APT1: सतत घुसपैठ योजना

APT1 समूह पर मंडियंट रिपोर्ट पर हमारी सामग्री के अंतिम भाग में, हमने मुख्य निष्कर्षों के बारे में बात की, जो कंपनी ने जांच के अंत में बनाया था। हम इस जानकारी को फिर से नहीं दोहराएंगे, आप अपने आप को यहां से परिचित कर सकते हैं । आज की पोस्ट में, हम इस हमले की आंतरिक संरचना और उन योजनाओं के बारे में बात करेंगे जिनका उपयोग उद्यम नेटवर्क में समझौता और घुसपैठ करने के लिए किया गया था। हम यह भी ध्यान देते हैं कि, दुर्भावनापूर्ण कोड की क्षमताओं के दृष्टिकोण से, ये हमले वैचारिक रूप से नए का प्रतिनिधित्व नहीं करते हैं और जिन योजनाओं का उपयोग किया गया था, वे लंबे समय से ज्ञात हैं।



हमले की प्रकृति

APT1 में एक अच्छी तरह से परिभाषित हमले पद्धति है, जो वर्षों से सम्मानित है और बड़ी मात्रा में जानकारी चोरी करने पर केंद्रित है। हमला आक्रामक फ़िशिंग के साथ शुरू होता है, जिसकी मदद से पीड़ित के कंप्यूटर पर दुर्भावनापूर्ण कोड दिया जाता है, और समाप्त होने वाले डेटा की चोरी के साथ समाप्त होता है और APT1 सर्वर पर भेजा जाता है। इस चक्र को कई बार दोहराया जा सकता है। इन हमलों में भाग लेने वाले दुर्भावनापूर्ण कोड परिवारों को लगातार अद्यतन और परिष्कृत किया गया था। APT1 ने एक विशिष्ट वातावरण में इन हमलों को अनुकूलित या लक्षित करने के लिए एक योजना का उपयोग किया, जिसने उन्हें काफी प्रभावी बना दिया। इसके अलावा, हमले की शुरुआत से ठीक पहले, तथाकथित प्रारंभिक टोही को बाहर किया जाता है, अर्थात, संभावित पीड़ित कंपनी और उसके कर्मचारियों के बारे में जानकारी एकत्र की जाती है। यह आपको लक्ष्यीकरण के एक निश्चित स्तर को प्राप्त करने की अनुमति देता है।

"आपके लिए एक पत्र"

प्रारंभिक समझौता एक विधि है जिसके द्वारा हमलावर संगठन के नेटवर्क में प्रारंभिक प्रवेश करते हैं। अधिकांश अन्य समूहों के साथ, APT1 प्रारंभिक समझौते के अपने प्राथमिक तरीके के रूप में फ़िशिंग का उपयोग करता है। भेजे गए पत्रों में अनुलग्नक में एक दुर्भावनापूर्ण फ़ाइल होती है, या संदेश बॉडी से एक लिंक होता है। विषय पंक्ति, साथ ही इसका पाठ, आमतौर पर एक विशिष्ट प्राप्तकर्ता को भेजा जाता है। जिन मेल खातों से ये संदेश भेजे गए थे, वे उन लोगों के नामों में पंजीकृत थे, जो प्राप्तकर्ता से परिचित थे, उदाहरण के लिए: एक सहयोगी, कंपनी का प्रमुख, आईटी विभाग का एक कर्मचारी। एक वास्तविक दुनिया के उदाहरण के रूप में, निम्न में से एक पत्र एक मैंडेट कर्मचारी को संबोधित है।


अंजीर। APT1 द्वारा भेजे गए फ़िशिंग ईमेल (केविन मंडिया - सीईओ मैंडेट)।

यहाँ स्पष्ट रूप से पकड़ यह है कि [at] रॉकेटमेल [डॉट] कॉम, मैंडियन में केविन का आंतरिक कॉर्पोरेट खाता नहीं है और इसके बजाय मुफ्त रॉकेटमेल [डॉट] कॉम सेवा का उपयोग करता है। "यहां" शब्द में एक हाइपरलिंक है, जिसके बाद आप संग्रह को डाउनलोड कर सकते हैं Internal_Discussion_Press_Release_In_Next_Week8.zip। इस संग्रह में एक दुर्भावनापूर्ण निष्पादन योग्य है जो कंप्यूटर पर एक बैकडोर स्थापित करता है (इस मामले में WEBC2-TABLE)। [ अनिवार्य अपनी खुद की मैलवेयर परिवार के नामकरण योजना का उपयोग करता है ]। ऐसे अभिलेखागार के कुछ और नाम नीचे प्रस्तुत किए गए हैं:

