Win32.Ntldrbot (aka Rustock.C) больше не миф

[A. 876]

Я сюда пишу => Интернет работает, хотя декларировалось противоположное.

у вас работает, а у тысяч эмочек вконтакте - уже нет

я понимаю, что вам как человеку стоящему на позиции "у меня все хорошо - значит и у всех все хорошо" - трудно будет осознать основы теории относительности.

В данном контексте кол-во записей в базе любого AV меня не интересует.

В данном контексте - наличие или отсутствие интернета у вас - вообще никакого отношения к теме [этого топика не имеет.

Вы своим родителям тоже претензии предъявляли, за то что они вам голову дурили, рассказывая про то, что детей аист приносит ?

Ведь весь этот флейм как раз играет на руку DrWeb, а не вам, т.к. вы все в нём выглядите в положении оправдывающихся и пытающихся "опустить" конкурента, вместо того, чтобы достойно признать, что в этот раз конкурент опередил вас и на этом успокоиться.

Простите, вы сейчас с кем разговариваете и к кому "аппелируете", говоря "вы" ?

Насколько я вижу - в этом топике представители конкретно ЛК - на тему Рустока: факта его существования, распространения и авторства - не высказывались уже очень давно. Или вы еще каких других вендоров имеете в виду ?

И да - кто вам, милейший, сказал - что все другие вендоры обязаны громко и публично реагировать ? Вас, фанатов не поймешь - то один слюнями брызжет - "ах, зачем вы тоже про червя вконтакте написали!!", другому обратное подавай.

http://forum.kaspersky.com/index.php?showt...st&p=644264

Спасибо, Декстер.

Если бы эту ссылку сюда запостил я, или написал бы тут тоже самое что там - на АМ началась бы очередная истерика и обвинения в пиаре. А так - наверное угомонятся наконец.

[sww 486]

Maratka:

Я ксати в другом (немного совсем) направлении подумал...

ну вот задетектили... а дальше?

Как они собираются сие зло изводить под x64 системой, хоть Виста, хоть XP?

Загадка...

Хыхы, у вас тоже профессионалы на форуме тусят. Гуры постенга

[Dexter 20]

Если бы эту ссылку сюда запостил я, или написал бы тут тоже самое что там - на АМ началась бы очередная истерика и обвинения в пиаре.

Ну это ужо перегиб.

По-моему, тема устаканилась. Все кто хотел, сформировали собственное мнение. И крайности краями сошлись.

Так что все славно и хорошо.

А без регулярного выброса оранж-соды, ну, не могём мы все, и всё тут.

[mais 10]

Что изменится в этом мире от того поверите ли вы (конкретно вы) чему либо или не поверите ?

[Mike 125]

И что же там написано? Смотрите на даты. Анализ делался тулзой от мелкомягких, которой у них и быть не могло. Причем анализ руткита, который ещё не был "анонсирован" даже неофициально.

все это вызывает сомнения.

тот "rustok.С", вокруг которого здесь поднята шумиха, microsoft детектит как rustock.D

a kak rustock.С microsoft детектит совсем другой руткит, который кстати был выложен на этом форуме за месяц до всей этой шумихи.

отсюда вывод: у microsoft Ntldrbot появился позже, чем у др.веб.

[0xFEE1C001 30]

IMHO у большого количества присутствующих здесь аллергия на DrWeb?

Так эта... лечиться надо.

P.P.S.

Читать противно, честное слово.

Солидный ресурс вдруг в одночасье превратился в распространителя "слухов, сплетен, версий".

Это же "независимый" портал принадлежащий сотруднику ЛК, что ж Вы ожидали. Сместили главного носителя чернухи, но свято место пусто не бывает, подтянулись свежие силы. Все нормально, все хорошо.

[Dexter 20]

отсюда вывод: у microsoft Ntldrbot появился позже, чем у др.веб.

А какой конспирологический вывод можно сделать из того, что касперы детектят его как Rustok.A?

[Mike 125]

А какой конспирологический вывод можно сделать из того, что касперы детектят его как Rustok.A?

