Перейти к содержанию
Сергей Ильин

Win32.Ntldrbot (aka Rustock.C) больше не миф

Recommended Posts

A.
Я сюда пишу => Интернет работает, хотя декларировалось противоположное.

у вас работает, а у тысяч эмочек вконтакте - уже нет :)

я понимаю, что вам как человеку стоящему на позиции "у меня все хорошо - значит и у всех все хорошо" - трудно будет осознать основы теории относительности.

В данном контексте кол-во записей в базе любого AV меня не интересует.

В данном контексте - наличие или отсутствие интернета у вас - вообще никакого отношения к теме [этого топика не имеет.

Вы своим родителям тоже претензии предъявляли, за то что они вам голову дурили, рассказывая про то, что детей аист приносит ? :)

Ведь весь этот флейм как раз играет на руку DrWeb, а не вам, т.к. вы все в нём выглядите в положении оправдывающихся и пытающихся "опустить" конкурента, вместо того, чтобы достойно признать, что в этот раз конкурент опередил вас и на этом успокоиться.

Простите, вы сейчас с кем разговариваете и к кому "аппелируете", говоря "вы" ?

Насколько я вижу - в этом топике представители конкретно ЛК - на тему Рустока: факта его существования, распространения и авторства - не высказывались уже очень давно. Или вы еще каких других вендоров имеете в виду ?

И да - кто вам, милейший, сказал - что все другие вендоры обязаны громко и публично реагировать ? Вас, фанатов не поймешь - то один слюнями брызжет - "ах, зачем вы тоже про червя вконтакте написали!!", другому обратное подавай.

Спасибо, Декстер.

Если бы эту ссылку сюда запостил я, или написал бы тут тоже самое что там - на АМ началась бы очередная истерика и обвинения в пиаре. А так - наверное угомонятся наконец.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Maratka:

Я ксати в другом (немного совсем) направлении подумал...

ну вот задетектили... а дальше?

Как они собираются сие зло изводить под x64 системой, хоть Виста, хоть XP?

Загадка...

Хыхы, у вас тоже профессионалы на форуме тусят. Гуры постенга :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter
Если бы эту ссылку сюда запостил я, или написал бы тут тоже самое что там - на АМ началась бы очередная истерика и обвинения в пиаре.

Ну это ужо перегиб.:)

По-моему, тема устаканилась. Все кто хотел, сформировали собственное мнение. И крайности краями сошлись.

Так что все славно и хорошо.

А без регулярного выброса оранж-соды, ну, не могём мы все, и всё тут.:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mais
Что изменится в этом мире от того поверите ли вы (конкретно вы) чему либо или не поверите ? :lol:

:lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
И что же там написано? Смотрите на даты. Анализ делался тулзой от мелкомягких, которой у них и быть не могло. Причем анализ руткита, который ещё не был "анонсирован" даже неофициально. :lol:

все это вызывает сомнения.

тот "rustok.С", вокруг которого здесь поднята шумиха, microsoft детектит как rustock.D

a kak rustock.С microsoft детектит совсем другой руткит, который кстати был выложен на этом форуме за месяц до всей этой шумихи.

отсюда вывод: у microsoft Ntldrbot появился позже, чем у др.веб.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
0xFEE1C001
IMHO у большого количества присутствующих здесь аллергия на DrWeb?

Так эта... лечиться надо.

P.P.S.

Читать противно, честное слово.

Солидный ресурс вдруг в одночасье превратился в распространителя "слухов, сплетен, версий". :(

Это же "независимый" портал принадлежащий сотруднику ЛК, что ж Вы ожидали. Сместили главного носителя чернухи, но свято место пусто не бывает, подтянулись свежие силы. Все нормально, все хорошо.

  • Downvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter
отсюда вывод: у microsoft Ntldrbot появился позже, чем у др.веб.

