Мал, да удал: Trojan-Downloader.Win32.Tiny

[aleks_raiden]

вау, отличный материал, спасибо, с удовольствием прочитал!

[Fanta]

спасибо за старания.
прочитал на одном дыхании!

[CrazyCoder]

Спасибо, хорошая статья, понравилось. Стало интересно, а зачем все эти сложности, если в итоге и сам «большой конь» и «жеребец» и, тем более, «бяка» на данный момент успешно определяются антивирусами? Чтобы затруднить анализ разработчикам антивирусов? Видимо, не очень сильно помогло.

[Regis]

Защита от эвристик. Гарантирует высокую скорость распространения до того, как сигнатуры трояна попадут в антивирусные базы и эти базы попадут к пользователям.

[al_one]

Детектив (во всех смыслах) :)

[lasthero]

Красивый слог, вам не только аналитиком можно работать.

[dea]

великолепно, ждем продолжения про подробности того, что делает большой троянский конь

[nchaly]

ээ… какой такой макбук?

[garvarg]

А ведь угадали!

[Saenco]

А чего тут угадывать, материал достаточно хороший.
Думаю многим было интересно почитать

[Brutt]

Напророчил :)

[sosedoff]

маньяк

[zabr]

супер!!! :)

[GreenAngel]

xanalysis.blogspot.com/ ;-)

[nchaly]

добавил в текст

[onthefly]

Блестящий материал! После прочтения вашей статьи складывается впечатление, что, казалось бы, в профильные журналы «Хакер» и «Спец» статьи пишут старшеклассники.

[ni4]

Ммм… Статья замечательная, но про авторство статей в «Хакере» такие мысли и без этой статьи появлялись :)

[Mokkey]

Вы никогда не пробовали писать статьи в «Хакер»? Зря. Заодно получите подтверждение своего впечатления :)

[onthefly]

Вы хотите сказать, что я получу подтверждение того, что сам являюсь старшеклассником? :-)

[nchaly]

с чего вы решили, что переведена?

[nchaly]

имеется ввиду, что эта статья — перевод предложения

«When executed, the malware creates %Temp%\LOADER.19B099.EXE and uses the BITS (Background Intelligent Transfer Service) to download filebyaka.exe and exe.php from the Chinese hosted site reddii.org (220.196.42.217).»?

Ну-ну :)

[PlanetsDrawing]

Отнюдь :)
Просто формат журнала вряд ли позволяет ТАК подробно описывать отлов одного вируса.

[onthefly]

Формат журнала позволяет! Только, видать, нет желающих писать на такие темы. Если кто хочет опубликоваться — могу дать нужную аську, куда следует обращаться со статьями.

[rsivakov]

Прекрасно написано!
Перечитал все ваши статьи, узнал для себя много нового, немного вспомнил.
Ну и чуть понастальгировал по времени, когда сам штудировал книжки П. Нортона по асму, вирусную аналитику Д. Н. Лозинского и др.
Вообщем спасибо за материал.

[MAnt]

Нехрена не понял, но круто!

[Koshachiysup]

Я ничего в этом не понимаю:), но мне интересно, что конкретно делает этот вирус (filebyaka.exe), т.е. именно последствия, а что что-то не нашел этого.

[CrazyCoder]

Немного выше дали ссылку на анализ действий «бяки». Если коротко, то выводит предупреждение о вирусе, заставляя пользователя скачать и установить некий продукт «Antivirus XP 2008», который на самом деле не настоящий антивирус. После установки этот фейковый антивирус имитирует полезную деятельность и выдает отчеты о якобы найденных вирусах, убеждая пользователя купить полную версию себя.

[Mokkey]

И?.. Просвятите тех, кто далёк от этой темы, пожалуйста (статьи отличные, но как писали выше «Круто, но не очень понятно» :) ). Предлагает он купить более полную версию себя — и что? В итоге что-то покупается (т.е. это преступление, чтобы заставить пользователя купить чей-то продукт) или нам продают в итоге комплект «Все трояны на одном диске — активируй и радуйся».

Что в итоге-то? Какой результат реального ущерба? Или это такой «маркетинг», в попытке заставить купить какой-то продукт?

