Warezov.dc эпидения как во времена Bagle

[_Stout 131]

Сегодня ночью был разослан новый вариант почтового червя E-mail.Worm.Warezov.dc. Первый экземпляр был остановлен Kaspersky Hosted Security около 4 часов утра. Обычно вредоносные программы составляют в почтовом потоке около 0,8%.

Сегодня в 7 утра 3,30% почтового потока содержали вредоносные программы, из них 100,00% - это Warezov.dc.

8 часов - 7,87% (98,82%)

9:00 - 8,69% (97,37%)

10:00 - 5,14% (82,35%)

11:00 - 6,70% (50,91%)

12:00 - 2,39% (86,54%)

Такого не было очень давно.

[Сергей Ильин 1538]

Мне кстати тоже пришел этот червяк на несколько адресов.

Вот результаты скана на jotti на 7.30 утра (вирустотал был недоступен):

File: Update-KB6828-x86.exe

Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)

MD5 7f405f8d83ee8555f44a9dc757f84bd4

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Worm/Marmota.B

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found Trojan.Downloader.AOW

ClamAV Found Trojan.Small-377

Dr.Web Found Win32.HLLM.Limar

F-Prot Antivirus Found W32/Downloader.AHQM

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dc

NOD32 Found nothing

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

Добавлено спустя 5 минут 51 секунду:

Если кто хочет изучить эту зверушку, то я ее выложил в закрытом разделе, у кого есть доступ - могут взять.

[_Stout 131]

_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

BitHunt помог. Система проактивной защиты почтового трафика. Подробнее http://www.hostedSecurity.ru

[Николай Головко 70]

У меня комплексы. Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу.

[Ego1st 95]

Аналогично, сколько ящиков и хоть бы на один чё-нибудь приходило..

[_Stout 131]

У меня комплексы. Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу.

Что можно сказать -- повезло.

[Ego1st 95]

У меня комплексы. Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу.

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

[_Stout 131]

У меня комплексы. Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу.

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

[Ego1st 95]

У меня комплексы. Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу.

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

http://virusinfo.info/showthread.php?t=6521

[_Stout 131]

http://virusinfo.info/showthread.php?t=6521

Интересно сравнить вердикты АВ в 7:30 МСК и этим (взято http://virusinfo.info/showthread.php?t=6521) Жаль только, что в одном случае посылался EXE, а в другом ZIP

Complete scanning result of "Update-KB1031-x86.zip", received in VirusTotal at 10.19.2006, 13:17:27 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.30 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 no virus found

F-Prot 3.16f 10.19.2006 security risk named W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4876 10.18.2006 no virus found

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1814 10.19.2006 Win32/Stration.HW

Norman 5.90.23 10.19.2006 no virus found

Panda 9.0.0.4 10.19.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.18.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.19.2006 Trojan.DL.Agent.QLU

Aditional Information

File size: 12506 bytes

MD5: 013ce91aa8f303aaae44b1f114adbed8

SHA1: e91c44c26f4eb167b1b0ddfb2475cc600ec13143

[broker 30]

есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

[_Stout 131]

есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

К сожалению, не возможно отличить Зомби машину, с которой раззылают спам и зараженный комп. Первые экземпляры шли из Калифорнии. Попробуем завтра сделать выборку и понять сколько писем пришли из России.

[Сергей Ильин 1538]

Вот, что сейчас по детекту этого червя:

Complete scanning result of "Update-KB1437-x86.zip", received in VirusTotal at 10.19.2006, 18:52:09 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/[email protected]

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Добавлено спустя 3 минуты 1 секунду:

В сравнении с 13.00 стали брать: Fortinet, McAfee, TheHacker, VBA32.

А куда делаcь Panda ?? :puzzled:

[broker 30]

_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

Добавлено спустя 1 минуту 21 секунду:

Сергей Ильин

нет сведений почему из вирустотал исчез SYMANTEC?

[Yurk 0]

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

Он что анализирует письмо целиком? Вирус-сканер на рабочей станции вируса не видел! Базы были одинаковые, движки тоже 5100

[Сергей Ильин 1538]

нет сведений почему из вирустотал исчез SYMANTEC?

В одной из веток тут человек писал, что они решили выйти из проекта по соображениям потери репутации (клиенты стали обращать внимание, что они не дететят кое-что).

Добавлено спустя 1 минуту 28 секунд:

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

А может антивир на почтаре просто резал его по черному пакеру UPX, которым он сжат?

