Перейти к содержанию
_Stout

Warezov.dc эпидения как во времена Bagle

Recommended Posts

_Stout

Сегодня ночью был разослан новый вариант почтового червя E-mail.Worm.Warezov.dc. Первый экземпляр был остановлен Kaspersky Hosted Security около 4 часов утра. Обычно вредоносные программы составляют в почтовом потоке около 0,8%.

Сегодня в 7 утра 3,30% почтового потока содержали вредоносные программы, из них 100,00% - это Warezov.dc.

8 часов - 7,87% (98,82%)

9:00 - 8,69% (97,37%)

10:00 - 5,14% (82,35%)

11:00 - 6,70% (50,91%)

12:00 - 2,39% (86,54%)

Такого не было очень давно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Мне кстати тоже пришел этот червяк на несколько адресов.

Вот результаты скана на jotti на 7.30 утра (вирустотал был недоступен):

File: Update-KB6828-x86.exe

Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)

MD5 7f405f8d83ee8555f44a9dc757f84bd4

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Worm/Marmota.B

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found Trojan.Downloader.AOW

ClamAV Found Trojan.Small-377

Dr.Web Found Win32.HLLM.Limar

F-Prot Antivirus Found W32/Downloader.AHQM

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dc

NOD32 Found nothing

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

Добавлено спустя 5 минут 51 секунду:

Если кто хочет изучить эту зверушку, то я ее выложил в закрытом разделе, у кого есть доступ - могут взять.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

BitHunt помог. Система проактивной защиты почтового трафика. Подробнее http://www.hostedSecurity.ru

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Аналогично, сколько ящиков и хоть бы на один чё-нибудь приходило..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

http://virusinfo.info/showthread.php?t=6521

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout

Интересно сравнить вердикты АВ в 7:30 МСК и этим (взято http://virusinfo.info/showthread.php?t=6521) Жаль только, что в одном случае посылался EXE, а в другом ZIP

Complete scanning result of "Update-KB1031-x86.zip", received in VirusTotal at 10.19.2006, 13:17:27 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.30 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 no virus found

F-Prot 3.16f 10.19.2006 security risk named W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4876 10.18.2006 no virus found

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1814 10.19.2006 Win32/Stration.HW

Norman 5.90.23 10.19.2006 no virus found

Panda 9.0.0.4 10.19.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.18.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.19.2006 Trojan.DL.Agent.QLU

Aditional Information

File size: 12506 bytes

MD5: 013ce91aa8f303aaae44b1f114adbed8

SHA1: e91c44c26f4eb167b1b0ddfb2475cc600ec13143

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

К сожалению, не возможно отличить Зомби машину, с которой раззылают спам и зараженный комп. Первые экземпляры шли из Калифорнии. Попробуем завтра сделать выборку и понять сколько писем пришли из России.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Вот, что сейчас по детекту этого червя:

Complete scanning result of "Update-KB1437-x86.zip", received in VirusTotal at 10.19.2006, 18:52:09 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/Warezov.DC@mm

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Добавлено спустя 3 минуты 1 секунду:

В сравнении с 13.00 стали брать: Fortinet, McAfee, TheHacker, VBA32.

А куда делаcь Panda ?? :puzzled:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

Добавлено спустя 1 минуту 21 секунду:

Сергей Ильин

нет сведений почему из вирустотал исчез SYMANTEC?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yurk

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

Он что анализирует письмо целиком? Вирус-сканер на рабочей станции вируса не видел! Базы были одинаковые, движки тоже 5100

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
нет сведений почему из вирустотал исчез SYMANTEC?

В одной из веток тут человек писал, что они решили выйти из проекта по соображениям потери репутации (клиенты стали обращать внимание, что они не дететят кое-что).

Добавлено спустя 1 минуту 28 секунд:

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

А может антивир на почтаре просто резал его по черному пакеру UPX, которым он сжат?

Добавлено спустя 21 минуту 3 секунды:

Еще что интересно, червь рассылается в ZIP-архиве, но проверка детектирования по распакованному exe-файлу показала абсолютно идентичную картину:

Complete scanning result of "Update-KB1437-x86.exe", received in VirusTotal at 10.19.2006, 19:08:11 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 no virus found

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/Warezov.DC@mm

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Вообще очень странно, почему BitDefender так провалился? По скорости реакции румыны обычно на высоте.