вот и я о том–же:

старые рустоки они детектили как: Costrat.

а Microsoftовский Rustock.gen!C как Trojan-Clicker.Win32.Costrat.fn

[Иван 290]

http://forum.kaspersky.com/index.php?showt...st&p=644264

ну вот и слава богу, надеюсь теперь Lemmit успокоится

[Lemmit 31]

А я и не волновался. Любопытно было.

И прикольно, как sww спустился гораздо ниже уровня приснопамятного Виталега.

Оказалось все так, как и предполагалось. Ох, не зря представители "единственной АВ компании" тут пытались кидаться экскрементами (и еще продолжат). Ведь слонопотама таки из мухи раздули и погрелись в лучах сомнительной славы. Ждем новых слонопотамчиков!

[Zyx 45]

Оказалось все так, как и предполагалось. Ох, не зря представители "единственной АВ компании" тут пытались кидаться экскрементами (и еще продолжат). Ведь слонопотама таки из мухи раздули и погрелись в лучах сомнительной славы. Ждем новых слонопотамчиков! wink.gif

Lemmit, своими постами Вы в очередной раз доказываете свою тех. неграмотность... Ведь уже и описание на английском есть и при желании некоторые подробности выяснить можно, а Вы все как параноидальный неверующий Фома - "сомнительно! экскрементами кидаетесь..."

Какой слонопотам? какие мухи? тема действительно изжила себя, но только потому, что все (кому позволил, извините, мозг) уже поняли суть дела, а Вы продолжаете заниматься хз чем...

[Олег Гудилин 95]

Оказалось все так, как и предполагалось. Ох, не зря представители "единственной АВ компании" тут пытались кидаться экскрементами (и еще продолжат).

Лично я что-то не заметил со стороны Доктора такого...Где?

[Lemmit 31]

Где?

Ну, если сообщения №94, 97, или, скажем, юбилейный №100, или те, что отмодерированы ранее-божья роса...

Какой слонопотам? какие мухи? тема действительно изжила себя, но только потому, что все (кому позволил, извините, мозг) уже поняли суть дела, а Вы продолжаете заниматься хз чем...

Извиняю. Не надо читать хз что на ночь. И продолжать это. Тема и мне тоже надоела.

[sww 486]

Это он бедняжка обиделся, что я ему, как и вину дизелю -1 влепил "за тупость", извините, не удержался. Всему форуму уже понятно кто тут вообще "не в теме", но они таки продолжают агонизировать. Шли бы яблоки собирать что-ли, а то серьезным людям вроде меня скучно

[Иван 290]

Это он бедняжка обиделся, что я ему, как и вину дизелю -1 влепил "за тупость", извините, не удержался.

ну вам же тоже понадобилось время, чтобы осознать - русток не миф

чего вы хотите от простых людей тогда? тем более, что по форумам чего только не пишут, а они читают

а вы сразу тупость, тупость

нежнее, еще нежнее

[sww 486]

Иван

Не в осознании дело, да и не в вере. Мне так вообще все-равно верят в него простые люди или нет, это уже свершилось. Однако, я не позволю намекать (а то и говорить открыто), как это уже было с полипосом, на наше авторство, а также утверждать, что это "очередная пиар акция" или что это подлог и нести истеричный бред на секурити-форумах. Умным людям уже давно понятно с чем они имеют дело, а глупые... да и хрен с ними, вообщем-то. Как сказал А. "что в этом мире изменится...?"

[Иван 290]

тут я согласен, мухи от котлет надо отделять

наличие пиара не повод обвинять его источник в подлогах и мистификациях

[Umnik 997]

Почему ЛК первые ".а" и ".в" детектила как "Кострат.х", а .с как "Русток.с"? неужели .с настолько уникален, что был отнесен в иное семейство?

[Иван 290]

Почему ЛК первые ".а" и ".в" детектила как "Кострат.х", а .с как "Русток.с"? неужели .с настолько уникален, что был отнесен в иное семейство?

как Virus.Win32.Rustock.a

[Umnik 997]

да, точно.

