Infekterad windows?

Nästan all rysk trafik går via .lt nu för tiden, eller för tillfället.

https://secure.veesp.com/cart/virtual-private-servers/

Klickar man på order te.x så ser man att det är St Petersburg bakom som routas igenom.

Kom det från dig själv är det nog lugnt dock. .lt har bland dom bästa inom cyber security online och så har dom FBI.

Du kan nog vara lugnt. Inte ofta man hör dom ligga bakom men man vet aldrig. Ofta routas dom genom USA eller liknande för att många flaggar öst länder vid login och det är lättast att hitta öppna system i USA/KINA/SVERIGE.

UGH! Sverige har nästan tagit över första platsen för mest öppna system i hela världen!!! Bissart.

https://www.shodan.io/search?query=rfb+authentication+disable...

Men lettland lyser med sin frånvaro. Haha, detta är ju ren gissning nu. Dom kanske inte tänker som mig dock om dom hackat sig in på kontot.

Lättast att se ifall om du har blivit infekterad med någon stealer så är det genom att kolla i wireshark efter någon skum utlänsk trafik eller vad som finns i processer.

Du kan kolla vilken tid filerna har modifierats/ändrats/skapats också i AppData mappen, där dom snor allting ifrån.

Du kan se ifall om det finns några skumma filer i %TEMP% te.x

schtasks.exe /create /tn "Puoi" /tr "C:\\Users\\user\\AppData\\Local\\Temp\\zqNDtAgMrV\\PJDKIgRDMm.exe.com C:\\Users\\user\\AppData\\Local\\Temp\\zqNDtAgMrV\\z" /sc minute /mo 3 /F

Riktiga exempel, men det går så fort man hinner inte med alla nya grejer som dom hittar på men kolla så du inte har sånt rullandes

Du kan visa mer flikar om du högerklickar där uppe vid "navbaren" eller vad det heter. Så kan du googla om du ser något skumt och så får du svar..

Det var mina bästa tips.

Så ser det ut te.x. Så ja, kolla aktivitet på filerna och sådär men oftast så brukar man inte märka det när det sker.

Bilderna är från en teknisk analys, det finns massa sådant här.

Det ända som kan vara lugnande de är att inga svenska banker finns med, men wallets och sånt söker dom genom hela datorn och file extensions.

Men nu gör jag dig säkert nojig här, det är nog lugnt om de var du som loggade in när det hände, ofta har dom automatiska saker som byter lösen direkt/filtrerar notices osv osv osv osv. Bra att vara vaksam dock.

Pinga ip address? Portscanna den? Är den ens up and running? Är det ett datacenter det där stället du nämner? Finns massa att kolla.

https://www.ipfingerprints.com/portscan.php

Ofta brukar alla som attackerar vara värdelösa på försvara sig och lämna flera portar öppna osv.

Ser du typ, port 22, 3389, 5900 öppna.. Då skall du kanske byta lösenord annars är de nog chill för man brukar inte märka av det, dom är för bra för det numera.

Det är svårt att se Wireshark i efterhand, det skall man egentligen ha "igång" men jag har en hel guide för tshark allt funkar även för wireshark: https://github.com/wuseman/tshark-cheatsheet#http-display-fil...

Du kan välja en av dom och klistra in i fältet högst upp i wireshark, men det är mest effektivt låt säga att dom då för över datan från din dator till deras genom att klicka på "GET" eller vad dom nu har för button så kan du se det exakt när dom för över data, dom för över datan lite random för att samla "uppdaterade tokens/cookies" hela tiden.

Skall se ifall om jag kan hitta något exempel.

https://securityscorecard.com/research/detailed-analysis-redl...

Här är en, sen finns det massa olika men det är inte lätt.

Men, om det var din egen ip address så är det nog lugnt eller jag vet inte dom kommer på nya saker hela tiden men det är inte lätt att "tunnla" bara sådär, då måste dom veta hur man öppnar portar i routern om du har router osv.

