Перейти к содержанию
Правила раздела
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

атака всплывающих окон

Станислав Грудцын

Автор Станислав Грудцын
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Станислав Грудцын

Станислав Грудцын

Опубликовано
Опубликовано

появилась проблема после подхода моего ребенка к компьютеру, когда появлялись майл ру ,браузеры амиго, менялись сами по себе поисковики, устанавливались сами по себе разные приложения, всплывают окна  после полной проверки anti-virus последней версии, логи и фото прикрепил.Буду признателен Вам

CollectionLog-2016.07.30-22.00.zip

post-39591-0-24715900-1469905806_thumb.png

post-39591-0-68008900-1469905813_thumb.png

Ссылка на комментарий
Поделиться на другие сайты
thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\Microsoft\Macromed\Flash Player\C9021C91-A1F4-47EC-87D0-A5EF95358260\4E216750-7D98-4B32-B91F-25A663C201D8.exe','');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','');
 QuarantineFile('C:\Users\работа\AppData\Local\Microsoft\Extensions\extsetup.exe','');
 DeleteFile('C:\Users\работа\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\extsetup','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\KRB Updater Utility','64');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\Macromed\Flash Player\C9021C91-A1F4-47EC-87D0-A5EF95358260\4E216750-7D98-4B32-B91F-25A663C201D8.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\C9021C91-A1F4-47EC-87D0-A5EF95358260','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Safebrowser','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

Ссылка на комментарий
Поделиться на другие сайты
thyrex

thyrex

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

6. Логи, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex

thyrex

Опубликовано
Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy-x32: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-999772576-3930151370-2413737337-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{48e14d31-674c-4f4c-b9e5-74057c30d6c0}: [NameServer] 87.118.74.138,8.8.8.8
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKLM - No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKLM-x32 - No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-999772576-3930151370-2413737337-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
CHR HKLM-x32\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\akimgimeeoiognljlfchpbkpfbmeapkh [2015-07-08]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhnpmdabjgpimmnbmhefncbghknfegog [2015-09-18]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\denjcdefjebbmlihdoojnebochnkgcin [2015-11-17]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\работа\AppData\Roaming\Opera Software\Opera Stable\Extensions\mclkkofklkfljcocdinagocijmpgbhab [2015-11-20]
Task: {04DF1B96-6AF6-48BD-8948-D6C894679E50} - \WindowsUpdater -> No File <==== ATTENTION
Task: {05FB95B1-BD5E-4D8A-9645-1A28EB78BDA9} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {06E6B674-43F8-4EAB-B05A-31177EA2D0B5} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {3E36BCC7-F0BC-472A-9847-3A59545064D4} - \WindowsUpdater4 -> No File <==== ATTENTION
Task: {481A87DE-C2D7-4B8E-80A4-1561A84CC649} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {486C06DC-AAAC-4C64-957C-384A8C7C0C63} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {59469DE7-01BF-4BE2-B868-61B97F5046FB} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {63E3A1E9-E2C2-4E95-907B-9447716593DB} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {6A5788F6-0BB2-4962-8752-D4AEBE0AEF75} - \extsetup -> No File <==== ATTENTION
Task: {75651CE1-2425-4574-A90D-65681B8A985D} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {93C4DAC6-7B1F-497D-9D03-9618E2F416CC} - \Safebrowser -> No File <==== ATTENTION
Task: {9B90FF77-AA0D-40A5-BAAF-122F20F5C5B7} - \KRB Updater Utility -> No File <==== ATTENTION
Task: {A0529DEE-4B3D-4299-A2DC-BA037DBC83F3} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {AC0A6375-DC9F-4D4F-AFB1-02F04D4400A7} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {B448CF68-81AD-4656-A351-D60B6892A015} - \Microsoft\Windows\Setup\gwx\rundetector -> No File <==== ATTENTION
Task: {C20B664C-732A-465D-8720-8774B54027A9} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {C53BCBC3-47A1-4E66-9156-2F8399728374} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {C985DB94-16D5-4750-A95F-25F73F68F81B} - \Sosition Reports -> No File <==== ATTENTION
Task: {D477C4C9-EAB3-4C78-99C9-B01837C5F9FA} - \Microsoft\Windows\C9021C91-A1F4-47EC-87D0-A5EF95358260 -> No File <==== ATTENTION
Task: {DBD15CD6-99B7-48E6-9EDF-2FEFAB918A8A} - System32\Tasks\{FA3C5035-ECB7-4808-A350-752F361BC3FA} => pcalua.exe -a C:\Users\работа\Downloads\SpyHunter-Installer.exe -d C:\Users\работа\Downloads
Task: {E0AAB705-FA17-4D06-9841-44C8C7DEE19E} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {F3EE053B-A765-4954-BEC6-24A9284F60B2} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {F8712B5F-CB05-4AB5-BED2-8D2F671E9140} - \Microsoft\Windows\Setup\GWXTriggers\Time-Weekend -> No File <==== ATTENTION
Task: {F98A576E-E9A6-4A6F-A7CF-1DB93B0FE2F7} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
C:\Users\работа\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yandex.lnk
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание, что будет выполнена перезагрузка компьютера.
Ссылка на комментарий
Поделиться на другие сайты
Станислав Грудцын

