Таблетки счастья

[@Bani]

Жаль, что вирус такой старый, а то уж думала вспомнить былое и посмотреть что нового-интересного придумали.

[@kernel]

и давно девушки 18 лет занимаются реверсингом? =)

[@Chaos_Code]

Уточнение. С 16ти лет =) А что? Таких девушек сейчас не так уж и мало)

[@kernel]

да я впринципе девушек, которые занимаются кодингом, а тем более изучением зловредов не видел =) а тут еще и такая молодая, вот и удивился =)

[@Bani]

например? Что именно интересного? Разве появились какие-то новые технологии за последний год? Просто много-то много, но ничего такого особенного, что было бы интересно ковырять. Копипаст друг у друга, всякие крипторы(хорошо если не на дельфях) и прочая хрень. Есть куча старых(и не очень) баз, где реально «уковыряйся». Но ничего интересного.

Просто когда с ЛК сотрудничала, пересмотрела столько всего, что после этого какое-то естественное отвращение появилось.

Вокруг этих вирусов антивирусные компании поднимают шумиху намного более громкую, нежели те заслуживают. Так, для поддержания интереса общественности.

Так что если есть что свежее-интересное — буду благодарна за ссылки, или просто наводки.

[@Nitrogen]

достаточно интересно: www.xakep.ru/post/47379/

[@f_s_b_37]

www.securitylab.ru/news/366736.php
его поковыряйте. хотя на неискушенный взгляд технически ничего неординарного не представляет (полиморф, хотя кто-то говорил страшное слово пермутатор, на борту драйвер). но масштабы действия реально неплохие :)

[@Bani]

да, спасибо фсб *правда почему на вы. знакомы, вроде*

Я посмотрела пока обзор. не искала сам вирус… Поковырять можно, вполне

[@Bani]

не вижу никаких противоречий. (люди их тоже, впрочем, не видят. судя по оценке)

Тот, кто напрямую с этим сталкивался, со мной согласятся (и согласились), а те, кто напрямую не ковырял тонны этого фарша и говорят, что все «новое-интересное». Да, ковыряла в 16-17. Но наскучило.

дабы не быть голословной — приведу ссылки.

вот весьма неплохой сайт с очень хорошими обзорами. Эти обзоры действительно стоящие, человек грамотен.
а вот итоги года. Там с 05.07 по 05.08. Весьма справедливо, стоит сказать. Сайт временами лежит, но в кэше гугла присутствует.

Сейчас я слежу за этим вполглаза. И если бы появилось что-то реально стоящее — обязательно кинулась бы посмотреть. Только и всего. А вышеуказанную бяку поковыряю хотя бы просто так. Чтобы посмотреть к чему пришли, если пришли, конечно.

Так что где противоречия?

[@Bani]

Нет, конечно. А вы предложите что-нибудь поинтереснее с точки зрения реверсинга.
Кстати, бяку ковырял, все-таки он. А потом уже разошлось. Опять же, у neon-а всегда появляются интересные экземпляры, если они вообще есть.

Плюс, это не только мое мнение, рано или поздно все на нем сходятся. И вы после полугода ковыряния к нему придете

[@Bani]

но мы-то рассматриваем именно его в данном случае…

[@capt_Rimmer]

Много-много таблеток. Как правило — от руткитов и глубинных троянов не помогают они… AVZ пользовались? KernelMode для вышеописанных таблеток — пустой звук… да и направлены они на что-то конкретное.

[@alekciy]

На каждую заразу свой антидот… зачем так мучиться… я ни сколько не хочу умалить достоинства приведенного ПО, но есть такая полезная штука как образ системы. Если имеет дело с публичным местом и типовой конфигурацией рабочей станции, то загрузка из образа при рестарте вообще то, что доктор прописал.

Антивирус это хорошо, не ну стоит забывать и о других методах защиты или быстрого восстановления.

[@stboris]

Проблема в том, что все эти штуки надо применять на зараженной системе, а под ней большинство руткитов ничего не даст с собой сделать, а под LiveCD/хард-к-другой-системе эти тулзы не помогут.

