vilgeforce Jun 3 2008 at 15:50

Вирус в «Одноклассниках»

2 min

4.6K

Antivirus protection*

+57

Comments 53

odessky Jun 3 2008 at 16:06

Только один вопрос
Почему не сработала антивирусная защита?

vilgeforce Jun 3 2008 at 16:09

У кого? :-)
Я не знаю какой именно антивирус не сработал, да и проблемой детектирования я мало занимаюсь. Я - вирусный аналитик всего-лишь.
Возможные варианты - не было сигнатур для вируса, не сработал поведенческий фильтр... Но это только догадки.

MiniM Jun 3 2008 at 16:18

По идее, инжект в svchost должен был вызвать реакцию антивируса.

vilgeforce Jun 3 2008 at 16:23

Несомненно! Но вот пропустил. Да и запуск другого процесса неплохо было бы отсекать.

UFO just landed and posted this here

VanDamM Jun 3 2008 at 23:55

Avast! 4.8 Home Edition без вероятностей сразу говорит о Win32:JunkPoly[Cryp]

Grol Jun 3 2008 at 16:06

мега круто.

vilgeforce Jun 3 2008 at 16:10

Честно говоря, подобного рода "поделия" встречаются каждый день. Из интересных моментов здесь - только прием шифрованных данных, различных для каждой сессии. Остальное - ничего интересного. Честно :-)

arestov Jun 3 2008 at 16:12

да это он про вас)

Grol Jun 3 2008 at 16:21

вот вот.
Подобных статей еще не читал.
будет очень интересно следить за развитием сюжета.

vilgeforce Jun 3 2008 at 16:24

Подобного рода статьи тут иногда проскакивают, но мало.

westfild Jun 3 2008 at 16:10

Можно к бабке было не ходить, что бы понять, что грузят лоадер. Исходя из ванего описания - скорее всего резидентный. Так что все, кто зашёл на этот линк из осла потенциально превратились в бота. Даже убив подруженного троя, можно оставаться жертвой и стабильно получать новых троев к себе на машину.

vilgeforce Jun 3 2008 at 16:11

Могли грузить и бэкдор, и спамбота... Но почему-то решили такой многоступенчатый механизм юзать.

westfild Jun 3 2008 at 16:38

Такой механизм юзают почти все "злыдни" по причине того, что проще загрузить через сплоит 5кб кода, чем 100кб. И второй момент - потом можно постоянно подгружать новые трои.

Skyneon Jun 3 2008 at 17:48

Хорошо когда свой firewall фильтрует почта-электро-ссылки, у мну ZoneAlarm маме такой аттеншон закатал что аж я её изумление увидел =)

vilgeforce Jun 3 2008 at 17:50

Файрволл - оно хорошо. Но эффективность сильно зависит от настроек. Подавляющее большинство из всей заразы что я видел, грузилось по 80-му порту. Опять-таки, если троян нацелен на противодействие файрволлу, то файрволл не поможет... Много всяких тонкостей есть.

Skyneon Jun 3 2008 at 17:57

Простите а для чего по вашему мнению существует firewall ? По моему личному и неличному мнению, как раз для того что бы предотварщать ататки из сети, причем без разницы в какой форме, для этого же и существуют правила и фильтры, каким бы ни был троян, правило/фильтр можно настроить под потребности, в данном случе настроенно правило приема/отсылки запросов, но не как не приема каких либо файлов без уведомления пользователя - под средством скриптов.

-3

vilgeforce Jun 3 2008 at 18:00

Никогда не настраивал файрволл серьезно. Максимум перекрывал порты и мне всегда было интересно: сможет ли файрволл отслеживать скачивание EXE-файлов из браузера? И как, например, на вашем файрволле настроены правила для svchost?

Skyneon Jun 3 2008 at 18:05

Если есть интеграция с браузером - сможет, правда на прктике не видел, сдесь просто правило стандартных запросов прописано, все что левое - отсекать
Что касается svhost тут нужно упомянуть два момента - а) правила для люблго сервиса и приложения "до свидание" кроме тех кого я прописал и настроил
б) слежка памяти, недопуск к инжектам.

