http://forum.esetnod32.ru Новое в теме поговорить о uVS, Carberp, планете Земля форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Tue, 14 Apr 2026 04:37:21 +0300 поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
Это как: Кто кинул кирпич ? Кирпич кинул приличный человек... А, тогда всё в порядке  
=============
Да, примерно так
11.11.2023 06:15:32, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116783/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116783/ Sat, 11 Nov 2023 06:15:32 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
HJ можно списать после такого детекта:
=============

Да... Но и так видно что к чему. :)
cyberforum.ru/viruses/thread3138827.html

Может и "дойдёт" до разработчиков...

O22 - Tasks: BNVT - C:\Users\Computer\AppData\Local\Programs\Python\Python36-32\pythonw.exe C:\Users\Computer\AppData\Local\KEIYY\WJKVQ.py YdzXkne (sign: 'Python Software Foundation')

Это как: Кто кинул кирпич ? Кирпич кинул приличный человек... А, тогда всё в порядке  ;)
09.11.2023 17:51:27, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116780/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116780/ Thu, 09 Nov 2023 17:51:27 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
Task: {28A5D6E2-3727-427F-BC4E-197B719C56E1} - System32\Tasks\idsTYKIuEeScJ2 => C:\WINDOWS\system32\forfiles.exe [52224 2019-12-07] (Microsoft Windows -> Microsoft Corporation) -> /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\KpUghsKSmazBhIVB\xKdWkBL.wsf^""
=============

HJ можно списать после такого детекта:
O22 - Tasks: idsTYKIuEeScJ2 - C:\WINDOWS\system32\forfiles.exe /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\KpUghsKSmazBhIVB\xKdWkBL.wsf^"" (sign: 'Microsoft')
Но без образа все это скучно смотреть.
09.11.2023 14:52:30, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116779/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116779/ Thu, 09 Nov 2023 14:52:30 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Какая животинка попалась:)
В лучших народных традициях.
cyberforum.ru/viruses/thread3138376.html


Task: {28A5D6E2-3727-427F-BC4E-197B719C56E1} - System32\Tasks\idsTYKIuEeScJ2 => C:\WINDOWS\system32\forfiles.exe [52224 2019-12-07] (Microsoft Windows -> Microsoft Corporation) -> /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\KpUghsKSmazBhIVB\xKdWkBL.wsf^""

Task: {36503BAA-F523-477A-B7F7-235DB89E9CDC} - System32\Tasks\JpMmcIagcMrZpWo2 => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\EOMtMqbsU\zYbGfY.dll",#1 <==== ВНИМАНИЕ

Task: {B8030E0F-2A57-4AC8-9777-D0F79BEFD6CA} - System32\Tasks\LgbpwhkWwbNUgYnUN2 => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\MlhNYgvbxCfaQqDDSLR\yrxBvjn.dll",#1 <==== ВНИМАНИЕ

Task: {2E35A15A-A915-4138-927C-B12D86067109} - System32\Tasks\lkpLByDsYAZndVnHh2 => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\osvzUzzULckpsZKDjNR\vtfEPHc.dll",#1 <==== ВНИМАНИЕ

Task: {766772D7-FA5A-4CAB-83AB-15C85659E4AF} - System32\Tasks\vzpaFkmsyDMLNV => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\DTTEryjdJQWU2\DvxjyCdGyIWab.dll",#1 <==== ВНИМАНИЕ

Task: {C2EABD27-9011-4CFC-9AA5-7F4D56E56A0C} - System32\Tasks\wCLjlCDDptIPuqAiJNn2 => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\VJFuhfjcXBtpC\AUdaytf.dll",#1 <==== ВНИМАНИЕ

Task: {7B46A91B-FF15-4046-9339-22A88C8F0BCB} - System32\Tasks\xoqaKKiQlDbilCe => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\cdsQlFJCU\lbqapi.dll",#1 <==== ВНИМАНИЕ

Task: {26E3CB66-C447-46C2-9DD7-FE13EAE7ABD4} - System32\Tasks\YwJpGkkqmEHgH2 => C:\WINDOWS\system32\forfiles.exe [52224 2019-12-07] (Microsoft Windows -> Microsoft Corporation) -> /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\RiOIlCLDtCdFBbVB\HVYwbuB.wsf^""

