Facefoduninstaller exe что это
990x.top
Простой компьютерный блог для души)
FaceFodUninstaller.exe — что это за процесс? (FODCleanupTask, WinBioPlugIns)
Приветствую друзья. Сегодня постараемся выяснить предназначение процесса FaceFodUninstaller.exe, что за файл, возможно опасный или компонент полезной программы.
FaceFodUninstaller.exe — что это такое?
Системный компонент OS Windows, отвечает за работоспособность функции разблокировки по лицу.
Сразу можно сделать вывод: данный компонент необходим, если вы используете функцию разблокировки на ПК, для этого необходимо присутствие веб-камеры (может быть встроенной на ноутбуке).
Компонент присутствует в операционке Windows начиная с билда 1803.
Запускаться может также через планировщик задач, а точнее — заданием FODCleanupTask. Кстати, открыть быстро планировщик задач можно так:
FaceFodUninstaller.exe — вирус?
Как выяснили — нет. Однако найдена информация в интернете, существует некий вирус, который внедряется в файл FaceFodUninstaller.exe с целью снизить обнаружение антивирусами. Кроме этого в папку файла, точнее в WinBioPlugins, помещается также вредоносная библиотека WinBio.dll:
Дальнейшие действия
При подозрениях на присутствие вируса:
Кстати вот результат проверки библиотеки WinBio.dll:
9 антивирусов из 68 — видят угрозу, хотя по факту библиотека вирусная.
Хак-группа FIN7 распространяет обновленный бэкдор Carbanak при помощи загрузчика BIOLOAD
Xakep #271. Сила четырех байтов
Специалисты Fortinet заметили, что хак-группа FIN7 с недавних пор использует новый загрузчик, BIOLOAD, похожий на другой загрузчик группы, BOOSTWRITE, однако имеющий более низкую степень обнаружения. С его помощью злоумышленники распространяют обновленные версии бэкдора Carbanak, датированные январем и апрелем 2019 года.
Напомню, что группа FIN7 активна с середины 2015 года. Ее участников подозревают в атаках на американские компании из сегмента ритейла, а также ресторанно-гостиничного бизнеса. FIN7 активно сотрудничает с группой Carbanak: злоумышленники обмениваются инструментами и методами атак, в результате чего между группировками можно поставить своеобразный «знак равенства». Невзирая на арест лидеров FIN7, произведенный в августе 2018 года, атаки группы по-прежнему продолжаются.
Исследователи Fortinet пишут, что BIOLOAD, равно как и BOOSTWRITE, использует технику, которую называют binary planting, то есть он злоупотребляет легитимной функциональностью Windows в поисках DLL, необходимых для загрузки программ. Так, в последнее время вредоносные DLL обнаруживаются в составе FaceFodUninstaller.exe, файла, присутствующего в ОС сразу после установки (в Windows 10 1803 и далее). Этот исполняемый файл привлекает злоумышленников еще и потому, что он запускается из запланированной задачи FODCleanupTask, что позволяет дополнительно снизить степень обнаружения.
Атакующие помещают вредоносный WinBio.dll в папку \System32\WinBioPlugIns, где по идее располагается легитимный DLL winbio.
Согласно анализу Fortinet, образцы BIOLOAD датированы матом и июлем 2019 года, тогда как BOOSTWRITE датирован маем текущего года. Хотя загрузчик существует уже по меньшей мере девять месяцев, согласно VirusTotal, его пока обнаруживают далеко не все защитные решения.
Помимо сходств исследователи обнаружили и некоторые различия между загрузчиками. К примеру, BIOLOAD не поддерживает работу с несколькими пейлоадами, а также для расшифровки полезной нагрузки используется XOR вместо ChaCha. Кроме того, BIOLOAD не обращается к удаленному серверу за ключом дешифрования, так как ключ кастомизируется для каждой системы-жертвы и напрямую связан с ее именем.
В свою очередь, обновленные образцы Carbanak отчаются тем, что проверяют зараженную машину на присутствие большего числа различных антивирусных решений (раньше малварь искала только продукты Kaspersky, AVG и TrendMicro).
