Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 53
и зачем столько рекламы касперского?
Ну, если Вы посмотрите другие мои статьи, то увидите, что я отнюдь не рекламирую Касперского. Даже скорее наоборот :)
Просто если в чём-то они преуспели — то тут грех не сказать. При любом отношении к ЛК надо быть объективным.
Просто если в чём-то они преуспели — то тут грех не сказать. При любом отношении к ЛК надо быть объективным.
Наверное, это справедливо, да.
Просто мне в последнее время все больше и больше не нравится их политика и грязноватое поведение (вспомните историю с viruslist, уж не знаю как было раньше, но сейчас там касперский на первом месте в списке рекомендуемых антивирусов, это наталкивает на размышления). Отсюда предвзятость и возмущение столькими упоминаниями лк в посте.
Просто мне в последнее время все больше и больше не нравится их политика и грязноватое поведение (вспомните историю с viruslist, уж не знаю как было раньше, но сейчас там касперский на первом месте в списке рекомендуемых антивирусов, это наталкивает на размышления). Отсюда предвзятость и возмущение столькими упоминаниями лк в посте.
Sality.Nau самый интересный и тяжелый вирь с которым я когда либо боролся.
Месяца два изгонял его из сети. Но не каспером его точно удалось таки побороть. Находить то находил, но лечить не мог… и сканить 10 териков снова приходилось ))
У доктора он обозначался Sector17 и тоже не вылечил никак. Авира решила проблему и по сей день выручает )
Месяца два изгонял его из сети. Но не каспером его точно удалось таки побороть. Находить то находил, но лечить не мог… и сканить 10 териков снова приходилось ))
У доктора он обозначался Sector17 и тоже не вылечил никак. Авира решила проблему и по сей день выручает )
>Таким образом, становится ещё труднее определить, какой код служит для расшифровки вирусной составляющей, а какой — обычный >мусор, какие регистры содержать важную информацию, а какие просто запутывают дизассемблирование. Это предъявляет более серьёзные >требования к антивирусным программам.
хм, на вирустотале детектируют все нормальные антивирусы и даже всякие малопонятные типа nprotect и emsisoft, только symantec лажается, но он что-то меня давно не радует…
хм, на вирустотале детектируют все нормальные антивирусы и даже всякие малопонятные типа nprotect и emsisoft, только symantec лажается, но он что-то меня давно не радует…
Думаю, теперь пойдет-поедет… И SSE гаденыши юзать начнут.
когда там первые процессоры с поддержкой MMX появились? В 1996 или 1997 году, напомните? И вообще, где ADM64 версия вируса?
Он там будет выполняться просто как любая программа под х86. Специфично-заточенных на ADM64 ждать вряд ли придётся — потеряется рынок Intel-based.
Хм… советовал бы матчасть подучить. Для начала найти разницу между EMT64,AMD64,x86-64,x64, а потом вспомнить про совместимость ABI, длину указателей и тому подобное.
Скиньте мне в ПМ Вашу электронную почту, я Вам направлю сэмпл, Вы его запустите на тестовой системе под ADM64, а потом поговорим про матчасть :) Если, конечно, есть возможность потестить и систему потом поднять с посекторного бэкапа — сэмпл действительно очень вирулентен.
Хотите сказать, что он сможет внедрится в код 64 битной библиотеки?
Нет, я этого не говорил. Хотите сказать, что в Вашей системе исключительно х64-файлы? ;) И ни одного usermode в х32?
С большим интересом жду вирусов, которые будут перепрограммировать IO-MMU/MMU для скрытия своих страниц. В принципе, такой микрогипервизор позволит реально спрятать код от операционной системы и железа.
MMX
Мама моя дорогая, я уже думал, что никогда не услышу эти сочетания букв, когда-то имеющие очень больше значение
Мама моя дорогая, я уже думал, что никогда не услышу эти сочетания букв, когда-то имеющие очень больше значение
вирусы этого семейства являются одними из наиболее технологичных и распространённых файловых вирусов, поражающих компьютеры пользователей Windows.
