локальная политика безопасности
Опубликовал
Odin104,
В этой теме 4 сообщения
Создайте учетную запись или войдите, чтобы комментировать
Вы должны быть пользователем, чтобы оставить комментарий
Создать учетную запись
Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!
Регистрация нового пользователя
-
Сообщения
-
От Wenderoy · Опубликовано
Антивирус Kyранина (Кuranin Antivirus Free 2017) - https://kuranin.org Тестируем на 315 свежих зловредах из разных источников: malc0de, cleanmx, vxvault и т. д.
Антивирус реагирует практически на каждый вирус, удаляем - на остатке 4 файла. Запуск:
Два раза эвристическая сработка, один раз - автоматическое удаление зловредного кода. При этом все запускаемые объекты представляли собой консольные приложения, последнее запустило несколько процессов, но антивирус их заблокировал. В поставку входит утилита для чистки реестра - сканирует и удаляем остаточный мусор... Итог: система абсолютно чистая и работает стабильно, сканирование Hitman Pro в лишний раз это подтвердило. -
-
От PR55.RP55 · Опубликовано
И в uVS явный косяк с анализом автозапуска. C:\WINDOWS\SYSWOW64\IHCTRL32.DLL C:\WINDOWS\SYSTEM32\IHCTRL32.DLL _________________________________________________ Полное имя C:\WINDOWS\SYSWOW64\IHCTRL32.DLL
Имя файла IHCTRL32.DLL
Сохраненная информация на момент создания образа
Статус [Запускался неявно или вручную]
File_Id 556EBE5498000
Linker 7.0
Размер 603648 байт
Создан 12.04.2017 в 20:44:02
Изменен 08.03.2017 в 07:22:45
TimeStamp 03.06.2015 в 08:44:04
EntryPoint +
OS Version 5.0
Subsystem Windows character-mode user interface (CUI) subsystem
IMAGE_FILE_DLL +
IMAGE_FILE_EXECUTABLE_IMAGE +
Оригинальное имя DDDDDDDD.DLL
Тип файла 32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись Отсутствует либо ее не удалось проверить
Доп. информация на момент обновления списка
SHA1 2428AE627F382A886C0C48F4748C0DB3FD943796
MD5 79283E53B76D96C869EF64241D5D2794
Ссылки на объект
Prefetcher C:\WINDOWS\Prefetch\Layout.ini _________________________________________ Полное имя C:\WINDOWS\SYSTEM32\IHCTRL32.DLL
Имя файла IHCTRL32.DLL
Тек. статус сервисная_DLL в автозапуске [SVCHOST]
Сохраненная информация на момент создания образа
Статус сервисная_DLL в автозапуске [SVCHOST]
Инф. о файле Не удается найти указанный файл.
Цифр. подпись проверка не производилась
Ссылки на объект
Ссылка HKLM\System\CurrentControlSet\Services\ihctrl32\Parameters\ServiceDLL
ServiceDLL %SystemRoot%\System32\ihctrl32.dll ____________________________________________ Полное имя C:\WINDOWS\SYSTEM32\WSAUDIO.DLL
Имя файла WSAUDIO.DLL
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ сервисная_DLL в автозапуске [SVCHOST]
Сохраненная информация на момент создания образа
Статус сервисная_DLL в автозапуске [SVCHOST]
Инф. о файле Не удается найти указанный файл.
Цифр. подпись проверка не производилась
Ссылки на объект
Ссылка HKLM\System\CurrentControlSet\Services\wsaudio\Parameters\ServiceDLL
ServiceDLL %SystemRoot%\System32\wsaudio.dll
________________________________________________ А из лога FRST видно, что... S2 wsaudio; C:\Windows\SysWOW64\wsaudio.dll [251392 2017-05-12] () [File not signed] 2017-06-25 15:31 - 2017-05-12 21:03 - 00251392 _____ C:\Windows\SysWOW64\wsaudio.dll ------------ И какой вывод ? 1) Файл а втозапуске - но как бы и нет... SYSWOW64 SYSTEM32 2) Файл есть но uVS его не видит... Образ: http://zalil.su/2930698 Тема: https://forum.esetnod32.ru/forum6/topic14098/ и таких тем ( по wsaudio.dll уже за сотню ) Я уже об этом в писал выше - а сейчас пишу подробно. -
От PR55.RP55 · Опубликовано
Error: (06/25/2017 05:44:21 PM) (Source: Microsoft-Windows-LoadPerf) (EventID: 3011) (User: NT AUTHORITY)
Description: При выгрузке строк счетчиков производительности для службы WmiApRpl (WmiApRpl) произошел сбой. Первое двойное слово (DWORD) в секции данных содержит код ошибки. Возможно что-то новое для WMI придумали.
Во сяком случае это: KERNCAP.VBS в секции WMI --------- Полное имя KERNCAP.VBS
Имя файла KERNCAP.VBS
Сохраненная информация на момент создания образа
Статус в автозапуске ---------------- Образ: http://zalil.su/5444829
-
От PR55.RP55 · Опубликовано
Demkd https://forum.esetnod32.ru/forum6/topic14097/ Если сравнить записи в uVS и FRST то я не вижу в uVS записи: BootExecute: autocheck autochk * sh4native 7099sdnclean64.exe Запуск приложений через ключ реестра BootExecute http://hex.pp.ua/bootexecute.php Я так думаю, что можно исхитриться и чего нибудь да запустить.
-