Перейти к содержанию
Anmawe

Обнаружение упакованной малвари

Recommended Posts

Anmawe

Нашел один сайт, там можно скачивать установщик упакованный (с трояном)

myasm_20120812.exe packed by UPX

>myasm_20120812.exe packed by BINARYRES

>>myasm_20120812.exe packed by FLY-CODE

После отправки файлов в вирлабы, DrWeb и ESET-NOD32 начинают обнаруживать троян (а от касперского ни ответа ни привета )

https://www.virustotal.com/ru/file/6aaac463...sis/1419788661/

Если скачивать оттуда этот установщик, он будет меняться (при скачивании новый файл скачивается). Наверно, по разному упаковываться. Файл новый, сигнатуры трояна в файле уже не будет , и антивирусы его уже не обнаруживаеют. Хотя троян в файлах один и тот же - InstallMonster .

Этот файл уже не детектит и DrWeb , и ESET-NOD32

https://www.virustotal.com/ru/file/62465982...sis/1419792325/

Эвристический анализ , и другие анализаторы для обнаружения новой малвари в данном случае бессильны ? Будут ли в будущем улучшения ?

Как я вижу, вероятность обнаружения новой малвари - нулевая ? Во втором примере сначала на вирустотал ни один антивирус ничего не заподозрил, потом AVG и Qihoo-360 что-то заподозрили.

Почему у эвристичекого анализа даже подозрений не возникает ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitriy K
Наверно, по разному упаковываться.

UPX'ом, что видно и в приведенном вами логе, и на вирустотале.

Забавы ради можете снять UPX и посмотреть не пропадет ли обнаружение после этого (проверите, как была создана сигнатура: поверх упаковщика или нет).

Эвристический анализ , и другие анализаторы для обнаружения новой малвари в данном случае бессильны ?

Что такое "другие анализаторы" в вашем представлении?

Почему у эвристичекого анализа даже подозрений не возникает ?

Приложение делает что-то подозрительное и у кого из вендоров эвристика полностью закрывает пропуски по сигнатурам?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.WA

Учтите, что VT очень часто не показывает детект многих антивирусов на те или иные образцы. Наивно полагать, что VT весь потенциал задействует, ибо тогда это просто трэш.

Очень интересно как задетектит Symantec, VTне верю, ибо Symc отвратительно показывает.

"Как я вижу, вероятность обнаружения новой малвари - нулевая ?"

Репутация спасёт. HIPS тоже, экспертный в том числе. Вообще, по идее, эмулятор тоже "должен", у Аваста он, как видно, сработал.

А URL можете написать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

1. почему никто не уточнил, что инсталлмонстр это не совсем троян, мягко говоря?

2. а есть уверенность, что там именно перепаковка одного и того же бинарника, а не новая сборка тех же кодов?

3. вот в данном конкретном случае - что покажет на локальной машине Сима того, что не показал на ВТ кроме того, что "данный файл запускали менее 5 чел" ?

4. надо понимать, что ВТ никакого потенциала не задействует - он запускает выданные ему от антивирусов файлы и парсит их логи, спарсенное выводит на экран

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.WA
3. вот в данном конкретном случае - что покажет на локальной машине Сима того, что не показал на ВТ кроме того, что "данный файл запускали менее 5 чел" ?

Вариантов много, от сработки Packed.Generic до Susp.Cloud, Insight в том числе. МОжет быть всё, что угодно. Где бы образец взять. Я не нашёл в нете. Можно смастерить самому, но важен конкретный случай.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor

Я не нашёл в нете.
Надо просто скачивать не сам файл (не заметить галочку "скачать нашим загрузчиком" или что-то подобное) и скачать онлай данлоудер. Подобной дряни сейчас полно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
Я не нашёл в нете. Можно смастерить самому

Смастерить самому файл, подписанный валидной подписью Salyutem Plyus LLC, имхо, никто из нас не сможет, потому нашел все в интернетах:

Интересно вышло:

1. Для начала я проверил реакцию Симы именно на те файлы, о которых речь в первом сообщении (то, что именно те - контролировал по md5, предположив, что раз md5 равны, то и файлы полностью идентичны) - оказалось все как я и говорил: детекта никакого нет (инсайт говорит, что файлам менее недели, менее 5 юзеров запускали). Запуску файлов никак не мешает, оба выходят в инет, чекают линк, понимают, что он старенький уже и делают запуск браузера, где нужно заново загрузить файлы.

