Перейти к содержанию
AM_Bot

Язык сценариев AutoIt становится всё более популярным у киберпреступников

Recommended Posts

AM_Bot

Эксперты утверждают, что язык сценариев AutoIt становится всё более популярным у создателей вредоносных программ. Специалисты компании Trend Micro выявили множество вредоносных программ и инструментов, созданных киберпреступниками при помощи AutoIt, включая клавиатурные шпионы (keylogger) и RAT-трояны.

подробнее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

ну, да, не хотят чет хакеры зловреды на питоне писать... может потому что это не сильно удобно, а не потому, что питон сложнее? тем более это спорное утверждение. Вот лично мне сложнее всего было ява-скрипт изучать...хотя в нем я так и остался на нубском уровне по сути)))

вообще, если уж на то пошло, зловреда можно и пхп написать, потом в ехе компилить... как-то не догоняют авторы статьи почему на самом деле автоит становится популярным у хацкеров... ))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z.E.A.
как-то не догоняют авторы статьи почему на самом деле автоит становится популярным у хацкеров... ))

Почему?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EVIKil
Почему?

Элементарно, Ватсон! Касперский например не ловит. :)

Только что скачал:

https://www.virustotal.com/ru/file/ff5387b5...4ab95/analysis/

image_518f0919ca1f9.png

Kaspersky - на момент проверки вирусов нет.

:)

Или вот:

Operating memory » C:\Documents and Settings\XPMUser\Рабочий стол\AdobeFlash.exe - Win32/AutoRun.VB.RR worm

C:\Users\VITALIKEAV\Desktop\AdobeFlash.exe » AUTOIT » script.au3 - is OK

C:\Users\VITALIKEAV\Desktop\AdobeFlash.exe » AUTOIT » script.bin - a variant of Win32/Injector.Autoit.KC trojan

https://www.virustotal.com/ru/file/a44b25d9...sis/1367956723/

А вот и ещё:

https://www.virustotal.com/ru/file/e457b6b4...06d0e/analysis/

https://www.virustotal.com/ru/file/90cfae13...d71f6/analysis/

Kaspersky - вирусов нет. :)

Отредактировал EVIKil

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

EVIKil Веталик, Nod вообще не умеет анализировать файлы скомпилированные на AutoIt и подобный алерт выкинет даже на Hello Word. Так что это доказательство несостоятельности Nod-a

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Виталег не такой тупой, как кажется - ведь смог же нарыть зловредов на автоите, которые палит нод32, но не палит каспер. Что это значит? Это значит, что у него есть доступ на ВТ и он может провести хитрый поиск по критериям\имени. Ну, или он частный малварекопатель и при этом фанат нода (т.е он шустро сделал выборку автоит зловредов из своей коллекции и чекнул на палимость каспером&нодом, затем нашел мд5 файлов на ВТ и запостил сюда линки - я бы именно так делал).

А теперь давайте рассудим здраво: тема эта создана была в начале ночи, вопрос "почему?" появился в середине, а уже к концу ночи было запощено сообщение Виталега. Ясно следующее:

1). Он идейный борец (в любом случае запостил в нерабочее время - раннее утро выходного дня)

2). Если он малварекопатель-одиночка, то вряд ли бы стал такую запару делать ночью (парсить коллекцию, чекать, проверять есть ли файлы вообще на ВТ и т.д), а значит...

3). ...у него есть проплаченный аккаунт на вирустотале и он просто в течение нескольких минут произвел там поиск и запостил ссылки.

4). Виталег - работает в некоей ав-конторе :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

Насчёт детекта Nod-ом AutoIt https://www.virustotal.com/ru/file/87a25d98...=UniExtract.exe это просто Hello Word

сам файл можно скачать здесь http://zalil.ru/upload/34499732

.у него есть проплаченный аккаунт на вирустотале и он просто в течение нескольких минут произвел там поиск и запостил ссылки.

либо просто воспользовался поиском через яшу: http://yandex.ru/yandsearch?clid=9582&...om&lr=10277

первые же ссылки в поиске

https://www.virustotal.com/ru/file/da3d67a0...6ce7c/analysis/

https://www.virustotal.com/ru/file/fd3c6044...87a6c/analysis/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
либо просто воспользовался поиском через яшу: http://yandex.ru/yandsearch?clid=9582&...om&lr=10277

первые же ссылки в поиске

https://www.virustotal.com/ru/file/da3d67a0...6ce7c/analysis/

https://www.virustotal.com/ru/file/fd3c6044...87a6c/analysis/

правдаподобно, но неверно. Попробуйте нагуглить эти (Виталеговские) ссылки - ни через яндекс, ни через гугл они человеческим путем не ищутся. Яндекс их вовсе не знает, а гугл в состоянии найти лишь некоторые из них по sha, а по запросу детекта (автоит) эти ссылки в топе не будут. Думаю, что вы не сможете воспроизвести поиск этих ссылок как если бы человек просто искал автоит на ВТ через поисковик...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • loveawake.ru
      Задача. Нужно чтобы в панели инструментов была кнопка, при нажатии на которую очищались бы следующие каталоги:

      d:z_temp
      e:z_temp

      Т.е. должно очищаться содержимое этих каталогов, а сами они должны оставаться.
      Можно ли решить эту задачку?
    • demkd
      ---------------------------------------------------------
       4.11.5
      ---------------------------------------------------------
       o Добавлена поддержка отслеживания процессов.
         Отслеживание процессов позволяет определять родителя любого процесса, даже если родительский процесс уже завершен, а также
         достоверно определять все файлы, которые запускались с момента старта системы.
         Если отслеживание включено то в категорию "Запускался неявно или вручную" попадают только те файлы, что запускались с
         момента запуска системы.
         Твик #39 включает отслеживание, твик #40 отключает.
         (!) После включения отслеживания процессов требуется перезагрузить систему,
         (!) только в этом случае вы получите полную информацию о процессах с момента перезагрузки системы.
         (!) Только дла активных и удаленных систем начиная с Vista (NT6.0).  o В информацию об исполняемом файле добавлена история запусков данного файла с указанием времени запуска и завершения процесса,
         pid, пользователь, родительский процесс. Двойным щелчком левой кнопкой мышки по имени файла родительского процесса
         можно открыть его информационное окно.
         Данные доступны с момента запуска системы, при включенном отслеживании процессов.  o В контекстном меню критерия доступна команда для проверки всего списка по данному критерию.  o Новая горячая клавиша:
         Ctrl+F7 - Отфильтровать список по пользовательской базе критериев.  o В лог добавлена информация о времени старта Windows.  
    • santy
      кстати, сейчас удобно стало с фильтрующими правилами. добавил несколько правил по майнеру flock, и сразу попадают в отфильтрованный список все запчасти от майнера, по которым срабатывают созданные правила
    • demkd
      значит добавлю это дело в uVS, иногда будет полезно распутывать цепочки запуска
    • santy
      Привет. предложенный метод сработал.     но здесь он и в задачи попал, возможно не успел все зачистить    
×