Recorteiro: поддельный счёт за свет вырезает окно в настоящий банк

Новый банковский троян Recorteiro атакует клиентов португальских банков, которые работают на Windows. Вредоносное ПО приходит в письмах с поддельными счетами за электричество от имени EnergiaLusa и EDP. Троян крадёт данные входа в банк, а оператор в это время управляет заражённой машиной удалённо.

Описание

Счёт предлагают скачать в ZIP-архиве. Жертва получает вложение и запускает его сама. Внутри лежит командный сценарий для Windows, а не документ, как ожидает получатель. Сценарий запускает PowerShell, а тот разворачивает загрузчик. Дальше загрузчик ставит зашифрованное и подписанное ядро, стирает исходный файл и ждёт команды с сервера управления. Код трояна написан с нуля на Rust.

Главный приём - поддельное полноэкранное окно с уведомлением банка, в котором вырезана область. Сама страница банка остаётся настоящей: подделка лишь дополняет её. Сквозь вырез жертва видит реальную форму и вводит код именно в неё. Подозрений не возникает: вокруг привычный интерфейс кредитной организации. Оператор в это время следит за сессией через WebRTC и управляет компьютером. Для банка такая сессия неотличима от обычного входа с устройства и адреса клиента.

С заражённой машины уходят пароли, cookie, данные банковских карт, история браузера и криптокошелёк. Набор банков задаёт сервер, а не сам образец, поэтому список целей меняется без новой сборки. По данным SI-LAB, в лаборатории в него входили несколько португальских банков, включая Millennium bcp и Santander. Каждый экземпляр ядра уникален по хешу: загрузчик расшифровывает общее ядро и заново штампует его данными машины. Блокировка установленного файла по хешу поэтому бесполезна.

Для закрепления служит задача планировщика с запуском каждые 15 минут, ключ автозапуска в реестре со случайным именем и служба Windows. Удаление скачанного файла и перезагрузка их не отменяют. Ядро проверяет, нет ли на машине виртуальной среды и отладчика, а также 23 инструментов анализа. Антивирусы и EDR оно только перечисляет, отключать их не пытается. Обновления загрузчик принимает по подписи Ed25519 и умеет откатываться на предыдущую версию.

Ядро держит связь с сервером управления через WebSocket поверх TLS. Текущий адрес оно забирает из Supabase, а при недоступности переходит на резервный, прописанный в самом файле. Смена основного домена канал не обрывает. Живое видео и удалённое управление идут через WebRTC и TURN, снимки экрана оператор получает через Cloudflare R2.

Троян устанавливает в браузер расширение WindowsHelpers Browser Verification: оно клонирует сессии, перехватывает формы и может управлять вкладкой. Отдельный модуль обходит Chrome App-Bound Encryption, запуская код внутри настоящего процесса chrome.exe. Отчёт приводит хеши образцов, сетевые артефакты, имена файлов, артефакты хоста и 14 YARA-правил. Сколько счетов уже разослано, кто стоит за кампанией и как долго она идёт, не установлено. Для защиты стоит проверять необычные BAT-файлы в ZIP-архивах, запуск PowerShell с обходом политики, случайные имена в HKCU Run и задачу WinSysMonitor. Полезны и YARA-правила из отчёта: они покрывают загрузчик, ядро, расширение браузера и контейнер WBX1. Эти правила стоит использовать вместе с поведенческим поиском, а не вместо него.

Индикаторы компрометации

IPv4

31.56.19.122
64.89.161.15

Domain

energialusa.com
edp-fatura.accessrdp.digital
ssl.whbridge.com
sv2.whbridge.com
sv1.whbridge.com
windowshelpers.com
v2.windowshelpers.com
xzlixtrtllsbljtupsdn.supabase.co
thumbs.windowshelpers.com
helpdesktopup.com
painel.helpdesktopup.com
api.helpdesktopup.com

URL

https://energialusa.com
https://edp-fatura.accessrdp.digital
https://ssl.whbridge.com/l/LDCdugBE0AoJ/p
https://sv2.whbridge.com/gringo.exe
https://sv1.whbridge.com/agent_6fd26a51.bin
https://sv1.whbridge.com/loader.exe
https://ssl.whbridge.com/l/Q44WFcy69bXu/p
https://sv2.whbridge.com/lyancoder.exe
wss://windowshelpers.com/ws
https://v2.windowshelpers.com
https://windowshelpers.com/relay
https://windowshelpers.com/ext/updates.xml
https://windowshelpers.com/ext/relay.crx
https://xzlixtrtllsbljtupsdn.supabase.co

