Перейти к содержанию

Рекомендуемые сообщения

Судя по этим записям, вам явно кидали пак с эксплойтами

 

Цитата

30.01.2025 15:40:53    C:\Windows\NetworkDistribution\posh-0.dll    Обнаружено    Обнаружен вредоносный объект    HEUR:Trojan.Win32.EquationDrug.gen    Экспертный анализ    Файл    C:\Windows\NetworkDistribution    posh-0.dll    Обнаружено    Троянское приложение    Высокая    Эвристический анализ    ***\p24_adm_renzhinda    Активный пользователь
30.01.2025 15:40:54    C:\Windows\NetworkDistribution\posh-0.dll    Удалено    Объект удален    HEUR:Trojan.Win32.EquationDrug.gen        Файл    C:\Windows\NetworkDistribution    posh-0.dll    Удалено    Троянское приложение    Высокая    Эвристический анализ    ***\p24_adm_renzhinda    Активный пользователь

 

Эксплойты из известного утекшего пакета Shadowbrockers есть в обаружениях:

Цитата

30.01.2025 15:41:12    C:\Windows\NetworkDistribution\exma-1.dll    Обнаружено    Обнаружен вредоносный объект    Trojan.Win32.ShadowBrokers.x    Экспертный анализ    Файл    C:\Windows\NetworkDistribution    exma-1.dll    Обнаружено    Троянское приложение    Высокая    Точно    ***\p24_adm_renzhinda    Активный пользователь
30.01.2025 15:41:14    C:\Windows\NetworkDistribution\exma-1.dll    Удалено    Объект удален    Trojan.Win32.ShadowBrokers.x        Файл    C:\Windows\NetworkDistribution    exma-1.dll    Удалено    Троянское приложение    Высокая    Точно    ***\p24_adm_renzhinda    Активный пользователь
30.01.2025 15:41:13    C:\Windows\NetworkDistribution\exma-1.dll    Создана резервная копия    Создана резервная копия объекта    Trojan.Win32.ShadowBrokers.x        Файл    C:\Windows\NetworkDistribution    exma-1.dll    Создана резервная копия    Троянское приложение    Высокая    Точно    ***\p24_adm_renzhinda    Активный пользователь


 

 

Добавьте новый отчет по обнаружениям, чтобы были видны обнаружения  на текущую дату.

Судя по поиску в отчете "Обнаружен вредоносный объект" обнаружения продолжаются и 02, и 03, и 04 хотя уже не в таких количествах как 30 и 31.

----------------

Судя по ранним темам на нашем форуме обнаружение в папке "C:\Windows\NetworkDistribution" может быть связано с трояном dllhostex.exe

Файл dllhostex.exe, расположенный в папке C:\Windows\System32, принадлежит процессу COM Surrogate. 

Процесс слушает или шлёт данные на открытые порты в сети или по интернету, а также способен мониторить приложения. 

Большинство антивирусных программ распознаёт dllhostex.exe как вирус.

 

В логах обнаружений на вашей системе данного файла нет. Нет его и в образе автозапуска.

 

Т.е. основная версия - это то, что в вашей ЛС есть зараженное устройство/система с этим трояном, которое рассылает эксплойты по открытым портам, и способно проникнуть на другое устройство, где нет актуальной защиты.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • failkey
      От failkey
      Не знаю как удалить Трояны. Остаются даже после восстановления винды (именно откат на несколько дней) . Касперский тоже не справляется
    • ГГеоргий
      От ГГеоргий
      pdm:exploit.win32.generic
      Здравствуйте
      начиная с 1 го августа ловим сработки на нескольких наших группах.
      первая группа - физические ПК с KES
      вторая группа - виртуальные машины с KSLA
      проблема появилась одновременно на всех устройствах

      закономерность в сработках отследить трудно
      ругается всегда на файл svchost
      Описание из события на KES:
      Описание результата: Обнаружено
      Тип: Троянское приложение
      Название: PDM:Exploit.Win32.Generic
      Пользователь: NT AUTHORITY\LOCAL SERVICE (Системный пользователь)
      Объект: C:\Windows\System32\svchost.exe
      Причина: Поведенческий анализ
      Дата выпуска баз: 02.08.2024 20:19:00
      SHA256: 6FC3BF1FDFD76860BE782554F8D25BD32F108DB934D70F4253F1E5F23522E503
      MD5: 7469CC568AD6821FD9D925542730A7D8

      описание с KSLA (сначала "обнаружено" затем "запрещено")
      Объект: C:\Windows\System32\svchost.exe
      Результат: Запрещено: PDM:Exploit.Win32.Generic
      Причина: Опасное действие
      Пользователь: NT AUTHORITY\СИСТЕМА

      откуда снимать трассировки и отчеты не ясно
      все что нашли по зависимостям это именно одновременные сработки
      на Virus total проверяли, ничего не нашли
      KATA тоже показывает что все ок но угрозу это видит
      ваш сайт проверки false positive тоже показывает что всё ок с подписью от microsoft

      через ката видим
      параметры запуска:
      C:\\Windows\system32\svchost.exe -k localservice -p -s remoteregistry
      файл C:\\Windows\System32\svchost.exe

      по флагам похоже на удаленный доступ к реестру
      подскажите куда копать?
      false positive или нет?
      На пк и виртуалках стоит Windows 10
      KES 12.5 на физических
      KSLA 5.2 на виртуалках
    • Zafod
      От Zafod
      Произошло шифрование файлом Locker.exe из под учётной записи администратора домена admin$ (создан вирусом). Время когда учётка админа (admin$) была создана удалено из логов (из логов пропали сутки). На сервере установлен Kaspersky Endpoint Security под управлением KSC, вирус был обнаружен, скопирован в карантин, удалён, но данные всё равно зашифрованы. Машина с KSC так же зашифрована и не стартует.
      1.zip
    • Anton S
      От Anton S
      Добрый день.
      С 4:00 22.07.24 зашифровало все данные на ПК и ещё несколько по сети. Злоумышленник после оплаты пропал... Хотя и прислал "PHOBOS decryption tool", но без ключей, видимо попался мошенник. Удалось запустить Касперского нашёл "HEUR:Trojan-Ransom.Win32.Generic" в нескольких местах. 
      x-decrypt@worker.com.rar FRST.txt Addition.txt
    • Sv1gL
      От Sv1gL
      Здравствуйте.
      скачиваю лаунчер faceit с официального сайта, при попытки открыть, антивирус находит файл Trojan.Win32.Generic.
      что делать? Лаунчер нужен
      Сообщение от модератора kmscom Тема перемещена из раздела Помощь в удалении вирусов  
×
×
  • Создать...