2012ChinaUSAviationSymposium.zip
Employee-Benefit-and-Overhead-Adjustment-Keys.zip
MARKET-COMMENT-Europe-Ends-Sharply-Lower-On-Data-Yields-Jump.zip
Negative_Reports_Of_Turkey.zip

साइबरक्रिमिनल्स अक्षरों में जिन विषयों का उपयोग करते हैं, वे बहुत विविध हैं। जैसा कि हम देख सकते हैं, इस मामले में हम लक्षित हमले के बारे में बात कर रहे हैं।

पहुँच पाना

पहुँच प्राप्त करने के चरण में ऐसी गतिविधियाँ शामिल हैं जो APT1 द्वारा बाहर से संगठन के नेटवर्क तक पहुँच प्राप्त करने के लिए की जाती हैं। APT1 सिस्टम पर पिछले दरवाजे के स्थापित होते ही पीड़ित के कंप्यूटर तक पहुंच प्राप्त करता है। तदनुसार, पिछले दरवाजे का उद्देश्य समझौता कंप्यूटर हमलावरों के लिए खुली पहुंच है । दुर्भावनापूर्ण कोड दूरस्थ C & C सर्वर से भी आदेश प्राप्त करता है और प्राप्त करता है। जैसे ही यह सिस्टम में स्थापित होता है, यह C & C से जुड़ा होता है और इससे कमांड्स की प्रतीक्षा करता है। इस मामले में, आउटगोइंग कनेक्शन खोलते समय, कंप्यूटर पर स्थापित फ़ायरवॉल द्वारा किसी का ध्यान नहीं जाना संभव है।

हमने दर्ज किया कि कुछ मामलों में, APT1 ने पब्लिक बैकसाइड जैसे कि पॉइज़न आइवी या घोस्ट आरएटी का इस्तेमाल किया । ज्यादातर मामलों में, उन्होंने स्पष्ट रूप से अपने स्वयं के विकास का इस्तेमाल किया और हमने ऐसे बैकडोर के 42 परिवारों का दस्तावेजीकरण किया। हमने इन परिवारों को दो श्रेणियों में विभाजित किया है: डाउनलोडर [ मूल संस्करण में: "समुद्र तट", लेकिन उनके मुख्य कार्यों में से एक अन्य फ़ाइलों को लोड कर रहा है ] और साधारण (पूर्ण-विशेषताओं)।

लोडर में न्यूनतम सुविधाएँ होती हैं। उनका उपयोग फ़ाइलों को प्राप्त करने, सिस्टम के बारे में बुनियादी जानकारी इकट्ठा करने, साधारण (पूर्ण-विशेषताओं) को लोड करने और निष्पादित करने के लिए ऐसे सरल कार्यों को करने के लिए किया जाता है। हम ऐसे बैकडोर बूटलोडर्स WEBC2 भी कहते हैं और यह परिवार शायद APT1 बैकस्ट का सबसे प्रसिद्ध प्रकार है। WEBC2 को C & C सर्वर से वेब पेज डाउनलोड करने के लिए डिज़ाइन किया गया है। वह इस वेब पेज की अपेक्षा करता है कि इसमें विशेष HTML टैग हों, उन्हें देखें और बीच-बीच में आदेशों की व्याख्या करने का प्रयास करें। WEBC2 के पुराने संस्करणों ने HTML टिप्पणियों के बीच कमांड खोजने की कोशिश की, नए संस्करणों ने इसके लिए अन्य प्रकार के टैग का उपयोग किया। हमारी टिप्पणियों के अनुसार, हम इस बात की पुष्टि कर सकते हैं कि APT1 ने जुलाई 2006 में पहले से ही WEBC2 बैकडोर का इस्तेमाल किया था। हालाँकि, हमने 2004-01-03 से एक संकलन तिथि के साथ नमूने - WEBC2-KT3 में से एक का अवलोकन किया, अर्थात्, इस प्रकार का बैकग्राउंड, संभवतः 2004 से विकास में थे। हमने 400 से अधिक WEBC2 नमूने एकत्र किए हैं और यह मानते हैं कि APT1 को इस मैलवेयर के डेवलपर्स तक सीधे पहुंच थी, क्योंकि इसके नए संस्करणों की निरंतर रिहाई, जो 6 साल से इन हमलों में शामिल है, स्पष्ट है। निम्नलिखित निष्पादन योग्य फ़ाइलों से निकाले गए तार हैं जो अप्रत्यक्ष रूप से चल रही विकास प्रक्रिया का संकेत देते हैं।