Добавлено спустя 21 минуту 3 секунды:

Еще что интересно, червь рассылается в ZIP-архиве, но проверка детектирования по распакованному exe-файлу показала абсолютно идентичную картину:

Complete scanning result of "Update-KB1437-x86.exe", received in VirusTotal at 10.19.2006, 19:08:11 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 no virus found

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/[email protected]

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Вообще очень странно, почему BitDefender так провалился? По скорости реакции румыны обычно на высоте.

И еще, обратите внимание на Microsoft, это к вопросу о надежности встроенного в Vista антивируса по умолчанию.

[Мальцев Тимофей 74]

(сварливо)

А что это у вас Софос такой древний?

[Сергей Ильин 1538]

(сварливо)

А что это у вас Софос такой древний?

Это не у нас, а на virustotal :-) А какой он должен быть? Не та версия или дата обновления старая?

Хм, хотя сигнатуры от 15-го октября, неужели Sophos не обновлялся уже 5 дней ...

[A. 875]

_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же

[_Stout 131]

и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же

Первоначально -- бессорно. А вот в районе 16:00 MSK картина несколько другая. Один клиент, десять сообщений с 16:26 по 17:22, 8 сообщений с адресами типа 10.0.0.ххх или 172.16.ххх.ххх (это не ботнет), одно письмо пришло с IP крупной компании. Ну и один NetSky.q. Так что народ позаражался в итоге. Сегодня версии DC меньше (10% от всего вирья, идущего через Kaspersky Hosted Security), но вот другие версии тоже зажигают, хотя и не так ярко, как DC вчера.

[broker 30]

и вообще это одно и то же

вопрос определений

[Сергей Ильин 1538]

Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Вот данные по его детекту на 15.53 (Jotti)

Service load: 0% 100%

File: Update-KB4343-x86.zip

Status: INFECTED/MALWARE

MD5 79515b4db6c2c706f392cc39a679408a

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Trojan/Dldr.Stration.C.2

ArcaVir Found nothing

Avast Found Win32:Warezov-MF

AVG Antivirus Found I-Worm/Stration

BitDefender Found nothing

ClamAV Found Worm.Stration.JF

Dr.Web Found nothing

F-Prot Antivirus Found W32/Warezov.gen3!W32DL

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dp

NOD32 Found probably unknown NewHeur_PE (probable variant)

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

Почти никто не берет его еще, вирустотал лежит, проверить на нем не могу.

Добавлено спустя 3 минуты 32 секунды:

Warezov.dp

А вот, что было час назад по virustotal:

AntiVir 7.2.0.31 10.20.2006 TR/Dldr.Stration.C.2

Authentium 4.93.8 10.20.2006 W32/Warezov.gen3!W32DL

Avast 4.7.892.0 10.20.2006 Win32:Warezov-MF

AVG 386 10.20.2006 I-Worm/Stration

BitDefender 7.2 10.20.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.20.2006 Worm.Stration.JF

DrWeb 4.33 10.20.2006 no virus found

eTrust-InoculateIT 23.73.30 10.20.2006 no virus found

eTrust-Vet 30.3.3146 10.20.2006 no virus found

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.20.2006 no virus found

F-Prot 3.16f 10.20.2006 W32/Warezov.gen3!W32DL

F-Prot4 4.2.1.29 10.19.2006 generic

Ikarus 0.2.65.0 10.20.2006 no virus found

Kaspersky 4.0.2.24 10.20.2006 no virus found

McAfee 4877 10.19.2006 no virus found

Microsoft 1.1603 10.20.2006 no virus found

NOD32v2 1.1818 10.20.2006 probably unknown NewHeur_PE virus

Norman 5.80.02 10.20.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.20.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.20.2006 no virus found

Некоторые взяли его проактивно.

[_Stout 131]

Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Warezov жжот однозначно. Top 10 на 16:00 MSK (данные Kaspersky Hosted Security) (Это процент от общего кол-ва вредоносов в почтовом трафике клиентов)

Email-Worm.Win32.Warezov.dh 27.1%

Email-Worm.Win32.Warezov.dc 10.1%

Email-Worm.Win32.Warezov.dl 9.72%

Email-Worm.Win32.NetSky.b 9.56%

Email-Worm.Win32.NetSky.q 7.87%

Email-Worm.Win32.NetSky.aa 4.78%

Email-Worm.Win32.Warezov.df 3.54%

Email-Worm.Win32.Warezov.dg 2.77%

Email-Worm.Win32.Warezov.dn 0.92%

Other 23.4%

Утром было 6 NetSky

[A. 875]

и вообще это одно и то же

вопрос определений

Я имел в виду, что между Варезовым и Баглом слишком много общего.

[broker 30]

A.

может быть..