Bereiten Sie Ihre Microsoft-Umgebung auf einen identitätsbasierten Angriff vor.
Buchen Sie noch heute eine Analyse der Identitätslücke.

Moonlight - Gezielte Angriffe im Nahen Osten

Oktober 26, 2016
Vectra AI Team für Sicherheitsforschung
Cybersecurity
Moonlight - Gezielte Angriffe im Nahen Osten

Vectra Forscher von Threat Labs haben die Aktivitäten einer Gruppe von Personen aufgedeckt, die derzeit gezielte Angriffe auf Einrichtungen im Nahen Osten durchführen. Wir haben über 200 Malware-Samples identifiziert, die von der Gruppe in den letzten zwei Jahren erstellt wurden. Bei diesen Angriffen geht es um politische Themen im Nahen Osten, und die Motivation scheint eher auf Spionage als auf opportunistische oder kriminelle Absichten ausgerichtet zu sein.

Diese Angreifer sind technisch nicht sehr anspruchsvoll. Sie wenden jedoch einige neuartige Taktiken an, die im Folgenden näher erläutert werden, und die Auswirkungen dieser Angriffe könnten erheblich sein. Sowohl die Werkzeuge als auch die Ziele von Moonlight erinnern an das "Gaza Hacker Team", eine Gruppe von Angreifern, die der Hamas politisch nahestehen soll[1]. Trotz dieser Gemeinsamkeiten haben wir keine festen Verbindungen zwischen den beiden Gruppen festgestellt.

Wir bezeichnen diese Gruppe von Angreifern als Moonlight, nach dem Namen, den die Angreifer für eine ihrer Command-and-Control-Domains gewählt haben.

[1] http://www.securityweek.com/gaza-cybergang-attacks-attributed-hamas

Ziele des Mondlichts

Vectra Die Netzwerke arbeiteten mit Providern zusammen, um die Befehls- und Kontrollinfrastruktur von Moonlight zu infiltrieren. Die über unser Sinkhole gesichteten Hosts haben es eindeutig auf Opfer aus dem Nahen Osten abgesehen:

Die Gastgeber, die über unser Sinkhole zu sehen sind, haben es eindeutig auf Opfer aus dem Nahen Osten abgesehen.

Abbildung 1: Die Opfer von Moonlight-Angriffen

Die meisten dieser Opfer stellen die Verbindung von ihren Heimnetzwerken aus her und sind daher nicht identifizierbar, obwohl ein bemerkenswertes Opfer eine palästinensische Nachrichtenorganisation ist.

Vectra glaubt, dass die Opfer aus den Vereinigten Staaten und China Ausreißer sind. Diese infizierten Rechner stammten hauptsächlich aus Universitätsnetzwerken und waren wahrscheinlich entweder Sicherheitsforscher, die Malware in einer Sandbox unterbrachten, oder Studenten aus Übersee, die Verbindungen zu ihrem Heimatland suchten.

Indirekte Daten der Online-Virensuchseite VirusTotal und Verkehrsstatistiken der von den Angreifern genutzten URL-Verknüpfungsdienste deuten darauf hin, dass viele dieser Angriffe entweder auf kleine Gruppen oder einzelne Ziele ausgerichtet sind:

Indirekte Daten der Online-Virensuchseite VirusTotal und Verkehrsstatistiken der von den Angreifern genutzten URL-Verknüpfungsdienste deuten darauf hin, dass viele dieser Angriffe entweder auf kleine Gruppen oder einzelne Ziele ausgerichtet sind.