Task: {783D9AE4-5670-4045-BE79-AABFE24275BE} - System32\Tasks\zOYapUfeYLvVw2 => C:\WINDOWS\system32\forfiles.exe [52224 2019-12-07] (Microsoft Windows -> Microsoft Corporation) -> /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\ujhWabTdVbexiIVB\nQRsNbJ.wsf^""

Task: {30B5511C-F4AC-46E5-B07E-D6BA7CF9C00C} - System32\Tasks\ZSJMphjpRdLNJLj2 => C:\WINDOWS\system32\rundll32.exe [71680 2023-10-13] (Microsoft Windows -> Microsoft Corporation) -> "C:\Program Files (x86)\bLTyexJvU\vjCGIa.dll",#1 <==== ВНИМАНИЕ
08.11.2023 13:55:50, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116768/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116768/ Wed, 08 Nov 2023 13:55:50 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
FRST после успешного запуска удаляет строку блокировки FRST64.exe

====quote====
HKU\S-1-5-21-3788994120-2036808167-1479317438-1001\...\Policies\Explorer\DisallowRun: [16] FRST64.exe => успешно удалены
=============

10.10.2023 16:01:21, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116645/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116645/ Tue, 10 Oct 2023 16:01:21 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
К блокировке запуска установщиков и путей установки антивирусов добавилось блокировка записи данных в реестре.
Последняя выполняется, скорее всего другим зловредом. (Не Microsofthost.exe)
Предположительно, майнером, который маскируется под апдейтер Google Chrome.
Из активных зловредов в системе был файл, запускаемый через задачу

C:\PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE

https://www.virustotal.com/gui/file/6e9b3d4db604e79c053e69230ba3fe2981a045796566f72­9c5dd782322d8ff2b/behavior


====quote====
Полное имя                  C:\PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE
Имя файла                   UPDATER.EXE
Тек. статус                 ВИРУС в автозапуске
                           
Обнаруженные сигнатуры      
Сигнатура                   Win64/GenKryptik.GIIA (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2023-08-28
                           
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
File_Id                     647305189F0000
Linker                      2.38
Размер                      10381312 байт
Создан                      04.06.2023 в 12:10:53
Изменен                     16.06.2023 в 18:07:21
                           
TimeStamp                   28.05.2023 в 07:39:04
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Версия файла                70,0,3538,110
Описание                    Google Chrome
Производитель               Google Inc.
                           
Доп. информация             на момент обновления списка
SHA1                        F646E84DC91A32D2C06CC36E6FC7DF1F6C3D0D87
MD5                         CBF41D5AA487E94FE7F1DBF6C1AE2ABB
                           
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\GOOGLEUPDATETASKMACHINEQC
Task                        \GoogleUpdateTaskMachineQC
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{88932E95-EB12-423E-8FEB-B562CDB83B62}\Actions
Actions                     "C:\Program Files\Google\Chrome\updater.exe"
Задача создана              04.06.2023 в 12:10:53
Последний запуск            28.08.2023 в 11:14:07
Код ошибки                  0x0
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{88932E95-EB12-423E-8FEB-B562CDB83B62}\
                           

=============

В ветку реестра HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node добавляют наименования антивирусных вендоров, и обрезают права записи, или вообще удаляют всех пользователей.

[FILE ID=127894]

23.09.2023 05:57:26, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116484/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116484/ Sat, 23 Sep 2023 05:57:26 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
Malwarebytes Free

Похоже с территории Р.Ф. больше недоступен. ( только через VPN \ Tor )
=============
Давно уже. Дистр с офсайта недоступен, но обновления на установленное ПО еще работают.
08.09.2023 04:20:20, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116319/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116319/ Fri, 08 Sep 2023 04:20:20 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Malwarebytes Free

Похоже с территории Р.Ф. больше недоступен. ( только через VPN \ Tor )
08.09.2023 00:07:01, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116318/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116318/ Fri, 08 Sep 2023 00:07:01 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Особенности выполнения атаки и возможные варианты детектирования.

