Задать вопрос

Подозрительный процесс crowsd в legacy-системе — что это может быть?

Обнаружил в логах старой системы процесс crowsd, который устанавливает
соединения на внешние хосты. Дата обнаружения: 26.10.2023.

Процесс маскируется под системный демон, но:
- Использует нестандартный порт 8081
- Шифрует трафик через TLS с самоподписанным сертификатом
- В логах нашёл строку: Cr0w_C0d3_Leg4cy

Кто-нибудь сталкивался с подобным? Это может быть частью Operation Crows Nest
(расследовал похожий инцидент год назад).
  • Вопрос задан
  • 313 просмотров
Подписаться 4 Простой Комментировать
Помогут разобраться в теме Все курсы
  • Нетология
    Специалист по информационной безопасности + нейросети
    12 месяцев
    Далее
  • Skillbox
    Профессия Специалист по информационной безопасности
    12 месяцев
    Далее
  • Skillfactory
    Управление информационной инфобезопасностью
    11 месяцев
    Далее
Пригласить эксперта
Ответы на вопрос 2
moderatorh
@moderatorh
В IT с 1987-го года.
По поводу конкретно Вашего процесса ничего сказать не могу, но вот общие рекомендации от практика по айти безопасности.
1. Ищите конкретный объект этого процесса, обычно экзе файл, но не обязательно. Идете по указанному пути копируете файл скармлеваете его на сайте вирустотал в форму проверки файлов.
Если что то там вредоносное нашлось, значит все с файлом понятно. Если нет, не спешите радоваться!
2. Ждете не менее трех суток, далее снова идете на вирустотал и скармливаете этот же файл и смотрите на результат.
Если файл по прежнему чист, значит на 99% он действительно чистый, если нет, то нет.
Наверняка возникает вопрос, а зачем столько левых движений?
А все просто, весь подобный анализ файлов на вредоносный код основан на базе данных сигнатур. Есть сигнатура из вредоносного кода в базе данных антивируса, значит файл заражен...
Но любой серьезный приватный полиморфный криптор такую защиту обойдет и несколько дней вредоносный код будет гулять по сети и не определяться ни одним антивирусом.
Просто при отправке файла на вирустотал в большинстве антивирусных лабораторий начинается закулисная работа над этим файлом. То есть чаще всего в автоматическом режиме, а часто и в ручном проводится полноценный эвристический анализ и проыие поведеньческие тесты файла на основании которых делается вывод, есть там вредоносный код или нет, если есть, то выделяются сигнатуры, добавляются в базы данных антивируса и с этого момента вредоносный код уже начинает определяться антивирусами. Вот для чего нужно перепроверять результат через несколько суток.
Ответ написан
@rPman
Общий способ определения зловреда - это определить, к какому пакету/приложению он относится, а точнее определить таким образом каждый файл в системе, включая конфигурационные (которые могут быть скриптами) да еще и по содержимому, и пристально анализировать уже каждый неизвестный.

Помним про расширенные атрибуты, зловреды и там могут хранить инструкции и части себя, разместив ядро в конфигурационных файлах
Ответ написан
Комментировать
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Похожие вопросы