Trinity - Управление частотой процессора
Проверил программу на ВирусТотале, пополнение количества детектов
Судя по скриншоту с VirusTotal и предоставленному исходному коду, увеличение количества детектов (особенно от таких вендоров, как DrWeb, Rising, Microsoft, CrowdStrike, Skyhigh) абсолютно закономерно.
Антивирусы не знают ваших благих намерений — они анализируют паттерны поведения, используемые API и сигнатуры встроенных файлов. В вашем коде собрано практически бинго из приёмов, которые используют вредоносные программы (трояны, инжекторы и утилиты скрытия).
Ниже подробно разобрано, из-за каких конкретно участков кода сработал каждый антивирус и что с этим делать.
1. Главная причина: Уязвимый драйвер WinRing0 (100% детект)
-
Детекты: DrWeb (Tool.VulnDriver.23), Rising (HackTool.VulnDriver)
-
Где в коде:
C++СкопированоHRSRC hRes = FindResourceW(NULL, L"IDR_DRIVER_SYS", RT_RCDATA); ... swprintf_s(driverPath, L"%sWinRing0x64.sys", tempPath); CreateServiceW(..., DRIVER_SERVICE_NAME, ..., driverPath, ...); CreateFileW(L"\\\\.\\WinRing0_1_2_0", ...); -
Почему срабатывает:
Драйвер WinRing0.sys находится в глобальных черных списках Microsoft (Driver Blocklist) и всех мировых антивирусов. Это классическая техника BYOVD (Bring Your Own Vulnerable Driver), которую вирусы и руткиты используют для обхода защиты ядра Windows (отключения EDR/AV, модификации памяти ядра через уязвимости драйвера). Любой файл, извлекающий и запускающий WinRing0, автоматически получает плашку HackTool / VulnDriver.
2. Внедрение в чужие процессы (Code Injection / Process Tampering)
-
Детекты: CrowdStrike Falcon (Win/malicious_confidence), Elastic (Malicious), Symantec (ML.Attribute)
-
Где в коде: Функции SaveDesktopIconPositions и RestoreDesktopIconPositions:
C++СкопированоHANDLE hProcess = OpenProcess(PROCESS_VM_OPERATION | PROCESS_VM_READ | PROCESS_VM_WRITE, FALSE, pid); SharedMem* pRemote = (SharedMem*)VirtualAllocEx(hProcess, ...); WriteProcessMemory(hProcess, ...); ReadProcessMemory(hProcess, ...); -
Почему срабатывает:
Вы открываете чужой системный процесс (explorer.exe), выделяете в нём память (VirtualAllocEx) и записываете туда данные (WriteProcessMemory). Для эвристических анализаторов это выглядит точь-в-точь как DLL Injection / Shellcode Injection, типичный троянский функционал.
3. Манипуляции с токенами и правами (Token Stealing / Privilege Escalation)
-
Детекты: Microsoft (Trojan:Win32/Wacatac.B!ml)
-
Где в коде:
C++СкопированоEnablePrivilege(SE_DEBUG_NAME); EnablePrivilege(SE_IMPERSONATE_NAME); ... HANDLE GetShellToken() { // Поиск Shell_TrayWnd, вызов DuplicateTokenEx // WTSQueryUserToken(...) CreateProcessWithTokenW(hToken, ...); } -
Почему срабатывает:
Запрос отладочной привилегии SeDebugPrivilege и воровство/дублирование токена explorer.exe для спавна независимых процессов без повышения — любимый трюк малвари для сброса прав, обхода песочниц и манипуляций с LSASS. Системы машинного обучения (суффикс !ml у Защитника Windows) моментально реагируют на комбинацию этих WinAPI.
4. Скачивание и самозамена исполняемого файла (Dropper / Loader)
-
Детекты: Malwarebytes (RiskWare.Loader), Arctic Wolf (Unsafe)
-
Где в коде: Функции SwitchToEnglishThread и CheckUpdateThread:
C++СкопированоDownloadFileDirect(szDownloadUrl, tmpExe); MoveFileExW(currentExe, oldExe, MOVEFILE_REPLACE_EXISTING); MoveFileExW(tmpExe, currentExe, MOVEFILE_REPLACE_EXISTING); ShellExecuteW(NULL, L"open", currentExe, ...); ExitProcess(0); -
Почему срабатывает:
Программа качает бинарный файл из облака (Яндекс.Диск), заменяет собственный .exe на лету и перезапускает его. Это поведение классического загрузчика (Stager / Loader). Антивирус не может заранее знать, что будет скачано из интернета, поэтому по умолчанию маркирует софт как RiskWare/TrojanDownloader.
5. Поведение, похожее на вымогатель (Ransomware Heuristics)
-
Детекты: Skyhigh (BehavesLike.Win64.Ransomware.cm)
-
Где в коде:
-
Массовое принудительное убийство процессов (KillProcessTreeRecursive, TerminateProcess).
-
Вызов низкоуровневых операций сброса буферов (FlushAllVolumeBuffers, SetSystemFileCacheSize).
-
Манипуляции с загрузчиком и теневыми копиями:
bcdedit /deletevalue ..., вызовы manage-bde.exe (BitLocker).
-
-
Почему срабатывает:
Рансомварь перед шифрованием обычно глушит чужие процессы (базы данных, софт), останавливает службы (net stop), сбрасывает кэши и трогает загрузчик. Skyhigh среагировал именно на совокупность этих системных вызовов.
Как исправить и снизить детекты:
-
Полностью отказаться от WinRing0 (Критично):
-
Это уберет детекты от DrWeb, Rising и снимет подозрения с десятка других движков.
-
Если вам нужен мониторинг температур: используйте только WMI / ACPI / PDH (они у вас уже есть как fallback) либо сертифицированный современный драйвер (например, с подписью WHQL/EV).
-
-
Пересмотреть механизм обновления (Обновление через внешний апдейтер):
-
Не производите горячую самозамену основного файла из памяти.
-
Выносите процесс обновления в отдельный простой скрипт/установщик, либо открывайте браузер на страницу релиза вместо прямого скачивания .tmp и перезаписи.
-
-
Убрать лишние EnablePrivilege:
-
Не включайте SE_DEBUG_NAME глобально для приложения. Включайте его только в момент крайней необходимости (или ограничьтесь закрытием только своих дочерних/незащищенных процессов).
-
-
Подпись кода (Code Signing):
-
У программы нет цифровой подписи. Любой неизвестный бинарник с низким рейтингом доверия (reputation score) при наличии подозрительных API почти гарантированно получает Trojan:Win32/Wacatac.B!ml от Microsoft Defender.
-
Подпишите файл хотя бы доверенным самоподписанным сертификатом или отправьте семпл как False Positive на порталы вендоров (в частности, в Microsoft Security Intelligence).
-
Графический интерфейс для настройки режима "Лимит"
В подменю "🕹 Игровые оптимизации" добавлен пункт "⚙ Настроить режим Лимит", открывающий компактное окно по центру экрана.
При переходе между полями программа автоматически проверяет введённое число и при необходимости подставляет минимально или максимально допустимое значение, исключая опечатки или случайный ввод пустых строк.
Новые параметры вступают в силу сразу после нажатия "Сохранить", а всплывающая подсказка слайдера "Горячий лимит" моментально пересчитывает и отображает ваши актуальные значения без перезапуска программы.
disk.yandex.ru/d/E_vfHfAcbNM6gg