А какой конспирологический вывод можно сделать из того, что касперы детектят его как Rustok.A?:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mike
А какой конспирологический вывод можно сделать из того, что касперы детектят его как Rustok.A?:)

вот и я о том–же:

старые рустоки они детектили как: Costrat.

а Microsoftовский Rustock.gen!C как Trojan-Clicker.Win32.Costrat.fn :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

А я и не волновался. Любопытно было.

И прикольно, как sww спустился гораздо ниже уровня приснопамятного Виталега.

Оказалось все так, как и предполагалось. Ох, не зря представители "единственной АВ компании" тут пытались кидаться экскрементами (и еще продолжат). Ведь слонопотама таки из мухи раздули и погрелись в лучах сомнительной славы. Ждем новых слонопотамчиков! ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zyx
Оказалось все так, как и предполагалось. Ох, не зря представители "единственной АВ компании" тут пытались кидаться экскрементами (и еще продолжат). Ведь слонопотама таки из мухи раздули и погрелись в лучах сомнительной славы. Ждем новых слонопотамчиков! wink.gif

Lemmit, своими постами Вы в очередной раз доказываете свою тех. неграмотность... Ведь уже и описание на английском есть и при желании некоторые подробности выяснить можно, а Вы все как параноидальный неверующий Фома - "сомнительно! экскрементами кидаетесь..."

Какой слонопотам? какие мухи? тема действительно изжила себя, но только потому, что все (кому позволил, извините, мозг) уже поняли суть дела, а Вы продолжаете заниматься хз чем...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Гудилин
Оказалось все так, как и предполагалось. Ох, не зря представители "единственной АВ компании" тут пытались кидаться экскрементами (и еще продолжат).

Лично я что-то не заметил со стороны Доктора такого...Где?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Где?
Ну, если сообщения №94, 97, или, скажем, юбилейный №100, или те, что отмодерированы ранее-божья роса...
Какой слонопотам? какие мухи? тема действительно изжила себя, но только потому, что все (кому позволил, извините, мозг) уже поняли суть дела, а Вы продолжаете заниматься хз чем...
Извиняю. Не надо читать хз что на ночь. И продолжать это. Тема и мне тоже надоела.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Это он бедняжка обиделся, что я ему, как и вину дизелю -1 влепил "за тупость", извините, не удержался. Всему форуму уже понятно кто тут вообще "не в теме", но они таки продолжают агонизировать. Шли бы яблоки собирать что-ли, а то серьезным людям вроде меня скучно :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Это он бедняжка обиделся, что я ему, как и вину дизелю -1 влепил "за тупость", извините, не удержался.

ну вам же тоже понадобилось время, чтобы осознать - русток не миф

чего вы хотите от простых людей тогда? тем более, что по форумам чего только не пишут, а они читают

а вы сразу тупость, тупость

нежнее, еще нежнее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Иван

Не в осознании дело, да и не в вере. Мне так вообще все-равно верят в него простые люди или нет, это уже свершилось. Однако, я не позволю намекать (а то и говорить открыто), как это уже было с полипосом, на наше авторство, а также утверждать, что это "очередная пиар акция" или что это подлог и нести истеричный бред на секурити-форумах. Умным людям уже давно понятно с чем они имеют дело, а глупые... да и хрен с ними, вообщем-то. Как сказал А. "что в этом мире изменится...?"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

тут я согласен, мухи от котлет надо отделять

наличие пиара не повод обвинять его источник в подлогах и мистификациях

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Почему ЛК первые ".а" и ".в" детектила как "Кострат.х", а .с как "Русток.с"? неужели .с настолько уникален, что был отнесен в иное семейство?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Почему ЛК первые ".а" и ".в" детектила как "Кострат.х", а .с как "Русток.с"? неужели .с настолько уникален, что был отнесен в иное семейство?

как Virus.Win32.Rustock.a

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

да, точно.

