e7\u05e4\u05d5\u05ea Phishing \u05e8\u05d1\u05d5\u05ea.<\/li>\n<\/ol>\n<\/li>\n<li>\u05db\u05dc\u05d9 \u05ea\u05e7\u05d9\u05e4\u05d4 \u05e0\u05e4\u05d5\u05e6\u05d9\u05dd:\n<ol>\n<li>WMImplant\n<ol>\n<li>\u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05d6\u05db\u05e8 \u05dc\u05e2\u05d9\u05dc, \u05db\u05dc\u05d9\u05dd \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05de\u05e4\u05e2\u05d9\u05dc\u05d9\u05dd \u05d1\u05de\u05d7\u05e9\u05d1 \u05d4\u05e4\u05d2\u05d5\u05e2 \u05ea\u05d4\u05dc\u05d9\u05db\u05d9\u05dd \u05dc\u05d0 \u05e9\u05d2\u05e8\u05ea\u05d9\u05d9\u05dd \u05db\u05d2\u05d5\u05df\u00a0'Inv`oke-Ex`pression' (\u05d1\u05d2\u05dc\u05dc \u05d4-Obfuscation)\u00a0\u05dc\u05db\u05df, \u05d0\u05d9\u05e1\u05d5\u05e3 \u05de\u05d9\u05d3\u05e2 \u05e2\u05dc \u05d4\u05ea\u05d4\u05dc\u05d9\u05db\u05d9\u05dd \u05d4\u05e8\u05e6\u05d9\u05dd \u05d1\u05db\u05dc \u05e9\u05e8\u05ea\/\u05ea\u05d7\u05e0\u05d4 \u05d4\u05d9\u05e0\u05d5 \u05e7\u05e8\u05d9\u05d8\u05d9 \u05dc\u05e6\u05d5\u05e8\u05da \u05d0\u05d9\u05ea\u05d5\u05e8 \u05de\u05ea\u05e7\u05e4\u05d5\u05ea \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05e2\u05dc \u05d9\u05d3\u05d9 \u05d0\u05d9\u05ea\u05d5\u05e8 \u05e7\u05d1\u05e6\u05d9\u05dd \u05d0\u05d5 \u05e9\u05d5\u05e8\u05d5\u05ea \u05e4\u05e7\u05d5\u05d3\u05d4 \u05e0\u05d3\u05d9\u05e8\u05d5\u05ea \u05d1\u05de\u05d9\u05d5\u05d7\u05d3.<\/li>\n<\/ol>\n<\/li>\n<li>Remote Code Exec via Services.msc\n<ol>\n<li>\u05db\u05e4\u05d9 \u05e9\u05d4\u05d5\u05e1\u05d1\u05e8, \u05db\u05dc\u05d9\u05dd \u05e9\u05d9\u05e0\u05e1\u05d5 \u05dc\u05d4\u05d5\u05e1\u05d9\u05e3 Services \u05dc\u05de\u05e2\u05e8\u05db\u05ea \u05dc\u05e6\u05d5\u05e8\u05da \u05d4\u05e4\u05e2\u05dc\u05ea \u05ea\u05d4\u05dc\u05d9\u05db\u05d9\u05dd \u05de\u05e8\u05d7\u05d5\u05e7 (\u05d0\u05d5 \u05d4\u05e9\u05d2\u05ea Persistence) \u05d9\u05e6\u05d8\u05e8\u05db\u05d5 \u05dc\u05d1\u05e6\u05e2\u00a0\u05d7\u05d9\u05d1\u05d5\u05e8\u05d9\u05dd \u05dc\u05e9\u05d9\u05ea\u05d5\u05e3 \u05d4\u05d7\u05d1\u05d5\u05d9 $ADMIN \u05d5\u05dc\u05e2\u05d3\u05db\u05df\u00a0\u05d0\u05ea \u05e8\u05e9\u05d9\u05de\u05ea \u05d4-Services \u05d4\u05de\u05d0\u05d5\u05d7\u05e1\u05e0\u05ea \u05d1\u05e8\u05d9\u05e9\u05d5\u05dd \u05d4\u05de\u05e2\u05e8\u05db\u05ea. \u05d1\u05de\u05d9\u05d3\u05d4 \u05d5\u05d9\u05e9 \u05dc\u05e0\u05d5 \u05dc\u05d5\u05d2\u05d9\u05dd \u05e9\u05d9\u05db\u05d5\u05dc\u05d9\u05dd \u05dc\u05ea\u05d0\u05e8 \u05d0\u05ea \u05e4\u05e2\u05d9\u05dc\u05d5\u05ea \u05d4-SMB \u05d1\u05d0\u05e8\u05d2\u05d5\u05df, \u05e0\u05d5\u05db\u05dc \u05dc\u05d0\u05ea\u05e8 \u05d7\u05d9\u05d1\u05d5\u05e8\u05d9\u05dd \u05dc\u05e9\u05d9\u05ea\u05d5\u05e3 \u05d4\u05e0&quot;\u05dc \u05d5\u05d1\u05de\u05d9\u05d3\u05d4 \u05d5\u05d9\u05e9 \u05dc\u05e0\u05d5 \u05dc\u05d5\u05d2\u05d9\u05dd \u05e9\u05dc Windows System Event Log \u05e0\u05d5\u05db\u05dc \u05dc\u05d0\u05ea\u05e8 \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05e2\u05dd EventID \u05de\u05e1\u05e4\u05e8 4697 \u05e9\u05db\u05d5\u05ea\u05e8\u05ea\u05d5 &quot;A service was installed in the system&quot; \u05d5\u05dc\u05d4\u05ea\u05e8\u05d9\u05e2 \u05e2\u05dc \u05db\u05da.