Я в своей работе использую такую схему: гружусь с LiveCD, прогоняю AVZ, затем Dr.Web, перезагрузка в нормальный режим, чистка реестра с помощью jv16PT. Возможны нюансы, т.к. под LiveCD само собой ключи реестра надо править ручками (система-то другая), но если сталкиваешься с такими вещами регулярно, то уже знаешь куда смотреть.

При прочих равных, всегда, подчеркиваю, всегда выгоднее переставить систему чем лечить ее. За исключением тех ситуаций, когда систему нельзя переустанавливать: изощренный софт, банки-клиенты, прочая подобная мутотень.

Единственный, с моей точки зрения, случай, когда стоит применять подобные вещи: когда затронуты пользовательские данные (например зашифрованы) или когда нужно любой ценой поднять именно ту систему.

P.S. Если кому интересно, могу набросать общие тезисы по восстановлению зараженной системы. Ничего нового, просто мой опыт.

[@Bani]

чтобы руткит дал что-то с собой сделать, надо просто поснимать хуки. (RkU делается на 2 клика), тогда он даст сделать с собой все, что угодно. Даже мониториться будет на отлично)

Я так неугодные антивирусы вырубала просто. Тот же руткит, по сути

[@Angvar]

Да, интересно. Будьте добры.

[@peter_i]

есть еще Stinger от McAfee — vil.nai.com/vil/stinger/

[@allemeine]

Довольно бесполезная штука, на заражённых машинах ни разу не помогла, в отличие от упомянутого ниже Sysclean.

[@despoth]

Мне всегда было интересна: а эта битва с вирусами теперь будет вечной? Или просто это кому-то надо, а все мы просто попадаем под раздачу?
зы. я стал маленько побаиваться за свой мак. хотя, конечно, это не винда и тут не всё так фатально.

[@CombatPenguin]

Use Linux, Luke! :)

[@allemeine]

К списку ещё можно добавить Trend Micro Sysclean:
www.trendmicro.com/ftp/products/tsc/sysclean.com
www.trendmicro.com/ftp/products/tsc/readme.txt

Для его работы требуются свежие базы:
www.trendmicro.com/download/viruspattern.asp
www.trendmicro.com/download/spywarepattern.asp

[@allemeine]

И ещё парочка к общему списку,
F-Secure Easy Clean and Removal Tools:
www.f-secure.com/en_EMEA/security/security-lab/tools-and-services/removal-tools/

NORMAN Virus removal tools:
www.norman.com/Virus/Virus_removal_tools

[@Maugly]

Как можно запустить не понятное пришедшее в письме !?
Откуда у этого файла право на запись ?!

[@whiplash]

в мемориз

[@kovleon]

А лучше сразу «предохранятся», например, HIPS с виртуализацией. Для меня стал открытием Sandboxie (http://www.sandboxie.com/). Все изменения оседают в песочнице, а не в реальной машине.

[@Bani]

В интернете есть статьи и примеры кода, который позволяет вырваться за пределы песочницы. Вроде даже Крис Касперский и писал об этом

Еще есть несложные проверки, которые проверяют, работает ли вирус в песочнице, или на реальной системе. Вирусописателям стоит взять их на заметку ;)

Хотя риски сокращает в разы, это верно.

[@TITOFF]

ИМХО лучшего забыли указать это AVZ — поддержка на уровне!!!

Всем рекомендую отличный антивирус AVZ

Прошу обновить пост верхний с добавлением туда AVZ

[@a97]

И Касперского бесплатного Вы неправильно готовите *)
Правильная ссылка — http://support.kaspersky.ru/viruses/avptool?level=2

Плюс — Всегда свеж
Минус — Не все чистит автоматом

Следствие — Применять для ковровых бомбометаний на соседском компе, в котором вирусы уже начали заражать друг-друга *)

Потом ручная зачистка AVZ по ссылке выше.

[@glorybox]

ComboFix