... а ".с" как "Русток.а"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel

Продолжение банкета. :D

Довольно интересным является факт, что Rustock-и палились одной тулзой ещё задолго до того, как представители некоторых аверов поверили в существование Rustock.C.

Тема той тулзы поднималась неоднократно на многих форумах, но появлялись люди, которые утверждали в её полной бесполезности. Тулза палила предыдущие поколения Rustock и прочих, но почему-то по странной причине никому в голову не приходило использовать её для детекта новых поколений руткитов. На этом форуме тоже многие почему-то избегали темы той тулзы или высказывались негативно в её сторону. Даже САМ ВЕЛИКИЙ ТЕСТИРОВЩИК антируткитов с форума sysinternals не смог, бедняжка, осилить запуск той тулзы, но всё же говорил, что она бесполезна. Довольно странно, что "команда" ВЕЛИКОГО ТЕСТИРОВЩИКА тоже не смогла протестировать тулзу, хоть они извращались намного больше с регистрациями на китайских форумах для добывания новых антируткитов. Создаётся впечатление, что тулзу специально не хотели видеть до часа "П".

Существуют разные версии "Rustock.C", но можно посмотреть пропиаренную тут: http://forum.sysinternals.com/forum_posts.asp?TID=14844.

The difference in the size between original and infected drivers hides with help of the few smart inline (splice) hooks in the another system drivers responding for the file system support and operation. Such drivers as ntfs.sys for NTFS and fastfat.sys for the FAT32.

For example on the FAT32 systems rootkit sets the following hooks:

fastfat.sys --> [iRP_MJ_CLOSE]

fastfat.sys --> [iRP_MJ_CREATE]

fastfat.sys --> [iRP_MJ_DIRECTORY_CONTROL]

fastfat.sys --> [iRP_MJ_QUERY_INFORMATION]

fastfat.sys --> [iRP_MJ_READ]

fastfat.sys --> [iRP_MJ_SET_INFORMATION]

fastfat.sys --> [iRP_MJ_WRITE]

fastfat.sys --> [base + 0x00008405]

As you see Rustock.C hooks several IRP handlers which are responsible for the common FS operations. Here also protection from overwriting and reading infected data. On the NTFS volume the hooks will be same but in the ntfs.sys.

Если у вас есть тот дроппер, то вы можете скачать или первую бэту тулзы или вторую с поддержкой amd и проникнуться. Посмотрите также на даты их релизов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Alex_Goodwin
Почему ЛК первые ".а" и ".в" детектила как "Кострат.х", а .с как "Русток.с"? неужели .с настолько уникален, что был отнесен в иное семейство?

Это же очевидно.. Там был просто руткит, а тут уже инфектор..

dr_dizel

Ну не надо здесь это пиарить.. Все же знают кто авторы этой софтины ;)

И сколько раз говорили, что дроппера 3-ки нет in the wild..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
Ну не надо здесь это пиарить..

О как. А что тут можно? :huh:

Дело же в том, как вся эта история выглядит со стороны.

Все же знают кто авторы этой сойтины ;)

Да-да-да. Это З0мби! Мы нашли его! Время выйти из тени!.. :lol:

На распаковку, детальный анализ и улучшение методов детектирования подобных экземпляров вирусные аналитики «Доктор Веб» потратили несколько недель...

Некоторые технические характеристики руткита...

- имеет функцию "перезаражения", срабатывающую по времени. Старый зараженный файл при «перезаражении» излечивается. Таким образом, руткит "путешествует" по системным драйверам, оставляя зараженным какой-нибудь один.

Раз Вэбовцы всё рульно распаковали, то попросите чтобы сделали уж вам дроппер. :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Alex_Goodwin

ээ, как бы я имел ввиду, что по слухам Hypesight Rootkit Detector сделала та же команда, что и rku..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
ээ, как бы я имел ввиду, что по слухам Hypesight Rootkit Detector сделала та же команда, что и rku..

Говорят, что нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×