Цитата: dehote9223 от 28.10.2026, 07:19

Антивирус Касперского начал помечать программу как VHO:Backdoor.Win32.Agent.gen

[spoiler title="В спойлере мнение ИИ Gemini 3.1 Pro"]Детект VHO:Backdoor.Win32.Agent.gen от Лаборатории Касперского (где VHO означает Virus Heuristic Object, а gen — generic) является эвристическим. Это означает, что антивирус не нашел конкретную сигнатуру известного вируса, но проанализировал поведение программы и обнаружил комбинацию методов, которые типичны для троянов, бэкдоров и руткитов.

Программа "Trinity" представляет собой инструмент для настройки системы (твикер). Для выполнения своих функций она использует крайне инвазивные и низкоуровневые API Windows. С точки зрения антивируса, разница между "агрессивным твикером" и "вредоносным ПО" практически отсутствует, так как они используют одни и те же механизмы.

Ниже приведен подробный анализ участков вашего кода, которые в совокупности гарантированно вызывают срабатывание эвристики антивирусов. Вы можете использовать эту информацию для объяснения ситуации вашим пользователям.

1. Кража токенов и повышение привилегий (Token Theft)

Функция LaunchProcessAsTrustedInstaller использует классический метод, применяемый руткитами для получения максимальных прав в системе:

• Она ищет процесс winlogon.exe или системные службы.

• С помощью OpenProcessToken и DuplicateTokenEx она крадет токен пользователя SYSTEM.

• Затем она запускает службу TrustedInstaller, крадет ее токен и запускает новый процесс с этими правами (CreateProcessWithTokenW).
  
  Взгляд антивируса: Несанкционированная эскалация привилегий до уровня TrustedInstaller — это поведение, типичное для бэкдоров, пытающихся обойти защиту ОС и отключить антивирусы.

2. Внедрение кода и манипуляции с памятью других процессов (Process Injection)

В коде присутствует несколько функций, которые вторгаются в адресное пространство чужих процессов:

• UnloadRemoteModule: Использует CreateRemoteThread для вызова FreeLibrary или UnmapViewOfFile внутри чужого процесса (чтобы принудительно выгрузить DLL).

• SaveDesktopIconPositions и RestoreDesktopIconPositions: Используют VirtualAllocEx, WriteProcessMemory и ReadProcessMemory для внедрения структур данных в процесс explorer.exe (Проводник).

• CloseRemoteHandleSafely: Дублирует и принудительно закрывает хэндлы, принадлежащие другим программам.
  
  Взгляд антивируса: Использование связки VirtualAllocEx + WriteProcessMemory + CreateRemoteThread — это самый известный паттерн инжекта (Process Injection), используемый вредоносным ПО для скрытия своей активности внутри легитимных процессов.

3. Установка и загрузка драйвера уровня ядра (WinRing0)

Функция InitRing0Driver устанавливает (CreateServiceW) и запускает службу ядра TrinityRing0, загружая драйвер WinRing0x64.sys.

Взгляд антивируса: WinRing0 — это легитимный драйвер для взаимодействия с оборудованием (MSR, PCI), но он имеет известную уязвимость (отсутствие проверок доступа). Злоумышленники массово используют его в атаках типа BYOVD (Bring Your Own Vulnerable Driver) для обхода изоляции ядра, чтения памяти и отключения антивирусов на уровне нулевого кольца (Ring 0). Многие антивирусы помечают программы, устанавливающие WinRing0, как потенциально опасные (HackTool или Backdoor).

4. Глобальные хуки (Keylogging)

В коде используются функции SetWindowsHookExW с параметрами WH_KEYBOARD_LL (в StartBackupEscHook) и WH_MOUSE_LL (в StartMouseHookThread).

Взгляд антивируса: Установка низкоуровневых глобальных перехватчиков клавиатуры и мыши позволяет программе читать все нажатия клавиш в системе. Это базовый механизм работы клавиатурных шпионов (Keyloggers).

5. Сетевая активность и загрузка исполняемых файлов (Dropper behavior)

Программа подключается к интернету с помощью WinHTTP (CheckUpdateThread, DownloadDriverThread, DownloadBibleThread).

• Она скачивает архивы (.zip) и исполняемые файлы с публичного облака (Яндекс.Диск).

• Распаковывает их через вызов powershell или tar.

• Заменяет собственный исполняемый файл или устанавливает драйвер.
  
  Взгляд антивируса: Скачивание неизвестных бинарных данных из сети и их последующий запуск/инсталляция (особенно с использованием скрытых консолей cmd.exe / powershell.exe) — это прямое поведение троянов-дропперов (Dropper / Downloader).

6. Скрытое выполнение системных команд

Функция RunCommandHidden запускает cmd.exe, powershell.exe, schtasks (создание задач в планировщике), netsh, bcdedit и taskkill с параметром CREATE_NO_WINDOW (без видимого окна).

Взгляд антивируса: Скрытое изменение параметров загрузчика (BCD), добавление в автозагрузку, управление сетью и скрытое завершение других процессов являются индикаторами компрометации системы.

Резюме для пользователей:

Антивирус реагирует на инструментарий, а не на намерения. Чтобы программа "Trinity" могла очищать зависшие дескрипторы, управлять частотами процессора через прямое обращение к MSR-регистрам, принудительно удалять неудаляемые файлы (с правами TrustedInstaller) и взаимодействовать с рабочим столом, ей физически необходимо использовать те же низкоуровневые хакерские техники, которые используют вирусы. Эвристический детект в данном случае является ложноположительным (False Positive) с точки зрения вредоносности, но абсолютно корректным с технической точки зрения оценки поведения программы.[/spoiler]