Перейти к содержанию
vpv

Возможно ли самостоятельно разработать антивирус

Автор vpv, в Современные угрозы и защита от них

Recommended Posts

Petuya    5

Petuya
Опубликовано

ARCHANGEL

По поводу твоего разбора NetScreen.

1) Он-таки на ассемблере, а не на C/C++. Это заметно.

2) Дропает он не сразу батник, он дропает дроппер (DLL) и его базу данных (рассчитанную на несколько батников). Первая строка - это стартовая позиция файла, его имя (в который надо сдропить), потом идет видимо размер. Длл-ка походу какого-то немца, т.к. ошибка выводится на немецком и английском (что подтверждает вариант, что Бабушкин никакого отношения к коду не имеет). Все, что умеет - парсить эту "базу", загружать и запускать эти файлы (дожидаясь завершения).

3) "Куча функций переливания из пустого в порожнее" - это работа со строками. Копирование, сложение, создание, удаление. Ну и работа с файлами вся обернута таким же образом. Почти как в делфи, но не делфи.

И еще, ARCHANGEL, добавь разбор Fin.dll. Это PEiD (сразу видно:)).

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

vpv    4

vpv
Опубликовано
Имхо тема себя изжила.

Уже все разобрано и пошло по второму кругу.

Или давайте конкретные меры принимать и обсуждать их результаты или закрывайте флудотоп. Первый раунд с Бабушкиным - ничья.

Бабушкин, залогинтесь!

Какой второй круг?? Только сейчас стали по полочкам разбирать этот "код". Меры будем стараться принимать.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано
По поводу твоего разбора NetScreen.

1) Он-таки на ассемблере, а не на C/C++. Это заметно.

2) Дропает он не сразу батник, он дропает дроппер (DLL) и его базу данных (рассчитанную на несколько батников). Первая строка - это стартовая позиция файла, его имя (в который надо сдропить), потом идет видимо размер. Длл-ка походу какого-то немца, т.к. ошибка выводится на немецком и английском (что подтверждает вариант, что Бабушкин никакого отношения к коду не имеет). Все, что умеет - парсить эту "базу", загружать и запускать эти файлы (дожидаясь завершения).

3) "Куча функций переливания из пустого в порожнее" - это работа со строками. Копирование, сложение, создание, удаление. Ну и работа с файлами вся обернута таким же образом. Почти как в делфи, но не делфи.

И еще, ARCHANGEL, добавь разбор Fin.dll. Это PEiD (сразу видно:)).

1. exe - согласен, асм. b2e.dll - C, ООп кода там я не увидел.

2. "Первая строка - это стартовая позиция файла, его имя (в который надо сдропить), потом идет видимо размер." - опущено в анализе, т.к. несущественно. В принципе, могу добавить. К сожалению, файлов слишком много чтоб прям каждую строчку прокомментировать. Так что да, критика приветствуется.

3. "это работа со строками. Копирование, сложение, создание, удаление." - Куча функций переливания из пустого в порожнее. А ещё выделение, освобождение памяти из кучи, перемещение строк из одного буфера в другой и т.д.

На счёт разбора Fin.dll - да, обратим внимание.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Petuya    5

Petuya
Опубликовано

Пункт TODO "найти надпись про гусей" - очень просто. ControlX.dll, там в юникоде лежит строка. В декомпиле - форма AI, адрес loc_581158.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано
Пункт TODO "найти надпись про гусей" - очень просто. ControlX.dll, там в юникоде лежит строка. В декомпиле - форма AI, адрес loc_581158.

Это я видел много раз на разных ресурсах. Имеется ввиду, логически связать запуск/функционал модуля с этой надписью с общей работой антивирусного продукта.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Petuya    5

Petuya
Опубликовано
Это я видел много раз на разных ресурсах. Имеется ввиду, логически связать запуск/функционал модуля с этой надписью с общей работой антивирусного продукта.

Выводится, когда оставшееся количество дней лицензии равно 950.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано
Выводится, когда оставшееся количество дней лицензии равно 950.

