Flame - очередное кибероружие - Страница 9 - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

rkhunter

То что файлы описываемой версии Stuxnet [содержащий прототип главного дроппера Flame в ресурсах] приходили в AV-лабораторию и в последствии догадались их сравнить с "сегодняшним" дроппером, конечно, хорошо. Но вопрос такой...были ли "найдены" реальные компьютеры, зараженные Flame со следами присутствия Stuxnet, т. е. пытался ли последний запустить этот прототип дроппера Flame [из ресурсов] будучи уже у пользователя?

P. S. Не могу найти в паблике хэши так называемого Worm.Win32.Stuxnet.s (собственно как и Trojan-Spy.Win32.Tocy тоже). Он также не в паблике?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
То что файлы описываемой версии Stuxnet [содержащий прототип главного дроппера Flame в ресурсах] приходили в AV-лабораторию и в последствии догадались их сравнить с "сегодняшним" дроппером, конечно, хорошо. Но вопрос такой...были ли "найдены" реальные компьютеры, зараженные Flame со следами присутствия Stuxnet, т. е. пытался ли последний запустить этот прототип дроппера Flame [из ресурсов] будучи уже у пользователя?

Последовательность действий опиши, а то я не догоняю.

а про Tocy/Stux.s я в твиттере недавно писал

https://twitter.com/codelancer/status/208617169364320257

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Последовательность действий опиши, а то я не догоняю.

На компьютерах, инфицированных Flame [к которым как я понимаю вы имели непосредственный доступ для анализа] были обнаружены следы пребывания Stuxnet?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN

Tocy сам из себя что представляет? Еще одна шпионская программа? Но если она использует модуль flame/stuxnet, то почему она до сих пор не проанализирована, вернее, ее не приписывают к авторам флейма?

У майкрософта по нему только общие слова, где и как он использовался?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Костин Раю: MD5 дроппера Stuxnet.A, содержащий в ресурсах описываемые прототипы модулей Flame - 2fb979eb3e8d8b1571cdd0df33427969

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Костин Раю: MD5 дроппера Stuxnet.A, содержащий в ресурсах описываемые прототипы модулей Flame - 2fb979eb3e8d8b1571cdd0df33427969

Раскриптовано/распаковано

stuxnet.jpg

https://www.virustotal.com/file/15de4133ad0...sis/1339434170/

Worm.Win32.Stuxnet.v.

Оригинальный: https://www.virustotal.com/file/67a0b8b4651...9b113/analysis/

Worm.Win32.Stuxnet.z

https://twitter.com/artem_i_baranov/status/...230779911151616

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
На компьютерах, инфицированных Flame [к которым как я понимаю вы имели непосредственный доступ для анализа] были обнаружены следы пребывания Stuxnet?

Были. И ?

Стакснет там был в 2010-2011, например, а Flame попал в 2012.

Tocy сам из себя что представляет? Еще одна шпионская программа? Но если она использует модуль flame/stuxnet, то почему она до сих пор не проанализирована, вернее, ее не приписывают к авторам флейма?

У майкрософта по нему только общие слова, где и как он использовался?

Наверное мы все же не по-русски пишем, раз вы такие вопросы задаете. Или вы читаете неправильно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Были. И ?

Стакснет там был в 2010-2011, например, а Flame попал в 2012.

Т. е. Стакснет на зараженной тачке мог подсосать/дропнуть модули Флейма? Если да, то для некоторой части зараженных Стакснетом машин понятно откуда там взялся Флейм...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
То что файлы описываемой версии Stuxnet [содержащий прототип главного дроппера Flame в ресурсах] приходили в AV-лабораторию и в последствии догадались их сравнить с "сегодняшним" дроппером, конечно, хорошо.

Это не хорошо.

Это плохо.

Если ты не понял, объясняю уже без условностей.

В 2010 году толпы "рисерчеров", точно так же как сейчас с Flame - втыкали в Stuxnet, изучали его, строчили 100-и страничные Досье и засовывали его под Микроскопы.

Ок. Теперь открываем эти самые Досье и пытаемся там найти описания этого самого 207 ресурса.

