Перейти к содержанию
Vilgelm

Так всё же вирус или нет?

Recommended Posts

Vilgelm

Доброго времени суток.

Когда то давно (более полугода назад) ставил себе кряк на количество одновременно открытых TCP\IP соединений. До сегодняшнего дня всё работало нормально, а сегодня, при очередном обновлении Нода, он заругался на один из компонентов этого лекарства, а именно CrackTcpip.sys.

Так как подозрения на вирус в системе были давно (из-за неадекватного её поведения), я решил, что поймал наконец-то зловреда. Но что бы удостовериться, решил проверить файл VirusTotal.

В итоге получил очень интересные результаты:

Результат: 28/41 (68.3%)

Подробнее...

Так как результаты оказались не стопроцентными, решил поискать информацию об этом файле в Google. В итоге получается, что Интернет сообщество расходится в мнениях: одни считают, что это вирус, другие, что определение этого файла как вредоносного, есть ни что иное, как ложное срабатывание, из-за его особенной роли.

Так всё же: помогите определиться вирус это или нет? И если да, то как его удалить не повредив систему (ведь простое удаление файла просто "убъёт" её, при установке кряка производились изменения в реестре и системных файлах) и где взять нормальное лекарство для увеличения количества открытых соединений для Windows Vista SP1.

Заранее спасибо

PS Сам файл в аттаче, пароль: virus

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vilgelm

Ага, спасибо.

Только ещё один вопрос: как теперь убрать фикс безопасно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      ---------------------------------------------------------
       4.11.8
      ---------------------------------------------------------
       o Управление DNS логом вынесено в отдельные твики, #41 и #42.
         DNS лог работает начиная с Win8 (в ограниченном виде) и с Win8.1 в полном.
         Отключение ведения лога происходит мгновенно во всех системах кроме Windows 10,
         в последнем случае необходимо перезагрузить систему после 42 твика.
         (Win7 и ниже не поддерживается).  
    • demkd
      да, выглядит странно, может быть CommandLineEventConsumer чем-то уже удален, антивирус какой-нибудь неаккуратно поработал.
    • santy
      здесь почему то нет потребителя события c5br1lMhB Consumer = "CommandLineEventConsumer.Name=\"c5br1lMhB\"" что это может быть? скрипт, который был недоступен на момент создания образа? запуск майнера был: C:\Windows\System32\rundll32.exe -o pool.supportxmr.com:443 -u 44EspGiviPdeZSZyX1r3R9RhpGCkxYACEKUwbA4Gp6cVCzyiNeB21STWYsJZYZeZt63JaUn8CVxDeWWGs3f6XNxGPtSuUEX -k --tls -p MOON но чем был вызван запуск - не смогли отследить. (зачистили без regt 39)                              IZTVMAIL01_2021-07-30_07-26-53_v4.11.6.7z
    • demkd
      привет, любой запуск процесса отслеживается, не важно что его запустило, дополнительно в wmi-activity разве что dll можно считать, которые подсаживались в wmiprvse.exe, толку только от этого.
    • santy
      Привет. Возможен ли расширенный мониторинг создаваемых процессов через подписки WMI, аналогично тому, как это выполняется сейчас в uVS через твик 39? (т.е. доп. события пишутся системой в лог WMI-Activity.evtx и затем экспортируются нужное в образ автозапуска) или это уже работает сейчас?  
×