नमूना ए
MD5: d7aa32b7465f55c368230bb52d52d885
संकलन तिथि: 2012-02-23
\ work \ code \ 2008-7-8muma \ mywork \ winInet_winApplication2009-8-7 \ mywork \ aaaaaaaa 2012-2-23 \ रिलीज़ \ aaaaaaa.pdb

नमूना बी
MD5: c1393e77773a48b1eea117a302138554
संकलन तिथि: 2009-08-07
D: \ work \ code \ 2008-7-8muma \ mywork \ winInet_winApplication2009-8-7 \ mywork \ aaaaaaa \ Release \ aaaaaaa.pdb

WEBC2 परिवारों की कुछ सूची [ अनिवार्य वर्गीकरण ]:

WEBC2-AUSOV
WEBC2-adspace
WEBC2-Bolid
WEBC2-CLOVER
WEBC2-CSON
WEBC2-DIV
WEBC2-GREENCAT
WEBC2-HEAD
WEBC2-KT3
WEBC2-QBP
WEBC2-बड़बड़ाना
WEBC2-टेबल
WEBC2-टॉक
WEBC2-UGX
WEBC2-याहू
WEBC2-Y21K

सामान्य तौर पर, WEBC2 बैकडोर निम्नलिखित सुविधाओं के साथ APT1 प्रदान करता है:

• कमांड लाइन दुभाषिया प्रक्रिया (cmd.exe) शुरू करना।
• निष्पादन योग्य फ़ाइलें डाउनलोड करें और उन्हें निष्पादन के लिए चलाएं।
• उनके पास एक "नींद" मोड है, जो कुछ समय के लिए निष्क्रिय अवस्था में रहता है।

सामान्य गैर-WEBC2 पिछले दरवाजे HTTP प्रोटोकॉल के माध्यम से C & C कमांड सर्वर के साथ, या अपने स्वयं के प्रोटोकॉल का उपयोग करके बातचीत करता है, जिसे कोड लेखकों ने इस उद्देश्य के लिए लिखा था। इस प्रकार का बैकडोर एक समझौता किए गए कंप्यूटर पर निम्नलिखित सुविधाएँ प्रदान करने के साथ साइबर अपराधियों को प्रदान करता है:

• फ़ाइलों और निर्देशिकाओं के साथ विभिन्न संचालन।
• दोनों दिशाओं में फ़ाइल स्थानांतरण।
• प्रक्रिया प्रबंधन।
• रजिस्ट्री का संशोधन।
• उपयोगकर्ता के डेस्कटॉप के स्क्रीनशॉट लेना।
• Keylogger।
• ट्रैक कर्सर चाल।
• कमांड लाइन चलाएं।
• रिमोट डेस्कटॉप के माध्यम से रिमोट एक्सेस।
• पासवर्ड संग्रह।
• उपयोगकर्ताओं की सूची प्राप्त करना।
• नेटवर्क पर दृश्यमान कंप्यूटरों की सूची प्राप्त करना।
• स्लीप मोड (दुर्भावनापूर्ण कोड निष्क्रिय होगा)।
• उपयोगकर्ता परिवर्तन ऑपरेशन (लॉग ऑफ) करें।
• कंप्यूटर को बंद कर रहा है।

अंजीर। परिवारों की एक सूची और संकलन तिथियों का एक कालक्रम।

BISCUIT बैकडोर आदेशों के सेट के दृष्टिकोण से एक अच्छा उदाहरण है जो यह समर्थन करता है कि APT1 "नियमित" बैकडोर में एकीकृत करता है। APT1 का उपयोग और लगातार 2007 के बाद से BISCUIT द्वारा विकसित किया गया है। इसका उपयोग आज तक हमलों में किया जाता है।


