Перейти к содержанию

Recommended Posts

Krec

Зайцев Олег

0. все виды (а также все подозрительно ПО)

1. Для идентификации легальность ПО и убедится, что соответствует с описанием (скажем дали ПО, который заливает файл в файлообменники. Мне надо понять этот ПО только заливает указанные файлы или еще другие файлы тоже? ну и т.п. дела)

2. Это очнь сложно и думаю не для моего уровня. ПОка хочу ручную это дела анализировать и понять что к чему

3. По времени пока нет особых ограничений, ну и не разумно было бы на один семпл тратить месяц или 2-3 недели.

Мне это пока нужно будет внутри кмпании "чисто для себя", учится работать с ним, а потом уже перейти на "боевые" задачи. А насчет

можно зверя признать чистым, а можно наоборот

то скжу, что все ошибаются, даже антивирусные гиганты... много раз было, что выслал подорительного ПО на ручной анализ ЛК и eset, и пришли совсем разные ответы. один подтверждал, что это malware(спасибо сказали за содействие), а второй сказал, что это безопасное ПО, нит ничегоподозрительного.

А мне простительно будет, если ошибусь, особо в первое время :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Зайцев Олег

0. все виды (а также все подозрительно ПО)

1. Для идентификации легальность ПО и убедится, что соответствует с описанием (скажем дали ПО, который заливает файл в файлообменники. Мне надо понять этот ПО только заливает указанные файлы или еще другие файлы тоже? ну и т.п. дела)

2. Это очнь сложно и думаю не для моего уровня. ПОка хочу ручную это дела анализировать и понять что к чему

3. По времени пока нет особых ограничений, ну и не разумно было бы на один семпл тратить месяц или 2-3 недели.

Мне это пока нужно будет внутри кмпании "чисто для себя", учится работать с ним, а потом уже перейти на "боевые" задачи. А насчет

то скжу, что все ошибаются, даже антивирусные гиганты... много раз было, что выслал подорительного ПО на ручной анализ ЛК и eset, и пришли совсем разные ответы. один подтверждал, что это malware(спасибо сказали за содействие), а второй сказал, что это безопасное ПО, нит ничегоподозрительного.

А мне простительно будет, если ошибусь, особо в первое время :)

0. Я так и думал. Но очень важно отметить, что для каждого типа малварей есть совои методики, подходы и инструментарий. Для руткитов нужно одно, для файловых инфекторов - другое, для троянов - третье ... И никакой уникальной "серебярянной пули" на все случай жизни нет. за исключением того, что исследователь малварей просто обязан хорошо знать принципы работы операционной системы, значть Assembler, владеть дизассемблерами и отладчиками

1. это нерешаемая простыми методами задача. Положим, что программа должна заливать файлы указанные файлы на заданный на файлообменник, проводим исследование и это подтверждается. но если сегодня пятница и 13-е число, время более 12:00, и на ПК есть документы с словом "секретно" в заголовке, то они будут переданы "куда надо". Если мы тестируем программу скажем в четверг 12-го, то мы такого поведения не увидим. А декомпилировать ее и изучить весь алгоритм работы на все случаи жизни (особенно если размер кода 2-3 мб) - почти нереально, на это нужна уйма времени и сил. И в итоге может отказаться, что за 1-2 дня можно написать свою такую программу, чем месяц изучать код чужой на дизассемблере :)

2-3. вручную - см. п.п. 0-1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Krec

Зайцев Олег

Я так и думал. Но очень важно отметить, что для каждого типа малварей есть совои методики, подходы и инструментарий. Для руткитов нужно одно, для файловых инфекторов - другое, для троянов - третье ... И никакой уникальной "серебярянной пули" на все случай жизни нет. за исключением того, что исследователь малварей просто обязан хорошо знать принципы работы операционной системы, значть Assembler, владеть дизассемблерами и отладчиками

ну я и не ожидал волшебную кнопку или программу, которое мне выдало какому типу пренадлежит тот или иной ПО. С работой ОС(WindXP/2003/7/2008/) хорошо знаком. Не знаю только API функции WIN32, т.к. никогда не занимался серьезно программированием. В университете изучали паскаль в первом курсе, а на 2-3 курсы уже Делфи. Парралельно я самостоятельно изучил Ассемблер, но все же незнаю почему мне казался, что программирование - это не мое :( и бросил это дело. Но имею базовые знание по ассемблеру.

