Перейти к содержанию

Массовая рассылка блогерам, фишинговый сайт gk-brains ru, троян.


Рекомендуемые сообщения

Доброго времени суток!

Файл отправленный для анализа был скачан с сайта https:// gk-brains ru/
Ссылка на данный сайт рассылается блогерам, с предложением о сотрудничестве.
Письмо отправлено с адреса *****@*****.tld

Я думаю это массовая рассылка, пожалуйста проанализируйте архив с сайта и файлы в нём, троян (а это 100% троян) содержится в "gb Договор на оказание рекламных услуг.scr", замаскирован под скринсейвер.

 

Пожалуйста добавьте в базу обнаружения, а так же методику лечения данной угрозы. Знакомый ютубер додумался скачать и запустить. Думаем что делать дальше.

 

Файл отправил для анализа через https://opentip.kaspersky.com/

9144716EDCA4A448BCA5E6CA103A7758B2F839280E128155F68D9BFC9A20EEDF

 

Очевидно что рассылка идёт прямо сейчас, и будет много жертв.

 

Так же - хотелось бы алгоритм полного удаления из системы, со всеми "хвостами".

Систему пока запускать боимся, думаю пролечить с загрузкой с флешки. 

По сему KVRT и логи предоставить не могу.

Ссылка на комментарий
Поделиться на другие сайты

Созрел план-капкан )

 

Есть ноут с чистой свежей виндой. Запустить трояна на нём, собрать логи, скинуть сюда. Подойдёт?

 

Забыл, пароль на архив на сайте - promo

 

Такс. Запустил трояна на пустом ноуте, подождал пока задача не завершится, и запустил сборщик логов (файл прикрепил).

Загрузил комп с Kaspersky RescueCD, прогнал проверку всех разделов - "угрозы не обнаружены".... Нипанятна...

 

Это такой хитрый троян (а по скану - 5 троянов внутри) что его не детектит Кассперский, или такой кривой троян, что он просто не работает нормально? ))

Или он просто крадёт пароли, и больше ничего? Никак на инсталлируется в систему?

 

Функционал бы узнать, чего бояться.

 

CollectionLog-2024.12.24-00.15.zip

логи ProcessMonitor и fileactivitywatch то же прилагаю. Это его действия во время заражения.

ProcessMonitor pml.rar fileactivitywatch-x64.zip

 

Отдельно действия этой бяки

ProcessMonitor only scr.zip

 

Не понимаю. Оно совершает массу каких-то действий с системными файлами, 

просканировал систему Kaspersky Rescue Disk, Dr.Web LiveDisk, KVRT, CureIt, установил Kaspersky Free, просканировал систему - ничего нет.

 

Да как так то? ...

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

Вирусные аналитики редко сюда заглядывают. Если у вас есть лицензия на продукты Касперского, можете связаться с тех-поддержкой:

для домашнего пользователя https://support.kaspersky.ru/b2c/#contacts

для пользователя корпоративным продуктом https://support.kaspersky.ru/b2b/#contacts

 

Мы же попробуем только очистить систему от вредоносных изменений.

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Windows\Clean\CleanTemp.vbs', '');
 DeleteSchedulerTask('Microsoft\Windows\Clean\Cleans temporal directories');
 DeleteFile('C:\Windows\Clean\CleanTemp.vbs', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

 

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O4 - Autorun.inf: E:\autorun.inf - (unknown target)
O7 - Policy: (UAC) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System: [EnableLUA] = 0
O7 - Policy: HKLM\Software\Policies\Microsoft\Windows Defender: [DisableAntiSpyware] = 1
O7 - Policy: HKLM\Software\Policies\Microsoft\Windows Defender: [DisableAntiVirus] = 1
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{3A7810E4-E157-40C3-A7D4-661E6EE08B4E} - (no key)
O26 - Debugger (Stack Rumbling): HKLM\..\svchost.exe: [MinimumStackCommitInBytes] = 0x8000

Ещё раз перезагрузите компьютер.

 

 

Для повторной диагностики запустите снова AutoLogger. Прикрепите новый CollectionLog.

 

Ссылка на комментарий
Поделиться на другие сайты

Спасибо!

 

Основную систему пока не запускаем, там у человека все материалы лежать, лет за 10. 40Тб+

 

Списался с поддержкой, уже разбираются что там.

Пока есть подозрение (в пределах моих скромных способностей) что он всё-таки прописывает в систему сомнительный файл(лы?), и он (пока) не определяется антивирусом. Хотя, это упакованная dll, в папке где она быть не должна в принципе. 

Ссылка на комментарий
Поделиться на другие сайты

18 минут назад, ARMADA сказал:

Основную систему пока не запускаем

Эти действия были написаны не для другой системы, а для той, с которой сняты логи.

