How to become an author
Search
Write a publication
Pull to refresh

Comments 118

вау, отличный материал, спасибо, с удовольствием прочитал!
Total votes 24: ↑20 and ↓4+16
спасибо за старания.
прочитал на одном дыхании!
Total votes 25: ↑21 and ↓4+17
Спасибо, хорошая статья, понравилось. Стало интересно, а зачем все эти сложности, если в итоге и сам «большой конь» и «жеребец» и, тем более, «бяка» на данный момент успешно определяются антивирусами? Чтобы затруднить анализ разработчикам антивирусов? Видимо, не очень сильно помогло.
Total votes 5: ↑5 and ↓0+5
UFO just landed and posted this here
Защита от эвристик. Гарантирует высокую скорость распространения до того, как сигнатуры трояна попадут в антивирусные базы и эти базы попадут к пользователям.
Total votes 3: ↑3 and ↓0+3
Красивый слог, вам не только аналитиком можно работать.
Total votes 14: ↑13 and ↓1+12
великолепно, ждем продолжения про подробности того, что делает большой троянский конь
Total votes 4: ↑4 and ↓0+4
UFO just landed and posted this here
ээ… какой такой макбук?
Total votes 2: ↑2 and ↓0+2
UFO just landed and posted this here
А чего тут угадывать, материал достаточно хороший.
Думаю многим было интересно почитать
This comment wasn’t rated yet0
UFO just landed and posted this here
Блестящий материал! После прочтения вашей статьи складывается впечатление, что, казалось бы, в профильные журналы «Хакер» и «Спец» статьи пишут старшеклассники.
Total votes 16: ↑15 and ↓1+14
Ммм… Статья замечательная, но про авторство статей в «Хакере» такие мысли и без этой статьи появлялись :)
Total votes 5: ↑3 and ↓2+1
Вы никогда не пробовали писать статьи в «Хакер»? Зря. Заодно получите подтверждение своего впечатления :)
Total votes 1: ↑1 and ↓0+1
Вы хотите сказать, что я получу подтверждение того, что сам являюсь старшеклассником? :-)
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
с чего вы решили, что переведена?
Total votes 2: ↑2 and ↓0+2
UFO just landed and posted this here
имеется ввиду, что эта статья — перевод предложения

«When executed, the malware creates %Temp%\LOADER.19B099.EXE and uses the BITS (Background Intelligent Transfer Service) to download filebyaka.exe and exe.php from the Chinese hosted site reddii.org (220.196.42.217).»?

Ну-ну :)
Total votes 3: ↑3 and ↓0+3
Отнюдь :)
Просто формат журнала вряд ли позволяет ТАК подробно описывать отлов одного вируса.
Total votes 1: ↑1 and ↓0+1
Формат журнала позволяет! Только, видать, нет желающих писать на такие темы. Если кто хочет опубликоваться — могу дать нужную аську, куда следует обращаться со статьями.
Total votes 1: ↑1 and ↓0+1
Прекрасно написано!
Перечитал все ваши статьи, узнал для себя много нового, немного вспомнил.
Ну и чуть понастальгировал по времени, когда сам штудировал книжки П. Нортона по асму, вирусную аналитику Д. Н. Лозинского и др.
Вообщем спасибо за материал.
Total votes 2: ↑2 and ↓0+2
Нехрена не понял, но круто!
Total votes 53: ↑51 and ↓2+49
Я ничего в этом не понимаю:), но мне интересно, что конкретно делает этот вирус (filebyaka.exe), т.е. именно последствия, а что что-то не нашел этого.
Total votes 1: ↑1 and ↓0+1
Немного выше дали ссылку на анализ действий «бяки». Если коротко, то выводит предупреждение о вирусе, заставляя пользователя скачать и установить некий продукт «Antivirus XP 2008», который на самом деле не настоящий антивирус. После установки этот фейковый антивирус имитирует полезную деятельность и выдает отчеты о якобы найденных вирусах, убеждая пользователя купить полную версию себя.
Total votes 3: ↑3 and ↓0+3
И?.. Просвятите тех, кто далёк от этой темы, пожалуйста (статьи отличные, но как писали выше «Круто, но не очень понятно» :) ). Предлагает он купить более полную версию себя — и что? В итоге что-то покупается (т.е. это преступление, чтобы заставить пользователя купить чей-то продукт) или нам продают в итоге комплект «Все трояны на одном диске — активируй и радуйся».

Что в итоге-то? Какой результат реального ущерба? Или это такой «маркетинг», в попытке заставить купить какой-то продукт?

