Перейти к содержанию
Ego1st

Mebroot/Sinowal/MBR/Torpig - обнаружен новый вариант буткита

Автор Ego1st, в Современные угрозы и защита от них

Recommended Posts

vaber    350

vaber
Опубликовано
Ситуация все еще не изменилась?

Пока нет. Думаю, как измениться - Вы сразу же узнаете :)))

Они утверждают, что детектируют его. Или они обнаруживают лишь загрузку исполняемого файла и на этом всё закончится?

Ну Вы же прочитали их пеар, там же все написано :))

Как выглядит код, который грузит этот руткит через drive-by download?

Красиво :D

Почему-то все удобно молчат об этом, но блокировать его загрузку не должно быть сложно, так? (блокировка загрузки любого исполнительного файла без разрешения)

Я бы сказал, что всем молчат потому, что пока говорить нечего...хотя некоторым компаниям свойственно делать красивые публикации о том, как они изучили малварь, но при этом-таки продолжают не защищать пользователя...как было с вторым поколением этого же mebroot.

Касаемо "блокировка загрузки любого исполнительного файла без разрешения" - не совсем понял что имеете ввиду?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано
Касаемо "блокировка загрузки любого исполнительного файла без разрешения" - не совсем понял что имеете ввиду?

Тип файлов, которые загружаются определяется нормальными программами защиты, я предполагаю. Если пользователь вручную не запросил испольнительный файл X, то тогда же технически возможно блокировать его и выдать алерт, даже если он как зловред не познаётся, или я ошибаюсь?

Так допустим:

75e69e060ad3.jpg

1. Exploit

c1e90554ece1.gif

2. Deny Unauthorized Executable

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

vaber    350

vaber
Опубликовано

Так Вы определитесь что имеете ввиду - блокировку загрузки или блокировку исполнения? Как я понял из скринов выше - там идет блокировка исполнения,а не загрузки. Кстати, а откуда скрины? Ссылку можно?

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано
Так Вы определитесь что имеете ввиду - блокировку загрузки или блокировку исполнения? Как я понял из скринов выше - там идет блокировка исполнения,а не загрузки. Кстати, а откуда скрины? Ссылку можно?

Пожалуйста:

New Mebroot spreading around and got undetected

mysec там говорит, что блокируется загрузка, а не выполенине - все претензии к нему. ;)

It doesn't have to spread. I used one of the exploits above, found a small program and renamed it to "Mebroot.exe" and put it and the exploit page on my web site. On connecting to the page, the code attempted to download the executable, and is easily blocked

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

vaber    350

vaber
Опубликовано
Пожалуйста:

New Mebroot spreading around and got undetected

Имелось ввиду другое - execution protection, блокировка исполнения. Впрочем, тут все зависит от реализации. Если будет выдавать сообщения пользователю о запуске любого приложения - это быстро надоест ему (в некоторых хипсах есть такой функционал, но он отключен ибо и так алертов хватает :)).

mysec там говорит, что блокируется загрузка, а не выполенине - все претензии к нему. wink.gif

Так Вы бы ссылку сразу давали - тогда были к нему ;)

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано
Так Вы бы ссылку сразу давали - тогда были к нему ;)

Простите, я сижу на 15 ресурсах одновременно и ещё на разных языках... :)

Если будет выдавать сообщения пользователю о запуске любого приложения - это быстро надоест ему (в некоторых хипсах есть такой функционал, но он отключен ибо и так алертов хватает :)).

Но это же не просто любое, а НОВОЕ ('инородное тело', так сказать), которое грузится с Интернета без ведома пользователя. Разве это не приоритет?

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Илья Рабинович    521

Илья Рабинович
Опубликовано
Я бы сказал, что всем молчат потому, что пока говорить нечего...

Все молчат, потому что тем, кто не умеет его блокировать, не о чем рапортовать, а те, кто умеет- просто работают.

  • Upvote 5

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Рашевский Роман    110

Рашевский Роман
Опубликовано
mysec там говорит, что блокируется загрузка, а не выполенине - все претензии к нему. ;)

По сути бесполезно...

Напоминает высказывание: "... это в лучших традициях ЛК - сдерживать зловреда HIPS'ом, пока нет адекватного лечения"... ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано
По сути бесполезно...

Напоминает высказывание: "... это в лучших традициях ЛК - сдерживать зловреда HIPS'ом, пока нет адекватного лечения"... ;)

Блокировать незапрошенный исполнительный файл сразу же когда он попадает на компьютер и не дать ему запускаться на комьютере вашего клиента - бесполезно?

Хотя, может быть и так если вы это говорите - спорить не буду: я делаю ещё по-другому: ничего, из того, что я сам не хочу не грузится вообще - даже картинки. Я всё наоборот делаю; запрещаю всё по умолчанию кроме текста и оттуда разрешаю то, что мне нужно, ни байта больше. Как вам это? Ни одна из 'лечилок' и программ типа 'анти-' ещё не нашла ничего у меня никогда. :)

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Рашевский Роман    110

Рашевский Роман
Опубликовано
Блокировать незапрошенный исполнительный файл сразу же когда он попадает на компьютер и не дать ему запускаться на комьютере вашего клиента - бесполезно?

