Как с этим бороться? - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

yuraf

Поймалась вот такая штуковина, до запуска зловреда удалось запустить только диспечер задач

DSC03078_2.jpg

cb8a2d6b474672d50d7520bb80e258fbb25db8101778815.jpg

post-11835-1319118777_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Поймалась вот такая штуковина, до запуска зловреда удалось запустить только диспечер задач

Для начала стоит прибить процесс temp_sys.exe - визуально вымогатель похож на Trojan-Ransom.Win32.Losya.f (если это он - то temp_sys.exe будет прописан в автозапуске). После разборки с малварью я бы еще посоветовал разобраться, откуда там TeamView и нужен ли он (утилита удаленного управления)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
yuraf

Загрузился с флешки ХРЕ, и удалил файлы temp_sys.exe, были в корне всех Application Data и guardguard.exe, находился в Windows/Temp

вроде работает, потыкался по настройкам, вроде и ничего не заблочилось....может это и всё?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

а полный скриншот остался? а то не видно счета на который деньги ложить нужно. предлагаю его прописать тут на форуме, найти если есть нужный пароль, рассказать как удалось запустить диспетчер задач. конкретно описать файлы. Все это для того, чтобы люди, словившие это гамно через поисковик пришли в эту тему и нашли простое и быстрое решение проблемы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
guardguard.exe, находился в Windows/Temp

Зря - это от mail.ru агента приблуда, легитимная ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
Зря - это от mail.ru агента приблуда, легитимная ...

ничего не зря))))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
yuraf
а полный скриншот остался?

блин, про это не подумал, фоткал один кадр, и целился на названия файлов, сам зловредный файл остался в карантинной папке....подарить?

Зря - это от mail.ru агента приблуда, легитимная ...

А глянул в папку Темп, файл guarguard появился снова...так что вроде всё в порядке

рассказать как удалось запустить диспетчер задач.

Диспечер задач пытался запустить сразу-же по появлению панели задач при загрузке, ...окно диспечера появилось на мгновение раньше этой гадости

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
блин, про это не подумал, фоткал один кадр, и целился на названия файлов, сам зловредный файл остался в карантинной папке....подарить?

подарите :) если можно, то в архив, под пароль и на какой-нибудь файлообменник (dump.ru, ifolder.ru ... ) и мне в ЛС ссылку и пароль. удобна такая схема?

Залить на вирустотал можете? Если выложите ссылку здесь, то находящиеся здесь аналитики антивирусных компаний вполне смогут найти данный файл в своей базе. У меня доступа к таким базам нет, потому мне нужен сам файл, им же хватит и мд5, который будет написан в отчете на ВТ :)

через день доберусь до компа, поковыряю, напишу :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Результат проверки на Вирустотале: тыц

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Celsus
отправил

Как произошло заражение? Хотя бы примерно, если можете, опишите пожалуйста, если есть желание. Например, скачивались ли и запускались ли неизвестные программы или заражение произошло из-за серфинга? Включено ли автоматическое обновление, отключался ли антивирус (неважно какой). После чего и при каких обстоятельствах произошло. Чтобы знать, конкретно каких неосторожных действий (если дело было в них) опасаться. Если желания отвечать нету, тогда просто не отвечайте. Не удобно спрашивать, но любопытство пересилило :unsure:

Зря - это от mail.ru агента приблуда, легитимная ...

У Mail.Guard должна быть цифровая подпись издателя? На 1 скриншоте видел процесс (кажется GuardGuard) без издателя. Подумал: как так, такой крупный бренд, как маил ру, и без своей подписи.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
У Mail.Guard должна быть цифровая подпись издателя? На 1 скриншоте видел процесс (кажется GuardGuard) без издателя. Подумал: как так, такой крупный бренд, как маил ру, и без своей подписи.

У guardguard.exe она обычно есть. Но файл хитрый - у него нет копирайтов, версии, вендора, продукта, комменатриев ... Зато есть подпись: LLC Mail.Ru (Thawte Code Signing CA, Thawte Premium Server CA)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
yuraf
Как произошло заражение? Хотя бы примерно, если можете, опишите пожалуйста, если есть желание.

Так и не выяснил, компьютер не мой, а тот кто этот вирус изловил жмёт плечами....полагаю что было спровоцировано подтверждение пользователя загрузить этот вирус, и пользователь лично подтвердил

На этом компьютере вообще не стояло никакой антивирусной защиты, ОС ХР и права админа

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Можно попробовать AntiWinLocker или Kaspersky WindowsUnlocker. Мне в двух случаях помогло (Kaspersky WindowsUnlocker)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Celsus
Как произошло заражение? Хотя бы примерно, если можете, опишите пожалуйста, если есть желание. Например, скачивались ли и запускались ли неизвестные программы или заражение произошло из-за серфинга? Включено ли автоматическое обновление, отключался ли антивирус (неважно какой). После чего и при каких обстоятельствах произошло. Чтобы знать, конкретно каких неосторожных действий (если дело было в них) опасаться. Если желания отвечать нету, тогда просто не отвечайте. Не удобно спрашивать, но любопытство пересилило :unsure:

У Mail.Guard должна быть цифровая подпись издателя? На 1 скриншоте видел процесс (кажется GuardGuard) без издателя. Подумал: как так, такой крупный бренд, как маил ру, и без своей подписи.

На скриншоте в службе GuardMailRu.exe и запускаемого ею GuardGuard.exe, а также у процесса, запускаемого проводником GuardMailRu.exe в колонке Company Name ничего не указано. Если в Company Name указана фирма - значит ли это, что процессу можно доверять? Или туда автор файла может написать все что угодно?

Бывает неохота устанавливать популярные программы, без которых можно обойтись, потому что, насколько я понял, троянские программы могут выдавать себя за них. Имею в виду установку не с официального сайта, а установку в качестве дополнения к установке другого, основного приложения. А так, наверное, можно скачать с официального сайта программы и бояться меньше.

c37b2be3fb2cd522d1f5868199567aaf.jpg

post-14033-1319138487_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
yuraf

Обратилась за помощью знакомая девушка-продавец магазина. Глаза на лоб, руки трусятся, говорит, хотела изменить заставку на компьютере...куда залезла не помнит, помнит что увидела красивую картинку, и нажала на "Изменить заставку"...

Компьютер ушёл в перезагрузку, результат вот:

f01da93c85f5c76aee2fad9632cc2edab25d0f118109257.jpg

Заражение загрузочного сектора я увидел впервые, как с этим бороться, естественно понятия не имел, по этому действия были стандартными...Загрузка с ХРЕ и первоначальная проверка антивирусом.

Решение оказалось верным, как собственно и успешное выздоровление

78ef2dcbd7ab9263d325a61ca8b32318b25d0f118109444.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
StamilT

Made by MBRLocker Builder of Vazonez.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
АВаТар
Как с этим бороться?

Ответ здесь

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×