Вы удивитесь, но там написан полный булшит, не имеющий отношения к реальности - и не только ошибки в понимании, но и пропущены прям критически важные куски анализа. Где хоть у кого написано про файл ~XTRVWp.dat, в котором собственно и ходил stuxnet ?! Где реальное описание работы autoru.inf ? Ни у кого.

Почему раньше никто не увидел EoP-эксплоит там ? Логично же подумать, что стартуя с флешки - Stuxnet все равно должен был как-то получить привилегии на установку дров ? Хоть кто-то из авторов многостраничных "рисерчей" об этом подумал ? Посмотрел в код ? Фиг там.

Почему сейчас, уже две недели как Flame есть у всех на руках, так же как Stuxnet, но никто так и не удосужился хотя бы проверить наши же заявления о том, что autorun.inf трюк- точно такой же как был в Stuxnet ? Почему никто, кто анализировал Stuxnet раньше, не узнал те самые мютексы от Flame - которые точно должен был уже видеть раньше ?

И еще много других "почему" ...

Наша индустрия превратилась в сборище ретвиттеров-болтунов, неспособных складывать в уме дважды два и неспособных анализировать код.

Я кончил.

Т. е. Стакснет на зараженной тачке мог подсосать/дропнуть модули Флейма? Если да, то для некоторой части зараженных Стакснетом машин понятно откуда там взялся Флейм...

Стакснет мог скачать из своих C2 все, что угодно. Хоть Flame, хоть Duqu, хоть Чернобыль. Это все только предположения - фактов того, что он качал и качал ли - нет (и уже никогда не будет).

А про "дропнуть" модули - ты о чем ? Не дропает Stuxnet никаких модулей Flame.

И опять же - вот машина, Stuxnet там был в 2011 (удален и вылечен), Flame появился в 2012. Какая связь ? Никакой.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Едва ли кто-то из ресерчеров имеет такой же широкий и глубокий охват, статистику по угрозам и их исследованию как Kaspersky (в т. ч. и автоматические системы), доступ к зараженным машинам, эксклюзивные контракты на исследование и т. д. и т. п. Другие вендоры просто могли на это забить. Ты ж сам как-то писал, что компания специализируется именно на расследовании инцидентов, едва ли кто-то из ресерчеров или мелких компаний в состоянии провернуть подобную задачу. Кстати, думаю ты не прав, код то ресерчить умеют, а вот таким крупным охватом как Kaspersky едва ли кто-то может похвастаться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Мля, причем тут охват ?

Вот файл и вот файл. Бери и дизассемблируй это.

Мой камень-то в огород Симантека по большей части.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Насколько я помню вайт пейпер Симантека про Stuxnet был весьма полным...

На счет Флейма, ITU же обратились за исследованием к Kaspersky а не Symantec...поэтому они вроде как и в хвосте, а может и забили на это...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Насколько я помню вайт пейпер Симантека про Stuxnet был весьма полным...

Вот теперь открой его и найди в нем то, о чем я написал выше.

про есетовский папер я вообще промолчу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN
Наверное мы все же не по-русски пишем, раз вы такие вопросы задаете. Или вы читаете неправильно.

Я понял, что там использовался модуль Стакснета. Но где данная модификация стакснета была замечена, была ли использована в Иране на "объекте"?

Как я понял. у него со стакснетом совпадает только 207-ой раздел, отвечающий за авторан, правильно? А в чем заключается остальной функционал?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN

извините за глупый вопрос не по теме, setup.exe, который распространяется через флешки автораном и который Касперским 6.0 в качестве активного заражения не лечится, это на Кидо похоже?

Прочитал английскую версию, теперь попонятнее стало :)

То есть Туси по-сути является просто дроппером?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kapral
который Касперским 6.0
:D

Какой именно 6.0 - их много и на разных движках )))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valdis
вот кусочек кода из Флейма, когда он пытается лезть по сетке через MS10-061:

var oProcs = s.ExecQuery("SELECT * FROM Win32_Process WHERE name='outpost.exe' or name='aupdrun.exe' or name='op_mon.exe' or name='avp.exe'");

ну и соответственно, если видит такое, то пугается и решает, что лучше туда не лезть :)

А есть ли во Флейме еще подобные кусочки кода?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

A.

