Обнаружение угрозы безопасности ET MALWARE SocGholish: домен в DNS-запросе (retraining.allstardriving.org)

Обнаружение угрозы безопасности ET MALWARE SocGholish: домен в DNS-запросе (retraining.allstardriving.org), wifiman

tysont20 Guest	#1 26.01.2024 23:25:00 Я получил уведомление о выявлении угрозы безопасности на одном из моих серверов pihole. Подпись: ET MALWARE SocGholish Domain в DNS-запросе (retraining .allstardriving .org). Не совсем понимаю, что с этим делать?

dlow

Guest

08.09.2024 16:21:00

Если вы действительно думаете, что это настоящая инфекция, тогда сотрите все данные или купите новый телефон. Проблема в том, что этот тип вредоносного ПО — это своего рода «установщик». Он выставляет ваш телефон на продажу в Дарквебе, позволяя тому, кто больше заплатит, установить своё собственное вредоносное ПО.

Так что дело не только в удалении SocGholish, нужно избавиться и от того, что могло появиться потом. Есть ещё вторичные вирусы, которые могут пережить сброс устройства. Или они могут перехватить кнопку «сбросить телефон», чтобы казалось, что данные стерты, хотя на самом деле нет. 🤷

Практический совет: сделайте сброс телефона к заводским настройкам не через Android. Я пользователь iPhone, и знаю, что при запуске есть комбинации кнопок для входа в DFU-режим — экстренная перепрошивка, когда ОС сломана. Наверняка у Android есть что-то похожее.

НИ В КОЕМ СЛУЧАЕ не восстанавливайте резервную копию! Скорее всего она тоже заражена.

Вероятно, вы сможете использовать уже существующие Google-аккаунты. Обязательно смените все пароли! Любой пароль, который хоть как-то использовался на этом телефоне, должен считаться скомпрометированным.

Если заражение продолжает проявляться, купите новый телефон, начните всё сначала и снова поменяйте все пароли.

Если после покупки нового телефона вы продолжаете думать, что заражены — это либо ложная тревога, либо недостаток знаний в области кибербезопасности пользователя, либо более серьёзная инфекция.

Удачи!

martinrobertson Guest	#3 08.09.2024 15:29:00 Если источник — это телефон (Android / iPhone), лучше просто сбросить устройство до заводских настроек? Или есть проверенный способ избавиться от этого? Любая информация будет полезна, спасибо.

t4abyss Guest	#4 25.08.2024 14:17:00 Со мной только что случилось то же самое — с Android моей жены, s21, пока она спала и не пользовалась телефоном. При этом никаких других уведомлений от unifi не было.

sinbadx83

Guest

16.07.2024 00:24:00

Получил такое же уведомление с телефона на Android. Там три предупреждения. Два уведомления — от моего телефона к Unify-шлюзу (локальный IP-адрес), помечены как подозрительные, и одно — к внешнему IP-адресу вредоносного сайта. Я проверял подозрительное уведомление через 4 дня после сигнала. Отключил интернет на телефоне. Bitdefender ничего вредоносного не обнаружил (установлен на телефоне). Странно, что первый и третий запросы шли с локального IP моего телефона к Unifi-шлюзу. Блокировка соединения и IP отключила доступ моего интернета к Unifi. Второй запрос был к внешнему IP 192.168.XX.XX и помечен как троянская активность — ET MALWARE SocGholish Domain в DNS Lookup (scada.paradizeconstruction.com). Не понимаю, почему соединение с моего телефона к шлюзу было помечено как вредоносное. При этом тот же запрос к другому IP, где расположен сайт paradize, также отмечен как ET MALWARE SocGholish Domain в DNS Lookup (scada.paradizeconstruction.com). Вы, ребята, что-то заметили после этого оповещения или это был ложный сработок?

nikocraft Guest	#6 25.03.2024 16:08:00 Спасибо, NAS тоже есть, но я не пользуюсь Active Backup, так что предупреждений по NAS у меня не было. Мой брандмауэр на пользовательском интерфейсе настроен на максимальный уровень защиты.

CZummo76

Guest

25.03.2024 13:26:00

Уведомление пришло на телефон моей жены, поэтому я попросил её очистить кеш браузера Google и перезагрузить телефон — с тех пор никаких предупреждений не появлялось, так что, может, ложная тревога? Хотя в похожей, но не менее странной ситуации: с одного из недавних обновлений Unifi теперь считает резервные копии Active Backup for Business моего Synology NAS вредоносным ПО. Каждый раз, когда ABB начинает SMB-резервное копирование с моего файлового сервера в той же VLAN, трафик помечается как вредоносный, но сразу не блокируется — пропускает гигабайты, а иногда и сотни гигабайт, хотя пишет "заблокировано". Честно говоря, начинаю терять доверие к файрволу Unifi. Если интересно, вот ссылка на обсуждение этой темы: https://community.ui.com/questions/Synology-DSM7-2-and-Unifi-Threat-Detection-Issue/03fe6249-be79-4443-ad92-bc6e6b2147d1

nikocraft

Guest

25.03.2024 10:48:00

@CZummo76 Это касается и телефонов на Android. У меня установлен ESET NOD32 на Android, и он ничего не обнаружил, но сегодня утром мне пришло оповещение, что одно из Android-устройств пыталось зайти на сайт pluralism. Ты что-нибудь ещё нашёл со своей стороны? Были ли у тебя ещё подобные оповещения?

CZummo76 Guest	#9 29.02.2024 15:22:00 Кто-нибудь знает, влияет ли это на Android-телефоны? Мне только что пришло два оповещения по этому поводу. Не уверен, подключался ли телефон к заражённому сайту или же в самом телефоне есть баг... Учитывая, что это телефон, он не всегда защищён через unifi. Буду признателен за советы. ET MALWARE SocGholish Domain в DNS-запросе (pluralism.themancav.com) Информация о трафике Исходящий IP: 192.168.100.97:21653 Целевой IP: 192.xx.xx.xx:53 Активность: 83.0 B Действие: Заблокировано Интерфейс: br100 Протокол: UDP

Читают тему (гостей: 1)