Перейти к содержанию
AM_Bot

Язык сценариев AutoIt становится всё более популярным у киберпреступников

Recommended Posts

AM_Bot

Эксперты утверждают, что язык сценариев AutoIt становится всё более популярным у создателей вредоносных программ. Специалисты компании Trend Micro выявили множество вредоносных программ и инструментов, созданных киберпреступниками при помощи AutoIt, включая клавиатурные шпионы (keylogger) и RAT-трояны.

подробнее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

ну, да, не хотят чет хакеры зловреды на питоне писать... может потому что это не сильно удобно, а не потому, что питон сложнее? тем более это спорное утверждение. Вот лично мне сложнее всего было ява-скрипт изучать...хотя в нем я так и остался на нубском уровне по сути)))

вообще, если уж на то пошло, зловреда можно и пхп написать, потом в ехе компилить... как-то не догоняют авторы статьи почему на самом деле автоит становится популярным у хацкеров... ))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Z.E.A.
как-то не догоняют авторы статьи почему на самом деле автоит становится популярным у хацкеров... ))

Почему?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EVIKil
Почему?

Элементарно, Ватсон! Касперский например не ловит. :)

Только что скачал:

https://www.virustotal.com/ru/file/ff5387b5...4ab95/analysis/

image_518f0919ca1f9.png

Kaspersky - на момент проверки вирусов нет.

:)

Или вот:

Operating memory » C:\Documents and Settings\XPMUser\Рабочий стол\AdobeFlash.exe - Win32/AutoRun.VB.RR worm

C:\Users\VITALIKEAV\Desktop\AdobeFlash.exe » AUTOIT » script.au3 - is OK

C:\Users\VITALIKEAV\Desktop\AdobeFlash.exe » AUTOIT » script.bin - a variant of Win32/Injector.Autoit.KC trojan

https://www.virustotal.com/ru/file/a44b25d9...sis/1367956723/

А вот и ещё:

https://www.virustotal.com/ru/file/e457b6b4...06d0e/analysis/

https://www.virustotal.com/ru/file/90cfae13...d71f6/analysis/

Kaspersky - вирусов нет. :)

Отредактировал EVIKil

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

EVIKil Веталик, Nod вообще не умеет анализировать файлы скомпилированные на AutoIt и подобный алерт выкинет даже на Hello Word. Так что это доказательство несостоятельности Nod-a

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Виталег не такой тупой, как кажется - ведь смог же нарыть зловредов на автоите, которые палит нод32, но не палит каспер. Что это значит? Это значит, что у него есть доступ на ВТ и он может провести хитрый поиск по критериям\имени. Ну, или он частный малварекопатель и при этом фанат нода (т.е он шустро сделал выборку автоит зловредов из своей коллекции и чекнул на палимость каспером&нодом, затем нашел мд5 файлов на ВТ и запостил сюда линки - я бы именно так делал).

А теперь давайте рассудим здраво: тема эта создана была в начале ночи, вопрос "почему?" появился в середине, а уже к концу ночи было запощено сообщение Виталега. Ясно следующее:

1). Он идейный борец (в любом случае запостил в нерабочее время - раннее утро выходного дня)

2). Если он малварекопатель-одиночка, то вряд ли бы стал такую запару делать ночью (парсить коллекцию, чекать, проверять есть ли файлы вообще на ВТ и т.д), а значит...

3). ...у него есть проплаченный аккаунт на вирустотале и он просто в течение нескольких минут произвел там поиск и запостил ссылки.

4). Виталег - работает в некоей ав-конторе :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

Насчёт детекта Nod-ом AutoIt https://www.virustotal.com/ru/file/87a25d98...=UniExtract.exe это просто Hello Word

сам файл можно скачать здесь http://zalil.ru/upload/34499732

.у него есть проплаченный аккаунт на вирустотале и он просто в течение нескольких минут произвел там поиск и запостил ссылки.

либо просто воспользовался поиском через яшу: http://yandex.ru/yandsearch?clid=9582&...om&lr=10277

первые же ссылки в поиске

https://www.virustotal.com/ru/file/da3d67a0...6ce7c/analysis/

https://www.virustotal.com/ru/file/fd3c6044...87a6c/analysis/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
либо просто воспользовался поиском через яшу: http://yandex.ru/yandsearch?clid=9582&...om&lr=10277

первые же ссылки в поиске

https://www.virustotal.com/ru/file/da3d67a0...6ce7c/analysis/

https://www.virustotal.com/ru/file/fd3c6044...87a6c/analysis/

правдаподобно, но неверно. Попробуйте нагуглить эти (Виталеговские) ссылки - ни через яндекс, ни через гугл они человеческим путем не ищутся. Яндекс их вовсе не знает, а гугл в состоянии найти лишь некоторые из них по sha, а по запросу детекта (автоит) эти ссылки в топе не будут. Думаю, что вы не сможете воспроизвести поиск этих ссылок как если бы человек просто искал автоит на ВТ через поисковик...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Антивирусы были обновлены до версии 13.1.21.
    • Ego Dekker
    • Ego Dekker
      Антивирусы были обновлены до версии 13.1.16. В числе прочего добавлены совместимость с Windows 10 20H1 и поддержка Windows 10 20H2.
    • Ego Dekker
      Программа для удаления продуктов ESET обновилась до версии 9.0.1.0. Для просмотра всех команд запустите утилиту с параметром /help. 
    • santy
      1. на самом деле можно и не удалять, а редактировать единственный критерий для создания запросов. Было бы только удобно формировать такой запрос.... например, "все объекты с цифровой, которая не входит в белый список". здесь ты одним значением не найдешь их фильтруя все объекты сквозным образом по ИНФО, как минимум необходимо два условия, а значит и два значения вводить для запроса. 2. подсветки нет, но это наверное не самое главное. для скорости анализа важно, (хотя бы строку из инфо, которая соответствует критерию).... когда ИНФО содержит много информации. для формирования скрипта- не критично. 3. старых и новых критериев нет. все действующие. ненужные удалить. хотя может и полезно было бы ставить check "отключить" или "включить" данное правило в базе.
        вся эта работа выполняется на стадии формирования списка объектов автозапуска. все исполняемые файлы, которые встречаются по ссылкам в реестре, в cmdLine, и проч. Если ты набрал в поиске по наименованию "cmd.exe", ты уже нашел данный объект в списке со всей его историей (ИНФО), собранной на стадии формирования образа автозапуска.... в какие параметры, ссылки входит в реестре или в cmdLine. цитата "выше Разве?" взята из предложения по деструктивным действиям чистых файлов, когда эти деструктивные действия находятся с помощью критериев, но чистый хэш снимает статус, подтверждающий дейструктивность действия данного файла в анализируемой системе.
×