какой экспорт в этом раскриптованном дроппере надо подергать чтобы он выплюнул этот atmpsvcn.ocx из 207-го хотя бы в памяти?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Мой камень-то в огород Симантека по большей части.

В их вайт пейпере по Стакснету есть небольшая информация, которую ты дал по датам...

stuxnet3.jpg

stuxnet4.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

слегка в сторону, сорри.

такая вот вывалилась у нас публикация. Но активный просмотр имеет

http://techno.bigmir.net/technology/152058...t-obshie-cherti

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN
:D

Какой именно 6.0 - их много и на разных движках )))

Знал бы - не спрашивал :)

Тут ситуация следующая, спросили, что с этим делать:

В школе стоит Касперский, некий вирус ловит, но вылечить не может (какое действие они над ним выбирают не знаю, соглашаются ли на лечение активного заражение (такое в 6 есть?) тоже)

Проверяют Др.Вебом, безрезультатно, видит он его или нет не знаю, но, вообщем, вирус не вылечивается, но хотя школьные сисадмины за соответствующие зарплаты могут и через известное место все это выполнять :D

Касперский, скорее всего, самый обычный anti-virus, в школах наших обычно именно шестерка стоит, которую периодически подключают к интернету и обновляют, поэтому по версии тоже точно сказать не могу

Этот вот вирус на флешки через авторан "залезает", файл исполняемый - setup.exe, Avira Free 9 видит.

Больше ничего вытащить не получилось ;)

На что по симптомам похоже?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
strat
На что по симптомам похоже?

на миллионы вирусов с таким поведением. никаких реальных советов дать нельзя по такому описанию "рост средний, волосы темные"

если сделать логи avz и кинуть на http://virusinfo.info то помогут

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN
на миллионы вирусов с таким поведением. никаких реальных советов дать нельзя по такому описанию "рост средний, волосы темные"

если сделать логи avz и кинуть на http://virusinfo.info то помогут

тут основной симптом - имя файла и невозможность вылечить активное заражение

А то, что есть миллион вирусов с таким поведением и setup.exe, понятно

Ладно, буду так разбираться

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kapral
Знал бы - не спрашивал :)

Тут ситуация следующая, спросили, что с этим делать:

В школе стоит Касперский, некий вирус ловит, но вылечить не может (какое действие они над ним выбирают не знаю, соглашаются ли на лечение активного заражение (такое в 6 есть?) тоже)

Давай сюда Антивирус Касперского - покупка, использование и решение проблем с этой проблемой что бы тут не оффтопить

И сразу

1. Выполните http://support.kaspersky.ru/faq/?qid=208637885

2. Лог выложите на http://www.getsysteminfo.com/

3. Покажите полученную ссылку

Больше ничего вытащить не получилось ;)

На что по симптомам похоже?

Могу только противотанковую клизму админам предложить ))) - обычно в таких случаях и лечение и профилактика

ЗЫ. Там должна быть корпоративная 6ка стоять

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AM_Bot

Создатели самой мощной, из известных на сегодняшний день, вредоносной программы Flame, которую большинство специалистов считают новым видом кибероружия, запустили механизм самоуничтожения программы, полностью убрав ее с некоторых инфицированных компьютеров.

подробнее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      И ещё это: https://www.comss.ru/page.php?id=18330 Это и на работе Образов с Live CD может сказаться ?
    • PR55.RP55
      Тема: https://www.comss.ru/page.php?id=18331    " Ошибка проявляется в том, что при закрытии окна программы с помощью кнопки Закрыть (X) процесс taskmgr.exe не завершается полностью. При повторном открытии Диспетчера задач предыдущий экземпляр продолжает работать в фоне, хотя окно не отображается. В результате со временем накапливаются несколько процессов, что приводит к избыточному потреблению ресурсов системы и снижению производительности... " и это натолкнуло на мыслю. Раз есть такая проблема с taskmgr - то это может повториться с "любой" другой программой... т.е. можно? Реализовать команды: " Обнаружить и завершить все нетипично активные экземпляры Системных процессов\программ".  и " Обнаружить и завершить все нетипично активные экземпляры не Системных...". Такое может быть и с браузерами - например Firefox - если есть две версии программы установленные в разные каталоги и пользователь их запускает - часто бывает неполное завершение. тогда жрёт всё и вся...  
    • Ego Dekker
      Компания ESET (/исэ́т/) ― лидер в области информационной безопасности ― сообщает об обновлении ESET HOME Security Essential и ESET HOME Security Premium, комплексных подписок для защиты устройств домашних пользователей, и ESET Small Business Security, решения для малого бизнеса.

