Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Добрый день, имеем учебное заведение, примерно 180 компов заведенных в AD. Распространяются GPO  С 1 сентября начали сталкиваться с такой проблемой:

Студент жалуется на комп, смотрим, в нем майнер. Начинаем смотреть. В трее KES нет, в панели управления висит, при попытке удаления предлагает только удалить, причем запрашивает учетку для деактивации. Самой папки с касперским нет.  Разумеется стоит защита интерфейса паролем. Стоит блокировка удаления агента паролем, но скорее всего агента тоже нет на компе уже. Появилась локальная учетка с админ правами main с паролем 123456. Из интересного в одной из учеток main на рабочем столе нашли Rubeus с гитхаба. Бегло прочитав, выясняется, что можно достаточно легко сделать подмену билета и получить на локальном компе админ права.. Окей, ставим запрет на запуск CMD в любом виде, что просто командная строка, что выполнение скриптов. Один хрен продолжаем получать компы с такими проблемами. Пароли от локальных учеток на компах и пароли администратора доменного достаточно сложные, набор цифробукв.

Есть подозрение все таки на студентов, так как есть классы только с дизайнерами и информатикой, а есть с программистами. Так вот страдают именно классы с программистами. Точнее можем уже сузить круг до конкретной группы с таким студентом. Интересует вопрос, как это может происходить? как защититься от такого? Возможно что загружаются с флешки например в winpe а потом сносят папку с касперским?

Опубликовано

Добрый день,
Какая операционная система? Все обновления установлены?
Какая версия KES используется?
Когда был создан новый администратор? Стоят камеры в кабинете?
В BIOS запрещена загрузка с внешних устройств? Стоит пароль?
Если нет, то стоит запретить загрузку и установить пароль.
Можете проверить на наличие уязвимостей/вирусов в соседней разделе -  

Опубликовано

вчера (23 сентября) накатили эталонный образ системы с OC windows 10 с последними обновлениями от августа.

После восстановления образа обновилась ОС до актуальной на вчерашние сутки.

KES 12.6 тоже самый актуальный.

Пароль от локального User  админа был изменен мною. Встроенная учетка администратор удалена.

Новый администратор создан сегодня утром. Камеры есть.

в bios нет не запрещена, пароль стоит. 

На вирусы проверяли, находится один троян в оперативной памяти. И 3 файла от майнера.

В принципе уже разобрались что папка с KES в безопасном режиме ни чем не защищена. Попадают в безопасный режим через многократную перезагрузку через режим восстановления, GPO там не работают, доступ к командной строке там имеется. Теперь остается вопрос как запретить вообще безопасный режим...

Опубликовано
46 минут назад, tianddu сказал:

Новый администратор создан сегодня утром. Камеры есть.

Тогда стоит посмотреть камеры ;)

47 минут назад, tianddu сказал:

в bios нет не запрещена

Попробуйте запретить. Иначе данная затея также закончится ничем:

1 час назад, tianddu сказал:

как запретить вообще безопасный режим.

Опубликовано
11 часов назад, andrew75 сказал:

Не проверял, и способ какой-то достаточно варварский, но можно попробовать - https://www.actualidadgadget.com/ru/как-отключить-функцию-безопасного-режима-в-windows/

все эти инструкции разбиваются об переход в режим восстановления, во время запуска винды надо перезагрузить 3-5 раз через reset и ОС переходит в режим восстановления, дальше появляется доступ к командной строке с "нормальными" правами, и разрешает редактировать реестр. Пишут что может помочь еще bitlocker буду смотреть, читать, всем спасибо за помощь!

Опубликовано

На самом деле есть одно решение - это использование FDE Kaspersky. А вообще за обход ограничений нужно наказывать - выговор, отчисление

Опубликовано
29 минут назад, mike 1 сказал:

. А вообще за обход ограничений нужно наказывать - выговор, отчисление

Это не просто обход ограничений, это намеренное вредительство. Так что примите административные меры чтобы другим неповадно было. Или напугайте для начала. Тут при желании уголовную статью притянуть можно.

Опубликовано
47 минут назад, mike 1 сказал:

На самом деле есть одно решение - это использование FDE Kaspersky

оно же попросит ввод пароля для доступа к ОС или я не до конца в ней разобрался?

