Перейти к содержанию

Recommended Posts

akoK
В 15.08.2021 at 7:28 AM, demkd сказал:

логе указываются процессы действительно нагружающие cpu и gpu, а изучать низкую загрузку стоит другим средствами, непонятно зачем правда.

А в процентном значении это примерно сколько? Некторые майнеры грузят ~30% от процессора/видеокарты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
1 час назад, akoK сказал:

А в процентном значении это примерно сколько? Некторые майнеры грузят ~30% от процессора/видеокарты.

GPU 15%, CPU загрзка 60% в пересчете на 1 ядро, т.е. для 4-х поточного процессора это те же 15%.

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Новый инструмент Chainsaw помогает командам IR анализировать журналы событий Windows

Chainsaw.webp

F-Secure заявляет, что Chainsaw специально разработан для быстрого анализа журналов событий в средах, где решение для обнаружения и реагирования (EDR) отсутствовало во время взлома.

В таких случаях специалисты, реагирующие на инциденты могут использовать функции поиска Chainsaw для извлечения из журналов Windows информации, относящейся к вредоносной деятельности.

Пользователи могут использовать этот инструмент для следующих действий:

Поиск в журналах событий по идентификатору события, ключевому слову и шаблонам регулярных выражений
Извлечение и анализ предупреждений Защитника Windows, F-Secure, Sophos и Kaspersky AV.
Обнаружение очистки журналов ключевых событий или остановки службы журнала событий
Обнаружение пользователей, которые создаются или добавляются в конфиденциальные группы пользователей
Брутфорс локальных учетных записей пользователей
Логины RDP, сетевые логины и т. д.

https://www.bleepingcomputer.com/news/security/new-chainsaw-tool-helps-ir-teams-analyze-windows-event-logs/

https://www.bleepingcomputer.com/news/security/new-chainsaw-tool-helps-ir-teams-analyze-windows-event-logs/

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vvvyg

А дельная утилита. Прогнал на журнале, где взлом был у юзера, всё по полочкам разложено.

chainsaw.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Например есть  пакет с драйверами ( сотни... тысячи драйверов )

Предполагается использовать этот пакет для обновления системных драйверов, или WIM

Часть драйверов подписана, часть нет...

Хотелось бы, чтобы uVS  ( по команде в меню: Файл ) - создала из этих драйверов пакет установки\обновления.

Копию только из подписанных ( прошедших проверку ( и проверенных по SHA ) драйверов.

Копию по типу программы: " Double Driver"

http://soft.oszone.net/program/5936/Double_Driver/

+

Возможность создать копию системных драйверов, системы - но, опять таки... копировать только подписанные драйвера и те, что есть в базе SHA.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Допустим:

'%WINDIR%\syswow64\cmd.exe' /c powershell -nop -exec bypass -win Hidden -noni -enc aQBmACgAWwBJAG4AdABQAHQAcgBdADoAOgBTAGkAegBlACAALQBlAHEAIAA0ACkAewAkAGIAPQAnAHAAbwB3AGUAcgBzAGgAZQBsAGwALgBlAHgAZQAnAH0AZQBsAHMAZQB7ACQAYg...

'<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\syswow64\windowspowersh...

Было бы неплохо, если бы в Инфо. объекта. Прописывались данные по настройке  разрешений Firewall.

+

Отдельная категория по Firewall - что разрешено, что заблокировано.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

в Windows 11  добавили ( На странице приложения «Параметры» ) возможность  посмотреть - использование батареи для каждого приложения.

" Данная сводка дает наглядное представление о том, какие программы потребляют больше всего заряда аккумулятора. "

т.е.  Прямая зависимость - чем больше  приложение работает с процессором\видеокартой - тем выше энергопотребление...

" Можно посмотреть данные за последние 24 часа или за последнюю неделю. "

" Windows 11 также показывает время использования приложения" ( например приложение работало 10 секунд... )  или 10 часов...

https://www.comss.ru/page.php?id=9632

2021-09-29_140009.png

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

В программе FRST 

Обновили команду - EmptyTemp:  теперь при очистке Temp.  происходит  удаление файла: qmgr.db

Причина: Злоумышленники используют фоновую интеллектуальную службу передачи (BITS)...

Подробнее:

https://www.mandiant.com/resources/attacker-use-of-windows-background-intelligent-transfer-service

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
7 часов назад, PR55.RP55 сказал:

Причина: Злоумышленники используют фоновую интеллектуальную службу передачи (BITS)...

uVS c v 3.87.4 работает с bits и все что там есть попадает в раздел "Задачи".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Хорошо бы, чтобы uVS мог "самостоятельно" пополнять базу проверенных.