      Среди новинок ― функция восстановления после атак программ-вымогателей, мониторинг микрофона и улучшения безопасности при просмотре веб-сайтов, а также VPN, который предотвращает нежелательное отслеживание, обеспечивая неограниченный доступ к онлайн-контенту. Поскольку мошенничество сегодня является глобальной угрозой для всех пользователей, ESET обеспечивает усовершенствованную защиту от различных мошеннических методов, противодействуя атакам из разных типов источников, включая SMS-сообщения, электронную почту, телефонные звонки, URL-адреса, QR-коды, вредоносные файлы и другие.

      Обновленная платформа ESET HOME также упрощает управление безопасностью, что облегчает пользователям защиту своих семей, а владельцам малого бизнеса позволяет точно отслеживать защищенные устройства, а также устанавливать программы безопасности на все устройства благодаря доступному и понятному интерфейсу. 

      «Как поставщик передовых решений для защиты цифровой жизни, ESET тщательно отслеживает текущую ситуацию с угрозами и соответственно разрабатывает свои решения по кибербезопасности, ― комментирует вице-президент ESET в сегменте домашних пользователей и Интернета вещей. ― Усиленная защита от мошенничества, новая функция восстановления после атак программ-вымогателей и многочисленные усовершенствования безопасности конфиденциальных данных делают продукты ESET для домашних пользователей и малых предприятий мощными комплексными решениями, которые сочетают минимальное влияние на продуктивность и простоту в использовании».

      Решения для домашних устройств и малого бизнеса защищают все основные операционные системы ― Windows, macOS, Android ― и поддерживают разные устройства умного дома. Кроме того, ESET Small Business Security также защищает серверы Windows.

      Основные улучшения для пользователей Windows:

      •    Добавлен VPN (теперь доступно в подписке ESET HOME Security Premium): функция защитит сетевое подключение благодаря анонимному IP-адресу, а безлимитная пропускная способность обеспечит неограниченный доступ к онлайн-контенту. Кроме Windows, VPN также доступен пользователям MacOS, Android и iOS.

      •    Усилена защита конфиденциальных данных (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security): новый мониторинг микрофона обнаруживает и уведомляет пользователей о несанкционированных попытках доступа к микрофону на устройствах Windows.

      •    Улучшена безопасность при использовании браузера (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security) для защиты от фишинга, мошенничества и вредоносных веб-сайтов. Эта функция сканирует воспроизводимый HTML-код в браузере, чтобы обнаружить вредоносное содержимое, которое не фиксируется на уровне сети и с помощью «черного» списка URL.

      •    Добавлено восстановление после атак программ-вымогателей (доступно в решении ESET Small Business Security): первоначально разработанная для крупного бизнеса, функция позволяет минимизировать ущерб, вызванный этими угрозами. Как только защита от программ-вымогателей выявляет потенциальную угрозу, функция восстановления после атак немедленно создает резервные копии файлов, а после устранения опасности восстанавливает файлы, эффективно возвращая систему в прежнее состояние. Основные улучшения для пользователей macOS (доступны в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security):

      •    Поддержка macOS 26 (Tahoe) позволяет использовать защиту на текущей версии macOS.

      •    Поддержка HTTPS & HTTP/3 улучшает безопасность пользователей в Интернете.

