Вирус в «Одноклассниках»

[odessky]

Только один вопрос
Почему не сработала антивирусная защита?

[vilgeforce]

У кого? :-)
Я не знаю какой именно антивирус не сработал, да и проблемой детектирования я мало занимаюсь. Я - вирусный аналитик всего-лишь.
Возможные варианты - не было сигнатур для вируса, не сработал поведенческий фильтр... Но это только догадки.

[MiniM]

По идее, инжект в svchost должен был вызвать реакцию антивируса.

[vilgeforce]

Несомненно! Но вот пропустил. Да и запуск другого процесса неплохо было бы отсекать.

[VanDamM]

Avast! 4.8 Home Edition без вероятностей сразу говорит о Win32:JunkPoly[Cryp]

[Grol]

мега круто.

[vilgeforce]

Честно говоря, подобного рода "поделия" встречаются каждый день. Из интересных моментов здесь - только прием шифрованных данных, различных для каждой сессии. Остальное - ничего интересного. Честно :-)

[arestov]

да это он про вас)

[Grol]

вот вот.
Подобных статей еще не читал.
будет очень интересно следить за развитием сюжета.

[vilgeforce]

Подобного рода статьи тут иногда проскакивают, но мало.

[westfild]

Можно к бабке было не ходить, что бы понять, что грузят лоадер. Исходя из ванего описания - скорее всего резидентный. Так что все, кто зашёл на этот линк из осла потенциально превратились в бота. Даже убив подруженного троя, можно оставаться жертвой и стабильно получать новых троев к себе на машину.

[vilgeforce]

Могли грузить и бэкдор, и спамбота... Но почему-то решили такой многоступенчатый механизм юзать.

[westfild]

Такой механизм юзают почти все "злыдни" по причине того, что проще загрузить через сплоит 5кб кода, чем 100кб. И второй момент - потом можно постоянно подгружать новые трои.

[Skyneon]

Хорошо когда свой firewall фильтрует почта-электро-ссылки, у мну ZoneAlarm маме такой аттеншон закатал что аж я её изумление увидел =)

[vilgeforce]

Файрволл - оно хорошо. Но эффективность сильно зависит от настроек. Подавляющее большинство из всей заразы что я видел, грузилось по 80-му порту. Опять-таки, если троян нацелен на противодействие файрволлу, то файрволл не поможет... Много всяких тонкостей есть.

[Skyneon]

Простите а для чего по вашему мнению существует firewall ? По моему личному и неличному мнению, как раз для того что бы предотварщать ататки из сети, причем без разницы в какой форме, для этого же и существуют правила и фильтры, каким бы ни был троян, правило/фильтр можно настроить под потребности, в данном случе настроенно правило приема/отсылки запросов, но не как не приема каких либо файлов без уведомления пользователя - под средством скриптов.

[vilgeforce]

Никогда не настраивал файрволл серьезно. Максимум перекрывал порты и мне всегда было интересно: сможет ли файрволл отслеживать скачивание EXE-файлов из браузера? И как, например, на вашем файрволле настроены правила для svchost?

[Skyneon]

Если есть интеграция с браузером - сможет, правда на прктике не видел, сдесь просто правило стандартных запросов прописано, все что левое - отсекать
Что касается svhost тут нужно упомянуть два момента - а) правила для люблго сервиса и приложения "до свидание" кроме тех кого я прописал и настроил
б) слежка памяти, недопуск к инжектам.

[Baf]

если бы всё было так хорошо — не было бы всё так плохо!

[khizhaster]

> Простите а для чего по вашему мнению существует firewall
Простите, а для чего, по вашему мнению, существую десятки методов обхода фаерволов?

[vilgeforce]

Да черт с ним, с обходом. Если троян содержит функции противостояния конкретному файрволлу (или антивирусу) и он смог запустится - эти защитные программы уже не спасут. Их либо выключат, либо покорежат, либо будут управлять их работой.

[neiromancer]

файрволл - это межсетовой экран, работает на уровне IP, портов, протоколов, байт/сек etc, и ему ультрафиолетово, что там выше по модели OSI происходит, а вот система обнаружения вторжения (IDS) как раз и отвечает за детектирование "ненормальной" работы системы, в соответствие с заранее настроенными правилами. И одно к другому может не иметь никакого отношения. Но виндовс-пользователи часто путают эти два понятия, т.к. во покупаемых ими ПО это всё намешано в кучу...

[danka]

сегодня только экзамен сдавала :)
в общем случае, файрвол, он же МЭ может работать на любом уровне стека TCP/IP, зависит от класса :)

[Murlakatam]

Расскажите на досуге про инфернальными мир сетевого взаимодействие на уровне байт/сек. ?

[hellt]

на тему вирусной аналитики всегда интересно читать.
Автор, ждем новых постов.

PS. какой антивирус не засек инжект в svchost?

[vilgeforce]

Будут, будут новые :-)
Насчет "не засек" - это не ко мне, у меня на виртуальных машинах вообще ничего защитного не стоит :-)

[maximax]

У меня Яндекс, кстати, эти письма аккуратно в Спам сложил...

[grokinn]

какие браузеры были уязвимы к сплойту? У меня знакомый зашел по такой ссылке 7-м ослом, обновленный касперский молчит и других признаков заражения нет.

