Warezov.dc эпидения как во времена Bagle - Современные угрозы и защита от них - Форумы Anti-Malware.ru Перейти к содержанию
_Stout

Warezov.dc эпидения как во времена Bagle

Автор _Stout, в Современные угрозы и защита от них

Recommended Posts

_Stout    131

_Stout
Опубликовано

Сегодня ночью был разослан новый вариант почтового червя E-mail.Worm.Warezov.dc. Первый экземпляр был остановлен Kaspersky Hosted Security около 4 часов утра. Обычно вредоносные программы составляют в почтовом потоке около 0,8%.

Сегодня в 7 утра 3,30% почтового потока содержали вредоносные программы, из них 100,00% - это Warezov.dc.

8 часов - 7,87% (98,82%)

9:00 - 8,69% (97,37%)

10:00 - 5,14% (82,35%)

11:00 - 6,70% (50,91%)

12:00 - 2,39% (86,54%)

Такого не было очень давно.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1538

Сергей Ильин
Опубликовано

Мне кстати тоже пришел этот червяк на несколько адресов.

Вот результаты скана на jotti на 7.30 утра (вирустотал был недоступен):

File: Update-KB6828-x86.exe

Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)

MD5 7f405f8d83ee8555f44a9dc757f84bd4

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Worm/Marmota.B

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found Trojan.Downloader.AOW

ClamAV Found Trojan.Small-377

Dr.Web Found Win32.HLLM.Limar

F-Prot Antivirus Found W32/Downloader.AHQM

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dc

NOD32 Found nothing

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

Добавлено спустя 5 минут 51 секунду:

Если кто хочет изучить эту зверушку, то я ее выложил в закрытом разделе, у кого есть доступ - могут взять.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

BitHunt помог. Система проактивной защиты почтового трафика. Подробнее http://www.hostedSecurity.ru

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Николай Головко    70

Николай Головко
Опубликовано

У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано

Аналогично, сколько ящиков и хоть бы на один чё-нибудь приходило..

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

http://virusinfo.info/showthread.php?t=6521

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано

Интересно сравнить вердикты АВ в 7:30 МСК и этим (взято http://virusinfo.info/showthread.php?t=6521) Жаль только, что в одном случае посылался EXE, а в другом ZIP

Complete scanning result of "Update-KB1031-x86.zip", received in VirusTotal at 10.19.2006, 13:17:27 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.30 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 no virus found

F-Prot 3.16f 10.19.2006 security risk named W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4876 10.18.2006 no virus found

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1814 10.19.2006 Win32/Stration.HW

Norman 5.90.23 10.19.2006 no virus found

Panda 9.0.0.4 10.19.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.18.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.19.2006 Trojan.DL.Agent.QLU

Aditional Information

File size: 12506 bytes

MD5: 013ce91aa8f303aaae44b1f114adbed8

SHA1: e91c44c26f4eb167b1b0ddfb2475cc600ec13143

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано

есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

К сожалению, не возможно отличить Зомби машину, с которой раззылают спам и зараженный комп. Первые экземпляры шли из Калифорнии. Попробуем завтра сделать выборку и понять сколько писем пришли из России.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1538

Сергей Ильин
Опубликовано

Вот, что сейчас по детекту этого червя:

Complete scanning result of "Update-KB1437-x86.zip", received in VirusTotal at 10.19.2006, 18:52:09 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/Warezov.DC@mm

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Добавлено спустя 3 минуты 1 секунду:

В сравнении с 13.00 стали брать: Fortinet, McAfee, TheHacker, VBA32.

А куда делаcь Panda ?? :puzzled:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано

_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

Добавлено спустя 1 минуту 21 секунду:

Сергей Ильин

нет сведений почему из вирустотал исчез SYMANTEC?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Yurk    0

Yurk
Опубликовано

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

Он что анализирует письмо целиком? Вирус-сканер на рабочей станции вируса не видел! Базы были одинаковые, движки тоже 5100

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1538

Сергей Ильин
Опубликовано
нет сведений почему из вирустотал исчез SYMANTEC?

В одной из веток тут человек писал, что они решили выйти из проекта по соображениям потери репутации (клиенты стали обращать внимание, что они не дететят кое-что).

Добавлено спустя 1 минуту 28 секунд:

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

А может антивир на почтаре просто резал его по черному пакеру UPX, которым он сжат?

Добавлено спустя 21 минуту 3 секунды:

Еще что интересно, червь рассылается в ZIP-архиве, но проверка детектирования по распакованному exe-файлу показала абсолютно идентичную картину:

Complete scanning result of "Update-KB1437-x86.exe", received in VirusTotal at 10.19.2006, 19:08:11 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 no virus found

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/Warezov.DC@mm

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Вообще очень странно, почему BitDefender так провалился? По скорости реакции румыны обычно на высоте.

И еще, обратите внимание на Microsoft, это к вопросу о надежности встроенного в Vista антивируса по умолчанию.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Мальцев Тимофей    74

Мальцев Тимофей
Опубликовано

(сварливо)

А что это у вас Софос такой древний?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1538

Сергей Ильин
Опубликовано
(сварливо)

А что это у вас Софос такой древний?

Это не у нас, а на virustotal :-) А какой он должен быть? Не та версия или дата обновления старая?