и т.д.

https://habr.com/ru/companies/rvision/articles/
23.07.2023 20:44:16, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message116027/ http://forum.esetnod32.ru/messages/forum6/topic2836/message116027/ Sun, 23 Jul 2023 20:44:16 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
«Доктор Веб»: в пиратских сборках Windows обнаружен стилер для кражи криптовалюты, который проникает в EFI-раздел

Компания «Доктор Веб» выявила троянскую программу-стилер в ряде неофициальных сборок ОС Windows 10, которые злоумышленники распространяли через один из торрент-трекеров. Получившее имя Trojan.Clipper.231, это вредоносное приложение подменяет адреса криптокошельков в буфере обмена на адреса, заданные мошенниками.

https://news.drweb.ru/show/?lng=ru&i=14712

Злоумышленники распространяют Windows 10 с помощью торрентов, которые скрывают угонщиков криптовалюты в разделе EFI (Extensible Firmware Interface), чтобы избежать обнаружения.

https://www.bleepingcomputer.com/news/security/pirated-windows-10-isos-install-clipper-malware-via-efi-partitions/

-----------------

====quote====
Полное имя                  C:\WINDOWS\INSTALLER\ISCSICLI.EXE
Имя файла                   ISCSICLI.EXE
Тек. статус                 ВИРУС ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Обнаруженные сигнатуры      
Сигнатура                   Trojan.MulDrop22.7578 [DrWeb] (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2023-06-14
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
File_Id                     6408C4D3D000
Linker                      14.32
Размер                      91880 байт
Создан                      15.03.2023 в 15:46:56
Изменен                     08.03.2023 в 20:34:04
                           
TimeStamp                   08.03.2023 в 17:24:35
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               НАРУШЕНА, файл модифицирован или заражен
Цифровая подпись            Microsoft Windows
                           
Оригинальное имя            iscsicli.exe
Версия файла                10.0.19041.1766 (WinBuild.160101.0800)
Версия продукта             10.0.19041.1766
Описание                    iSCSI Discovery tool
Продукт                     Microsoft® Windows® Operating System
Copyright                   © Microsoft Corporation. All rights reserved.
Производитель               Microsoft Corporation
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Цифровая подпись            Недействительна (файл поврежден/заражен)
                           
Доп. информация             на момент обновления списка
pid = 5644                  DESKTOP-***\****
Процесс создан              15:11:01 [2023.05.24]
Процесс завершен            15:11:07 [2023.05.24]
CmdLine                     "C:\Windows\Installer\iscsicli.exe"
parentid = 1348             C:\WINDOWS\SYSTEM32\SVCHOST.EXE
SHA1                        32C7B6629FABE6254431A558B57D30CD2F2D43D7
MD5                         BFEC28E480DFC2814A2C762D0ADEE018
                           
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\Microsoft\Windows\License Manager\LICENSE VALIDATION
Task                        \Microsoft\Windows\License Manager\License Validation
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{3CD413B8-9C9D-40A2-84D3-E5527D58F091}\Actions
Actions                     "%SystemDrive%\Windows\Installer\iscsicli.exe"
Задача создана              15.03.2023 в 15:30:18
Последний запуск            24.05.2023 в 15:11:01
Код ошибки                  0x1
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{3CD413B8-9C9D-40A2-84D3-E5527D58F091}\

=============



====quote====
Полное имя                  \DEVICE\HARDDISKVOLUME3\EFI\MICROSOFT\BOOT\KD_08_5E78.DLL
Имя файла                   KD_08_5E78.DLL
Тек. статус                 АКТИВНЫЙ ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ DLL
                           
Удовлетворяет критериям    
EFI_DETECT                  ( ~ \EFI\MICROSOFT\BOOT)(1) [auto (0)]
                           
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ DLL
                           
Процессы                    на момент обновления списка
Процесс                     C:\WINDOWS\SYSTEM32\LSAISO.EXE [7792]

=============


====quote====
Полное имя                  \DEVICE\HARDDISKVOLUME3\EFI\MICROSOFT\BOOT\RECOVERY.EXE
Имя файла                   RECOVERY.EXE
Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ [Запускался неявно или вручную]
                           
Удовлетворяет критериям    
EFI_DETECT                  ( ~ \EFI\MICROSOFT\BOOT)(1) [auto (0)]
                           
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
                           
Доп. информация             на момент обновления списка
pid = 7488                  DESKTOP-****\***
Процесс создан              15:11:05 [2023.05.24]
Процесс завершен            15:11:06 [2023.05.24]
CmdLine                     M:\EFI\Microsoft\Boot\recovery.exe
parentid = 6424             C:\WINDOWS\SYSTEM32\CMD.EXE
                           





