Teerarest пишет:ну тут уже и выпиливание винды не поможет biggrin
Николай Шлей на хабре статью даже писал как грамотно все это выпилить, точнее там костыть тупо не дающий всему этому добру запускаться и нормально функционировать. 30 минут и все. Так же он рассказывал о исследовании одной системы антивора которая самостоятельно устанавливалась в систему и загружалась с инета. Суть в том что в прошивке BIOS был efi модуль одной из многочисленных систем от краж ноутбука, который спокойно себе выполнялся на Win 7/8 подгружал нужное по сети и запускал процесс и службу. Это происходило даже если в UI BIOS вообще ничего не было сказано о какой либо защите от краж.
Вот нашел пруф.
Absolute Computrace
Агент Computrace — это приложение Windows, которое имеет две формы: сокращенную и полную. Сокращенную форму агента можно характеризовать как имеющую минимально возможный размер при максимальной гибкости и расширяемости. Этот модуль внедряется в прошивку BIOS (а точнее в PCI Option ROM или как UEFI-модуль). В патенте США за номером 20060272020A1, принадлежащем Absolute Software, этот агент описан как mini CDA (Communications Driver Agent)и предназначен для проверки наличия и работоспособности полноразмерного агента. В случае отсутствия полноценного агента, мини-агент загрузит его с сервера в глобальной сети.
Дополнительный ROM имеет небольшую секцию с модулями Computrace агента, которые добавляются производителем BIOS и прошиваются на заводе производителем компьютера (а точнее, производителем материнской платы). Интересно, что для прошивок, содержащих Computrace, соответствующие настройки в BIOS Setup могут как существовать, так и отсутствовать. Например, в ASUS X102BA их нет.
В то же время модуль Computrace позволяет осуществить удаленный доступ к компьютеру через интернет. Производители устанавливают шпионский софт в BIOS некоторых моделей ноутбуков, не уведомляя об этом покупателей. Например, такое случалось с покупателями ноутбуков ASUS 1225B, Samsung 900X3C и Samsung NP670Z5E.
Индикаторы активности
Индикаторы активности агента Computrace
1. Один из процессов запущен:
rpcnet.exe
rpcnetp.exe
32-bitsvchost.exe, работающие на 64-bitсистеме (косвенный индикатор)
2. Один из файлов существует на диске:
%WINDIR%System32rpcnet.exe
%WINDIR%System32rpcnetp.exe
%WINDIR%System32wceprv.dll
%WINDIR%System32identprv.dll
%WINDIR%System32Upgrd.exe
%WINDIR%System32autochk.exe.bak (для FAT)
%WINDIR%System32autochk.exe:bak (для NTFS)
3. Система отправляет DNS-запросы для следующих доменов:
search.namequery.com
search.us.namequery.com
search64.namequery.com
bh.namequery.com
namequery.nettrace.co.za
search2.namequery.com
m229.absolute.com или любых m*.absolute.com
4. Система соединяется со следующим IP-адресом: 209.53.113.223
5. Существует один из следующих ключей в реестре:
HKLMSystemCurrentControlSetServicesrpcnet
HKLMSystemCurrentControlSetServicesrpcnetp
Редактировался XZer0 (2017-02-01 06 ч.)