(Ex)Cobalt в новом обличье: команда Solar 4RAYS исследовала последнюю атаку известной группировки

[jackcrane]

Document_Microsoft_Word.lnk (MD5: 375a82ae45a8041fc02a648f19154501) содержится следующая команда для запуска:

посмотрите внимательнее. команда там д.быть "cmd.exe" или "cmd" или "%COMSPEC%", а то что вы написали - ее аргументы.

ps: кто знает, с какой версии виндовс curl.exe вошел в стандартную поставку ?

[SolarSecurity]

Здравствуйте. Спасибо за вашу внимательность! Внесли корректировку

[jackcrane]

не вижу чтобы что-то изменилось.

сделайте hex-dump обоих lnk и возможно вы увидите там то что я написал.

[ekogramat]

Подскажите пожалуйста, каким образом вы "проанализировали другие домены, зарегистрированные в Namecheap примерно в то же время"? Каким образом посмотреть все зарегистрированные каким-то регистратором домены?