Возможно ли самостоятельно разработать антивирус - Страница 24 - Современные угрозы и защита от них - Форумы Anti-Malware.ru Перейти к содержанию
vpv

Возможно ли самостоятельно разработать антивирус

Автор vpv, в Современные угрозы и защита от них

Recommended Posts

Petuya    5

Petuya
Опубликовано

ARCHANGEL

По поводу твоего разбора NetScreen.

1) Он-таки на ассемблере, а не на C/C++. Это заметно.

2) Дропает он не сразу батник, он дропает дроппер (DLL) и его базу данных (рассчитанную на несколько батников). Первая строка - это стартовая позиция файла, его имя (в который надо сдропить), потом идет видимо размер. Длл-ка походу какого-то немца, т.к. ошибка выводится на немецком и английском (что подтверждает вариант, что Бабушкин никакого отношения к коду не имеет). Все, что умеет - парсить эту "базу", загружать и запускать эти файлы (дожидаясь завершения).

3) "Куча функций переливания из пустого в порожнее" - это работа со строками. Копирование, сложение, создание, удаление. Ну и работа с файлами вся обернута таким же образом. Почти как в делфи, но не делфи.

И еще, ARCHANGEL, добавь разбор Fin.dll. Это PEiD (сразу видно:)).

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

vpv    4

vpv
Опубликовано
Имхо тема себя изжила.

Уже все разобрано и пошло по второму кругу.

Или давайте конкретные меры принимать и обсуждать их результаты или закрывайте флудотоп. Первый раунд с Бабушкиным - ничья.

Бабушкин, залогинтесь!

Какой второй круг?? Только сейчас стали по полочкам разбирать этот "код". Меры будем стараться принимать.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано
По поводу твоего разбора NetScreen.

1) Он-таки на ассемблере, а не на C/C++. Это заметно.

2) Дропает он не сразу батник, он дропает дроппер (DLL) и его базу данных (рассчитанную на несколько батников). Первая строка - это стартовая позиция файла, его имя (в который надо сдропить), потом идет видимо размер. Длл-ка походу какого-то немца, т.к. ошибка выводится на немецком и английском (что подтверждает вариант, что Бабушкин никакого отношения к коду не имеет). Все, что умеет - парсить эту "базу", загружать и запускать эти файлы (дожидаясь завершения).

3) "Куча функций переливания из пустого в порожнее" - это работа со строками. Копирование, сложение, создание, удаление. Ну и работа с файлами вся обернута таким же образом. Почти как в делфи, но не делфи.

И еще, ARCHANGEL, добавь разбор Fin.dll. Это PEiD (сразу видно:)).

1. exe - согласен, асм. b2e.dll - C, ООп кода там я не увидел.

2. "Первая строка - это стартовая позиция файла, его имя (в который надо сдропить), потом идет видимо размер." - опущено в анализе, т.к. несущественно. В принципе, могу добавить. К сожалению, файлов слишком много чтоб прям каждую строчку прокомментировать. Так что да, критика приветствуется.

3. "это работа со строками. Копирование, сложение, создание, удаление." - Куча функций переливания из пустого в порожнее. А ещё выделение, освобождение памяти из кучи, перемещение строк из одного буфера в другой и т.д.

На счёт разбора Fin.dll - да, обратим внимание.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Petuya    5

Petuya
Опубликовано

Пункт TODO "найти надпись про гусей" - очень просто. ControlX.dll, там в юникоде лежит строка. В декомпиле - форма AI, адрес loc_581158.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано
Пункт TODO "найти надпись про гусей" - очень просто. ControlX.dll, там в юникоде лежит строка. В декомпиле - форма AI, адрес loc_581158.

Это я видел много раз на разных ресурсах. Имеется ввиду, логически связать запуск/функционал модуля с этой надписью с общей работой антивирусного продукта.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Petuya    5

Petuya
Опубликовано
Это я видел много раз на разных ресурсах. Имеется ввиду, логически связать запуск/функционал модуля с этой надписью с общей работой антивирусного продукта.

Выводится, когда оставшееся количество дней лицензии равно 950.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано
Выводится, когда оставшееся количество дней лицензии равно 950.

Я вам верю, но нужно это как-то логично и с доказательной базой втиснуть в исследование.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Petuya    5

Petuya
Опубликовано

На первой странице обсуждения был отскриншотен код декомпилера. Там видно, что выводится если некое Timer4.Caption = "950".

