Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Центр вирусных исследований и аналитики Обнаружение вредоносного кода и ложные срабатывания

поговорить о uVS, Carberp, планете Земля

RSS
 
Арвид
Арвид
Пользователь
Сообщений: 6770
Баллов: 5416
Регистрация: 12.09.2011
Размещено 21.11.2011 19:06:42
Обсуждаем Carberp всех модификаций :)


Цитата
;uVS v3.71 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\HOUSE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
bl 6D99C48BBD436116B78A04997D854F57 164352
delall %SystemDrive%\DOCUMENTS AND SETTINGS\HOUSE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
regt 1
regt 2
regt 7
regt 18
deltmp
delnfr
restart
Изменено: Арвид - 22.11.2011 13:07:19
Правильно заданный вопрос - это уже половина ответа

Ответы

Пред. 1 ... 143 144 145 146 147 ... 167 След.
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6239
Баллов: 4991
Регистрация: 25.05.2010
Размещено 04.09.2018 19:30:57
Интересная версия майнера: http://www.tehnari.ru/f35/t260881/

C:\WINDOWS\SYSTEM32\найди меня.DLL
:)
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 05.09.2018 08:53:15
Полное имя                  C:\WINDOWS\SYSTEM32\MCICDA64.DLL
Имя файла                   MCICDA64.DLL
Тек. статус                 АКТИВНЫЙ ?ВИРУС? ВНЕДРЯЕМЫЙ DLL в автозапуске
                           
www.virustotal.com          2018-06-15
Symantec                    SecurityRisk.gen1
Kaspersky                   not-a-virus:RiskTool.Win32.BitCoinMiner.jmse
DrWeb                       Tool.BtcMine.1520
Microsoft                   Trojan:Win32/CoinMiner.CY
ESET-NOD32                  a variant of Win64/CoinMiner.IU potentially unwanted
Avast                       MacOS:CpuMeaner-C [PUP]
                           
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ВНЕДРЯЕМЫЙ DLL в автозапуске
File_Id                     5AB603652DE000
Linker                      14.11
Размер                      2990080 байт
Создан                      07.06.2018 в 08:14:53
Изменен                     24.03.2018 в 14:51:00
                           
TimeStamp                   24.03.2018 в 07:51:01
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              +
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Доп. информация             на момент обновления списка
SHA1                        75E432278FF28790661C3D68C67FF7CAB11D50CB
MD5                         C1C3D7DFF98D82F4418BDB8E5DE37CC8
                           
Процессы                    на момент обновления списка
Процесс                     C:\WINDOWS\EXPLORER.EXE
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shel­lExecuteHooks\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}
                           
Ссылка                      HKLM\Software\Classes\CLSID\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}\InprocServer32\
                           
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}
                           
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shel­lIconOverlayIdentifiers\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}\
[ Как создать образ автозапуска? ]
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 06.09.2018 14:25:55
ChronixX CryptoMiner убивает соперников_"партнеров по майнингу"

https://www.bleepingcomputer.com/news/security/cronix-cryptominer-kills-rivals-to-reign-supreme/

[ Как создать образ автозапуска? ]
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 28.09.2018 09:44:18
в FRST добавили скриптовую проверку файлов на Вирустотал

Код
CreateRestorePoint:
CloseProcesses:
VirusTotal: C:\ProgramData\mbhelper.exe;C:\Windows\system32\drivers\WinD64.sys;C:\Windows\system32\drivers\WinD64loader.sys;C:\Users\User\AppData\Local\Temp\F891.tmp.exe;C:\Users\User\AppData\Local\Temp\nsw4A4A.tmp\System.dll
FF Plugin-x32: @t.garena.com/garenatalk -> C:\Program Files (x86)\Garena Plus\bbtalk\plugins\npPlugin\npGarenaTalkPlugin.dll [No File]
CHR HKLM\...\Chrome\Extension: [looohgelibjoplmkhecmalapkgadkfcc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [looohgelibjoplmkhecmalapkgadkfcc] - hxxps://clients2.google.com/service/update2/crx


с выводом результата в fixlog:

Цитата
Restore point was successfully created.
Processes closed successfully.
VirusTotal: C:\ProgramData\mbhelper.exe => https://www.virustotal.com/file/8345f6e1d8ce126f21e9bcf6e4d68f4548ccfe24634fbb4a21d­c10ded01b6117/analysis/1538008986/
VirusTotal: C:\Windows\system32\drivers\WinD64.sys => https://www.virustotal.com/file/5e2f7b4bf66c8488b5e45fa6cc4634277d6698efd9f0c484b40­69c5785149f6f/analysis/1508227164/
VirusTotal: C:\Windows\system32\drivers\WinD64loader.sys => https://www.virustotal.com/file/83bfa50a528762ec52a011302ac3874636fb7e26628cd7acfbf­2bdc9faa8110d/analysis/1536868377/
VirusTotal: C:\Users\User\AppData\Local\Temp\F891.tmp.exe => https://www.virustotal.com/file/0ca76058898c0032b16df7f2336aee1a8992cc8c024b1a84f1d­4b0e8d26c1af7/analysis/1534760526/
VirusTotal: C:\Users\User\AppData\Local\Temp\nsw4A4A.tmp\System.dll => (3) Error
"HKLM\Software\Wow6432Node\MozillaPlugins\@t.garena.com/garenatalk" => removed successfully
[ Как создать образ автозапуска? ]
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6239
Баллов: 4991
Регистрация: 25.05.2010
Размещено 30.09.2018 00:17:17
Первый практический UEFI rootkit
https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-found-wild-courtesy-sednit-group/
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 05.10.2018 06:03:15
Цитата
RP55 RP55 написал:
Первый практический UEFI rootkit https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-found-wild-courtesy-sednit-group/
русский перевод статьи на xakep.ru

