45 ответов в этой теме

[Dmitry Shutov]

Наш друг (сэмпл) - дропает файлик (тоже не маленький)

 

https://www.virustotal.com/gui/file/a69a3a9419c09427116aed88a917d6ce9c028a7ac6b1b5932a6b45cb334f2853/detection

 

Мы его ловим - Trojan.Siggen18.28728 (CoinMiner)

 

Так как у автора DrWeb не установлен - увы и ах, он тоже там живет ((

 

file path="C:\ProgramData\RealtekHD\taskhost.exe"

 

attrib hidden="true"

 

 

 

 

Прикрепленные файлы:

•  1.jpg   43,03К   0 Скачано раз
•  2.jpg   148,11К   0 Скачано раз

[VVS]

На форуме малварь публиковать нельзя.

Тому, кому нужно, ссылку отправил.

Модератор.

[Smart_D15]

ссылку отправил.

В "MS" можете отправить?

[VVS]

ссылку отправил.

В "MS" можете отправить?

Это куда?

[Smart_D15]

Это куда?

Имелось в виду в Microsoft, для Windows Defender. Но, наверное, смысла нет, т. к. файл под паролем.

[Dmitry Shutov]

 

 

скачал Unlocker и даже с ним не дает зайти в эти папки и забрать файл
(Пробовал через безопасный режим и в таком случае он дает заходить на сайт dr web, но к папкам доступ не открывается )

 

Пока что попытаюсь что-то сделать с этим SFX под паролем (install.exe), а вы попробуйте собрать дамп потенциально вредоносных процессов (taskhost.exe, audiodg.exe), утилитой ProcDump (https://docs.microsoft.com/en-us/sysinternals/downloads/procdump) и пришлите сюда дампы.


Через cmd:
procdump.exe -ma taskhost.exe
procdump.exe -ma audiodg.exe

 

 

Я открыл )) но там еще квест...(( 

 

1.exe и 2 (это rar и он тоже под паролем)

Прикрепленные файлы:

•  3.jpg   27,81К   1 Скачано раз

[sirvelat]

 

 

скачал Unlocker и даже с ним не дает зайти в эти папки и забрать файл
(Пробовал через безопасный режим и в таком случае он дает заходить на сайт dr web, но к папкам доступ не открывается )

 

Пока что попытаюсь что-то сделать с этим SFX под паролем (install.exe), а вы попробуйте собрать дамп потенциально вредоносных процессов (taskhost.exe, audiodg.exe), утилитой ProcDump (https://docs.microsoft.com/en-us/sysinternals/downloads/procdump) и пришлите сюда дампы.


Через cmd:
procdump.exe -ma taskhost.exe
procdump.exe -ma audiodg.exe

 

закрывает командную строку

[pr4da]

 

 

 

скачал Unlocker и даже с ним не дает зайти в эти папки и забрать файл
(Пробовал через безопасный режим и в таком случае он дает заходить на сайт dr web, но к папкам доступ не открывается )

 

Пока что попытаюсь что-то сделать с этим SFX под паролем (install.exe), а вы попробуйте собрать дамп потенциально вредоносных процессов (taskhost.exe, audiodg.exe), утилитой ProcDump (https://docs.microsoft.com/en-us/sysinternals/downloads/procdump) и пришлите сюда дампы.


Через cmd:
procdump.exe -ma taskhost.exe
procdump.exe -ma audiodg.exe

 

закрывает командную строку

 

Сразу, или только после ввода команд?

[VVS]

pr4da, если Вас интересует дамп, то может попытаться снять его через процэксп?

[pr4da]

pr4da, если Вас интересует дамп, то может попытаться снять его через процэксп?

Да любыми способами. Можно и через него.

sirvelat, попробуйте переименовать procdump.exe в что-то другое и снова попробуйте сделать дамп. Если не получится, попробуйте этой утилитой -- https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer (ПКМ по процессу и "Create dump"->"Full dump").

Сообщение было изменено pr4da: 29 Август 2022 - 11:27

[Alexander007]

Хорошая новость , мне удалось найти taskhost.exe -номер тикеты #10507595 , вирлаб отправил .