Можно открыть C:\Windows\wusa.dll, вписать туда 950, запустить панель конфигурации АВ и увидеть эту самую надпись.:)

Пруф http://www.anti-malware.ru/forum/index.php...st&p=167204

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

amid525    67

amid525
Опубликовано
Аналитики тоже с юмором.

______.JPG

Вирлаб жжот. :lol:

Непонятно, куда жжот..

"это всеми известный антивирус Бабушкина!"

Т.е, они не считают его фейком.. , а Антивирусом!

Так-то.. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Kapral    311

Kapral
Опубликовано
Непонятно, куда жжот..

"это всеми известный антивирус Бабушкина!"

Т.е, они не считают его фейком.. , а Антивирусом!

Так-то.. :)

Неверное цитирование

Вот как надо понимать

это всеми известный антивирус Бабушкина! ;)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Z.E.A.    190

Z.E.A.
Опубликовано
Непонятно, куда жжот..

"это всеми известный антивирус Бабушкина!"

Т.е, они не считают его фейком.. , а Антивирусом!

Так-то.. :)

А кто ответил? Фамилию в студию! Не Паршин случаем? :D

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

amid525    67

amid525
Опубликовано
А кто ответил? Фамилию в студию! :D

Ага, ни какого уважения к трудам, разоблачениям в данном топике.. :D

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

alamor    69

alamor
Опубликовано
Бабушкин, залогинтесь!

vpv вам Бабушкин уже во всех мерещится? :D

Какой второй круг??

наверно имелись в виду посты наподобие

Local.bin - очень веселый файл:

в начале темы об этом уже писали.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано

Обновился, ну, вы поняли. Добавлен анализ Fin.dll

1. Добавлена информация и исправлены неточности, на которые указывал Petuya

2. Добавлен анализ Fin.dll - сравнение его с PeID.

  • Upvote 10

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Vad    0

Vad
Опубликовано

Бабушкин навсегда останется идолом, удачливым ловкачом, легендой для школоты и технарей-дилетантов. Он единственный, кто впарил ложный антивирус в гос. учреждения (правда читерил через папу), и не просто так, а за бабло. Но выиграть государственный гранд по президентской программе! Это высший пилотаж. Такого из производителей фэйк-ав ещё не делал никто. А если учесть бонусы в его "продукте" в виде ворованной интеллектуальной собственности, что тут сказать - красиво поимел лохов! Браво, Алексей! :lol:

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

GF911    5

GF911
Опубликовано
в начале темы об этом уже писали.

Сорри, вероятно не заметил. Но тему не стоит закрывать хотя бы из-за продолжающегося разбора этой поделки Архангелом и сочувствующими.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Edmond    0

Edmond
Опубликовано

На данный момент имеется объемный подробный разбор этого творения, но что дальше? Я просто не представляю кто и что будет делать. Кому захочется устраивать те же разбирательства в суде... С другой стороны, иных вариантов не особо видно - сам кадр упрям, журналистам интересен только рейтинг, а никак не правда - об этом уже было сказано...

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Hitomi    20

Hitomi
Опубликовано
А кто ответил? Фамилию в студию! Не Паршин случаем? :D

Вот только Паршина не надо впутывать. Он няша. :D К слову - ответ был не на сам инсталятор, а на файлик ImunSVC.exe. Тот, что в папке Windows.

Видимо в ЛК признали наконец фактический факт - "Иммунитет" гораздо круче их "глючного комбайна", который "ниловит трояноф". :lol::lol::lol:

*****

Парню (аналитику) всего 20 лет. Так что подход с юмором вполне понятен.

/ох великий Гугл и соц сети - позволяют найти кого угодно. И даже с картинками/

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

MrShoor    0

MrShoor
Опубликовано
Бабушкин поклонник таланта Криса Касперски, меня это даже не удивляет.

659949dd.png

Бида бида. Если бы он осилил чуть больше, чем эта красивая легенда, то знал бы о чем в статье речь.

2Бабушкин: Срочно три со стены это позорище, лол. Сначала прочти о чем пишут в статье и пойми её смысл.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

ARCHANGEL    40

ARCHANGEL
Опубликовано

Этим товарищ Бабушкин ещё и доказывает, что спёр чужую, хоть и бредовую идею + не осилил дискретную математику, в частности такие понятия как группы, кольца, поля Галуа и т.д. А это, если не ошибаюсь, на начальных курсах читалось. И теперь есть студент третьего курса, который ведёт себя как идиот. Но есть одна проблема - на идиотизм такой спланированно-фейковый антивирус списать не получится. Да и что темнить - даже из журналистского видео видно, что антивирь, который тут потрошат и есть тем самым поделием бабушкина.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Z.E.A.    190

Z.E.A.
Опубликовано
Вот только Паршина не надо впутывать. Он няша.

