Chinaski
Ассоциация VN
- Сообщения
- 2,083
- Реакции
- 372
Добрый день! Возникла необходимость регулярно собирать логи с компьютеров в сети. Решено было автоматизировать процесс следующим образом:
На сервере лежит AVZ, папка расшарена для общего доступа (как на чтение так и на запись), на целевой компьютер вытащен ярлык на AVZ со следующей командной строкой
\\name_server\avz4\avz.exe HiddenMode=0 NQ=Y MiniLog=Y Script=std2
рабочая папка
\\name_server\avz4\
HiddenMode в данном случае временно указан со значением 0, дабы наблюдать за процессом, предполагается 3.
Содержимое скрипта
begin
ExecuteStdScr(2);
end.
То есть задача сводится к минимуму, выполнить скрипт №2.
Скрипт начинает выполняться, но процесс останавливается через какое-то время, и больше ничего не происходит.
Программа отрабатывает до этого момента, дальше ничего не происходит, окно так и висит, память расходуемая процессом не изменяется. Вообще ничего не происходит дальше.
Подскажите пожалуйста в чем может быть причина, и если кто сталкивался с задачей организации сбора логов с компьютера в сети как это лучше организовать?
На сервере лежит AVZ, папка расшарена для общего доступа (как на чтение так и на запись), на целевой компьютер вытащен ярлык на AVZ со следующей командной строкой
\\name_server\avz4\avz.exe HiddenMode=0 NQ=Y MiniLog=Y Script=std2
рабочая папка
\\name_server\avz4\
HiddenMode в данном случае временно указан со значением 0, дабы наблюдать за процессом, предполагается 3.
Содержимое скрипта
begin
ExecuteStdScr(2);
end.
То есть задача сводится к минимуму, выполнить скрипт №2.
Скрипт начинает выполняться, но процесс останавливается через какое-то время, и больше ничего не происходит.
Код:
Функция NtAlertResumeThread (0C) перехвачена (805D4BDC->8A61A208), перехватчик не определен
Функция NtAlertThread (0D) перехвачена (805D4B8C->8A78AC18), перехватчик не определен
Функция NtAllocateVirtualMemory (11) перехвачена (805A8AC2->8A60B3F0), перехватчик не определен
Функция NtCreateKey (29) перехвачена (80624160->B1848130), перехватчик C:\WINDOWS\system32\Drivers\SYMEVENT.SYS, драйвер опознан как безопасный
Функция NtCreateMutant (2B) перехвачена (80617718->8A655260), перехватчик не определен
Функция NtCreateThread (35) перехвачена (805D1038->8A675158), перехватчик не определен
Функция NtDeleteKey (3F) перехвачена (806245FC->B18483B0), перехватчик C:\WINDOWS\system32\Drivers\SYMEVENT.SYS, драйвер опознан как безопасный
Функция NtDeleteValueKey (41) перехвачена (806247CC->B1848910), перехватчик C:\WINDOWS\system32\Drivers\SYMEVENT.SYS, драйвер опознан как безопасный
Функция NtFreeVirtualMemory (53) перехвачена (805B2FBA->8A67C1B0), перехватчик не определен
Функция NtImpersonateAnonymousToken (59) перехвачена (805F9258->8A5ED510), перехватчик не определен
Функция NtImpersonateThread (5B) перехвачена (805D7860->8A603CF0), перехватчик не определен
Функция NtMapViewOfSection (6C) перехвачена (805B2042->8A5FF3B8), перехватчик не определен
Функция NtOpenEvent (72) перехвачена (8060F0D6->8A8AE958), перехватчик не определен
Функция NtOpenProcessToken (7B) перехвачена (805EDF26->8A6066D0), перехватчик не определен
Функция NtOpenThreadToken (81) перехвачена (805EDF44->8A609E28), перехватчик не определен
Функция NtResumeThread (CE) перехвачена (805D4A18->8A61F3F0), перехватчик не определен
Функция NtSetContextThread (D5) перехвачена (805D2C1A->8A935828), перехватчик не определен
Функция NtSetInformationProcess (E4) перехвачена (805CDEA0->8A5F25F0), перехватчик не определен
Функция NtSetInformationThread (E5) перехвачена (805CC124->8A5E6240), перехватчик не определен
Функция NtSetValueKey (F7) перехвачена (806226D2->B1848B60), перехватчик C:\WINDOWS\system32\Drivers\SYMEVENT.SYS, драйвер опознан как безопасный
Функция NtSuspendProcess (FD) перехвачена (805D4AE0->8A603950), перехватчик не определен
Функция NtSuspendThread (FE) перехвачена (805D4952->8A655748), перехватчик не определен
Функция NtTerminateProcess (101) перехвачена (805D22D8->8A729E88), перехватчик не определен
Функция NtTerminateThread (102) перехвачена (805D24D2->8A605C20), перехватчик не определен
Функция NtUnmapViewOfSection (10B) перехвачена (805B2E50->8A603A50), перехватчик не определен
Функция NtWriteVirtualMemory (115) перехвачена (805B43D4->8A662B30), перехватчик не определен
C:\Program Files\Common Files\Spigot\Search Settings\wth160.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\Common Files\Spigot\Search Settings\wth160.dll>>> Поведенческий анализ
1. Реагирует на события: клавиатура, все события
C:\Program Files\Common Files\Spigot\Search Settings\wth160.dll>>> Нейросеть: файл с вероятностью 0.00% похож на типовой перехватчик событий клавиатуры/мышиПрограмма отрабатывает до этого момента, дальше ничего не происходит, окно так и висит, память расходуемая процессом не изменяется. Вообще ничего не происходит дальше.
Подскажите пожалуйста в чем может быть причина, и если кто сталкивался с задачей организации сбора логов с компьютера в сети как это лучше организовать?