कुछ बैकडोर खुद को छिपाने के लिए, वैध यातायात का अनुकरण करने की कोशिश करते हैं। अनिवार्य ने कुछ प्रोटोकॉल और परिवारों की पहचान की, जिनमें उनका उपयोग किया जाता है: एमएसएन मैसेंजर (मैक्रोमेल), जेबर / एक्सएमपीपी (ग्लूएक्समेल), जीमेल कैलेंडर (कैलेंडर)। इस भेस ने सी एंड सी को प्रेषित यातायात के लिए वैधता का एक निश्चित तरीका प्रदान किया। इसके अतिरिक्त, कई APT1 बैकस्ट ने C & C से कनेक्ट करने के लिए SSL एन्क्रिप्शन का उपयोग किया है। परिशिष्ट F में, हम उन सार्वजनिक एसएसएल प्रमाणपत्रों को सूचीबद्ध करते हैं जिनका उपयोग इस उद्देश्य के लिए किया गया था।

विशेषाधिकार वृद्धि

[ यह पूरी तरह से स्पष्ट नहीं है कि हमले के इस चरण को इस तरह क्यों नामित किया गया है। जाहिरा तौर पर क्योंकि APT विशेषाधिकार वृद्धि के लिए इस तरह की रणनीति के रूप में समझा जाता है ।] विशेषाधिकार वृद्धि में विभिन्न खातों से उपयोगकर्ता नाम और पासवर्ड प्राप्त करना शामिल है। उनकी मदद से, आप एक समझौता किए गए वातावरण और व्यवस्थापक खातों में अन्य संसाधनों तक पहुंच सकते हैं। उपयोगकर्ता नाम और पासवर्ड के अलावा, APT1 PKI प्रमाणपत्र, वीपीएन, कंप्यूटर तक पहुंच के स्तर या अन्य संसाधनों के साथ पहुंच प्राप्त कर सकता है। व्यवस्थापक क्रेडेंशियल के लिए लॉगिन और पासवर्ड प्राप्त करने के लिए, पीसी, सर्वर या डोमेन नियंत्रक से "डंपिंग" पासवर्ड हैश का उपयोग किया जाता है। APT1 इसके लिए सार्वजनिक रूप से उपलब्ध उपकरणों का उपयोग करता है। उपयोग किए गए नमकों की सूची:

• cachedump
• fgdump
• gsecdump
• lslsass
• mimikatz
• पास-पास हैश टूलकिट
• pwdump7
• pwdumpx

डेटा संग्रह

इस बिंदु पर, APT1 समझौता किए गए कंप्यूटर के वातावरण के बारे में जानकारी एकत्र करता है। अधिकांश एपीटी (और एपीटी नहीं) की तरह, एपीटी 1 एक निर्मित प्रणाली और इसके नेटवर्क वातावरण की जांच करने के लिए अंतर्निहित ओएस कमांड का उपयोग करता है। जब उनके पास कमांड लाइन दुभाषिया तक पहुंच होती है, तो वे इन आदेशों को निष्पादित करते हैं, कभी-कभी बैच फ़ाइलों का उपयोग सूचना के संग्रह को गति देने के लिए भी किया जाता है। बैच फ़ाइल से निम्न कोड का उपयोग कम से कम चार घुसपैठ के मामलों में किया गया था।



स्क्रिप्ट निम्न क्रियाएं करती है और परिणामों को टेक्स्ट फ़ाइल में सहेजती है:

• नेटवर्क कनेक्शन के लिए सेटिंग्स की एक सूची प्राप्त करता है।
• चल रही सेवाओं की एक सूची हो जाती है।
• चल रही प्रक्रियाओं की एक सूची हो जाती है।
• सिस्टम में उपयोगकर्ता खातों की एक सूची मिलती है।
• उन खातों की सूची प्राप्त करता है जो प्रशासक समूह के सदस्य हैं।
• वर्तमान नेटवर्क कनेक्शनों की सूची प्राप्त करता है।
• कनेक्टेड नेटवर्क संसाधनों की एक सूची मिलती है।
• नेटवर्क पर अन्य मशीनों की सूची प्राप्त करता है।
• डोमेन नियंत्रक के लिए, डोमेन में वैश्विक समूहों के अनुसार खाता सूची प्राप्त करता है।

एक उपस्थिति बनाए रखना

इस स्तर पर, एपीटी 1 एक समझौता किए गए नेटवर्क में प्रमुख प्रणालियों पर स्थायी, दीर्घकालिक नियंत्रण प्राप्त करने के लिए उपाय करता है। यह तीन तरीकों से किया जाता है:

