Запросы на исследование вирусов

Сейчас на форуме: r0lka, johnniewalker, vsv1, NIKOLA (+4 невидимых)

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 16 . 17 . >>

Посл.ответ	Сообщение
theCollision Ранг: 271.5 (наставник), 12thx Активность: 0.15↘0 Статус: Участник Packer Reseacher	Создано: 28 октября 2009 16:21 · Поправил: Модератор · Личное сообщение · #1 Предлагаю тут постить запросы на реверс малвары или файлов в которых вы не уверены. Формат запроса: 1. Краткое описание задачи, к примеру "Прошу помочь удалить" или "Не пойму почему антивирус называает ...." 2. Аномалии при работе с компом, которые заметили. 3. Ссылка на файл, точная ссылка. К примеру rapidshare. Архив со всем необходимым обязательно должен быть с паролем "virus" (без кавычек). 4. Описание того, что вы уже сделали и какие получили результаты. Рекомендую отказаться от "Вероятно, это...", а лучше "Запустил тулзу... и увидел что...". Вобщем лучше лишний раз проверить, чем писать что вы всего лишь думаете, что это или хотя бы не так открыто, а после каких-нить телодвижений. ----- My love is very cool girl.

swordfishik Ранг: 0.2 (гость) Активность: 0=0 Статус: Участник	Создано: 20 апреля 2011 01:31 · Личное сообщение · #2 Пользуюсь онлайн армором премиум так он обнаружил в файле screen logger, keylogger и были попытки получить доступ к жесткому диску. Прошу проверить этот файл, действительно ли так? Спасибо. Ссылка на файл - http://zalil.ru/30895772
Wardrag Ранг: 0.7 (гость) Активность: 0=0 Статус: Участник	Создано: 05 июня 2011 19:54 · Личное сообщение · #3 1. Необходимо подробное описание алгоритма работы данной программы(в пределах разумного) 2. Ничего не происходит визуально,но программа выполняется и некоторые системы частично нагружает. 3. http://exelab.ru/f/files/d02b_05.06.2011_EXELAB.rU.tgz 4. Пробовал пройтись Оленькой,подозрительного ничего не смог найти. Большая просьба рассказать,как и какими средствами проводился анализ =\. Ссылка на предыдущие посты,где уже в распакованном варианте всё есть = ).Как определен распаковщик - непонятно http://exelab.ru/f/action=vthread&forum=2&topic=18316&page=-1#5
GMax Ранг: 23.2 (новичок), 8thx Активность: 0.02↘0 Статус: Участник	Создано: 05 июня 2011 20:22 · Поправил: GMax · Личное сообщение · #4 Wardrag пишет: Как определен распаковщик - непонятно Когда криптор распаковывает основной код в выделенную для этого память, чуть выше самого кода есть область с данными включающая, в том числе название и версию криптора. раннее там встречалось и имя автора и сообщения от него -- http://v-martyanov.livejournal.com/8034.html Во второй версии криптора в свойствах файла (VersionInfo) в поле Company Name значилось ООО Закриптуй add: а троян называется Darkness DDoS bot, в сети много информации включая билдер и админку add: в аттаче распакованный файл (pass: malware) bd10_05.06.2011_EXELAB.rU.tgz - _00160000.rar
Wardrag Ранг: 0.7 (гость) Активность: 0=0 Статус: Участник	Создано: 05 июня 2011 23:08 · Поправил: Wardrag · Личное сообщение · #5 Хех,так распаковывать вручную надо или анпакер уже есть ? = )
Wardrag Ранг: 0.7 (гость) Активность: 0=0 Статус: Участник	Создано: 06 июня 2011 19:20 · Личное сообщение · #6 Спасибо ещё раз.Всякие строки палевные вижу,и уж нормальная прога не стала бы wand.dat запрашивать : D.А вот название и версию криптора так и не нашёл...Ладно,не важно ))).Главное,что суть ясна...
BAHEK Ранг: 76.9 (постоянный), 116thx Активность: 0.06↘0 Статус: Участник	Создано: 17 июня 2011 15:56 · Поправил: BAHEK · Личное сообщение · #7 Не скаже те ли, что делает это и как можно от него избавиться? http://www.multiupload.com/SA7362DZGI http://rghost.ru/11302751 PS Пароль: virus Перезалил архив без сжатия и пороля, внутри только 1 ехе с атрибутами скрытый (атрибут чет не меняется). http://megaupper.com/files/ULDPX43E/virus.7z
