Перейти к содержанию
Правила раздела

Коллега по работе подцепил байду :)

Sandynist

От Sandynist
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

thyrex Мудрец

thyrex

Опубликовано
Опубликовано
Выполните скрипт в AVZ

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

if not IsWOW64

 then

  begin

   SearchRootkit(true, true);

   SetAVZGuardStatus(True);

  end;



DelBHO('{7CE987D5-11B3-44FC-9C3D-03069360D462}');

 DelBHO('{1FE48F08-A2AC-44AC-A21C-0556D91C50DA}');

 QuarantineFile('C:\Documents and Settings\Дамир\Local Settings\Application Data\Kometa\Panel\KometaLaunchPanel.exe','');

 SetServiceStart('Update Service for Gigabase', 4);

 DeleteService('Update Service for Gigabase');

 SetServiceStart('Update Service for advPlugin', 4);

 DeleteService('Update Service for advPlugin');

 QuarantineFile('C:\Program Files\Gigabase\Basement\Extension32.dll','');

 QuarantineFile('C:\Program Files\advPlugin\Toolbar32.dll','');

 QuarantineFile('C:\Program Files\advPlugin\Interfaces32.dll','');

 TerminateProcessByName('c:\documents and settings\Дамир\local settings\application data\kometa\application\kometa.exe');

 QuarantineFile('c:\documents and settings\Дамир\local settings\application data\kometa\application\kometa.exe','');

 QuarantineFile('c:\program files\gigabase\guard\guardbackgroundservice.exe','');

 QuarantineFile('c:\program files\gigabase\basement\extensionupdaterservice.exe','');

 TerminateProcessByName('c:\program files\advplugin\backgroundsingleton.exe');

 QuarantineFile('c:\program files\advplugin\backgroundsingleton.exe','');

 DeleteFile('c:\program files\advplugin\backgroundsingleton.exe','32');



 DeleteFile('c:\documents and settings\Дамир\local settings\application data\kometa\application\kometa.exe','32');

 DeleteFile('C:\Program Files\advPlugin\Interfaces32.dll','32');

 DeleteFile('C:\Program Files\advPlugin\Toolbar32.dll','32');



RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','pcket_x86');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','KometaAutoLaunch_ED30EE5845B6B310E1F9AD7FA824794F');

 DeleteFile('C:\Documents and Settings\Дамир\Local Settings\Application Data\Kometa\Panel\KometaLaunchPanel.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','KometaLaunchPanel');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup');

 DeleteFile('C:\Documents and Settings\Дамир\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.url','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduAnTray');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','pcket_x64');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','BaiduSdTray');







 BC_ImportAll;

ExecuteSysClean;



 BC_DeleteFile('c:\program files\baidu\baiduan\3.0.0.3971\baiduansvc.exe');

 BC_DeleteFile('c:\program files\baidu\baiduan\3.0.0.3971\baiduantray.exe');

 BC_DeleteFile('c:\program files\common files\baidu\baiduhips\1.0.0.667\baiduhips.exe');

 BC_DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\baidusdsvc.exe');

 BC_DeleteFile('c:\program files\baidu\baidusd\2.1.0.3086\baidusdtray.exe');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\ad.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDLogicUtils.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\bdmantivirus\BDKitUtils.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\bdmantivirus\BDMAVCached.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\bdmantivirus\BDMAVEng.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\bdmantivirus\bduf.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMCommon.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMDbSqlite.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMFrameWork.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMNet.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMReport.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMSkin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDMUpdate.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\DriverManager.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\EnhanceBoost.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\FTSOManager\BDMNetMonMgrDll.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\FTSOManager\BDMProcessRunningTime.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\FTSOManager\BDMSOLiveAccDataMgr.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\FTSOManager\BDMSOLiveAccEngine.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\FTSOManager\BDMSOLiveAccStrategyMgr.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\FTSOManager\SysAccMgrDll.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\libcurl.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\LIBEAY32.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\Plugins\BDMPatcherPlugins\BDMConnect.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\plugins\bdmsusplugins\BDMNetMonSusPlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\plugins\bdmsusplugins\BDMSOAccSusPlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\Plugins\bdmtrayplugins\BDMAccount.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\Plugins\bdmtrayplugins\BDMSOAccTrayPlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\Plugins\bdmtrayplugins\BDMSOCleanerTrayPlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\Plugins\BDMTrayPlugins\BDMSusPlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\Plugins\bdmtrayplugins\BDMTrayTipsPlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\plugins\RTPPlugins\BDMSOAccServicePlugin.dll');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\plugins\RTPPlugins\HipsClient.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\ad.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDConfig.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDKVDeskBand.dll');