Abbildung 2: Die Statistik zeigt eine der bösartigen Dateien des Angreifers, die nur zwei Klicks verzeichnete

OpenMe.docx.exe

Die Angreifer benennen ihre Malware als Dokumente, die für ihre Opfer von Interesse sind, um sie zum Öffnen der Dokumente zu verleiten. Die bösartigen Täuschungsdokumente zeigen Themen, die für die Politik des Nahen Ostens relevant sind, und geben einen Hinweis darauf, wer die beabsichtigten Ziele sein könnten:

  • 20160611-NCRI-AR-Rajavi-Syrien-Ramadan.docx.exe
  • Ermordung von Talal von Jordanien YouTube.exe
  • Audioaufnahme des Treffens der ägyptischen Emirati. MP3.exe
  • Brigadier Alleno hinter der moralischen Projektion von Zakaria al-Agha.docx.exe
  • exe
  • Fatah-Auslandsverschwörungen.exe
  • Waffen- und Munitionslager, die beim Ausheben einer Wasserstraße im ägyptischen Rafah gefunden wurden.exe
  • Hamas und Fatah vereinbaren Folgendes.exe
  • Hamas und die ägyptische Armee.exe
  • Hamas und die salafistischen Dschihadisten im Gazastreifen.scr
  • Hamas Betrayal.exe
  • Wichtiges Leck Sicherheitstreffen Arabische Emirate.exe
  • scr
  • Durchgesickerte Tonaufnahme des Treffens der ägyptischen Sicherheitsemirate.mp3.exe
  • Durchsickern einer wichtigen Sicherheitssitzung der Arabischen Emirate.mp3.exe
  • Sitzung des Exekutivausschusses der PLO.exe
  • Präsident Quellen verdrängen Fatah-Führung in Gaza und die Kosten Abu Samhadana, um die Organisation zu führen.doc.exe
  • Sawiris und das Projekt des Suezkanals.exe
  • Bombenanschläge auf dem Sinai.docx.exe
  • Die ganze Wahrheit über Abu Ghussains Krankheit.exe
  • Der Enkel von Präsident Abbas in das Fest der Liebe, und welche Reaktion war Herr Samir Mashharawi ihn.exe
  • Die Namen der Täter bei den Bombenanschlägen im Gaza-Streifen.exe
  • Der Sohn des Mufti takfiri Hamas Faust Anti-Drogen-Polizei.docx.exe

Moonlight zeigt, dass 0-Days oder sogar Exploits nicht erforderlich sind, um Rechner erfolgreich zu kompromittieren. Stattdessen zeigen sie eine Vorliebe für den klassischen Social-Engineering-Ansatz des Versendens von E-Mails mit Anhängen oder Links zu Dateien mit dem Dateinamen [legitime Dateierweiterung].exe, zum Beispiel:

  • scr
  • Geheimnisse Dokumente Panama.docx.exe
  • doc.exe
  • Audioaufnahme des Treffens der ägyptischen Emirati.mp3.exe

Moonlight löst in der Regel das versprochene Thema der Köder ein und legt dem Opfer ein einschlägiges "Täuschungsdokument" vor:

"Sitzung des Exekutivkomitees der PLO" - Von der Malware auf den Rechnern der Opfer geöffnete Täuschungsdokumente

Abbildung 3:"Sitzung des Exekutivkomitees der PLO" - von der Malware auf den Rechnern der Opfer geöffnete Täuschungsdokumente

Lockvogelvideo über Frauen, die nach Syrien verschleppt werden

Abbildung 4: Täuschungsvideo über Frauen, die nach Syrien verschleppt wurden

Neue Organisationen, die sich als solche ausgeben

Die Angreifer verbreiten bösartige Dateien in der Regel über verkürzte URLs, die vermutlich harmloser aussehen sollen. Viele der Links und Domains geben sich als nahöstliche Medienorganisationen wie Eln News und Wattan TV aus:

  • http://bit[.]do/www-elnnews-com
  • http://wattan.tep[.]su/deaf.rar
  • http://www.aman-news[.]com/arab/betrayal%20of%20Hamas.%20exe

Eine Domain, die sich als die Medien ausgibt, Alwatenvoice[.]com, hostet auch "Landing Pages", um die Opfer zum Herunterladen der Malware zu bewegen (siehe unten).

