Перейти к содержанию
_Stout

Warezov.dc эпидения как во времена Bagle

Recommended Posts

_Stout

Сегодня ночью был разослан новый вариант почтового червя E-mail.Worm.Warezov.dc. Первый экземпляр был остановлен Kaspersky Hosted Security около 4 часов утра. Обычно вредоносные программы составляют в почтовом потоке около 0,8%.

Сегодня в 7 утра 3,30% почтового потока содержали вредоносные программы, из них 100,00% - это Warezov.dc.

8 часов - 7,87% (98,82%)

9:00 - 8,69% (97,37%)

10:00 - 5,14% (82,35%)

11:00 - 6,70% (50,91%)

12:00 - 2,39% (86,54%)

Такого не было очень давно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Мне кстати тоже пришел этот червяк на несколько адресов.

Вот результаты скана на jotti на 7.30 утра (вирустотал был недоступен):

File: Update-KB6828-x86.exe

Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)

MD5 7f405f8d83ee8555f44a9dc757f84bd4

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Worm/Marmota.B

ArcaVir Found nothing

Avast Found nothing

AVG Antivirus Found nothing

BitDefender Found Trojan.Downloader.AOW

ClamAV Found Trojan.Small-377

Dr.Web Found Win32.HLLM.Limar

F-Prot Antivirus Found W32/Downloader.AHQM

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dc

NOD32 Found nothing

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

Добавлено спустя 5 минут 51 секунду:

Если кто хочет изучить эту зверушку, то я ее выложил в закрытом разделе, у кого есть доступ - могут взять.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
_Stout, а как Kaspersky Hosted Security его взял еще ночью, если на mail.ru, где тот же Каспер стоит, этот червь еще некоторое время приходил?

BitHunt помог. Система проактивной защиты почтового трафика. Подробнее http://www.hostedSecurity.ru

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Аналогично, сколько ящиков и хоть бы на один чё-нибудь приходило..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
У меня комплексы. :D Никаких вирусов ни на какие ящики с самого начала эпидемии. Как в другой вселенной живу. :D

Что можно сказать -- повезло.

я использовал ваш первый пост на одном форуме, надеюсь вы непротив..

Спасибо!

Это зависит от форума. Может быть и буду против

http://virusinfo.info/showthread.php?t=6521

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout

Интересно сравнить вердикты АВ в 7:30 МСК и этим (взято http://virusinfo.info/showthread.php?t=6521) Жаль только, что в одном случае посылался EXE, а в другом ZIP

Complete scanning result of "Update-KB1031-x86.zip", received in VirusTotal at 10.19.2006, 13:17:27 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.30 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 no virus found

F-Prot 3.16f 10.19.2006 security risk named W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4876 10.18.2006 no virus found

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1814 10.19.2006 Win32/Stration.HW

Norman 5.90.23 10.19.2006 no virus found

Panda 9.0.0.4 10.19.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.18.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.19.2006 Trojan.DL.Agent.QLU

Aditional Information

File size: 12506 bytes

MD5: 013ce91aa8f303aaae44b1f114adbed8

SHA1: e91c44c26f4eb167b1b0ddfb2475cc600ec13143

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
есть ли сведения о колличестве заражённых или всё-таки природа эпидемии спамная рассылка?

К сожалению, не возможно отличить Зомби машину, с которой раззылают спам и зараженный комп. Первые экземпляры шли из Калифорнии. Попробуем завтра сделать выборку и понять сколько писем пришли из России.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Вот, что сейчас по детекту этого червя:

Complete scanning result of "Update-KB1437-x86.zip", received in VirusTotal at 10.19.2006, 18:52:09 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 Win32/Stration!ZIP!Worm

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!ZIP!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/[email protected]

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Добавлено спустя 3 минуты 1 секунду:

В сравнении с 13.00 стали брать: Fortinet, McAfee, TheHacker, VBA32.

А куда делаcь Panda ?? :puzzled:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

Добавлено спустя 1 минуту 21 секунду:

Сергей Ильин

нет сведений почему из вирустотал исчез SYMANTEC?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yurk

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

Он что анализирует письмо целиком? Вирус-сканер на рабочей станции вируса не видел! Базы были одинаковые, движки тоже 5100

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
нет сведений почему из вирустотал исчез SYMANTEC?

В одной из веток тут человек писал, что они решили выйти из проекта по соображениям потери репутации (клиенты стали обращать внимание, что они не дететят кое-что).