Спасибо за пояснения…
Total votes 1: ↑1 and ↓0+1
это простое вымогательство. Этот «антивирус» в жестких угрожающих формах говорит о том, что компьютер якобы заражен. Пользователь пугается, платит деньги… и ничего. Компьютер как был чистым, так и остается. «Антивирус» просто говорит, что все ок.
Total votes 1: ↑1 and ↓0+1
Не все так просто. Эти FakeAlert'ы довольно убедительно показывают, что вирусы есть — анноящая реклама и порнуха в браузерах — это цветочки. Некоторые звери вместе с ложными антивирусами еще и пяток настоящик троянов качают :-)
This comment wasn’t rated yet0
ничего себе. Я как-то ковырял «папу» этого антивируса — MS Antivirus, но ничего такого не нашел…

Кстати, даже касперского подделывают уже — www.viruslist.com/ru/weblog? weblogid=207758727
This comment wasn’t rated yet0
Есть семейство Vapsup (у M$ и Каспера, каежется), характерно полной неупакованностью, но очень характерным шифрованием строк. По ключу шифрования и можно установить, что несколько файлов из одной связки. Там среди компонентов есть и Downloader, он качает фэйковый антивирус и еще 4-5 файлов. Точнее, даже не сам антивирус, а прогу, которая говорит «вы заражены, лекарство тут».
Total votes 1: ↑1 and ↓0+1
Тогда у меня интересное предположение… В подобных статьях (безусловно, отличных статьях!) мы имеем разложенный по полочкам, с комментариями код вполне себе работающего трояна. Что дальше мешает более-менее понимающему человеку (не мне, блондинке от программирования) чуть скорректировать код, что бы пошло обращение не к «файлу-бяке» fake-антивируса, а на что-нибудь более вредоносное — и разослать? Тем более, что комплект файлов мы тоже имеем…

Как бы «обратная сторона медали» получается.
This comment wasn’t rated yet0
да, но… понимающий человек может это спокойно сделать и без этой статьи.
Total votes 2: ↑2 and ↓0+2
P.S. Данный комментарий прошу рассматривать исключительно как пространное рассуждение о теоретических возможностях, не носящий своей цель отбрасывать какого-либо рода негативную тень на подобные статьи и их Авторов.
This comment wasn’t rated yet0
долго смеялся :) но ни над текстом ни над автором :) этот «продукт» вендор биллинга одной известной мне компании, к сожалению я договор подписывал, скажу только, что судя по их продажам, многие ведутся на такие попапы.

Я не говорю про СНГ, большей частью восточная европа и конечно же США.
Total votes 1: ↑1 and ↓0+1
Жаль, что на западе с этой компанией не борются, так как это явно должно подпадать под какую-то статью. Хороших хакеров ловят, а мошенников никто не трогает((
This comment wasn’t rated yet0
такая уж у мошенников судьба, всегда за спиной есть чей то дядя в налоговой, или чей то тётя в МРЕО и так далее, и так далее… увы :(
This comment wasn’t rated yet0
Грациозное вальсирование по острию бритвы.
Total votes 5: ↑4 and ↓1+3
Сэр, Вы Шерлок :)
или маг

я догадываюсь, что все куда проще — но как приятно и интересно читать!

Спасибо!
Total votes 4: ↑4 and ↓0+4
Лоадеры, которые качают через BITS — это поделки 2005-2006 года. Сейчас внедрение в BITS ловят почти все антивири.
Лучше всего сделать обзор лоадеров, которые работают через драйвер… Это куда более сложные звери…
Total votes 6: ↑5 and ↓1+4
мне пока не попадались. Хотя я занимаюсь вирусами в свободное время, и не могу быть особым авторитетом. Если есть сэмплы таких зверей — давайте, с удовольствием поковыряю.
Total votes 1: ↑1 and ↓0+1
ну надо учитывать тот факт что БИТС может и работать (может!!! не проверял) под не привилегированной учетной записи… а драйвер под такой учеткой ты не воткнешь =\
This comment wasn’t rated yet0
Драйвер, если его удалось поставить, может работать на ring0 — это уровень самого антивируса или даже ниже, а вот BITS мониторится на раз сейчас и не важно, какая у него учётная запись.
Total votes 1: ↑0 and ↓1-1
>ring0 — это уровень самого антивируса
эм… не так конечно…
не все АВ вообще в r0 работают ;)

да и в ринг0 можно без драйверов пролесть ;))
This comment wasn’t rated yet0
Автор молодца! узнал много интересного… спасибо…
Total votes 2: ↑2 and ↓0+2
Спасибо за материал, боролся я с этой «бякой» на 10 машинах, не применяя антивируса, победить было не просто.
Total votes 1: ↑1 and ↓0+1
отличный материал, читал как современный детектив, так как сам никогда за такое не возьмусь, но уж очень интересно :)
Total votes 2: ↑2 and ↓0+2
Хабракат.

