MinerSearch | Заметки разработчика

Полезная информативная статья, почему не стоит скачивать дискорд-фиксы откуда попало https://safezone.cc/threads/khoteli-skachat-zapret-poluchili-troyan-issledovaniye-feikovykh-repozitoriyev-i-youtube-kanalov.49134/#post-365465

MinerSearch | Заметки разработчика pinned a file

🫡 Как сказал один из моих товарищей – пути майнеров неисповедимы. Друзья, хочу вам показать один случай, чтобы вы смогли проверить наличие такого зловреда у себя. Microsoft Display Driver Manager -> записывается в автозапуск и ссылается на pythonw.exe, которая в свою очередь ведёт на питоновский скрипт exec.py. По содержимому у него всего две строчки from updater import update update() И вот это две строчки заставляют загружать неофициальный .pyd модуль, который как раз делает инжект в легитимные процессы dllhost.exe и calc.exe. Лежит эта зараза тут %LocalAppdata%\Programs\Python\Python399\python3 Коварство же в том, что пока его ни один антивирус не распознаёт. Поэтому если нашли у себя этот файл, сразу удаляем и делаем перезагрузку --------------------------------------- 💰Поддержать автора монеткой

✅ Новая версия v1.4.9.2 - Добавлена новая форма FormTreatReview с выбором, что сделать для каждой угрозы - Переключатель "разрешить отправлять статистику" вынесен на отдельную форму - Исправлено ложное срабатывание на Throne proxy - Исправлен баг, при котором состояние UAC не определяется - Исправлен баг с ReleaseMutex, при котором приложение падало в ошибку после сканирования в режиме --silent - Добавлена проверка на недопустимые знаки при проверке задач планировщика - Добавлена проверка на недопустимые знаки при проверке правил Firewall - Главное окно FinishEx теперь не перекрывает другие постоянно - Добавлена ссылка на оф. страницу приложения - Обновлены правила для удаления новых майнеров Обновление также доступно на github

Самый коварный приём, которым пользуются всякие стиллеры, майнеры и другие зловреды - DLL Search order hijacking. Проще говоря – злоупотребление тем, что некоторые программы загружают DLL из своей папки, не отдавая приоритет системным библиотекам. Что это значит? Это значит, что софт не проверяет происхождение DLL и загружает то, что "ближе". Пример можно увидеть на скринах. Подменная UMPDC.dll оказалась ближе, хотя официальный файл лежит в C:\Windows\System32. Если загрузка успешна, вредоносная DLL цепляется к приложению и даёт зловреду возможность выполнять код от имени легитимного приложения. И это всего лишь тестовая dll, которая выводит сообщение, что успешно прицепилось к такому-то процессу. А что антивирусы? Обычно ничего. Не всегда удаётся распознать в чём подвох. Подпись есть? Она действительна? Да. Вопросов нет. А вот нифига! Как от этого защититься? На 100% - никак, но есть одна системная настройка, при которой большинство подобных атак перестанут работать. 1) Запускаем powershell от админа и пишем Set-ProcessMitigation -System -Enable PreferSystem32 2) Перезагружаем ПК. PS. В редких случаях старые приложения и некоторые игры с модами, которые пользуются данным хаком, могут некорректно работать. Отключить настройку можно так Set-ProcessMitigation -System -Disable PreferSystem32 И применить для конкретных приложений, например Set-ProcessMitigation -Name "explorer.exe" -Enable PreferSystem32

Допилил официальную страницу проекта blendlog.github.io Теперь она позволит напрямую скачивать последнюю версию утилиты.