Я вам верю, но нужно это как-то логично и с доказательной базой втиснуть в исследование.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Petuya    5

Petuya
Опубликовано

На первой странице обсуждения был отскриншотен код декомпилера. Там видно, что выводится если некое Timer4.Caption = "950".

Можно открыть C:\Windows\wusa.dll, вписать туда 950, запустить панель конфигурации АВ и увидеть эту самую надпись.:)

Пруф http://www.anti-malware.ru/forum/index.php...st&p=167204

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

amid525    67

amid525
Опубликовано
Аналитики тоже с юмором.

______.JPG

Вирлаб жжот. :lol:

Непонятно, куда жжот..

"это всеми известный антивирус Бабушкина!"

Т.е, они не считают его фейком.. , а Антивирусом!

Так-то.. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Kapral    311

Kapral
Опубликовано
Непонятно, куда жжот..

"это всеми известный антивирус Бабушкина!"

Т.е, они не считают его фейком.. , а Антивирусом!

Так-то.. :)

Неверное цитирование

Вот как надо понимать

это всеми известный антивирус Бабушкина! ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Z.E.A.    190

Z.E.A.
Опубликовано
Непонятно, куда жжот..

"это всеми известный антивирус Бабушкина!"

Т.е, они не считают его фейком.. , а Антивирусом!

Так-то.. :)

А кто ответил? Фамилию в студию! Не Паршин случаем? :D

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

amid525    67

amid525
Опубликовано
А кто ответил? Фамилию в студию! :D

Ага, ни какого уважения к трудам, разоблачениям в данном топике.. :D

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

alamor    69

alamor
Опубликовано
Бабушкин, залогинтесь!

vpv вам Бабушкин уже во всех мерещится? :D

Какой второй круг??

наверно имелись в виду посты наподобие

Local.bin - очень веселый файл:

в начале темы об этом уже писали.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано

Обновился, ну, вы поняли. Добавлен анализ Fin.dll

1. Добавлена информация и исправлены неточности, на которые указывал Petuya

2. Добавлен анализ Fin.dll - сравнение его с PeID.

  • Upvote 10

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Vad    0

Vad
Опубликовано

Бабушкин навсегда останется идолом, удачливым ловкачом, легендой для школоты и технарей-дилетантов. Он единственный, кто впарил ложный антивирус в гос. учреждения (правда читерил через папу), и не просто так, а за бабло. Но выиграть государственный гранд по президентской программе! Это высший пилотаж. Такого из производителей фэйк-ав ещё не делал никто. А если учесть бонусы в его "продукте" в виде ворованной интеллектуальной собственности, что тут сказать - красиво поимел лохов! Браво, Алексей! :lol:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

GF911    5

GF911
Опубликовано
в начале темы об этом уже писали.

Сорри, вероятно не заметил. Но тему не стоит закрывать хотя бы из-за продолжающегося разбора этой поделки Архангелом и сочувствующими.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Edmond    0

Edmond
Опубликовано

На данный момент имеется объемный подробный разбор этого творения, но что дальше? Я просто не представляю кто и что будет делать. Кому захочется устраивать те же разбирательства в суде... С другой стороны, иных вариантов не особо видно - сам кадр упрям, журналистам интересен только рейтинг, а никак не правда - об этом уже было сказано...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Hitomi    20

Hitomi
Опубликовано
А кто ответил? Фамилию в студию! Не Паршин случаем? :D

Вот только Паршина не надо впутывать. Он няша. :D К слову - ответ был не на сам инсталятор, а на файлик ImunSVC.exe. Тот, что в папке Windows.

Видимо в ЛК признали наконец фактический факт - "Иммунитет" гораздо круче их "глючного комбайна", который "ниловит трояноф". :lol::lol::lol:

*****

Парню (аналитику) всего 20 лет. Так что подход с юмором вполне понятен.

/ох великий Гугл и соц сети - позволяют найти кого угодно. И даже с картинками/

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

MrShoor    0

MrShoor
Опубликовано
Бабушкин поклонник таланта Криса Касперски, меня это даже не удивляет.

659949dd.png

Бида бида. Если бы он осилил чуть больше, чем эта красивая легенда, то знал бы о чем в статье речь.