Станислав Грудцын

Опубликовано
  • Автор
Опубликовано

проблема ушла, но, пишу с телефона ответ, т. к на винде в браузере почему-то исчезла кнопка отправить сообщение и диалоговое окно для сообщения

Что с проблемой?

все гуд, спасибо!!!!  не вижу пока вплывающих окон

Ссылка на комментарий
Поделиться на другие сайты
  • 1 месяц спустя...
Станислав Грудцын

Станислав Грудцын

Опубликовано
  • Автор
Опубликовано

Что с проблемой?

добрый день, нужна опять ваша помощь, при включении ПК автозапуск браузера EDGE c дальнейшими вылазками рекламных баннеров (Win10)

Ссылка на комментарий
Поделиться на другие сайты
  • 3 недели спустя...
thyrex

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','');
 QuarantineFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','');
 TerminateProcessByName('C:\Program Files (x86)\WMI Providers\WMI Providers.exe');
 QuarantineFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','');
 DeleteFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','onpgusexlo');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WMIproviders');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
 DeleteFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
 DeleteFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\280jfsYuj3l7','command');
 DeleteFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
Станислав Грудцын

Станислав Грудцын

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','');
 QuarantineFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','');
 QuarantineFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','');
 TerminateProcessByName('C:\Program Files (x86)\WMI Providers\WMI Providers.exe');
 QuarantineFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','');
 DeleteFile('C:\Program Files (x86)\WMI Providers\WMI Providers.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\FilterOptions\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','onpgusexlo');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','WMIproviders');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
 DeleteFile('C:\Users\работа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\TestMenu\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
 DeleteFile('C:\Users\работа\AppData\Local\LastNews\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\ValidateLife\regCheck.vbs','32');
 DeleteFile('C:\Users\работа\AppData\Local\DateOption\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\280jfsYuj3l7','command');
 DeleteFile('C:\Users\работа\AppData\Local\Mail.ru\Sputnik\ptls\280jfsYuj3l7.exe','32');
 DeleteFile('C:\Users\работа\AppData\Local\rightchose\regCheck.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

 

