Друзья, вот и финишная прямая 2024 года. Спасибо вам всем за помощь и поддержку, идеи и вдохновения! Пусть в 2025 году будет больше положительных и ярких моментов. До встречи в следующем году, будет ещё круче!

С Новым годом!🎄🥳

Друзья, ориентировочно обновление выйдет 31 января. На текущий момент идёт разработка и тестирование.

❗️Анализ более чем 4000 журналов показал наличие вредоносной версии Steam

Как выяснилось, это не майнер, а бэкдор, злоупотребляющий приложениями на основе Electron.
В одном из похожих примеров попадался Microsoft Teams с действительной подписью. Уязвимое приложение прописывало себя в автозапуск, вызывая вредоносный код, который встраивался в легитимное системное ПО, чтобы как можно дольше оставаться невидимым для антивирусов и других защитных решений. Друзья, проверьте у себя, есть ли у вас нечто похожее и срочно удалите (весь каталог).

Список вредоносных файлов и каталогов

C:\Program Files\Client Helper\Client Helper.exe
C:\Users\****\AppData\Local\Programs\Common\OneDriveCloud\taskhostw.exe (или Microsoft.exe)
C:\Users\****\AppData\Local\Programs\com.brotorrent.torrent-client-utorrent\uTorrent-v2.exe
C:\Users\****\AppData\Local\clienthelper-updater\
C:\Users\****\AppData\Local\torrentpro-updater\
C:\Program Files\qBittorrentPro\qBittorrentPro.exe
C:\ProgramData\DiagnosisSync\current\Microsoft.exe

Рекомендуется включить показ скрытых и системных файлов, так как версия с Microsoft.exe изначально имеет скрытый аттрибут.

Друзья, теперь вы сможете поддержать проект по соответствующей кнопке, не дожидаясь появления окошка с донатом. Всем спасибо и всем добра😉

Первая 1000 на канале!!! Спасибо, друзья!

Кратко об обновлении, как скачать, как запустить выборочную проверку (и не только). Не забудьте поставить 👍 для продвижения ролика. Спасибо!

Друзья, следует кое-что пояснить: у всех, у кого приложение находит в реестре один единственный MinimumStackCommitInBytes для svchost.exe - безвреден и помечается как "Подозрительный", ошибочно принятый за угрозу. Это стандартный параметр, установленный самой системой, его присутствие, как и удаление ни на что не влияет. Если таких значений в отчёте встречается много (не только для svchost.exe), то это другой вопрос. В случае единственного обнаружения переживать не стоит.

P.S. У кого постоянно находит и удаляет руткит → отзовитесь.

✅ Миниобновление v1.4.7.81 [с патчем]

- Устранено ложное срабатывание на MinimumStackCommitInBytes для svchost.exe
- Устранение ошибки "Файл или папка повреждены"
- Удаление новых задач планировщика с рекламным и вредоносным ПО
- Более точное определение удаленного порта в аргументах командной строки
- Улучшена стратегия блокировки вредоносных процессов
- Улучшена стратегия разблокировки каталогов и файлов
- Добавлена обработка исключения при удалении заблокированных майнером каталогов, когда каталог заблокирован Защитником Windows
- Добавлена опция --silent, которое включает тихий (фоновый) режим без диалоговых окон. Приложение переходит в фоновый режим, сообщения не отображаются, но по-прежнему записываются в лог. Несовместимо с параметрами --select или --winpemode.
- Обновление оффлайн базы данных сигнатур
- Исправлена система логгирования

Пароль на архив: 14781
Для корректной работы приложения требуется распаковать ВЕСЬ архив!

Скачать на github

Обнова на этой неделе

Друзья, нас уже 2000! Это приятно. Канал растёт, и это не просто цифра, а реальный стимул делать лучше. Готовлю обновление с новыми фичами. Спасибо вам за интерес, внимание и доверие. А если захочется отблагодарить не только добрым словом – в приложении есть кнопочка "Поддержать проект". Она не кусается )) Всем добра!

✅ [Патч] MinerSearch v1.4.7.91

- Устранён сбой приложения при ошибках чтения файлов и каталогов
- Исправлен визуальный баг неверного количества найденных угроз
- Улучшен алгоритм определения подозрительных файлов
- Повышена стабильность обработки сторонних сетевых служб
- Добавлен функционал переключения языка. Создайте language.cfg (содержимое должно быть RU или EN)
- Устранённые ограничения Windows Defender больше не дублируются в лог
- Добавлен аргумент --no-check-hosts - пропускает проверку файла hosts
- Добавлен ключ-идентификатор на форму общих сведений для быстрой обработки отчётов (подробнее здесь)
- Реализован механизм разблокировки диспетчера задач и редактора реестра
- Нормальный цвет кнопки Свернуть

Для распаковки архива используйте WinRAR или 7zip.
Пароль на архив: 14791

Итак, друзья, с момента первой публикации по майнерам прошло достаточно много времени и пора её освежить.

