поговорить о uVS, Carberp, планете Земля

RSS
Обсуждаем Carberp всех модификаций :)


Цитата
;uVS v3.71 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\HOUSE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
bl 6D99C48BBD436116B78A04997D854F57 164352
delall %SystemDrive%\DOCUMENTS AND SETTINGS\HOUSE\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\IGFXTRAY.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
regt 1
regt 2
regt 7
regt 18
deltmp
delnfr
restart
Изменено: Арвид - 22.11.2011 13:07:19
Правильно заданный вопрос - это уже половина ответа

Ответы

Интересная версия майнера: http://www.tehnari.ru/f35/t260881/

C:\WINDOWS\SYSTEM32\найди меня.DLL
:)
Полное имя                  C:\WINDOWS\SYSTEM32\MCICDA64.DLL
Имя файла                   MCICDA64.DLL
Тек. статус                 АКТИВНЫЙ ?ВИРУС? ВНЕДРЯЕМЫЙ DLL в автозапуске
                           
www.virustotal.com          2018-06-15
Symantec                    SecurityRisk.gen1
Kaspersky                   not-a-virus:RiskTool.Win32.BitCoinMiner.jmse
DrWeb                       Tool.BtcMine.1520
Microsoft                   Trojan:Win32/CoinMiner.CY
ESET-NOD32                  a variant of Win64/CoinMiner.IU potentially unwanted
Avast                       MacOS:CpuMeaner-C [PUP]
                           
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ВНЕДРЯЕМЫЙ DLL в автозапуске
File_Id                     5AB603652DE000
Linker                      14.11
Размер                      2990080 байт
Создан                      07.06.2018 в 08:14:53
Изменен                     24.03.2018 в 14:51:00
                           
TimeStamp                   24.03.2018 в 07:51:01
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              +
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Доп. информация             на момент обновления списка
SHA1                        75E432278FF28790661C3D68C67FF7CAB11D50CB
MD5                         C1C3D7DFF98D82F4418BDB8E5DE37CC8
                           
Процессы                    на момент обновления списка
Процесс                     C:\WINDOWS\EXPLORER.EXE
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shel­lExecuteHooks\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}
                           
Ссылка                      HKLM\Software\Classes\CLSID\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}\InprocServer32\
                           
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}
                           
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shel­lIconOverlayIdentifiers\{BFD98515-CD74-48A4-98E2-13D209E3EE4F}\
ChronixX CryptoMiner убивает соперников_"партнеров по майнингу"

https://www.bleepingcomputer.com/news/security/cronix-cryptominer-kills-rivals-to-reign-supreme/

в FRST добавили скриптовую проверку файлов на Вирустотал

Код
CreateRestorePoint:
CloseProcesses:
VirusTotal: C:\ProgramData\mbhelper.exe;C:\Windows\system32\drivers\WinD64.sys;C:\Windows\system32\drivers\WinD64loader.sys;C:\Users\User\AppData\Local\Temp\F891.tmp.exe;C:\Users\User\AppData\Local\Temp\nsw4A4A.tmp\System.dll
FF Plugin-x32: @t.garena.com/garenatalk -> C:\Program Files (x86)\Garena Plus\bbtalk\plugins\npPlugin\npGarenaTalkPlugin.dll [No File]
CHR HKLM\...\Chrome\Extension: [looohgelibjoplmkhecmalapkgadkfcc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [looohgelibjoplmkhecmalapkgadkfcc] - hxxps://clients2.google.com/service/update2/crx


с выводом результата в fixlog:

Цитата
Restore point was successfully created.
Processes closed successfully.
VirusTotal: C:\ProgramData\mbhelper.exe => https://www.virustotal.com/file/8345f6e1d8ce126f21e9bcf6e4d68f4548ccfe24634fbb4a21d­c10ded01b6117/analysis/1538008986/
VirusTotal: C:\Windows\system32\drivers\WinD64.sys => https://www.virustotal.com/file/5e2f7b4bf66c8488b5e45fa6cc4634277d6698efd9f0c484b40­69c5785149f6f/analysis/1508227164/
VirusTotal: C:\Windows\system32\drivers\WinD64loader.sys => https://www.virustotal.com/file/83bfa50a528762ec52a011302ac3874636fb7e26628cd7acfbf­2bdc9faa8110d/analysis/1536868377/
VirusTotal: C:\Users\User\AppData\Local\Temp\F891.tmp.exe => https://www.virustotal.com/file/0ca76058898c0032b16df7f2336aee1a8992cc8c024b1a84f1d­4b0e8d26c1af7/analysis/1534760526/
VirusTotal: C:\Users\User\AppData\Local\Temp\nsw4A4A.tmp\System.dll => (3) Error
"HKLM\Software\Wow6432Node\MozillaPlugins\@t.garena.com/garenatalk" => removed successfully
Первый практический UEFI rootkit
https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-found-wild-courtesy-sednit-group/
Цитата
RP55 RP55 написал:
Первый практический UEFI rootkit https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-found-wild-courtesy-sednit-group/
русский перевод статьи на xakep.ru

