iiinova — where your digital self keeps evolving

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 04/10/2026

Не ну формально евро зима понятие растяжимое, одно дело зима в Милане и немного другое зима в Хельсинках вххахахвх

110

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 03/10/2026

Ура ты выглядишь на 16

120

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 03/10/2026

На самом деле тут мы оба долбаёбы (правда я ехал на велосипеде а не на самокате лол)

130

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 02/10/2026

Этот день настал меня сбил самокатчик 🥰🥰🥰🥰

4110

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

И самое смешное: он замаскировался под Realtek, спрятал файлы, настроил Defender, сделал кучу автозапусков, подготовил anti-AV и remote access… А спалился потому что его AutoIt-скрипт начал падать и сам каждые две минуты показывал мне ошибку. Peak OpSec.

040

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

И теперь кул факт. Следы заражения появились 30 марта. 2 апреля я уехал из Москвы. И вплоть до сегодняшнего дня, 1 октября, этим ПК практически не пользовался. То есть эта хуйня полгода сидела дома буквально без хозяина.

130

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

По итогу это оказался не просто майнер. Судя по известным вариантам — AutoIt malware bundle: persistence anti-AV loader stealer crypto clipper miner remote access / RDP Короче, не вирус, а малварный комбайн.

130

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

После перезагрузки из Defender Offline нашёлся ещё и живой: C:\ProgramData\Windows Tasks Service\winserv.exe А для него — ещё две scheduled tasks в Microsoft\Windows\Wininet. То есть даже после всей чистки один слой всё равно спокойно воскрес.

120

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Убрали эти исключения. Запустили Defender. Ничего. Запустили Defender Offline. Тоже ничего. Windows Defender буквально смотрит на ReaItekHD\taskhostw.exe и говорит: «выглядит легитимно 👍»

120

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Но лучший момент был дальше. Defender всё это время был включён. Зелёный. Счастливый. Почему ничего не видел? Потому что malware прописала ему policy: «C:\ProgramData не проверяй. И вот эти конкретные exe тоже не проверяй.»

230

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Потом я открыл new.xml. А там AppLocker policy: Kaspersky — deny Malwarebytes — deny ESET — deny Dr.Web — deny Avast — deny FRST — deny ComboFix — deny HijackThis — deny И ещё хуева туча запретов на любые антивирусы. Он буквально заранее составил список того, чем его будут лечить 💀

130

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Дальше нашлась папка WindowsTask. В ней: AMD.exe audiodg.exe MicrosoftHost.exe WildHost.exe AppModule.exe Короче, весь отдел: «мы точно системные файлы, не задавай вопросов»

120

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Для надёжности вирус сделал себе 4 автозапуска через Task Scheduler: 2× при логине 1× каждую минуту 1× каждые две минуты А потом такой: «Маловато будет» и добавил ещё Realtek HD Audio в HKLM\...\Run.

120

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

То есть папка называется не RealtekHD, а ReaItekHD — с большой I вместо маленькой l. Потому что вирусописатель решил: «если написать почти как Realtek, никто же не заметит» И, сука, почти сработало.

130

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Полез смотреть, кто его запускает. Нашёл 4 задачи в Microsoft\Windows\WindowsBackup: две при логине, одна раз в минуту, ещё одна раз в две минуты. Все запускали: C:\ProgramData\ReaItekHD\taskhostw.exe Да, ReaItek.

130

Senior Cringeneer 🍂 @srcrngnr.bsky.social · 01/10/2026

Как проебать 3 часа жизни и в конце поймать себя на мысли: «Бля, как же хорошо, что я полгода не пользовался этим компьютером». Началось всё с невинного окна ошибки realtek, которое почему-то появлялось каждые пару минут.