Перейти к содержанию
_Stout

Warezov.dc эпидения как во времена Bagle

Автор _Stout, в Современные угрозы и защита от них

Recommended Posts

_Stout    131

_Stout
Опубликовано

Сегодня ночью был разослан новый вариант почтового червя E-mail.Worm.Warezov.dc. Первый экземпляр был остановлен Kaspersky Hosted Security около 4 часов утра. Обычно вредоносные программы составляют в почтовом потоке около 0,8%.

Сегодня в 7 утра 3,30% почтового потока содержали вредоносные программы, из них 100,00% - это Warezov.dc.

8 часов - 7,87% (98,82%)

9:00 - 8,69% (97,37%)

10:00 - 5,14% (82,35%)

11:00 - 6,70% (50,91%)

12:00 - 2,39% (86,54%)

Такого не было очень давно.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1537

Сергей Ильин
Опубликовано

Мне кстати тоже пришел этот червяк на несколько адресов.

Вот результаты скана на jotti на 7.30 утра (вирустотал был недоступен):

File: Update-KB6828-x86.exe

Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)

MD5 7f405f8d83ee8555f44a9dc757f84bd4

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Worm/Marmota.B

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found Trojan.Downloader.AOW

ClamAV Found Trojan.Small-377

Dr.Web Found Win32.HLLM.Limar

F-Prot Antivirus Found W32/Downloader.AHQM

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dc

NOD32 Found nothing

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

Добавлено спустя 5 минут 51 секунду:

Если кто хочет изучить эту зверушку, то я ее выложил в закрытом разделе, у кого есть доступ - могут взять.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

BitHunt помог. Система проактивной защиты почтового трафика. Подробнее http://www.hostedSecurity.ru

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Николай Головко    70

Николай Головко
Опубликовано

У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано

Аналогично, сколько ящиков и хоть бы на один чё-нибудь приходило..

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

http://virusinfo.info/showthread.php?t=6521

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано

Интересно сравнить вердикты АВ в 7:30 МСК и этим (взято http://virusinfo.info/showthread.php?t=6521) Жаль только, что в одном случае посылался EXE, а в другом ZIP

Complete scanning result of "Update-KB1031-x86.zip", received in VirusTotal at 10.19.2006, 13:17:27 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.30 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 no virus found

F-Prot 3.16f 10.19.2006 security risk named W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4876 10.18.2006 no virus found

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1814 10.19.2006 Win32/Stration.HW

Norman 5.90.23 10.19.2006 no virus found

Panda 9.0.0.4 10.19.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.18.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.19.2006 Trojan.DL.Agent.QLU

Aditional Information

File size: 12506 bytes

MD5: 013ce91aa8f303aaae44b1f114adbed8

SHA1: e91c44c26f4eb167b1b0ddfb2475cc600ec13143

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано

есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

К сожалению, не возможно отличить Зомби машину, с которой раззылают спам и зараженный комп. Первые экземпляры шли из Калифорнии. Попробуем завтра сделать выборку и понять сколько писем пришли из России.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1537

Сергей Ильин
Опубликовано

Вот, что сейчас по детекту этого червя:

Complete scanning result of "Update-KB1437-x86.zip", received in VirusTotal at 10.19.2006, 18:52:09 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/[email protected]

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Добавлено спустя 3 минуты 1 секунду:

В сравнении с 13.00 стали брать: Fortinet, McAfee, TheHacker, VBA32.

А куда делаcь Panda ?? :puzzled:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано

_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

Добавлено спустя 1 минуту 21 секунду:

Сергей Ильин

нет сведений почему из вирустотал исчез SYMANTEC?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Yurk    0

Yurk
Опубликовано

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

Он что анализирует письмо целиком? Вирус-сканер на рабочей станции вируса не видел! Базы были одинаковые, движки тоже 5100

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1537

Сергей Ильин
Опубликовано
нет сведений почему из вирустотал исчез SYMANTEC?

В одной из веток тут человек писал, что они решили выйти из проекта по соображениям потери репутации (клиенты стали обращать внимание, что они не дететят кое-что).

Добавлено спустя 1 минуту 28 секунд:

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

А может антивир на почтаре просто резал его по черному пакеру UPX, которым он сжат?

Добавлено спустя 21 минуту 3 секунды:

Еще что интересно, червь рассылается в ZIP-архиве, но проверка детектирования по распакованному exe-файлу показала абсолютно идентичную картину:

Complete scanning result of "Update-KB1437-x86.exe", received in VirusTotal at 10.19.2006, 19:08:11 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 no virus found

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/[email protected]

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Вообще очень странно, почему BitDefender так провалился? По скорости реакции румыны обычно на высоте.

И еще, обратите внимание на Microsoft, это к вопросу о надежности встроенного в Vista антивируса по умолчанию.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Мальцев Тимофей    74

Мальцев Тимофей
Опубликовано

(сварливо)

А что это у вас Софос такой древний?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1537

Сергей Ильин
Опубликовано
(сварливо)

А что это у вас Софос такой древний?

Это не у нас, а на virustotal :-) А какой он должен быть? Не та версия или дата обновления старая?