=============

15.06.2023 00:04:16, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115942/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115942/ Thu, 15 Jun 2023 00:04:16 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Руководство по расследованию атак с использованием CVE-2022-21894 BlackLotus campaign

https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/
14.04.2023 15:20:13, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115703/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115703/ Fri, 14 Apr 2023 15:20:13 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Через взломанные сайты распространяются вредоносное ПО под видом обновлений для Chrome

Поддельные ошибки обновления Chrome

Атака начинается с компрометации веб-сайтов для внедрения вредоносного кода JavaScript, который выполняет сценарии, когда пользователь посещает их. Эти сценарии будут загружать дополнительные сценарии в зависимости от того, является ли посетитель целевой аудиторией.

Эти вредоносные скрипты доставляются через службу Pinata IPFS (InterPlanetary File System), которая скрывает исходный сервер, на котором размещены файлы, что делает занесение в черный список неэффективным и сопротивляется удалению.

Если целевой посетитель просматривает сайт, сценарии отобразят поддельный экран ошибки Google Chrome, в котором будет указано, что не удалось установить автоматическое обновление, необходимое для продолжения просмотра сайта.

«Произошла ошибка при автоматическом обновлении Chrome. Пожалуйста, установите пакет обновления позже вручную или дождитесь следующего автоматического обновления», — говорится в поддельном сообщении об ошибке Chrome.

Затем сценарии автоматически загружают ZIP-файл с именем «release.zip», который замаскирован под обновление Chrome, которое должен установить пользователь.

Однако этот ZIP-файл содержит майнер Monero, который будет использовать ресурсы процессора устройства для добычи криптовалюты для злоумышленников.

При запуске вредоносное ПО копирует себя в папку C:\Program Files\Google\Chrome как «updater.exe», а затем запускает законный исполняемый файл для выполнения внедрения процесса и запуска прямо из памяти.

По данным VirusTotal, вредоносное ПО использует метод «BYOVD» (принеси свой собственный уязвимый драйвер) для использования уязвимости в законном WinRing0x64.sys для получения привилегий SYSTEM на устройстве.

Майнер сохраняется, добавляя запланированные задачи и выполняя изменения реестра, исключая себя из Защитника Windows.

Кроме того, он останавливает Центр обновления Windows и нарушает связь продуктов безопасности с их серверами, изменяя IP-адреса последних в файле HOSTS. Это препятствует обновлениям и обнаружению угроз и может даже полностью отключить антивирус.

После всех этих шагов майнер подключается к xmr.2miners[.]com и начинает майнить трудно отслеживаемую криптовалюту Monero (XMR).

Хотя некоторые из удаленных веб-сайтов являются японскими, NTT предупреждает, что недавнее включение дополнительных языков может указывать на то, что субъекты угрозы планируют расширить сферу своей деятельности, поэтому влияние кампании может вскоре возрасти.

Как всегда, никогда не устанавливайте обновления безопасности для установленного программного обеспечения на сторонних сайтах, а устанавливайте их только у разработчиков программного обеспечения или с помощью автоматических обновлений, встроенных в программу.

https://www.bleepingcomputer.com/news/security/hacked-sites-caught-spreading-malware-via-fake-chrome-updates/
-----------------
https://www.virustotal.com/gui/file/2afdcf74d9dbc5575de919e8d041fc06c15044da0844fe9­326b8f1b4bedad291/behavior
https://www.virustotal.com/gui/file/cb1a228b5f9001dd9acf4fc1296c3f60b9014ae487df12b­c8bb2fbc639a72290/behavior

-------------

====quote====
Полное имя                  C:\PROGRAM FILES\GOOGLE\CHROME\UPDATER.EXE
Имя файла                   UPDATER.EXE
Тек. статус                 ?ВИРУС? ВИРУС в автозапуске
                           
Обнаруженные сигнатуры      
Сигнатура                   Win64/Kryptik.DQA (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2023-04-05
                           
www.virustotal.com          2023-03-10 23:29 [2023-02-09]
K7AntiVirus                 Trojan ( 0059bdd61 )
Symantec                    ML.Attribute.HighConfidence
ESET-NOD32                  a variant of Win64/Kryptik.DQA
Kaspersky                   Trojan.Win32.Agent.xatoxm
BitDefender                 Trojan.GenericKD.65483364
Avast                       Win64:Evo-gen [Trj]
DrWeb                       Trojan.Siggen19.45027
Emsisoft                    Trojan.GenericKD.65483364 (B)
Microsoft                   Trojan:Win64/CoinMiner.DC!MTB
                           