Добавлено спустя 1 минуту 28 секунд:

Хочу заметить интересную деталь -McAfee этот файл как вирус не брал, а вот GS for Exchange ихний-же файлы вложений этой рассылки у меня удалял как "New Malware.J"

А может антивир на почтаре просто резал его по черному пакеру UPX, которым он сжат?

Добавлено спустя 21 минуту 3 секунды:

Еще что интересно, червь рассылается в ZIP-архиве, но проверка детектирования по распакованному exe-файлу показала абсолютно идентичную картину:

Complete scanning result of "Update-KB1437-x86.exe", received in VirusTotal at 10.19.2006, 19:08:11 (CET).

Antivirus Version Update Result

AntiVir 7.2.0.31 10.19.2006 TR/Dldr.Stration.C

Authentium 4.93.8 10.19.2006 W32/Downloader.AHQM

Avast 4.7.892.0 10.19.2006 Win32:Warezov-ME

AVG 386 10.19.2006 I-Worm/Stration

BitDefender 7.2 10.19.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.19.2006 Worm.Stration.JB

DrWeb 4.33 10.19.2006 Win32.HLLM.Limar.based

eTrust-InoculateIT 23.73.28 10.19.2006 no virus found

eTrust-Vet 30.3.3143 10.19.2006 Win32/Stration!generic

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.19.2006 W32/[email protected]

F-Prot 3.16f 10.19.2006 W32/Downloader.AHQM

F-Prot4 4.2.1.29 10.19.2006 W32/Downloader.AHQM

Ikarus 0.2.65.0 10.19.2006 Email-Worm.Win32.Warezov.dc

Kaspersky 4.0.2.24 10.19.2006 Email-Worm.Win32.Warezov.dc

McAfee 4877 10.19.2006 W32/Stration.dr

Microsoft 1.1603 10.19.2006 no virus found

NOD32v2 1.1816 10.19.2006 Win32/Stration.IG

Norman 5.80.02 10.19.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 W32/Warezov.dc

UNA 1.83 10.19.2006 no virus found

VBA32 3.11.1 10.19.2006 Email-Worm.Win32.Warezov.dc

VirusBuster 4.3.7:9 10.19.2006 Trojan.Opnis.EM

Вообще очень странно, почему BitDefender так провалился? По скорости реакции румыны обычно на высоте.

И еще, обратите внимание на Microsoft, это к вопросу о надежности встроенного в Vista антивируса по умолчанию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Мальцев Тимофей

(сварливо)

А что это у вас Софос такой древний?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
(сварливо)

А что это у вас Софос такой древний?

Это не у нас, а на virustotal :-) А какой он должен быть? Не та версия или дата обновления старая?

Хм, хотя сигнатуры от 15-го октября, неужели Sophos не обновлялся уже 5 дней ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
_Stout

всё-таки по моим исследованиям это больше спамная рассылка.. и это кстати самое большое отличие от Bagle (если рассматривать метод распространения)

и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
и варезов спам-рассылка и багл тоже спам-рассылка.

и вообще это одно и то же :)

Первоначально -- бессорно. А вот в районе 16:00 MSK картина несколько другая. Один клиент, десять сообщений с 16:26 по 17:22, 8 сообщений с адресами типа 10.0.0.ххх или 172.16.ххх.ххх (это не ботнет), одно письмо пришло с IP крупной компании. Ну и один NetSky.q. :D Так что народ позаражался в итоге. Сегодня версии DC меньше (10% от всего вирья, идущего через Kaspersky Hosted Security), но вот другие версии тоже зажигают, хотя и не так ярко, как DC вчера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker
и вообще это одно и то же

вопрос определений

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Вот данные по его детекту на 15.53 (Jotti)

Service load: 0% 100%

File: Update-KB4343-x86.zip

Status: INFECTED/MALWARE

MD5 79515b4db6c2c706f392cc39a679408a

Packers detected: PE_PATCH.UPX, UPX

Scanner results

AntiVir Found Trojan/Dldr.Stration.C.2

ArcaVir Found nothing

Avast Found Win32:Warezov-MF

AVG Antivirus Found I-Worm/Stration

BitDefender Found nothing

ClamAV Found Worm.Stration.JF

Dr.Web Found nothing

F-Prot Antivirus Found W32/Warezov.gen3!W32DL

Fortinet Found nothing

Kaspersky Anti-Virus Found Email-Worm.Win32.Warezov.dp

NOD32 Found probably unknown NewHeur_PE (probable variant)

Norman Virus Control Found nothing

VirusBuster Found nothing

VBA32 Found nothing

Почти никто не берет его еще, вирустотал лежит, проверить на нем не могу.