Также аналитики отмечаю, что FIN7 активно разрабатывает инструменты для удаления своей малвари с зараженных машин. И если BIOLOAD использовался для загрузки Carbanak, то более BOOSTWRITE также применялся для доставки RDFSNIFFER, инструмента удаленного доступа, который используется для компрометации NCR Aloha Command Center Client и взаимодействия с системами-жертвами в рамках легитимных сессий, защищенных 2ФА.
Группировка FIN7 использует новый дроппер для установки бэкдора Carbanak
Исследователи вредоносных программ наткнулись на новый инструмент финансово ориентированной киберпреступной группировки FIN7. С помощью этого инструмента злоумышленники загружают свежие версии бэкдора Carbanak.
Загрузчику присвоили имя BIOLOAD, на сегодняшний день его детектирует лишь малый процент защитных решений. Частично он похож на BOOSTWRITE, другую утилиты группы FIN7.
Новый вредонос в процессе своей работы задействует метод Windows, согласно которому операционная система ищет библиотеки DLL для последующей загрузки в программу. В этом случае атакующий может повысить свои права в системе и ещё плотнее внедриться в систему.
Платформа Fortinet enSilo для защиты конечных точек заблокировала вредоносную нагрузку в абсолютно легитимных процессах Windows. Если говорить конкретнее, защитное решение детектировало злонамеренную DLL в FaceFodUninstaller.exe — этот файл присутствует на всех чистых инсталляциях ОС, начиная с Windows 10 1803.
«Что ещё привлекает преступников в этой схеме — исполняемый файл стартует от встроенного запланированного задания под названием FODCleanupTask. Таким образом, детектирование вредоноса существенно затрудняется», — описывает угрозу Fortinet.
Киберпреступники помещают вредоносную библиотеку WinBio.dll в директорию \System32\WinBioPlugIns, в которой обычно хранится легитимная winbio.dll.
В настоящий момент 68 антивирусных программ в сервисе VirusTotal детектирует BIOLOAD в библиотеке WinBio.dll.
Что касается зловреда, который дроппер устанавливает в систему, — это версия бэкдора Carbanak, датируемая январём и апрелем 2019 года.
Читайте также
Компания Group-IB проанализировала чёрные онлайн-рынки с целью выяснить, какие на сегодняшний день существуют ключевые очаги распространения киберугроз для государственного сектора и бизнеса. Операторы шифровальщиков, фишеры, мошенники и скамеры — активность этих персонажей исследовала Group-IB.
Как указано в отчёте Hi-Tech Crime Trends, в одной лишь России число кибератак программ-вымогателей увеличилось на 200% в этом году. Причиной такого успеха специалисты считают сотрудничество операторов шифровальщиков с продавцами доступа во взломанные сети по модели «вымогательство как услуга» (Ransomware-as-a-Service, RaaS).
По данным Group-IB, во втором полугодии 2020 года и первой половине 2021-го на теневых форумах появилась 21 новая партнёрская программа RaaS. Отягощающим фактором служило вступление в такие инициативы пентестеров, которые взламывали сети компаний для получения процента от выкупа.
Также исследователи указали на подъём сайтов, где злоумышленники публикуют скомпрометированные внутренние данные компаний. За анализируемый период их число выросло более чем вдвое (с 13 до 28), а количество компаний, чьи данные были выставлены на таких ресурсах, составило 2371.
Самым агрессивным шифровальщиком стал Conti (на его счету 361 организация-жертва), за ним идёт Lockbit (251 жертва), потом — Avaddon (164), REvil (155) и Pysa (118).
3 простых шага по исправлению ошибок FACEFODUNINSTALLER.EXE
В вашей системе запущено много процессов, которые потребляют ресурсы процессора и памяти. Некоторые из этих процессов, кажется, являются вредоносными файлами, атакующими ваш компьютер.
