Стефанія А., автор у Блог Грідінсофт

Microsoft випустила патчі для січневих багів

Нещодавно корпорація Майкрософт випустила позапланові патчі для усунення багів в січневих оновленнях. У другий вівторок січня компанія зробила оновлення, які викликали багато нарікань з боку клієнтів. Проблеми були з віртуальними машинами (VM), контролерами домену (DC) і VPN-з’єднаннями, тощо. Користувачі можуть завантажити оновлення з каталогу оновлень Microsoft або через стандартну систему Windows Update (як додаткові оновлення).

Було випущено патчі для багів січневих оновлень

Патчі KB5010794 (Windows 8.1, Windows Server 2012 R2) і KB5010797 (Windows Server 2012) доступні лише для самостійного завантаження з каталогу оновлень Microsoft. А за допомогою Windows Update ви можете завантажити наступні оновлення:

Windows Server 2008 SP2: KB5010799

Windows 7 SP1: KB5010798

Windows 10 1507: KB5010789

Windows 10 1607, Windows Server 2016: KB5010790

Windows 10 1909, Windows Server, version 1909: KB5010792

Windows 10 20H1, Windows Server, version 20H1: KB5010793

Windows 10 20H2, Windows Server, version 20H2: KB5010793

Windows 10 21H1: KB5010793

Windows 10 21H2: KB5010793

Windows Server 2022: KB5010796

Windows 11 21H1 (original release): KB5010795

Планові січневі оновлення компанії виявилося мали в собі декілька багів

Перед тим, як Microsoft випустила позапланові патчі для проблемних оновлень, адміністратори та користувачі Windows 10 і 11 скаржилися на різноманітні проблеми, що виникли після встановлення планових січневих оновлень компанії. Користувачі нарікали на проблеми з підключенням L2TP VPN під час роботи з клієнтом VPN. Коли користувачі намагалися підключитися до пристрою, це призводило до наступної помилки:

Microsoft випустила патчі для січневих багів — Один із багів призводив до збоїв з роботою VPN

У журналах журналів подій виводився код помилки 789, що вказував на невдале підключення VPN. Системні адміністратори також скаржилися, що останні оновлення не дозволяють їм підключатися до брандмауерів Cisco Meraki, SonicWall і WatchGuard.

Пізніше компанія скасувала січневе кумулятивне оновлення для Windows Server. Тут баги збили роботу контролера домену, який почав постійно перезавантажуватися. Проблема торкнулася також Hyper-V і томів ReFS. Hyper-V — це технологія Microsoft, яка дозволяє користувачам створювати віртуальні середовища з кількох операційних систем на одному фізичному сервері. Після січневих оновлень цей інструмент віртуалізації чомусь постійно став зависати.

Resilient File System (ReFS) — це файлова система, розроблена компанією Microsoft, яка була створена для обходу обмежень NTFS (іноді називається «The New Technology File System»). Користувачі не могли отримати доступ до томів файлової системи через баги в січневих оновленнях.

Компанія випустила оновлення як частину щомісячних наборів (Вівторок оновлень). Цього місяця розробники виправили шість вразливостей нульового дня та одну критичну вразливість. Оновленням для Windows Server було присвоєно такі ідентифікатори: KB5009555 (Windows Server 2022), KB5009557 (Windows Server 2019) і KB5009624 (Windows Server 2012 R2). Ці оновлення наразі недоступні в Windows Update.

Вразливість RemotePotato0

Ще одну вразливість нульового дня Microsoft вирішила не усувати. Йдеться про вразливість RemotePotato0, яка дозволяє зловмисникам отримати адміністраторські привілеї у всіх версіях операційної системи Windows. Вразливість отримала неофіційний патч від компанії 0patch. Вразливість не отримала власного ідентифікатора CVE. У разі успішної експлуатації може призвести до повного компромісу домену.

Спеціаліст з SentinelLabs Антоніо Кокомаці був першим, хто звернув увагу на проблему ще в квітні 2021 року. Використовуючи вразливість, хакери зможуть отримати права адміністратора домену після атаки на реле NTLM.

«RemotePotato0 дозволяє зловмиснику з звичайними привілеями запускати кілька спеціальних програм у сеансі будь-якого іншого користувача. Ці програми можуть надсилати хеш NTLM на IP-адресу, яку вибирає зловмисник. В результаті зловмисник має можливість підробити свій запит на домен і видати себе за адміністратора. Після цього він запросто може додати себе до групи адміністраторів», – прокоментував вразливість у блозі компанії засновник 0patch Мітя Колсек.

Але використання вразливості можливе лише в тому випадку, якщо зловмисник якимось чином змусить адміністратора увійти у сеанс одночасно з ним. Тільки так експлуатація буде успішною. Неофіційний патч буде доступний, поки Microsoft не випустить офіційний.

Як користуватися каталогом оновлень Microsoft?

Хоча в застосуванні оновлень через Windows Update немає нічого складного (вам просто потрібно запустити завантаження самостійно, якщо виконання не налаштовано автоматично), та вас може збентежити термін «Каталог оновлень Microsoft». Каталог оновлень Microsoft — це служба Microsoft, яка надає користувачам сховище чи список оновлень для всіх операційних систем, які Microsoft підтримує на даний момент. Матеріали варіюються від патчів, функцій Windows, оновлених системних файлів до драйверів пристроїв.

Насправді каталогом в основному користуються підприємства та бізнес, але ним можуть користуватися і звичайні юзери. Вам можливо він стане у нагоді, якщо ви шукаєте якесь конкретне оновлення для свого комп’ютера. Наприклад, пошкоджений/відсутній драйвер. Що ж до ІТ-адміністраторів в корпоративних системах, то вони користуються каталогом для забезпечення стабільності робити комп’ютерів, а саме слідкуюють, щоб комп’ютери в їхньому домені отримували правильні оновлення системи, або перевіряють чи нові оновлення не вплинуть якимсь чином на роботу корпоративної системи домену у години пік. Перш ніж користуватися каталогом оновлень Microsoft , ознайомтеся з загальними правилами ефективної роботи з ним нище.

Ви можете отримати доступ до сайту з будь-якого браузера і , перейшовши, побачите там лише рядок пошуку в правій частині сайту. Пам’ятайте, що не потрібно вводити не сконкретизовані пошукові запити, як-от «Оновлення безпеки» або «Оновлення Windows 10». Пошук може видати вам в такому випадку до тисячі записів. Ні, тут треба бути конкретним. Правильний спосіб знайти потрібне оновлення буде таким: KB5005033. KB ( Knowledge Base) розшифровується як База знань, номер для кожного оновлення різний.

