Перейти к содержанию
Илья Рабинович

Тесты лечения активного заражения на бесфайловые вредоносы.

Recommended Posts

Илья Рабинович

Всем привет!

По следам обсуждения с Василем Бердниковым возникла одна идея. В последнее время появилась новая тема в сфере противодействия антивирусным сканирующим модулям со стороны вредоносного программного обеспечения- это разные формы бесфайловых модулей. Они либо существуют только в реестре, либо создают файлы только во время перезагрузки, всё остальное время существую лишь в качестве кусков исполняемой памяти и потоков их исполнения.

Предлагаю сделать отдельный тест лечения активного заражения на такие вот новые вредоносные техники, поскольку из-за явного застоя инноваций в руткитостроении и буткитостроении, данные типы малвари не смогут дать интересных результатов в тесте на лечение активного заражения. А вот бесфайловые- те да, могут.

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

>> Предлагаю сделать отдельный тест лечения активного заражения на такие вот новые вредоносные техники, поскольку из-за явного застоя инноваций в руткитостроении и буткитостроении, данные типы малвари не смогут >>дать интересных результатов в тесте на лечение активного заражения. А вот бесфайловые- те да, могут.

Я в целом за тест, в том числе и с частью прежних семплов, если их не на что заменить. Лично мне интересно, как у вендоров сейчас: до сих пор все печально со сложными угрозами или развиваются по-тиху. + было APT Turla / Uroburos, тоже с руткитом, много где и кто о нем трубил - лечат ли все и видят ли активного (даже имея сигнатурный детект на отдельно взятые файлы)?

Так что есть что новое и интересное. Я могу еще покопаться в архивах -может чего еще интересного за последние пару лет вспомню. Да и древнего sinowal на XP - и то интересно глянуть, ибо последний варант неплохо маскировался, а в тестах его не было.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Кстати реально интересный тест будет)

Так тесту быть?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
amid525

Думаю как обычно. )

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Alex_Goodwin
Да и древнего sinowal на XP - и то интересно глянуть, ибо последний варант неплохо маскировался, а в тестах его не было.

На XP не все антивирусы работают, нет в этом никакого смысла. Уже закончилась основная поддержка 7, а мы все про XP :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Идея хоть какого-то теста ещё актуальна? Win 7 x64, взять из таких образцов что-то:
1) Sinowal, SST, Zeroaccess, Cidox;
2) Virus.Protector, Rloader.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Как писал Сергей Ильин - тест уже делают. Туда включены часть вредоносов из старого теста на лечение активного заражения + что-то бесфайлового + что-то еще.

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

Идея хоть какого-то теста ещё актуальна? Win 7 x64, взять из таких образцов что-то: 1) Sinowal, SST, Zeroaccess, Cidox; 2) Virus.Protector, Rloader.

http://www.anti-malware.ru/forum/index.php?showtopic=29160

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Методология опубликована http://www.anti-malware.ru/node/15871

 

Отчет с результатами тестирования уже верстается ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Да, самая идея вредоноса, который не имеет лежащего на диске файла хороша. То есть сигнатурно его обнаружить не выйдет. Как тогда вводить критерий обычный, что компоненты должны детектироваться в неактивном состоянии? Даже детект в памяти обычно есть на очень мало вредоносов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Threat#47

Неделя прошла. Тест уже был выложен? Не видел его на сайте. 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vegas

Тест опубликован

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Любой вредонос вида "Регистрирует в реестре в ключе Run ярлык на свое тело. При старте системы загружается в память и удаляет параметр в автозапуске" не сможет вылечить/обнаружить простая утилита для сканирования реестра?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

По логике вещей - нет, если это не утилита по работе с реестром на "мертвой" системе (загрузка ОСи с диска/флешки).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

утилита по работе с реестром на "мертвой" системе (загрузка ОСи с диска/флешки).

 

К сожалению, я такую функцию виден только у RescueCD Касперского (для Др.Веб. вроде графический режим у меня ни разу не запустился). Ну и наверное диск AnitSMS должен работать с реестром.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Вместо использование костылей вроде AntiSMS можно использовать мощный и гибкий инструмент, который такой функционал имеет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

@priv8v, да я знаю эту утилиту. Правда не изучал вопрос о том, кто умеет запускаться из среды вроде WinLiveCD. Вот TDSSKiller мне точно помог.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

Думал Eset первым будет, но нет))

http://www.symantec.com/connect/blogs/kovter-malware-learns-poweliks-persistent-fileless-registry-update

С большим запозданием...вероятно, благодаря тому, что тут всплыла инфа:

http://www.kernelmode.info/forum/viewtopic.php?f=16&t=2643&start=20#p26753

 

Интересно, сколько антивирусов смогут вылечить зараженную систему этой малварой, скажем недели через 2-3? :) Глядя на результаты тестов активного заражения с poweliks, есть уверенность, что Симантек будет находить и  лечить зараженные системы этим семейством. Чего не скажешь о остальных...хотя и сложного в обнаружении и лечении, в отличии от буткитов,  тут ничего и нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Я думаю большинство даже на станут заморачиваться. Это сложно и на продажи мало влияет им.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×