Vertrieb

Ein Facebook-Nutzer hat eine Reihe von Beiträgen der bösartigen Alwatenvoice[.]com geteilt:

Zwei Seiten mit Schadsoftware, die der Nutzer auf Facebook geteilt hat

Abbildung 5: Zwei Seiten mit Schadsoftware, die der Nutzer auf Facebook geteilt hat

Der zweite Beitrag ist von besonderem Interesse. In der Facebook-Informationsbox heißt es, der Artikel stamme von All4Syria[.]info, einer beliebten unabhängigen Nachrichtenagentur, die über Syrien berichtet, aber in Wirklichkeit führt er zu Alwatenvoice[.]com:

Abbildung 6: Der Link zu All4Syria[.]info, der eigentlich zu Alwatenvoice[.]com führt

Dem Nutzer wird dann eine Seite angezeigt, die der echten All4Syria-Website sehr ähnlich sieht:

Die bösartige Seite von Alwatenvoice[.]com auf der linken Seite und die legitime Seite All4Syria[.]nfo auf der rechten Seite

Abbildung 7: Die bösartige Seite von Alwatenvoice[.]com auf der linken Seite und die legitime Seite All4Syria[.]nfo auf der rechten Seite

Wenn ein Benutzer auf "Abspielen" klickt, wird er aufgefordert, eine Malware namens شبكات الدعارة السورية.mp4.exe ("Syrian Prostitution Rings.mp4.exe") herunterzuladen.

Das Profil, das diese bösartigen Links veröffentlicht, hat nur eine sehr geringe Anzahl öffentlicher Beiträge. Der erste Beitrag aus dem Jahr 2015 zeigt, wie der Nutzer sein Hintergrundbild auf das Logo der Fatah einstellt. Es gibt zwei öffentlich angezeigte Facebook-Freundschaftsfeiern, von denen eine anhand des Namens und der Facebook-Profilinformationen identifiziert werden kann. Ihre Angaben stimmen mit denen eines hochrangigen Fatah-Kämpfers überein, der laut Reuters während der gewaltsamen Kämpfe zwischen Hamas und Fatah im Jahr 2007 ermordet werden sollte.

Wir weisen darauf hin, dass es sich auch dann, wenn das Konto von den Angreifern kontrolliert wird, um ein von ihnen kompromittiertes Konto handeln könnte, das sich als eine unschuldige und nicht verbundene Person ausgibt. Es ist auch möglich, dass das Konto, das die bösartigen Links verbreitet, einem Nutzer gehört, der unwissentlich bösartige Inhalte verbreitet.

H-Wurm

Moonlight liefert in der Regel eine verschleierte Version des weit verbreiteten H-Wurms[2], eines bösartigen Visual-Basic-Script-Wurms, als Backdoor der ersten Stufe. Moonlight setzt eine ständig wechselnde Reihe von Einsatzskripten ein, um Antiviren-Software zu umgehen. Viele von ihnen verwenden einfache Skripte in selbstextrahierenden RAR-Archiven, um die Malware zu installieren:

[2] https://www.fireeye.com/blog/threat-research/2013/09/now-you-see-me-h-worm-by-houdini.html

Einige der bösartigen Skripte, die von Moonlight zur Verbreitung des H-Wurms verwendet werden

Abbildung 8: Einige der bösartigen Skripte, die von Moonlight zur Verbreitung des H-Wurms verwendet werden

In diesen Auszügen sehen wir, wie Moonlight einige merkwürdige Entscheidungen beim Einsatz ihrer Schadsoftware trifft, wie zum Beispiel:

  • Öffnen eines Täuschungsdokuments aus dem Windows-Systemordner
  • Benutzer werden daran gehindert, Dateien (einschließlich der installierten Malware) aus dem Ordner C:\temp\ zu löschen.

Die Skripte, die zur Installation von Malware verwendet werden, variieren sehr stark, und es ist wahrscheinlich, dass die große Anzahl von Samples von Hand erstellt wurde, anstatt ein produktiveres Verfahren mit Build-Tools zu verwenden, das von anspruchsvolleren Gruppen bevorzugt wird.

njRat

Aufzeichnungen zu URLs, die Benutzer an VirusTotal übermittelt haben, zeigen, dass die Angreifer zusätzliche Malware installieren, indem sie den Zugang nutzen, den sie mit der H-Worm-Malware der ersten Stufe erhalten haben. Beispiele hierfür finden sich in den an VirusTotal[3] übermittelten URLs für die Domain fun2[.]dynu.com:

Datum

Standort

2016-05-24

C:/Benutzer/Administrator/Desktop/service.exe

2016-05-31

C:/Benutzer/Administrator/Desktop/WindowsService1.exe

2016-08-10

C:/Benutzer/Verwalter/Desktop/k.exe

2016-08-10

C:/Benutzer/Verwalter/Desktop/Dienst.exe

[3] https://www.virustotal.com/en/domain/fun2.dynu.com/information/

Wie bei früheren Phasen verwenden die Angreifer eine Reihe von Methoden, um den bekannten[4] njRat einzusetzen, die von Beispiel zu Beispiel zu variieren scheinen. In einem Beispiel speichert die Malware ein Programm in einem Base64-komprimierten Blob. Dieses wird dann in den Speicher geladen und mit EntryPoint.Invoke() ausgeführt:

Ein Beispiel für einen Lader für njRat, der von Moonlight eingesetzt wird

Abbildung 9: Ein Beispiel für einen Lader für njRat, der von Moonlight eingesetzt wird

[4] http://www.symantec.com/connect/blogs/simple-njrat-fuels-nascent-middle-east-cybercrime-scene und http://threatgeek.typepad.com/files/fta-1009---njrat-uncovered.pdf

Der 24 KB große Code, der entschlüsselt wird, ist eine weitere .NET-Anwendung - njRat. Andere Dropper entschlüsseln den Blob ebenfalls, bevor er ausgeführt wird. Sowohl njRat als auch Code-Verschleierer wie dieser sind frei verfügbar, und es gibt eine Fülle von Online-Tutorials, die angehenden Hackern helfen, sie mit begrenzten technischen Kenntnissen zu verwenden.

Eine bedeutende Operation

Die Befehls- und Kontrollinfrastruktur von Moonlight ist sehr einfach. Sie besteht aus dynamischen Domänen, die über private Internetverbindungen im palästinensischen Westjordanland gesteuert werden. Wir waren überrascht, eine sehr große Anzahl unterschiedlicher Malware-Muster (über 200) zu identifizieren, die mit dieser einfachen Infrastruktur verbunden sind:

Die Infrastruktur des Mondlichts

Abbildung 10: Die Infrastruktur von Moonlight

Entwicklung der Angreifer

Die ersten Angriffe scheinen nicht zielgerichtet zu sein, da sie die Opfer opportunistisch dazu auffordern, auf Links in Youtube-Videos und Social-Media-Posts zu klicken, die typisch für nahöstliche "Hacktivisten" sind. Spätere Angriffe scheinen auf bestimmte Gruppen oder Einzelpersonen abzuzielen. Die Nutzung des Google-URL-Verkürzungsdienstes durch Moonlight ermöglicht einen groben Vergleich der Angriffe im Laufe der Zeit:

Die Nutzung des Google-URL-Verkürzungsdienstes durch Moonlight ermöglicht uns einen groben Vergleich der Angriffe im Laufe der Zeit
Ein Angriff vom Dezember 2014 (links) und einer vom Dezember 2015 (rechts)

Abbildung 11: Ein Angriff vom Dezember 2014 (links) und einer vom Dezember 2015 (rechts)

Wer sind die Angreifer?

Im Allgemeinen ist der zugewiesene IP-Standort von Befehls- und Kontrollservern ein schlechter Hinweis[5] auf die Standorte der Angreifer. In diesem Fall sind die angegebenen Standorte der Heimnetzwerke im Gazastreifen jedoch wahrscheinlich genau und passen zu anderen Details der Angriffe. Die Angreifer weisen auch eine geringe operative Sicherheit auf, insbesondere bei ihren früheren Angriffen. Whois-Domäneneinträge und Beiträge in den sozialen Medien geben deutliche Hinweise auf die Identität einiger der Beteiligten. Es wäre nicht ratsam, die Identität der möglichen Angreifer in einem Konfliktgebiet zu veröffentlichen.

Eine interessantere Frage ist vielleicht: "Was sind die Ziele der Angreifer?" Oder wenn sie gesteuert werden, wer finanziert und beauftragt sie letztendlich?