MD5

7c4bb43c57c3c8d183a110cc1ff1a5a1
022b4aac0cf43f92ffba81812c27279b
5d46e341b8ab807f3ad9ea37ab1a8001
b7e54d2544a8f947d33463bc6f7b4fca
e256797d10d48d6b49b757f837a7c495
4901bbcfd1cc1b6e82a01962335527df
d5883cdba637f5d56c999f835fd3c838
0cc8c2afd929925be2ad1ed1b8a163fe
42f57c61202ea349d5943cc8dee82060
0a968eaf63e0af2ff9e5ddf0950e3d4d
66e78b2f50e3abea752c0c75c93658d2
a3a868a543fb154e89f43c0d1a695524
2bffbd832a55e275539e203bc4f3ab20
d0a781ea25f90b0a18edfd65e9126a10
34979e9035997a99f7815e7b5a016174
004d6deb89a9bdade98e8b44c678b792
716773db3295d22200d68ee32b4f20f7
2ccbac8ad3849250c949f875b146e3ce
e3d133664fe6bcc14daf8a0a098291fd
92c85235a800b4a63e0de75e0a0e95bd
f7bda1fc169c1b71bf679cf42a9631d0
764c449a8df853dddadac73b6f024c90
6f668464e8824b09bf06e175899888fb
050e3101d62beba39ba57734a780b985
caaf5b4dbab2359b8d3a8040fb4a4e88
9baa6c9ab82e558d6b0797b6a7940f15
185f6281568792865e48e556658c8745
a5e511fc6abcd24af686a467aa1fe3f5
48dba9b2885813bdd8290e2fe58b1b57
27716aa7365ecd90a800585f94f04bbe
e04d927707b7e15396a1a5cd8243db06
7bfd5336cb74b3287d1ac46f14ca4403
7806c85333385e92707d2061401da2b0
5e2004657c6e4ad6e8a4d28932ef84d0
0fd3f324cd45a3f9652717b9ce549231

SHA256
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Mutex

Global\WHBridgeSingleton

Filename

Fatura-N9588.zip
Fatura-N1408.bat
gringo.exe
agent_6fd26a51.bin
WHCore.exe
chrome_key_helper.dll
libx264-164.dll
relay.crx
appruntime.exe
Fatura-N2014.zip
Fatura-N2014.bat
ld.ps1
RuntimeLauncher.exe
loader.exe
lyancoder.exe
WHBridge-672c94832cb6.zip
WHBridge.exe
app.zip
app.exe

Scheduled Task

WinSysMonitor

Code String

bneiakhcpdbpeclipnlkdeloomegfkoe

YARA

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

282

283

284

285

286

287

288

289

290

291

292

293

294

295

296

297

298

299

300

301

302

303

304

305

306

307

308

309

310

311

312

313

314

315

316

317

318

319

320

321

322

323

324

325

326

327

328

329

330

331

332

333

334

335

336

337

338

339

340

341

342

343

344

345

346

347

348

349

350

351

352

353

354

355

356

357

358

359

360

361

362

363

364

365

366

367

368

369

370

371

372

373

rule WHCore_Loader_RuntimeLauncher

{

meta:

description = "Recorteiro Rust loader 'WindowsHelpers Remote Support Launcher' (RuntimeLauncher.exe) with the builder's MINT/REFSLOT slots"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash1 = "aad36faec050acd5cf6dc76d588f204bdb4b9e25f7577d0a1444d433eddc201b"

reference_hash2 = "6373bdb4ea0bf0f3bdf699d4617165ac395c0b667bc3f4a666e6c6ea6955d6c1"

reference_hash3 = "9e08198da4be32232c736c861fe13740b639ff6af678d81a79a4e96bd7e776d1"

strings:

$mint1 = "MINTKEY" ascii

$mint2 = "MINTPAD" ascii

$mint3 = "MINTSLOT" ascii

$ref = "REFSLOT" ascii

$sec1 = ".rdata$zzz_mint_key" ascii

$sec2 = ".rdata$zzz_ref_slot" ascii

$pt1 = "agent ja em execucao pid=" ascii

$pt2 = "maintenance: payload rejeitado (assinatura)" ascii

$pt3 = "sig_invalid: assinatura nao confere" ascii

$pt4 = "rollback_prev: exe restaurado de .prev" ascii

$pt5 = "HKCU Run divergente: esperado" ascii

$words = "AmberAspenAtlasBasilBeaconBirchBrook" ascii

$wbx = "WBX1" ascii

$vi1 = "WindowsHelpers Remote Support Launcher" wide

$vi2 = "RuntimeLauncher.exe" wide

$dev = "C:\\Users\\lyanCoder\\" ascii

// bootstrap strings confirmed in the loader's own log (lab)