 

Хорошо. Дождёмся ответа ТП.

Ссылка на комментарий
Поделиться на другие сайты

Логи я снимал с отдельно взятого под опыты ноутбука. Как раз лежал с чистой, только поставленной виндой. На нём и экспериментирую.

Тыкаю что говорит поддержка, и присылаю им )

Спасибо вам за помощь!

 

Будет какое-то полное решение проблемы - уже запустим на основном компе. Ооочень данные терять не хочется. 😃

Ссылка на комментарий
Поделиться на другие сайты

Распишу о происходящем (и произошедшем). Картина не полная, ввиду ограниченности моих знаний, что смог понять.

 

* Архив лежал на сайте указанном в первом сообщении (хостинг и домен на Рег.ру (руцентр), заблочен компетентными органами, список тут).

* В архиве - "gb Договор на оказание рекламных услуг.scr". Лоадер, определяемый как "HEUR:Trojan.Win32.Loader.gen"
* При запуске - Виснет в списке задач или как название изначального файла, или как пустая иконка, говоря что он - "c:\windows\SysWOW64\svchost.exe"
* Соединяется с 185.147.125.76:5000 (поддержка ещё упомянула C&C  45.150.32.106, что мне ничего не сказало, но в голове заиграл Hell March), 
* Скачивает оттуда с именем вида fb053a43-34af-4dea-a508-8a905d56a533.dll сначала в c:\Users\[user]\AppData\Local\temp, потом сохраняет в c:\ProgramData\[имя dll]\[имя dll].dll
* Содержимое - полиморфно(?) шифруется, каждый раз - разное. Размер порядка 1,76 МБ, отличается.

* Добавляет в реестр в 

[HKEY_CLASSES_ROOT\CLSID\{235D1375-D093-4CA5-AF41-780D5D29D9A9}]
[HKEY_CURRENT_USER\Software\Classes\CLSID\{235D1375-D093-4CA5-AF41-780D5D29D9A9}]
[HKEY_USERS\S-1-xxxxxxx\Software\Classes\CLSID\{235D1375-D093-4CA5-AF41-780D5D29D9A9}]
[HKEY_USERS\S-1-xxxxxxx_Classes\CLSID\{235D1375-D093-4CA5-AF41-780D5D29D9A9}]
"AppID"=hex:01,24, ......
@="f565616e-d169-4cf1-8363-e0550f008ced"
[-//- \InprocServer32]
@="C:\\ProgramData\\[имя dll]\\[имя dll].dll"
"ThreadingModel"="Both"

 

* Добавляет в планировщик задачу на выполнение при входе пользователя

<Exec>
 <Command>rundll32.exe</Command>
 <Arguments>-sta {235D1375-D093-4CA5-AF41-780D5D29D9A9}</Arguments>
</Exec>

 

* При старте системы - висит в памяти, детектится как "MEM:Trojan.Win32.SEPEH.gen"


На данный момент - 


Сайт заблокирован, 
Вышеуказанные IP блокируются Касперским, 
Угроза в памяти - обезврежевается, но не все длл детектируются, как и записи в реестре, и задача на запуск. 

 

Поддержка обещала доработать. Но в целом - побеждён.

  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

PS.

Спасибо Sandor за скрипты - то же прогнал после удаления.

Спасибо AlexeyK с forum.kaspersky.com за ощутимое участие и помощь в понимании работы.

Спасибо техподдержке, на удивление быстра и адекватна. И пнули в нужную сторону (планировщика).

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      Почти каждый третий представитель поколения Альфа мечтает стать блогером. Современные блогеры вдохновляют ребят на творчество в Интернете еще до наступления подросткового возраста. Поэтому очень важно, чтобы начинающие звезды могли ориентироваться в киберпространстве под присмотром взрослых. Интернет из жизни детей никуда не уйдет, а вот уметь безопасно им пользоваться — это отдельный навык, которым блогеру еще предстоит овладеть.
      В помощь родителям эксперты «Лаборатории Касперского» подготовили руководство Цифровой школьный портфель: руководство для родителей на учебный год (доступен в формате PDF). В нем мы собрали важные советы по обеспечению безопасности детей. А сегодня подробно расскажем, как родители могут помочь начинающим блогерам.
      1. Проявите интерес и не критикуйте ребенка
      Если ваш ребенок говорит, что хочет стать блогером, то самый правильный шаг для вас — это не игнорировать и не критиковать, а обсуждать новую затею вместе. Спросите, почему он хочет стать блогером, какой контент планирует размещать. С таким подходом ребенок поймет, что вы серьезно относитесь к его интересам — ну а вы сможете плавно перейти к теме безопасности в Интернете.
      Не нагружайте детей сложной технической информацией: ищите ресурсы, которые соответствуют их возрасту. Если ваш будущий блогер совсем юный, отлично подойдет наша киберазбука — бесплатная книга, которая помогает детям освоить основы цифровой гигиены в веселой и доступной форме.
       