      •    Управление устройствами контролирует внешние устройства, подключенные к Mac. Функция помогает защитить от вредоносного программного обеспечения и несанкционированной передачи данных, ограничивая доступ к определенным типам или даже отдельным устройствам. Следует отметить, что эти усовершенствования помогут противодействовать постоянно совершенствующимся угрозам с особым акцентом на предотвращение. Компания ESET также считает чрезвычайно важным сочетание кибергигиены с удобной защитой, поскольку действительно эффективная кибербезопасность должна быть простой в настройке и управлении.

      Более подробная информация о многоуровневой защите устройств домашних пользователей и решении для малого бизнеса. Пресс-выпуск.
    • Ego Dekker
      ESET NOD32 Antivirus 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Internet Security 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Smart Security Premium 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Security Ultimate 19.0.11  (Windows 10/11, 64-разрядная)
                                                                                  ● ● ● ●
              Руководство пользователя ESET NOD32 Antivirus 19  (PDF-файл)
              Руководство пользователя ESET Internet Security 19  (PDF-файл)
              Руководство пользователя ESET Smart Security Premium 19  (PDF-файл)
              Руководство пользователя ESET Security Ultimate 19  (PDF-файл)
              
      Полезные ссылки:
      Технологии ESET
      ESET Online Scanner
      Удаление антивирусов других компаний
      Как удалить антивирус 19-й версии полностью?
    • demkd
      ---------------------------------------------------------
       5.0.3
      ---------------------------------------------------------
       o Добавлен новый статус процесса: Критический.
         В старых версиях uVS выгрузка такого процесса приводила к BSOD с кодом: CRITICAL PROCESS DIED.
         Начиная с v5.0.3 такие процессы выгружаются без последствий (если этот процесс не является системным).
         При обнаружении неизвестного процесса с критическим статусом в лог выводится предупреждение и
         файл получается статус "подозрительный".

       o Добавлен новый режим захвата экрана DDAw, который является упрощенным режимом DDAL.
         Отличие от DDAL в том, что передается и отображается лишь содержимое активного окна и
         участки окон высшего уровня перекрывающие это окно (если они есть).
         Данный режим позволяет снизить нагрузку на процессор и канал передачи данных.
         Визуально это выглядит как интеграция окна удаленного приложения в клиентскую систему.
         Для переключения между окнами доступны все горячие клавиши.
         При нажатии Alt+Tab на время удержания клавиши Alt передается весь экран для возможности
         визуального выбора другого окна.
         (!) В этом режиме монитор и рабочий стол выбираются автоматически по расположению активного окна. 
         (!) В этом режиме недоступна эмуляция нажатия Ctrl+Alt+Del.
         (!) В этом режиме недоступно отображение запроса UAC.
         (!) Если нет активного окна то картинка не передается.
         (!) Режим доступен начиная с Windows 8.

       o В окно настройки однократного доступа к удаленному рабочему столу
         добавлен новый флаг "Только для выбранного приложения".
         Если флаг установлен то удаленному пользователю передается лишь содержимое активного  
         окна разрешенного приложения, все остальное он не видит и не может просматривать/управлять 
         окнами других приложений.
         Разрешенным может являться лишь одно приложение. Для выбора приложения необходимо
         активировать любое его окно и нажать горячую клавишу (по умолчанию Alt+Shift+W) указанную в логе uVS.
         Выбор доступен лишь тому кто предоставляет доступ к своему рабочему столу.
         Если удаленному пользователю разрешено управление и он любым способом сменит фокус ввода
         на другое приложение (например нажмет Alt+Tab или закроет приложение) то он немедленно потеряет возможность
         управлять удаленным компьютером до возврата фокуса ввода в окно разрешенного приложения или
         замены разрешенного приложения.

       o Функция запоминания размеров окон для разных мониторов удалена.
         Теперь действуют единые парметры масштабирования.
         Масштабирование стало автоматическим.

       o При подключении к удаленному рабочему столу автоматически определяется активный дисплей
         по окну на переднем плане.

       o В системное меню окна удаленного рабочего стола добавлены пункты:
         o Скрыть/показать элементы управления.
         o Эмулировать нажатие кнопок Ctrl+Alt+Del (кнопка CAD удалена из окна).
       
×