Win32.Ntldrbot (aka Rustock.C) больше не миф

[Иван 290]

перчитывал тут, оказалось забавно

Ты еще вспомни "Rustock.c" - который где-то живет, а его никто не видит и видеть не может

Фтопку русток.цэ, сдается мне, что его уже все видят и лечат, и причем давно, а слушок так пущен, по ветру.

[SergeyUser 5]

Кто-нибудь может пояснить, в чем заключается "концептуальный метод обхода антируткитов", примененный в Rustock.C? Раз уж форум публичный. А то только разговоры о том, какой он весь из себя концептуальный, что просто сил нет.

P.S.: Вспомнились времена Dir-II. Тоже был концептуальный "руткит"

[Иван 290]

я думаю sww теперь, когда миф рустока.с для него стал реальностью, вполне в состоянии это сделать, и EP_XOFF тоже, спросите их в личку, если интересно - а то вдруг они не хотят говорить об этом на форуме. может ответят, а может и нет

[sww 486]

я думаю sww теперь, когда миф рустока.с для него стал реальностью, вполне в состоянии это сделать, и EP_XOFF тоже, спросите их в личку, если интересно - а то вдруг они не хотят говорить об этом на форуме. может ответят, а может и нет

Для меня он уже давно реальность, еще до моего высказывания Гостеву. С какой радости я должен убеждать кого-то в существовании .цэ и портить пиар раньше времени?

Повелись и ладушки...

P.S. Ни на что отвечать я не буду.

[sl1 15]

sww, кстати неплохая схема пиара. получаете сампл, месяц другой ничего с ним сделать не можете, потом удается расковырять, лечилка выходит в стадию беты...и тут крик в рунете: "Появился новый буткит, а мы уже буквально на днях выпустим лечение!" http://www.anti-malware.ru/forum/index.php...ost&p=34439

[Иван 290]

Для меня он уже давно реальность, еще до моего высказывания Гостеву. С какой радости я должен убеждать кого-то в существовании .цэ и портить пиар раньше времени?

Повелись и ладушки...

sww зачем вы лукавите? мне привести ваши посты с руткит.ru, где вы говорите, что .цэ либо нечто мифическое, либо если даже не мифическое, то надо заниматься другими более распространенными руткитами, а не гоняться за ним? ("Они вообще миф, нету их." ) И вы это пишете вовсе не Гостеву, а вполне нейтральным к вам людям, например EP_X0FF.

или мне привести здесь, как вы кричали пять недель назад в начале апреля в своём жж: ой .цэ оказывается не миф, ой какой он страшный оказывается, ой как его запаковали то...

вы этот пост тогда потерли быстро, но кэш-то рулит

так что, Вячеслав Евгеньевич, вы проделали большую работу, больше месяца с момента получения сампла делали лечение версии .цэ. вы сделали, отпиарились, мои вам искренние поздравления с этой победой.

но зачем отпираться-то, до получения сампла для вас .цэ был таким же мифом как для всех остальных и эту вашу цитату

"Многие вендоры предпочли «откреститься» от C-варианта и заняли позицию: «Ну, раз мы его не видим/не нашли, значит он не существует. Это миф!»"

с полным правом можно было отнести и к вам

теперь после старта вашего пиара этот сампл есть и у остальных ав компаний

учитывая, что вы потратили на .цэ больше месяца, у вас есть предположения сколько потребуется времени чтобы сделать лечение другим?

[devon 5]

некоторые почти решили эту задачку

Rustock.C – Unpacking a Nested Doll

[dan 10]

некоторые почти решили эту задачку

Rustock.C – Unpacking a Nested Doll

Ну распаковка ещё 150 кб обфусцированного кода не сильно помогает решить конечную задачу.

[dr_dizel 385]

У кого есть сэмпл? Hypesight-ом он палится?

P.S. У northsecuritylabs новая версия вышла с поддержной AMD-V и багфиксами.

[sww 486]

некоторые почти решили эту задачку

Rustock.C – Unpacking a Nested Doll

А не поведает ли нам Сергей Шевченко откуда у них именно ТАКОЙ сэмпл? Очень интересно.

[A. 875]

А не поведает ли нам Сергей Шевченко откуда у них именно ТАКОЙ сэмпл? Очень интересно.

Не поведает. Истинно вам говорю )

А не поведает ли нам кто-нибудь, почему именно drwebовский сампл теперь валяется на каждом углу, и в каждой помойке интернета могучие кучки куль-хацкеров упражняются в распаковке и изучении ?

[sww 486]

Не поведает. Истинно вам говорю )

По-моему я спрашивал Сергея, а не А.

А не поведает ли нам кто-нибудь, почему именно drwebовский сампл теперь валяется на каждом углу, и в каждой помойке интернета могучие кучки куль-хацкеров упражняются в распаковке и изучении ?

Потому что придурков среди других антивирусных компаний полно. Особенно радуют те, кто делают технические описания.

Готовы ли они к продолжению подобных (усовершенствованных) зиродеев со своими унылыми функциями антируткитов? Сомневаюсь.

P.S. Может ваши слили, а?

[Иван 290]

это вы под помойкой wasm имете в виду и Криса Касперски, именующего себя гордо kaspersky?

