Автор
Serebro
Всем привет
Словил вирус RMS при попытке установить паленую игру по ссылке
Windows Defender профукал запуск, позволил добавить в исключения всю папку programdata, куда поселился вирус и жил там 5 дней, пока я не заподозрил неладное.
Пролечил систему KRD, KVRT, Cureit, AVZ, Malwarebytes.
Поставил Kaspersky Plus 21.25 последний обновленный.
Нашел лог работы RMS, в нем все записи имеют вид:
Address: 109.172.9.7; Port: 5655; Socket Error # 10013 Access denied.(EIdSocketError).
Журналы системы удалились за эти дни, не успел их посмотреть.
Скачал опять этот торент, на файле data0.bin стоит пароль, в setup.exe возможно ключ, и при запуске от админа он прописывает себя в исключения Windows Defender.
В принципе понятно что это и как работает, и что сам виноват, но хочется
1. понять был ли удаленный доступ к файлам\экрану. К сожалению удаленный доступ был разрешен, я его использовал в локалке.
2. как вообще узнавать о том что скачанный файл имеет запароленное вложение, до того как запуск произошел? Касперский тоже на него смотрит и просит пароль, но никак не предупреждает, что здесь вообще-то свежий файл с интернета и на нём пароль и это наверно должно быть подозрительно.
Система Windows 10 22H2
Прикладываю отчет AVZ и несколько логов. Если какие-то еще отчеты нужны - сделаю.Логи1.zip
avz_sysinfo.zip cureit.rar
Рекомендуемые сообщения