Просто введіть таку ідентифікацію шуканого файлу та натисніть кнопку пошуку. Ви також можете звузити пошук, додавши більше деталей про запит. Наприклад, можна додати x64, щоб конкретизувати запит, що шукається оновлення саме для 64-розрядної системи. Файли з розширеннями.msu є простими програмами встановлення. Ті, що з .cab є архівами для драйверів пристроїв.
Коли з’явиться результат пошуку, клацніть оновлення, щоб відкрити окреме вікно, яке покаже вам деталі вибраного оновлення. Якщо це той файл, який ви шукали, перейдіть до кнопки завантаження.

Майте на увазі, що деякі файли мають ідентичні номери. Тому переконайтеся, що ви уважно перевірили файлову версію та операційну систему.

Українські організації під атакою зловмисного програмного забезпечення

У своєму блозі компанія Майкрософт опублікувала відомі їй факти про зловмисне програмне забезпечення, яке нещодавно атакувало сайти кількох українських урядових та інших організацій. Команда вперше виявила його на серверах кількох організацій, що розташовані на території України 13 січня 2022 року. Вони повідомили про цей факт всі відповідні державні установи в США та інших країнах, а також жертв атаки. Команда поділилася всією наявною на даний момент інформацією про загрозу з іншими установами зі сфери кібербезпеки. На момент публікації посту спеціалісти виявили зловмисне програмне забезпечення в десятках уражених систем, усі розташовані в Україні.

В системах українських організацій було знайдено шкідливе програмне забезпечення

Хоча фахівці компанії поки не знають, яка кіберзлочинна група може стояти за цим. Вони продовжують спостерігати за ситуацією. Зловмисне програмне забезпечення атакувало деякі критично важливі державні органи виконавчої влади, служби реагування на надзвичайні ситуації та інші організації, розташовані в Україні. Серед постраждалих є ІТ-фірма, яка надає послуги управління державними та приватними сайтами. Команда побоюється, що кількість жертв може виявитися більшою.

«З огляду на масштаби спостережуваних інтрузій, MSTIC (Центр розвідки загроз Майкрософт) не може сказати напевно про наміри виявлених деструктивних дій, але вважає, що вони становлять підвищений ризик для будь-якого державного органу, некомерційної чи комерційної організації, які самі знаходяться в Україні чи мають там частину інфраструктури», йдеться в другій публікації з блогу Майкрософт по цій темі.

Вони пояснюють, що зловмисне програмне забезпечення могло заразити більше організацій. Але фахівці додають, що поки не спостерігають жодних ознак використання вразливостей у продуктах та сервісах компанії Майкрософт. Команда продовжує тісно співпрацювати з іншими фахівцями з кібербезпеки, щоб допомогти виявити та подолати наслідки атаки жертвам зловмисного програмного забезпечення. Сама корпорація ввімкнула захист від цього зловмисного програмного забезпечення в таких своїх продуктах як Microsoft 365 Defender Endpoint Detection (EDR) і в антивірусі (AV). Механізм безпеки працюватиме у різних інфраструктурах як в хмарних так і фізичних. Спостереження за ситуацією триває.

Технічні відомості про шкідливе програмне забезпечення

Крім того, команда надала технічного змісту факти щодо ситуації. Спеціалісти з кібербезпеки зможуть використати її для виявлення та застосування необхідного захисту від згадуваного шкідливого програмного забезпечення. Цікаво те, що воно маскується під програму-вимагач, але після активації робить комп’ютер абсолютно непридатним до роботи. Точніше, у удаваного програмного забезпечення-вимагача відсутній механізм відновлення. Зловмисне програмне забезпечення, яке відстежується за ідентифікацією DEV-0586, робить атакований пристрій непрацездатним виконанням ціленаправлених деструктивних дій. MSTIC (Центр розвідки загроз Майкрософт) використовує позначення DEV-#### для тимчасово невідомих за походженнням загроз. Як тільки джерело загрози знайдено, їй присвоюється інша відповідна назва.

Наразі Microsoft запровадила заходи захисту, які маркуюють загрозу як сімейство шкідливих програм WhisperGate (наприклад, DoS:Win32/WhisperGate.A!dha) для Microsoft Defender кінцевої точки та Microsoft Defender Antivirus. Вони працюватимуть як у хмарних середовищах, так і локально. Хоча аналіз цього шкідливого програмного забезпечення триває, Microsoft поділилася деякими вже відомими деталями у своїй другій публікації в блозі. Спочатку вони детально пояснили, чому команда вважає, що зловмисне програмне забезпечення не є загрозою типу програм-вимагачів. За словами фахівців, дане зловмисне програмне забезпечення має кілька невідповідностей як для програм-вимагачів.

Українські організації під атакою зловмисного програмного забезпечення — Жертви зловмисного ПЗ отримували такі записки про викуп

Зазвичай записки про викуп мають користувацькі ідентифікатори. Потім злочинці інструктуюють жертву надіслати його їм у процесі переговорів. Карти користувацьких ідентифікаторів забезпечують маршрут до ключа розшифровки даних конкретної жертви. У випадках з цим зловмисним програмним забезпеченням, що прикидається програмою-вимагачем його немає. Зазвичай кіберзлочинці створюють веб-сайти з форумами підтримки або навіть додають адресу електронної пошти, все для того, щоб жертвам було легше потім зв’язатися з ними. Але тут хакери додали лише ідентифікатор Tox ID, ідентифікатор, який використовується з протоколом обміну повідомленнями, зашифрованим Tox.

Зараз хакери здебільшого не пишуть у своїх записках про викуп суми грошей, які вони хочуть, або адреси гаманців криптовалюти. В цьому випадку однакова адреса гаманця спостерігалась у всіх інтрузіях шкідливої програми. Фахівці виявили його єдину активність 14 січня з перерахуванням невеликої суми. Коли програмне забезпечення-вимагач працює, воно залишає можливість для відновлення файлової системи. Ця шкідлива програма повністю перезаписує MBR (основні завантажувальні записи) без можливості їх відновлення. Зловмисники виконують завантаження одного і того самого пейлоаду. Звичайно для програм-вимагачів вони кастомізуються.

Як розвивається ситуація?