Так: Оператор указывает каталог где находятся файлы установки: 

Типа: Firefox Setup 93.0.exe  ;  472.12-desktop-win10-win11-64bit-international-whql.exe;  и т.д.

А программа "сама" их  распаковывает и пополняет базу проверенных.

По хорошему ещё можно задать список\исключения\игнорирования - вложенных файлов.

nvgwls.exe - не распаковывать.

NvCplSetupInt.exe  - распаковать

и т.д.

Это позволит существенно быстрее пополнять базу + экономя времени.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Сейчас есть майнеры которые запускаются на серверах... 1-2 раз в неделю (тогда  когда на предприятии выходной ) работают через уязвимости...

uVS стоит научить самостоятельно запускать отслеживание процессов и задач; включать лог DNS - при определённых условиях...

т.е. оператор запускает программу > программа скажем раз в час ( по настройке ) обновляет список...  фиксирует недопустимую нагрузку на gpu ; cpu  и запускает отслеживание.

Через час ( по настройке ) - по прежнему нагружающий процесс выгружается. ( кроме тех системных процессов без которых нормальная работа системы невозможна )

 

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55,

а если майнеры научат выгружать подозрительные процессы из памяти (в том числе и uVS), прежде чем начинать майнинг, у них всегда есть расширенный список процессов, которые надо закрыть,

а далее, определить источник запуска - задачу, и снести ее следом?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

santy

uVS едва ли будет в этом списке процессов на выгрузку. uVS всякий раз стартует под новым именем.

uVS - будет запускать сам оператор - задачи на его запуск не нужны.

---------

Сейчас оператор запускает uVS > Применяет твики: 39; 41 и т.д.

А можно будет запустить uVS >  твик: 44 ( Отслеживание и запись в лог\файл активности процессов ) ( с ИНФО. по файлу ) "запись начинается если нагрузка на; gpu ; cpu - превышает пороговое значение"

Если даже майнер затрёт все следы своего пребывания - запись\записи в логе останутся.

-----------

Идеально не бывает - но как-то же нужно понять что и как происходит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55,

не надо забывать что после применения твика 39 необходима перезагрузка системы. если uVS самостоятельно отправит сервер в перезагрузку, админы за это спасибо не скажут.

Цитата

Идеально не бывает - но как-то же нужно понять что и как происходит.

как то и понимаем. с некоторыми майнерами разобрались после отслеживания процессов и  задач.

с сетевым крипто_червем PS.CASTLE - с помощью лога DNS и записью cmdline для закрытых /завершенных процессов. Если кратко, то лог DNS показал, к каким адресам было обращение каких процессов, но оказалось, что процессы эти кратковременны и далеко не всегда могут попасть в образ в активном состоянии, и идентифицировать точно тип майнера невозможно, а вот по cmdline для закрытых процессов - стало возможным.

Разберемся и с другими. Важно получить первичную инфо от админа - образ с учетом логов DNS, задач, процессов. А дальше уже будем думать - чего еще не хватает для идентификации майнера.

 

ну и уж точно uVS не может вызвать духов майнера, чтобы они раньше времени запустили майнер, чем положено по расписанию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

santy

Я это всё к тому, что uVS обладает функционалом который не используется.

Появился твик: 39. Отслеживание процессов и задач...

Но это функционал системы.

При том, что uVS сам может отслеживать процессы и задачи, и записать это в лог... Но, что мешает сохранить этот лог в .txt файл ? ( или в файл формата: Лог 1.11.2021: 14.22  - 16.31.log )

И что особенно актуально...  :)  при работе с сервером не потребуется перезагрузка.

Это такой минимум... лог от uVS

------------

Если эту идею развить - то можно настроить автоматическое применение скрипт\ов

при совпадении неких условий\Критериев.

Например: Некий процесс дольше и больше положенного нагружает gpu ; cpu  ... применяется скрипт.

Выгрузить из памяти; Поместить в ZOO ; Передать файл для проверки на V.T. ( с записью результата в лог ) и т.д

------------

По поводу того, что вирус может выгрузить процесс uVS...

Есть же способы защиты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55,

либо я чего не понимаю, либо не знаю кто.
 

Цитата

 

Появился твик: 39. Отслеживание процессов и задач...

Но это функционал системы.