Чтобы исправить критические ошибки facefoduninstaller.exe,скачайте программу Asmwsoft PC Optimizer и установите ее на своем компьютере
1- Очистите мусорные файлы, чтобы исправить facefoduninstaller.exe, которое перестало работать из-за ошибки.
2- Очистите реестр, чтобы исправить facefoduninstaller.exe, которое перестало работать из-за ошибки.
3- Настройка Windows для исправления критических ошибок facefoduninstaller.exe:
Всего голосов ( 192 ), 118 говорят, что не будут удалять, а 74 говорят, что удалят его с компьютера.
Как вы поступите с файлом facefoduninstaller.exe?
Некоторые сообщения об ошибках, которые вы можете получить в связи с facefoduninstaller.exe файлом
(facefoduninstaller.exe) столкнулся с проблемой и должен быть закрыт. Просим прощения за неудобство.
(facefoduninstaller.exe) перестал работать.
facefoduninstaller.exe. Эта программа не отвечает.
(facefoduninstaller.exe) — Ошибка приложения: the instruction at 0xXXXXXX referenced memory error, the memory could not be read. Нажмитие OK, чтобы завершить программу.
(facefoduninstaller.exe) не является ошибкой действительного windows-приложения.
(facefoduninstaller.exe) отсутствует или не обнаружен.
FACEFODUNINSTALLER.EXE
Проверьте процессы, запущенные на вашем ПК, используя базу данных онлайн-безопасности. Можно использовать любой тип сканирования для проверки вашего ПК на вирусы, трояны, шпионские и другие вредоносные программы.
процессов:
Cookies help us deliver our services. By using our services, you agree to our use of cookies.
Киберпреступники из FIN7 вооружились новым вредоносом BIOLOAD
Вредонос обладает хорошей защитой от обнаружения и имеет сходство с загрузчиком BOOSTWRITE.
Киберпреступная группировка FIN7 вооружилась новым инструментом BIOLOAD, используемым для загрузки более актуальных версий бэкдора Carbanak. Вредонос обладает хорошей защитой от обнаружения и имеет сходство с BOOSTWRITE, другим загрузчиком в арсенале FIN7.
BIOLOAD использует технику бинарной установки, эксплуатирующую метод в Windows для поиска DLL-библиотек. Таким образом злоумышленник может повысить привилегии в системе или обеспечить персистентность.
Исследователи безопасности из компании Fortinet обнаружили вредоносную DLL-библиотеку в легитимном процессе FaceFodUninstaller.exe, реализованном в чистых установках ОС Windows, начиная с Windows 10 (1803). Злоумышленники размещают вредоносный файл WinBio.dll в папку «\System32\WinBioPlugIns», в которой находится легитимная DLL-библиотека «winbio».
Специалисты обнаружили сходство между BIOLOAD и BOOSTWRITE. Загрузчик BOOSTWRITE использует технику перехвата поиска DLL (DLL Search Order Hijacking) для загрузки собственных вредоносных DLL-библиотек в память зараженной системы, а затем загружает вектор инициализации и ключ, необходимый для дешифрования встроенных полезных нагрузок.
Исследователи также заметили некоторые различия. BIOLOAD не поддерживает множественные полезные нагрузки, а также использует энкодер XOR для расшифровки полезной нагрузки вместо шифра ChaCha. Соединение с удаленным сервером для получения ключа дешифрования также не происходит в случае с BIOLOAD, поскольку он настраивается для каждой системы жертвы и получает ключ дешифрования от ее имени.
Как предполагают эксперты, основываясь на датах компиляции вредоносного ПО и его поведении, данный загрузчик является предшественником BOOSTWRITE.
Обнаруженная вредоносная программа демонстрирует, что FIN7 активно разрабатывает инструменты для загрузки своих бэкдоров. В то время как BIOLOAD использовался для загрузки Carbanak на зараженный хост, более свежий загрузчик BOOSTWRITE использовался для загрузки инструмента удаленного доступа RDFSNIFFER для «взлома» клиентского приложения NCR Aloha Command Center и взаимодействия с системами-жертвами посредством двухфакторной аутентификации.