[5] Mit Verweis auf http://www.csoonline.com/article/3028788/techology-business/norse-corp-deconstructing-threat-intelligence-on-iran.html und https://threatbutt.com/map/

Angriffe abwehren

Angriffe wie diese werden oft übersehen, weil sie technisch nicht sehr anspruchsvoll sind. Doch bei diesen Angriffen steht viel auf dem Spiel, auch wenn die Angreifer nur über geringe Fähigkeiten verfügen. Wenn diese Angriffe tatsächlich politisch motiviert sind, könnten die Folgen den Verlust von Menschenleben bedeuten. Die Gewalt zwischen rivalisierenden politischen Gruppierungen in Palästina hat bereits Hunderte von Menschenleben gefordert.

Es ist unwahrscheinlich, dass Einzelpersonen und Organisationen außerhalb des Nahen Ostens mit den Angriffen von Moonlight konfrontiert werden. Die eingesetzten Tools und Techniken sind jedoch typisch für wenig qualifizierte, aber entschlossene Angreifer im Nahen Osten und dienen als Beispiel für die Art von Angriffen, die oft durchgehen. Die Strategie von Moonlight, bekannte Malware zu verschleiern, scheint bei der Umgehung hostbasierter Sicherheitsmechanismen recht erfolgreich zu sein. Die Netzwerkkommunikation der bekannten Malware-Familien wie H-Worm und njRat sollte immer noch von bestehenden Netzwerksignatur-basierten Erkennungstools erkannt werden.

Vectra Kunden werden durch die folgenden generischen Erkennungsfunktionen geschützt:

  • Suspicious HTTP - Bietet eine generische Erkennung von HTTP-basierter Malware wie H-Worm
  • Externer Fernzugriff - Bietet eine generische Erkennung von RATs wie njRat
  • Malware Update - Bietet eine allgemeine Erkennung von sekundärer Malware über HTTP(S)

Sicherheitsexperten können im Anhang eine vollständige Liste der von diesen Angreifern verwendeten Datei-Hashes und Domänen einsehen.

Vectra Threat Labs arbeitet genau an der Schnittstelle zwischen Sicherheitsforschung und Datenwissenschaft. Wir nehmen unerklärliche Phänomene in Kundennetzwerken auf und graben tiefer, um die zugrunde liegenden Gründe für das beobachtete Verhalten zu finden.

{{cta('c55c408c-ddec-4ebb-a41f-666d25face78')}}

Anhang

Domains

Jeder Verkehr zu den folgenden Domänen in Ihrem Netzwerk sollte untersucht werden. Bitte beachten Sie, dass viele dieser Domains von Vectra gesperrt wurden.