Шкідливе програмне забезпечення працює з території України, і фахівці кажуть, що воно схоже на активність Master Boot Records (MBR) Wiper. Якщо коротко, то робота шкідливого ПЗ складається з двох етапів. У першому він перезаписує основний завантажувальний запис, щоб опісля цього відобразити підроблену записку про викуп. У наступному він пошкоджує файли жертв до невідновного стану. Зловмисники запускають зловмисне програмне забезпечення через Impacket (загальнодоступний інструмент, який кіберзлочинці часто використовують для роботи з мережевими протоколами). Двоетапне зловмисне програмне забезпечення розташовується в різних робочих каталогах, серед них: C:\temp, C:\ProgramData, C:\ і C:\ PerfLogs. Часто зловмисне програмне забезпечення має назву stage1.exe. У цій частині своєї зловмисної роботи воно перезаписує головний завантажувальний запис (MBR) у системах жертв і відображає записку про викуп. Основний завантажувальний запис (MBR) є частиною будь-якого жорсткого диску, який допомагає завантажувати операційну систему в основну пам’ять комп’ютера або в оперативну пам’ять.

Зловмисне програмне забезпечення активується, коли заражений пристрій вимкнено. Під час виконання наступного етапу stage2.exe завантажує іншу частину шкідливого програмного забезпечення, збереженого на каналі Discord. Зловмисники захардкодували посилання для завантаження в програмі завантажувачі. Пошкоджувач перезаписує вміст файлів з фіксованою кількістю байтів 0xCC. Загальний розмір файлів тоді становить 1 МБ. Зробивши це, зловмисне програмне забезпечення перейменує кожен файл із випадковим на перший погляд чотирибайтним розширенням.

Наразі команда все ще працює над аналізом зловмисного програмного забезпечення, а оновлення щодо всієї ситуації будуть згодом. Наразі незрозуміло, який нинішній етап операційного циклу цих зловмисників і скільки жертв виявиться в Україні чи в інших географічних місцях. Як запобіжний захід захисту команда також дала рекомендації щодо того, які прийняти належні міри безпеки. Майкрософт відомі нинішні поточні геополітичні події в Україні, і компанія закликає всіх зацікавлених взяти до уваги відомі на даний момент факти.

Інвестиційні домени для торгівлі шахрайськими акціями та криптовалютами

На початку 2021 року експерти центру CERT-GIB помітили значне зростання активності фейкових інвесторів. За їхніми словами в останні дев’ять місяців кількість шахрайських доменів зросла до 163%. Фахівці Group-IB зафіксували понад 50 різних схем і 8 тисяч доменів шахрайських інвестиційних проектів, пов’язаних із продажем акцій та цифрової валюти.

Фахівці відзначають, що шахраї частіше користувалися так званими гібридними схемами. Це означає, що крім традиційного фішингу вони використовували підроблені мобільні додатки, які виконували роль терміналів, і навіть організували дзвінки «персональних помічників». Типовими жертвами були ті, хто хотів швидко і без зусиль розбагатіти. Шахраї робили вигідні пропозиції щодо інвестицій у криптовалюту та акції нафтогазових компаній. Але все закінчувалося простою втратою грошей і вкраденими даними банківських карток.

Експерти також зафіксували понад 50 шаблонів цільових веб-сторінок, які описували різні сценарії інвестування. Група з 150 осіб втратила майже 300 мільйонів рублів, купуючи біткоїни під прикриттям фальшивих інвестицій. Шахраї обіцяли потенційним жертвам неймовірні суми від 300 000 до 10 000 000 рублів на місяць. Хоча шахраї не надто морочили собі голови оформленням самих цільових сторінок, просто імітували стиль відомих новинних ресурсів: РБК, Russia Today та Russia-24. За весь спостережуваний період Group-IB відстежила понад 8000 доменів, які, безперечно, залучені до шахрайських схем. Під час свого дослідження вони виявили, що з червня по липень 2021 року один лише зловмисник зареєстрував 322 доменів за допомогою так само лише одного адресу електронної пошти.

Інвестиційні домени для торгівлі шахрайськими акціями та криптовалютами — Один із прикладів шахрайського інвестиційного домену

З кожним роком інвестиційні шахраї створюють все більше хитрих способів дістатися до ваших грошей. І з кожним роком їм це вдається все частіше і частіше, заробляючи мільйони доларів. Експерти підрахували, що кожен десятий інвестор хоч раз в житті піддався шахрайським схемам. Але це не означає, що ви повинні триматися осторонь від індустрії інвестицій взагалі. Просто спробуйте розвинути здоровий скептицизм і вивчіть можливі ознаки шахрайства. Ознайомтеся з наведеними нижче способами шахрайства, тактиками та обходами, щоб уникнути в майбутньому втрати інвестиційних грошей.

Як уникнути інвестиційних шахрайських схем?

Якщо до вас несподівано звернулися з пропозицією інвестування, прийміть до уваги наступне:

Перш за все, спочатку запитайте документи. Зазвичай, наприклад, облігації повинні мати циркуляр про розміщення, а біржові інвестиційні фонди, взаємні фонди, акції повинні мати проспект. Попросіть їх, і якщо нічого такого немає, то справа може бути шахрайською;

Не поспішайте з рішеннями. За звичайних обставин вам дають час на все обдумати. Але коли “названий”фахівець з інвестицій каже вам, що на це немає часу, можливо таким чином вас лише підганяють, щоб швидше поцупити ваші кошти;

Перевірте реєстраційні дані. Належний професіонал з законних інвестицій має бути зареєстрований у відповідному органі. Принаймні, ви також можете перевірити в Google інформацію про особу та все, що у вас викликає підозру;

Згадайте загальне правило здорового глузду, а саме, що легких грошей не буває. Не вірте тим, хто обіцяє гарантований прибуток з нульовим ризиком. Інвестиційна галузь завжди несе в собі певний ризик;

Не думайте, що ви до чогось зобов’язані. Навіть якщо вам надали якийсь безкоштовний семінар, це ще не означає, що ви щось маєте натомість зробити зі свого боку, чого від вас напевно чекають.

