Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

pdm:exploit.win32.generic

Здравствуйте
начиная с 1 го августа ловим сработки на нескольких наших группах.
первая группа - физические ПК с KES
вторая группа - виртуальные машины с KSLA
проблема появилась одновременно на всех устройствах

закономерность в сработках отследить трудно
ругается всегда на файл svchost
Описание из события на KES:
Описание результата: Обнаружено
Тип: Троянское приложение
Название: PDM:Exploit.Win32.Generic
Пользователь: NT AUTHORITY\LOCAL SERVICE (Системный пользователь)
Объект: C:\Windows\System32\svchost.exe
Причина: Поведенческий анализ
Дата выпуска баз: 02.08.2024 20:19:00
SHA256: 6FC3BF1FDFD76860BE782554F8D25BD32F108DB934D70F4253F1E5F23522E503
MD5: 7469CC568AD6821FD9D925542730A7D8

описание с KSLA (сначала "обнаружено" затем "запрещено")
Объект: C:\Windows\System32\svchost.exe
Результат: Запрещено: PDM:Exploit.Win32.Generic
Причина: Опасное действие
Пользователь: NT AUTHORITY\СИСТЕМА

откуда снимать трассировки и отчеты не ясно
все что нашли по зависимостям это именно одновременные сработки
на Virus total проверяли, ничего не нашли
KATA тоже показывает что все ок но угрозу это видит
ваш сайт проверки false positive тоже показывает что всё ок с подписью от microsoft

через ката видим
параметры запуска:
C:\\Windows\system32\svchost.exe -k localservice -p -s remoteregistry
файл C:\\Windows\System32\svchost.exe

по флагам похоже на удаленный доступ к реестру
подскажите куда копать?
false positive или нет?

На пк и виртуалках стоит Windows 10
KES 12.5 на физических
KSLA 5.2 на виртуалках

Опубликовано

Здравствуйте, обновления на Windows 10 устанавливаются своевременно? 

Опубликовано

Тогда включите трейсы KES, перезагрузите компьютер, воспроизведите проблему, отключите трейсы, соберите GSI отчет и оформите запрос через Kaspersky Company, подгрузив информацию которую собрали ранее. 

  • Like (+1) 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • vltr
      Автор vltr
      Доброго времени суток. Несколько дней назад после установки игры Симс начала вылезать плашка об обнаружении "PDM:Trojan.Win32.Generic" в определённой папке. Был просканирован компьютер. Нежелательные файлы удалены. В том числе и тот, в котором видел троян. Его касперский сам сразу удалял. Но проблема в том, что после лечения трояна и перезапуска пк плашка снова появляется. Троян сам восстанавливается или программа почему - то до сих пор удалённый файл видит и ругается? Никак не могу понять. Прошу помочь с данной ситуацией 

    • nikolai.ilyin
      Автор nikolai.ilyin
      Зашифровали всю сеть 
      virus.7z Addition.txt
    • Mapuo__
      Автор Mapuo__
      Добрый день, в последние дни наблюдается странная активность на машине, пытались и через KES (другим ПО, вручную) проводить удаление\лечение но каждый день находит подозрительные файлы. Так же иногда находил файлы в оперативной памяти (на скрине не видно, почему-то перестал там отображаться) + так же грузит ЦП в 100 при включенном KES. Смотрел похожие случаи на форме, там вы помогали скриптами людям, отчеты прикрепляю(собирал через AutoLogger), надеюсь правильно собрал., + скрин хранилища (первые два стабильно попадаются на удаление)

      CollectionLog-2025.02.04-09.33.zip
    • Sv1gL
      Автор Sv1gL
      Здравствуйте.
      скачиваю лаунчер faceit с официального сайта, при попытки открыть, антивирус находит файл Trojan.Win32.Generic.
      что делать? Лаунчер нужен
      Сообщение от модератора kmscom Тема перемещена из раздела Помощь в удалении вирусов  
    • GlibZabiv
      Автор GlibZabiv
      При фоновой проверке Kaspersky Internet Security нашел PDM:Trojan.Win32.Generic, после лечения и следующего включения компьютера он восстанавливается. Помогите, пожалуйста, его удалить.
      CollectionLog-2025.07.23-12.02.zip
×
×
  • Создать...