Нашли Win32/Exploit.CVE-2017-0147.A

1
RSS
Есть отдельный комп с WIN 7
ESSET  обнаружил    Win32/Exploit.CVE-2017-0147.A
Накатили СП 1 и заплатку из КВ 4012212
перегрузили
Сделал файл образа автозапуска  по инструкции
http://forum.esetnod32.ru/forum9/topic2687/

сам файл здесь  http://rgho.st/6v7yRDWQD
Сейчас запустил полное сканирование.
За результатом отпишусь
комп не в интернете а локальной сети
Проверьте пожалуйста  Что у нас не так.
Спасибо

Проверка ничего не обнаружила  Чисто.
Изменено: Kostik Likov - 30.05.2018 15:46:49 (завершили проверку)
java лучше деинсталлировать, если не используется (оч. устаревшая версия), или обновить до актуальной версии.

судя по образу ничего серьезного не попало вместе с эксплойтом, т.е. он был прибит до выполнения полезной нагрузки.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код

;uVS v4.0.12 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

apply

; Java(TM) 6 Update 23
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216023FF} /quiet
deltmp
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %Sys32%\DRIVERS\RDVGKMD.SYS
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\[CLSID]
delref {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBC}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref {D27CDB6E-AE6D-11CF-96B8-444553540000}\[CLSID]
delref %Sys32%\DRIVERS\TSUSBHUB.SYS
delref %Sys32%\BLANK.HTM
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\PROGRAM FILES\WINPCAP\RPCAPD.INI
delref %Sys32%\DRIVERS\SYNTH3DVSC.SYS
delref %Sys32%\PSXSS.EXE
delref %Sys32%\SHAREMEDIACPL.CPL
delref {427F5631-44BE-45D4-8094-AC7ABA0FF83D}\[CLSID]
delref {8658A9E4-3812-49D2-9654-278645E2ABA5}\[CLSID]
delref {8E4BEB46-C00F-4719-AD49-E75E839C6889}\[CLSID]
delref {935D9903-1FAB-4F46-B7F7-1AAF606DAFD7}\[CLSID]
delref {97E289A5-C277-4114-8F3A-DAC14CFB7777}\[CLSID]
delref {DB7ACFA2-9634-4C98-BC9D-FB9416153022}\[CLSID]
delref {FF7422A6-9167-45B2-B13C-C186FE778ECA}\[CLSID]
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/
Ок!
Спасибо.
Сделаем.
П,С,   А из логов ESET  нельзя выдрать почему был алярм на  
C:\WINDOWS\mssecsvc.exe;Win32/Exploit.CVE-2017-0147.A   ? Источник найти?
Изменено: Kostik Likov - 30.05.2018 15:54:51
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

источник - это внешняя сеть, из которой атакуется ваша система с использованием уязвимости системных служб.
этот файл и есть полезная нагрузка для эксплойта
C:\WINDOWS\mssecsvc.exe
в случае его запуска через этот файлик начнется подгружаться "спецназ" в виде шифратора WNCRY или червя с функцией майнера или т.п.
1
Читают тему (гостей: 1)