Топ-10 найпопулярніших шахрайських схем 2021 року

Нещодавно аналітики з компанії Positive Technologies опублікували звіт, в якому назвали найпоширеніші види фішингового шахрайства станом на 2021 рік. Вони кажуть, що із зростанням популярності віддаленного режиму роботи та епідемією COVID-19, найпопулярніші теми звісно були пов’язані з цими двома. Проте шахраї використовували і інші не менш широко розповсюдженні теми сучасного онлайн-світу, зокрема різні онлайн-сервіси, сайти знайомств та інвестиції в газ, нафту, криптовалюту. Для інвестиційних ентузіастів вони створювали навіть цілі шахрайські платформи. Можна сказати, що практично для всіх потенційних жертв шахраї вигадали різного роду відповідні схеми. Минулий рік, звичайно, був неспокійним, оскільки світ досі переживав епідемію, але шахраї не витрачали зайвого часу, щоб підзаробити. Ці конкретні особи різними хитрими способами намагалися заманити людей у свої схеми. Згідно зі статистикою проведеного дослідження, кількість шахрайських атак, спрямованих спеціально на індивідуальних осіб з використанням методів соціальної інженерії, зросла з 67% у 2020 році до 83% у 2021 році.

Найпопулярніші шахрайські схеми в 2021 році

Згідно з дослідженням Positive Technologies, найпопулярнішими темами 2021 року, які експлуатувалися шахраями, стали:

Інвестиції в нафту, газ та криптовалюту. Зі збільшенням популярності приватних інвестицій шахраї навіть створювали інвестиційні платформи для проведення шахрайських операцій. Вони також імітували ресурси відомих і з широкою публічною довірою компаній. Таким чином шахраї проводили кампанії, вдаючи, що пропонують справжні пропозиції щодо інвестування. На додачу, обіцяючи дуже вигідні перспективи прибутку.

Топ-10 найпопулярніших шахрайських схем 2021 року

Підписки на онлайн послуги. Шахраї використовували зростаючу популярність різних онлайн-сервісів і пропонували людям різні підроблені підписки під виглядом офіційних або інших сумнівних послуг, на які нічого не підозрюючі жертви могли підписатися. Особи також могли отримати пропозиції підписки на послуги, які вони ніколи не замовляли, або фейкову підписку на послуги, якими вони справді користуються.

Онлайн знайомства. Шахраї використовували природну потребу людей у спілкуванні та обманювали їх фальшивими побаченнями і подібним. Іноді вони навіть могли створювати цілі драматичні історії вигаданих героїв, щоб хтось повірив, що він чи вона потрапили в біду, і в ході схеми просили у жертв гроші на допомогу. Або в інший спосіб, наприклад, вони прикидалися знайомими жертви і проводили подібну схему, тільки тут люди були схильні більше вірити шахраям, оскільки насправді знали людину, за яку шахраї видавали себе. Відсоток успішних шахрайств тут міг бути дуже високим, оскільки онлайн-комунікації в наш час займають більшість часу людей, і дослідники припускають, що такий вид шахрайства не скоро занепаде.

Шахрайство в індустрії туризму. Шахраї робили різні пропозиції різноманітних знижок і на перший погляд дуже привабливих пропозицій купити дешеві авіаквитки. У подібних випадках жертви не завжди знали,куди “приведе” їхня подорож. Це міг бути Єгипет, а могла бути просто втрата грошей.

Поштова служба. Тут жертви могли отримувати фейкову офіційну та неофіційну кореспонденцію на свою електронну пошту. Зазвичай це були такі послуги, як «перевірка статусу вашого замовлення», різні перевірки платежів, повідомлення про різного роду замовлення тощо. Наприклад, потенційні жертви отримували підроблені повідомлення про замовлення, які вони насправді ніколи не робили. Але шахраї вміло надсилали конкретні шахрайські замовлення конкретним жертвам. Якщо вони якимось чином знали, що ви точно робили попереднє замовлення в певній компанії,то тоді потенційна жертва, швидше за все, отримувала електронний фейковий лист саме від такого “фейкового”відправника.

Банківська клієнтура. У цій категорії шахраї маскувались під відомі та з широкою довірою публіки банківські установи, щоб «пропонувати» жертвам різні послуги або розсилати повідомлення про ймовірні проблеми з рахунками в банках жертв. Крім того, вони ще «пропонували» різноманітні бонуси, пільгові кредити тощо.

Спортивні події. У 2021 році шахраї використовували теми Олімпіади в Токіо, Чемпіонату Європи з футболу і вже почали експлуатувати тему майбутнього ЧС-2022. Шанувальникам подібних заходів і просто тим, хто ними цікавиться, варто остерігатися шахрайств під прикриттям таких тем.

Гучні прем’єри серіалів і фільмів. Експерти кажуть, що дана тематика принесла шахраям один з найбільших «урожаїв». Під час найгучніших резонансних прем’єр шахраї маскувались під популярні потокові сервіси, щоб таким чином “виловити” чиюсь персональну інформацію.

Корпоративні розсилки. Дослідження показало, що найуспішнішими також були шахрайські листи, замасковані під інформаційні бюлетені про оновлення соціальних пакетів та банківські витрати, зміни зарплат. Здається, люди другий раз не думають,коли випадає нагода обговорити свою зарплату навіть з потенційними шахраями. Але головною темою року дослідники назвали COVID-19. Тут шахраї пропонували підроблені QR-коди та сертифікати. Вони також проводили шахрайські анкетування про щеплення співробітників під прикриттям законного збору даних.

Крім того, дослідники прогнозують, що в майбутньому фішинг-шахрайство може перерости в більш складні форми і навіть виробити бізнес-модель фішингу як послуги. У такій моделі шахраї зможуть купити вже створені шахрайські сайти або шкідливі скрипти. Це також дасть їм можливість працювати у співпраці з іншими шахраями.

«У 2022 році ми також очікуємо збільшення кількості фішингових атак, пов’язаних з темами значущих подій, зокрема масових розсилок з приводу Чемпіонату світу з футболу чи Зимових Олімпійських ігр. А у зв’язку з виходом прототипу цифрового рубля зловмисники можуть створювати фейкові сайти, що будуть пропонувати купити цифрову валюту. Також можна очікувати більший розвиток шахрайських схем із використанням соціальної інженерії у сфері інвестуваннь», – каже Катерина Кілюшева, керівник дослідницької групи Департаменту аналітики інформаційної безпеки компанії Positive Technologies.

Як уникнути фішингового шахрайства?

Наприкінці звіту фахівці дали кілька рекомендацій, як не потрапити на шахрайство за тими ж, що описані вище, або подібними схемами. Вони ще раз нагадують, що користувачі завжди повинні перевіряти фактичну адресу відправника електронної пошти. Не переходьте ні за якими підозрілими посиланнями, якщо вони присутні в електронному листі. Перш ніж вводити будь-яку інформацію на сайті, переконайтеся, що він є офіційним. Здійснюйте бронювання готелів, квитків, а також оформлюйте підписку лише на надійних і відомих сайтах. Щоб уникнути зараження шкідливим програмним забезпеченням, скануйте кожен надісланий файл. Для корпоративних мереж це слід робити в пісочницях.