-1

UFO just landed and posted this here

Baf Oct 10 2008 at 13:16

если бы всё было так хорошо — не было бы всё так плохо!

khizhaster Jun 3 2008 at 19:14

> Простите а для чего по вашему мнению существует firewall
Простите, а для чего, по вашему мнению, существую десятки методов обхода фаерволов?

vilgeforce Jun 3 2008 at 20:41

Да черт с ним, с обходом. Если троян содержит функции противостояния конкретному файрволлу (или антивирусу) и он смог запустится - эти защитные программы уже не спасут. Их либо выключат, либо покорежат, либо будут управлять их работой.

neiromancer Jun 3 2008 at 21:16

файрволл - это межсетовой экран, работает на уровне IP, портов, протоколов, байт/сек etc, и ему ультрафиолетово, что там выше по модели OSI происходит, а вот система обнаружения вторжения (IDS) как раз и отвечает за детектирование "ненормальной" работы системы, в соответствие с заранее настроенными правилами. И одно к другому может не иметь никакого отношения. Но виндовс-пользователи часто путают эти два понятия, т.к. во покупаемых ими ПО это всё намешано в кучу...

danka Jun 3 2008 at 22:09

сегодня только экзамен сдавала :)
в общем случае, файрвол, он же МЭ может работать на любом уровне стека TCP/IP, зависит от класса :)

Murlakatam Jun 4 2008 at 00:20

Расскажите на досуге про инфернальными мир сетевого взаимодействие на уровне байт/сек. ?

hellt Jun 3 2008 at 18:01

на тему вирусной аналитики всегда интересно читать.
Автор, ждем новых постов.

PS. какой антивирус не засек инжект в svchost?

vilgeforce Jun 3 2008 at 18:06

Будут, будут новые :-)
Насчет "не засек" - это не ко мне, у меня на виртуальных машинах вообще ничего защитного не стоит :-)

maximax Jun 3 2008 at 18:09

У меня Яндекс, кстати, эти письма аккуратно в Спам сложил...

grokinn Jun 3 2008 at 19:17

какие браузеры были уязвимы к сплойту? У меня знакомый зашел по такой ссылке 7-м ослом, обновленный касперский молчит и других признаков заражения нет.

vilgeforce Jun 3 2008 at 19:21

Увы, не знаю :-( Мне в руки попал конец цепочки, ни HTML-страницы, ни первого скачанного файла не было. А хост к тому времени уже лежал. Ищите по имени библиотеки, оно всегда одинаковое. Ну и CureIt эту заразу знает, сегодня добавляли с коллегами.

azxc Jun 3 2008 at 19:37

Сегодня утром получил похожее письмо, правда внешний вид был совершенно другим, чем вчерашние письма, да и url другой.
см скриншот.

если нужно, могу кинуть код скрипта, который запускается. причем, идет проверка на браузер и код посылается интернет эксплореру, всем остальным идет редирект на одноклассников.

vilgeforce Jun 3 2008 at 20:37

Да, это вторая волна. Утром, значит, пошло? Интересно... Сегодня около 18 по москве добавил записи для детектирования и этих файлов. А код проверьте на DrWeb-овском сайте, если не будет определен - присылайте.

azxc Jun 3 2008 at 20:45

утром получил (по EDT), а пришло оно на ящик ночью - около часа ночи, опять же GMT-4.
проверил html-ку. говорит, вирусов нет. куда присылать?

vilgeforce Jun 3 2008 at 20:47

Пришлите через форму на сайте DrWeb (укажите, что с одноклассников - больше шансов, что не пропустим). И на vilgeforce@gmail.com в архиве с паролем. Спасибо.

azxc Jun 3 2008 at 20:55

готово.

kirilloid Jun 4 2008 at 20:46

Обращаю внимание, что это не href ссылки, а ее текст.
В линке те же самые get-параметры, но домен: odnoklassniks.info

Лично получил 2 таких штуки, Яндех отправил их в спам.
Отключил Java, JS, открыл в FireFox 2, ничего интересного не увидел и забил.

azxc Jun 4 2008 at 20:59

у меня линк был на какой-то сервер с домэйнов .cn, а в firefoxе ничего и не происходит. происходит только когда http-agent - internet explorer.
DrWeb нашел там вот это: VBS.Psyme.552, после того как я им сабмитнул.