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
File_Id                     63DD6E43398000
Linker                      2.38
Размер                      3738624 байт
Создан                      03.03.2023 в 05:43:17
Изменен                     03.03.2023 в 05:43:18
                           
TimeStamp                   03.02.2023 в 20:27:47
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                           
Доп. информация             на момент обновления списка
SHA1                        0BBD1560602ACA4210660580C00B36B3726B0F63
MD5                         FB6F76B4F93ACC6FCD026EB66652E939
                           
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\GOOGLEUPDATETASKMACHINEQC
Task                        \GoogleUpdateTaskMachineQC
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{1BA1EBB6-9C3B-4FF1-9B4A-9889539EB664}\Actions
Actions                     "C:\Program Files\Google\Chrome\updater.exe"
Задача создана              26.02.2023 в 22:34:55
Последний запуск            24.03.2023 в 12:04:26
Код ошибки                  0x0
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{1BA1EBB6-9C3B-4FF1-9B4A-9889539EB664}\
                           

=============
--------------
[FILE ID=126495]

+
false proxy
хттп://34.80.59.191/WIN.PAC

12.04.2023 04:32:22, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115688/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115688/ Wed, 12 Apr 2023 04:32:22 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
bFixedName = 1; Запускать uVS с постоянным именем, для удаленных систем по постоянному пути.


Изменено: RP55 RP55  - 14.03.2023 13:04:23
=============
не помогло, вернул прежний типа запуска bFixedName=0
помогают два исключения при включенных сбалансированных настройках:
по хэшу:
7B666291C6ABD8C367FF250DF205BBF08830CDE3
и наименованию детекта:
Win32/UniversalVirusSniffer.A
17.03.2023 06:06:22, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115562/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115562/ Fri, 17 Mar 2023 06:06:22 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Возможно это реакция на переименование файла - можно попробовать задать в настройках:

bFixedName = 1
; Запускать uVS с постоянным именем, для удаленных систем по постоянному пути.
14.03.2023 13:02:47, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115557/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115557/ Tue, 14 Mar 2023 13:02:47 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
даже при отключении детектирования категории "подозрительные приложения" модуль запуска, который создается с пощью start.exe блокируется как  Suspicious Object
сейчас можно просто добавить хэш модуля 7B666291C6ABD8C367FF250DF205BBF08830CDE3 в исключение для любых обнаружений.
14.03.2023 02:40:36, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115555/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115555/ Tue, 14 Mar 2023 02:40:36 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
ESET стал детектировать uVS
=============

А версия баз антивируса ?
Однако мне кажется это не связано с базами...
Это что-то в параметрах\настройках. ( ;Suspicious Object )
----
По  SHA1 ( проверка V.T ) со стороны ESET Нет реакции:

https://www.virustotal.com/gui/file/544d3f6d678b5f2a9c51fe43df6d58e18104f97009fdf65­9c79cb6fbc3077448?nocache=1
13.03.2023 16:42:45, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115554/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115554/ Mon, 13 Mar 2023 16:42:45 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
ESET стал детектировать uVS
Время;Модуль сканирования;Тип объекта;Объект;Обнаружение;Действие;Пользователь;Информация;Хэш;Первое обнаружение здесь
13.03.2023 21:10:31;Защита файловой системы в реальном времени;файл;E:\soft\avirus\Universal Virus Sniffer latest\ayedge;Suspicious Object;очищено удалением (после следующего перезапуска);NT AUTHORITY\система;Событие произошло при попытке получения доступа к файлу следующим приложением: C:\Windows\System32\SearchProtocolHost.exe (D7F955DF3682F3C9F51F4CE16B4DA8E77EC1C198).;7B666291C6ABD8C367FF250DF205BBF08830CDE3;05.01.2023 12:20:12
13.03.2023 14:14:15, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115553/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115553/ Mon, 13 Mar 2023 14:14:15 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Антивирусы могут использоваться для удаления системных файлов Windows
Любопытно, хоть что-то новое. :)
12.12.2022 16:33:38, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message115149/ http://forum.esetnod32.ru/messages/forum6/topic2836/message115149/ Mon, 12 Dec 2022 16:33:38 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Operating memory » a variant of Win32/Spy.Agent.QGW trojan