KLAN-5128346278

CollectionLog-2016.10.06-23.53.zip

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      Как защитить онлайн-коммерцию от атак мошенников | Блог Касперского
      Автор KL FC Bot
      По данным исследовательской компании Juniper Research, оборот электронной торговли в 2024 году превысил 7 триллионов долларов и, по прогнозам, вырастет в полтора раза за следующие пять лет. Но интерес злоумышленников к этой сфере растет еще быстрее. В прошлом году потери от мошенничества превысили $44 млрд, а за пять лет вырастут до $107 млрд.
      Онлайн-площадка любого размера, работающая в любой сфере, может стать жертвой — будь это маркетплейс контента, магазин стройматериалов, бюро путешествий или сайт аквапарка. Если вы принимаете платежи, ведете программу лояльности, поддерживаете личный кабинет клиента — к вам обязательно придут мошенники. Какие схемы атаки наиболее популярны, что за потери несет бизнес и как все это прекратить?
      Кража аккаунтов
      Благодаря инфостилерам и различным утечкам баз данных у злоумышленников на руках есть миллиарды пар e-mail+пароль. Их можно по очереди пробовать на любых сайтах с личным кабинетом, небезосновательно надеясь, что жертва атаки везде использует один и тот же пароль. Эта атака называется credential stuffing, и, если она будет успешна, злоумышленники смогут от имени клиента оплачивать заказы привязанной к аккаунту кредитной картой или использовать баллы лояльности. Также мошенники могут использовать аккаунт для махинаций с покупкой товаров и оплатой сторонними банковскими картами.
       
      View the full article
    • SuPeR_1
      [РЕШЕНО] При запуске открываются много окон и моментально закрываются. Раньше такого не было.
      Автор SuPeR_1
      При запуске открываются много окон и моментально закрываются. Раньше такого не было.
    • KL FC Bot
      Фишинг через Google Ads: атаки на SEOшников и маркетологов
      Автор KL FC Bot
      Многие сотрудники компаний используют в повседневной работе внешние онлайн-сервисы, доступные через браузер. Некоторые помнят адреса часто используемых сайтов и набирают их по памяти, другие сохраняют закладки. Но есть люди, которые каждый раз вбивают название сайта в поисковик и переходят по первой ссылке в выдаче. Именно на них, по всей видимости, и рассчитывают злоумышленники, продвигающие фишинговые сайты через платформу Google Ads. За счет этого фальшивые страницы выдаются в поиске выше, чем ссылка на легитимный сайт.
      Согласно отчету Ads Safety Report, за 2024 год Google заблокировала или удалила 415 миллионов рекламных объявлений Google Ads за нарушения правил, преимущественно связанных с мошенничеством. Компания также заблокировала 15 миллионов рекламных аккаунтов, размещавших подобную рекламу. Эта статистика дает возможность представить масштаб проблемы — Google Ads является невероятно популярным среди преступников инструментом для продвижения вредоносных ресурсов. Большая часть таких схем направлена на домашних пользователей, но в последнее время в новостях появлялись заметки с описаниями случаев охоты за корпоративными аккаунтами в таких сервисах, как Semrush, или даже в самом сервисе Google Ads.
      Поддельные страницы Semrush
      Semrush — популярная платформа для подбора ключевых слов, анализа сайтов конкурентов, отслеживания обратных ссылок и тому подобного. Ей пользуются SEO-специалисты по всему миру. Для большей эффективности Semrush часто интегрируется с Google Analytics и Google Search Console — а аккаунты в этих сервисах могут содержать массу конфиденциальной информации о бизнесе компаний. Например, показатели доходов, сведения о маркетинговых стратегиях, анализ поведения клиентов и многое другое.
      Если злоумышленники смогут получить доступ к аккаунту Semrush, то эта информация может быть использована для проведения новых атак на других сотрудников или просто продана в даркнете.
      Неудивительно, что нашлись злоумышленники, затеявшие фишинговую кампанию, нацеленную на SEO-специалистов. Они создали серию сайтов, оформление которых достаточно точно повторяет страницу входа в аккаунт Semrush. Для убедительности преступники использовали целый ряд доменных имен, содержащих название имитируемой компании: «semrush[.]click», «semrush[.]tech», «auth.seem-rush[.]com», «semrush-pro[.]co», «sem-rushh[.]com» и так далее. И все эти сайты продвигались с помощью объявлений в Google Ads.
       