<\/li>\n<\/ol>\n<\/li>\n<li>Mimikatz\n<ol>\n<li>\u05d1\u05de\u05d9\u05d3\u05d4 \u05d5\u05d4\u05e4\u05e2\u05dc\u05e0\u05d5 \u05d0\u05ea Sysmon \u05d1\u05d0\u05d5\u05e4\u05df \u05de\u05ea\u05d0\u05d9\u05dd, \u05e0\u05d5\u05db\u05dc \u05dc\u05e7\u05d1\u05dc \u05d3\u05d9\u05d5\u05d5\u05d7 \u05dc-Windows Application Event Log \u05db\u05d0\u05d9\u05e8\u05d5\u05e2 \u05e2\u05dd EventID \u05de\u05e1\u05e4\u05e8 10 \u05d0\u05e9\u05e8 \u05de\u05e6\u05d9\u05d9\u05df \u05e9\u05ea\u05d4\u05dc\u05d9\u05da (Process) \u05e0\u05d9\u05d2\u05e9 \u05dc\u05d6\u05d9\u05db\u05e8\u05d5\u05df \u05e9\u05dc \u05ea\u05d4\u05dc\u05d9\u05da \u05d0\u05d7\u05e8. \u05d0\u05d9\u05e8\u05d5\u05e2\u05d9\u05dd \u05de\u05e1\u05d5\u05d2 \u05d6\u05d4 \u05e2\u05e9\u05d5\u05d9\u05d9\u05dd \u05dc\u05d4\u05e6\u05d1\u05d9\u05e2 \u05e2\u05dc \u05d4\u05e2\u05d5\u05d1\u05d3\u05d4 \u05e9\u05ea\u05d4\u05dc\u05d9\u05da \u05de\u05e0\u05e1\u05d4 \u05dc\u05d4\u05e9\u05d9\u05d2 \u05d4\u05e8\u05e9\u05d0\u05d5\u05ea \u05e9\u05dc \u05ea\u05d4\u05dc\u05d9\u05da \u05d0\u05d7\u05e8 &#8211; \u05d1\u05d3\u05d9\u05d5\u05e7 \u05d0\u05d5\u05e4\u05df \u05d4\u05e4\u05e2\u05d5\u05dc\u05d4 \u05e9\u05dc Mimikatz.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>&nbsp;<\/p>\n<p>\u05d9\u05d9\u05ea\u05db\u05df \u05d5\u05d1\u05e9\u05dc\u05d1 \u05d4\u05d6\u05d4, \u05d0\u05ea\/\u05d4 \u05ea\u05d5\u05d4\u05d4 \u05db\u05de\u05d4 False positives \u05d0\u05e1\u05d8\u05e8\u05d8\u05d2\u05d9\u05d4 \u05db\u05d6\u05d5 \u05e2\u05e9\u05d5\u05d9\u05d4 \u05dc\u05d9\u05d9\u05e6\u05e8. \u05d4\u05d0\u05de\u05ea? \u05d9\u05d9\u05ea\u05db\u05df \u05d1\u05d4\u05d7\u05dc\u05d8 \u05e9\u05d0\u05ea\u05d4 \u05e6\u05d5\u05d3\u05e7 \u05d5\u05db\u05de\u05d5\u05ea \u05d4-False positives \u05ea\u05d4\u05d9\u05d4 \u05d2\u05d3\u05d5\u05dc\u05d4 \u05d5\u05ea\u05e7\u05e9\u05d4 \u05e2\u05dc \u05d0\u05d9\u05ea\u05d5\u05e8 \u05d5\u05d4\u05ea\u05e8\u05d0\u05d4 \u05d0\u05e4\u05e7\u05d8\u05d9\u05d1\u05d9\u05d9\u05dd. \u05dc\u05d0\u05d7\u05e8 \u05e9\u05e7\u05e8\u05d0\u05ea\u05d9 (\u05d0\u05dd \u05db\u05d9 \u05e2\u05d3\u05d9\u05d9\u05df \u05d8\u05e8\u05dd \u05e0\u05d9\u05e1\u05d9\u05ea\u05d9) \u05d0\u05ea \u05e1\u05e4\u05e8\u05d5 (<a href=\"https:\/\/www.amazon.com\/Intelligence-Understanding-Creation-Intelligent-Machines\/dp\/0805078533\">&quot;\u05e2\u05dc \u05d4\u05d0\u05d9\u05e0\u05d8\u05dc\u05d9\u05d2\u05e0\u05e6\u05d9\u05d4&quot;<\/a>) \u05d5\u05d7\u05dc\u05e7 \u05d2\u05d3\u05d5\u05dc \u05de\u05de\u05d0\u05de\u05e8\u05d9\u05d5 \u05d5\u05e6\u05e4\u05d9\u05ea\u05d9 \u05d1\u05d4\u05e8\u05e6\u05d0\u05d5\u05ea\u05d9\u05d5 \u05e9\u05dc \u05d2'\u05e3 \u05d4\u05d5\u05e7\u05d9\u05e0\u05e1(19, 20) \u05d4\u05d2\u05e2\u05ea\u05d9 \u05dc\u05de\u05e1\u05e7\u05e0\u05d4 \u05e9\u05d9\u05d9\u05ea\u05db\u05df \u05d1\u05d4\u05d7\u05dc\u05d8 \u05e9\u05d4\u05d0\u05dc\u05d2\u05d5\u05e8\u05d9\u05ea\u05dd \u05d0\u05d5\u05ea\u05d5 \u05e4\u05d9\u05ea\u05d7\u05d4 \u05d4\u05d7\u05d1\u05e8\u05d4 \u05d1\u05e8\u05d0\u05e9\u05d5\u05ea\u05d5, \u05d9\u05d4\u05d9\u05d4 \u05de\u05e1\u05d5\u05d2\u05dc \u05dc\u05ea\u05e8\u05d5\u05dd \u05ea\u05e8\u05d5\u05de\u05d4 \u05de\u05e9\u05de\u05e2\u05d5\u05ea\u05d9\u05ea \u05dc\u05d6\u05d9\u05d4\u05d5\u05d9 \u05d1\u05d0\u05de\u05e6\u05e2\u05d9\u05dd \u05d4\u05dc\u05dc\u05d5 \u05d5\u05dc\u05e1\u05d9\u05e0\u05d5\u05df &quot;\u05d4\u05de\u05d5\u05e5 \u05de\u05df \u05d4\u05ea\u05d1\u05df&quot;. \u05d0\u05dd \u05ea\u05e8\u05e6\u05d5 (\u05d5\u05ea\u05e9\u05d0\u05d9\u05e8\u05d5 \u05dc\u05d9 \u05e2\u05d3\u05db\u05d5\u05df \u05d1\u05ea\u05d2\u05d5\u05d1\u05d5\u05ea) \u05d0\u05d5\u05db\u05dc \u05dc\u05e4\u05e8\u05d8 \u05d9\u05d5\u05ea\u05e8 \u05d1\u05de\u05d0\u05de\u05e8 \u05d4\u05d1\u05d0&#8230;<\/p>\n<p>&nbsp;<\/p>\n<p>\u05de\u05e7\u05d5\u05e8\u05d5\u05ea:<\/p>\n<ol>\n<li>https:\/\/www.bromium.com\/sites\/default\/files\/bromium-report-ransomware.pdf<\/li>\n<li>https:\/\/www.elastic.co\/blog\/malware-analysis-wannacry-elastic-stack<\/li>\n<li>https:\/\/www.elastic.co\/blog\/elasticsearch-as-android-malware-research-platform<\/li>\n<li>https:\/\/blog.malwarebytes.com\/threat-analysis\/2016\/03\/look-into-locky\/<\/li>\n<li>https:\/\/www.fireeye.com\/blog\/threat-research\/2017\/03\/wmimplant_a_wmi_ba.html<\/li>\n<li>http:\/\/www.securityweek.com\/researcher-builds-wmi-based-hacking-tool-powershell<\/li>\n<li>https:\/\/www.theregister.co.uk\/2017\/06\/28\/petya_notpetya_ransomware\/<\/li>\n<li>https:\/\/cyberwardog.blogspot.co.il\/2017\/04\/chronicles-of-threat-hunter-hunting-for_11.html<\/li>\n<li>https:\/\/www.toshellandback.com\/2017\/02\/11\/psexec\/<\/li>\n<li>https:\/\/sourceforge.net\/projects\/mimikatz.mirror\/<\/li>\n<li>https:\/\/cyberwardog.blogspot.co.il\/2017\/03\/chronicles-of-threat-hunter-hunting-for.html<\/li>\n<li>https:\/\/en.wikipedia.org\/wiki\/Sysinternals<\/li>\n<li>https:\/\/www.elastic.co\/downloads\/beats\/winlogbeat<\/li>\n<li>https:\/\/nxlog.co\/<\/li>\n<li>https:\/\/www.elastic.co\/products\/logstash<\/li>\n<li>http:\/\/www.netresec.com\/?page=Blog&amp;month=2013-04&amp;post=Detecting-TOR-Communication-in-Network-Traffic<\/li>\n<li>http:\/\/cookbook.fortinet.com\/blocking-monitoring-tor-traffic\/<\/li>\n<li>https:\/\/www.dan.me.uk\/torlist\/?exit<\/li>\n<li>https:\/\/www.youtube.com\/watch?v=f1tYXv6ST_U<\/li>\n<li>https:\/\/www.youtube.com\/watch?v=XMB0ri4qgwc<\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"<p>\u05ea\u05e0\u05d5 \u05dc\u05d9 \u05e0\u05e7\u05d5\u05d3\u05ea \u05de\u05e9\u05e2\u05df \u05d5\u05d0\u05e0\u05d9\u05e3 \u05d0\u05ea \u05d4\u05e2\u05d5\u05dc\u05dd. \/ \u05d0\u05e8\u05db\u05d9\u05de\u05d3\u05e1 &nbsp; ELK \u05d0\u05d5 Elastic stack \u05d4\u05d9\u05d0 \u05db\u05dc\u05d9 (\u05d8\u05d5\u05d1, \u05d0\u05d5\u05e1\u05e3 \u05db\u05dc\u05d9) \u05e7\u05d5\u05d3 \u05e4\u05ea\u05d5\u05d7 \u05de\u05d1\u05d9\u05ea \u05d7\u05d1\u05e8\u05ea Elastic \u05d4\u05de\u05d0\u05e4\u05e9\u05e8 \u05d0\u05ea \u05d0\u05d9\u05e1\u05d5\u05e4\u05dd \u05d5\u05e0\u05d9\u05ea\u05d5\u05d7\u05dd \u05e9\u05dc \u05db\u05de\u05d5\u05d9\u05d5\u05ea \u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05d2\u05d3\u05d5\u05dc\u05d5\u05ea \u05d1\u05d9\u05d5\u05ea\u05e8 (\u05d9\u05e9\u05e0\u05dd \u05d9\u05d9\u05e9\u05d5\u05de\u05d9\u05dd \u05d4\u05de\u05d8\u05e4\u05dc\u05d9\u05dd \u05d1\u05db\u05de\u05d5\u05d9\u05d5\u05ea \u05e0\u05ea\u05d5\u05e0\u05d9\u05dd \u05d1\u05e1\u05d3\u05e8 \u05d2\u05d5\u05d3\u05dc \u05e9\u05dc \u05de\u05e1\u05e4\u05e8 PB \u05d1\u05d5\u05d3\u05d3\u05d9\u05dd). \u05d0\u05d7\u05d3 \u05d4\u05e9\u05d9\u05de\u05d5\u05e9\u05d9\u05dd \u05d4\u05d0\u05e4\u05e9\u05e8\u05d9\u05d9\u05dd \u05d5\u05d4\u05e0\u05e4\u05d5\u05e6\u05d9\u05dd \u05dc\u05db\u05dc\u05d9 \u05e9\u05db\u05d6\u05d4 &hellip;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"jetpack_post_was_ever_published":false,"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[69,3],"tags":[],"class_list":["post-1670","post","type-post","status-publish","format-standard","hentry","category-69","category-3"],"jetpack_publicize_connections":[],"jetpack_featured_media_url":"","jetpack_sharing_enabled":true,"jetpack_shortlink":"https:\/\/wp.me\/p785UE-qW","jetpack-related-posts":[],"_links":{"self":[{"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=\/wp\/v2\/posts\/1670","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1670"}],"version-history":[{"count":9,"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=\/wp\/v2\/posts\/1670\/revisions"}],"predecessor-version":[{"id":1700,"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=\/wp\/v2\/posts\/1670\/revisions\/1700"}],"wp:attachment":[{"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1670"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1670"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.artifex.co.il\/he\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1670"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}