Спасибо за пояснения…

[nchaly]

это простое вымогательство. Этот «антивирус» в жестких угрожающих формах говорит о том, что компьютер якобы заражен. Пользователь пугается, платит деньги… и ничего. Компьютер как был чистым, так и остается. «Антивирус» просто говорит, что все ок.

[vilgeforce]

Не все так просто. Эти FakeAlert'ы довольно убедительно показывают, что вирусы есть — анноящая реклама и порнуха в браузерах — это цветочки. Некоторые звери вместе с ложными антивирусами еще и пяток настоящик троянов качают :-)

[nchaly]

ничего себе. Я как-то ковырял «папу» этого антивируса — MS Antivirus, но ничего такого не нашел…

Кстати, даже касперского подделывают уже — www.viruslist.com/ru/weblog? weblogid=207758727

[vilgeforce]

Есть семейство Vapsup (у M$ и Каспера, каежется), характерно полной неупакованностью, но очень характерным шифрованием строк. По ключу шифрования и можно установить, что несколько файлов из одной связки. Там среди компонентов есть и Downloader, он качает фэйковый антивирус и еще 4-5 файлов. Точнее, даже не сам антивирус, а прогу, которая говорит «вы заражены, лекарство тут».

[Mokkey]

Тогда у меня интересное предположение… В подобных статьях (безусловно, отличных статьях!) мы имеем разложенный по полочкам, с комментариями код вполне себе работающего трояна. Что дальше мешает более-менее понимающему человеку (не мне, блондинке от программирования) чуть скорректировать код, что бы пошло обращение не к «файлу-бяке» fake-антивируса, а на что-нибудь более вредоносное — и разослать? Тем более, что комплект файлов мы тоже имеем…

Как бы «обратная сторона медали» получается.

[nchaly]

да, но… понимающий человек может это спокойно сделать и без этой статьи.

[Mokkey]

P.S. Данный комментарий прошу рассматривать исключительно как пространное рассуждение о теоретических возможностях, не носящий своей цель отбрасывать какого-либо рода негативную тень на подобные статьи и их Авторов.

[imps]

долго смеялся :) но ни над текстом ни над автором :) этот «продукт» вендор биллинга одной известной мне компании, к сожалению я договор подписывал, скажу только, что судя по их продажам, многие ведутся на такие попапы.

Я не говорю про СНГ, большей частью восточная европа и конечно же США.

[egorinsk]

Жаль, что на западе с этой компанией не борются, так как это явно должно подпадать под какую-то статью. Хороших хакеров ловят, а мошенников никто не трогает((

[imps]

такая уж у мошенников судьба, всегда за спиной есть чей то дядя в налоговой, или чей то тётя в МРЕО и так далее, и так далее… увы :(

[ItGold]

Грациозное вальсирование по острию бритвы.

[lordofwinds]

Сэр, Вы Шерлок :)
или маг

я догадываюсь, что все куда проще — но как приятно и интересно читать!

Спасибо!

[amonra]

Лоадеры, которые качают через BITS — это поделки 2005-2006 года. Сейчас внедрение в BITS ловят почти все антивири.
Лучше всего сделать обзор лоадеров, которые работают через драйвер… Это куда более сложные звери…

[nchaly]

мне пока не попадались. Хотя я занимаюсь вирусами в свободное время, и не могу быть особым авторитетом. Если есть сэмплы таких зверей — давайте, с удовольствием поковыряю.

[AHTOLLlKA]

ну надо учитывать тот факт что БИТС может и работать (может!!! не проверял) под не привилегированной учетной записи… а драйвер под такой учеткой ты не воткнешь =\

[amonra]

Драйвер, если его удалось поставить, может работать на ring0 — это уровень самого антивируса или даже ниже, а вот BITS мониторится на раз сейчас и не важно, какая у него учётная запись.

[AHTOLLlKA]

>ring0 — это уровень самого антивируса
эм… не так конечно…
не все АВ вообще в r0 работают ;)

да и в ринг0 можно без драйверов пролесть ;))

[megadoizer]

Автор молодца! узнал много интересного… спасибо…

[nonname]

Спасибо за материал, боролся я с этой «бякой» на 10 машинах, не применяя антивируса, победить было не просто.