Цитата
Эксперты компании ESET рассказали об обнаружении вредоносной кампании, в ходе которой был задействован первый известный руткит для Unified Extensible Firmware Interface (UEFI). Ранее подобное обсуждалось лишь с теоретической точки зрения на ИБ-конференциях.

Исследователи пишут, что руткит для UEFI использует группа ... хакеров, известная под названиями APT28, Sednit, Fancy Bear, Strontium, Sofacy и так далее. По данным компании, зафиксирован как минимум один случай успешного внедрения вредоносного модуля во флеш-память SPI, что гарантирует злоумышленникам не только возможность сохранить присутствие в системе после переустановки ОС, но и после замены жесткого диска.

Для внедрения руткита злоумышленники используют малварь LoJax — «близнеца» легитимного решения LoJack от компании Absolute Software, созданного для защиты устройств от утери и кражи. Этот инструмент встраивается в UEFI и позволяет, к примеру, отслеживать местонахождение устройства или удаленно стереть данные.

Появление вредоносных версий LoJack было замечено аналитиками Arbor Networks еще весной текущего года. Тогда специалисты писали, что преступники незначительно изменили инструмент таким образом, чтобы он связывался с их управляющими серверами, а не с инфраструктурой Absolute Software. Эксперты Arbor Networks называли LoJax «идеальным двойным агентом», так как он может удаленно выполнить произвольный код в системе и практически не отличается от легитимной версии инструмента.

https://xakep.ru/2018/09/28/lojax/
Цитата
Операционная система Windows 10 стала самопроизвольно удалять личные файлы пользователей. Ошибка появилась после масштабного обновления под названием October Update 2018.

https://tvzvezda.ru/news/vstrane_i_mire/content/201810051939-6q0r.htm

Я так думаю дело не в ошибке, а в защите авторских прав.
Только то, что раньше происходило на территории государства разработчика Windows сейчас может происходить и на территории других стан.
Слава Демократии !
Reports are coming in that users are running into many issues after installing the Windows 10 October 2018 update. The biggest problem is that people have found that huge amounts of their documents and other files were deleted after the update was installed.

With the amount of issues that users are currently seeing, it may be wise to defer the installation of this update until Microsoft has had more time to resolve the bugs that users are seeing.  Information on how to do this will be explained at the end of the article.
-------------------
Появляются сообщения о том, что после установки обновления Windows 10 октября 2018 года пользователи сталкиваются со многими проблемами. Самая большая проблема заключается в том, что люди обнаружили, что огромное количество их документов и других файлов было удалено после установки обновления.

С учетом количества проблем, которые пользователи видят в настоящее время, может быть разумным отложить установку этого обновления до тех пор, пока у Microsoft не будет больше времени для устранения ошибок, которые видят пользователи. Информация о том, как это сделать, будет объяснена в конце статьи.

из отзывов пользователей (маты пропущены):
Цитата
Моя папка «Документы» была удалена так, что все мои личные документы (документы Word, электронные таблицы и т. Д.) Исчезли. Это на SSD NVMe с TRIM. Все ушли.
Мои последние резервные копии являются древними.

https://www.bleepingcomputer.com/news/microsoft/missing-files-bugs-reported-after-windows-10-october-2018-update/
Цитата
в FRST добавили скриптовую проверку файлов на Вирустотал
Это уже достаточно давно реализовали.
Цитата
19.08.2017 – Добавлена директива VirusTotal:
Михаил
А здесь у нас WMI...
Давненько не было :)
http://www.tehnari.ru/f35/t261417/
Читают тему (гостей: 4)