Хоча шахраї щоразу все хитромудріше розробляють свої тактики, є деякі загальні ознаки, які можуть допомогти вам розпізнати потенційні фішингові атаки. А саме те, що часто ці листи виглядають як листування від відправників, з якими ви раніше мали справу. Але крім того, такі листи несуть в собі певні легенди в текстах, які при уважному розгляді можуть викрити фішинг. Фішингові електронні листи можуть пропонувати вам купон на безкоштовні речі або повідомляти, що ви маєте право зареєструватися на державне відшкодування. Вони можуть включати підроблений рахунок-фактуру та в інших випадках закликати вас здійснити певну оплату. Будьте обережні, якщо він стверджує, що вам потрібно підтвердити деяку особисту інформацію. Інші типи шахрайських електронних листів міститимуть тексти про ймовірну підозрілу активність або спроби входу в деякі з ваших облікових записів. Шахраї також можуть написати вам про “проблеми” з обліковим записом або платіжною інформацією.

Нехай же розпочнеться полювання за пікселями Фейсбук

Mozilla, виробник браузерів, нещодавно оголосив про співпрацю з неприбутковою журналістською організацією Markup. Спільні зусилля двох організацій будуть спрямовані на дослідження окремого поля Інтернету, яке часто лишається поза увагою самих користувачів, дослідників та політиків. Цього разу під прискіпливий погляд фахівців і журналістів потрапила найбільша соціальна платформа Фейсбук. В спільному дослідженні буде розглянуто механізми інфраструктури відстеження Фейсбук та їхні потенційні негативні наслідки.

«Інтернет і світ не можуть чекати, коли платформи почнуть робити все як належно, особливо коли від цього залежить дуже багато. Це партнерство прагне стати лідером у наданні нових та критичних способів висвітлення реальності Інтернету, на чолі з людьми, які на нього впливають. Це партнерство з’явилося в той час, коли наслідки фрагментарної обізнаності стали серйозною проблемою», — поділився своєю думкою з громадськістю Тед Хан, керівник відділу розробки продукту Rally в Mozilla.

У 2021 році Mozilla запустила розширення Rally

У 2021 році Mozilla запустила Rally, розширення для браузера Firefox. Саме він відіграє ключову роль у дослідженнях ініційованих та проведених у співпраці з Mozilla. До початку спільної роботи з журналістською агенцією виробник браузерів уже співпрацював із Центром політики інформаційних технологій Прінстонського університету над проблемами дезінформації щодо політики та COVID-19 в онлайн-сервісах. Ще одне академічне дослідження продовжується у Вищій школі бізнесу Стенфордського університету щодо споживання новин та впливу реклами. Дослідники Фейсбук виокремлюють одну деталь, що становить вельми великий інтерес. Соціальний гігант може збирати інформацію про вас, навіть якщо у вас немає облікового запису в цій конкретній соціальній мережі.

Нехай же розпочнеться полювання за пікселями Фейсбук — Один із проектів Mozilla

Розслідування також використовуватиме дані, надані цим розширенням. Rally дозволяє користувачам, які, звісно, погоджуються на це, ділитися власними даними своєї поведінки в мережі. Таким чином вони роблять основний необхідний вклад в дослідження. Markup і Mozilla сподіваються дізнатися більше про те, як працює піксельна рекламна мережа у Фейсбук. І, можливо, вони отримають відповіді на наступні запитання. Наскільки поширена мережа відстеження у Фейсбук? Якими ще способами Фейсбук відстежує людей? Які дані збирають пікселі у Фейсбук? Що ці дані можуть розповісти про людей? Які сайти поширюють ці дані? Дослідження Facebook Pixel Hunt триватиме до 13 липня 2022 року.

Навіть і не намагайся увійти до фортеці Фейсбук зі своїми третьосторонніми штучками

Фейсбук відомий своїм відвертим небажанням дозволяти будь-яким третім сторонам втручатися в роботу його платформи. Він скасовував, закривав і заблоковував численні дослідницькі проекти, серед яких: облікові записи дослідників AdObserver Нью-Йоркського університету, CrowdTangle, інструменти прозорості реклами ProPublica. Компанія навіть змінила свій власний код, щоб унеможливити роботу браузеру The Markup’s Citizen Browser, яка збирала дані надані самими ж користувачами.

Піксель у Фейсбук — це фрагмент коду JavaScript, який завантажує невелику бібліотеку функцій. Рекламодавці можуть використовувати його для відстеження рекламної активності користувачів Фейсбук на своєму веб-сайті. Механізм використовує файли cookie , що дозволяє рекламодавцям пов’язувати відвідувачів веб-сайту з їхніми відповідними обліковими записами у Фейсбук. За результатами збігів вони можуть оцінювати дії клієнтів у Менеджері оголошень у Фейсбук.

Було виправлено новорічний збій в Microsoft Exchange

Корпорація Майкрософт виправила новорічну проблему Exchange, через яку відбувся збій доставки електронних листів на локальних серверах Microsoft Exchange. Саме в новорічну ніч адміністратори по всьому світу виявили, що сервери чомусь не можуть доставляти електронні листи. Натомість листи висіли в чергах, а журнал подій Windows повідомляв про помилку. Поки що Microsoft випустила тимчасове виправлення, що вимагатиме від користувачів виконання дій клієнта. Наразі ж компанія працює над оновленням, яке автоматично виправить проблему.

«Ми вирішили проблему, через яку стало неможливим відправлення повідомлень, які натомість лишалися в чергах на відправку на локальних серверах Exchange Server 2016 та Exchange Server 2019. Проблема пов’язана з помилкою перевірки дати, що сталася через зміну року. Це не була проблема з антивірусним сканером. Ніяких проблем з безпекою не було спостережено», – пояснила компанія у своєму блозі.

Проблема виникла, коли Microsoft Exchange перевірив версію механізму антивірусного сканування FIP-FS і спробував зберегти дату в підписаній змінній int32. Але згадану змінну можна було зберегти лише за максимального значення 2 147 483 647. І це менше, ніж нове значення дати 2 201 010 001 для 1 січня 2022 року, опівночі. Через це антивірусне програмне забезпечення дало збій і всі електронні листи відправлялися в черги.