• APT1 एक समझौता किए गए नेटवर्क में रहने के दौरान नेटवर्क में विभिन्न प्रणालियों पर नया बैकस्ट स्थापित करता है। इस प्रकार, भले ही उनमें से एक को हटा दिया जाए, लेकिन उनके अन्य संशोधन नेटवर्क पर बने रहेंगे। आमतौर पर हमें एक समझौता नेटवर्क में बैकडोर के कई परिवार मिलते थे।
• APT1 ने वीपीएन लॉगिन क्रेडेंशियल्स की चोरी का फायदा उठाया। हमने पाया कि हमलावरों ने वीपीएन नेटवर्क से छेड़छाड़ करने के लिए लॉग इन करने के लिए वीपीएन पासवर्ड और पासवर्ड का इस्तेमाल किया, लेकिन केवल तब जब वीपीएन में लॉग-इन करने के लिए एक-कारक प्रमाणीकरण तंत्र का उपयोग किया जाता था। इस प्रकार, उन्होंने कानूनी उपयोगकर्ता खातों के तहत सुरक्षित वीपीएन नेटवर्क में प्रवेश किया।
• APT1 संगठन के नेटवर्क पर उपयोग किए जाने वाले वेब सर्वर से भी समझौता करता है।

चोरी डेटा APT1 सर्वर को स्थानांतरित करें

किसी दूरस्थ सर्वर पर सीधे डेटा भेजने से पहले, इसे एक संग्रह में पैक किया जाता है। अक्सर, इन उद्देश्यों के लिए पासवर्ड सुरक्षा के साथ एक नियमित आरएआर का उपयोग किया जाता है। इस उद्देश्य के लिए कभी-कभी बैच स्क्रिप्ट का उपयोग किया जाता है। उनमें से एक का उदाहरण।



आवश्यक अभिलेखागार बनाने के बाद, समझौता किए गए नेटवर्क के किनारे का दुर्भावनापूर्ण कोड इस डेटा को APT1 सर्वर पर भेजता है। एफ़टीपी का उपयोग स्थानांतरण के लिए किया जा सकता है। बैकसाइड इसके लिए अपने प्रोटोकॉल भी लागू करते हैं। अक्सर अभिलेखागार इतने बड़े होते हैं कि उन्हें आगे हस्तांतरण के लिए भागों में विभाजित किया जाता है।



हमारे द्वारा ट्रैक किए गए अन्य APT समूहों के विपरीत, APT1 ने APT1 के ईमेल - GETMAIL और MAPIGET को चुराए गए डेटा भेजने के लिए दो विशेष, अद्वितीय उपकरणों का उपयोग किया।

मीडिया में APT1

APT1 गतिविधि विभिन्न प्रकाशनों, नोट्स और लेखों में दर्ज की गई थी। उसी समय, इन स्रोतों को एक साथ संकलित करना कठिन है, क्योंकि, अक्सर, APT1 का उल्लेख करते समय विभिन्न नामों का उपयोग किया जाता है। इसके अलावा, कई विश्लेषकों ने उन उपकरणों के बारे में लिखा है जो अन्य चीनी एपीटी में उपयोग किए गए थे। नीचे दी गई तालिका APT1 के साथ अन्य कंपनियों द्वारा उल्लिखित समूहों के उपनाम की तुलना करती है।

• सबसे पहले ज्ञात सार्वजनिक अवसंरचना रिपोर्ट APT1 जापान के Symantec Corporation के स्वामित्व में है। रिपोर्ट में sb.hugesoft.org का उल्लेख है, जिसे "बदसूरत गोरिल्ला" के रूप में जाना जाता है।
• सितंबर 2012 में, अपने ब्लॉग पर जाने-माने पत्रकार ब्रायन क्रेब्स ने टेलवेंट कनाडा लिमिटेड (अब श्नाइ इलेक्ट्रिक) के समझौते की सूचना दी। हम इस घटना का श्रेय APT1 की साज़िशों को देते हैं, जो उनके नेटवर्क तक पहुँच प्राप्त करने के लिए उनके द्वारा उपयोग किए जाने वाले उपकरणों और बुनियादी सुविधाओं के आधार पर है।
• SCADA ने जून 2012 में रिकॉर्ड किए गए फ़िशिंग आक्रमण ऑपरेशन पर एक रिपोर्ट जारी की। AlienVault ने इसी दुर्भावनापूर्ण कोड का विश्लेषण किया। रिपोर्ट में शामिल किए गए समझौते के संकेतकों के अनुसार, हमने इसके लिए APT1 को जिम्मेदार ठहराया।
• नवंबर 2012 में, ब्लूमबर्ग के पत्रकार क्लो व्हिटेकर ने एपीटी 1 में इस्तेमाल किए गए उपकरणों और डोमेन का वर्णन करते हुए, टिप्पणी समूह के बारे में लिखा।