это нерешаемая простыми методами задача. Положим, что программа должна заливать файлы указанные файлы на заданный на файлообменник, проводим исследование и это подтверждается. но если сегодня пятница и 13-е число, время более 12:00, и на ПК есть документы с словом "секретно" в заголовке, то они будут переданы "куда надо". Если мы тестируем программу скажем в четверг 12-го, то мы такого поведения не увидим. А декомпилировать ее и изучить весь алгоритм работы на все случаи жизни (особенно если размер кода 2-3 мб) - почти нереально, на это нужна уйма времени и сил. И в итоге может отказаться, что за 1-2 дня можно написать свою такую программу, чем месяц изучать код чужой на дизассемблере

Серьезно чтоли? :huh:

Вы мне перед тупиком поставили... получается зло всегда побеждает, как в фильме "оружейный барон" )))))))))))

И даже знания ассемблера не спасет отца демократии?

А как поступют "великие практики" ? все же должно быть метод какой то...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      Реализовать возможность добавлять произвольную информацию в Инфо. Информация добавляется в Инфо. аналогично тому, как это реализовано с критериями поиска, но без влияния на статус файла\объекта. Например оператор произвёл замену\обновление ряда системных файлов\драйверов с версии ??? на версию ??? Оператор работая с системой может зайти в Инфо. прописать информацию и затем при необходимости посмотреть всю историю того, или иного файла - что с ним происходило. т.е. Можно создать себе некую памятку. Например оператору не хватает информации которую предоставляет ему UVS по умолчанию. Оператор может добавить данные по времени создания\изменения файла. Сравнительную информацию одного файла с другим. Какие записи в реестре были и какие новые появились, была у файла ЭЦП или её изначально не было, Оригинальный это файл или это патч.  и т.д. + Возможность сохранить не отдельную строку, а всю информацию из окна Инфо. т.е. делать быстрые записи\сохранение информации. Актуально, как при работе с системой, так и при работе с образами.
    • santy
      может быть проблема в том, что часть файлов от известных производителей просто не подписана. судя по этому образу только два файла из каталога vmware с нарушенной подписью, остальные с действительной. C:\PROGRAM FILES (X86)\VMWARE\VMWARE WORKSTATION\VMWAREBASE.DLL
      C:\PROGRAM FILES (X86)\VMWARE\VMWARE WORKSTATION\X64\VMWARE-VMX.EXE проверка этих файлов по VT показывает что файлы не подписаны. Signature Info Signature Verification  File is not signed https://www.virustotal.com/gui/file/9c04db2177eabca00c1ae0788c31ce9c041cfbbfd02ea569b6364ebede5e9b69/details возможно, ты уже о таких случаях писал раньше, но уже как то забылось а это по lsass.exe на VT не подписан, Signature Verification Highlights whether the file being studied is signed and whether the signature is valid.  File is not signed а в образе с нарушенной цифровой НАРУШЕНА, файл модифицирован или заражен https://www.virustotal.com/gui/file/dcf9d744fe1b1cf47ec2870b44c852846c221d604b50de8adf79f60629a92a55/details   PROBOOK_2019-12-11_20-15-06_v4.1.8.7z
    • Svetik2244
      Можно электронную книгу, планшет или беспроводные наушники подарить...
    • Svetik2244
      Мне тоже нравятся игры на ПК и на смартфоне. Обожаю аркады.
    • natalie_irbis
      Коллеги, предлагаем протестировать систему «Ирбис»: проверить физических, юридических лиц и недвижимость. Главные отличия от других систем — акцент сделан на проверке физических лиц и есть полная база всех судов с 2005 года. В системе более 100 открытых государственных баз, которые обновляются 24/7. Вся информация выводится в одном окне. Есть следующие инструменты: — судимость — задолженность по ФССП — заложенное имущество — банкротство — список террористов — список дисквалифицированных — ЕГРЮЛ/ЕГРИП — история юрлица — действительность паспорта — бухгалтерская отчетность — обременение на недвижимости — право собственности недвижимости — и другие источники.   Бесплатный доступ на сутки: https://ir-bis.org/ Будем рады любым отзывам.
×