«Поражающих» — в смысле «удивляющих» (своей технологичностью :)
Что такое «файловый» вирус?
Вредоносная программа, заражающая другие файлы (в данном случае — исполняемые) с целью собственного распространения.
кстати да, если ух он весь такой технологичный, то почему не разобрать по косточкам, хотябы ту же систему внедрения в исполняемые файлы, ведь чтобы код внедрить в EXE, чтоб не бросался в глаза, нужно ещё попотеть (хотябы секцию text расширить и таблицу импорта отсортировать в зависимости от гениратора оригинального EXE, ещё чексумы поправить, адреса и тд). думаю вышла бы познавательная статья
По джойнерам есть масса литературы. Таких вирусов куча — на данный момент наиболее интересны Virut и Sality. Тут на самом деле ничего сложного — интересен троянский механизм и противодействие антивирусам. Ах да — у Вирута ещё интересно, что он html заражает (по типу iframe).
да я знаю что много инфы, просто в топике сказано «вирусы этого семейства являются одними из наиболее технологичных», но описан только использование MMX для полиморфизма… в этом вся технологичность? кстати я бы от линка на бинарник не отказался…
Скорее всего это очередной сторонний криптор, даже отношения не имеющий к sality.
При чём здесь криптор? Это — файловый вирус, он «присоединяется» ко всем исполняемым файлом — он не криптуется. Вы немного перепутали.
Хотя аналогия некоторая есть — фактически расшифровывается, но только код вируса. Код исходного файла остаётся нетронутым — и в этом отличие от обычных протов/крипторов.
Хотя аналогия некоторая есть — фактически расшифровывается, но только код вируса. Код исходного файла остаётся нетронутым — и в этом отличие от обычных протов/крипторов.
Если он распаковывает исходный бинарник, а с sse инструкциями и метаморфный
Win32.Legacy вышел в 2000 году и тоже использовал MMX для расшифровки.
Мало того, если погуглить «MMX polymorphic», без труда находится целая серия таких движков. Навскидку
Prizzy Polymorphic Engine — Jul 1999
MMXE 1.01 by Billy Belcebu / Spain — September 1999
Мало того, если погуглить «MMX polymorphic», без труда находится целая серия таких движков. Навскидку
Prizzy Polymorphic Engine — Jul 1999
MMXE 1.01 by Billy Belcebu / Spain — September 1999
Мне нравится информация о нем на securelist.com
www.securelist.com/ru/descriptions/15312802/Virus.Win32.Sality.bh
Время детекта многим позже времени выпуска обновления баз — это результат синергии эвристики с экстрасенсорикой, получается?
www.securelist.com/ru/descriptions/15312802/Virus.Win32.Sality.bh
Время детекта многим позже времени выпуска обновления баз — это результат синергии эвристики с экстрасенсорикой, получается?
идея использования расширенных инструкций процессора для обхода антивирусных эмуляторов далеко не нова. еще лет 7 назад про это читал.
Автор, замените «функционал» на «функциональность».
ru.wikipedia.org/wiki/%D0%A4%D1%83%D0%BD%D0%BA%D1%86%D0%B8%D0%BE%D0%BD%D0%B0%D0%BB
ru.wikipedia.org/wiki/%D0%A4%D1%83%D0%BD%D0%BA%D1%86%D0%B8%D0%BE%D0%BD%D0%B0%D0%BB
там же: ru.wikipedia.org/wiki/Функционал_%28значения%29
> синоним слова Функциональность
> синоним слова Функциональность
Что-то я не понял. И что тут такого нового? Еще в конце 2007 года крипторы уже использовали MMX инструкции такие как CVTPI2PS для обхода антивирусный эмуляторов, чтобы скрыть расшифровку кода. Далее начали юзать вообще SSE.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Новый файловый вирус с инструкциями ММХ