[dfitiskin]

отличный материал, читал как современный детектив, так как сам никогда за такое не возьмусь, но уж очень интересно :)

[scrat]

Хабракат.

Можно в блог по асму опубликовать :)

[KRen]

Вот это действительно нормальный топик, развернуто и не затянуто.
+ вам однозначно.

[mgl]

Потрясающий детектив!

[rgaliull]

не знаю ассемблера. почти все утилиты мне незнакомы. никогда не занимался изучением вирусов и прочих «бяк», но автор дал материал так что мне показалось что я кое-что понял. Реально, если бы каждый гик-специалист умел так излагать мысли мнение людей о хакерах могло бы поменять в лучшую сторону.
П.С. хакер это просто специалист, а не специалист-злоумышленник, как нам пытаются объяснить в фильмах

[rgaliull]

s/поменять/поменяться
запятых не хватает. Утро.

[deerua]

use condoms ;)
Затягивает ;) Автор вы молодец!

[Timon]

Крис Касперски, это ты? :)

[nchaly]

Нет. К сожалению, или может быть, к счастью? )

[debugger88]

Именно за такие статьи я полюбил Хабр. Автору огромное спасибо!

[nchaly]

и хабру спасибо тоже, и вам

[enjoy]

Отличная статья!
На хабре относительно недавно, это первый материал где вчитывался буквально в каждую букву, силясь понять, хотя в этом нифига не разбираюсь )

[d1gital_love]

По-моему, это ноутбук!

[rossiysky]

Спасибо за материал.

[altblog]

Автор, я очень надеюсь, что это не последний твомй топик, и ты еще порадуешь нас такии же великолепными статьями.

[kulikoff]

Почти ничего толком не понял, но было очень интересно, правда :)

[rukeba]

браво!

[centolla]

… продолжать в таком же духе!!!

[SkyEagle]

побольше бы таких детективчиков!

[alexrush]

читал — «детство» вспоминал… так захотелась опять поковыряться в IDA/WinDasm/WinHex ;)

[t0nik]

Великолепно. Спасибо большое.
2ФППХ: макбук автору

[Mokkey]

Практически ощутил себя «дизайнером-блондинкой» :) НО! Большое спасибо Автору за материал — изложенно всё настолько популярно, что даже не понимая некоторых технических моментов общая суть стала понятна. Спасибо, это было очень интересно!

[mumia]

а что делает сам вирус (файлобяка)?
как всегда шикарная статья)

[sunnybear]

спасибо, очень интересно читать (хотя, честно говоря, понимаю очень мало :).

Я бы порекомендовал (для привлечения похожих на меня читателей) проверять текст где-нибудь на орфографию (использование gawk/python наряду с win32 немного пугает, поэтому даже не могу предположить, какая ОС используется). + рисовать простые блок-схемы. Дизассемблированный код говорит крайне мало, два-пять блоков со стрелочками лично мне было бы понятнее.

[vilgeforce]

Простые блок-схемы скрывают все нюансы! На асме одно и тоже можно написать десятком, если не больше, способов, поэтому блок-схемы сокроют внутри всякие интересные вкусности.

[sunnybear]

может быть, тогда стоит их добавить, как альтернативу? Статья от этого только выиграет

[nchaly]

gawk для win32 — берется из cygwin'а. А питон (как и большинство открытых проектов) есть и под windows. Open Source != Linux :)

[aibooster]

Видно, что читать надо, но наверное вечером, а то с утра мозги закипять — хоть пакетик во рту заваривай :)

[Enfield]

Большое спасибо за шикарную статью. Очень интересно и позновательно.

[DaemonI]

Вы отличный реверсер. Спасибо за интересный материал :)

[vilgeforce]

Не зря наши великие умы Trojan.Packed делали! :-)

Кстати, по поводу UPX. Приведенная картинка с блок-схемой программы (которая первая) выдает UPX сразу: куча каких-то переходов, но в конце — обязательно «красный» на адрес до точки входа. Довольно часто попадается модифицированный UPX, который upx -d не возьмет, приходится ручками: ставится бряк на этот «красный» переход и дальше один шаг пройти :-)

Для снятия дампов есть прекрасная примочка к Olly — OllyDump, рекомендую. Баги, правда, тоже есть :-)
По ссылочке сейчас файлег скачаю, посмотрю что там и как :-)

Спасибо за интересную статью ;-)

[nchaly]

Какие люди)

Ну, как говориться, век живи, век учись. — про upx.

