Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Доброго времени суток!

Ситуация следующая: Была переписка в tg desktop под windows с мошенником, мошенник прислал ссылку на, якобы, «билеты в театр», муляж кассира.ру. Ссылка была открыта в браузере google chrome, никаких действий на сайте не производилось, т.к. было понятно, что сайт поддельный. И он благополучно был закрыт. Далее, мошенник кинул меня в ЧС, а спустя пару минут вылетели сессии с телефона (iPhone 15 pro на iOS 18.3.2) и компьютера (tg desktop), срочно был выполнен мною успешный вход с телефона и поменян облачный пароль.

Это всё происходило при работающем касперском. Ноль реакции, хотя при переходе по сайтам, иногда ранее останавливал загрузку .js скрипта. Последующее сканирование несколькими антивирусами, включая использования live cd не показало никаких угроз.

Вопрос: как это технически возможно? браузер получил доступ к файлам ОС и подменил файлы телеграм? Ведь никакие коды авторизации не вводились. В авторизированных устройствах телеграма не было посторонних устройств. Как-будто был перехвачен токен текущей сессии на ПК.

У друга ситуация 1 в 1 с той же ссылкой, только «увод» активных сессий произошёл после перехода по ссылке и ПОСЛЕ совершенных манипуляций: полного удаления tg desktop, браузера, с которого была открыта ссылка (тоже google chrome), и полной проверки на вирусы. Kaspersky Premium с включенным расширением не отреагировал на переход на сайт.

Тех. Информация:

Версия telegram desktop: v 5.12.3

Версия ОС: windows 11 корпоративная 24H2, сборка: 26100.3476

Пакет интерфейса компонентов Windows 1000.26100.54.0

Версия google chrome x64: 134.0.6998.118

Kaspersky free с последними обновлениями баз

 

P.S.: жаль, AVZ выполнил уже после удаления tg desktop и хрома((

 

CollectionLog-2025.03.21-19.58.zip

Опубликовано

*UPD: У друга ситуация 1 в 1 с той же ссылкой, только «увод» активных сессий произошёл после перехода по ссылке и ПОСЛЕ совершенных манипуляций: самостоятельного выхода из tg desktop (завершение сессии), очистка куков и кэша браузера, с которого была открыта ссылка (тоже google chrome), и полной проверки на вирусы. Kaspersky Premium с включенным расширением не отреагировал на переход на сайт.

Опубликовано

Здравствуйте!

 

 

"Пофиксите" в HijackThis только следующее (некоторые строки могут отсутствовать):

O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0
O27 - RDP: (Port) 3389 TCP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик TCP)) - C:\WINDOWS\system32\svchost.exe
O27 - RDP: (Port) 3389 UDP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик UDP)) - C:\WINDOWS\system32\svchost.exe

Перезагрузите компьютер.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

 

 

Опубликовано (изменено)

Здравствуйте!

"

O27 - RDP: (Other) HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server: [fDenyTSConnections] = 0
O27 - RDP: (Port) 3389 TCP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик TCP)) - C:\WINDOWS\system32\svchost.exe
O27 - RDP: (Port) 3389 UDP opened as inbound - termservice - (Удаленный рабочий стол — пользовательский режим (входящий трафик UDP)) - C:\WINDOWS\system32\svchost.exe"

А это мною открытые порты rdp, у меня стоит MikroTik и на нём шифрованный VPN, а извне ни 1 порт недоступен по DNAT.

 

Дополнительно - сделал.

FRST.txt Addition.txt

Изменено пользователем flaber19
Опубликовано
37 минут назад, Sandor сказал:

Я согласен с коллегой со смежного ресурса. В этих логах тоже ничего вредоносного нет.

Спасибо

Очень, очень странно

либо после удаления тг и хрома "хвосты" удалились, либо это эксплоит...

Опубликовано

Для верности сделайте дополнительно проверку с помощью Malwarebytes.

Опубликовано
6 часов назад, Sandor сказал:

Для верности сделайте дополнительно проверку с помощью Malwarebytes.

проверил им

всё ок

 

Опубликовано

На этом можем закончить, т.е. проблема не в вирусах.

 

В завершение:

1. Деинсталлируйте Malwarebytes.

 

2.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

3.

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • MiStr
      Автор MiStr
      В апреле 2025 года мы запустили конкурс по разработке Telegram-бота Kaspersky Club. Участникам конкурса необходимо было на программной платформе Node.js разработать Telegram-бот в соответствии с установленной структурой и техническим заданием.
       
      На суд жюри поступили три Telegram-бота следующих авторов:
      @7Glasses (в публичном доступе размещён не был)  @santax: t.me/vovka_users_helper_bot @den: t.me/betaclubkbot  
      Чей Telegram-бот в итоге признан лучшим?  Сегодня пришло время подвести итоги конкурса. В результате изучения функционала Telegram-ботов, оценки качества их реализации администрация клуба приняла решение распределить участников по призовым местам в следующем порядке:
       
      Первое место – @santax, который получает приглашение на празднование 19-летия клуба.
      Второе место – @den, и его приз 10 000 клабов.
      Третьей место – принято решение не присуждать.
      Поощрительный приз за разработку Telegram-бота, не занявшего призовое место, – 2 500 клабов. И его получает @7Glasses.
       