Местами няша, а местами нет. :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

MrShoor    0

MrShoor
Опубликовано
Этим товарищ Бабушкин ещё и доказывает, что спёр чужую, хоть и бредовую идею + не осилил дискретную математику, в частности такие понятия как группы, кольца, поля Галуа и т.д. А это, если не ошибаюсь, на начальных курсах читалось. И теперь есть студент третьего курса, который ведёт себя как идиот. Но есть одна проблема - на идиотизм такой спланированно-фейковый антивирус списать не получится. Да и что темнить - даже из журналистского видео видно, что антивирь, который тут потрошат и есть тем самым поделием бабушкина.

Между прочим статья написана настолько хорошо, что её можно осилить без знания дискретки (достаточно IQ иметь 170 :D ). Видимо ниасилил, и ниасилил на столько, что даже не смог понять смысл статьи. Явно же думает, что она про мегакрутое сжатие данных.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

alamor    69

alamor
Опубликовано

про то что идею архивации он тоже украл, тоже уже писали в топике ;)

P.S. тем кто не следил за темой с самого начала предлагаю перечитать версию для печати или скачать или прочитать офлайн вариант.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Современные угрозы и защита от них

  • Сообщения

    • Ego Dekker
      Актуальные версии антивируса 18-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 18.1.10.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      1) По поводу реестра и восстановления. Некоторые программы при работе создают копию реестра. Например в корне диска от FRST  т.е. предлагаю добавить в uVS поиск таких копий. Единственно проверять копии на соответствие Системе. В образ писать информацию о такой копии и дату её создания. 2) Окно с твиками в будущем разбить на два окна, твики работающие с реестром выделить в отдельное окно. 3) В Doc - добавить  информацию по твику 35 и его возможном применении с виртуализацией. 4) Проверять возможность загрузиться с другого диска\системы и добавлять в Инфо. сведения о возможности загрузиться с другого диска\системы. Это я о том, что возможно у PC были\есть несколько пользователей и человек просто не знает, что на дисках есть другие системы.  
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      С виртуализацией можно удалять все, защиты от нее практически нет. Выполнить 45-й твик.

      ---------------------------------------------------------
       4.99.12
      ---------------------------------------------------------
      o При удалении исключений Defender-а теперь не_используется powershell из-за неадекватного
         поведения антивируса Kaspersky Free. Теперь удаление производится через сам Defender без
         посредников.
         (!) Если Defender отключен ИЛИ неисправен ИЛИ у вас установлен и АКТИВЕН другой антивирус
         (!) то удаление исключений возможно лишь при использовании виртуализации реестра
         (!) ИЛИ при приостановке защиты этого антивируса.
         (!) Я рекомендую отключать антивирус перед запуском, он все равно бесполезен
         (!) и лишь существенно замедляет и усложняет процесс лечения.

       o Теперь в лог выводится информация о зарегистрированных в системе антивирусах/фаерволах и их состоянии.
         (Доступно для Windows Vista+)

       o Улучшена функция поиска неизвестных DLL в адресном пространстве uVS, теперь она более устойчива
         к мерам противодействия поиску.

       o Удалено ошибочное сообщение в логе для Windows Vista о блокировке kernelbase.dll,
         которой в этой системе нет.

       o Антисплайсинг: расширен список контролируемых функций.

       
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      Посмотрел тему: https://forum.kasperskyclub.ru/topic/466078-privetstvuju-slovil-majner-po-nazvaniem-toolbtcmine2782/ Возможно имеет смысл  - выполнение  Твика #35  с виртуализацией реестра ? т.е. именно отдельный твик с виртуализацией? ( для обхода защит\ы ) ------- А как средствами uVS  удалить запись типа: Запись из Лога: Обнаружена поврежденная задача: : Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\1EOSv3 Scheduler onLogOn Собственно это единственная запись\информация. Другой информации в uVS нет. т.е.  если нет записей = иной информации, то и применить к ней команды из интерфейса невозможно. т.е. нужно или отдельно задействовать cmd и\или открывать  taskschd как-то это...  
    • santy
      uVS - Тестирование

      От santy · Опубликовано

      Все получилось. Неудаляемые из нормального режима записи с блокировкой запуска антивируса получилось удалить твиком 35 после интеграции uVS в меню дополнительных параметров загрузки. (Обошлось без загрузочного диска.)
×