48 минут назад, mike 1 сказал:

А вообще за обход ограничений нужно наказывать - выговор, отчисление

ну это же как мазать комариные укусы от зуда, нежели использование фумигатора. Хотя тут вариантов использования "фумигатора" нет..

14 минут назад, andrew75 сказал:

Это не просто обход ограничений, это намеренное вредительство. Так что примите административные меры чтобы другим неповадно было. Или напугайте для начала. Тут при желании уголовную статью притянуть можно.

юристы сказали что 273 ук рф притянуть будет тяжело, как и нанесение ущерба, шкурка выделки не стоит. Лучше не связываться, а просто отчислить. 

Опубликовано
2 часа назад, tianddu сказал:

оно же попросит ввод пароля для доступа к ОС или я не до конца в ней разобрался?

Можно использовать технологию SSO, если машинки в домене. 

  • Согласен 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Ser_S
      Автор Ser_S
      Здравствуйте, подскажите как можно удалить KES 12.1.0, а то как то затянулся  KEKS c KEPS    В Панели управления->Удаление программ  его нет, но он есть в реестре, и в службах
      Также есть каталог C:\Program Files\Kaspersky Lab\KES 12.1.0, со всем содержимым (есть приложения avp и т.д., полный комплект приложений).
      OC win7-32 бита. Хотелось бы без всяких клинеров и ремоверов от касп. так как полагаю, что они рассчитаны на 64 бита, и приходится прибегать к точке восстановления, после их работы
      Т.е. можно ли  средствами этих приложений, которые в каталоге деинсталлировать или нет?., чтоб удалить(не остановить) хотя бы службы, а в реестре пусть болтаются..
    • Ser_S
      Автор Ser_S
      Здравствуйте, при обновление KES, вышло сообщение об ошибке, значит что-то пошло не так, и он самоликвидировался. Задаю вопрос в тех поддержку, как установить?, прикрепляю отчёт и скрин, со службами, которые там присутствуют, новые службы или старые, или очень древние не знаю. Ответ с ТП стандартный запускайте клеанер и повторно устанавливайте(видать некогда им там разбираться). Запускаю по инструкции клеанер, но службы все рано не удалились. Да и понятно клеанер чистит реестр, а не службы, но наверное в ТП это не подозревают. В общем, как после удаления Касперского, очистить службы, которые могут остаться в списке служб, от каких-то старых версий?
    • androv
      Автор androv
      Подключаюсь к серверу через Radmin VPN и нет доступа к KES. Помогите как это исправить.
    • PoZv
      Автор PoZv
      Установил на ПК Агент 14.2, пытаюсь установить удаленно KES и постоянно вылезает такая ошибка, что делать?


    • The_Immortal
      Автор The_Immortal
      Здравствуйте!
      Обращался с данным инцидентом в ТП, но та уже довольно долго молчит, и есть вероятность, что проблему не решит. Хотя проблема вовлекает, на мой взгляд, некорректную работу KSC, так что не знаю как это обработается с их стороны.

      Создана задача с такими параметрами для конкретного устройства по удаленной установке KES с предварительной установкой Network Agent, параллельно никаких задач с таким типом не выполняется.
      По результатам выполнения видно, как Network Agent успешно устанавливается, а далее установка KES не происходит. При этом проходит более суток  и более с момента последнего шага, статус "Выполняется (50%)" не меняется.
      Дело в том, что в качестве таймаута для задачи указаны дефолтные 60 мин., но как-то KSC это дело игнорирует, потому как, видимо, получает информацию, что клиент отвечает. 

      Нашел подобную проблему. Однако в моем случае с целевого компьютера доступ к серверу администрирования имеется - каталог \\kaspsrv\KLSHARE\Packages\KES_12.4.0.467\ доступен. Более того проблема проявляется и на ряде других машин (но не на всех) - понять в чем ними разница я не могу.

      Вопрос: каким образом продиагностировать в чем проблема на целевом ПК?

      Спасибо!
       
      P.S. Прилагаю GSI-отчет, вдруг чем-то поможет.
×
×
  • Создать...