@foxin23 дек 2013 в 10:10

0day Wednesday – исследование новейшего вредоноса

6 мин

70K

Информационная безопасность *

Из песочницы

+120

Комментарии 31

@kindacute 23 дек 2013 в 10:32

Читается на одном дыхании, как детектив. Автору и переводчику огромное спасибо.

@qbz 23 дек 2013 в 18:00

Могу посоветовать xylibox.com, француз постоянно пишет о компьютерном криминале, и не просто пишет, а расследует, крякает и все такое.

@kindacute 23 дек 2013 в 20:41

Спасибо вам за ценный ресурс

@Disasm 23 дек 2013 в 10:33

Наконец, можно провести детальный анализ сетевой активности, используя Wireshark, а также активности в файловой системе и реестре, используя procmon, да и вообще поиграться с работающей программой в Process Explorer.

А просто переименовать и запустить нужную программу нельзя?
// а, ой, это перевод

@foxin 23 дек 2013 в 10:50

Можно. но это сработает только в довольно простых случаях (как этот). Более «продвинутые» техники предусматривают анализ процесса по сигнатурам. Встречал протекторы, которые еще проверяли, не установлен ли драйвер мониторинга (емнип, то ли procmon, то ли process explorer ставит такой драйвер при первом своем запуске после перезагрузки; выгрузка драйвера происходит только после перезагрузки системы).

@ivlis 23 дек 2013 в 23:42

В винде нельзя запустить программу от пользователя, а считать память от администратора?

@EvilsInterrupt 29 янв 2014 в 18:35

Я такое пишу всегда в своем протекторе. Но этот метод тоже далек от идеала, любая перекомпиляция программы к примеру ProcessExplorer это по сути новая сигнатура или взять вместо новой более старую, уже могут сигнатуры отвалиться. Так что по строкам более надежней способ, хотя их надо не в открытом виде а в виде хэшей хранить

НЛО прилетело и опубликовало эту надпись здесь

@Disasm 23 дек 2013 в 16:01

В данном случае ничего не мешает. Хотя аналитику может быть интересна ещё и сетевая активность внутри виртуалки, которая наружу не попадает.

@realscorp 23 дек 2013 в 10:36

Эх, на самом же интересном месте закончилось. Какие команды может получать вредонос, какую информацию сливает, что умеет делать — было очень бы любопытно узнать. Но читается и правда на одном дыхании, спасибо.

@Vilko 24 дек 2013 в 06:36

Ссылка ж приложена — поднять виртуалку да помониторить живой обмен никто не мешает :)

@realscorp 24 дек 2013 в 06:55

Как никто не мешает? А лень? :)

@MrShoor 23 дек 2013 в 11:07

Я обычно запускаю сниффер с хостовой ОС. А то встречал однажды тоже детект, зловред менял логику и ничего не слал по сети.

@potan 23 дек 2013 в 13:47

А не логичнее ли запускать опасный код в виртуалке, а wireshark на основной системе?

@tronix286 23 дек 2013 в 14:09

Имхо виртуалка детектится без проблем.

@Ktulhy 23 дек 2013 в 15:38

А разработчики Windows и не знали.

НЛО прилетело и опубликовало эту надпись здесь

@Ktulhy 23 дек 2013 в 17:41

Да, было бы интересно почитать.

@borisko 24 дек 2013 в 08:24

Вот очень годная статья на тему: www.xakep.ru/post/58104/. Правда всё равно немного давнишняя.

@EvilsInterrupt 24 дек 2013 в 05:41

Ну у автора статьи к примеру Process Explorer не запускался, но он же не был этим смущен и просто запатчил нужное место. Точно также можно поступить и с местами детекта виртуалок, благо способов определить виртуалку не так много(я имею ввиду топ пополулярных способов)

@Kwent 23 дек 2013 в 14:33

Большое спасибо за набор инструментов, спасибо за перевод.

@lockywolf 23 дек 2013 в 15:57

А вот интересно, у него «левые копии» байт в байт совпадают. Неужели нельзя было добавить хотя бы примитивнейший полиморфизм. Ну там, хотя бы nop'ов добавить. Я уж не говорю про, например, реордеринг кода.

@foxin 23 дек 2013 в 16:04

Как уже заметили выше, тут «защиту» можно обойти, переименовав файл запускаемой утилиты, если его дефолтное имя находится в черном списке. А вы про полиморфы тут)

@lockywolf 23 дек 2013 в 16:07

Ну, я не спец в кибербезопасности.

Мне казалось, что запутать свой код проще, чем искать паттерны в чужом, для написания сигнатур.

@mafet 23 дек 2013 в 17:04

Никто не разгадал случаем, что находится в PNG?

НЛО прилетело и опубликовало эту надпись здесь

@Bigzver 23 дек 2013 в 23:38

может фоточку меняет в контактике жертвы? )
эх вспоминаю как в открытую демонстрировали себя вирусы.
fishki.net/1212151-kompjuternye-virusy-jepohi-ms-dos.html

@TrueBers 24 дек 2013 в 07:38

Мда, MFC-вирусы… печалька. Малварщики уже не те.

@cdbrk 24 дек 2013 в 08:34

А это и не вирус.

@mikeSP 24 дек 2013 в 09:48

поковырялся. обычный винлокер. прибивает антивирусы, меняет политики в реестре, перегружает винду. шифрует файлы, прибивает оригиналы. требует бабло.
mfc не используется. разве что пару функций ATL динамически — чтобы создать окно с кнопками на основе HTML
а так, вполне безобидный зверек :)

@PuzzleW 29 янв 2014 в 15:46

Черт возьми — исследование — ТОРТ! Респект!

Зарегистрируйтесь на Хабре, чтобы оставить комментарий