1.
по журналу ELC:
20.01.2022 9:40:02 Advanced memory scanner file Operating memory » C:\Users\itc-omn\AppData\Local\Temp\1ca9c872.dll multiple threats deleted 4EC9095A35736DFFE889AC992A4460A6C780972F
20.01.2022 9:39:54 Advanced memory scanner file Operating memory » C:\Users\itc-omn\AppData\Local\Temp\1ca9c872.dll multiple threats deleted F378F3E53FF08A9DF28586DE383A8A4D3B1F35EB

по ESI:
"Командная строка" = "c:\users\itc-omn\appdata\local\asus giftbox\user data\a3f739aa\vmplayer.exe -us:8 -lznupsl:12" ( 9: Высокий риск ) ;  ;  ;
"Командная строка" = "c:\users\itc-omn\appdata\local\apps\f2238d51\vnplayer.exe /xsqlrl:66576859 /bk /wfu /bziujw:825" ( 9: Высокий риск ) ;  ;  ;
"Модуль" = "c:\users\itc-omn\appdata\local\temp\34a8f4f8.dll" ( 6: Неизвестно ) ;
"Модуль" = "c:\users\itc-omn\appdata\local\temp\1ca9c872.dll" ( 6: Неизвестно ) ;

uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\SVCHOST.EXE [10212]
"C:\Users\itc-omn\AppData\Local\ASUS GIFTBOX\User Data\a3f739aa\vmplayer.exe" -us:8 -lznupsl:12
C:\Users\itc-omn\AppData\Local\Apps\f2238d51\vnplayer.exe /xsqlrl:66576859 /bk /wfu /bziujw:825
---------------------------------------
2.
по журналу ELC:
03.08.2022 16:21:55 Advanced memory scanner file Operating memory » C:\Users\Дмитрий\AppData\Local\Temp\28e86510.dll a variant of Win32/Spy.Agent.QGW trojan cleaned by deleting E270A42E0B87887376DE25E48312CFF2571DB9A3
03.08.2022 16:21:50 Advanced memory scanner file Operating memory » C:\Users\Дмитрий\AppData\Local\Temp\28e86510.dll a variant of Win32/Spy.Agent.QGW trojan cleaned by deleting 5F66A0781CDCECDF6C65F348E189362EF587274F

по ESI:
cmd.exe, 3180, COMP-BDA\Дмитрий, , Windows Command Processor, Microsoft Corporation, "C:\Windows\system32\cmd.exe"
c:\users\Дмитрий\appdata\roaming\java.exe /pj=9757386 /zgvlo=92 /nbw /mkj=13105, ,

по uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\CMD.EXE [3180]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\DLLHOST.EXE [3492]
Ошибка доступа к файлу: C:\USERS\ДМИТРИЙ\APPDATA\ROAMING\JAVA.EXE
192.168.11.195:50568 <-> 45.136.51.50:5873
"C:\Users\Дмитрий\AppData\Roaming\java.exe" /pj=9757386 /zgvlo=92 /nbw /mkj=13105

3.
по ELC:
22.09.2022 12:56:59    Advanced memory scanner    file    Operating memory » C:\Users\igor\AppData\Local\Temp\1a10b5ce.dll    a variant of Win32/Spy.Agent.QGW trojan    cleaned by deleting            3634BFE5E04A47482E02F849D0C5FACA31213B0F        
22.09.2022 12:55:09    Advanced memory scanner    file    Operating memory » C:\Users\igor\AppData\Local\Temp\1a10b5ce.dll    a variant of Win32/Spy.Agent.QGW trojan    cleaned by deleting            B7C9EDF0683C243AD74CA7D2760003A3EC3806A5        

по ESI:
cmd.exe, 11848, DESKTOP-E9NA6G1\igor, , Windows Command Processor, Microsoft Corporation, "C:\Windows\system32\cmd.exe"
dllhost.exe, 14140, DESKTOP-E9NA6G1\igor, , COM Surrogate, Microsoft Corporation, "C:\Windows\system32\dllhost.exe"
c:\users\igor\appdata\roaming\msidb.exe /hxxsx:8484 /om:7 /eqcirph /qdkfh, ,

по uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\CMD.EXE [9684]
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSWOW64\CMD.EXE [9684], tid=12516
192.168.0.10:51628 <-> 5.45.93.247:5959
"C:\Users\igor\AppData\Roaming\MsiDb.exe" /hxxsx:8484 /om:7 /eqcirph /qdkfh
25.09.2022 11:23:46, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message114579/ http://forum.esetnod32.ru/messages/forum6/topic2836/message114579/ Sun, 25 Sep 2022 11:23:46 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Oleg Oleg написал:
У меня Windows 11 сейчас) Точно ли все нормально? (этот файл как раз из папки с программой UVS!