Как же определить каким является файл: запрошенным или не запрошенным?

Если вредоносный файл попадает из сети Интернет - то данный метод действительно полезен, а вот если вредоносный файл записан на CD\DVD-диск, тогда как? :)

Хотя, может быть и так если вы это говорите - спорить не буду: я делаю ещё по-другому: ничего, из того, что я сам не хочу не грузится вообще - даже картинки. Я всё наоборот делаю; запрещаю всё по умолчанию кроме текста и оттуда разрешаю то, что мне нужно, ни байта больше. Как вам это? Ни одна из 'лечилок' и программ типа 'анти-' ещё не нашла ничего у меня никогда. :)

Paul

Что называется: 100%-ая информационная безопасность в чистом виде... ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано
Как же определить каким является файл: запрошенным или не запрошенным?

Если вредоносный файл попадает из сети Интернет - то данный метод действительно полезен, а вот если вредоносный файл записан на CD\DVD-диск, тогда как? :)

Данный Mebroot/Sinowal/MBR/Torpig пока грузится через drive-by download с Интернета. Таких надо блокировать по умолчанию и спросить у пользователя, хочет ли он этот файл .exe, или нет. Если тот тупа щёлкает 'Да', то тогда это уже его проблема. Но вы как Защитник сделали всё, что cмогли. Страх потерять из-за этого клиентов - неоправдан.

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Рашевский Роман    110

Рашевский Роман
Опубликовано
Данный Mebroot/Sinowal/MBR/Torpig пока грузится через drive-by download с Интернета. Таких надо блокировать по умолчанию и спросить у пользователя, хочет ли он этот файл .exe, или нет. Если тот тупа щёлкает 'Да', то тогда это уже его проблема. Но вы как Защитник сделали всё, что cмогли. Страх потерять из-за этого клиентов - неоправдан.

Paul

Извините, забыл насчет drive-by download, в таком случае, беру свои слова назад. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

sww    486

sww
Опубликовано
Конкуренты нервно курят в углу...

http://forum.drweb.com/index.php?showtopic=279406&hl=

Мой наивный зеленый друг. С неделю в бете.

memory.png

Лечение дальше тоже есть. И MBR'а в том числе.

post-3744-1240507699_thumb.png

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

99-й    25

99-й
Опубликовано
Мой наивный зеленый друг. С неделю в бете.

Лечение дальше тоже есть. И MBR'а в том числе.

А картинко точно правильный?

http://www.viruslist.com/ru/viruses/encycl...?virusid=275757

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

sww    486

sww
Опубликовано
А картинко точно правильный?

http://www.viruslist.com/ru/viruses/encycl...?virusid=275757

Не знаю что там на вируслисте, но это детект в памяти :) MBR детектится по-другому (Backdoor.Win32.Sinowal.deg).

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Umnik    997

Umnik
Опубликовано
Василий, а как с UAC? Помогает?
Да

Ответ неверный. UAC никак не отреагировал ни на Sinowal.a, ни на Sinowal.b, ни на Sinowal.def. Vista SP1 32 bit

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

vaber    350

vaber
Опубликовано
Ответ неверный. UAC никак не отреагировал ни на Sinowal.a, ни на Sinowal.b, ни на Sinowal.def. Vista SP1 32 bit

И что CreateFileA вернула? :)

mbr - изменился? ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Umnik    997

Umnik
Опубликовано

Да вот я поторопился. :) Кажись, реально заражения не произошло. :)

2 sww

Я лажанулся? Не имеет смысла проверять лечение этих буткитов на Висте из-под Rescue Disk

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

sww    486

sww
Опубликовано
Я лажанулся? Не имеет смысла проверять лечение этих буткитов на Висте из-под Rescue Disk

Угу, смысла нет. Не умеют они на висте.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано
первыми оказались ЛК=))

Это всего лишь статья,детект и лечение было еще в апреле. ;)

P.S. Для того чтобы ЛК не обвинили в пиаре:

«Лаборатория Касперского» одной из первых среди ведущих антивирусных компаний реализовала в своих существующих персональных антивирусных решениях не только детектирование, но и успешное лечение данного варианта Sinowal.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано

Лечение было в бете, думаю его только выпустили=)

Иначе давно бы уже написали что лечят=)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Danilka    678

Danilka
Опубликовано
Лечение было в бете, думаю его только выпустили=)

Иначе давно бы уже написали что лечят=)

Данный скрин говорит сам за себя:

http://www.anti-malware.ru/forum/index.php...ost&id=3862

Бета KIS 2010- а это 2009 ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Ego1st    95

Ego1st
Опубликовано

т.е. вы считаете, если обновления разрабатываются для кава\киса 2009 они сразу идут пользователям и не проходят обкатку внутри?=))

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • Ego Dekker
      Актуальные версии антивируса 17-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 17.1.9.
    • Ego Dekker
      Новая версия бесплатного приложения ESET Online Scanner доступна пользователям

      От Ego Dekker · Опубликовано

      ESET Online Scanner был обновлён до версии 3.7.4.0.
    • ArktiTig
      Красивая арктика

      От ArktiTig · Опубликовано

      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      uVS - Тестирование

      От ArktiTig · Опубликовано

      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
×