[A. 875]

По-моему я спрашивал Сергея, а не А.

По-моему, твой вопрос был риторическим, ибо как известно (по крайней мере мне) - Сергей Шевченко живет в совсем другой стране и никакого понятия о существовании какого-то там анти-малваре.ру не имеет

Потому что придурков среди других антивирусных компаний полно. Особенно радуют те, кто делают технические описания.

Готовы ли они к продолжению подобных (усовершенствованных) зиродеев со своими унылыми функциями антируткитов? Сомневаюсь.

P.S. Может ваши слили, а?

Нет, мы не сливали.

Я это вообще к тому, sww, что видимо не стоило тебе сампл шарить через вирустотал. Для обмена подобными вещами в антивирусной индустрии существуют иные каналы, которые проверены годами и не допускают подобных утечек.

А вирустотал ... ну сегодня на ВТ, завтра на offensivecomputing

всякие там кламавы - не лучшие конторы, которым стоит давать все.

так что теперь и разберут и понапишут и попиарятся...

[sww 486]

По-моему, твой вопрос был риторическим, ибо как известно (по крайней мере мне) - Сергей Шевченко живет в совсем другой стране и никакого понятия о существовании какого-то там анти-малваре.ру не имеет

Мне так кажется, что Сергей следит за AM и отлично говорит по-русски. Во-всяком случае в его личном письме мне было написано на русском языке

Нет, мы не сливали.

Я это вообще к тому, sww, что видимо не стоило тебе сампл шарить через вирустотал. Для обмена подобными вещами в антивирусной индустрии существуют иные каналы, которые проверены годами и не допускают подобных утечек.

А вирустотал ... ну сегодня на ВТ, завтра на offensivecomputing

всякие там кламавы - не лучшие конторы, которым стоит давать все.

так что теперь и разберут и понапишут и попиарятся...

Рано или поздно он был бы найден и так же разошелся бы по "жидохеккерам". К тому же это не единственный экземпляр на VT, так к слову.

[A. 875]

Мне так кажется, что Сергей следит за AM и отлично говорит по-русски. Во-всяком случае в его личном письме мне было написано на русском языке

А кто говорит о том, что "Сергей Шевченко" не знает русского языка ?

Рано или поздно он был бы найден и так же разошелся бы по "жидохеккерам". К тому же это не единственный экземпляр на VT, так к слову.

Так чего ж ты тогда так парился и горячился ?

"I SHARED f**king sample, sent it to VT for the other vendors. Just get the sample(s) and make analysis. But i think that no one from you (except a few ones) can even UNPACK it."

----

Do you really thinks that i will send a sample to someone except to an av-vendor?

ну да, на ВТ самплов достаточно - все ваши "600 модификаций" - именно оттуда. Но в "паблике" - именно ваш.

Кстати, ты заметил интереснейшее распределение их появления по датам и периодам ?

[sww 486]

ну да, на ВТ самплов достаточно - все ваши "600 модификаций" - именно оттуда. Но в "паблике" - именно ваш.

Кстати, ты заметил интереснейшее распределение их появления по датам и периодам ?

Вот и странно, что в "паблике" именно он, а не все остальные.

Специально статистику не смотрел по датам, некогда было . А что с ней?

[A. 875]

Специально статистику не смотрел по датам, некогда было . А что с ней?

не публичный разговор

[ASMax 20]

некоторые почти решили эту задачку

Rustock.C – Unpacking a Nested Doll

Unpacking Rustock.C is a challenging task. If you are tired of boring crosswords or Sudoku puzzles and feel like your brain needs a real exercise, think about reversing Rustock.C - satisfaction (or dissatisfaction, depending on the result) is guaranteed.

Правда в самой статье автор почему-то решил обойтись без паззла, который наобещал в начале.

[Dr.Golova 55]

> Правда в самой статье автор почему-то решил обойтись без паззла, который наобещал в начале.

Видимо потому же, почему все публичные самплы имеют одинаковые ключи для расшифровки (и соответсно генерились на одной машине). Какая уж тут загадка...

[dr_dizel 385]

А есть ли вообще сэмплы со строкой "rustock.c" не из тех 600 от Dr.Web? Автор с ником на Z никогда же не нумеровал свои поделия буквенно.

[sww 486]

dr_dizel

Еще один кто ищет зомбу? Срочно читать известную стотью в BHC.

[dr_dizel 385]

Еще один кто ищет зомбу? Срочно читать известную стотью в BHC.

Неуловимый Джо мне денег не должен.

А ссылку на статью дайте. Когда будет время - почитаю. Только нормальную ссылку, а то, помню, попал на какой-то маразматический блог, так чуть свой мозг спас частым перебиранием ногами оттуда.

Этап, на котором появляется та дебажная строка - далеко не последний. Почему бы не использовать шанс попиариться? Я б использовал.

[sww 486]

Легко. Боюсь, только не поймете.

http://dema.by.ru/bhc/bhc9/bhc9-07.txt

Все ищут зомбика © зомба

[dr_dizel 385]

Легко. Боюсь, только не поймете.

О, вы ещё и психолох. Почитаю после обеда, чтобы не заснуть.