TDSS: Вот оно как. - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию
Danilka

TDSS: Вот оно как.

Recommended Posts

Danilka

Просто оставлю цитаты, без первоисточника, чтоб не обижать никого:

что касается данного руткита, то у Symantec, LK, Panda с этим проблем изначально не было. ESET и Dr.WEB вначале действия руткита не могли с ним ничего сделать- в течении 18 часов- в Dr.WEB он чуть не вывел и строя 2 сервера. Сейчас вся стабильно, отмечалась взрывная эпидемия 1.11.10. я читал про самую сложную пока структуру полиморфизма - упаковщик TDSS руткита.....это нонсонс- его сложно распознать и не все аналитики сразу смогли с ним разобраться....вот и всё. Проблема состояла в том, что автоматические системы не могли его уничтожить сами, требовалось внимание аналитиков....но после этого случая например в Symantec введены новые параметры для облачных систем.

Часть данных взята из CNN.

далее:

У Symantec лечение было всегда, сигнатуры обнаружения долго не было. Теперь и сигнатура есть, таким образом, вопрос закрыт.

Выводы делать вам. :)) Такого ржача я еще не читал никогда. :lol:

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин

Блин, почему до сих пор не приделан смайл :facepalm:57f251788b8b.gif

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla

………………………………,.-‘"……………….``~.,

………………………..,.-«……………………………..»-.,

…………………….,/………………………………………..":,

…………………,?………………………………………………\,

………………./…………………………………………………..,}

……………../……………………………………………,:`^`..}

……………/……………………………………………,:"………/

…………..?…..__………………………………..:`………../

…………./__.(….."~-,_…………………………,:`………./

………../(_…."~,_…….."~,_………………..,:`…….._/

……….{.._$;_……"=,_……."-,_…….,.-~-,},.~";/….}

………..((…..*~_……."=-._……";,,./`…./«…………../

…,,,___.\`~,……»~.,………………..`…..}…………../

…………(….`=-,,…….`……………………(……;_,,-«

…………/.`~,……`-………………………….\……/\

………….\`~.*-,………….... ...………….|,./…..\,__

,,_……….}.>-._\……………………………..|…………..`=~-,

…..`=~-,_\_……`\,……………………………\

……………….`=~-,,.\,………………………….\

…………………………..`:,,………………………`\…………..__

……………………………….`=-,……………….,%`>--==``

…………………………………._\……….._,-%…….`\

……………………………..,<`.._|_,-&``…………….`\

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Denis Lipnicky

Danilka

Вы что?

Тихим сапом по вражеским форумам шарите? - не хорошо.

-----------------

нужно проверить самому, кто и что лечит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Denis Lipnicky

Оп-а-а... :lol: а я и не знал

Результат только свежаком.

И Доктор и каспер и панда и нортон - все старые.

----------------

статья и в самом деле - неудачная.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Denis Lipnicky

Вы хоть прочитайте все внимательно, что пишут. В т.ч. на форуме, откуда взяты цитаты. Слова "Изначально" и "Всегда" ключевые. :)

Особенно про Panda... :lol: Про 2 сервера у Dr.Web я вообще молчу....

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Denis Lipnicky
Denis Lipnicky

Вы хоть прочитайте все внимательно, что пишут. В т.ч. на форуме, откуда взяты цитаты. Слова "Изначально" и "Всегда" ключевые. :)

Особенно про Panda... :lol: Про 2 сервера у Dr.Web я вообще молчу....

Я не об этом. Мне это не интересно.

Мне хочется просто узнать, как обстоят дела с лечением на данный момент.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Denis Lipnicky

Лечением какой версии и каким продуктом?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

На данный момент все сосут. Для x64. Беты я не считаю, конечно, т.к. их нет у пользователей. Отдельные тулзы тоже не считаю, о них нужно знать и нужно знать, что есть заражение.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
teo

Danilka, Вы, наверно, запамятовали указать возраст человека, написавшего данное сообщение :)

1.jpg

post-7227-1288717731_thumb.jpg

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

teo

Да какая разница? Специально не давал ссылок и ников, а тут сами все "спалили". Молодцы. :)

+ пожалуйста не надо комментировать, если не понимаете "корня" обсуждаемого сабжа. А то топик захламляется.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
teo
+ пожалуйста не надо комментировать, если не понимаете "корня" обсуждаемого сабжа. А то топик захламляется.