alwatenvoice[.]com

elnnewscom.duckdns[.]org

fun1.dynu[.]com

fun2.dynu[.]com

fun3.dynu[.]com

fun4.dynu[.]com

fun5.dynu[.]com

h.safeteamdyndns[.]se

h0tmail.duckdns[.]org

hackteam1.spdns[.]de

hema200.publicvm[.]com

hema200.safeteamdyndns[.]se

hema2000.dynu[.]com

hp200.spdns[.]eu

hp500.linkpc[.]net

hp600.spdns[.]eu

moonlights.linkpc[.]net

new4.spdns[.]eu

opstin.spdns[.]eu

run500.linkpc[.]net

run900.linkpc[.]net

wattan24.duckdns[.]org

aman-news[.]com

MD5-Hashes

ABD8F478FAF299F8684A517DCB1DF997

003F460F6EA6B446F31AA4DC57F3B027

568218BB07C021BBAB3B6D6560D7208C

AC19A1E5D604D82EF81E35756F3A10D1

0392F8BE82A297242BAAD10A9A2912EB

573138482B185F493B49D3966650CDAD

AC3918287452FEBD3855FF4BC3D82A07

04A4CC757B4D283FF8DE246C19E8D230

5947BBAD60D4D00EF545E2FB3B1FD03E

AC89E42EE593CEA80030820618F2BCF6

04B2D3F38055B2B821B30E82C44D6040

59E18D4ED3C97279DB16984C07213EB1

ACAB47BB5E8ED34056905FF63353CABC

0512F533BF2E8E5EC9637B804C101C2B

5BF5BE6B45292FBA0C0EDC415F248922

ACCF82FC29467C08CE087072FEA3D14A

05618077C03B80ACE066B9851966FBB1

5CC9964DD41BE3D9DACBD0425EC032A9

ACD58BB34BB275DE1570917624ADE609

0606FEE55F39784E9889C1AAA0F27882

5CFD542A561F1EE679FCD6AA81991F3A

AE238D1E52CD4A9DECFE769FE5844747

064F0A5FCC869F6EB77405D3FE98AF87

5E59ACF240E2881B1C1E2F5586C9CA6F

AE9E9E3C73483E8B6C6E58E5629DC4D0

07EB24224A722EA9D8A3DC610B834D7A

5F0437C7DC45D4C10A045954DB77DD31

B053BBB499D68CCE1782B33FDE7B43FF

0975222DE39433A25E672595B1960CDB

61381610E76266423ACE96670DE45DC0

B0B9332082E98D51CB7265A45A945A22

0A38DDCC3431BAE448E38C99562162EF

6212E9A07225D6B71769D2BBBC20CD04

B184FA51604D7EAA5A45350D1E08E5B7

0A49531FC0C00E991E51F34398F3AB88

6218A61D18F5A74F82ABC31A5F073C4B

B3FB8253595FED348464B5C9A01AD4AD

0ABBD2765B563F2B8748485FA84DA070

62C0B9EA3638BEF977A7D33970E52E38

B532676D6A5A6684B62A078BFBCBBD0B

0AED206FC534C310724E122BF6BCDF7F

63D933310CFB26EC9913A26BEF230A99

B77A14A594A59C3B86EDD940FB35AB5E

0B2023BC4ADFBB8157DA9147B9FAFACB

64ACAFF36681B16C5717741E17DCB329

B82DE5F1C26143083D988B06F6C927C3

0B40D67579AF550C0A3AEE359C2C71BA

64AF25B42E21F01A213C32CC66CFD749

B841E134EC7FE48095754742C8A2B8D7

0BD3B5C667878830DA088527D1B753EC

655F56F880655198962CA8DD746431E8

B929FC62DB2B3C8CC6A03063767BE125

0C15603B17FA333189AB5ED06E0993F7

696232159428BCB2BDA5AC2C755E8FED

BB15E754AE3B85A12447B448F6F7E43E

0CA048153AC96E5C41243B364092AF07

69A042C9ED90A30444606407F77E199F

BBF576CF704B71C739E8777EB6C9FF82

0D67422BA42D4A548E807B0298E372C7

6C4B69C19F2C3AC23AC392B8631E31BB

BD2234DAE56580AAA7F880A7DB0F397D

0E9B363DE7DD2B10AFD5D1947FA0E006

6C4D355411B8D7DA56A2C7C14693A3AE

BE23B3AFD1FD32C900F012CB2A8BA755

0F83377C44ADBA238FD0F0EB241981A6