Хм, хотя сигнатуры от 15-го октября, неужели Sophos не обновлялся уже 5 дней ...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

A.    875

A.
Опубликовано
_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Первоначально -- бессорно. А вот в районе 16:00 MSK картина несколько другая. Один клиент, десять сообщений с 16:26 по 17:22, 8 сообщений с адресами типа 10.0.0.ххх или 172.16.ххх.ххх (это не ботнет), одно письмо пришло с IP крупной компании. Ну и один NetSky.q. :D Так что народ позаражался в итоге. Сегодня версии DC меньше (10% от всего вирья, идущего через Kaspersky Hosted Security), но вот другие версии тоже зажигают, хотя и не так ярко, как DC вчера.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано
и вообще это одно и то же

вопрос определений

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1537

Сергей Ильин
Опубликовано

Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Вот данные по его детекту на 15.53 (Jotti)

Service load: 0% 100%

File: Update-KB4343-x86.zip

Status: INFECTED/MALWARE

MD5 79515b4db6c2c706f392cc39a679408a

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Trojan/Dldr.Stration.C.2

ArcaVir Found nothing

Avast Found Win32:Warezov-MF

AVG Antivirus Found I-Worm/Stration

BitDefender Found nothing

ClamAV Found Worm.Stration.JF

Dr.Web Found nothing

F-Prot Antivirus Found W32/Warezov.gen3!W32DL

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dp

NOD32 Found probably unknown NewHeur_PE (probable variant)

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

Почти никто не берет его еще, вирустотал лежит, проверить на нем не могу.

Добавлено спустя 3 минуты 32 секунды:

Warezov.dp

А вот, что было час назад по virustotal:

AntiVir 7.2.0.31 10.20.2006 TR/Dldr.Stration.C.2

Authentium 4.93.8 10.20.2006 W32/Warezov.gen3!W32DL

Avast 4.7.892.0 10.20.2006 Win32:Warezov-MF

AVG 386 10.20.2006 I-Worm/Stration

BitDefender 7.2 10.20.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.20.2006 Worm.Stration.JF

DrWeb 4.33 10.20.2006 no virus found

eTrust-InoculateIT 23.73.30 10.20.2006 no virus found

eTrust-Vet 30.3.3146 10.20.2006 no virus found

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.20.2006 no virus found

F-Prot 3.16f 10.20.2006 W32/Warezov.gen3!W32DL

F-Prot4 4.2.1.29 10.19.2006 generic

Ikarus 0.2.65.0 10.20.2006 no virus found

Kaspersky 4.0.2.24 10.20.2006 no virus found

McAfee 4877 10.19.2006 no virus found

Microsoft 1.1603 10.20.2006 no virus found

NOD32v2 1.1818 10.20.2006 probably unknown NewHeur_PE virus

Norman 5.80.02 10.20.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.20.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.20.2006 no virus found

Некоторые взяли его проактивно.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

_Stout    131

_Stout
Опубликовано
Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Warezov жжот однозначно. Top 10 на 16:00 MSK (данные Kaspersky Hosted Security) (Это процент от общего кол-ва вредоносов в почтовом трафике клиентов)

Email-Worm.Win32.Warezov.dh 27.1%

Email-Worm.Win32.Warezov.dc 10.1%

Email-Worm.Win32.Warezov.dl 9.72%

Email-Worm.Win32.NetSky.b 9.56%

Email-Worm.Win32.NetSky.q 7.87%

Email-Worm.Win32.NetSky.aa 4.78%

Email-Worm.Win32.Warezov.df 3.54%

Email-Worm.Win32.Warezov.dg 2.77%

Email-Worm.Win32.Warezov.dn 0.92%

Other 23.4%

Утром было 6 NetSky

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

A.    875

A.
Опубликовано
и вообще это одно и то же

вопрос определений

Я имел в виду, что между Варезовым и Баглом слишком много общего.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

broker    30

broker
Опубликовано

A.

может быть..

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • Tim
      Игра на андроид

      От Tim · Опубликовано

      Всем привет. Приятное впечатление оставила эта игра для андроид https://veadug.com/329-clash-royale.html При желании можете сами поиграть уже в эти выходные. Думаю, что игровой процесс сможет вас увлечь на долгое время.
    • Tim
      Приложение Юла

      От Tim · Опубликовано

      Здравствуйте всем. Что скажите про приложение Юла https://anderbot.com/ios/yula/ ? Оно лучше, чем Авито или нет? Интересно узнать мнение людей с опытом. Жду ваших комментариев по теме. Спасибо.
    • santy
      Новые функции в Universal Virus Sniffer (uVS)

      От santy · Опубликовано

      следует добавить (для 2 и 3), что при фильтрации по одному критерию из списка статус объекта не меняется. (т.е. не присваивается, и не пере_присваивается статус ?ВИРУС?  
    • PR55.RP55
      Universal Virus Sniffer (uVS), Вопросы разработчику

      От PR55.RP55 · Опубликовано

      Из той же темы:  http://www.tehnari.ru/f35/t266702/ из лога FRST Code Integrity determined that a process (\Device\HarddiskVolume5\Program Files\Windows Defender\MpCmdRun.exe) attempted to load \Device\HarddiskVolume5\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 20.0\x64\antimalware_provider.dll that did not meet the Microsoft signing level requirements. ...процесс не соответствует требованиям уровня подписи Майкрософт. Подпись есть но уровень не соответствует.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      + сделать возможность задать _временный критерий такой критерий  сохраняется только до завершения работы uVS  ( можно добавить чек-бокс ): Задать временный критерий [v] А затем должна быть возможность: "фильтровать список по одному единственному критерию из списка" Бывает, что нужно что-то найти - но нет смысла сохранять этот мусор в настройках.
×