 BC_DeleteFile('C:\PROGRAM FILES\BAIDU\BAIDUSD\2.1.0.3086\BDKVDOWNLOADPROTECT.DLL');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDLogicUtils.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDKitUtils.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVCached.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMAVEng.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDMPerfMon.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\BDUDiskGuard.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\bduf.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\bdmantivirus\TrustAndIso.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDMAVE.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDMDbSqlite.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDMFrameWork.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDMNet.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BDMSkin.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\DriverManager.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\FileMon.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\HIPSClient.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\plugins\bdkvrtpplugins\PrivacyProtect.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\Plugins\bdkvtrayplugins\BDDownLoadProtectPlugin.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\Plugins\bdkvtrayplugins\BDKVRmvDevPlugin.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\Plugins\bdkvtrayplugins\BDKVTrayTipsPlugin.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\websafe\DllInject.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\websafe\websafe.dll');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\websafe\WebSafePlugin.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\bd0001.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDConfig.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDLogicUtils.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMAVCached.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMAVEng.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMBase.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMFrameWork.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMNet.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMReport.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMStringUtils.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\BDMTinyXml.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\DriverManager.dll');

 BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.0.0.667\TrustAndIso.dll');

 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0001.sys');

 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0002.sys');

 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\bd0003.sys');

 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\BDArKit.sys');

 BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\BDMWrench.sys');

 BC_DeleteSvc('BaiduHips');

 BC_DeleteSvc('BDKVRTP');

 BC_DeleteSvc('BDMRTP');

 BC_DeleteSvc('bd0001');

 BC_DeleteSvc('bd0002');

 BC_DeleteSvc('bd0003');

 BC_DeleteSvc('BDArKit');

 BC_DeleteSvc('BDMWrench');



BC_DeleteFile('C:\Program Files\BaiduEx\uninit.exe');

 BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnTray.exe');

 BC_DeleteFile('C:\Program Files\baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe');





BC_Activate;

RebootWindows(false);

end.
Компьютер перезагрузится.

 


Выполните скрипт в AVZ

begin

CreateQurantineArchive('c:\quarantine.zip');

end.
c:\quarantine.zip отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)

 


Сделайте новые логи

 

Сделайте лог ComboFix
Ссылка на комментарий
Поделиться на другие сайты
Sandynist Гигант мысли

Sandynist

Опубликовано
  • Автор
Опубликовано

В меню «Установка и удаление программ» Всё равно осталась Байду после работы скрипта, провёл штатную процедуру удаления. Нужно ли ещё раз повторить комбинированные логи?

Ссылка на комментарий
Поделиться на другие сайты
Sandynist Гигант мысли

Sandynist

Опубликовано
  • Автор
Опубликовано

Пересканировал мультисканерами. К сожалению, не получился лог ComboFix, причины установить не смог.

AutoLogger.rar

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Содержимое папки c:\program files\gigabase известно?

 

Пересоздайте ярлыки

C:\Documents and Settings\Дамир\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
C:\Documents and Settings\Дамир\Главное меню\Программы\Yandex\Yandex.lnk
C:\Documents and Settings\Дамир\Рабочий стол\Игры на все вкусы\Всё остальное\OPERA\Mozilla Firefox.lnk
C:\Documents and Settings\Дамир\Рабочий стол\Игры на все вкусы\Сот.Сети\Google Chrome.lnk
C:\Documents and Settings\Дамир\Рабочий стол\Игры на все вкусы\Сот.Сети\Opera 24.lnk
C:\Documents and Settings\All Users\Главное меню\Программы\DivX Plus\Check for Updates.lnk
C:\Documents and Settings\All Users\Главное меню\Программы\DivX Plus\Codec Settings.lnk
C:\Documents and Settings\All Users\Главное меню\Программы\DivX Plus\DivX Plus Converter.lnk
C:\Documents and Settings\All Users\Главное меню\Программы\DivX Plus\Register.lnk
C:\Documents and Settings\All Users\Рабочий стол\DivX Plus Converter.lnk

 

 

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c5f75fd68b7a729dc16b7a12285d4574&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c5f75fd68b7a729dc16b7a12285d4574&text={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.ru/cnt/10445?gp=profitraf5
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c5f75fd68b7a729dc16b7a12285d4574&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c5f75fd68b7a729dc16b7a12285d4574&text=

Удалите 

C:\Documents and Settings\Дамир\Application Data\advPlugin
C:\WINDOWS\system32\drivers\BDArKit(1).sys
C:\Documents and Settings\Дамир\Application Data\Baidu
C:\Program Files\Common Files\Baidu
C:\Documents and Settings\All Users\Application Data\Baidu
C:\Program Files\Baidu
C:\Program Files\BaiduEx
C:\Program Files\advPlugin

 

 

Выполните скрипт в AVZ
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;

 DelBHO('{21A07E17-5809-484C-80D8-938064663D47}');
 DeleteService('BDEnhanceBoost');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\BDEnhanceBoost.sys','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run-','amigo');
 DeleteFile('C:\Documents and Settings\Дамир\Local Settings\Application Data\Amigo\Application\amigo.exe','32');

 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.
 
