PAK-FA Exploit KIS 2015 - Filecoder - Антивирус Касперского - покупка, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Guest A...

Filecoder находится в базах Касперского, но он упакован в SFX с паролем и запускается за счет службы(группы) раньше Касперского!

https://www.virustotal.com/ru/file/74f404f2...sis/1398695558/

MD5 42b1fd6580bdd7808940cb9d11bd083c

  Цитата
C:\Users\VITALIKEAV\Desktop\PAK-FA.exe » ENIGMA » mainBinary.exe » WINRARSFX » CMT - is OK

C:\Users\VITALIKEAV\Desktop\PAK-FA.exe » ENIGMA » mainBinary.exe » WINRARSFX » setex.sfx.exe » RAR » CMT - is OK

C:\Users\VITALIKEAV\Desktop\PAK-FA.exe » ENIGMA » mainBinary.exe » WINRARSFX » setex.sfx.exe » RAR » setex.exe - Incorrect file checksum (CRC); the file is probably password protected.

C:\Users\VITALIKEAV\Desktop\PAK-FA.exe » ENIGMA » mainBinary.exe » WINRARSFX » cmd.bat - is OK

C:\Users\VITALIKEAV\Desktop\PAK-FA.exe » ENIGMA » packerRuntime.dll - is OK

Вот проверил на KIS2015, он выполнился и затем перезагрузил ПК, Касперский нечего не поймал! :)

45.PNG

post-20682-1398697129_thumb.png

Отредактировал A...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Guest A...

Filecoder запустился(есть в базах) раньше службы ESET(поэтому и запустился), но:

;)

______65.PNG

post-20682-1398699484_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Petrovic

Угу , XP актуальна как никогда :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kapral

Виталег, у тебя рука не болит? ответить 128 раз на разрешение запуска? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Guest A...
  Kapral сказал:
Виталег, у тебя рука не болит? ответить 128 раз на разрешение запуска? ;)

Сотрудники LK легко могут достать этот файл с VT и проверить. Касперский не разу не пискнул, не вовремя регистрации службы(батник) не вовремя исполнения самого Filecoder, так как его запускает служба(sfx архив с паролем), которая благодаря группе всегда будет запускаться раньше службы Касперского.

Не разу не пискнул! Касперский с настройками по умолчанию, базы обновлены, ПК перезагружен, сам Filecoder у него в базах. Обходится файловый монитор Касперского, вся проактивка, PDM...

;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Для этого есть программы и работают они медленно по очевидным причинам. uVS и так показывает внедренные потоки и DLL в любой из запущенных процессов.
    • PR55.RP55
      Demkd Я бы ещё добавил подсчёт идентичных файлов.  ( если это принципиально не скажется на производительности ) По крайней мере раньше бывало и такое, что в системе десятки идентичных  файлов - но  с разными именами. И Опционально Запуск uVS - в качестве ловушки. Например  программа стартует не как: gvprin , а как firefox.exe и отслеживает всех желающих... приобщиться.    
    • PR55.RP55
      Добавить возможность "автоматического" контроля со стороны оператора\админа за актуальностью\версией установленных программ. т.е. Оператор создаёт файл "Контроль Программ.txt" и следит за его актуальностью. И при открытии меню: Дополнительно > Установленные программы  в списке отображаться не только версия установленной программы - но и её актуальная версия из Контроль Программ.txt * * или же вместо числового значения\версии - отображается запись\уведомление заданное оператором: - например: ! Внимание найден антивирус ! ** Все записи подпавшие под... критерий - перемещаются в начало списка.  
    • demkd
      ---------------------------------------------------------
       4.99.6
      ---------------------------------------------------------
       o Добавлен еще один ключ автозапуска, используемый троянами и майнерами.

       o Добавлена новая опция запуска uVS: Искать в пользовательских каталогах скрытые исполняемые файлы.
         В пользовательских каталогах не должно быть подобных файлов, если же они есть то стоит внимательно изучить их содержимое.
         По умолчанию опция включена, отключить ее можно в окне запуска.
         Если опция включена то просматривается весь каталог "Documents and Settings" (Users+ProgramData для новых систем)
         со всеми подкаталогами. При обнаружении исполняемых файлов с атрибутами "скрытый" или "системный" такой файл добавляется
         в список со статусом "подозрительный", статус может быть снят автоматически если файл есть в базе проверенных файлов.
         Сканирование каталогов идет в отдельном потоке параллельно с построением списка автозапуска,
         однако включение этой опции может увеличить время обновления списка для одноядерных процессоров и систем на HDD.
         Тестировании проводилось только для системы на SSD, тестовый "Documents and Settings" содержал в себе 70979 подкаталогов с 452175 файлами,
         время обновления списка (при запуске uVS сразу после перезагрузки системы) увеличилось на 5%.

       o В лог добавлен статус Windows Defender-а.

       o В лог добавлен статус отслеживания командной строки процессов.

       o Добавлена возможность удаления исключений Windows Defender-а в активной системе без виртуализации реестра с помощью powershell.
         Функция может удалять исключения: путь, процесс, расширение.
         (!) Функция недоступна если powershell отсутствует или powershell не имеет правильной эцп.
       
    • PR55.RP55
      Похоже эти версии https://vms.drweb.ru/virus/?i=21513908 https://vms.drweb-av.es/virus/?i=22278785    
×