 

т.е. ты хочешь чтобы увс продублировал функции системы и регистрировал все события в системе: процессы, задачи, cmdline, записи обращений к DNS? в свои логи. и потом еще разгребал эти логи при создании образа автозапуска. но это дичь какая то. почему бы тогда еще не мониторить таким же образом все операции в реестре - записывать в свой файл реестра, и потом использовать их для создания образа, вдруг система чего пропустила.

 

как минимум, для этого есть procmon и sysmon

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

santy

Я ещё в первом предложении написал:  "

...запускать отслеживание процессов и задач; ... при определённых условиях... 

например программа...  фиксирует недопустимую нагрузку на gpu ; cpu  и запускает отслеживание.

Из плюсов, как уже было написано - нет необходимости перезагружать систему.

И это будет не сплошной лог... в несколько часов; суток... Запись начинается при определённых условиях...

т.е. достаточно будет посмотреть не весь лог, а то что было записано в первые минуты.

Например: запуск: PowerShell; Сетевая активность; Нагрузка на gpu ; cpu; Внедрённые процессы и Инфо по процессам.

Цитата

Santy пишет:  как минимум, для этого есть procmon и sysmon     

Если всё это есть зачем тогда твики: 39 и т.д в uVS - ? Тогда и они не нужны.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

думаю, тебе следует чаще читать комментарии к выпускам обновлений.

17 часов назад, PR55.RP55 сказал:

Если всё это есть зачем тогда твики: 39 и т.д в uVS - ? Тогда и они не нужны.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

santy

uVS может точно определять\фиксировать уровень нагрузки в % на gpu ; cpu; Может работать с критериями поиска...

Сейчас основная проблема с майнерами в том, что невозможно понять когда майнер будет запущен.

т.е. невозможно понять, когда запускать отслеживание процессов.

Если uVS сможет определять старт майнера ( по нагрузке ) - то сможет и предпринять некие действия ( по заранее заданному плану\критерию\настройке оператора )

Например применит твик: 39 ( если оператор считает, что это допустимо ); или начнёт писать  лог ( например вести запись в течении 5-ть минут после события Х ) или поместит некий объект в ZOO ; Разорвёт подключение; Выгрузит некий объект и т.д. 

------------

От оператора требуется: Запустить uVS > Сформировать нужные критерии ( с нужным типом действия ) > Запустить окно мониторинга процессов... Дальше работает uVS.

Приходит оператор и...

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

RP55,

отслеживание процессов, задач, cmdline для закрытых процессов начинается с момента загрузки системы.

(потому и важна перезагрузка системы после применения твиков)

все записи событий выполняются системой, uVS здесь только меняет настройки системы для расширенной записи в журналы системы. А затем использует эти записи для формирования образа автозапуска охватывая период с момента начала загрузки системы.

это дает возможность понять - откуда развивается атака: из системы, из локальной сети, или из внешней сети.

Если нужен более расширенный анализ событий в системе - изучаем возможности Sysmon. Выше уже приводилась утилита (Chainsaw), которая как раз работает с расширенными журналами событий и приложений.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Хотелось бы чтобы Инфо. ( для создания\настройки критерия )

Содержало информацию:

CPU: 96.75%

* Внимание превышен 15% Порог.

CPU: 483.75%

* Внимание превышен 15% Порог.

так как нагрузка плавает и невозможно задать точное значение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

В uVS есть возможность добавлять в базу проверенных: IPL; MBR и т.д.

т.е. программа обрабатывает данные и преобразует их в SHA1

Аналогичным образом можно обработать записи: WMI ( и все стандартные\проверенные записи добавить в базу проверенных)

Возможно, что-то ещё можно обработать аналогичным образом.

 

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Ego Dekker
    • Gregoryjed
      Online casino slots are a popular pastime for many people - but with so much to choose from and learn, it can be tricky to find the best ones! Luckily, this article has all of the answers you need to find your next favorite game. With the recent release of a new craze known as "auctioning," many resorts have begun to create games that incorporate this concept. The game's rules can be explained in just the amount of time it takes to play one round. However, there are some who would argue that these games can actually make your gambling habits worse - since you don't have to learn anything, you're at a disadvantage because you're playing "blind."

      How to Win At Slot Machines

      You're not going to win at slots, but the more you play, the better your chances. One great way to win at slot machines is to play with a bonus code. One bonus code will usually give the player 10 free spins up to a certain amount or 20% extra payout after each spin. Slot machines are booming with popularity. Why? Slots have an instant jackpot, and there's always a chance for someone to win BIG! There are some simple steps to follow if you want to be successful at slots. There are many different reasons why people enjoy playing online slots, but there are some basic principles behind winning at slot machines. Here are the most important tips that will help you win at online slots:

      What are the Basic Ways to Play casino slots?