      View the full article
    • Екатерина12165
      Автор Екатерина12165
      Всем привет. У меня винда 11.
      Недавно появились такие файлы и папки с иконкой моего антивирусника, но со странными названия, внутри папок был текст на латинице. Мой антивирусник "pro 32 ultimate security" не нашел вирусов. Прогнала ноут через DR.WEB он нашел вирус, после удаления и перезарузки ноута, файлы остались. Скачала касперского, тот нашел троян, также три раза прогнала через проверку, в первый раз якобы удалился троян и вирусы, а в след. разы пыталась таким способом удалить файлы, которые остались, также 0 результата, хотя вирусы вроде бы удалились, но что меня пугает это остаточные файлы и папки, они обновляются ежедневно. 
      Ранее скачивала через проверенный торрент игрушки... Мб из-за этого словила вирусы.
      Также Ярлыки и игрушки купленные в стиме открываются раз через раз, + иногда рабочий стол не откликается, просто не кликается.
      По поводу ярлыков и приложений, через диспетчер задач снимала их, после пыталась открыть, но без результата, помогала только перезагрузка на +- 2-3 раз. 
      Помогите, пожалуйста, убрать всё таки вирусы или трояны.  



    • KL FC Bot
      Автор KL FC Bot
      Если вы активно пользуетесь криптовалютой, но все еще качаете торренты и не представляете, как безопасно хранить сид-фразы, то у нас для вас плохие новости. Мы обнаружили новый троян Efimer, который подменяет адреса криптокошельков прямо в буфере обмена. Один клик — и деньги оказываются в кошельке злоумышленников.
      Рассказываем, что нужно сделать, чтобы ваша крипта оставалась в безопасности.
      Как распространяется Efimer
      Один из каналов распространения Efimer — сайты в системе WordPress. Ко всеобщему несчастью, WordPress — бесплатная и самая популярная система для управления веб-сайтами. Ею пользуются все: небольшие блогеры и бизнесы, крупные СМИ и корпорации. Злоумышленники взламывают плохо защищенные сайты и публикуют на них посты с зараженными торрентами.
      Как выглядит взломанный сайт на WordPress с Efimer
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Чаще всего фишинговые письма застревают в папке «Спам», потому что сегодня большинство из них легко распознаются почтовыми защитными системами. Но иногда эти системы ошибаются и в корзину попадают настоящие, не мошеннические сообщения. Сегодня расскажем, как распознать фишинговые письма и что с ними делать.
      Признаки фишинговых писем
      Существуют несколько общепринятых признаков, которые могут явно указывать на то, что письмо прислано мошенниками. Вот некоторые из них:
      Яркий заголовок. Фишинговое письмо, вероятнее всего, будет каплей в море вашего почтового ящика. Именно поэтому мошенники обычно стараются выделиться в наименовании словами-триггерами вроде «срочно», «приз», «деньги», «розыгрыш» и всем похожим, что должно побудить вас как можно скорее открыть письмо. Призыв к действию. Разумеется, в таком письме вас будут просить сделать хотя бы что-то из этого списка: перейти по ссылке, оплатить какую-нибудь ненужную вещь, посмотреть подробности во вложении. Главная цель злоумышленников — выманить жертву из почты в небезопасное пространство и заставить тратить деньги или терять доступы к аккаунтам. «Истекающий» таймер. В письме может быть таймер: «Перейдите по ссылке, она активна в течение 24 часов». Все подобные уловки — чушь, мошенникам выгодно торопить жертву, чтобы она начала паниковать и менее бережно относиться к своим деньгам. Ошибки в тексте письма. В последний год участились случаи, когда фишинговое письмо приходит сразу на нескольких языках, причем со странными ошибками. Странный адрес отправителя. Если вы живете, например, в России и вам пришло письмо с итальянского адреса — это повод насторожиться и полностью проигнорировать его содержимое. Раньше еще одним верным признаком фишингового письма было обезличенное обращение вроде «Уважаемый пользователь», но мошенники сделали шаг вперед. Теперь все чаще письма приходят адресные, с упоминанием имени жертвы. Их тоже нужно игнорировать.
       
      View the full article
    • varzi_73
      Автор varzi_73
      Добрый день! подцепил троян. Как восстановить данные?
      RDesk_Backup.rar
×
×
  • Создать...