Можно в блог по асму опубликовать :)
Total votes 1: ↑1 and ↓0+1
Вот это действительно нормальный топик, развернуто и не затянуто.
+ вам однозначно.
Total votes 1: ↑1 and ↓0+1
не знаю ассемблера. почти все утилиты мне незнакомы. никогда не занимался изучением вирусов и прочих «бяк», но автор дал материал так что мне показалось что я кое-что понял. Реально, если бы каждый гик-специалист умел так излагать мысли мнение людей о хакерах могло бы поменять в лучшую сторону.
П.С. хакер это просто специалист, а не специалист-злоумышленник, как нам пытаются объяснить в фильмах
Total votes 3: ↑3 and ↓0+3
s/поменять/поменяться
запятых не хватает. Утро.
Total votes 1: ↑1 and ↓0+1
use condoms ;)
Затягивает ;) Автор вы молодец!
Total votes 1: ↑1 and ↓0+1
Нет. К сожалению, или может быть, к счастью? )
Total votes 1: ↑1 and ↓0+1
Именно за такие статьи я полюбил Хабр. Автору огромное спасибо!
Total votes 4: ↑4 and ↓0+4
и хабру спасибо тоже, и вам
Total votes 3: ↑3 and ↓0+3
UFO just landed and posted this here
Отличная статья!
На хабре относительно недавно, это первый материал где вчитывался буквально в каждую букву, силясь понять, хотя в этом нифига не разбираюсь )
Total votes 2: ↑2 and ↓0+2
Автор, я очень надеюсь, что это не последний твомй топик, и ты еще порадуешь нас такии же великолепными статьями.
Total votes 2: ↑2 and ↓0+2
Почти ничего толком не понял, но было очень интересно, правда :)
Total votes 1: ↑1 and ↓0+1
читал — «детство» вспоминал… так захотелась опять поковыряться в IDA/WinDasm/WinHex ;)
Total votes 1: ↑1 and ↓0+1
Великолепно. Спасибо большое.
2ФППХ: макбук автору
Total votes 2: ↑2 and ↓0+2
UFO just landed and posted this here
Практически ощутил себя «дизайнером-блондинкой» :) НО! Большое спасибо Автору за материал — изложенно всё настолько популярно, что даже не понимая некоторых технических моментов общая суть стала понятна. Спасибо, это было очень интересно!
Total votes 1: ↑1 and ↓0+1
а что делает сам вирус (файлобяка)?
как всегда шикарная статья)
This comment wasn’t rated yet0
спасибо, очень интересно читать (хотя, честно говоря, понимаю очень мало :).

Я бы порекомендовал (для привлечения похожих на меня читателей) проверять текст где-нибудь на орфографию (использование gawk/python наряду с win32 немного пугает, поэтому даже не могу предположить, какая ОС используется). + рисовать простые блок-схемы. Дизассемблированный код говорит крайне мало, два-пять блоков со стрелочками лично мне было бы понятнее.
Total votes 2: ↑0 and ↓2-2
Простые блок-схемы скрывают все нюансы! На асме одно и тоже можно написать десятком, если не больше, способов, поэтому блок-схемы сокроют внутри всякие интересные вкусности.
This comment wasn’t rated yet0
может быть, тогда стоит их добавить, как альтернативу? Статья от этого только выиграет
This comment wasn’t rated yet0
gawk для win32 — берется из cygwin'а. А питон (как и большинство открытых проектов) есть и под windows. Open Source != Linux :)
Total votes 1: ↑1 and ↓0+1
Видно, что читать надо, но наверное вечером, а то с утра мозги закипять — хоть пакетик во рту заваривай :)
This comment wasn’t rated yet0
Большое спасибо за шикарную статью. Очень интересно и позновательно.
Total votes 1: ↑0 and ↓1-1
Вы отличный реверсер. Спасибо за интересный материал :)
Total votes 1: ↑0 and ↓1-1
Не зря наши великие умы Trojan.Packed делали! :-)

Кстати, по поводу UPX. Приведенная картинка с блок-схемой программы (которая первая) выдает UPX сразу: куча каких-то переходов, но в конце — обязательно «красный» на адрес до точки входа. Довольно часто попадается модифицированный UPX, который upx -d не возьмет, приходится ручками: ставится бряк на этот «красный» переход и дальше один шаг пройти :-)

Для снятия дампов есть прекрасная примочка к Olly — OllyDump, рекомендую. Баги, правда, тоже есть :-)
По ссылочке сейчас файлег скачаю, посмотрю что там и как :-)

Спасибо за интересную статью ;-)
Total votes 4: ↑4 and ↓0+4
Какие люди)

Ну, как говориться, век живи, век учись. — про upx.