[vilgeforce]

Увы, не знаю :-( Мне в руки попал конец цепочки, ни HTML-страницы, ни первого скачанного файла не было. А хост к тому времени уже лежал. Ищите по имени библиотеки, оно всегда одинаковое. Ну и CureIt эту заразу знает, сегодня добавляли с коллегами.

[azxc]

Сегодня утром получил похожее письмо, правда внешний вид был совершенно другим, чем вчерашние письма, да и url другой.
см скриншот.


если нужно, могу кинуть код скрипта, который запускается. причем, идет проверка на браузер и код посылается интернет эксплореру, всем остальным идет редирект на одноклассников.

[vilgeforce]

Да, это вторая волна. Утром, значит, пошло? Интересно... Сегодня около 18 по москве добавил записи для детектирования и этих файлов. А код проверьте на DrWeb-овском сайте, если не будет определен - присылайте.

[azxc]

утром получил (по EDT), а пришло оно на ящик ночью - около часа ночи, опять же GMT-4.
проверил html-ку. говорит, вирусов нет. куда присылать?

[vilgeforce]

Пришлите через форму на сайте DrWeb (укажите, что с одноклассников - больше шансов, что не пропустим). И на [e-mail] в архиве с паролем. Спасибо.

[azxc]

готово.

[kirilloid]

Обращаю внимание, что это не href ссылки, а ее текст.
В линке те же самые get-параметры, но домен: odnoklassniks.info

Лично получил 2 таких штуки, Яндех отправил их в спам.
Отключил Java, JS, открыл в FireFox 2, ничего интересного не увидел и забил.

[azxc]

у меня линк был на какой-то сервер с домэйнов .cn, а в firefoxе ничего и не происходит. происходит только когда http-agent - internet explorer.
DrWeb нашел там вот это: VBS.Psyme.552, после того как я им сабмитнул.

[Frosty]

vilgeforce, не могли бы вы высказать на правах оффтопика свое мнение относительно вирусной ситуации в сами_знаете_какой_ОС? Не из ехидства, а любопытства ради. (просто когда в топиках про уязвимости и вирусы windows всплывает название сами_знаете_какой_ОС, то на написавшего начинает литься дождь из минусов, в тяжелом случае даже в карму).

[azxc]

Общеизвестно, что в этой ОС нет вирусов. Вернее они есть, но пока водятся только в офисных документах. Большенство юзеров, в том числе и я сижу без антивируса, что немного напрягает. Ставить же антивирус от symantec или mcaffee как-то не хочется - помня с какими проблемами я сталкивался используя их продукты под Windows. Пока посижу, подожду что сделает Касперский - у него проскакивала альфа (бета) версия для X 10.4, но она не совсем работала под 10.5.
вообще без антивируса как-то не очень комфортно себя чувствуешь, зная что пока нет вирусов для ОС. А они появятся.

[vilgeforce]

Могу. За 5 месяцев непосредственной работы с вирусами, мне не попался ни один, расчитанный не только под венду. Или были, как верно замечено ниже, только для офисных пакетов. Но так как их было мало, я про них и не помню :-)

[kmmbvnr]

Уязвимости, руткиты, это все есть. Целенаправленная атака на комп вполне вероятно может завершится успехом. Но я не разу не слышал об хоть какой-нить эпидемии, когда вирус само распространяется используя скажем адресную книгу зараженного компьютера.

[none]

неплохой туториал для начинающих верусмейкеров

[vilgeforce]

Даже близко к туториалу не лежит :-) Приведенный кусок кода, в общем, бксполезен. А кто знает, как его применить - тому моя писанина - детский лепет. В сети полно исходных кодов троянов и вирусов, как и хороших руководств.

[none]

а мну понравилось (не сочтите меня за злобного изобретателя всякой пакости)

[AntiDot]

Большое спасибо! Очень интересна тема вирусной аналитики. Жаль, что знаний ничтожно мало (: Только на уровне avz и опыта работы сервисным инженером.
В дальнейшем хочу подучиться)

[vilgeforce]

Учиться никогда не поздно :-) Если интересно именно это направление - ассемблер и C крайне желательны. И практика, много практики...

[xsash]

насчет exploit`a, было дело.
вот расшифровка http://sash.cc/news/5-odnoklassniks.info.html

[vilgeforce]

Я такой код из второй рассылки добыл. Но не стал бы я такое выкладывать: дурак какой-нибудь использует, а умные и так все это знают. Кстати, чем расшифровывали?
Оффтопик: сайт почти нечитаем - приходится выделять текст чтобы хоть что-то прочитать. И ползет по ширине :-(

[xsash]

ручками расшифровывал, сплоит относительно старый, чтобы применить нужно еще суметь.

всмысле ползет? какой браузер? там на верху есть кнопочки )

[vilgeforce]

Там только половина старых, две уязвимости 2008 года. Кста, рекомендую для расшифровки Malzilla.
Браузер FF. Страница слишком широкая, на экран не помещается.

[xsash]

зачем браузер когда есть блокнот? ))

можешь кинуть скрин? [e-mail]

[vilgeforce]

Это не браузер, а специальная программа для расшифровки скриптов.
Скрин отправил