Про OllyDump знаю, но как-то не срослось у меня пока с olly. windbg для меня почему-то удобнее.

[vilgeforce]

windbg имеет огромный плюс — может показывать поля структур, ну и ядреные драйвера отлаживать им можно, Olly только юзермодные модули берет, да и то иногда помучаться надо.

[habracut]

Я прошел-таки по зловещему адресу, оказалось там ничего нет, как собственно и целого сайта reddii.org.

Проверил WHOIS: сразу бросилась в глаза запись Last Updated On:10-Sep-2008 00:21:26 UTC.
Они заподозрили неладное уже спустя час после написания статьи и спешительно скрылись.

PS: Статья очень понравилась, очень вы лихо расправляетесь с заразой.

[kastaneda]

необычный хабраэффект :-)
перед автором статьи снимаю шляпу

[vooD]

Таааак… пошел учить матчасть…

[slipa]

ничо не понял, но читал с удовольствием, пасиб))

[Cosss]

Я нихрена не понял, но ты затронул мою душу.

[AHTOLLlKA]

Обожаю такова рода разборы троев… сам ковыряю по возможности…

[Cruach]

Отлично, спасибо!

[Alendos]

Шикарное исследование, очень интересно. Хорошо бы разбор какого-нибудь злостного вируса с самокопированием.

[tamaki]

/me ушел читать «Ассемблер для чайников».

[nchaly]

Я, к сожалению, физически не могу ответить на все комментарии. Видно, и для не-специалистов это не было таким уж бесполезным чтением. Спасибо за добрые слова.

[Spirit_Fenix]

поправьте последнее слово в фразе:
«То есть, upx опознал свой файл. Рапаковываем:»

и спасибо за статью, очень познавательно)

[l2k]

Держим репутацию статьи на 512 :))))))

[Coder]

Здравствуйте,

Домен reddii.org заблокирован.
Regards,
Estdomains, Inc

На этой оптимистичной ноте прощаемся с доменом. :-)

[egorinsk]

Спасибо за интересную статью, в свое время похожие статьи от Криса Касперски читал одну за другой)) Наверно непросто сделать такой маленький, но работающий лоадер.

[Alexus]

Спасибо за статью.
Иногда я жалею, что пошел по пути программиста.

[GogA]

Спасибо.

Статьи про раздор вирусов отлично идут на хабре. И читать их интересно, не в обиду другим топикам. Сама тематика цепляет многих, программистов и далёких от этого людей.

[donetss]

Компания, в которой вы работаете, должна вами очень и очень гордиться.

[VovixLDR]

Еще один повод отключить нафиг BITS и Windows Update. Система должна быть под контролем владельца (юзера, а не разработчика)

[Paul]

Заодно есть повод отключить нафиг IE, ведь можно точно так же через CoCreateInstance создать инстанс IE и им что-то скачать. А ещё можно отключить нафиг интернет, а то вдруг кто-то задумает обычный сокет открыть…

[AHTOLLlKA]

так же програмно можно и включить этот битс ;)
лодеры на битсе много шума понаделали…

[legezo]

Отличный интересный труд, спасибо вам. И достойно ноута, конечно

[Mercury13]

Не думал, что обыкновенная «лошадь» может быть так сложно устроена! Так что молодец тот, кто раскрутил весь этот клубок.
P.S. Хорошую систему Windows NT убили маркетологи! Статья действительно достойна ноутбука.

[iwanboyko]

Спасибо за материал! Пишите чаще, пожалуйста=)

[darked]

До прочтения статьи думал что я что — о знаю о программировании ибо работаю программером, но после прочтения статьи…
Автору огромное спасибо за положительные эмоции от прочтения, интересную тему и хорошее изложение!!! Побольше бы таких статей!!!

[halkfild]

с победой!

[plagi]

Поздравляю с победой! Отличная статья, побольше бы таких!

[DarkPhoenix]

Вы прямо как доктор Хаус :)

[strk]

Мои поздравления :)
Ждём новых интересных обзоров!

[j2a]

В лучших традициях Криса Касперски, респект.