Перейти к содержанию
broker

del *.*

Recommended Posts

broker

Признаки следующие:

Пользователь при загрузке компьютера видите окошко cmd.exe

где идёт удаление файлов.

можно предположить, злоумышленик добавил в автозагрузку батник

со строкой del c: *.*

но может быть и зловред.. идеи есть?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

В ноябре в Китае обнаружен вирус-червь Kilonce, который распространяется по локальным сетям, если в них есть ресурсы, открытые на полный доступ. Червь является приложением Windows (PE EXE-файл), написан на Delphi. В зависимости от версии имеет размер 40Kb (упакован UPX) или 82K (если не упакован).

Kilonce противодействует антивирусным программам. Для этого ищет процессы, в которых присутствуют комбинации "KV" или "AV" и принудительно завершает их работу, а затем удаляет на диске соответствующий EXE-файл. Тоже самое совершает с процессом "LOAD.EXE" (если такой запущен).

Червь добавляет пользователя "Guest" в список администраторов и открывает все диски компьтера на полный доступ.

13 декабря записывает в файл C:AUTOEXEC.BAT команду уничтожения всех файлов на диске C:.

При инсталляции червь копирует себя с именем "KILLONCE.EXE" в системный каталог Windows и в каталог "Recycled" на том же диске, где установлена Windows, и регистрирует свои копии в ключах авто-запуска системного реестра.

http://www.viruslist.com/ru/news?id=1427850

И таких вредоносов довольно много вообще. :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

факт в том, что на компе антивирус есть, со свежей базой

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Признаки следующие:

Пользователь при загрузке компьютера видите окошко cmd.exe

где идёт удаление файлов.

можно предположить, злоумышленик добавил в автозагрузку батник

со строкой del c: *.*

но может быть и зловред.. идеи есть?

Вирусы так себя не ведут. Так поступают чудаки на букву "м", которые начитались журналов типа "хакер" и считают свое вредительство хакерством. Нужно провести расследование. Кто имел доступ, кто имел на владельца пострадавшего компьютера зуб?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
факт в том, что на компе антивирус есть, со свежей базой

А какой если не секрет? :)

Вообще действительно, больше это похоже на вредительство со стороны какого-то (возможно бывшего) сотрудника.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

в том то и дело, что это почти очевидно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

мне каажется там был NIS

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • Ego Dekker
      Антивирусы были обновлены до версии 13.1.16. В числе прочего добавлены совместимость с Windows 10 20H1 и поддержка Windows 10 20H2.
    • Ego Dekker
      Программа для удаления продуктов ESET обновилась до версии 9.0.1.0. Для просмотра всех команд запустите утилиту с параметром /help. 
    • santy
      1. на самом деле можно и не удалять, а редактировать единственный критерий для создания запросов. Было бы только удобно формировать такой запрос.... например, "все объекты с цифровой, которая не входит в белый список". здесь ты одним значением не найдешь их фильтруя все объекты сквозным образом по ИНФО, как минимум необходимо два условия, а значит и два значения вводить для запроса. 2. подсветки нет, но это наверное не самое главное. для скорости анализа важно, (хотя бы строку из инфо, которая соответствует критерию).... когда ИНФО содержит много информации. для формирования скрипта- не критично. 3. старых и новых критериев нет. все действующие. ненужные удалить. хотя может и полезно было бы ставить check "отключить" или "включить" данное правило в базе.
        вся эта работа выполняется на стадии формирования списка объектов автозапуска. все исполняемые файлы, которые встречаются по ссылкам в реестре, в cmdLine, и проч. Если ты набрал в поиске по наименованию "cmd.exe", ты уже нашел данный объект в списке со всей его историей (ИНФО), собранной на стадии формирования образа автозапуска.... в какие параметры, ссылки входит в реестре или в cmdLine. цитата "выше Разве?" взята из предложения по деструктивным действиям чистых файлов, когда эти деструктивные действия находятся с помощью критериев, но чистый хэш снимает статус, подтверждающий дейструктивность действия данного файла в анализируемой системе.
    • PR55.RP55
      Недостатки uVS:
      1) Невозможно задать временный критерий. После поиска созданный критерий нужно удалять... Решение: При создании критерия добавить чек бокс:  НЕ вносить изменений в snms [ V ] 2) В Инфо. нет подсветки по типу поиска в браузере ( подсветить всё найденное ) 3) Поиск идёт по всем критериям -  по старым и по новым. Когда критериев много ( а их много ) такой поиск теряет смысл. Разве ? Нет смысла искать в других полях по: каталог; имя производителя; цифровой подписи; хэш. Напомню:  " Пока что вижу эти: wmic.exe, vssadmin.exe, cmd.exe, svchost.exe + powershell.exe+ netsh.exe конечно, остальные можно по мере поступления добавить.  "      
×