2. Если качать современные раздаваемые файлы, то ситуация следующая:

2.1 Был вариант скачать zip-архив, а был вариант качать через фирменный даунлоадер. Качаем архив. Внутри находим некую справку по источникам информации, которую Сима любезно отправляет в карантин (киляет), выводя уведомление, что файл успешно покилян.

Вот файл: файл

Удалил хороший файл, неприятно, да.

2.2 Качаем через предложенный Downloader (свежий). Выходит так:

Вот файл: тык

Он запускается и через COM-интерфейс через IE ставит на закачку тот архив из первого пункта. (Был от Симы вопрощающий алерт на UDP-коннект).

Надо понимать, что в таких случаях хипс/эмуль/эвристика вообще не при делах обычно. Посечь Сима может репой/облаком, что основано на количестве пользователях/доверии к эцп/источнике файла/некоторых совместных атрибутах возможно с предыдущим. На VT перечисленного мной, естественно нет, файл оценивается по принципу "х.з что лежащее на диске", потому результаты, разумеется, хуже, чем на реальной машине.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.WA
Смастерить самому файл, подписанный валидной подписью Salyutem Plyus LLC, имхо, никто из нас не сможет, потому нашел все в интернетах:

Интересно вышло:

1. Для начала я проверил реакцию Симы именно на те файлы, о которых речь в первом сообщении (то, что именно те - контролировал по md5, предположив, что раз md5 равны, то и файлы полностью идентичны) - оказалось все как я и говорил: детекта никакого нет (инсайт говорит, что файлам менее недели, менее 5 юзеров запускали). Запуску файлов никак не мешает, оба выходят в инет, чекают линк, понимают, что он старенький уже и делают запуск браузера, где нужно заново загрузить файлы.

2. Если качать современные раздаваемые файлы, то ситуация следующая:

2.1 Был вариант скачать zip-архив, а был вариант качать через фирменный даунлоадер. Качаем архив. Внутри находим некую справку по источникам информации, которую Сима любезно отправляет в карантин (киляет), выводя уведомление, что файл успешно покилян.

Вот файл: файл

Удалил хороший файл, неприятно, да.

2.2 Качаем через предложенный Downloader (свежий). Выходит так:

Вот файл: тык

Он запускается и через COM-интерфейс через IE ставит на закачку тот архив из первого пункта. (Был от Симы вопрощающий алерт на UDP-коннект).

Надо понимать, что в таких случаях хипс/эмуль/эвристика вообще не при делах обычно. Посечь Сима может репой/облаком, что основано на количестве пользователях/доверии к эцп/источнике файла/некоторых совместных атрибутах возможно с предыдущим. На VT перечисленного мной, естественно нет, файл оценивается по принципу "х.з что лежащее на диске", потому результаты, разумеется, хуже, чем на реальной машине.

1. А можно ссылку на файл, который использовали?

2. Алерт от Norton? Какая версия продукта и настройки? Чаще всего автомат сам знает что делать, вопрос был от файера?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Anmawe
Забавы ради можете снять UPX и посмотреть не пропадет ли обнаружение после этого
У ESET-NOD32 детект не пропал https://www.virustotal.com/ru/file/6a9026ea...sis/1419945532/
Что такое "другие анализаторы" в вашем представлении?
Это Origins Tracing™ , Эмуляция исполнения, Мониторинг системных событий и т.д.
Репутация спасёт. HIPS тоже, экспертный в том числе. Вообще, по идее, эмулятор тоже "должен", у Аваста он, как видно, сработал.
Я имел ввиду, когда антивирус работает в автоматическом режиме, не интерактивном (HIPS в том числе) .

А как репутация спасет ? Возьмем файл, который появился в облаке сегодня, его запускали менее 10 человек. Здесь нет подтверждений, что файл опасен , и нет подтверждений, что он безопасен. То есть неизвестно .

