Тест на лечение активного заражения VI (подготовка)

[Сергей Ильин 1538]

Друзья, пришло время заняться вплотную очередным тестов на лечение активного заражения.

Нужно сформировать список вредоносных программ, которые мы будем там тестировать, определиться с платформой и списком тестируемых продуктов.

Любые предложения приветствуются.

Методологию принципиально менять не будем, вот она http://www.anti-malware.ru/node/4404 (будут только другие вредоносы и антивирусы, конечно же)

Обсуждение предыдущих результатов можно найти здесь http://www.anti-malware.ru/forum/index.php?showtopic=18932, так сказать чтобы оживить воспоминания

[MORDRED 80]

Duqu и Stuxnet берите. И прочую херню, которую предоставит касперский для теста. В смысле семплов итд.

[Виталий Я. 859]

Duqu и Stuxnet берите. И прочую херню, которую предоставит касперский для теста. В смысле семплов итд.

Ага, и сразу разрабатывайте www.anti-malware.ir

[Dmitriy K 603]

Duqu и Stuxnet берите. И прочую херню, которую предоставит касперский для теста. В смысле семплов итд.

Предлагаю, чтобы #ерни не было, ответственным на отбор образцов назначить MORDRED'а

[Сергей Ильин 1538]

Duqu и Stuxnet берите.

Это редкие вредоносы - APT, не подходят нам.

Напомню что было в тот раз:

TDL (TDSS, Alureon, Tidserv)

Koutodoor

Win32/Glaze

Sinowal (Mebroot)

Rootkit.Protector (Cutwail, Pandex)

Worm.Rorpian

Rootkit.Podnuha (Boaxxe)

Virus.Protector (Kobcka, Neprodoor)

Rustock (Bubnix)

Email-Worm.Scano (Areses)

SST (DNSChanger, FakeAV)

SubSys (Trojan.Okuks)

Rootkit.Pakes (synsenddrv, BlackEnergy)

TDL2 (TDSS, Alureon, Tidserv)

TDL3 (TDSS, Alureon, Tidserv)

TDL4 (TDSS, Alureon, Tidserv)

Xorpix (Eterok)

Жирным выделил что точно стоит оставить, так как год назад мало кто их детектил.

Предлагали также добавить следующие зловреды:

1) Trojan.Mayachok.1

2) Trojan.Necurs

[rkhunter 150]

Ну можно взять на рассмотрение

- ZeroAccess

- Ramnit (который инфектор + руткит)

- Sinowal или SST/MaxSS

- Cridex (aka Necurs 2)

- Cidox (Rovnix.B )

[К посту Сергей Ильин]

Может стоит взять что-нить актуальное и выкинуть TDL2/TDL3 (да и 4 тоже).

[Сергей Ильин 1538]

Может стоит взять что-нить актуальное и выкинуть TDL2/TDL3 (да и 4 тоже).

Я старые проблемные самплы дополнил новым. На старом хорошо видно насколько проведена работа над ошибками. Но если новенького будет много, то можно TDL2/TDL3/TDL4 пожертвовать.

[rkhunter 150]

Я старые проблемные самплы дополнил новым.

В смысле новые дропперы той же малвари?

На старом хорошо видно насколько проведена работа над ошибками. Но если новенького будет много, то можно TDL2/TDL3/TDL4 пожертвовать.

Разве что из-за работы над ошибками. С другой стороны, смысл брать "мертвую" малварь? Хотя говорят что на TDL4 еще большой ботнет, может быть его стоит и оставить.

Еще, может быть стоит посмотреть на тест немного под другим углом и взять не "навороченную" руткитами малварь, а актуальную, ориентируясь, например, на данные по количеству популяции?

[Сергей Ильин 1538]

В смысле новые дропперы той же малвари?

Тут и новые варианты можно взять того, что уже было в тесте (чтобы сбить заточку на конкретные образцы, если у кого она была), так и новые виды вредоносов, о которых ты писал выше.

[Vofres 20]

А список вендоров останется таким же, как в прошлый раз, или будут какие-то изменения?

[Юрий Паршин 330]

ZeroAccess (оба поколения - с файлом-NTFS-контейнером в папке system32\config, и с директорией $NtUninstall*$ в папке windows).

[rkhunter 150]

ZeroAccess (оба поколения - с файлом-NTFS-контейнером в папке system32\config, и с директорией $NtUninstall*$ в папке windows).

Может хватит второго (который $NtUninstall*$)? Первый вроде не актуален уже...

[Юрий Паршин 330]

Может хватит второго (который $NtUninstall*$)? Первый вроде не актуален уже...

Первый лечить сложнее и он иногда встречается на машинах зараженных пользователей.

[Milord 55]

А какая платформа?

[rkhunter 150]

Кстати еще SpyEye или ZBot, все еще актуальны.

[RomaNNN 5]

Согласен, Trojan.Necurs хорошо бы проверить.

А так же можно добавить:

Carberp

Cybergate

CiDox\Mayachok.2 (который заражает VBR и ставит свой перехват) - http://www.anti-malware.ru/forum/index.php?showtopic=21365

[K_Mikhail 807]

Кстати еще SpyEye или ZBot, все еще актуальны.

А в чём их прелесть с т.зр. лечения-то?

[Сергей Ильин 1538]

А какая платформа?

Windows XP я думаю, или нужно смотреть что из предложенного выше способно работать под Windows 7 в принципе.

[K_Mikhail 807]

Согласен, Trojan.Necurs хорошо бы проверить.

Там только один вариант был с NtSecureSys, но он не подходит по методологии, ибо он противодействует запуску антивирусных средств.

А так же можно добавить:

Carberp

Разве что вариант с инфицированием VBR и объединить с Mayachok.2 всех модификаций.

Cybergate

А здесь в чём прелесть с точки зрения лечения?

P.S. А, вообще, сейчас стало скучно с точки зрения лечения: трудновыковыриваемые вещи как-то перестали попадаться...

[RomaNNN 5]

Там только один вариант был с NtSecureSys, но он не подходит по методологии, ибо он противодействует запуску антивирусных средств.

Ок, не подходит так не подходит...

Разве что вариант с инфицированием VBR и объединить с Mayachok.2 всех модификаций.

ммм...Можно и так...

А здесь в чём прелесть с точки зрения лечения?

посмотрим, кто умеет лечить VBR от него

P.S. А, вообще, сейчас стало скучно с точки зрения лечения: трудновыковыриваемые вещи как-то перестали попадаться...

Оооочень редко.

[K_Mikhail 807]

посмотрим, кто умеет лечить VBR от него

CyberGate разве инфицирует VBR?

[RomaNNN 5]

Ой..ошибся. Я думал про Carberp.

CyberGate ничего вроде серьезного не делает.

[K_Mikhail 807]

Ой..ошибся. Я думал про Carberp.

CyberGate ничего вроде серьезного не делает.

Обычный клиент-серверный бэкдор, коих вагон.

[strat 275]

и обязательно про образцы напишите - кто где и насколько распространен

[SDA 750]

Windows XP я думаю, или нужно смотреть что из предложенного выше способно работать под Windows 7 в принципе.

Под 7х32 работает все. Хватит терзать "пенсионера" ХР