Добавлено спустя 3 минуты 32 секунды:

Warezov.dp

А вот, что было час назад по virustotal:

AntiVir 7.2.0.31 10.20.2006 TR/Dldr.Stration.C.2

Authentium 4.93.8 10.20.2006 W32/Warezov.gen3!W32DL

Avast 4.7.892.0 10.20.2006 Win32:Warezov-MF

AVG 386 10.20.2006 I-Worm/Stration

BitDefender 7.2 10.20.2006 no virus found

CAT-QuickHeal 8.00 10.19.2006 no virus found

ClamAV devel-20060426 10.20.2006 Worm.Stration.JF

DrWeb 4.33 10.20.2006 no virus found

eTrust-InoculateIT 23.73.30 10.20.2006 no virus found

eTrust-Vet 30.3.3146 10.20.2006 no virus found

Ewido 4.0 10.19.2006 no virus found

Fortinet 2.82.0.0 10.20.2006 no virus found

F-Prot 3.16f 10.20.2006 W32/Warezov.gen3!W32DL

F-Prot4 4.2.1.29 10.19.2006 generic

Ikarus 0.2.65.0 10.20.2006 no virus found

Kaspersky 4.0.2.24 10.20.2006 no virus found

McAfee 4877 10.19.2006 no virus found

Microsoft 1.1603 10.20.2006 no virus found

NOD32v2 1.1818 10.20.2006 probably unknown NewHeur_PE virus

Norman 5.80.02 10.20.2006 no virus found

Sophos 4.10.0 10.15.2006 no virus found

TheHacker 6.0.1.101 10.19.2006 no virus found

UNA 1.83 10.20.2006 no virus found

VBA32 3.11.1 10.19.2006 no virus found

VirusBuster 4.3.7:9 10.20.2006 no virus found

Некоторые взяли его проактивно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
Ну вот попался еще один вариант этого червячка - Email-Worm.Win32.Warezov.dp по классификации Лаборатории Касперского

Warezov жжот однозначно. Top 10 на 16:00 MSK (данные Kaspersky Hosted Security) (Это процент от общего кол-ва вредоносов в почтовом трафике клиентов)

Email-Worm.Win32.Warezov.dh 27.1%

Email-Worm.Win32.Warezov.dc 10.1%

Email-Worm.Win32.Warezov.dl 9.72%

Email-Worm.Win32.NetSky.b 9.56%

Email-Worm.Win32.NetSky.q 7.87%

Email-Worm.Win32.NetSky.aa 4.78%

Email-Worm.Win32.Warezov.df 3.54%

Email-Worm.Win32.Warezov.dg 2.77%

Email-Worm.Win32.Warezov.dn 0.92%

Other 23.4%

Утром было 6 NetSky

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
и вообще это одно и то же

вопрос определений

Я имел в виду, что между Варезовым и Баглом слишком много общего.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
broker

A.

может быть..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • ForetFR
      CLIMB Hearsay from Earth - https://mebonus.ru
      Google №Wet

      Palestinians scoot as Israel bombards haunts from style, swell and sod!!!

      Google Hearsay

      People in Gaza fled their homes carrying crying children and valued possessions as Israeli forces pounded the vicinage from aura, adrift and land on Friday.
      The escalating controversy triggered furious protests in the occupied West Bank, where seven Palestinians were killed by way of Israeli army fire, and moreover fury between Arabs and Jews in Israel.
      Hamas praised the clashes between stone-throwing youths and Israeli soldiers in the West Bank grevorgАЛИdVhower , m‚tier on Palestinians to “set the ground ablaze under the feet of the rule”.
      Google RUMOUR - Wet
      In a meritorious escalation in the worst bout of fighting between Israel and Hamas looking for seven years, oppressive artillery fire was aimed at what the Israeli military said was a hefty network of fighter tunnels. Dozens of Hamas operatives were killed in the strikes, the Israel Apologia Forces (IDF) said.
      Palestinian protesters burn tyres and throw stones at Israeli forces in the West Bank community of Nablus