6D418227FEB7A60727326583B52187E6

C28376FC9EE627B51E3F52503397E2DC

114B805F977E17558DD89E8029E29DF0

6E2E488CDDF1D15D0411F3838ED04683

C291CFAC28F323F9808D633A8558A35A

118A606FB131C082B55A5625661B666A

6EE7264D4A974D0FFFED7F39652D1DAD

C64052167D6A183A3ECC259EE0F3A0C6

129F4B0A1F209784BF7071C14119BF9F

71B00CBD186B1C168FD207B8F43FC8E0

C8D912CF5BF526E551972EBB5454DD3F

1325AB5DCA14B58A8A7B9A8F5A1EE4DC

72076B1B2D9CB0507E5C94C2B422CCE7

C92E26AC3145718E531330B87772D216

13AF6A3C3A3908FD4E606A1F19B05714

72BEA803A834F7736679781A1D729B1F

CB539DFAEECC4BAF875A1E431701FF9D

148A3E3CC76CF6753B15070FE3514DAE

7681AE3933F3E13EB8E2A9BE281A5763

CC9FAEC3F39EDAF7A59E9D9A7577451C

14C1E03DE25811C3D6D467837A16BB29

76A68FE73FFF571F257A1B0F100ACA1D

CCFA1B31C47C9F124FEFE206301B3A5F

15F7682A178F789EDB40CEAABA9E5103

77D02BE92D052F35604CAA9885DD9A77

CD10D61A0D2D43A6AB16A9F50B1AD894

1673583BC5B7A485119D4A1342D6ADA8

7840F2473B3A0E0960A1925F3CD0C3B1

CF51142459F7B40E751E91179C001299

17D70C318C6D16EA599E39550C44FA7F

7A4588DC14AE38505662B75DA93CA8A7

CFE26B57E168B6C6A18C668E36A3E939

1856F46DA93C3B152C358E0F6DB53402

7AEFB825277764CD9F31BC1F2370D18D

D179427D46D38D78A7A60512A4595496

1966F3B1D4ADEC25AB866C4E061A1E50

7C14974DD39B071558C619D16C4216DB

D24B6317064DA37D31CE4459AC7F4B69

1C4AB6CF907175D114C48C30A38BF379

7D1F1FED52745D36D737EFA7D43F4B95

D297E0DB6D63A952B08B6F0E3FE101E7

1D693473FF431C7CEA3E7AB0130EAA3D

7D27548E3F56FA532C571FB409ECD7B6

D3C8ECF591381B31D3AA796471B5B0F1

1F644DE33D57C12A393B12F92A7C44C5

7DD199B0C678EF409A7DC461DE850849

D5DFF6DB76B75D346D3B33BBA5B7CBFA

215556AF1A5FEF7E08A6124D94487D2F

7ED4897B11798F4639C73D57F901A661

D5EEE8DC2507D46E1DC11F7B7441F506

21CE82DB335964B8624F8EB0668B539F

833B3AF9BD8FFD0390BCA1D43EE78CC3

D817FD5A442C7668607AE895D4298040

22CC7CE1E17852B6D09D5641B6ABCA0D

83AD97BF1D5A9044AAFBA6AAC4B7387E

D9EACFF28841C51ACE9712AF78BCBDD0

24D2CE38D2886A00E678E8C23AD8D1CA

841C3AFAA8CAF0AC33BF783D5FEAEADB

DD2D6B625E7ADD1528311A0CF5FD5EAE

276E54A5E32BEF12367C5B31BF9C179E

8492C3111C7C0998F0DC1B63967E5C65

DDD73E73BE2CC934D5721D4FC62CD98C

27A1891DB06D316B43A48DDEFEBF73BF

853A53CF799E2E3E1FC244A0751A4E96

DDEEE52C00A95167353215D14B3AAA68

2851685F217EB1CE573FC2BAE7918801

8799B3D6B2CE50D4DD5F5114635A4B96

DE2E753D12CE07F7B3F97C498D3477F8

28FBFD2AD1B500B62377DDE5795CDF85

87E5555CFF74D41551D6D29B9C01C0CB

DF38B1562E4F0B735B3E10BAE78DF2A9

2930596D4E1328B79C349455E71EE1B0

8943A561F0839D43B8BD476357992540

E1B56D70FA5397509F901ED72724A5E9

29771C26BFDD125E7427CD57A98730FF

897061CD7F0BBAE1B024ED9C1C1998A1

E3E2CD771C8183464737233D17CD6A09

2993B77D82622D665F9B2F06C89741BE

8A2E5662ED22D0D555E6B90FE5E1C902

E42CD849370F2BE67F40B97B5D741B37