вот оно, откуда ноги растут https://t.me/xakep_ru/19625

Настал момент, когда майнеры научились закрывать браузер при попытке загуглить MinerSearch. Что делать в таком случае? Первый простой вариант: - Скачивать файл через Boosty с вложения, либо там же по прямой ссылке Github - Скачивать архив с официального канала в TG - Перекинуть архив с приложением с другого устройства [UPD] - посетить оф. страницу blendlog.github.io Второй вариант: - Приостановить зловредные процессы через штатный Монитор Ресурсов (resmon) или через System Informer, о котором я рассказывал ранее, затем действовать как обычно; - Ещё вариант использовать набор утилит Microsoft (и не только), о которых тоже есть пост. После скачивания извлеките архив в пустую папку, не открывая архив, через правый клик -> извлечь в... PS. Я про вас не забыл, обновление в процессе и пока задержится

Теперь посты в Telegram будут дублироваться на Boosty https://boosty.to/blendlog

✅ Новая версия v1.4.9.1 - Исправлен некорректный парсинг задач планировщика - Исправлено ошибочное удаление electron-based приложений - Исправлено ошибочное удаление всех SFX-архивов - Исправлено стратегия проверки нестандартных скрытых служб - Исправлено ошибочное удаление драйвера bluetooth - Добавлены отсутствующий строковые ресурсы перевода - Добавлена возможность выбора, в какое расположение восстановить файл из карантина (исходное или указанное) Версия доступна на github -> https://github.com/BlendLog/MinerSearch

Многие ждали и мы сделали Теперь у MinerSearch есть официальная страница загрузки https://blendlog.github.io/

MinerSearch | Заметки разработчика pinned «Для всех желающих сказать "Cпасибо": Перевод по СБП: ссылка Сбер: 2202 2080 4242 1512 Альфа: 2200 1545 2293 6235 Юмани: 4100 1161 1264 0968 Boosty: https://boosty.to/blendlog/donate TON: UQDycad1nVoeE2lGVj-ONlQcR0rMTLUXOxTg6MW9jbfwzIWG USDT (TRC20): TW…»

✅ Новая версия v1.4.9.0 - Новая архитектура Scanner -> Analyzer -> Handler - Обновленная кодовая база с полной ревизией - Добавлено удаление новых майнеров - Исправлено ошибочное удаление всех WMI-подписок - Исправлено ошибочное определение типа угроз - Добавлен столбец "Класс" на форму с отчётом - Добавлена опция --no-scan-wmi (-nwmi) - Добавлена опция --no-scan-users (-nsu) - Добавлена опция --no-scan-registry (-nsr) - Переработан сигнатурный анализатор Версия доступна на github -> https://github.com/BlendLog/MinerSearch

Следующее обновление уже на подходе. Около 80% кодовой базы переписано под новую архитектуру. Баго-фикс само собой. Нужно ещё убрать мертвый спаггети-код, добавить пару фич и сделать завершительные тесты на новых хитрых майнерах. Дату релиза пока не называю, возможно будет через недельку. Между делом хочу продемонстировать покупку 5060 ti 16 ГБ, чтобы гонять локальные нейронки. Результаты положительные, очень доволен, надеюсь окупится😅

Добавил перевод по СБП. Всем спасибо!

Скрытый майнер под видом патча Adobe Photoshop. Думаю многим будет интересно почитать https://safezone.cc/threads/skrytyi-mainer-pod-vidom-patcha-adobe-photoshop.48833/

Три уязвимости нулевого дня в Защитнике Windows эксплуатируются хакерами Исследователь под псевдонимом Nightmare-Eclipse опубликовал три уязвимости в Microsoft Defender вместе с рабочими эксплойтами. BlueHammer и RedSun позволяют повысить привилегии до уровня SYSTEM, а UnDefend даёт возможность заблокировать обновления антивирусных баз. Специалисты зафиксировали реальные атаки с применением всех трёх эксплойтов. BlueHammer начали использовать уже с 10 апреля. На одном из взломанных компьютеров атака велась вручную: злоумышленник проник через скомпрометированный SSLVPN-аккаунт и управлял действиями напрямую. BlueHammer получила идентификатор CVE-2026-33825 и закрыта в апрельских обновлениях. RedSun и UnDefend по-прежнему без исправлений. RedSun работает на Windows 10, 11 и Server 2019 и новее при включённом Защитнике. #антивирус #zeroday #привилегии #microsoft @ZerodayAlert