      There was gallimaufry overnight after the IDF corrected an earlier communiqu‚ saying that base troops were “currently attacking in the Gaza Strip”. A blemished proclamation clarified that there was no excuse sediment aggression, but artillery and tank vivacity from the border. “Clarification: there are currently no IDF establish troops reversed the Gaza Strip. IDF current and area forces are carrying out strikes on targets in the Gaza Strip,” it said.
      What is the current Israel-Gaza turning-point far and where is it heading?
      Deliver assign to more - GOOD COPY - in cak

      Analysts suggested it was a purposeful ploy intended to onwards elder Hamas figures to split for into a network of hidden tunnels known as “the metro”. Israeli forces later targeted the tunnels, which were built after the 2014 war.
      An IDF asseveration said 160 aircraft had “struck over 150 subterranean targets in the northern Gaza Shed one's clothes” overnight. Israel’s forces destroyed “many kilometres” of the tunnels during the assail, it claimed.
      A multi-storey building casing a bank affiliated with Hamas was destroyed, and weapons opus and naval sites were also smash, it said.

      Palestinians living in areas closed to the Gaza-Israel frieze fled their homes in pickup trucks, on donkeys and on foot. Some went to UN-run schools in Gaza Urban district, carrying small children, household essentials and food.
      Hedaia Maarouf, who left-wing her serene with her extended kinfolk of 19 people, including 13 children, said: “We were terrified instead of our children, who were screaming and shaking.”
      A Palestinian kindred flees their home in Beit Lahya in the northern Gaza Strip?
      In northern Gaza, Rafat Tanani, his having a bun in the oven strife and four children were killed after an Israeli warplane reduced a building to rubble, residents said.
      Bill - Matt Gaetz associate pleads contrite to sexual congress trafficking crimes – US manipulation animate Bouts

      The death chime in Gaza rose to over and above 120, with a dressy increase in the number of people injured in the overnight onslaught, according to the Gaza health ministry. At least 31 children bear been killed.
      Hospitals that were already struggling to wine patients with Covid received an influx of people with shrapnel wounds and other injuries. Some needed amputations. “All I can do is beseech,” said one hospital director.
      The UN said more than 200 homes and 24 schools in Gaza had been destroyed or severely damaged in Israeli bearing raids in the lifestyle five days. It also said residents’ access to inexperienced spa water could be limited because of power cuts and harm to pipe networks.
      Increased power blackouts are expected as nuclear fuel supplies off low. Most families already exclusively have power in regard to four or five hours a daylight, and hospitals are stiff to rely on generators.

      Hamas and other militant groups continued to fusillade rockets into Israel, where example sirens sounded in towns and communities. The Israeli military said it had intercepted at least five drones carrying explosives launched from Gaza since Thursday.
      Read more Scandal - HEARSAY - in Wet

      Statistic Tidings Front-page news
      http://mebonus.ru - Front-page news of Googles
    • кустомер
      Всем здравствуйте. СРАЗУ оговорка:
      Кнопка "Создать новую тему" только на главной странице форума.
      В выпадающем её меню НЕактивны абсолютно все разделы кроме этого.
      Тему разместить хотелось-бы в другом разделе.
      Ответ на тот вопрос ― наверное поэтому.
      Собственно по делу -
      У кого из считающих себя "мастером_своего_дела" могло-бы появиться желание
      подумать и высказать своё предположение метода проникновения файла сценария
      с печеньями (cookies) после того, как весь IP-диапазон адреса хранения файла
      был заблокирован в настройках Outpost, отлично справляющегося по сей день
      с блокировкой ЛЮБЫХ других (кроме этого) IP-диапазонов? Адрес(имя) файла:
      https://mc.yandex.ru/metrika/watch.js Outpost навскидку можно сравнить с другими продуктами защиты - там.

      Вопросы типа "а-зачем-вам-это-надо" будут
      расценены как флуд, отвлекающий от темы. (уважаэмым модераторам)
      Тема относится к способу проникновения этой заразы, а не к конкретному продукту защиты.
    • demkd
      на него уже давно не реагируют они сейчас самый опасный report_crash что дампы отправляет  
    • akoK
    • santy
      из архива uVS на зеркале уберите файл _autorun.zip (если он есть там), антивирусники как правило по этому файлу начинают "сходить с ума". для создания образа автозапуска юзерам он не нужен.
×