Сделайте новые логи
 
Сделайте лог МВАМ
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Elly
      Вопросы к администрации по работе форума
      От Elly
      Вопросы по работе форума следует писать сюда. Вопросы по модерированию, согласно правилам, сюда писать не следует.
      Ответ можно получить только на вопрос, который грамотно сформулирован и не нарушает правил\устава форума.
    • Anix
      log работы ELPACO-team
      От Anix
      Отключил винт и подцепил его к виртуалке,
      нашёл лог работы заразы.
      Может поможет в создании лекарства
      temp.rar
    • Mrak
      Приём работ на конкурс осенней фотографии 2024
      От Mrak
      В этой теме осуществляется приём конкурсных работ на конкурс осенней фотографии 2024 года.
      Правила конкурса размещены ТУТ.
    • Sandynist
      Напомните, куда правильно пожаловаться на некорректную работу сайтов Лаборатории?
      От Sandynist
      Добрый вечер! Давно хотел написать о проблеме, но всё руки не доходили. 
       
      Немного истории: с большими усилиями компании удалось выкупить региональный домен https://www.kaspersky.kz/
      Можете погуглить, история мутная, какой-то предприимчивый делец зарегистрировал это имя себе и запросил много бабла с компании. 
       
      Но вот теперь казалось бы всё должно наладится, и сайт должен заработать корректно, но ничего подобного.
      Если у нас попытаться открыть ссылку в виде:
      https://www.kaspersky.ru/about/press-releases/zhertvami-novoj-versii-troyanca-necro-mogli-stat-milliony-vladelcev-android-ustrojstv
      то происходит автоматический редирект на наш региональный домен:
      https://www.kaspersky.kz/about/press-releases/zhertvami-novoj-versii-troyanca-necro-mogli-stat-milliony-vladelcev-android-ustrojstv
      на котором никакой статьи не наблюдается. 
       

       
      Так всё это не работает уже более года, а может даже и двух. Хотел традиционно задать этот вопрос Евгению Валентиновичу, но он заметно нервничает, когда его начинают спрашивать по технической части. А я в свою очередь не знаю куда и кому адресовать жалобу, это же не антивирусный продукт.
      Написал письмо на адрес info@kaspersky.com , но очень сомневаюсь, что будет хоть какой-то результат.
       
      P.S. Раньше тут появлялись технические специалисты компании, которым напрямую можно было написать про такие проблемы, как сейчас с этим обстоят дела?
    • KL FC Bot
      Эффективное внедрение ИИ для оптимизации работы аналитиков SOC
      От KL FC Bot
      Хотя искусственный интеллект можно применять в ИБ-сфере разными способами, от детектирования угроз до упрощения написания отчетов об инцидентах, наиболее эффективными будут применения, которые значительно снижают нагрузку на человека и при этом не требуют постоянных крупных вложений в поддержание актуальности и работоспособности моделей машинного обучения.
      В предыдущей статье мы разобрались, как сложно и трудоемко поддерживать баланс между надежным детектированием киберугроз и низким уровнем ложноположительных срабатываний ИИ-моделей. Поэтому на вопрос из заголовка ответить очень легко — ИИ не может заменить экспертов, но способен снять с них часть нагрузки при обработке «простых» случаев. Причем, по мере обучения модели, номенклатура «простых» случаев будет со временем расти. Для реальной экономии времени ИБ-специалистов надо найти участки работ, на которых изменения происходят более медленно, чем в «лобовом» детектировании киберугроз. Многообещающим кандидатом на автоматизацию является обработка подозрительных событий (триаж).
      Воронка детектирования
      Чтобы иметь достаточно данных для обнаружения сложных угроз, современная организация в рамках своего SOC вынуждена ежедневно собирать миллионы событий с сенсоров в сети и на подключенных устройствах. После группировки и первичной фильтрации алгоритмами SIEM эти события дистиллируются в тысячи предупреждений о потенциально вредоносной активности. Изучать предупреждения обычно приходится уже людям, но реальные угрозы стоят далеко не за каждым таким сообщением. По данным сервиса Kaspersky MDR за 2023 год, инфраструктура клиентов генерировала миллиарды событий ежедневно, при этом за весь год из них было выделено 431 512 предупреждений о потенциально вредоносной активности. Но лишь 32 294 предупреждения оказались связаны с настоящими инцидентами ИБ. То есть машины эффективно просеяли сотни миллиардов событий и лишь ничтожный процент из них отдали на просмотр людям, но от 30 до 70% этого объема сразу помечаются аналитиками как ложные срабатывания, и около 13% после более глубокого расследования оказываются подтвержденными инцидентами.
       
      View the full article
×
×
  • Создать...