Frosty Jun 3 2008 at 19:41

vilgeforce, не могли бы вы высказать на правах оффтопика свое мнение относительно вирусной ситуации в сами_знаете_какой_ОС? Не из ехидства, а любопытства ради. (просто когда в топиках про уязвимости и вирусы windows всплывает название сами_знаете_какой_ОС, то на написавшего начинает литься дождь из минусов, в тяжелом случае даже в карму).

azxc Jun 3 2008 at 20:09

Общеизвестно, что в этой ОС нет вирусов. Вернее они есть, но пока водятся только в офисных документах. Большенство юзеров, в том числе и я сижу без антивируса, что немного напрягает. Ставить же антивирус от symantec или mcaffee как-то не хочется - помня с какими проблемами я сталкивался используя их продукты под Windows. Пока посижу, подожду что сделает Касперский - у него проскакивала альфа (бета) версия для X 10.4, но она не совсем работала под 10.5.
вообще без антивируса как-то не очень комфортно себя чувствуешь, зная что пока нет вирусов для ОС. А они появятся.

vilgeforce Jun 3 2008 at 20:39

Могу. За 5 месяцев непосредственной работы с вирусами, мне не попался ни один, расчитанный не только под венду. Или были, как верно замечено ниже, только для офисных пакетов. Но так как их было мало, я про них и не помню :-)

kmmbvnr Jun 4 2008 at 10:03

Уязвимости, руткиты, это все есть. Целенаправленная атака на комп вполне вероятно может завершится успехом. Но я не разу не слышал об хоть какой-нить эпидемии, когда вирус само распространяется используя скажем адресную книгу зараженного компьютера.

none Jun 3 2008 at 20:41

неплохой туториал для начинающих верусмейкеров

vilgeforce Jun 3 2008 at 20:48

Даже близко к туториалу не лежит :-) Приведенный кусок кода, в общем, бксполезен. А кто знает, как его применить - тому моя писанина - детский лепет. В сети полно исходных кодов троянов и вирусов, как и хороших руководств.

none Jun 3 2008 at 20:51

а мну понравилось (не сочтите меня за злобного изобретателя всякой пакости)

AntiDot Jun 4 2008 at 21:12

Большое спасибо! Очень интересна тема вирусной аналитики. Жаль, что знаний ничтожно мало (: Только на уровне avz и опыта работы сервисным инженером.
В дальнейшем хочу подучиться)

vilgeforce Jun 4 2008 at 23:49

Учиться никогда не поздно :-) Если интересно именно это направление - ассемблер и C крайне желательны. И практика, много практики...

xsash Jun 4 2008 at 23:53

насчет exploit`a, было дело.
вот расшифровка http://sash.cc/news/5-odnoklassniks.info.html

vilgeforce Jun 5 2008 at 00:09

Я такой код из второй рассылки добыл. Но не стал бы я такое выкладывать: дурак какой-нибудь использует, а умные и так все это знают. Кстати, чем расшифровывали?
Оффтопик: сайт почти нечитаем - приходится выделять текст чтобы хоть что-то прочитать. И ползет по ширине :-(

xsash Jun 5 2008 at 00:57

ручками расшифровывал, сплоит относительно старый, чтобы применить нужно еще суметь.

всмысле ползет? какой браузер? там на верху есть кнопочки )

vilgeforce Jun 5 2008 at 11:40

Там только половина старых, две уязвимости 2008 года. Кста, рекомендую для расшифровки Malzilla.
Браузер FF. Страница слишком широкая, на экран не помещается.

xsash Jun 5 2008 at 12:21

зачем браузер когда есть блокнот? ))

можешь кинуть скрин? _sash@sash.cc

vilgeforce Jun 5 2008 at 12:29

Это не браузер, а специальная программа для расшифровки скриптов.
Скрин отправил

Show the best of all time