1. почему никто не уточнил, что инсталлмонстр это не совсем троян, мягко говоря?
А что это ? Потенциально нежелательная программа ?
1. А можно ссылку на файл, который использовали?
http://turbobit.net/download/free/c5psbhpwcpwb# Надо ввести капчу и нажать "скачать"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
А как репутация спасет ? Возьмем файл, который появился в облаке сегодня, его запускали менее 10 человек. Здесь нет подтверждений, что файл опасен , и нет подтверждений, что он безопасен. То есть неизвестно .

Это товарищ и имет в виду - если там сильно малоизвестный файл, а сигнатуры нет, то продукт сильно озлобится на файл и вообще его кильнет или чего-нибудь спросит.

А что это ? Потенциально нежелательная программа ?

можно и так сказать

Надо ввести капчу и нажать "скачать"

хе-хе, разрушили всю интригу. а ведь я без ссылок и подсказок все нашел тогда :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.WA
1) Я имел ввиду, когда антивирус работает в автоматическом режиме, не интерактивном (HIPS в том числе) .

2) А как репутация спасет ? Возьмем файл, который появился в облаке сегодня, его запускали менее 10 человек. Здесь нет подтверждений, что файл опасен , и нет подтверждений, что он безопасен. То есть неизвестно .

1) Речь и шла об экспертном HIPS, т.е. поведенческом анализаторе.

2) Как нет? Ошибаетесь, движок репутации, к примеру Symantec Insight может сразу приговорить файл, в этом и смысл репутации, принять решение по неизвестному файлу, ибо на известный уже будет детект или WhiteList. Но бывают случаи, что на новый файл Insight ставит "неизвестную" репутацию, тогда будет алерт. Но, практика показывает, что чаще всего сразу идёт "низкая", "плохая" и, соотв., Ws.Rep.1. Проверить легко.

хе-хе, разрушили всю интригу. а ведь я без ссылок и подсказок все нашел тогда :)

Неужели здесь ? http://livedirsetsoftware.org/gfiles?q=myasm-20120812.zip

Вредоносный ресурс.

Могли найти на rgost, но там удалено уже. А уж сколько фишинга, ничего не перепутали? :P

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Rustock.WA
Мониторинг системных событий

Что за "зверь"? System Watcher (KSN+PBS+PDM)? Так это HIPS.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

брал именно с турбобита

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Anmawe
движок репутации, к примеру Symantec Insight может сразу приговорить файл, в этом и смысл репутации, принять решение по неизвестному файлу
Но я ведь не могу знать - ошибся ли движок репутации, или не ошибся .