Har du klickat på JA när UAC har kommit upp om du laddat ner någon skum exe fil väldigt nyligen?

Den samlar in hardware ip allt möjligt. Varför jag vet allt detta det är naturligtvis för jag är intressserad men för en poolare blev drabbad så jag crackade det och sedan jagade jag upp den där "godfather" som dom kallar sig. Många saker hamnar på https://intelx.io .. Dom är maskade dock men söker du på te.x "hotmail.com" så kommer du se SE[HARDWAREID] så kan du se screenshot när man blir infekterad, dom tar kort på det nämligen varje gång så dom samlar väl data antar jag.

Ahh, då är det lugnt. Det är skillnad på tanka hem Razor1911, FLT och alla dessa som funnits i alla år och piratebay men då är det nog lugnt. Men ja, du fattar vad som gäller då då behöver jag inte förklara detta så djupt men ja, det är verkligen noga med att veta vad man laddar ner.

Ofta "crackade" program, megaupload elller megafire heter det kanske där sprids mycket. Väldigt mycket "apk" filer till android som också är nedladdade från ja "tredjepart" eller vad man skall säga inte "legit" siter.

Det är att ha koll på processer och trafiken, det är inte så himla enkelt, eller det är väldigt svårt faktiskt. Jag har inga expert tips på hur man upptäcker det bara vad man skall ha koll på typ, men är du minsta osäker så formatera om och byt lösenord.

Ja, faktum är att dom letar efter just mycket "wallets".. Finns listor lite överallt på vad som är aktuellt. Nu verkar det vara "Agent Tesla" det har jag inte ens hört det går ju super fart och då är jag ändå intresserad så in i bomben men man hänger inte med längre.

Denna är bra te.x för att se vad dom tar sig an.

https://www.zscaler.com/blogs/security-research/making-victim...

Här är dom vanligaste mapparna dom snor saker från:

Dom är rätt värdelösa egentligen. Det ända man behöver göra är att inte installera saker i %APPDATA% och lägga saker på andra ställen en vart dom installeras som "standard" så dom är inte "såååååå" avancerade direkt alltså tekniskt, dom kollar i dom vanligaste sakerna och sedan är det ju bara sorgligt att Microsoft och Google m.fl inte kan skydda användarna bättre.

Kul att du frågar, jag tycker det är as roligt alltså det är hemskt att det händer men jag är jäkligt involverad för att htta alla dessa men det går i perioder, men när dom snodde min väns och sedan snodde mina då var bara att få fram filen som min vän laddade ner och sedan fick man börja leta. Så det är ju därför jag lärt så mkt inte för jag håller på med sån här skit själv

Nej, inte om det är nytt.

Det har jag försökt få min vän att fatta i ett år, han får varningar för allt i webläsaren som inte är äkta virus/malware men när man får äkta virus så hjälper ingenting.

Det hjälper mot allt som är "gammalt" men eftersom att det inte går att ladda upp på virustotal.com te.x vissa saker så kan inte alla antivirus få reda på det om man inte lägger in det manuellt.

Allt handlar om att inte klicka på "YES/JA" i den där UAC förfrågan, det är det allting handlar om. Kollar man i källkoden så är det första dom gör att kolla det där "UAC Allow All" och nu vad som finns som altenativ, är det inte ALL så kan dom inte göra något i princip. När man klickar på JA när du installerar en fil så kör deras malware direkt:

Sedan har det admin ju.

Det där är inget konstigt heller, det är från microsofts hemsida: https://answers.microsoft.com/en-us/windows/forum/all/disable...

Det är verkligen sunt förnuft som gäller.

Deras malware stänger ju även av windows defender, det är också skit lätt.