$boot1 = "loader ja ativo; saindo sem respawnar nem encerrar o agent" ascii

$boot2 = "boot_retry: nenhum agent spawnavel" ascii

$boot3 = "dependency missing_or_invalid:" ascii

$boot4 = "w_agent_fetch" ascii

condition:

uint16(0) == 0x5A4D and

(

(3 of ($mint*, $ref, $sec*)) or

(3 of ($pt*)) or

($words and 1 of ($pt*)) or

(all of ($vi*) and ($wbx or $dev)) or

(2 of ($boot*))

)

}

rule WHCore_Loader_Overlay_DecoyZip

{

meta:

description = "Recorteiro loader overlay: stored ZIP with decoy files (Application.Bridge.Updater manifest + strings.bin)"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

strings:

$a = "Application.Bridge.Updater" ascii

$b = "# Application Bridge Updater" ascii

$c = "strings.bin" ascii

$d = "theme.json" ascii

$e = "Copyright (c) 20" ascii

condition:

uint16(0) == 0x5A4D and

pe.overlay.size > 10000 and

uint32(pe.overlay.offset) == 0x04034B50 and

$a in (pe.overlay.offset..pe.overlay.offset + pe.overlay.size) and

$b and $c and $d and $e

}

rule WHCore_Core_RAT

{

meta:

description = "Recorteiro core banking RAT 'WindowsHelpers Remote Support Core' (WHCore.exe)"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash = "0bfe1e434a86fd79d1691a6adfc982a298f1deca27c3fed984e3d703c3fa2afd" // installed (unique per victim)

reference_hash_cdn = "2831d41fd7f3b41751f8237322e03b4310b4e155ff9f78ba23553bc172eaac28" // canonical PE decrypted from WBX1

strings:

$key = "cfg-vault-v1-whcore-build-key!!!" ascii

$key2 = "ckh-embed-v1-chrome-key-helper!!" ascii

$sd1 = "WHCore::server_discovery" ascii

$sd2 = "/rest/v1/server_config?select=url&id=eq.1&limit=1" ascii

$sd3 = "server_discovery: Supabase indispon" ascii

$m1 = "src\\chrome_key\\manual_map.rs" ascii

$m2 = "src\\screen_overlay\\manager.rs" ascii

$m3 = "src\\plugins\\wallet_grabber.rs" ascii

$m4 = "src\\wallet_unlock_capture.rs" ascii

$m5 = "src\\input_lock.rs" ascii

$m6 = "src\\ext_policy.rs" ascii

$ov1 = "form_recort_exchange" ascii

$ov2 = "seu banco online" ascii

$ov3 = "__rwr_recort_close_veil" ascii

$ext1 = "WindowsHelpers Browser Verification" ascii

$ext2 = "windowshelpers.com/ext/updates.xml" ascii

$task = "task insurance criada via COM" ascii

$vi = "WindowsHelpers Remote Support Core" wide

$ag1 = "AGKEY001" ascii

$ag2 = "AGMINTPD" ascii

condition:

uint16(0) == 0x5A4D and

(

$key or $key2 or

(all of ($ag*) and ($vi or 1 of ($m*))) or

2 of ($sd*) or

(4 of ($m*)) or

(2 of ($ov*) and 1 of ($ext*, $vi, $task))

)

}

rule WHCore_Browser_Extension_Relay

{

meta:

description = "Recorteiro MV3 browser extension 'WindowsHelpers Browser Verification' (relay/shield/clone): loose files, CRX or embedded"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

extension_id = "bneiakhcpdbpeclipnlkdeloomegfkoe"

reference_hash = "467be164302d71b5bc77abca5798452a7e2c5d70faf3d7bd990f42d461b62be0"

strings:

$n1 = "WindowsHelpers Browser Verification" ascii

$n2 = "Verifica compatibilidade do navegador com o suporte remoto" ascii

$s1 = "relay-shield-root" ascii

$s2 = "relay:curtain:template" ascii

$s3 = "\"clone.export\"" ascii

$s4 = "\"cdp.send\"" ascii

$s5 = "/ws/agent" ascii

$s6 = "__arena" ascii

$s7 = "100.83.94.82:8790" ascii

$s8 = "relay-keepalive" ascii

$s9 = "Atualizando o navegador" ascii

$crx = { 43 72 32 34 03 00 00 00 }

// crx_id (16 bytes) of bneiakhcpdbpeclipnlkdeloomegfkoe in the CRX3 header SignedData

