Вирусный анализ для начинающих — анализируем Virus.Win32.MTV

[L0NGMAN]

Торопитесь, скачайте и запустите! Ведь через несколько часов 13-ое число, к тому же пятница. Будет весело :) Если без шуток, он даже папку системы удаляет? То есть операционка позволяет?

[EvilsInterrupt]

>>Copyright 1989-2000 Borland Inc. Borland C++ run-time library», определяющая язык и версию компилятора
Это признак, а не окончательный вердикт. Компиллер следует определять по нескольким признакам, один из которых это строение точки входа на который хоть как-то можно полагаться.

[LMaster]

Нормальные протекторы умеют подделывать точки входа под любой распространённый компилятор.

[EvilsInterrupt]

Так ктоже спорит-то? Сам подделываю успешно. Именно поэтому я написал слова «хоть как-то можно полагаться.», которые вы почему-то проморгали ;)

[MARDEN]

PeID вполне неплохо определяет компилятор.

[EvilsInterrupt]

Так вы внимательней присмотритесь к реализации PeID? Далеко не по строчке!!!

[MARDEN]

Само собой не по строчке, а по сигнатуре. Также есть несколько режимов сканирования. Хотя мне проще по entrypoint и таблице импорта определять.

[agorlov]

какой отладчик на скриншотах?

[EvilsInterrupt]

На скриншотах OllyDbg-like или сама олька. Однако я бы не советовал. Не смотря на то что юзер-фрэндли тем не менее он нацелен только на user-mode. Рекомендую сразу же учиться юзать WinDBG, по одной простой причине: ему нет равных на Windows-системах. С тех пор как умер проект SoftIce никто так и не осилил написать хоть сколь-нибудь серьезный дебагер. Хотя есть достойная попытка Syser, но ему ой как далеко до WinDBG. Если решите прислушаться к моему совету, то рекомендую сразу смотреть в сторону Pykd это плагин для WinDBG позволяющий скриптовать на Python. А он сейчас встроен во многие Research-утиллиты, к примеру IDA pro, Hiew

[felize]

для юзер мода олли идеально справляется со своими задачами. все таки трудновато в windbg снимать слои упаковщиков и плагинная система хромает

[EvilsInterrupt]

Ну я бы лучше для юзер-мода заюзал IDA Pro, дебагер сейчас там не хуже. А вот возможностей полезных по-более!

[BasilioCat]

Насчет WinDBG не скажу, но после SoftICE использовать Syser — как бальзам на душу. По крайней мере интерфейс и команды не вызывают отторжения.

[EvilsInterrupt]

Мне WinDBG не нравится тем что он ни в одном глазу не юзабельный. А вот Syser много раз уводил в синий экран мою машину ( Поэтому команды командами, но функционал должен быть стабильным!

[Nostr]

IDA pro наиболее юзерфрендли из них всех.
К тому же под нее множество плагинов, которые иногда позволяют весьма упростить процесс работы

[Promix17]

OllyDBG, версию не помню…

[MARDEN]

С вероятностью 99,9% — версия 1.10 :)

[felize]

ах, вернуть бы те времена когда почти вся малварь была чистая, без крипторов

[EvilsInterrupt]

Да малварь сейчас не особо сложно пакуется, иногда даже Hiew-скрипта хватает для распаковки. Редко какая тварь серьезно пакуется. Цели-то не от реверсера спрятаться, а от продукта!

[felize]

ага. бряк на ZwWriteVirtualMemory/ZwAllocateVirtualMemory и весь криптор снят

[MARDEN]

Странно, разве малварь-мейкеры не используют крипторы для скрытия от глаз антивирусов?
Помнится, год назад execryptor и тому подобные тулзы прекрасно защищали старые вирусы от детекта касперского.

[Aux]

Простая рекомпиляция с другими флагами собьёт любой антивирь с пути истинного, а эвристику так вообще обманывать проще простого.

[felize]

ээ, не скажите. манипуляция с флагами наоборот добавляет коэффициент к детекту. взять хотя бы авиру, идеальный pe чекер. привязывается к именам секций, порядку импортируемых функций, etc

[LMaster]

OllyDbg без подсветки синтаксиса… Мои глаза!

[Jodes]

А как же олдфажество и написание программного кода в блокноте?

[Int_13h]

>Я совершенно не могу понять для какой цели данный вирус, вообще, предназначен? Все-таки за 10 лет вредоносное ПО сделало большой шаг в своём развитии.

В те времена вирусы писали ради лулзов, а сейчас ради денег.

[MARDEN]

Согласен. Сейчас забавно наблюдать вирусы по 300-500кб =)

[EvilsInterrupt]

Меня из древности очень прикалывает Virus.Win32.Crypto на сайте 29a его сорец на асме. Там фичи:
1) Многослойная шифровка, 64 слоя
2) Ключ дешифровки на основе брутфорса некоторого участка
3) Достаточно богатый кодовая база

[Int_13h]

Интересный сайт, пойду полистаю.

[felize]

мне по душе win32.metaphor