       
      Благодарим каждого участника за разработку Telegram-бота!
    • Elly
      Автор Elly
      Друзья!
       
      Приветствуем вас на викторине, посвящённой Telegram-каналу Kaspersky Club!
      Telegram-канал Kaspersky Club - это место, где интересно, уютно и полезно одновременно. Канал существует уже давно, но именно за последний год мы особенно активно его развивали: наполняли важными новостями, яркими историями и увлекательными конкурсами и викторинами, сделав его неотъемлемой частью жизни нашего сообщества.
      Сегодня мы хотим отметить этот путь вместе с вами! И, конечно, в формате викторины! 
      Предлагаем вам проверить, насколько внимательно вы следили за жизнью нашего Telegram-канала. Особое внимание в викторине уделено самому активному и насыщенному году развития канала.
       
      Все ответы на вопросы викторины вы найдёте в Telegram-канале Kaspersky Club https://t.me/kasperskyclub
       
      Готовы? Начинаем!
       
      НАГРАЖДЕНИЕ
       
      Без ошибок — 1000 баллов Одна ошибка — 800 баллов Две ошибки — 500 баллов  
      Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ

      Викторина проводится до 20:00 20 июля 2024 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователям @zell и @alexandra (пользователя @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
    • PetyaKroos
      Автор PetyaKroos
      Недавно за неделю взломали сразу три аккаунта
      один в дискорде,один в телеграме,один в стиме
      Зашли в телеграм и рассылали + удаляли что хотели - кодов нигде не получал для авторизации
      Зашли в дискород и отправляли инвайты в группы и приложения
      Зашли в стим и продавали/покупали вещи - перелив средств

      я все везде уже поменял, но не знаю в чем была причина взлома,вдруг компьютер еще уязвим
      логи снизу
      CollectionLog-2025.05.30-18.13.zip
    • Hikobana
      Автор Hikobana
      Началось все с того, что 17.03 я обнаружила, что средства с Steam были потрачены путем покупки через торговую площадку. Доступа к аккаунту нет ни у кого, защита не подала никаких видов. Я поменяла пароль. В то же время, я заподозрила неладное с несколькими почтами от mail. Так же нигде не сработал аунтификатор. Везде поменяла пароли. На следующий день все повторилось и так продолжалось 3 дня. Итогом стало, что я поставила новую винду с 0. Все хорошо,  вроде прекратилось, случилось то, что взломали аккаунт Телеграмм. Вчера от меня началась рассылка в Дискорде, при том, что я сама находилась в нем. Никакая защита совершенно не сработала. После дискорда, пришло уведомление на WatsApp о попытки зайти на аккаунт. 
      CollectionLog-2025.05.02-06.01.zip
    • MiStr
      Автор MiStr
      Конкурс по разработке Telegram-бота Kaspersky Club
       
      Год назад, в апреле 2024 года, мы активно взялись за развитие Telegram-канала Kaspersky Club – запустили программу «Развитие сообществ клуба в мессенджерах», которая стала частью рейтинговой системы мотивации участников клуба.
       
      Принятые меры принесли свои результаты. Telegram-канал подрос и количественно, и качественно. На регулярной основе в канале публикуется уникальный контент, а также проводятся конкурсы и викторины.
       
      Пришло время расширить возможности и функционал канала клуба в Telegram – создать Telegram-бот, конкурс на разработку которого мы и запускаем.
       
      Порядок участия в конкурсе
      Участнику конкурса необходимо на программной платформе Node.js разработать Telegram-бот в соответствии со структурой и техническим заданием.
       
      Сроки проведения конкурса
      Разработка Telegram-бота должна быть завершена не позднее 30 мая 2025 года.
       
      Призовой фонд конкурса
      Первое место – поездка на празднование 19-летия клуба.
      Второе место – 10 000 клабов.
      Третьей место – 5 000 клабов.
      Поощрительный приз за разработку Telegram-бота, не занявшего призовое место, – 2 500 клабов.
       
      Приз за первое место предусматривает оплату со стороны «Лаборатории Касперского» трансфера из Москвы до места празднования 19-летия клуба и обратно, проживание, питание и развлекательную программу. Трансфер до Москвы и обратно участник оплачивает самостоятельно.
       
      Подведение итогов конкурса
      Победителя конкурса определяет администрация клуба не позднее 6 июня 2025 года.
       
      После завершения конкурса
      Победитель конкурса после тестирования Telegram-бота обязан внести все предложения и замечания, поступившие от администрации клуба. Доработка Telegram-бота по итогам тестирования должна быть завершена не позднее 30 июня 2025 года. Приз не выдается, если участник не исправил все замечания и предложения, поступившие от администрации клуба.
       
      После завершения разработки и тестирования Telegram-бота победитель обязан передать все права на него администрации клуба.
       
      Иная информация
      Администрация, официально уведомив, может в любой момент внести изменения в правила конкурса, перезапустить или вовсе прекратить его проведение, а также отказать участнику в получении приза в случае выявления фактов его недобросовестного участия в нем и (или) нарушения правил конкурса. Любые вопросы, связанные с конкурсом, в том числе по начислению клабов, принимаются в течение 30 дней с момента подведения его итогов.
       
      Участие в конкурсе означает безоговорочное согласие с настоящими правилами.

      Удачи!
×
×
  • Создать...