Було виправлено новорічний збій в Microsoft Exchange — Одна з помилок, що повідомляв журнал подій Windows

Як тимчасове рішення, Microsoft випустили скрипт PowerShell

Як тимчасове вирішення, Microsoft випустили скрипт PowerShell під назвою “Reset-ScanEngineVersion.ps1”. Після виконання він зупинить служби Microsoft Filtering Management та Microsoft Exchange Transport, видалить старі файли AV-системи та завантажить новий AV-прилаштунок. Щоб запустити автоматизований скрипт, користувач повинен виконати наступні кроки на кожному локальному сервері Microsoft Exchange у своїй організації:

Перейти до https://aka.ms/ResetScanEngineVersion і завантажити скрипт Reset-ScanEngineVersion.ps1;

Відкрити вищу оболонку керування Exchange;

Запустити Set-ExecutionPolicy -ExecutionPolicy RemoteSigned, змінивши політику виконання для скриптів PowerShell;

Виконати скрипт;

Якщо ви вимкнули його раніше, увімкніть механізм сканування за допомогою скрипту Enable-AntimalwareScanning.ps1.

Після виконання таких кроків усі електронні листи будуть доставлені через деякий час. Все залежить від кількості надісланих електронних листів у чергах. Microsoft додала, що новий механізм AV-сканування матиме номер версії 2112330001. Тепер він посилається на неіснуючі дати, і адміністратори можуть більше не хвилюватися. Крім того, механізм сканування продовжуватиме отримувати оновлення в цій новій послідовності.

Ви також можете виконати ці дії вручну, але в будь-якому випадку вони мають бути виконані на кожному локальному сервері Exchange 2016 і Exchange 2019 у вашій організації. У випадку автоматизованого скрипту його можна виконати на різних серверах паралельно. Крім того, виконання скрипту може зайняти деякий час залежно від розміру організації.

Якщо постукати у двері стратегічно зістарених доменів

Американська компанія з кібербезпеки Palo Alto Network не втрачає даремно часу навіть у передсвяткові дні, а саме за два дні до Нового року опублікувала у своєму блозі досить інформативне дослідження про стратегічно старі домени та про те, які загрози вони представляють. Згідно з цим дослідженням, такі домени становлять навіть більший ризик, ніж ті, що були щойно зареєстрованими доменами (NRD). Порівнюючи дані, отримані в ході дослідження, шкідливі неактивні домени, що мали обмежений трафік місяцями або роками, раптово можуть отримати більш ніж у 10,3 рази більше трафіку протягом одного дня. Це втричі вище, ніж у щойно зареєстрованих доменах.

У результаті 22,27% таких доменів виявилися небезпечними для роботи, підозрілими чи шкідливими.

За допомогою хмарного детектора фахівці спостерігали за діяльністю доменів і змогли точно визначити саме стратегічно застарілі домени. Вони отримували майже 30 000 доменів щодня, використовуючи дані пасивної системи доменних імен (механізм для зберігання даних системи доменних імен (DNS), який згодом може допомогти ідентифікувати шкідливі інфраструктури). У результаті 22,27% з них виявилися небезпечними для роботи, підозрілими чи шкідливими.

При проведенні свого дослідження фахівці використовували наявну інформацію щодо атаки поступального ланцюга зараженння SolarWinds (троян SUNBURST). Вони дослідили зловмисну кампанію, щоб виявити її основні характеристики, які могли б допомогти у виявленні подібних загроз пролонгованої дії (APT). У ході розслідування фахівці зіткнулися з цікавим фактом, а саме, що аж за декілька років до початку активної роботи з проникнення хакери зареєстрували домен для команди та управління (C2).

Якщо постукати у двері стратегічно зістарених доменів — Приклад зловмисницького стратегічно зістареного домену

Фахівці Palo Alto кажуть, що така поведінка типова для атак пролонгованої дії, коли троянські віруси залишаються неактивними в мережах жертв довгий час, перш ніж зловмисники вирішать запустити безпосередню атаку. Крім того, хакери реєструють кілька доменів, щоб у разі блокування одного з них, вони могли швидко перезапустити атаку на інший. Не тільки атаки пролонгованої дії, як SolarWinds успішно проводяться на стратегічно зістарених доменах, але також такі зловмисницькі дії, як чорна пошукова оптимізація (SEO), фішинг, встановленння точки команди та контролю. Причина широкого вжитку хакерами стратегічно зістарених доменів можна пояснити роботою механізму репутації. Їх виявлення займає більше часу, тому що такі домени з часом отримують позитивну репутацію, до того як вони раптово починають шкідливу діяльність.

Фахівці розділили відскановані домени на чотири групи

Під час згаданої атаки SolarWinds, хакери налаштували троянський вірус таким чином, щоб використовувати алгоритми генерації домену (DGA) для вилучення ідентифікаторів цільових машин із субдоменами. Для виявлення подібних атак, фахівці радять виконувати сканування всіх імен хостів стратегічно зістарених доменів, що допоможе виявити значну кількість нових субдоменів, які можуть бути потенційними зловмисницькими доменами. Результати показали, що близько 161 згенерованих субдоменів алгоритму генерації переносять 43,19% пакетного трафіку.

Фахівці розділили відскановані домени на чотири групи: інші, небезпечні для роботи, підозрілі та шкідливі. До зловмисної групи було віднесено фішинг, сірі програми, команда та керування, шкідливі програми та інші елементи,що зареєстровані на VirusTotal. Підозріла група зібрала разом домени високого ризику, недостатньо якісного вмісту, сумнівні і довгий час не активні домени. Азартні ігри, контент для дорослих, нюд, тощо було віднесено до небезпечної для роботи групи. Решта, яких не вдалося ідентифікувати, були згруповані окремо. Судячи з відсоткових показників, 3,8% стратегічно зістарених доменів виявили шкідливу поведінку. Це вище, ніж у нещодавно зареєстрованих доменів з 1,27%.

Зловмисники отримали несанкціонований доступ до даних компанії Volvo Cars

У нещодавньо опублікованому прес-релізі компанія Volvo Cars, шведський транснаціональний виробник транспортних засобів класу люкс зі штаб-квартирою в Торсланді, Гетеборг, повідомила про незаконний доступ третьої сторони до сховища файлів. Одразу після виявлення випадку компанія повідомила відповідні органи та вжила негайних заходів для недопущення подальшого доступу до даних. З новиною про витік даних, акції Volvo Cars впали до 3,2% о 15:55 за Ґрінвічем. Станом на 29 жовтня цього року первинна публічна пропозиція компанії стала найбільшою у Європі.

