Про поддержку упаковщиков

[katbert 0]

Сегодня столкнулся с необходимостью запустить простой сканер портов на сервере, защищенном SAV CE 10.1.7.7000

Однако сканер был уничтожен как потенциальная программа

Исполняемый файл по умолчанию был упакован UPX

http://upx.sourceforge.net/#download

Я распаковал это файл. Попытка 2 - файл снова удален

Теперь я запаковал файл с помощью aspack - и Symantec молчит. Файл удалось запустить

http://www.aspack.com/downloads.aspx

У конкурентов - Каспера и Доктора - файлы сначала распаковываются, потом проверяются - что гораздо надежнее

У Symantec - получается, детект делается поверх пакера

Это проблема конкретной сигнатуры, или Symantec принципиально не умеет сначала извлечь тушку из обертки, и потом проверить ее?

[Кирилл Керценбаум 671]

Это проблема конкретной сигнатуры, или Symantec принципиально не умеет сначала извлечь тушку из обертки, и потом проверить ее?

Какая сигнатура была определена? Есть отдельные сигнатуры, которые определяют именно попытку перепаковки для сокрытия истинного предназначения файла

[katbert 0]

Файл детектировался как AngryIpScanner

повторюсь - изначально файл был запакован UPX и детектился, затем я его распаковал - снова детектился

Возможно,это объясняется тем,что продукт open-source

А когда я запаковал ничем не запакованный файл с помощью aspack - он уже не детектировался

Есть отдельные сигнатуры, которые определяют именно попытку перепаковки для сокрытия истинного предназначения файла

То есть распаковка не подразумевается, только обнаружение нестандартных ситуаций?

[priv8v 960]

затем я его распаковал - снова детектился

итого имеем - детектируется сам файл, а не упаковщик UPX (upx симантек умеет распаковывать).

Возможно,это объясняется тем,что продукт open-source

а это как влияет на то, что он детектируется и под upx и в нормальном виде?..

А когда я запаковал ничем не запакованный файл с помощью aspack - он уже не детектировался

вывод - с аспаком (по крайней мере с вашей версией программы) симантек не дружит - он лишь молчит и дуется на него как мышь на крупу... т.к больше ничего сделать не может

[katbert 0]

а это как влияет на то, что он детектируется и под upx и в нормальном виде?..

Исходный код доступен всем - достаточно взять компилятор и собрать. Вряд ли собравший этот файл сразу займется его заворачиванием в UPX. Думаю, логично внести голый файл в базу

[priv8v 960]

зачем вносить вполне нормальный файл (неупакованный притом) в базу и как это относится к названию темы?))

[katbert 0]

зачем вносить - за тем же, зачем внесли файл, упакованный UPX. Сканер портов есть потенциально опасная программа. Вне зависимости от упаковщика.

Суть данного топика - обсудить поддержку пакеров в текущих версиях Symantec. Согласно опубликованному на портале тесту на поддержку пакеров от 2006 года, у Symantec в этой области все было грустно. Похоже, с течением времени мало что изменилось

[Кирилл Керценбаум 671]

Похоже, с течением времени мало что изменилось

Вы образец, который не детектится, пробовали отправлять на анализ в Symantec

[katbert 0]

Вы образец, который не детектится, пробовали отправлять на анализ в Symantec

Нет, ибо добавление сигнатуры под этот же файл, в другой обертке - бессмысленна

Что мешает завернуть файл в третью обертку?

Чтобы проверить результаты моего опыта - я взял другую утилиту, которая детектится как потенциально опасная. Это produkey от Nirsoft.

Тут все более показательно - файл по умолчанию упакован UPX-ом и детектится

Однако простая распаковка сделала этот файл невидимым для Symantec - детекта нет

Вывод - детект был сделан поверх пакера

[Рашевский Роман 110]

Нет, ибо добавление сигнатуры под этот же файл, в другой обертке - бессмысленна

Что мешает завернуть файл в третью обертку?

Чтобы проверить результаты моего опыта - я взял другую утилиту, которая детектится как потенциально опасная. Это produkey от Nirsoft.

Тут все более показательно - файл по умолчанию упакован UPX-ом и детектится

Однако простая распаковка сделала этот файл невидимым для Symantec - детекта нет

Вывод - детект был сделан поверх пакера

Недоработки бывают у всех вендоров, и, как мне кажется, это абсолютно нормально, т.к. люди - не машины, люди не идеальны...

[Сергей Ильин 1538]

Недоработки бывают у всех вендоров, и, как мне кажется, это абсолютно нормально, т.к. люди - не машины, люди не идеальны... wink.gif

Это не недоработки никакие, а подход вендора. У каждого свой подход. Совсем не факт, что при развитии технологий HIPS (прежде всего поведенческий анализ и репутация) распаковка будет играть какое-то значение. А ресурсов сия технология отнимает немерено. Готовы мериться с постоянными тормозами? Я нет.

[Кирилл Керценбаум 671]

Нет, ибо добавление сигнатуры под этот же файл, в другой обертке - бессмысленна

Речь идет не об этом, у Symantec Security Response есть целая серия сигнатур Packed.Generic (к примеру), с помощью которых и определяются различные упаковщики. Если бы Вы отправили образец - мне бы самому было интересно что скажут по поводу вашего образца

[priv8v 960]

ага. палят значит стабы крипторов/протекторов - это далеко не = распаковка или эмуляция

[katbert 0]

Если бы Вы отправили образец - мне бы самому было интересно что скажут по поводу вашего образца

Касаемо второго образца:

Исходный файл, запакованный UPX (детектится)

http://www.nirsoft.net/utils/product_cd_key_viewer.html

Во вложении - этот же файл, извлеченный из упаковки (не детектится)

ProduKey1.zip

ProduKey1.zip

[katbert 0]

Сегодня эта история имела продолжение

Нужно было вытащить пароль из-под звездочек

Взял утилитку http://www.nirsoft.net/utils/astlog.html

Symantec ее удалил.

Файл был упакован UPX. Просто развернул его - и файл не детектится

[priv8v 960]

Может попробуете с помощью PEID (или аналогов) посмотреть версию UPX, и такой же версией упаковать какой-либо реальный зловред, который детектируется нортоном и посмотреть на результат, а также и наоборот - легитимный файл, который не вызывает подозрений у нортона (только не системный, а какой-нибудь программы небольшой) упаковать этой версией UPX и снова посмотреть на результат.

Исходя из Вашего последнего поста результаты должны быть интересными )))