nchaly Feb 25 2008 at 01:45

День святого вируса

3 min

747

Information Security*

+67

Comments 37

Kavu Feb 25 2008 at 01:48

Спасибо, жду продолжения.... Сам люблю вири ковырять... И когда имел более менее успех в этом деле...

nchaly Feb 26 2008 at 00:54

"люблю" тут как-то не совсем подходит) какого рода успех?

Ras_Dan Feb 25 2008 at 01:55

Захватывающе :)

nchaly Feb 26 2008 at 00:55

да, "выпуск криминальной хроники" - http://nchaly.habrahabr.ru/blog/36497.ht…

Mr_Floppy Feb 25 2008 at 01:59

Интересно!
А с помощью каких инструментов исследуете?

nchaly Feb 25 2008 at 10:57

Да все как обычно - с помощью отладчика, дизассемблера и какой-то матери :)

NotFound Feb 25 2008 at 12:18

Похоже на выпуск криминальной хроники, если бы один компьютер показывал его другому :)

nchaly Feb 25 2008 at 13:49

имеете ввиду технические детали? или оформление?

NotFound Feb 25 2008 at 18:20

ну это общее мнение (позитивное, кст.)

artyfarty Feb 25 2008 at 17:04

спасибо, люблю подобное почитать.

bi04ip Feb 25 2008 at 17:24

Было бы хорошо, если бы этот пост стал началом цикла постов на эту тематику1

nchaly Feb 26 2008 at 00:55

я тоже за.

redliner Feb 25 2008 at 18:02

побольше бы таких постов, а то посты про вебстроительство уже стоят поперек горла

vzasos Feb 25 2008 at 19:16

хех... очень поддерживаю, но, к сожалению, тут "рулят популярные темы" ;)

nchaly Feb 26 2008 at 00:58

я тоже не прочь почитать популярные темы. но если такая узкоспециальная тема будет интересна хотя бы нескольким людям или кому-то поможет - это же совсем неплохо, по-моему

UFO just landed and posted this here

VojToshik Feb 25 2008 at 18:41

Спасибо! Жду продолжения!

Kukalyakin Feb 25 2008 at 18:57

Вот разрываюсь между двумя желаниями: при встрече с вирусописателем 1) пожать ему руку и 2) дать ему в морду.

efix Feb 25 2008 at 19:04

Пожми руку и, неотпуская, дай в морду! :)

nchaly Feb 25 2008 at 19:06

С просто писателем - ну можно поговорить о том, о сем. А вот к тем, кто выпускает таких зверей в живую природу, нужно примерять ректальный криптоанализ.

Как вспомню очереди людей на перепрошивку биоса раз в год, так вздрогну :)

Да и похоже, это дело становится на прочные рельсы товарно-денежных отношений.

Alexsmt Feb 25 2008 at 20:53

Неужели ВинЧих еще жив ? o0
Или это воспоминания давно минувших дней ?

dir01 Feb 25 2008 at 23:17

будьте уверены, жив ) Много очень старого злого софта до сих пор живо. Например, на мой ирц-сервер регулярно заходят жертвы какого-то старого виря и ждут команд на запароленном скрытом канале. Жалко, я команд не знаю, а так стал бы владельцем маленького ботнетика машин на 600.

nchaly Feb 26 2008 at 01:00

дайте знать жертвам, будьте человеком :)

dir01 Feb 26 2008 at 01:09

Ещё бы я мог до них достучаться =)))

Tishka17 Feb 25 2008 at 19:08

/me зачем-то хранит на флэшке пару отукдато добытых виндовых вирусов....
Зачем они мне? Не знаю. Все равно мне их запускать негде (wine не считается)

BigAlex Feb 25 2008 at 19:14

>2. "valentine.exe" загружает драйвеР "diperto.sys"

> оригинальный файл скоМпилирован MINGW GCC

поправте, пожалуйста

1mbrogli0 Feb 25 2008 at 23:53

так же поправьте:
Только он [ от? ] первой волны ..
котнролер [ kot`n`roll!)) ] служб Windows ..

nchaly Feb 26 2008 at 00:11

да, спасибо.

Gard Feb 25 2008 at 19:34

Хорошая статья, да и идея. Можно открыть отдельный коллективный блог по Reverse Engineering.
Также хотелось бы узнать инструментарий исследования, использовали ли вы виртуальные машины.
Хорошо что даны рекомендации по устранению бреши.

Infthi Feb 25 2008 at 19:59

создание блога категорически поддерживаю!

Kavu Feb 26 2008 at 00:41

да! создание блога так же поддерживаю... я бы сделал... да... не могу пока(

nchaly Feb 26 2008 at 01:03

инструментарий - отладчик и дизассебмлер, filemon от sysinternals. вмваре использовал, да.

hitrec Feb 25 2008 at 21:14

Интересно мне вот - а каков процент вирусов от общего числа, которые смогут злодействовать если использовать учётную запись пользователя или даже гостя, а не администратора???

Ни у кого нет такой статистики?

nchaly Feb 26 2008 at 01:07

думаю, стремится к нулю. единственный путь для таких вирусов - либо сначала повысить себе привелегии, либо вмешаться в процесс загрузки до включения механизмов разграничения прав. ну или еще как-то :)

rengo Feb 26 2008 at 01:58

Качественная, дорогая схема. Респект писателям.

0xZ Feb 26 2008 at 08:24

Кому интерестно, про "Штормого червя" , можете почитать тут:

Storm Worm: St.Valentine\'s wave

http://indetails.info/index.php?module=d…

pipll Feb 26 2008 at 11:21

Не знаю.. у меня teaTimer из комплекта Spybot-S&D спрашивает
можно ли процессу прописываться в реестр или нет.
Так что таких проблем не наблюдаю.

Show the best of all time