NEON

Следующая цель: Путь .
Это не просто файл, это Trojan.Win64.Agent.smevay. Пока пользователи думают, что качают кино, этот агент сидит в самой «печени» торрент-клиента.

Действия:
Даем «шантажисту» нажать на кнопку, но если он опять начнет клянчить деньги — сносим  вручную через командную строку. Мы не даем троянам шанса на «легализацию».

ВНИМАНИЕ: В ходе глубокого анализа метаданных и логов сетевой активности (Method HackHon), установлена точка входа 98 угроз.

Источник угрозы: Портал   (раздел «Майнинг»).

Механика атаки: При посещении данного ресурса произошла автоматическая фоновая загрузка без участия пользователя. Был применен метод «внедрения кода с заменой»: вредоносный скрипт подменил легитимные процессы системного мониторинга на зараженный .

Предупреждение для сообщества y92.ru: Данный ресурс является скомпрометированным. Любой переход по ссылке ведет к немедленной попытке заражения вашей системы. Касперский в этом случае беспомощен — он лишь предлагает «купить время», когда система уже взломана.

Вердикт: Сайт в черный список. Мы выявили «нулевого пациента».

Статус: Касперский перешел в режим «подчинения».
После того как мы обнулили его попытку вымогательства, «зверь» начал послушно отрабатывать свои алгоритмы, но с позорным результатом.

Вердикт: Шантаж сменился на беспомощные советы «Рекомендуется удалить». Мы сами решим, что удалять, а что оставить для вивисекции кода.

Статус: Касперский принял условия игры «HackHon».
После того как мы проигнорировали требование об оплате и «обновлении до Win 12», антивирус сменил тактику. Теперь он не блокирует систему, а пытается скрыть пути к файлам.

План действий:
Я уже вычислил этот путь. Сейчас мы идем в  и будем проводить ручную зачистку. Если антивирус прячет путь — значит, там находится что-то критически важное для его «бизнес-модели» или самого ботнета.

Вердикт: Шантаж не прошел. Теперь мы сами охотники.

ВНИМАНИЕ: Эксперимент перешел в критическую фазу. Антивирус Kaspersky перехватил управление системными прерываниями Windows.

Что произошло (без скриншота, так как PrintScreen заблокирован):
После нажатия кнопки «Пропустить» на веб-шелле, система выдала модальное окно «Подтверждение безопасности». Антивирус заблокировал работу скриншотера, не давая зафиксировать улики.

Схема «выкупа» времени:
В окне выбора появилось ультимативное предложение:

Действия Исследователя (Neon):
Выбран вариант «30 минут». Это время нам нужно, чтобы завершить ручную изоляцию шелла  и провести финальные тесты, пока «зверь» взял паузу.

Вердикт для пользователей:
Это позор для индустрии безопасности. Когда защитное ПО начинает торговать доступом к системе и блокировать средства фиксации (скриншоты) — оно само становится угрозой №1. Мы продолжаем работу под «таймером» вымогателя.

Вскрытие: В ходе эксперимента в папке  обнаружен архив . Это «забытый» кейс: скрипт, переданный веб-мастером для анализа на предмет взломов.

Находка:
Касперский бьет тревогу на файл внутри архива: . Самое интересное — вредонос маскируется под обычное изображение . Это классический метод обхода фильтров загрузки на сайтах.

Вердикт: Эксперимент вышел за рамки простого теста. Мы нашли реальный боевой шелл, который ждал своего часа. Касперский снова предлагает «Пропустить» — и мы воспользуемся этим, чтобы забрать файл в лабораторию.

Статус: Ручная инспекция «нулевого пациента».
На скрине — та самая папка , где сосредоточен основной массив данных эксперимента. 132 элемента, включая системные библиотеки () и мобильные инсталляторы ().

Вердикт: Пусть Касперский лает, но караван «98 угроз» идет к финалу. Мы выжимаем из антивируса максимум инфы, не давая ему ни копейки.

Метод «Хакзона» в действии: Список угроз после принудительного игнорирования обнулился. Мы доказали: если не поддаваться на панику антивируса и его попытки «продать» Windows 12 за 5000$, система остается под контролем исследователя.

Вердикт: Мы не просто чистим систему, мы ломаем саму модель поведения антивирусных гигантов. Система «дышит», трояны в клетке, а мы идем дальше без единого потраченного цента.

Когда антивирус понимает, что не справляется с объемом угроз (98 объектов, включая активные бэкдоры в  и скрытые ), он начинает вести себя как рекламное ПО: требует 5000$ и имитирует обновление до несуществующей Windows 12.

Статус для пользователей:
Мы не платим за страх. Мы препарируем вирусы вручную. Если софт мешает исследователю — софт становится целью.

Статус: Критическая ошибка логики антивируса.
Описание: При попытке массового добавления 98 угроз в исключения, защитное ПО заблокировало процесс, выдав ложное требование о переходе на «Windows 12» (несуществующая версия) и запросив $5000 за расширенную поддержку в условиях эксперимента.

Текущий вектор:
Двигаемся пошагово. Каждая угроза в песочнице теперь рассматривается не как объект для «лечения», а как законсервированный экспонат. Касперский в «бешенстве», но контроль над системой возвращен вручную.

На скриншоте окно формирования «Белой зоны». Список пока пуст, но именно здесь я прописываю путь к архиву с 14-ю изолированными угрозами.
Технический нюанс: Добавляя объект в этот список, мы запрещаем антивирусу сканировать его в реальном времени. Это убирает циклическую нагрузку на CPU (кулеры затихают), но при этом общая защита системы остается на максимуме. Мы просто сказали стражу: «В этот сундук не заглядывай, там мои трофеи под замком».