Компанія Volvo Cars запевняє, що дані клієнтів в безпеці

Згідно зі статею у Вікіпедії, у березні цього року компанія оголосила про ребрендинг на виробника лише електричних автомобілів до 2030 року. У червні 2021 року шведський розробник і виробник акумуляторів Northvolt і Volvo Cars оголосили про свій намір створити спільне підприємство 50/50, яке буде складатися з центру розробок і досліджень (R&D) та гігафабрики акумуляторів. У грудні 2021 року було випущено заяву про те, що центр досліджень і розробок акумуляторів буде розташований у Гетеборзі, Швеція.

«Volvo Cars проводить власне розслідування та співпрацює зі сторонніми спеціалістами для розслідування інциденту несанкціонованого доступу до даних. Компанія не вважає, з наявною на даний момент інформацією, щоб була хоч якась потенційна загроза безпеці клієнтських персональних даних», – йдеться у прес-релізі компанії.

Розслідування показало, що в ході несанкціонованого доступу було одержано доступ лише до обмеженої кількості інформації з розробок і досліджень компанії. Виявлена під час розслідування інформація свідчить про те, що це може вплинути на діяльність компанії. Хоча немає жодних ознак того, щоб особисті дані клієнтів були під загрозою.

Відповідальність за атаку, очевидно, лежить на хакерському угрупуванні Snatch

Відповідальність за атаку, очевидно лежить на хакерському угрупуванні Snatch. На підтвердження несанкціонованого доступу хакери злили в мережу 35,9 МБ документів, які, як вони стверджують, були вкрадені з серверів Volvo. Зразки, які було опубліковано на сайті, містили серед інших мікропрограми та вихідний код різних внутрішніх програм Volvo. Всі вони в основному написані на Python. Хоча компанія через ЗМІ не підтвердила осіб, що стоять за інцидентом.

Зловмисники отримали несанкціонований доступ до даних компанії Volvo Cars — Дані компанії, що було злито в мережу

Зловмисні програми-вимагачі Snatch завантажуються на комп’ютери Windows при увімкненому безпечному режимі. Це дозволяє зловмисному програмному забезпеченню уникнути виявлення засобами захисту, які не працюють у такому режимі. Однак особи-виконавці заперечили свої зв’язки з Snatch і додали, що не вимагають викуп для розшифрування даних. Крім того, вони поділилися, що робота буде проводитися виключно щодо отриманих даних.

Фахівці зазначають, що хакери використовували інструменти протоколу прикладного рівня для бічного переміщення по мережі. Для попередження подібних випадків спеціалісти рекомендують організаціям використовувати надійні паролі, які не використовувалися в інших місцях, і частіше стежити за з’єднаннями протоколу прикладного рівня на предмет брутфорсних атак.

Cryptbot маскується під KMSPico

Спеціалісти з кібер безпеки застерігають всіх ентузіастів піратського програмного забезпечення про поширення криптовалютної зловмисної програми Cryptbot. Вони виявили інцидент, коли цей інфостілер було вбудовано в підроблений інсталятор KMSPico. Хакери використовують різні засоби для поширення шкідливого програмного забезпечення. Нещодавно фахівці спостерігали випадки поширення криптовалютного бота за допомогою «піратського» програмного забезпечення, і, зокрема, хакери маскували його під KMSPico.

Багато хто використовує KMSPico, щоб активувати всі функції продуктів Microsoft Windows і Office без фактичного ліцензійного ключа. Зазвичай організації використовують офіційне ліцензування KMS, щоб встановити сервера KMS у центрі. Після цього вони використовують об’єкти групової політики (GPO), щоб налаштувати канал зв’язку з клієнтами. Це офіційна технологія ліцензування продуктів Microsoft у корпоративних мережах. Разом з цим багато організацій використовують не офіційний KMSPico, який емулює сервер KMS локально в системі, щоб активувати ліцензію кінцевої точки. Простіше кажучи, такі дії лише дають можливість “обійти” ліцензію.

Проблема тут, як і з усім піратським програмним забезпеченням, полягає в тому, що хтось може шукати справжній KMSPico, але замість цього завантажить шкідливе програмне забезпечення.

Проблема тут, як і з усім піратським програмним забезпеченням, полягає в тому, що хтось може шукати справжній KMSPico, але замість цього завантажить шкідливе програмне забезпечення. Численне антивірусне програмне забезпечення детектує подібні програми для обходу ліцензії як потенційно небажані програми (коротко PUP). Ось чому KMSPico часто розповсюджується з інструкціями та застереженнями щодо попередньої деактивації антивірусного програмного забезпечення перед встановленням. Не тільки в такому випадку користувач залишає себе вразливим перед будь-якою потенційною загрозою, але саме завантаження також може піднести “сюрприз”. Microsoft неодноразово наголошували, що вони підтримують лише офіційну активацію своїх продуктів.

Cryptbot маскується під KMSPico — Хто скаже напевно, де справжній KMSPico?

Фахівці вказують на схожість методу розповсюдження Cryptbot до таких шкідливих програм як Yellow Cockatoo/Jupyter. Yellow Cockatoo — це виконання трояна віддаленого доступу .NET (RAT), який запускається в пам’яті та видаляє програми. А Jupyter — це інфостілер, який в першу чергу націлений на браузери Chrome, Firefox і Chromium. Зловмисники використовують шифрувальники, пакувальники та різноманітні методи ухилення, щоб перешкоджати детектуванню інструментами на основі сигнатур, таких як правило YARA та антивірусне програмне забезпечення. У випадку з Cryptbot хакери використовували шифрувальник CypherIT AutoIT, щоб приховати його. Але фахівці з кібербезпеки кажуть, що, незважаючи на значну обфускацію, вони все одно змогли відслідкувати зловмисне програмне забезпечення, роблячи акцент на детекцію поведінки, яка доставляла та деобфускувала зловмисне програмне забезпечення.

Також спеціалісти попереджають, що зловмисне програмне забезпечення Cryptbot збирає конфіденційну інформацію з наступних програм:

веб-браузер Vivaldi;

веб-браузер CCleaner;

веб-браузер Mozilla Firefox;

криптовалютний гаманець MultiBitHD;

криптовалютний гаманець Monero;

криптовалютний гаманець Exodus;

криптовалютний гаманець Electrum;

криптовалютний гаманець Electron Cash;

криптовалютний гаманець Jaxx Liberty;

веб-браузер Google Chrome;

криптовалютний гаманець Coinomi;

Додатки Waves Client і Exchange для криптовалют;

Веб-браузер Opera;

криптовалютний гаманець Ledger Live;

Веб-браузер Brave;

веб-браузер Avast Secure;

криптовалютний гаманець Atomic.

