# Часть 1: По следам создателя

{% hint style="info" %}
Если что-то и привлекло мое внимание в этом вредоносном файле, так это загадочные строки, которые удалось извлечь из памяти процесса **RuntimeBroker.exe** после его полного исполнения.
{% endhint %}

***

Для начала мы снова откроем Process Hacker, инструмент, который я часто применяю для анализа активных процессов. Перейдём во вкладку "Memory" нашего зловреда.

<figure><img src="https://1829679836-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F3MBWTh0FNWOtY8uGeXj5%2Fuploads%2FlAhRv1ohMvwfeUFuv11r%2Fimage.png?alt=media&#x26;token=908c8015-3b51-4e66-8392-c5ce371e06a5" alt=""><figcaption></figcaption></figure>

***

Затем я выбрал опцию "Strings...", оставил настройки по умолчанию и нажал ОК. Этот процесс позволяет извлекать все текстовые строки, находящиеся в памяти процесса.

<figure><img src="https://1829679836-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F3MBWTh0FNWOtY8uGeXj5%2Fuploads%2FBvX31QKVzP4LAzZXIwM8%2Fimage.png?alt=media&#x26;token=7ef5c2bf-77cd-45a3-849b-bc804d2f00df" alt=""><figcaption></figcaption></figure>

***

После этого я сохранил все найденные строки, используя кнопку "Save..." Это простой, но весьма мощный метод для выявления скрытых подсказок и дополнительной информации.

<figure><img src="https://1829679836-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F3MBWTh0FNWOtY8uGeXj5%2Fuploads%2FrkqSpNWpJ5gqaPghk7nz%2Fimage.png?alt=media&#x26;token=31c87f90-f15a-4774-b78f-89ad925b818d" alt=""><figcaption></figcaption></figure>

***

Тщательно проанализировав полученные данные, я выделил три особенно интересные строки

<figure><img src="https://1829679836-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F3MBWTh0FNWOtY8uGeXj5%2Fuploads%2FZP7TDFa6P5usypS8H5Vu%2Fimage.png?alt=media&#x26;token=9a642502-17ae-429f-ae91-a20443e4f53a" alt=""><figcaption></figcaption></figure>

Эти строки оказались ссылками на GitHub, ведущими к предполагаемым модулям вредоносного ПО. Возможно, это необходимые библиотеки, которые малварь скачивает в случае их отсутствия на заражённой машине. Или, возможно, это строки, которые разработчик просто забыл удалить из кода:

* <https://raw.githubusercontent.com/lanzerpub/libs3/main/1.dll>
* <https://raw.githubusercontent.com/lanzerpub/libs3/main/2.dll>
* <https://raw.githubusercontent.com/lanzerpub/libs3/main/3.dll>

***

{% hint style="info" %}
Однако, наш интерес здесь заключается не столько в самих DLL-файлах, сколько в никнейме `lanzerpub`. Я решил исследовать GitHub этого пользователя в надежде найти какую-нибудь зацепку.
{% endhint %}

***

Перейдя в профиль [lanzerpub](https://github.com/lanzerpub) на GitHub, я увидел мало полезной информации — странный никнейм и фотографию с пивом. Несмотря на кажущуюся бесполезность, эта небольшая деталь станет важной зацепкой в нашем расследовании.

<figure><img src="https://1829679836-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F3MBWTh0FNWOtY8uGeXj5%2Fuploads%2FKxYKykl2qihgbAEDj8qt%2Fimage.png?alt=media&#x26;token=79a6c7c8-d474-4f4d-beb7-601f6c8db009" alt=""><figcaption></figcaption></figure>