=============
Ложное срабатывание от Windows Defender. Надо либо отключить защиту на момент создания образа, либо добавить папку с uVS в исключение.
25.09.2022 10:41:39, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message114578/ http://forum.esetnod32.ru/messages/forum6/topic2836/message114578/ Sun, 25 Sep 2022 10:41:39 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Здравствуйте! Хотел создать у Вас тему с описанием проблемы из-за вирусов, но возникла проблема.

Вот это прочитал https://forum.esetnod32.ru/forum6/topic5713/  Там написано, что нужно выполнить лог программой UVS! Так вот я скачал UVS и далее запустил.

Но возникла некоторая проблема!




У меня Windows 11 сейчас) Точно ли все нормально? (этот файл как раз из папки с программой UVS!
15.08.2022 20:32:36, Oleg Oleg.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message114367/ http://forum.esetnod32.ru/messages/forum6/topic2836/message114367/ Mon, 15 Aug 2022 20:32:36 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Тяжелый случай с Powemet. Обычно проблема с этим майнером легко решается.
Но здесь решение затянулось почти на месяц.
https://www.cyberforum.ru/viruses/thread3003231.html
Надо отметить настойчивость и терпение хелперов (и пользователя) - все равно нашли решение для крайне нестандартного случая.
28.07.2022 14:00:00, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message114306/ http://forum.esetnod32.ru/messages/forum6/topic2836/message114306/ Thu, 28 Jul 2022 14:00:00 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
PuzzleMedia в зеркале uVS, (к сожалению, образ был создан версией 4.11 без возможности включить отслеживание процессов и задач)

C:\USERS\USER\APPDATA\LOCAL\PROGRAMS\TRANSMISSION\TRANSMISSION­-QT.EXE
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\USERS\USER\APPDATA\LOCAL\PROGRAMS\TRANSMISSION\TRANSMISSION­-QT.EXE [3948], tid=5508
C:\USERS\DIMA-\APPDATA\LOCAL\PROGRAMS\TRANSMISSION\QT5CORE.DLL
HEUR:Trojan.Win32.Miner.gen [Kaspersky]
C:\WINDOWS\SYSTEM32\DLLHOST.EXE
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\DLLHOST.EXE [1936], tid=8928
C:\ProgramData\PuzzleMedia\print.exe --farm-recheck 1000 --farm-retries 300 -P stratum+tcp://13.51.156.23:80
"C:\ProgramData\PuzzleMedia\print.exe"
19.06.2022 12:50:35, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message114181/ http://forum.esetnod32.ru/messages/forum6/topic2836/message114181/ Sun, 19 Jun 2022 12:50:35 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
MS Word Follina Exploit
https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/
https://forum.eset.com/topic/32571-ms-word-follina-exploit-not-detected/
03.06.2022 13:39:37, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message114104/ http://forum.esetnod32.ru/messages/forum6/topic2836/message114104/ Fri, 03 Jun 2022 13:39:37 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
Хакерская группа Lapsus$ сообщает, что заполучила 37 ГБ исходного кода сервисов Microsoft
https://www.comss.ru/page.php?id=10310
------------
А на anti-malware.ru форум вендоров уже пару дней...
22.03.2022 12:40:36, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message113943/ http://forum.esetnod32.ru/messages/forum6/topic2836/message113943/ Tue, 22 Mar 2022 12:40:36 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
атака через чистый подписанный файл, который загружает вредоносную dll, извлекает код из зашифрованного файла, и внедряет в легитимный процесс

[FILE ID=121609]

====quote====
Полное имя                  C:\PROGRAMDATA\ESETDATA\MCUPDUI.EXE
Имя файла                   MCUPDUI.EXE
Тек. статус                 сервис в автозапуске
                           
Сохраненная информация      на момент создания образа
Статус                      сервис в автозапуске
Инф. о файле                The system cannot find the path specified.
Цифр. подпись               проверка не производилась
                           
Ссылки на объект            
Ссылка                      HKLM\System\CurrentControlSet\Services\ESETdata\ImagePath
ImagePath                   "C:\ProgramData\ESETdata\mcupdui.exe" "200"
DisplayName                 ESETdata
Description                 ESETdata
ESETdata                    тип запуска: Авто (2)
Изменен                     28.09.2021 в 08:28:23
=============

[FILE ID=121608]


06.03.2022 13:41:09, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message113896/ http://forum.esetnod32.ru/messages/forum6/topic2836/message113896/ Sun, 06 Mar 2022 13:41:09 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
...