Теперь Dr Web ругается, а Nod молчит . Dr Web пишет Trojan (называет файл вредоносным, не потенциально опасным) https://www.virustotal.com/ru/file/b7e10003...sis/1420273875/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Curtismab
      Неотразимые мягкие места в уборной выставляют дивчины https://devkis.net на развратных фотках
    • Dmitrius
      БигПикча новости в фотографиях Бигпикча – это уникальный портал, который предлагает ознакомиться с самыми интересными и увлекательными новостями. Они понравятся каждому, кто всегда желает держать руку на пульсе и быть в курсе последних новостей, событий в мире. Этот портал уникален тем, что все материалы сопровождаются красочной фотографией для наглядности. Сайт приковывает к себе внимание с самых первых минут. Его хочется постоянно рассматривать, наслаждаться интересной подачей материала. Над его созданием трудились лучшие авторы, настоящие эксперты в своем деле, которые преподносят информацию таким образом, чтобы она понравилась людям любого возраста и независимо от социального положения. На bigpicture.ru только интересные, яркие новости на самые злободневные темы, а потому вы обязательно найдете что-то стоящее для себя. Есть любопытные статьи про животных, людей, еду, оригинальные вещи. Имеются факты, а также топы, которые интересно пересматривать вновь. Администрация сайта регулярно выкладывает статьи, которые помогут взглянуть на привычные вещи под другим углом. Если и вы хотите развлечься после трудового дня или в выходной, то скорей заходите на этот сайт, который знает, что вам предложить, чтобы разнообразить досуг и сделать его ярким, насыщенным. Авторы умеют удивлять, поэтому при составлении контента учитываются интересы всех читателей. Рассматриваются факты, о которых раньше вы даже не догадывались. Они прольют свет на многие вопросы. Новости в фотографиях, увлекательные путешествия, истории, лонгриды и многое другое представлено на этом сайте. Добавляйте его в закладки, чтобы не потерять, ведь этот портал является пищей для мозга, возможностью расширить свое сознание и повысить уровень интеллекта. Ищите любимый сайт в социальных сетях.
    • Curtismab
      Офигенные соски в усадьбе показывают глупышки https://devkis.net на эро фотокарточках
    • Dmitrius
      Арбитражный управляющий Каждый может оказаться в такой ситуации, когда требуется профессиональная и своевременная поддержка юриста. Если и вы вынуждены стать банкротом и оформить это по закону, то необходимо обратиться за такой услугой в центр банкротства. В компании работают квалифицированные специалисты с большим опытом, а в их багаже большое количество успешно завершенных дел. Именно поэтому вы сможете надеяться на отличный результат. Важно учесть тот момент, что специалисты детально изучают вопрос для того, чтобы подробно рассмотреть вопрос, после чего выявить возможности благоприятного результата. Списать долги Волгоград (Списание кредитов) получится по закону. Нет необходимости в том, чтобы переживать за процесс. Так специалисту удастся списать те долги, которые вы не в силах выплатить. Увы, но этот процесс может занять несколько месяцев, к тому же он не бесплатный. Банкротство физических лиц в Волгограде ведет компетентный сотрудник – он добросовестно и ответственно подойдет к решению вопроса. Он будет защищать интересы клиента, руководствуясь Конституцией. Юрист по банкротству займется оформлением документов и заявления, подготовит все факты в пользу того, чтобы объявить вас неплатежеспособным. Опыт сотрудников позволяет браться за дела различной сложности. Арбитражный управляющий Волгоград поможет вам избавиться от долгов. Что касается расценок, то на них влияют самые разные факторы, включая расходы на законодательном уровне. Подписывается договор на указание услуг – в нем указываются обязанности каждой стороны, набор услуг. Юрист рассмотрит все аспекты вашего дела. Важным моментом является то, что все ваши долги будут списаны в полном объеме при положительном исходе дела. Специалист использует все ресурсы, которые потребуются для того, чтобы получить положительный результат.
    • Dmitrius
      Септик в Москве и Московской области Компания долгое время и на выгодных условиях оказывает услуги, связанные со строительством автономной канализации в Москве и области. Если Вам необходима выгребная яма – ознакомьтесь с интересующей информацией на официальном портале. Автономная канализация, организованная на дачном участке, положительно влияет на уровень комфорта. Несмотря на то, планируется ли круглый год проживать на участке или только летом, вы почувствуете удобство. Цену на ее установку вы сможете узнать на сайте. Компания длительное время работает в данной сфере, а потому предлагает только выгодные условия, доступные цены, а сами работы выполняются быстро, аккуратно и в наиболее комфортное время. Она наладила сотрудничество с проверенными и надежными поставщиками оборудования. Специалисты создадут высокотехнологичную и работающую систему под ключ. В работе используются только надежные, качественные материалы, выполняются технологические условия. Если говорить о ценах, то они остаются на среднем уровне, а потому воспользоваться услугой смогут все, кто хочет. Кольцевой накопитель отлично подходит для сбора сточных вод при условии, что в доме на постоянной основе проживают до 7 человек. Все работы будут выполнены в минимальные сроки и тогда, когда это удобно именно вам. С собой будут все необходимые инструменты, а также материалы. Сотрудники осуществят установку и выполнят все нужные работы. При появлении вопросов задайте их сотрудникам, которые все пояснят, а также определят общую стоимость работ. Специалисты выполнят все необходимые работы, несмотря на время года. Отсутствуют дополнительные наценки, переплаты, только прозрачные условия сотрудничества.
×