Як видалити Wup.exe?

Wup.exe — це зловмисна програма, яка використовується для майнінгу криптовалюти. Вона наносить значну шкоду процесору, виснажуючи сильно його ресурси. Результатом активності цього вірусу стає вповільнена робота вашого комп’ютера і аж до того, що ним взагалі стає неможливо користуватися.

Вірус інфікує лише комп’ютери з операційною системою Віндовс. Основним симптомом його присутності у системі є анормально високий відсоток роботи центрального процесора. Показники можуть інколи доходити до 100 відсотків. Вірус змінює вміст папки temp та створює відповідні ключі реєстру. Wup.exe — це троянський вірус, який класифікаційно належить до сім’ї майнерів. Спеціалісти в галузі пов’язують wup.exe з розробниками програмного забезпечення PetGame або www.AGEIA.com.

Зловмисники поширюють wup.exe в пакеті з іншим програмним забезпеченням, через інтрузивну рекламу та заражають вірусом користувачів, перенаправлюючи їх на сумнівні сайти. Wup.exe також буває присутнім в піратському програмному забезпеченні, торрент файлах, фейкових оновленнях та спам-рекламі.

Наступні “симптоми” вказують на можливе зараження вірусом:

Більшість програм на вашому комп’ютері стали повільніше працювати;

Комп’ютер став сильно нагріватися або навіть перегріватися ;

В комп’ютерних іграх картинка почала завмирати або “рябіти”;

В загальному система стала працювати повільніше;

В Менеджері завдань ви помітили високий рівень використання ЦП, пам’яті та графічної карти.

Окрім виконання своїх первісних шкідницьких функцій, вірус також може завантажувати інші зловмисні програми та встановлювати бекдори для несанкціонованого доступу до вашого комп’ютера. На додачу, wup.exe складно локалізувати в системі, адже всі пов’язані процеси роботи віруса використовують порти з’єднання інтернет або локальну мережу. Вірус може моніторити інші програми та змінювати їх.

При видаленні зловмисної програми потрібно впевнитися, що було знайдено всі ключові файли, адже інколи можливе перевстановлення wup.exe. Щоб видалити wup.exe, спершу потрібно позбутися будь-якої нещодавно встановленої програми, яка може бути пов’язана з вірусом, а потім очистити систему від залишкових даних, процесів і налаштувань зловмисної програми.

Wup.exe можна видалити і самостійно, проте ви будете мати справу з системними файлами, випадкове видалення яких може призвести до ускладнень в роботі комп’ютера, а тому якщо ви сумніваєтеся, що зможете провести ремувал належним чином, краще це довірити відповідному на те програмному забезпеченню. Але якщо ви впевнені, що антивірус тут непотрібний, то уважно ознайомтеся з інструкцією з видалення wup.exe внизу.

Видаліть все, що ви вважаєте підозрілим

Клацніть піктограму меню Пуск у нижньому лівому куті, введіть Програми та функції (Programs and features) та натисніть клавішу Enter.

Знайдіть у списку програм, встановлених на вашому ПК, будь-що підозріле, особливо якщо воно було встановлено недавно.

Якщо ви знайшли там таку програму, клацніть її правою кнопкою миші, виберіть Видалити (Uninstall). Вам можливо треба буде ще раз підтвердити свою дію в Контролі облікових записів користувачів (User account controls).

Якщо вам буде надано опцію збереження даних програми на комп’ютері після видалення, відмовте.

Зупиніть процеси, пов’язані з вірусом

Введіть Диспетчер завдань (Task Manager) у меню Пуск, відкрийте програму Диспетчер завдань, яка з’явиться, і натисніть Процеси (Processes).

Знайдіть там процес wup.exe, клацніть його правою кнопкою миші, а потім виберіть Відкрити розташування файлу (Open file location).

Тепер знову клацніть правою кнопкою миші процес, виберіть Завершити процес (End task), а потім поверніться до відкритої папки Розташування файлу та видаліть цю папку.

Потім перевірте ще раз, чи є процес wup.exe в диспетчері завдань, і якщо він був повторно запущений, завершіть його знову.

Також перегляньте Диспетчер завдань на присутність інших підозрілих процесів, які можуть бути пов’язані з троянським вірусом.

Потенційними загрозами є процеси з дивними іменами та надмірним використанням ЦП та віртуальної пам’яті.

Очистіть комп’ютер від будь-яких записів wup.exe

Запустіть Планувальник завдань (Task scheduler), клацніть Бібліотеку планувальника завдань (Task Scheduler Library) у верхньому лівому куті, а потім уважно перегляньте елементи на центральній панелі.

Якщо серед них ви побачите завдання з позначкою wup або щось подібне, клацніть його правою кнопкою миші та виберіть Видалити (Delete).

Виконайте те ж саме з будь-якими іншими незнайомими та підозрілими завданнями, які ви можете там помітити.

Відкрийте Налаштування конфігурації системи (System configuration settings). У з’явленому вікні виберіть Запуск (Startup), а потім оберіть Скасувати (Disable) з усього, що може бути пов’язаним з вірусом, а також має невідомого виробника і незнайоме вам.

Після цього натисніть ОК.

Видаліть елементи wup.exe

Введіть regedit.exe у меню Пуск, а потім відкрийте програму з такою ж назвою.

Перед запуском програми вам потрібно буде надати дозвіл адміністратора на її запуск – натисніть Так, щоб надати дозвіл.

Далі, коли на екрані з’явиться вікно з позначкою Редактор реєстру (Registry Editor), натисніть разом клавіші Ctrl + F, щоб відкрити невелику панель пошуку.

Введіть wup у цьому рядку пошуку та почніть пошук. Якщо елемент wup знайдено, видаліть його та спробуйте знайти ще один, виконавши попередню дію.

Якщо нічого не змінилося у вашій системі навіть після того, як ви виконали все з інструкції, скоріше за все що вірус, занадто глибоко закріпився у вашій системі, і видалення вручну неможливе. У таких випадках ми рекомендуємо все ж скористатися допомогою антивірусного програмного забезпечення.