2Бабушкин: Срочно три со стены это позорище, лол. Сначала прочти о чем пишут в статье и пойми её смысл.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано

Этим товарищ Бабушкин ещё и доказывает, что спёр чужую, хоть и бредовую идею + не осилил дискретную математику, в частности такие понятия как группы, кольца, поля Галуа и т.д. А это, если не ошибаюсь, на начальных курсах читалось. И теперь есть студент третьего курса, который ведёт себя как идиот. Но есть одна проблема - на идиотизм такой спланированно-фейковый антивирус списать не получится. Да и что темнить - даже из журналистского видео видно, что антивирь, который тут потрошат и есть тем самым поделием бабушкина.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Z.E.A.    190

Z.E.A.
Опубликовано
Вот только Паршина не надо впутывать. Он няша.

Местами няша, а местами нет. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

MrShoor    0

MrShoor
Опубликовано
Этим товарищ Бабушкин ещё и доказывает, что спёр чужую, хоть и бредовую идею + не осилил дискретную математику, в частности такие понятия как группы, кольца, поля Галуа и т.д. А это, если не ошибаюсь, на начальных курсах читалось. И теперь есть студент третьего курса, который ведёт себя как идиот. Но есть одна проблема - на идиотизм такой спланированно-фейковый антивирус списать не получится. Да и что темнить - даже из журналистского видео видно, что антивирь, который тут потрошат и есть тем самым поделием бабушкина.

Между прочим статья написана настолько хорошо, что её можно осилить без знания дискретки (достаточно IQ иметь 170 :D ). Видимо ниасилил, и ниасилил на столько, что даже не смог понять смысл статьи. Явно же думает, что она про мегакрутое сжатие данных.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

alamor    69

alamor
Опубликовано

про то что идею архивации он тоже украл, тоже уже писали в топике ;)

P.S. тем кто не следил за темой с самого начала предлагаю перечитать версию для печати или скачать или прочитать офлайн вариант.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      C:\WINDOWS\SYSTEM32\USERINIT.EXE Действительна, подписано Microsoft Windows ------- https://www.virustotal.com/gui/file/0c079dadf24e4078d3505aaab094b710da244ce4faf25f21566488106beaeba0/details Signature verification File is not signed --------- Хотелось бы _сразу видеть в Инфо. результат проверки на V.T.  ( при выборочной проверке - отдельно взятого файла ) Если V.T. такого функционала не предоставляет... То открывать\скачивать страницу ( текст ) и писать результат в Инфо. Образ: https://forum.esetnod32.ru/messages/forum3/topic17900/message117128/#message117128    
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      Предлагаю добавлять в лог - информацию по пользователям типа: Account: (Hidden) User 'John' is invisible on logon screen Account: (RDP Group) User 'John' is a member of Remote desktop group и т.д.      
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      ---------------------------------------------------------
       4.15.3
      ---------------------------------------------------------
       o Добавлен новый модуль uvsv для систем не младше Vista.
         Признаком его работы является номер версии uVS c буквой v на конце: 4.15.3v.
         Модуль позволяет получить более четкие шрифты при активном масштабировании.
         На системах младше Vista будет работать обычная версия 4.15.3.

       o Выбранный шрифт теперь применяется и к меню.

       o Добавлена подстройка размеров списка под размер шрифта в окне активности процессов.
         Улучшена функция сортировки процессов по загрузке GPU.

       o Добавлена подстройка размеров списка под размер шрифта в окне удаления программ.

       o Добавлена подстройка размеров списка под размер шрифта в окне списка сохраненных компьютеров.

       o На основе полученных дамп-файлов выявлены и исправлены ошибки:
         o Исправлена критическая ошибка в файле английской локализации (файл lclz).
         o Исправлена потенциальная критическая ошибка при попытке загрузки поврежденного файла сигнатур.
       
    • Ego Dekker
      Актуальные версии антивируса 17-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 17.1.11.
    • Ego Dekker
      Новая версия бесплатного приложения ESET Online Scanner доступна пользователям

      От Ego Dekker · Опубликовано

      ESET Online Scanner был обновлён до версии 3.7.4.0.
×