Set-MpPreference -DisableArchiveScanning      $true                
Set-MpPreference -DisableAutoExclusions       $true                   
Set-MpPreference -DisableBehaviorMonitoring   $true              
Set-MpPreference -DisableBlockAtFirstSeen     $true                     
Set-MpPreference -DisableRealtimeMonitoring   $true
Set-MpPreference -DisableScanningNetworkFiles $true                  
Set-MpPreference -DisableScriptScanning       $true                
Set-MpPreference -DisableArchiveScanning      $true
Set-MpPreference -ScanParameters              0

Dom använder allt sånt här till sin fördel, det är egentligen inte så jätte avancerat.

Man kan stänga av så man inte får köra "script" i powershell, det är avstängt som default men det kommer dom ju förbi direkt så fort man klickar på "yes" i UAC Bypass när den förfrågan dyker upp.

All hårdvara osv det hämtar dom med "wmic" kommandot. Jag har det jag crackade på github, på microsofts plattform.

Såhär öppnar deras stealer(det som var då men det är aktuellt ännu också) brandväggen:

https://github.com/wuseman/Redlinestealer2020/blob/main/OpenP...

Sedan är detr bara kolla vidare, inget farligt direkt det det är bra att vara medveten.

Porten kan ju vara "olika" naturlgitivs men ja, så man får jaga och jaga...

Det senaste är tydligen mot macos såg jag precis som är "värst" eller "stjäl" mest. Sen kommer "Tesla Rat"

Haha, kom väl lagom till ChatGPT

Det sjukaste av allt är att dom vet vem det är också som skapat det men vissa är skyddade bakom olika lagar i olika länder, USA kan ju inte hämta en RYSS eller vice versa te.x.

Men du kan nog vara lugn.

Men den skall ju ändå inte skriva fel land. Det kan dock hända.

Vad står det för land om du går in på: https://www.whatismyip.com/ te.x?

Du har inte vpn i webläsaren?

Hehe, jag är verkligen inte experten här på ge råp faktiskt men om du är minsta orolig och du är osäker även om jag tror du har bättre koll en vad ger sken av så formatera om ifall om ändå disken är trasig.

Jag är långt ifrån perfekt själv men du verkar vara en liten gambler men det är INTE roligt att bli av mina sina uppgifter, det blev jag samtidigt som min kompis drabbades då jag hade "råkat" vara inloggad där, jag förlorade lite konton men inte något som var jätte viktigt men att få tillbaka konton te.x om någon stjäl dina saker är inte så lätt som man kan tro, när man förlorar allt så blir allt extremt svårt och det märker man oftast när man hamnar i den sitsen.

Så jag säger som en vän, REINSTALL, det är så snabbt gjort så chansa inte.

Men om du får vvara helt ärlig, hur tror du det det gick till helt ärlig tatt du står i .lt av alla länder, det låter konstigt och när du själv loggade in men om du verkligen är osäker så better safe then sorry

Ha en fin dag på jobbet nu, och du glöm inte stänga av datorn om den är på om du ändå är på jobbet och är minsta osäker.

Jag personlgien hade inte formaterat för då försvinner alla bevis om man vill hitta den skyldiga, är du inte som jag. FORMAT! Jag är verkligen emot alla som stjäl av andra, men alla är vi olika med hur vi hanterar sånt.

PS: Glöm inte supporta utvecklarna och köp spelen, det gör alla som "crackade" spel back in the days.

Förresten så om någon följer detta och vill veta vad man kan göra te.x om man har kids som spelar och allt sånt här så vill jag bara nämna vad man kan göra och ifall man är orolig det är ju inte konstigt direkt så kan man sätta olika krav på UAC så det inte bara är att klicka Yes/No utan det finns olika altenativ:

gpedit.msc i run och sedan här:

Microsoft har tillräckligt med skydd men hur skall man förhindra någon att trycka på yes/no, jag tror det är omöjligt att stoppa man måste vara försiktig verkligen, det är live or die typ. Jag har klarat mig tills jag fick mina uppgifter läckta av en annan som skulle tanka ner drivisar till sitt senaste nvidia kort för hundrade gången men det är lätt hänt, man lär sig av misstagen så är man "snäll" tror man så kan det kosta dyrt då alla inte tänker likadant om sånt här, det fick jag uppleva, aldrig jag lånar ut spotify igen eller snarare loggar in på någon annanställe för man vill ha musik för en liten stund och sedan glömmer att logga ut, nåja whatever.

