В общем на пару пользователей, каждый со своими знаниями и ИИ-агентами, выдаем анализ:
Скачанный hta-файл (
не определяется Dr.Web - был отправлен в вирлаб), через несколько распаковок (содержимое gZip-архива определяется
Dr.Web, как PowerShell.Downloader.36) без отображения окон, запросов пользователю подключается к управляющему серверу, откуда получает полезную нагрузку (
Cobalt Strike / Metasploit)
Обнаруженное вредоносное ПО (Windows Defender)
5 мая 2026 Windows Defender зафиксировал два серьёзных обнаружения:
Trojan:PowerShell/PsAttack.B — PowerShell-троян, запускающий скрытые процессы с обфусцированным кодом. Команда запуска содержит характерные признаки атаки: -nop -w hidden -noni, отключение ScriptBlock Logging через рефлексию. Это классический признак постэксплуатационного инструментария (Cobalt Strike / Metasploit / PsAttack).
Behavior:Win32/ScrpService.B — подозрительное поведение, зафиксированное в services.exe. Это указывает на попытку выполнения кода через службы Windows.
Скорее всего из-за связки эксплойтов защитить систему он все-таки не смог.
AnyDesk сброшен в нестандартное место + PowerShell-скрипт
2026-05-18 23:16 — C:\ProgramData\AnyDesk.exe (8.3 MB)
2026-05-18 23:16 — C:\Windows\SysWOW64\any.ps1
2026-05-18 23:16 — C:\Windows\SysWOW64\system.conf.lock
2026-05-18 23:16 — C:\Windows\SysWOW64\service.conf.lock
AnyDesk размещён в C:\ProgramData\ (а не в Program Files), рядом — PS-скрипт any.ps1 в системной директории SysWOW64. Это нетипично для легитимной установки. Временна́я метка совпадает с активностью атакующих
any.ps1 - скрипт (определяется
Dr.Web, как PowerShell.Downloader.2365) скачивает AnyDesk и создает пользователя oldadministrator с паролем "пароль".
Далее наблюдаем:
Массовое создание новых учётных записей (18–19 мая 2026)
За короткий промежуток времени на машине были созданы профили новых пользователей:
adminz — 23:34 18 мая
Administrator (локальный) — 00:44 19 мая
oldadministrator — 00:46 19 мая
sdadmin (локальный, отдельно от доменного) — 23:17 19 мая - это тот аккаунт, из-под которого собраны логи
После попадания в систему никаких вредоносных инструментов злоумышленники не использовали - все действия с помощью легальных и системных утилит.
РЕКОМЕНДАЦИИ (по приоритету)Немедленно:
- Изолировать сервер от сети (или ограничить доступ) до завершения расследования
- Проверить, были ли угрозы Defender реально нейтрализованы (Get-MpThreatDetection в PowerShell)
- Удалить или проверить C:\ProgramData\AnyDesk.exe и C:\Windows\SysWOW64\any.ps1, а так же утилиты и папки с данными утилитами из директорий созданных пользователей.
- Провести полное сканирование актуальным антивирусом
- Сменить пароли всех учётных записей на сервере и в домене
- Проверить и удалить подозрительные учётки (adminz, oldadministrator, a.rusanov и др.)
Есть основания полагать, что злоумышленник получил доступ и закрепился. Дальнейшие действия, думаю выходят за рамки моих компетеций, как волонтера-хелпера. Прошу обратить внимание на услуги антифрод-центра Dr.Web:
https://antifraud.drweb.ru/expertise/ Почему это важно? Данная атака похожа на FrostBeacon — финансово мотивированные хакеры используют закрепления в системе для дальнейшей перепродажи доступа прочим заинтересованным лицам с целью заражения системы троянами-шифровальщиками (Ransomware) или инфостилерами.
Тема закрыта