И еще, обратите внимание на Microsoft, это к вопросу о надежности встроенного в Vista антивируса по умолчанию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Мальцев Тимофей

(сварливо)

А что это у вас Софос такой древний?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
(сварливо)

А что это у вас Софос такой древний?

Это не у нас, а на virustotal :-) А какой он должен быть? Не та версия или дата обновления старая?

Хм, хотя сигнатуры от 15-го октября, неужели Sophos не обновлялся уже 5 дней ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Первоначально -- бессорно. А вот в районе 16:00 MSK картина несколько другая. Один клиент, десять сообщений с 16:26 по 17:22, 8 сообщений с адресами типа 10.0.0.ххх или 172.16.ххх.ххх (это не ботнет), одно письмо пришло с IP крупной компании. Ну и один NetSky.q. :D Так что народ позаражался в итоге. Сегодня версии DC меньше (10% от всего вирья, идущего через Kaspersky Hosted Security), но вот другие версии тоже зажигают, хотя и не так ярко, как DC вчера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
и вообще это одно и то же

вопрос определений

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Вот данные по его детекту на 15.53 (Jotti)

Service load: 0% 100%

File: Update-KB4343-x86.zip

Status: INFECTED/MALWARE

MD5 79515b4db6c2c706f392cc39a679408a

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Trojan/Dldr.Stration.C.2

ArcaVir Found nothing

Avast Found Win32:Warezov-MF

AVG Antivirus Found I-Worm/Stration

BitDefender Found nothing

ClamAV Found Worm.Stration.JF

Dr.Web Found nothing

F-Prot Antivirus Found W32/Warezov.gen3!W32DL

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dp

NOD32 Found probably unknown NewHeur_PE (probable variant)

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

Почти никто не берет его еще, вирустотал лежит, проверить на нем не могу.

Добавлено спустя 3 минуты 32 секунды:

Warezov.dp

А вот, что было час назад по virustotal:

AntiVir 7.2.0.31 10.20.2006 TR/Dldr.Stration.C.2

Authentium 4.93.8 10.20.2006 W32/Warezov.gen3!W32DL

Avast 4.7.892.0 10.20.2006 Win32:Warezov-MF

AVG 386 10.20.2006 I-Worm/Stration

BitDefender 7.2 10.20.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.20.2006 Worm.Stration.JF

DrWeb 4.33 10.20.2006 no virus found

eTrust-InoculateIT 23.73.30 10.20.2006 no virus found

eTrust-Vet 30.3.3146 10.20.2006 no virus found

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.20.2006 no virus found

F-Prot 3.16f 10.20.2006 W32/Warezov.gen3!W32DL

F-Prot4 4.2.1.29 10.19.2006 generic

Ikarus 0.2.65.0 10.20.2006 no virus found

Kaspersky 4.0.2.24 10.20.2006 no virus found

McAfee 4877 10.19.2006 no virus found

Microsoft 1.1603 10.20.2006 no virus found

NOD32v2 1.1818 10.20.2006 probably unknown NewHeur_PE virus

Norman 5.80.02 10.20.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.20.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.20.2006 no virus found

Некоторые взяли его проактивно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Warezov жжот однозначно. Top 10 на 16:00 MSK (данные Kaspersky Hosted Security) (Это процент от общего кол-ва вредоносов в почтовом трафике клиентов)

Email-Worm.Win32.Warezov.dh 27.1%

Email-Worm.Win32.Warezov.dc 10.1%

Email-Worm.Win32.Warezov.dl 9.72%

Email-Worm.Win32.NetSky.b 9.56%

Email-Worm.Win32.NetSky.q 7.87%

Email-Worm.Win32.NetSky.aa 4.78%

Email-Worm.Win32.Warezov.df 3.54%

Email-Worm.Win32.Warezov.dg 2.77%

Email-Worm.Win32.Warezov.dn 0.92%

Other 23.4%

Утром было 6 NetSky

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
и вообще это одно и то же

вопрос определений

Я имел в виду, что между Варезовым и Баглом слишком много общего.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

A.

может быть..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×