02.03.2022 12:05:39, RP55 RP55.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message113893/ http://forum.esetnod32.ru/messages/forum6/topic2836/message113893/ Wed, 02 Mar 2022 12:05:39 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
#невидимый руткит:


====quote====
uVS:
C:\Windows\system32\lsass.exe
137.91%:
C:\WINDOWS\SYSTEM32\WININIT.EXE
0.0.0.0:49193
192.168.1.63:49212 <-> 103.124.106.123:443
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\LSASS.EXE [868], tid=3184
=============


====quote====
KVRT ничего подозрительного не обнаружил
=============

TDSSKiller:

====quote====
16:53:47.0899 0x0abc  TDSS rootkit removing tool 3.1.0.28 Apr  9 2019 21:11:46
16:53:49.0903 0x0abc  ============================================================­
16:53:49.0903 0x0abc  Current date / time: 2022/02/20 16:53:49.0903
...
16:55:37.0084 0x17d4  ============================================================­
16:55:37.0084 0x17d4  Scan finished
16:55:37.0084 0x17d4  ============================================================­
16:55:37.0086 0x17c8  Detected object count: 0
16:55:37.0086 0x17c8  Actual detected object count: 0
16:56:12.0805 0x0a0c  Deinitialize success
=============


====quote====
CureIt! использовал в первую очередь, теперь еще раз самую свежую версию - вообще никаких угроз не обнаружено.
=============

FRST:

====quote====

============== FLock ==============================
2022-02-07 21:40 C:\Windows\system32\Drivers\2682j.sys

=============

---------------
fixlog:


====quote====
"C:\Windows\system32\Drivers\2682j.sys" => не может быть разблокирован

========================= File: C:\Windows\system32\Drivers\2682j.sys ========================

C:\Windows\system32\Drivers\2682j.sys
Файл не подписан
MD5:  <==== ВНИМАНИЕ (Доступ не разрешён)
Дата создания и изменения: 2022-02-05 19:30 - 2022-02-07 21:40
Размер: 006891104
Атрибуты: ----N
Название Компании :
Внутренний Имя:
Оригинальный Имя:
Продукт:
Описание:
Файл Версия:
Продукт Версия:
Авторское право:
VirusTotal: 0-byte

====== Конец от File: ======

VirusTotal: C:\Windows\system32\Drivers\2682j.sys =>  <==== ВНИМАНИЕ (Доступ не разрешён)

=============
ждем образ автозапуска из под WnPE&uVS

[FILE ID=121556]


https://virusinfo.info/showthread.php?t=227658

22.02.2022 07:25:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message113877/ http://forum.esetnod32.ru/messages/forum6/topic2836/message113877/ Tue, 22 Feb 2022 07:25:14 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.
кстати, новый детект есть в образах автозапуска uVS:
(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен процесс с измененным кодом, сопоставленное ему имя файла может быть неверным: C:\WINDOWS\SYSWOW64\SVCHOST.EXE [10212]

как это может видеться в других программах:
ESETSysInspector:

[FILE ID=121303]

22.01.2022 16:11:05, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message113767/ http://forum.esetnod32.ru/messages/forum6/topic2836/message113767/ Sat, 22 Jan 2022 16:11:05 +0300 Обнаружение вредоносного кода и ложные срабатывания поговорить о uVS, Carberp, планете Земля в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
RP55 RP55 написал:
Теперь и Avira Antivirus  майнит...
=============
И ты, Авира?!
22.01.2022 16:02:12, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic2836/message113766/ http://forum.esetnod32.ru/messages/forum6/topic2836/message113766/ Sat, 22 Jan 2022 16:02:12 +0300 Обнаружение вредоносного кода и ложные срабатывания