Про OllyDump знаю, но как-то не срослось у меня пока с olly. windbg для меня почему-то удобнее.
Total votes 1: ↑1 and ↓0+1
windbg имеет огромный плюс — может показывать поля структур, ну и ядреные драйвера отлаживать им можно, Olly только юзермодные модули берет, да и то иногда помучаться надо.
Total votes 1: ↑1 and ↓0+1
Я прошел-таки по зловещему адресу, оказалось там ничего нет, как собственно и целого сайта reddii.org.

Проверил WHOIS: сразу бросилась в глаза запись Last Updated On:10-Sep-2008 00:21:26 UTC.
Они заподозрили неладное уже спустя час после написания статьи и спешительно скрылись.

PS: Статья очень понравилась, очень вы лихо расправляетесь с заразой.

Total votes 1: ↑1 and ↓0+1
необычный хабраэффект :-)
перед автором статьи снимаю шляпу
Total votes 1: ↑1 and ↓0+1
Таааак… пошел учить матчасть…
Total votes 1: ↑0 and ↓1-1
ничо не понял, но читал с удовольствием, пасиб))
Total votes 3: ↑0 and ↓3-3
Я нихрена не понял, но ты затронул мою душу.
Total votes 3: ↑0 and ↓3-3
Обожаю такова рода разборы троев… сам ковыряю по возможности…
This comment wasn’t rated yet0
Шикарное исследование, очень интересно. Хорошо бы разбор какого-нибудь злостного вируса с самокопированием.
This comment wasn’t rated yet0
/me ушел читать «Ассемблер для чайников».
This comment wasn’t rated yet0
Я, к сожалению, физически не могу ответить на все комментарии. Видно, и для не-специалистов это не было таким уж бесполезным чтением. Спасибо за добрые слова.
Total votes 4: ↑4 and ↓0+4
поправьте последнее слово в фразе:
«То есть, upx опознал свой файл. Рапаковываем:»

и спасибо за статью, очень познавательно)
This comment wasn’t rated yet0
Держим репутацию статьи на 512 :))))))
Total votes 2: ↑1 and ↓10
Здравствуйте,

Домен reddii.org заблокирован.
Regards,
Estdomains, Inc

На этой оптимистичной ноте прощаемся с доменом. :-)
Total votes 2: ↑2 and ↓0+2
Спасибо за интересную статью, в свое время похожие статьи от Криса Касперски читал одну за другой)) Наверно непросто сделать такой маленький, но работающий лоадер.
This comment wasn’t rated yet0
Спасибо за статью.
Иногда я жалею, что пошел по пути программиста.
This comment wasn’t rated yet0
Спасибо.

Статьи про раздор вирусов отлично идут на хабре. И читать их интересно, не в обиду другим топикам. Сама тематика цепляет многих, программистов и далёких от этого людей.
This comment wasn’t rated yet0
Компания, в которой вы работаете, должна вами очень и очень гордиться.
Total votes 1: ↑1 and ↓0+1
Еще один повод отключить нафиг BITS и Windows Update. Система должна быть под контролем владельца (юзера, а не разработчика)
Total votes 1: ↑0 and ↓1-1
Заодно есть повод отключить нафиг IE, ведь можно точно так же через CoCreateInstance создать инстанс IE и им что-то скачать. А ещё можно отключить нафиг интернет, а то вдруг кто-то задумает обычный сокет открыть…
Total votes 2: ↑2 and ↓0+2
так же програмно можно и включить этот битс ;)
лодеры на битсе много шума понаделали…
This comment wasn’t rated yet0
Отличный интересный труд, спасибо вам. И достойно ноута, конечно
This comment wasn’t rated yet0
Не думал, что обыкновенная «лошадь» может быть так сложно устроена! Так что молодец тот, кто раскрутил весь этот клубок.
P.S. Хорошую систему Windows NT убили маркетологи! Статья действительно достойна ноутбука.
This comment wasn’t rated yet0
Спасибо за материал! Пишите чаще, пожалуйста=)
Total votes 3: ↑3 and ↓0+3
До прочтения статьи думал что я что — о знаю о программировании ибо работаю программером, но после прочтения статьи…
Автору огромное спасибо за положительные эмоции от прочтения, интересную тему и хорошее изложение!!! Побольше бы таких статей!!!
Total votes 1: ↑1 and ↓0+1
Поздравляю с победой! Отличная статья, побольше бы таких!
This comment wasn’t rated yet0
Мои поздравления :)
Ждём новых интересных обзоров!
This comment wasn’t rated yet0
UFO just landed and posted this here
В лучших традициях Криса Касперски, респект.
This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Show the best of all time
Change theme settings

Your account

Sections

Information

Services

Support
© 2006–2024, Habr