Перейти к содержанию
rkhunter

Анализ интересного ring0 стилера

Recommended Posts

rkhunter

Анализ руткита, предположительно, industrial происхождения, нацелен на похищение информации с устройств, работающих, например, в банкоматах (пока никем неподтвержденная официально информация).

Вся логика работы в ring0.

http://artemonsecurity.blogspot.com/2012/0...ernel-mode.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

что-то новое ? три недели назад же было уже

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

[:]||||||||||||||||[:]

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Анализ руткита, предположительно, industrial происхождения

не, ну можно и обсудить.

в статье не нашел никаких данных подтверждающих, или даже упоминающих такую теорию.

поэтому хочется узнать - с чего такие выводы ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
не, ну можно и обсудить.

в статье не нашел никаких данных подтверждающих, или даже упоминающих такую теорию.

поэтому хочется узнать - с чего такие выводы ?

Только косвенные признаки, здесь нужны данные по устройству банкомата.

Готов обсудить и отдать всю информацию которая у меня имеется (лучше в личку).

Перед этим вел переговоры с другими господами, но возникла какая-то проволочка, поэтому вот такой очень интересный материал висит в воздухе около 3 недель.

Малварь новая.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Эээ, погоди.

Так ты под индустриальностью имеешь в виду - нацеленность, а не происхождение ?

Только косвенные признаки, здесь нужны данные по устройству банкомата.

ccsnf - думаешь "cc снифер" ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Так ты под индустриальностью имеешь в виду - нацеленность, а не происхождение ?

Скорее нацеленность, оригинальный дроппер был обнаружен не на зараженной тачке, так что я ничего не могу сказать о том, какова среда обитания этой малвари на сегодняшний день.

ccsnf - думаешь "cc снифер" ?

Да.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • demkd
      (!) Эта версия пока протестирована только для старших систем Win7 & Win10, в младших возможны проблемы.
      ---------------------------------------------------------
       4.0.19
      ---------------------------------------------------------
       o В окно информации о процессе добавлены проценты загрузки GPU с момента _создания_ процесса.
         Процесс со средней загрузкой >15% хотя бы одного видеоадаптера автоматически получает статус "подозрительный".
         Любой процесс использующий ресурсы GPU получает новый статус "GPU".
         Процессы НЕ использущие впрямую GPU не имеют строчек загрузки GPU в информации о файле.
         GPU нумеруются с 1-ки, нумерация произвольная и не имеет отношения к реальному порядку видеокарт на шине.
         Загрузка считается для каждого видеоадаптера отдельно.  o Оптимизирована функция поиска внедренных потоков.  o Теперь замороженные потоки в логе помечаются дополнительным индикатором состояния "[suspended]".    Майнер в логе:
      (!) Процесс нагружает GPU 1: C:\TOOLS\ZCASH\ZECMINER64.EXE
      (!) Процесс нагружает GPU 2: C:\TOOLS\ZCASH\ZECMINER64.EXE
      (!) Процесс нагружает GPU 3: C:\TOOLS\ZCASH\ZECMINER64.EXE
      (!) Процесс нагружает GPU 4: C:\TOOLS\ZCASH\ZECMINER64.EXE

      В  окне информации о файле:
    • demkd
      ничего действительно рабочего в данный момент не существует, uVS будет первым
    • PR55.RP55
      1) Код system monitor с отслеживанием GPU https://github.com/brndnmtthws/conky/blob/fcbc5c8ba2a9546f50661a4846aef2f76f07a066/src/nvidia.cc 2) Возможно стоит найти Benchmark с открытым исходным кодом.
    • demkd
      даже скомплировалось, но интереса никакого не представляет, проще использвать WMI для этого, который и в XP работает в отличии от этого примера,  еще и работает криво, даже набортную видео память правильно определить не смогло, 4Gb рисует вместо 11gb. а это вообще не в тему.
    • PR55.RP55
      Возможно будет полезно. 1) Обнаружение GPU intel с примером кода. https://software.intel.com/ru-ru/articles/gpu-detect-sample 2) Использование GPU - Visual Studio  в плане тестирования. https://msdn.microsoft.com/ru-ru/library/mt126195.aspx    
×