Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.
Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новые продукты компании PRO32.
PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.
| Цитата |
|---|
| Елена Болотова написал: Здравствуйте, скажите пожалуйста, что нужно сделать, чтобы начал работать антивирус? 19.09.2018 был куплен антивирус ESET NOD32 Антивирус на 1ПК 1 год, заказ №000222152, |
| Цитата |
|---|
| Моя папка «Документы» была удалена так, что все мои личные документы (документы Word, электронные таблицы и т. Д.) Исчезли. Это на SSD NVMe с TRIM. Все ушли. Мои последние резервные копии являются древними. |
| Цитата |
|---|
| RP55 RP55 написал: Первый практический UEFI rootkit |
| Цитата |
|---|
| Эксперты компании ESET рассказали об обнаружении вредоносной кампании, в ходе которой был задействован первый известный руткит для Unified Extensible Firmware Interface (UEFI). Ранее подобное обсуждалось лишь с теоретической точки зрения на ИБ-конференциях. Исследователи пишут, что руткит для UEFI использует группа ... хакеров, известная под названиями APT28, Sednit, Fancy Bear, Strontium, Sofacy и так далее. По данным компании, зафиксирован как минимум один случай успешного внедрения вредоносного модуля во флеш-память SPI, что гарантирует злоумышленникам не только возможность сохранить присутствие в системе после переустановки ОС, но и после замены жесткого диска. Для внедрения руткита злоумышленники используют малварь LoJax — «близнеца» легитимного решения LoJack от компании Absolute Software, созданного для защиты устройств от утери и кражи. Этот инструмент встраивается в UEFI и позволяет, к примеру, отслеживать местонахождение устройства или удаленно стереть данные. Появление вредоносных версий LoJack было замечено аналитиками Arbor Networks еще весной текущего года. Тогда специалисты писали, что преступники незначительно изменили инструмент таким образом, чтобы он связывался с их управляющими серверами, а не с инфраструктурой Absolute Software. Эксперты Arbor Networks называли LoJax «идеальным двойным агентом», так как он может удаленно выполнить произвольный код в системе и практически не отличается от легитимной версии инструмента. |
| Код |
|---|
CreateRestorePoint: CloseProcesses: VirusTotal: C:\ProgramData\mbhelper.exe;C:\Windows\system32\drivers\WinD64.sys;C:\Windows\system32\drivers\WinD64loader.sys;C:\Users\User\AppData\Local\Temp\F891.tmp.exe;C:\Users\User\AppData\Local\Temp\nsw4A4A.tmp\System.dll FF Plugin-x32: @t.garena.com/garenatalk -> C:\Program Files (x86)\Garena Plus\bbtalk\plugins\npPlugin\npGarenaTalkPlugin.dll [No File] CHR HKLM\...\Chrome\Extension: [looohgelibjoplmkhecmalapkgadkfcc] - hxxps://clients2.google.com/service/update2/crx CHR HKLM-x32\...\Chrome\Extension: [looohgelibjoplmkhecmalapkgadkfcc] - hxxps://clients2.google.com/service/update2/crx |
| Цитата |
|---|
| Restore point was successfully created. Processes closed successfully. VirusTotal: C:\ProgramData\mbhelper.exe => VirusTotal: C:\Windows\system32\drivers\WinD64.sys => VirusTotal: C:\Windows\system32\drivers\WinD64loader.sys => VirusTotal: C:\Users\User\AppData\Local\Temp\F891.tmp.exe => VirusTotal: C:\Users\User\AppData\Local\Temp\nsw4A4A.tmp\System.dll => (3) Error "HKLM\Software\Wow6432Node\MozillaPlugins\@t.garena.com/garenatalk" => removed successfully |
| Цитата |
|---|
| Полное имя C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE Имя файла POWERSHELL.EXE Тек. статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске [Запускался неявно или вручную] Сохраненная информация на момент создания образа Статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске [Запускался неявно или вручную] File_Id 4A5BC7F377000 Linker 9.0 Размер 473600 байт Создан 14.07.2009 в 03:49:07 Изменен 14.07.2009 в 05:39:20 TimeStamp 13.07.2009 в 23:49:07 EntryPoint + OS Version 0.1 Subsystem Windows character-mode user interface (CUI) subsystem IMAGE_FILE_DLL - IMAGE_FILE_EXECUTABLE_IMAGE + Тип файла 64-х битный ИСПОЛНЯЕМЫЙ Цифр. подпись Действительна, подписано Microsoft Windows Оригинальное имя PowerShell.EXE.MUI Версия файла 6.1.7600.16385 (win7_rtm.090713-1255) Описание Windows PowerShell Производитель Microsoft Corporation Доп. информация на момент обновления списка SHA1 5330FEDAD485E0E4C23B2ABE1075A1F984FDE9FC MD5 852D67A27E454BD389FA7F02A8CBE23F Namespace \\.\root\subscription Consumer_Name FsxxleConsumer Consumer_Class CommandLineEventConsumer Consumer_CommandLineTemplatepowershell -exec bypass -W 1 -E aQBmACAAKAAoAGcAZQB0AC0AcAByAG8AYwBlAHMAcwAgAC0AbgBhAG0AZQAg Filter_Name FsxxleFilter Filter_Class __EventFilter Filter_Query SELECT * FROM __InstanceModificationEvent WITHIN 720 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System' #MOF_Bind# instance of __FilterToConsumerBinding { Consumer = "CommandLineEventConsumer.Name="FsxxleConsumer""; Filter = "__EventFilter.Name="FsxxleFilter""; }; #MOF_Event# instance of __EventFilter { EventNamespace = "root\\cimv2"; Name = "FsxxleFilter"; Query = "SELECT * FROM __InstanceModificationEvent WITHIN 720 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"; QueryLanguage = "WQL"; }; #MOF_Consumer# instance of CommandLineEventConsumer { CommandLineTemplate = "powershell -exec bypass -W 1 -E aQBmACAAKAAoAGcAZQB0AC0AcAByAG8AYwBlAHMAcwAgAC0AbgBhAG0AZQAg Name = "FsxxleConsumer"; }; |