      View the full article
    • KL FC Bot
      Ransomware-группировка использует ClickFix для атак на компании
      Автор KL FC Bot
      Ransomware-группировка Interlock начала использовать технику ClickFix для проникновения в инфраструктуру своих жертв. В одном из недавних постов мы уже рассказывали об общей идее ClickFix, а сегодня поговорим о конкретном примере использования этой тактики одной из группировок. Исследователи кибербезопасности обнаружили, что Interlock использует поддельную CAPTCHA якобы от Cloudflare на странице, маскирующейся под сайт Advanced IP Scanner — популярного бесплатного сетевого сканера.
      Исходя из этого можно предположить, что атаки нацелены на ИТ-специалистов, работающих в потенциально интересующих группировку организациях. Судя по всему, Interlock находится на этапе тестирования новых инструментов, в частности техники ClickFix.
      Как Interlock использует ClickFix для распространения вредоносного ПО
      Злоумышленники из Interlock заманивают жертву на страницу, адрес которой имитирует адрес сайта Advanced IP Scanner. Описавшие атаку исследователи нашли одну и ту же страницу, размещенную по нескольким адресам в Сети.
      При переходе по ссылке пользователь видит извещение о необходимости пройти CAPTCHA, якобы от Cloudflare. В сопутствующем тексте мошенники рассказывают жертве о том, что Cloudflare «помогает компаниям восстановить контроль над своими технологиями». За этим достаточно типичным бизнесовым текстом, скопированным со страницы «Что такое Cloudflare?» настоящего веб-сайта компании, следует указание: нажать сочетание [Win] + [R], затем [Ctrl] + [V] и, наконец, [Enter]. После этой инструкции находятся кнопки Fix it (Исправить проблему) и Retry (Повторить попытку).
      Внизу следует объяснение: якобы ресурс, на который пытается войти жертва, должен проверить безопасность соединения.
      На практике, когда жертва нажимает кнопку Fix it, в буфер обмена автоматически копируется вредоносная команда
      PowerShell. После этого пользователь сам открывает консоль с помощью сочетания клавиш [Win] + [R] и сам же вставляет эту команду через [Ctrl] + [V]. После нажатия [Enter] вредоносная команда выполняется.
      В результате выполнения команды на компьютер жертвы загружается 36-мегабайтный файл поддельного установщика PyInstaller,. Для отвлечения внимания жертвы при этом в браузере открывается окно с настоящим сайтом Advanced IP Scanner.
       
      View the full article
    • KL FC Bot
      Топ-5 забавных хакерских атак: школы, соцсети и умные устройства | Блог Касперского
      Автор KL FC Bot
      В нашем блоге мы постоянно рассказываем о всевозможных кибератаках и их неприятных последствиях: будь то кража криптовалюты или утечки личных данных в Интернет. Однако есть и другая категория крупных взломов: когда хакеры не гонятся за наживой, а устраивают смешные и достаточно безобидные для большинства проделки просто для веселья. Сегодня мы расскажем про пять таких случаев — и поговорим о том, какой урок из них можно вынести.
      Они повсюду! Когда даже светофоры разговаривают с тобой голосами Цукерберга и Маска
      Весной 2025 года неизвестные взломали аудиокнопки светофоров в Кремниевой долине. Подобные аудиокнопки широко используются в светофорах на пешеходных переходах на всей территории США. Как нетрудно догадаться, предназначены они для людей с нарушениями зрения: их основная задача — воспроизводить голосовые сообщения, позволяющие плохо видящим пешеходам понять, когда можно безопасно переходить дорогу.
      В нескольких городах Кремниевой долины неизвестные заменили стандартные голосовые сообщения на собственные тексты, озвученные голосами, чрезвычайно похожими на голоса вездесущих техномиллиардеров, Марка Цукерберга и Илона Маска. Видео, снятые местными жителями, показывают, как взломанные кнопки воспроизводят следующие сообщения.
      Голос «Марка Цукерберга»: Это нормально испытывать дискомфорт или ощущать нарушение ваших личных границ от того, что мы насильно внедряем ИИ во все грани вашего сознательного опыта. Я просто хочу заверить вас, что вам не нужно беспокоиться, поскольку вы абсолютно ничего не можете сделать для того, чтобы это остановить.
       
      View the full article
×
×
  • Создать...