Цитата
Эксперты компании ESET рассказали об обнаружении вредоносной кампании, в ходе которой был задействован первый известный руткит для Unified Extensible Firmware Interface (UEFI). Ранее подобное обсуждалось лишь с теоретической точки зрения на ИБ-конференциях.

Исследователи пишут, что руткит для UEFI использует группа ... хакеров, известная под названиями APT28, Sednit, Fancy Bear, Strontium, Sofacy и так далее. По данным компании, зафиксирован как минимум один случай успешного внедрения вредоносного модуля во флеш-память SPI, что гарантирует злоумышленникам не только возможность сохранить присутствие в системе после переустановки ОС, но и после замены жесткого диска.

Для внедрения руткита злоумышленники используют малварь LoJax — «близнеца» легитимного решения LoJack от компании Absolute Software, созданного для защиты устройств от утери и кражи. Этот инструмент встраивается в UEFI и позволяет, к примеру, отслеживать местонахождение устройства или удаленно стереть данные.

Появление вредоносных версий LoJack было замечено аналитиками Arbor Networks еще весной текущего года. Тогда специалисты писали, что преступники незначительно изменили инструмент таким образом, чтобы он связывался с их управляющими серверами, а не с инфраструктурой Absolute Software. Эксперты Arbor Networks называли LoJax «идеальным двойным агентом», так как он может удаленно выполнить произвольный код в системе и практически не отличается от легитимной версии инструмента.

https://xakep.ru/2018/09/28/lojax/
[ Как создать образ автозапуска? ]
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6239
Баллов: 4991
Регистрация: 25.05.2010
Размещено 05.10.2018 21:44:50
Цитата
Операционная система Windows 10 стала самопроизвольно удалять личные файлы пользователей. Ошибка появилась после масштабного обновления под названием October Update 2018.

https://tvzvezda.ru/news/vstrane_i_mire/content/201810051939-6q0r.htm

Я так думаю дело не в ошибке, а в защите авторских прав.
Только то, что раньше происходило на территории государства разработчика Windows сейчас может происходить и на территории других стан.
Слава Демократии !
 
santy
santy
Администратор
Сообщений: 17977
Баллов: 28762
Регистрация: 16.03.2010
Размещено 06.10.2018 07:32:18
Reports are coming in that users are running into many issues after installing the Windows 10 October 2018 update. The biggest problem is that people have found that huge amounts of their documents and other files were deleted after the update was installed.

With the amount of issues that users are currently seeing, it may be wise to defer the installation of this update until Microsoft has had more time to resolve the bugs that users are seeing.  Information on how to do this will be explained at the end of the article.
-------------------
Появляются сообщения о том, что после установки обновления Windows 10 октября 2018 года пользователи сталкиваются со многими проблемами. Самая большая проблема заключается в том, что люди обнаружили, что огромное количество их документов и других файлов было удалено после установки обновления.

С учетом количества проблем, которые пользователи видят в настоящее время, может быть разумным отложить установку этого обновления до тех пор, пока у Microsoft не будет больше времени для устранения ошибок, которые видят пользователи. Информация о том, как это сделать, будет объяснена в конце статьи.

из отзывов пользователей (маты пропущены):
Цитата
Моя папка «Документы» была удалена так, что все мои личные документы (документы Word, электронные таблицы и т. Д.) Исчезли. Это на SSD NVMe с TRIM. Все ушли.
Мои последние резервные копии являются древними.

https://www.bleepingcomputer.com/news/microsoft/missing-files-bugs-reported-after-windows-10-october-2018-update/
[ Как создать образ автозапуска? ]
 
mike 1
mike 1
Пользователь
Сообщений: 142
Баллов: 113
Регистрация: 10.06.2011
Размещено 06.10.2018 16:37:31
Цитата
в FRST добавили скриптовую проверку файлов на Вирустотал
Это уже достаточно давно реализовали.
Цитата
19.08.2017 – Добавлена директива VirusTotal:
Михаил
 
RP55 RP55
RP55 RP55
Пользователь
Сообщений: 6239
Баллов: 4991
Регистрация: 25.05.2010
Размещено 19.10.2018 22:20:27
А здесь у нас WMI...
Давненько не было :)
http://www.tehnari.ru/f35/t261417/
 
Пред. 1 ... 143 144 145 146 147 ... 167 След.
Читают тему