Перейти к содержанию
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

Поиск маскировки процессов и драйверов

Эдуард Кондратьев

Автор Эдуард Кондратьев
в Компьютерная помощь

 Поделиться

Рекомендуемые сообщения

Эдуард Кондратьев Ветеран

Эдуард Кондратьев

Опубликовано
Опубликовано

При сканировании утилитой AVZ выдаётся такое сообщение:

 

Маскировка драйвера: Base=93800000, размер=73728, имя = "\SystemRoot\system32\DRIVERS\WUDFPf.sys"

 

подскажите насколько это опасно и опасно ли вообще.

Ссылка на комментарий
Поделиться на другие сайты
Эдуард Кондратьев Ветеран

Эдуард Кондратьев

Опубликовано
  • Автор
Опубликовано
запакуйте данный файл в архив с паролем "virus" - укажите его в теле письма, на newsvirus@kaspersky.com

Ответ: WUDFPf.sys

 

Вредоносный код в файле не обнаружен.

Ссылка на комментарий
Поделиться на другие сайты
Apollon Ветеран

Apollon

Опубликовано
Опубликовано
Ответ: WUDFPf.sys

 

Вредоносный код в файле не обнаружен.

Во время проверки АВЗ вы незабыли выключить Антивирусное ПО, а так же Фаерволлы?

Маскировка драйвера: Base=93800000, размер=73728, имя = "\SystemRoot\system32\DRIVERS\WUDFPf.sys"

 

подскажите насколько это опасно и опасно ли вообще.

Есть два варианта:

1. Ложное срабатываение утилиты (Фолс)

2. Есть начальная стадия заражения.

Ссылка на комментарий
Поделиться на другие сайты
Эдуард Кондратьев Ветеран

Эдуард Кондратьев

Опубликовано
  • Автор
Опубликовано
Во время проверки АВЗ вы незабыли выключить Антивирусное ПО, а так же Фаерволлы?

Вероятнее всего Вы правы, KIS работал.

Ссылка на комментарий
Поделиться на другие сайты
Эдуард Кондратьев Ветеран

Эдуард Кондратьев

Опубликовано
  • Автор
Опубликовано (изменено)

Маскировка драйвера: Base=8F032000, размер=98304, имя = "\SystemRoot\system32\drivers\parport.sys"

В этом случае KIS был отключен.

 

И в этом случае может тоже подскажите:

Анализ для процессора 1

Анализ для процессора 2

CmpCallCallBacks = 00000000

Изменено пользователем eduardkondratev
Ссылка на комментарий
Поделиться на другие сайты
valet Профи

valet

Опубликовано
Опубликовано (изменено)

Возможно, Вам стоит слелать полный комплект логов для разделе Уничтожение вирусов (ссылки в подписи) - тогда хелперы точно скажут, что с Вашим компьютером. По отдельным строчкам им трудно ориентироваться.

Изменено пользователем valet
Ссылка на комментарий
Поделиться на другие сайты
C. Tantin Корифей

C. Tantin

Опубликовано
Опубликовано

WUDFPf.sys - это Windows Driver Foundation - User-mode Driver Framework Platform Driver. Его маскировка - это странно. Ответ с ньювируса - это хорошо, но проверьте его на вирустотале.

 

parport.sys - это эвристик АВЗ ругается на драйвер параллельного порта.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Сергей100
      [РЕШЕНО] Вирус, предположительно маскировка под dwm.exe
      Автор Сергей100
      Здравствуйте. Полагаю, что вирус маскируется под dwm.exe. В диспетчере задач данных процессов два. Грузит ЦП и ПК не переходит в режим сна, только гаснет экран. При отключении одного из этих процессов ПК уходит в сон, но после скрипт вируса видимо перезагружается. Прошу помочь удалить данный вирус.
      CollectionLog-2025.03.26-03.50.zip
    • KL FC Bot
      Техника Polyglot для маскировки зловредов | Блог Касперского
      Автор KL FC Bot
      Не так давно на нашем блоге для ИБ-исследователей Securelist вышел пост об атаке на российские промышленные предприятия с использованием бэкдора PhantomPyramid, которую наши эксперты с высокой степенью уверенности атрибутируют группе Head Mare. Атака была достаточно стандартной — письмо, якобы содержащее конфиденциальную информацию плюс архив со зловредом, пароль для распаковки которого находится прямо в теле письма. Но интересен способ, при помощи которого злоумышленники прятали свой вредоносный код в, казалось бы, безобидном файле, — для этого они использовали технику polyglot.
      Что такое техника polyglot
      В матрице MITRE ATT&CK polyglot-файлы описываются как файлы, относящиеся сразу к нескольким типам и работающие по-разному в зависимости от приложения, в котором они запущены. Используются они для маскировки зловредов — для пользователя, а также для некоторых защитных механизмов они могут выглядеть как что-то совершенно безопасное, например картинка или документ. А по факту внутри находится вредоносный код. Причем код может быть написан сразу на нескольких языках программирования.
      Злоумышленники используют самое разное сочетание форматов. Компания Unit42 исследовала атаку с применением файла контекстной справки в формате Microsoft Compiled HTML Help (расширение .chm), который одновременно является HTML-приложением (файлом в формате .hta). Исследователи также описывают применение картинки в формате .jpeg, внутри которой по факту находится PHP-архив .phar. В случае с атакой, исследованной нашими экспертами, внутри архива .zip был спрятан исполняемый код.
      .
      View the full article
    • EpaX
      Подозрение на майнер в процессе dwm.exe
      Автор EpaX
      Пару дней назад, при открытии диспетчера задач, обратила внимание, что загруженность процессора с 99% резко падает на стандартные 3-4%. Плюс замечено откровенное торможение в ресурсоемких процессах. Так же в процессах висит три dwm.exe.
      Утилиты cureIt и касперский не помогли.
      Логи прилагаю. Очень надеюсь на помощь.

      CollectionLog-2025.03.26-21.31.zip
    • Little_Wound
      Сбой задачи и проблема с поиском устройств
      Автор Little_Wound
      Здравствуйте!
      1. Установил KSC 15. Задаю поиск устройств (на машинах нет агента или кес) по диапазону ip адресов. Находит как то выборочно (машины часть на винде, часть на астре). По какому принципу идёт поиск и что может мешать ему "увидеть" машину в сети?
      2. Сделал Инсталляционные пакеты Kaspersky Network Agent for Linux aarch64 deb (Русский)_15.1.0.20748 и Kaspersky Endpoint Security 12.2 для Linux (Русский)_12.2.0.2412, создал задачу Задача удаленной установки приложения, но она отрабатывает с ошибкой: Удаленная установка на устройстве завершена с ошибкой: Installation script error. Чем вызвана данная ошибка?
       

    • Acteon_927
      Kaspersky Plus поиск утечки паролей.
      Автор Acteon_927
      Завел в офисе Альфа-банка пластиковую карту, мне выдали временные логин и пароль для Альфа-онлай. При первом заходе в личный кабинет сменил эти временные данные, хотя мог использовать их еще месяц. И вот KP сообщил об утечке пароля временного аккаунта. Где могла произойти утечка? Мой ПК защищен KP, браузеры в режиме безопасных платежей. Ранее были сообщения о моих утечках на сайтах Леруа-Мерлен, фото. Указывалось имя почтового ящика яндекс почты. Теперь предупреждение об этом почтовом ящике исчезло. Я поменял для него пароль.
×
×
  • Создать...