Хм, хотя сигнатуры от 15-го октября, неужели Sophos не обновлялся уже 5 дней ...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

A.    876

A.
Опубликовано
_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Первоначально -- бессорно. А вот в районе 16:00 MSK картина несколько другая. Один клиент, десять сообщений с 16:26 по 17:22, 8 сообщений с адресами типа 10.0.0.ххх или 172.16.ххх.ххх (это не ботнет), одно письмо пришло с IP крупной компании. Ну и один NetSky.q. :D Так что народ позаражался в итоге. Сегодня версии DC меньше (10% от всего вирья, идущего через Kaspersky Hosted Security), но вот другие версии тоже зажигают, хотя и не так ярко, как DC вчера.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано
и вообще это одно и то же

вопрос определений

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1538

Сергей Ильин
Опубликовано

Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Вот данные по его детекту на 15.53 (Jotti)

Service load: 0% 100%

File: Update-KB4343-x86.zip

Status: INFECTED/MALWARE

MD5 79515b4db6c2c706f392cc39a679408a

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Trojan/Dldr.Stration.C.2

ArcaVir Found nothing

Avast Found Win32:Warezov-MF

AVG Antivirus Found I-Worm/Stration

BitDefender Found nothing

ClamAV Found Worm.Stration.JF

Dr.Web Found nothing

F-Prot Antivirus Found W32/Warezov.gen3!W32DL

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dp

NOD32 Found probably unknown NewHeur_PE (probable variant)

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

Почти никто не берет его еще, вирустотал лежит, проверить на нем не могу.

Добавлено спустя 3 минуты 32 секунды:

Warezov.dp

А вот, что было час назад по virustotal:

AntiVir 7.2.0.31 10.20.2006 TR/Dldr.Stration.C.2

Authentium 4.93.8 10.20.2006 W32/Warezov.gen3!W32DL

Avast 4.7.892.0 10.20.2006 Win32:Warezov-MF

AVG 386 10.20.2006 I-Worm/Stration

BitDefender 7.2 10.20.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.20.2006 Worm.Stration.JF

DrWeb 4.33 10.20.2006 no virus found

eTrust-InoculateIT 23.73.30 10.20.2006 no virus found

eTrust-Vet 30.3.3146 10.20.2006 no virus found

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.20.2006 no virus found

F-Prot 3.16f 10.20.2006 W32/Warezov.gen3!W32DL

F-Prot4 4.2.1.29 10.19.2006 generic

Ikarus 0.2.65.0 10.20.2006 no virus found

Kaspersky 4.0.2.24 10.20.2006 no virus found

McAfee 4877 10.19.2006 no virus found

Microsoft 1.1603 10.20.2006 no virus found

NOD32v2 1.1818 10.20.2006 probably unknown NewHeur_PE virus

Norman 5.80.02 10.20.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.20.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.20.2006 no virus found

Некоторые взяли его проактивно.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Warezov жжот однозначно. Top 10 на 16:00 MSK (данные Kaspersky Hosted Security) (Это процент от общего кол-ва вредоносов в почтовом трафике клиентов)

Email-Worm.Win32.Warezov.dh 27.1%

Email-Worm.Win32.Warezov.dc 10.1%

Email-Worm.Win32.Warezov.dl 9.72%

Email-Worm.Win32.NetSky.b 9.56%

Email-Worm.Win32.NetSky.q 7.87%

Email-Worm.Win32.NetSky.aa 4.78%

Email-Worm.Win32.Warezov.df 3.54%

Email-Worm.Win32.Warezov.dg 2.77%

Email-Worm.Win32.Warezov.dn 0.92%

Other 23.4%

Утром было 6 NetSky

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

A.    876

A.
Опубликовано
и вообще это одно и то же

вопрос определений

Я имел в виду, что между Варезовым и Баглом слишком много общего.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано

A.

может быть..

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • Ego Dekker
      Удаление антивирусов ESET

      От Ego Dekker · Опубликовано

      Программа для удаления продуктов ESET обновилась до версии 9.0.8.0. Для просмотра всех команд запустите утилиту с параметром /help.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      И возможно добавить в Инфо. поддержку просмотра NTFS Alternate Data Streams Для получения доп. информации по файлам - автозапуска.    
    • santy
      Новые функции в Universal Virus Sniffer (uVS)

      От santy · Опубликовано

      RP55,  особого смысла в этом нет. Возможно, стоит добавить в эвристику программы добавление статуса "подозрительный" для файла размером (св. 500Мб или больше), если он  в автозапуске. Так как в некоторых случаях майнеры используют файлы больших размеров, чтобы обойти антивирусную защиту.
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      При копировании известного файла файла uVS v5.0.RC2.v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] GATHERNETWORKINFO.VBS._628B6B4BF3CC7F77578CF3CCFCC587DBF9EC7E07 https://disk.yandex.ru/i/LpsxRQ6EMkF23w    
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      При копирование файла в Zoo Операторы могут не обратить внимания на размер файла. Предлагаю при превышении лимита = 650mb добавить в Лог соответствующее предупреждение: Файл скопирован в ZOO; Превышен лимит virustotal.com Для чего ? Часто операторы предлагают поместить скопированный файл на сайт, или проверить его на V.T. а это потеря времени. Одна "ошибка" приводит к другой "ошибке"  
×