      There are a lot of different games to play at an online casino. One you might want to try is the slots, which is where the most money is won in slot machines across the world. Online casino slots vary depending on where you are playing and what games they have available. Some casinos specialize in just one game while others have many different options to choose from. There are a variety of ways that you can play casino slots. Some of these include the "Wheel of Fortune" and "Lucky Ladys Charm." Playing these games is probably one of the easiest ways to understand how the game works. If you are more interested in playing games with higher odds, then try playing video poker or blackjack.

      Which online casinos Offer Welcome Bonuses?

      Casinos that offer welcome bonuses to new players typically also have a number of other sign-up incentives, including free spins, cash back, and match deposits. These promotions can help to entice players away from their competitors and give them the best possible chance at winning big. There are various online casinos that offer welcome bonuses. These include 100% bonus, free chips, no deposit bonus, and match bonus. However, bonuses vary from casino to casino. It is important to choose a casino because of their terms and conditions. online casinos offer welcome bonuses to encourage new players to join. These welcome bonuses typically consist of a percentage of the first deposit that is given back to the player, usually in the form of free slots and/or free cash. Some online casino welcome bonuses also include an additional bonus on top of that, such as a coupon code or match bonus.

      Best Casino Sites in the UK

      The biggest mistake that players make is not doing sufficient research on the best casino sites in the UK. It's important to find a reliable and affordable site, such as Casino Rama, so that you can enjoy your time playing at one. Online casino slots are a great way to try and win big while doing something you enjoy. There are plenty of UK casinos that offer slots so it can be a daunting task trying to find the right one. The following websites offer the best casinos with the best games, bonuses and more: So you want to win at online casino slots? Rather than getting in over your head, it's best to start small - with the UK's best casinos. These sites have a great selection of games and are some of the most trusted around.

      Best online casinos in the UK

      As online casinos have become more popular, so have the rules and guidelines surrounding their game selection. One thing you should know is that the best online casino games are those that can produce a lot of revenue for your business. The UK has a handful of the top online casinos that offer slots, roulette, and other games. These include jackpotbetonline.com, jackpotbetgame.com, jackpotcasinotips.com and more to come soon as they continue to grow in popularity as an alternative to brick-and-mortar casinos. UK online casinos offer players a variety of different games with huge jackpots to be won. Different online casinos offer different types of payouts, such as the amount you will get from playing slots, or how much your deposit will pay out. It's important to know what each casino offers in order to find one that better suits your needs.

      Why Is casino slots so Addictive?

      casino slots have the potential to be highly addictive. This is because of the random nature of slot games and how the outcome of each round is different. The specific combination of symbols in each game can make a player feel as if they are always winning, which leads to them considering it a fun activity. They'll also spend more money on slot machines in order to keep this feeling going, which can lead to gambling problems and spending too much money. Many people love the thrill of playing slots. Some people enjoy slot machines because they are easy to understand and can feel in control. There are a few ways to determine why slots are so addictive and some suggestions on how to avoid it.

      Conclusion

      In conclusion, it is important to realize that playing slots online is not the same as playing slots in a land-based casino. One of the most important rules to remember when playing at a land-based casino is to never play for more than what you can afford, but online slots are not always so easy.
    • Joshua3233Chids
      This is my first time come here
      https://gto5767.com/home.php?mod=space&uid=1902793
      http://www.atlasroleplay.com/forum/profile/koreanneck14
      https://spinalhub.win/wiki/H124pc_Wholesale_Clear_Acrylic_Crystal_Stud_Earring_Field_Show_Jewelry_Reward_Binsh1
      http://quanboo.com/home.php?mod=space&uid=53013
      http://idea.informer.com/users/cobwebplier5/?what=personal

      I am very happy to cme here I am very happy to cme here I am very happy to cme here I am very happy to cme here I am very happy to cme here 8287d12
    • Ego Dekker
      Домашние антивирусы ESET были обновлены до версии 15.0.23.
    • Thomaspaymn
      Hello there, I'm completely new here, I am not sure in the event this section is a right place to create this and also sorry with this, but I was hoping a person here on anti-malware.ru would be able to assist me.
      I am just wondering anybody knows just about any trusted company for signals for crypto. Is this website good and anyone worked with them ?
      binance futures signals
      Also please introduce any good and comprehensive blog for more inormation about this kind of services. We appreciate it.
×