Ус отклеился
Ус отклеился Одно из самых популярных имен, под которые маскируются вредоносные файлы в Windows, — svchost.exe. Десятки легитимных процессов с этим именем постоянно висят в диспетчере задач, и пользователь просто не обратит внимания на очередной. Злоумышленники знают это и не только называют свои файлы похоже, но и активно мимикрируют под системный процесс. Недавно исследователю попался файл svchost.pyc. На первый взгляд обычный svchost, но на деле скомпилированный Python-байткод с многоступенчатой логикой. Код частично зашифрован через Base85 → XOR → LZMA-декомпрессия, затем exec(). Статический анализ был не прост, но исследователь неплохо поработал. Внутри классический набор техник: COM Hijacking через scrobj.dll, добавление в исключения Defender, патчинг AMSI и ETW в памяти процесса и внедрение shellcode в другой процесс через VirtualAllocEx → CreateRemoteThread. Процесс маскируется под svchost.exe -k netsvcs через подмену PEB. А еще он помечается как критический для системы (ProcessBreakOnTermination) и защищен двумя вотчдогами через Scheduled Task и WMI. Если говорить простым языком, то перед нами не просто вредоносный файл, а целая система выживания. Автор позаботился о том, чтобы программа не только запустилась, но и надежно закрепилась в системе, скрылась от глаз защитников, обманула антивирусы и даже мешала себя остановить. Как пишет исследователь этой малвари: «злоумышленник фактически собрал вокруг Python-процесса небольшую систему восстановления и маскировки». Но расширение .pyc выдало файл с головой. Ус-то и отклеился. @antiinfosec