... а ".с" как "Русток.а"?

[dr_dizel 385]

Продолжение банкета.

Довольно интересным является факт, что Rustock-и палились одной тулзой ещё задолго до того, как представители некоторых аверов поверили в существование Rustock.C.

Тема той тулзы поднималась неоднократно на многих форумах, но появлялись люди, которые утверждали в её полной бесполезности. Тулза палила предыдущие поколения Rustock и прочих, но почему-то по странной причине никому в голову не приходило использовать её для детекта новых поколений руткитов. На этом форуме тоже многие почему-то избегали темы той тулзы или высказывались негативно в её сторону. Даже САМ ВЕЛИКИЙ ТЕСТИРОВЩИК антируткитов с форума sysinternals не смог, бедняжка, осилить запуск той тулзы, но всё же говорил, что она бесполезна. Довольно странно, что "команда" ВЕЛИКОГО ТЕСТИРОВЩИКА тоже не смогла протестировать тулзу, хоть они извращались намного больше с регистрациями на китайских форумах для добывания новых антируткитов. Создаётся впечатление, что тулзу специально не хотели видеть до часа "П".

Существуют разные версии "Rustock.C", но можно посмотреть пропиаренную тут: http://forum.sysinternals.com/forum_posts.asp?TID=14844.

The difference in the size between original and infected drivers hides with help of the few smart inline (splice) hooks in the another system drivers responding for the file system support and operation. Such drivers as ntfs.sys for NTFS and fastfat.sys for the FAT32.

For example on the FAT32 systems rootkit sets the following hooks:

fastfat.sys --> [iRP_MJ_CLOSE]

fastfat.sys --> [iRP_MJ_CREATE]

fastfat.sys --> [iRP_MJ_DIRECTORY_CONTROL]

fastfat.sys --> [iRP_MJ_QUERY_INFORMATION]

fastfat.sys --> [iRP_MJ_READ]

fastfat.sys --> [iRP_MJ_SET_INFORMATION]

fastfat.sys --> [iRP_MJ_WRITE]

fastfat.sys --> [base + 0x00008405]

As you see Rustock.C hooks several IRP handlers which are responsible for the common FS operations. Here also protection from overwriting and reading infected data. On the NTFS volume the hooks will be same but in the ntfs.sys.

Если у вас есть тот дроппер, то вы можете скачать или первую бэту тулзы или вторую с поддержкой amd и проникнуться. Посмотрите также на даты их релизов.

[Alex_Goodwin 81]

Почему ЛК первые ".а" и ".в" детектила как "Кострат.х", а .с как "Русток.с"? неужели .с настолько уникален, что был отнесен в иное семейство?

Это же очевидно.. Там был просто руткит, а тут уже инфектор..

dr_dizel

Ну не надо здесь это пиарить.. Все же знают кто авторы этой софтины

И сколько раз говорили, что дроппера 3-ки нет in the wild..

[dr_dizel 385]

Ну не надо здесь это пиарить..

О как. А что тут можно?

Дело же в том, как вся эта история выглядит со стороны.

Все же знают кто авторы этой сойтины

Да-да-да. Это З0мби! Мы нашли его! Время выйти из тени!..

На распаковку, детальный анализ и улучшение методов детектирования подобных экземпляров вирусные аналитики «Доктор Веб» потратили несколько недель...

Некоторые технические характеристики руткита...

- имеет функцию "перезаражения", срабатывающую по времени. Старый зараженный файл при «перезаражении» излечивается. Таким образом, руткит "путешествует" по системным драйверам, оставляя зараженным какой-нибудь один.

Раз Вэбовцы всё рульно распаковали, то попросите чтобы сделали уж вам дроппер.

[Alex_Goodwin 81]

ээ, как бы я имел ввиду, что по слухам Hypesight Rootkit Detector сделала та же команда, что и rku..

[dr_dizel 385]

ээ, как бы я имел ввиду, что по слухам Hypesight Rootkit Detector сделала та же команда, что и rku..

Говорят, что нет.