Update: Surfade precis in och skulle kolla på nyheter för dagen, ja då dök det upp som jag sa var svårt med att "öppna portar" i routern m.m men man hinner knappt skriva innan det dyker upp nya saker som var omöjliga igår typ:

https://computersweden.idg.se/2.2683/1.777139/ny-anfallskampa...
https://blog.lumen.com/new-hiatusrat-router-malware-covertly-...

Är dock inte sverige nu heller som är "target", Sverige är förskonade mot sånt här men det väl dom flesta hur det ser ut i världen.

Man undrar hur dom kommer på alla namn dock. "Hiatus" är ju "break" eller en "paus" i aktivieten. Det skrivs att detta "botnät" har haft en paus för att nu komma tillbaka efter ett tag som varit "gone" ... Så dom döpte det efter "pausen" .. Låter ju nästan som det är planterat många gånger men det är väl bara slumpen (kanske? lär man aldrig få reda på) .. Förresten, den som försöker stoppa sådant här riskerar fängelse, sjukt men sant det vet väl den som känner till "The Confessions of Marcus Hutchins, the Hacker Who Saved the Internet" medveten om - Blev fängslad. Så bäst att bara titta på.

https://www.wired.com/story/confessions-marcus-hutchins-hacke...

BTW: Är det inte "Lithuinia" på bilden som är markerad, tog den från artikeln, kanske polen med.

// wuseman

Tack walkir.

DNS vet jag inte så mycket om i det avseendet.

En brandvägg hjälper oerhört mycket men inte just mot detta som är så populärt numera med "stealers" som dom heter dessa nya "malaware" familjer. Alla brandväggar är inställda som "DROP" på inkommande anslutningar i routrar som standard och allt som är "OUTPUT" är tillåtet som standard.

Problemet är i just detta jag pratar om att när man "klickar" på yes så jag ve thur jag skall förklara men då aktiverar man en klient som kommer att skicka ut datan till en server och servern har ju dom som stjäl datan för dom tar ju emot datan så en brandvägg i det avseendet gör inte så mycket MEN om du konfigurerar en perfekt brandvägg, dvs du sätter allt som DROP (input/ouput/forward) och sedan sätter upp regler för vad som är tillåtet, te.x enbart port 443 för surfa på nätet ja då är man ju väl skyddad, så gör jag ju inte själv men det finns många som sköter det perfekt men det är inte så vanligt bland "normal användare" skulle jag tro, aldrig sett någon som "ripsar" om det förutom till dom som ställer in brandväggen "hardened" som det heter.

Man kan allt ställa in en brandvägg extremt effektivt, te.x bara tillåta vissa websidor via domän osv osv..

Söker man som vanligt på te.x: "Configure iptables in linux" så kommer 99% skriva följande:

Men vill man verkligen göra det extremt bra och seriöst så får man söka på "iptables hardened" då är all trafik otillåten och sedan får man sätta upp regel för regel för allt som skall vara tillåtet men det går ju knappt att göra som privat person om man spelar, sshar, fjärrstyr saker m.m.

https://wiki.codeemo.com/secure/iptables_hardened.html

Att scanna nätverket är bra med wireshark, har man en egen router te.x eller någon man tweakat och kan ssha till så kan man läsa av trafiken direkt från routern istället för datorn på varje interface, det blir något helt annat då ser man trafiken direkt från routern till switchen till sin ISP och man kan se alla "push" updates med firmware uppgraderingar och om dom ansluter för att ge support te.x allt detta sker på "vlan" som man inte kan se på wireshark på datorn direkt.

// wuseman

Komplicerat, minst sagt.