Обсуждение Miner Search v1.4.7.4

@Severnyj, либо запускать с параметром --debug

BlendLog обновил(а) ресурс Miner Search новой записью:

Обновление v1.4.7.2

1) Наличие руткита майнера определяется быстрее
2) Разделение базы данных от основного приложения
3) Исправлена обработка путей с прямым(обычным) слешем

SHA256 c728bbd9d078d71ea1fad1a387731e012b082db51cc32fd5dbc18f1f80f87060
SHA1 7cb0894aadb613501838f3590feb089d322cf109
MD5 b98a99eb37a7a17564c64b1a0409ebb0

Нажмите для раскрытия...

Узнать больше об этом обновлении...

BlendLog обновил(а) ресурс Miner Search новой записью:

Обновление v1.4.7.3

• Удаление новой версии майнера с цифровой подписью;
• Исправлено автоматическое закрытие приложения в случае сбоя;
• Переработан алгоритм отключения вредоносных служб;
• Исправлено добавление удалённых файлов в карантин;
• Добавлена проверку удаления файла из аргументов msiexec;
• Добавлен счетчик всех найденных угроз;
• Добавлено игнорирование новых функций удаления с опцией --scan-only;
• Добавлено отображение строк из файла hosts, которые были обезврежены;
• Исправлена...

Нажмите для раскрытия...

Узнать больше об этом обновлении...

BlendLog обновил(а) ресурс Miner Search новой записью:

Обновление v1.4.7.4

• Сбор статистики удаления угроз (на усмотрение пользователя)
• Восстановление прав доступа существующих приложений из списка заблокированных каталогов
• Добавлена тщательная проверка процессов по времени использования CPU
• Добавлена легенда условных обозначений в логе
• Добавлена кнопка "Подробно" для открытия папки с логами
• Более точное обнаружение руткита майнера
• Нормальный формат даты в имени лог файла
• Улучшена проверка служб, включая Службы удаленных рабочих столов...

Нажмите для раскрытия...

Узнать больше об этом обновлении...

BlendLog обновил(а) ресурс Miner Search новой записью:

Обновление v1.4.7.4 - HOTFIX

[HOTFIX]
1) Исправление некорректного чтения файла hosts
2) Корректное создание индентификатора устройства в логе
3) Улучшена обработка планировщика задач
4) Исправлено ложное срабатываение на легальный скрипт powershell (UnusedSmb1.ps1)
5) Добавлено удаление задачи руткита из планировщика задач
6) Улучшено обнаружение угроз, которые запускаются через RunDLL
7) Предположительно вредоносные файлы перемещаются в карантин
8) Легенда обозначений перемещена в начало лог-файла
9) Исправлено...

Нажмите для раскрытия...

Узнать больше об этом обновлении...

Здравствуйте, появляется ошибка при запуске.
В безопасном режиме также:
скрин

@Nikname, картинки можете прямо в сообщение вставлять (просто для информации).

Nikname написал(а):

Здравствуйте, появляется ошибка при запуске.
В безопасном режиме также:
скрин

Нажмите для раскрытия...

Файлы все извлекли из архива?

Все файлы из архива распакованы.
Версия v1.4.7.4 проверяет до конца только с параметром --no-scantime
С параметром --no-runtime такая же ошибка.
Предыдущая версия v1.4.7.3 нормально запускается, ничего не находит.
Также в журнале ошибки, как на скринах...

Nikname написал(а):

Также в журнале ошибки, как на скринах...

Нажмите для раскрытия...

Это Windows 11? Если да, сборка или оригинальный?

BlendLog написал(а):

Это Windows 11? Если да, сборка или оригинальный?

Нажмите для раскрытия...

Windows 11, лицензия

выгрузите на время антивирусы и другое защитное ПО

BlendLog написал(а):

выгрузите на время антивирусы и другое защитное ПО

Нажмите для раскрытия...

Разобрался, проблема в параметре gpedit.msc, который на скрине.
Если отключить, то проверка идет до конца.

Думаю, поврежден файл System.Security.Cryptography.dll или библиотеки его зависимостей.
Net Framework 4 включена в состав Windows 11, поэтому переустановить ее не удастся (?), так что варианты: sfc /scannow или переписывать реализацию MD5 под ручные расчёты КС, например оформить это dll-кой. Или готовая на C# вместе со сравнительными тестами (к слову, не корректными для больших файлов). Я переписывал тот тест и MD5.Create() получилась самая быстрая.

@Dragokas или юзать SHA256

SHA256 это та же System.Security.Cryptography.dll.
Не удивлюсь, если при инициализации этого класса, у Nikname будет такая же ошибка.
Тут либо забить хер, либо по максимуму отвязываться от всего, что бывает битое. А по факту битой может быть любая часть фреймворка.
P.S. За время пока писал HJT, подобным же образом приходилось переписывать scrrun.dll и vbscript.dll на ручную реализацию, как класс хеш-таблиц и класс регулярных выражений, ибо периодически встречалось повреждение их регистраций в реестре или самих файлов библиотек.

Dragokas написал(а):

SHA256 это та же System.Security.Cryptography.dll.

Нажмите для раскрытия...

Это я понял, проблема была в другом, а именно в политике FIPS

@BlendLog т.е. если это System cryptography Use FIPS compliant algorithms for encryption, hashing, and signing - Windows 10 включено, то MD5 считает устаревшим и кидает в эксепшн?

Dragokas написал(а):

кидает в эксепшн

Нажмите для раскрытия...

да