$crxid = { 1d 48 0a 72 f3 1f 42 b8 fd ba 34 be ec 46 5a e4 }

condition:

filesize < 30MB and

(

(1 of ($n*) and 2 of ($s*)) or

4 of ($s*) or

($crx at 0 and $crxid in (0..2048))

)

}

rule WHCore_Stage1_BAT_Downloader

{

meta:

description = "Stage 1 invoice BAT: curl to /l/<id>/p with e?t=s / e?t=x telemetry"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash = "f9279e504cc44524d610e8203e2bb9ae8a871803350289da50dbbc9aefaf5191"

strings:

$a = "start \"\" /min cmd /c \"%~f0\" m" ascii nocase

$b = "/e?t=s" ascii

$c = "/e?t=x" ascii

$d = "powershell -NoP -EP Bypass -File" ascii nocase

$e = "%TEMP%\\ld%RANDOM%.ps1" ascii nocase

$f = "whbridge.com/l/" ascii nocase

condition:

filesize < 10KB and

(

($f and 1 of ($a, $d, $e)) or

($a and $b and $c and $d)

)

}

rule WHCore_Stage2_PS_Dropper

{

meta:

description = "Stage 2 PowerShell dropper (decrypted layer): AppCache\\upd_*.exe, NSIS/Inno silent switches, e?t=d telemetry"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash = "2462870dfb749b3e3c2ac91e5e49f82cbfc7401978c53055fbdfb19b541803b1"

strings:

$a = "C:\\Users\\Public\\AppCache" ascii nocase

$b = "/S /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-" ascii

$c = "'upd_{0}.exe'" ascii

$d = "Note 'origem ok'" ascii

$e = "Sync 'd'" ascii

$f = "realocado" ascii

$g = "whbridge.com" ascii nocase

condition:

filesize < 50KB and 4 of them

}

rule WHCore_Stage2_PS_AESWrapper

{

meta:

description = "Stage 2 PowerShell wrapper: Base64 -> AES-CBC -> iex (generic, check for false positives)"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

strings:

$a = "[Security.Cryptography.Aes]::Create()" ascii nocase

$b = "[Security.Cryptography.CipherMode]::CBC" ascii nocase

$c = "CreateDecryptor()" ascii nocase

$d = "TransformFinalBlock(" ascii nocase

$e = "[Text.Encoding]::UTF8.GetString(" ascii nocase

$f = /;iex \$[a-z]{2,4}\s*$/ ascii

condition:

filesize < 20KB and all of them

}

rule WHCore_WBX1_Payload_Container

{

meta:

description = "WBX1 container served by sv1.whbridge.com (agent_*.bin): 'WBX1' | 16-byte IV | AES-256-CTR(MINTKEY, core PE)"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash = "8cc43499688713769ad43443a37b770002468940514ad2f46af7b570a3df7fb2"

condition:

uint32(0) == 0x31584257 and // "WBX1"

filesize > 1MB and filesize < 64MB and

uint16(0) != 0x5A4D and

math.entropy(20, 4096) > 7.9

}

rule WHCore_ChromeKeyHelper_DLL

{

meta:

description = "chrome_key_helper.dll: App-Bound Encryption bypass helper (runs inside a suspended chrome.exe; embedded encrypted in the core or delivered via ck_mod). Useful on memory dumps and C2-delivered variants"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash = "771c21173f995c1307c1df02cd014b2f903451f40caea16388c640cad79baaf6"

strings:

$e1 = "CKH_PIPE" ascii

$e2 = "CKH_BROWSER" ascii

$s1 = "chrome-key-helper/src/win_impl.rs" ascii

$s2 = "chrome_key_helper.dll" ascii

$s3 = "CKH_PIPE missing" ascii

$s4 = "pipe_connect_timeout" ascii

$s5 = "no_iface:hr=0x" ascii

$s6 = "decrypt_fail:hr=0x" ascii

$s7 = "edgebravebetaavastchrome" ascii

condition:

filesize < 20MB and

((all of ($e*) and 2 of ($s*)) or 4 of ($s*))

}

rule WHCore_Core_ABE_Module

{

meta:

description = "Core chrome_key module: encrypted ABE helper (ChaCha20), ckh_ pipe, suspended chrome.exe --no-startup-window + manual map with entry-point stub"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

strings:

$k1 = "ckh-embed-v1-chrome-key-helper!!" ascii

$k2 = "ckh-nonce!" ascii

$p = "\\\\.\\pipe\\ckh_" ascii

$c = "\" --no-startup-window" ascii

$m1 = "map:child_not_mz" ascii

$m2 = "map:sleep_missing" ascii

$m3 = "mod_key_b64" ascii

$m4 = "elevator_fallback_ok" ascii

$m5 = "helper_nao_conectou" ascii

$clsid_chrome = { E0 60 88 70 41 F6 11 46 88 95 7D 86 7D D3 67 5B }

$iid_ielev = { CF BE 3A 46 0D 41 7F 40 8A F5 0D F3 5A 00 5C C8 }

$clsid_edge = { 6C E9 CB 1F 97 16 AF 43 91 40 28 97 C7 C6 97 67 }

condition:

uint16(0) == 0x5A4D and

(

1 of ($k*) or

($p and 2 of ($m*)) or

(2 of ($clsid*, $iid_ielev) and $c and 1 of ($m*))

)

}

rule WHCore_Core_SecurePrefs_Tamper

{

meta:

description = "Core ext_prefs module: recomputes Secure Preferences protection.macs/super_mac to enable extension bneiakhcpdbpeclipnlkdeloomegfkoe"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

strings:

$seed = "e748f336d85ea5f9dcdf25d8f347a65b4cdf667600f02df6724a2af18a212d26b788a25086910cf3a90313696871f3dc05823730c91df8ba5c4fd9c884b505a8" ascii

$a1 = "json sem containers vazios" ascii

$a2 = "json completo (build antigo)" ascii

$a3 = "protection.macs.extensions.settings ausente" ascii

$a4 = "super_encrypted_hash" ascii

$a5 = "[ext_prefs] " ascii

$a6 = "perfil(is) com extens" ascii

$id = "bneiakhcpdbpeclipnlkdeloomegfkoe" ascii

condition:

uint16(0) == 0x5A4D and

(3 of ($a*) or ($seed and ($id or 1 of ($a*))))

}

rule WHCore_Core_Overlay_LiveHole

{

meta:

description = "Core fraud overlay: 'Recort' card with a hole over the real bank window (live hole), blurred screenshot background, excluded from capture"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

strings:

$h1 = "recort-hole-body" ascii

$h2 = "form-recort-layer" ascii

$h3 = "__rwr_opaque_cover" ascii

$h4 = "__rwr_recort_close_veil" ascii

$h5 = "__rwr_bg_shot" ascii

$h6 = "window.__QR_IMAGE__" ascii

$h7 = "__RWR_READY_GENERATION__" ascii

$t1 = "Recort centralizado" ascii

$t2 = "volte a navega" ascii

$t3 = "overlay no v" ascii

$api = "SetWindowDisplayAffinity" ascii

condition:

uint16(0) == 0x5A4D and (4 of ($h*) or (2 of ($h*) and 1 of ($t*) and $api))

}

rule WHCore_AppRT_Updater

{

meta:

description = "'apprt_helper' component (appruntime.exe): updater/persistence; downloads from helpdesktopup.com; Run value 'AppRuntime'"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

reference_hash = "a04016cd45c4346042a1e10c8a5bdb8c1894db91172dab9d8c6277ed70372f8c"

strings:

$pdb = "apprt_helper.pdb" ascii

$src = "src\\updater.rs" ascii

$e1 = "APPRT_LOADER_PATH" ascii

$e2 = "APPRT_REFERENCE" ascii

$f1 = "appruntime.exe" ascii

$f2 = "appruntime2.exe" ascii

$dom = "helpdesktopup.com" ascii

$run = "AppRuntime" ascii

$tmp = "update.tmp" ascii

condition:

uint16(0) == 0x5A4D and

(

1 of ($pdb, $src) or

($dom and 1 of ($e*, $f*)) or

(3 of ($e*, $f*, $run, $tmp))

)

}

rule WHCore_Core_C2_Protocol

{

meta:

description = "Recorteiro C2 protocol (confirmed in live traffic): target sync, surveillance and remote-control messages. Useful on the core PE and memory dumps"

author = "SI-LAB - https://seguranca-informatica.pt"

last_updated = "2026-11-04"

tlp = "white"

category = "malware"

strings:

$c1 = "keywords_sync" ascii

$c2 = "wallet_apps_sync" ascii

$c3 = "active_window_update" ascii

$c4 = "agent_runtime_metrics" ascii

$c5 = "screenshot_preview" ascii

$c6 = "sfu_publish_offer" ascii

$c7 = "agent_about_to_be_detected" ascii

$c8 = "av_inventory" ascii

$c9 = "whClientId" ascii

$c10 = "agent_banned" ascii

$c11 = "OverlayTemplateList" ascii

condition:

4 of them

}