Как он подписан на Вирустотал -audiodg.exe ?

Сообщение было изменено Alexander007: 29 Август 2022 - 14:02

[sirvelat]

скачал Unlocker и даже с ним не дает зайти в эти папки и забрать файл
(Пробовал через безопасный режим и в таком случае он дает заходить на сайт dr web, но к папкам доступ не открывается )

Пока что попытаюсь что-то сделать с этим SFX под паролем (install.exe), а вы попробуйте собрать дамп потенциально вредоносных процессов (taskhost.exe, audiodg.exe), утилитой ProcDump (https://docs.microsoft.com/en-us/sysinternals/downloads/procdump) и пришлите сюда дампы.


Через cmd:
procdump.exe -ma taskhost.exe
procdump.exe -ma audiodg.exe

закрывает командную строку

Сразу, или только после ввода команд?

Сразу

[pr4da]

Хорошая новость , мне удалось найти taskhost.exe -номер тикеты #10507595 , вирлаб отправил .

Как он подписан на Вирустотал -audiodg.exe ?

Разобрал, всё что он делает это ищет процессы антивирусов и процесс taskhostw.exe, если не находит -- запускает его (файл уже должен быть в папке). Сам он дропается в ProgramData\RealtekHD под именем taskhost.exe. Ну и ещё проверяет автозапуск и скрывает файлик hosts.
Неплохо бы ещё остальные получить, они там наверное все друг друга прикрывают и обратно подгружают в систему.

Вообще, если процессы не защищены никак, я бы скриптом сразу убил их всех, потом уже почистить систему. Ну может утилита для этого есть какая? Я тут новичок на форуме, не знаю))

Сообщение было изменено pr4da: 29 Август 2022 - 17:03

[sirvelat]

 

pr4da, если Вас интересует дамп, то может попытаться снять его через процэксп?

Да любыми способами. Можно и через него.

sirvelat, попробуйте переименовать procdump.exe в что-то другое и снова попробуйте сделать дамп. Если не получится, попробуйте этой утилитой -- https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer (ПКМ по процессу и "Create dump"->"Full dump").

 

вариант с переименовать не получился, но proces exp помог дампы прилагаю
 

https://disk.yandex.ru/d/t8s4JRwQ7I02CQ

[Ivan Korolev]

Утилита для лечения: https://drw.sh/npdacx

[sirvelat]

Утилита для лечения: https://drw.sh/npdacx

отчет: https://disk.yandex.ru/d/IgVhTKYT9MR6UQ
Утилита не нашла вирусов (проблема все так же осталась)

[Ivan Korolev]

>Утилита не нашла вирусов (проблема все так же осталась)

 

Нашла она то, что искала. Браузеры закрываются или только ав сайты не открываются?

 

 

\Device\HarddiskVolume2\ProgramData\RealtekHD\taskhost.exe - deleted

\Device\HarddiskVolume2\ProgramData\RealtekHD\taskhostw.exe - deleted

\Device\HarddiskVolume2\ProgramData\WindowsTask\audiodg.exe - deleted

[Ivan Korolev]

Майнера не долечили, вторая итерация: https://drw.sh/kgkcek

[sirvelat]

>Утилита не нашла вирусов (проблема все так же осталась)

Нашла она то, что искала. Браузеры закрываются или только ав сайты не открываются?


\Device\HarddiskVolume2\ProgramData\RealtekHD\taskhost.exe - deleted
\Device\HarddiskVolume2\ProgramData\RealtekHD\taskhostw.exe - deleted
\Device\HarddiskVolume2\ProgramData\WindowsTask\audiodg.exe - deleted

Я цитировал программу
Сейчас заходит на сайты ав
Проблема с подменой адресов криптокошельков тоже решилась

[pr4da]

Может быть оффтоп, но из дампов восстановил PE и вытянул исходные коды taskhost, taskhostw и audiodg (обфусцирован).
Скидывать надо куда-то, или без разницы?
(В сумме больше 20 000 строк кода, в открытом доступе нет. Интересная вещь)

https://i.imgur.com/jANiMYU.png

Сообщение было изменено pr4da: 29 Август 2022 - 20:45