Вы имеете ввиду этот "корень"? :)

На данный момент все сосут.
  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Danilka, Вы, наверно, запамятовали указать возраст человека, написавшего данное сообщение :)

А может указать возраст человека, написавшего это? :) Скажем, он минимум в два раза больше возраста, предыдущего автора.

У Symantec лечение было всегда, сигнатуры обнаружения долго не было. Теперь и сигнатура есть, таким образом, вопрос закрыт.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
DiabloNova
что касается данного руткита, то у Symantec, LK, Panda с этим проблем изначально не было. ESET и Dr.WEB вначале действия руткита не могли с ним ничего сделать- в течении 18 часов- в Dr.WEB он чуть не вывел и строя 2 сервера. Сейчас вся стабильно, отмечалась взрывная эпидемия 1.11.10. я читал про самую сложную пока структуру полиморфизма - упаковщик TDSS руткита.....это нонсонс- его сложно распознать и не все аналитики сразу смогли с ним разобраться....вот и всё. Проблема состояла в том, что автоматические системы не могли его уничтожить сами, требовалось внимание аналитиков....но после этого случая например в Symantec введены новые параметры для облачных систем.

Ничего особенного.

sceptic939 малолетний далб-б, это все объясняет, поищите по другим ав форумам, найдется тьма других, инфа 100%.

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ta2i4

:D:D:DDanilka, спасибо за рекламу ресурса, хоть и без ссылок :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Это скорее анти-реклама, раз спалились сами. Пишите еще подобные перлы. Как говорится - "Минута смеха продлевает жизнь". :)

найдется тьма других, инфа 100%.

57f251788b8b.gif Тут уже озера мало, надо их в космос отправлять. :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Тихим сапом по вражеским форумам шарите? - не хорошо.

Вражеские форумы :lol: Денис, все в войнушку и казаки-разбойники играем? Война кругом, как опасно жить! Такие высказывания напоминают стиль оголтелых спортивных фанатов.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

В такое смутное время мы живем...

Помню раньше было:

1) "Какую музыку слушаешь?" В зависимости от того, какой будет ответ (реп, металл или панк-рок) отвечающий получал в морду.

2) Затем "За какой футбольный клуб болеешь?" - результат аналогичен.

3) Теперь "Какой АВ юзаешь?" .... :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
DiabloNova

Поциент вообще доставляет, создает неслабые вирусы, может атаковать другие ПК.

http://my.mail.ru/mail/alcogol939/

OMG, It's a hacker GET IT THE CAR!

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Поциент вообще доставляет, создает неслабые вирусы, может атаковать другие ПК.

"ОЧЕНЬ люблю красивых тёлок" ... но пока еще дрочу. :lol::lol::lol:

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Ну девочки у него в "друзьях" не плохи судя по фото. А так, да. Все очень "дерзко".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw

Интересно, а это не его спам-бот постоянно ломится в разные ICQ с запросом на авторизацию "Мне нужен парень для секса..."? :unsure:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z.E.A.

Нехилый срач. :)

Оценил.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Denis Lipnicky
Вражеские форумы :lol: Денис, все в войнушку и казаки-разбойники играем? Война кругом, как опасно жить! Такие высказывания напоминают стиль оголтелых спортивных фанатов.

Я про эти игры и забыл давно :) странно что вы помните.

И как-то не логично вы про спортивных фанатов. Что, читаете форум на который никогда не заходите? Смысл моего поста, тем кто хотел понять, - понял, кто захотел понять по своему, мне и ответил.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×