2A0F5D8C5BC021A1CEFED7442B02DF52

8AD4C22449B98339548D38BF87BF50AA

E613FBAAF0E64B1CA740F9859D5CAF0B

2AB91CEDD813E306248E545075C60866

8BE6FBAD0618D6A398966AF3D20F5418

E61732ADD06F5EB98FE6AD42CE9682F6

2C8C94E85EF8C757586590E8D1ABDC6C

8F8E5A9553A27A9341ED6022028B231D

E8909F06EF95B222121B72E12DB2111D

2CBD8E0EB9DF67E7D304F28803D4529E

8FDD4BA7920B3D6AB2F0106FDF4ED702

E8C4A336C901A8799525EA30486838B3

2DC30F736F1A485DBBEED63EC9259726

8FF5EF99FAF5E17B7D5B46585BAC7B43

EA788C263E04B93D36E0D82BB7D1BC05

2E49F5BD50A4E82DB05B4E42F18536F3

90C49D0CEF0DFCFF3C09723A9918688D

EB7B7C974A66E7F9A0EAD3113F949EC8

2F352CD6486C518DDC61B7EBBEAB5F01

927DBA3C9B98FD749017E3DEE270136B

ECB97F19AB0568CD0536567A7DEF44FF

348D6C08F155F0781574C34E573B6F1F

940A1B2C537FA2F764283795E9B665BA

EF53161673CA4CAA7E9C4B33A0D02A90

36E3307F26E5B8BDBA30D7EA7CA62CD8

968EF6CB0DFB082DF7A68C3B8869C57B

EFCA552B3CA4B8FF8686FD313FF2D48E

37CB0DF3AF8D3CA2086EEDAF3479D21C

974037C602A559C471BBDA3D07F50650

EFE54DF820FA8434CF14A5A8F55F52B7

39581B22FB078851D6DAA492C4F5BE97

97AA47094205DF17C15ED216227C4DA8

F007B759A30EDF46FD921E2D87A39D5D

3CE01AD1B116943F5FB1B2925C5DCAF1

99215ADB3D924F52D69BEAB6981791EB

F17CD2526A0E46D806863E1320A2CF5B

3D2E266B9FDAD45AEF7D83164BEB7A37

992D434A726B9C50851B809FB95C169B

F33B62D496F58E752BB190296781CFF9

3EAA4C1C6716133612CBA0EA4A6905B5

9A9D01BCB93EF99E1B8EBF727D72E91F

F48AAB23D1DEF618449D705146153966

40E9ED913857D5196368A64D9972FCB8

9EF41A195932EDE4E9E6800E7D272A2E

F59453D2FF8F29617DB23201C568017C

4484EB027D30C4705717CDE931245827

A12EB4CD0CAD629FCE59AE5120B82133

F7CF132313438115B0BBED035078FB1C

476764A1E6E121CF59C7F101F0E14968

A1E60D076CC9488EB7D86BD70FF70154

F8AD6A207BEE8C042220CC52AF2DAC29

4791667A4935718C4A55FA23EB18A520

A2E82ED55692BF64B819117C48F13F62

F8FF494B1C0403C3C99C6D67BEF7069A

48A8E95E79787EB27465AAD52855788A

A3296E4D931583415C2B1B7A68C96508

F93A95668040E143F19F94210CA18D88

4C325C62D2CD9A69AA2CCF920A61B4C1

A3DFD16AC5E2E0343E61E19C13FCFF2B

FA428FEF017B496DCAE6428889114FCC

4E3925ABF0CB66CE4476DFFC41131396

A62DE1A146EEC778344600F8EEE86DA9

FA8C119B3F0B1F9C2AA9F5D8908C9536

4EB6B5F6E3CB72869F29D567AC888C05

A7BF176D5BD80C2AD3815EC41E9BA6E6

FBB0BA6E2E570CA1B4F495F3040B6F6D

50B1E6E24A1DB4D68A2D51BD7115BAA3

A7F58A9D83CA22846282994A0393FB82

FE71389ACD3EE1B42A0895668C73DC21

517822AF63D640DFE8C6590B36AD8F80

A803F9914141F2CA72EB0C2162E2BA36

FE742125449AFABB37B21844171FBC99

51817D6FA9F1BA398176ABE63230568A

A866F515362066AEA4BBEF0B6C1BDB13

FF295CF738DE580E2EE41D0100C848AE

53BADCB66F848805E781716F95CF10AB

AA45A3DFD4E7329DF37D8C74F0DA01B4

FFE598B9C3DE334571881035D478ABE4

AA4774F70E080AB0A33C6B8F83C70589