उदाहरण पिछले दरवाजे APT1 द्वारा इस्तेमाल किया

परिशिष्ट F (द मालवेयर आर्सेनल) में उन खतरों वाले परिवारों की सूची है जिनका उपयोग APT1 द्वारा विभिन्न प्रयोजनों के लिए किया गया है। यह सूची वास्तव में प्रभावशाली है। हम इस तरह के खतरों में से एक पर विचार करेंगे - AURIGA।

AURIGA की मुख्य विशेषताएं:

• इसमें कर्सर संचलन पर नज़र रखने के लिए एक keylogger और कार्यक्षमता है।
• निर्माण / प्रक्रियाओं को पूरा करना।
• सर्वर पर फ़ाइलों को स्थानांतरित करना और उन्हें वहां से डाउनलोड करना।
• सिस्टम की जानकारी का संग्रह।
• लॉगिन और पासवर्ड प्राप्त करना।
• अपने नेटवर्क कनेक्शन को छुपाता है।
• अपनी प्रक्रियाओं (DKOM) को छुपाता है।
• प्रक्रियाओं में कोड इंजेक्ट करता है।
• दूरस्थ डेस्कटॉप पहुँच प्रदान करता है।
• सिस्टम को बंद कर सकते हैं।
• स्क्रीनशॉट ले लेता है।

सभी एकत्रित जानकारी DES का उपयोग करके एन्क्रिप्ट की गई है। C और C के साथ सहभागिता 443 पोर्ट के माध्यम से की जाती है, लेकिन SSL या TLS का उपयोग नहीं करता है। कीलॉगर फ़ाइल% WINDIR% \ System32 \ config \ sam.sav में जानकारी संग्रहीत करता है। यह cmd.exe शेल को एक इंटरैक्टिव सत्र प्रदान कर सकता है, और सत्र डेटा को DES का उपयोग करके एन्क्रिप्ट किया जाएगा। पिछले दरवाजे% SYSTEMROOT% \ system32 \ cmd.exe शेल को% SYSTEMROOT% \ system32 \ ati.exe की प्रतिलिपि बनाता है। इसके अलावा, नई ati.exe फ़ाइल में, यह "microsoft corp" जैसी लाइनों को "सुपरहार्ड कॉर्प" के साथ बदल देता है। सत्र समाप्त होने के बाद ati.exe फ़ाइल हटा दी जाती है।

लॉगिन और पासवर्ड रजिस्ट्री शाखा HKEY_CURRENT_USER \ Software \ Microsoft \ Internet खाता प्रबंधक \ खातों और मूल्यों का उपयोग करके एकत्र किए जाते हैं:

• POP3 उपयोगकर्ता नाम
• HTTPMail उपयोगकर्ता नाम
• HTTPMail पासवर्ड 2
• हॉटमेल
• POP3 सर्वर
• POP3 पासवर्ड 2

Riodrv32.sys ड्राइवर इसे इंगित की गई प्रक्रियाओं में दुर्भावनापूर्ण dll के कार्यान्वयन को लागू कर सकता है। वह \ Device \ rio32drv के साथ सिस्टम में अपनी उपस्थिति और it \ DosDevices \ rio32drv के लिए एक लिंक नोट करता है। यह नेटवर्क कनेक्शन की सूची से आईपी पते को भी छिपा सकता है। ड्राइवर IOCTL के माध्यम से उपयोगकर्ता मोड के साथ बातचीत करता है, यहाँ उनमें से कुछ हैं:

• 0x2A7B8008। छिपाने के लिए IP पता याद रखें।
• 0x2A7B800C। प्रक्रिया में इंजेक्ट dll।
• 0x2A7B8018। आईडी द्वारा प्रक्रिया छुपाएं।

ड्राइवर से: d: \ drizt \ Projects \ auriga \ शाखाओं \ पत्थर_ ~ 1 \ सर्वर \ exe \ i386 \ riodrv32.pdb