Ο ορισμός του να μην εμπιστεύεσαι προγράμματα από το "θείο".

[zardoz]

Αν το post είναι εκτός επιτρεπομένων, αφαιρέστε το. Απλά το γράφω προς γνώση και συμμόρφωση για να μην πάθει κανείς κάτι αντίστοιχο.


Πρόγραμμα XXX από το "θείο" που... παίζει από το 2019, ξαφνικά σήμερα αποφάσισε να ζητήσει (κατά την εκτέλεση) διαχειριστικά δικαιώματα.

Φυσικά ΔΕΝ του δόθηκαν.

1. Έλεγξα ΟΛΑ τα αρχεία του προγράμματος (DLLS etc) σε σύγκριση με το πρωτότυπο, όλα ήταν ΟΚ εκτός φυσικά από το XXX.exe

2. Έκανα signature verification check στα αρχεία, όλα καλά, οι υπογραφές καλά, εκτός φυσικά από το XXX.exe

3. To ΧΧΧ.exe ήταν ακριβώς το ίδιο (filecompare fc /b ) με το "αρχικό" του θείου. Το κοίταξα μήπως αυτό τσίμπισε ιό.

4. Το πρόγραμμα και όλος ο φάκελος ήταν μπλοκαρισμένα στο windows firewall (κανόνας εξερχομένων) οπότε δε μπορούσε να φέρει κάτι (θεωρητικά)..

Λέω, δε το τρέχω με διαχειριστικά δικαιώματα, να δω τι θα αποκάμει ?

Έχουμε και λέμε...

Το XXX.EXE σήμερα αποφάσισε να ξεράσει από μέσα του

- Trojan: win64/Tnega!MSR (στήνει ένα remote serviceinstaller στο system32)
- Trojan: vbs/valyria!MSR (βάζει ένα maintainance.vbs & startupcheck.vbs που κάνει σκασμό από πράγματα)
- Trojan: win32/Coinminer!MSR

Το αστείο είναι ότι, το ΧΧΧ.exe βγαίνει "καθαρό" στο virustotal, ενώ μετά από 3 χρόνια "αποφάσισε" να δράσει
ξερνώντας από μέσα του τα παραπάνω.

Νομίζω ότι τα λόγια είναι περιττά...

[sdikr]

Sleeper κατάσταση

[nnn]

Μάλλον τώρα αποφάσισαν να το ενεργοποιήσουν από το C&C του.

[euri]

Έτσι όπως το περιγράφει ο zardoz μάλλον timebomb είναι.