1) Всё также лидирует John майнер (он же Realtek HD Audio) - да, тот самый, который закрывает вам браузер при попытке скачать антивирус или нагуглить какую-то информацию как от него избавиться. О том, как стараться его не ловить, уже был пост

2) Далее, очень внезапно появился nanominer. Думаю многи уже о нём слышали - много чего запрещает, сам восстанавливается. Сложно удалить руками, если не знать в каком порядке удалять. Больше про него рассказать нечего.

3) Третья категория "Семейство DrvSvc/STXService" - не такой въедливый, но неприятен тем, что его не может проглотить не один антивирус в силу своей громоздкости.

4) На четвертом месте догоняют майнеры из семейства dialer.exe. Встречается реже, но сложнее обнаружить глазами. Умеет скрывать свои файлы, процессы, а также присутствие в автозагрузке. Некоторые модификации этого майнера не скрывают своё присутствие, а нагло жрут ресурсы процессора или видеокарты. При попытке закрыть такой процесс получаем синий экран. Такие дела. Если у вас через какой-то время выдаёт bsod с кодом CRITICAL_PROCESS_DIED - это может быть признаком такого майнера.

5) Gang Miner - новый майнер, предположительно проводимой группой 8220 Gang эксплуатируя валидный файл АddInPrоcеss.

6) Fake uttorent - наверно самый хитрый майнер, использущий нестандартные пути автозапуска, а также механизм самовосстановления, когда система закончила установку обновлений. Очень неприятным моментом стало то, что установщик этого майнера (фейковый utorrent) был подписан доверенным сертификатом, чтобы гарантированно избежать обнаружения антивирусами. встречается менее чем 1% случаев. К этому времени сертификат уже отозван и нормально детектируется известными брендами коммерческих антивирусов.

7) Из интересных майнеров можно выделить Fake sandboxie и relativeHost. Тут злоумышленники проявили немного креативности и проэксплуатировали настоящие с подписью Microsoft файлы, а также службу Sandboxie – это такая песочница, для безопасного запуска приложений, где можно будет откатить состояние, если что-то пойдет не так. Служба также имеет подпись и поэтому не все антивирусы могут заметить подмену.

Про остальные майнеры особо сказать нечего, так как встречались крайне редко и были мало изучены. Имеются +- похожие поведения, нагрузка на железо, когда ничего тяжелого не запущено, закрываются при открытом диспетчере задач и прочее. И как бы на этом всё.

Удачи всем, друзья, и всех с наступающим Днём победы!

✅MinerSearch v1.4.7.92 [патч]

- Улучшение правил обработки процессов
- Обнаружение и удаление новых майнеров
- Исправлена некорректная классификация адреса copilot в файле hosts
- Исправлено кратковременное зависание при формировании отчётов на форме кратких сведений по угрозам
- Больше сведений о задачах планировщика с опцией --verbose
- Другие мелкие исправления

Пароль на архив: 14792

Друзья, небольшая важная информация

Этот тип майнера стал умнее и, если вы снова наблюдаете появляение updater.exe в фейковой папке с chrome, проверьте систему в безопасном режиме и проблема уйдёт.

Друзья, привет!

Бывали ситуации, когда вы могли наблюдать такую картину: каталоги, чаще всего добавленные зловредом, в исключениях Защитника Windows не удаляются. Если стоит другой антивирус, то можно проигнорировать, но если напрягает ненулевое количество угроз, рассказываю что делать в таком случае.

Сразу оговорюсь, что эти угрозы не являются прямым доказательством наличия зловреда в системе и имеет косвенный вред, если вирус каким-либо образом узнает, какие каталоги Защитник на проверяет.

1. Первый самый простой способ, запустить сам Защитник → Защита от вирусов и угроз → Управление настройками → Добавление или удаление исключений → Выбрать исключение, нажимаете стрелочку, удалить.
2. Второй способ, запустить powershell от администратора, временно отключить в защитнике "защиту от подделки" и выполнить для каждого исключения в powershell комаду Remove-MpPreference -ExclusionPath "C:\путь". Вместо слова "путь", указать фактический путь из списка
3. И, если ничего не помогает, третий способ - воспользоваться сторонней утилитой NSudo (перед этим желательно сделать точку восстановления). Скачиваем архив, распаковываем в пустую папку, NSudo Launcher → x64 → NSudoLG.exe. Запускаем, выбираем в выпадающем меню пользователя TrustedInstaller, ставим галочку Enable All privileges, в поле Open вписываем regedit, переходим в ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths и удаляем справа все нежетальные исключения. Закрываем обе программы.

И на этом всё, обычно перезагрузка не требуется.