Flint Ранг: 238.8 (наставник), 67thx Активность: 0.2↘0 Статус: Участник CyberHunter	Создано: 17 июня 2011 18:32 · Личное сообщение · #8 BAHEK пишет: Не скаже те ли, что делает это и как можно от него избавиться? http://www.multiupload.com/SA7362DZGI http://rghost.ru/11302751 PS Пароль: virus Архив кривой какой-то: ! E:\share\svchost.7z: Неизвестный метод в svchost.exe ! E:\share\svchost.7z: сбой при операции ----- Nulla aetas ad discendum sera \| Сообщение посчитали полезным: Nightshade
GMax Ранг: 23.2 (новичок), 8thx Активность: 0.02↘0 Статус: Участник	Создано: 17 июня 2011 19:04 · Поправил: GMax · Личное сообщение · #9 Flint архив нормальный, даже тот что с паролем BAHEK Detected file format: Microsoft.Net assembly --> virustotal.com <-- там в коментах есть названия функций (и переменных) и строки для добавления в hosts файл --> threatexpert.com <-- \| Сообщение посчитали полезным: BAHEK
tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 16 июля 2011 15:22 · Поправил: tihiy_grom · Личное сообщение · #10 1. Узнать что конкретно эта сцука тырит с компа. 2. Комп начал часто виснуть, иногда выпадать в BSOD (но это хз - от вируса или нет, система полуубита). На каспере оказалось туча хуков (на которые он даже не пикнул). вирусню каспер нашёл только после унхука. Был также похучен explorer.exe (только интернетовские API). 3. http://rghost.ru/14737271 (пароль virus). 4. Прописывается в автозагрузку, вроде бы создаётся копия в папке %windir%\pss, в папке ApplicationData у пользователя создаётся папка KYL (в ней обнаружил скрин моего кипера, и текстовый файл с кнопками которые я в кипере нажимал).
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 16 июля 2011 15:56 · Личное сообщение · #11 http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=TrojanDownloader%3aWin32%2fCarberp.A&threatid=2147631028 http://www.securelist.com/ru/descriptions/24369520/Trojan-Spy.Win32.Carberp.vy http://virusinfo.info/showthread.php?t=102214 \| Сообщение посчитали полезным: tihiy_grom
tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 16 июля 2011 16:55 · Личное сообщение · #12 Vovan666 Я в курсе про это и уже давно полечился. Хотелось бы узнать что именно от меня ушло в неизвестном направлении.
GMax Ранг: 23.2 (новичок), 8thx Активность: 0.02↘0 Статус: Участник	Создано: 16 июля 2011 18:34 · Личное сообщение · #13 tihiy_grom троян ворует приватную информацию для доступа к банковским системам (cyberplat, kp, PayPal, ibank-и, Trusteer) Порадовали оставленные строки отладочной информации: Code: .rdata:0042D9F4 aPostZaprosNaS db 'POST запрос на %s' ; DATA XREF: sub_41BDA0+128o .rdata:0042DA08 aOtpravlqemPost db 'Отправляем POST данные с %s' .rdata:0042DA24 aStavimXukiNaOp db 'Ставим хуки на Opera.dll' .rdata:0042DA40 aOsibkaPoluceni db 'Ошибка получения адреса функции Opera.dll' .rdata:0042DA6C aOpera_exeObrab db 'Opera.exe обработан' ; DATA XREF: sub_41C080+30o .rdata:0042DA80 aOperaObnarujen db 'Опера обнаружена' ; DATA XREF: sub_41C0D0:loc_41C0E3o .rdata:0042DA94 aObrabaIvaemFun db 'Обрабаьываем функции Opera.dll' .rdata:0042DAB4 aOpera_dllObrab db 'Opera.dll обработан' ; DATA XREF: sub_41C1A0:loc_41C1D8 .rdata:0042D4F4 aObrabativaemFa db 'Обрабатываем файл данных %s' ; DATA XREF: sub_419550+24o .rdata:0042D518 aOtpravlqemFail db 'Отправляем файл кейлогера %s' .rdata:0042C500 aVipolnqemHtmlI db '--->> Выполняем HTML инжекты' ; DATA XREF: sub_414690+6o .rdata:0042C520 aInjektiUspesno db '--->> Инжекты успешно выполнены' .rdata:0042C540 aPerexvativaemZ db 'Перехватываем запрос на %s' ; DATA XREF: sub_414930+A8o .rdata:0042C55C aPerexvativae_0 db 'Перехватываем POST данные' ; DATA XREF: sub_414930+C7o .rdata:0042C578 aStranicaSoderj db 'Страница содержит инжекты. Меняем заголовки.' .rdata:0042C5A8 aAcceptEncoding db 'Accept-Encoding:',0Ah,0 ; DATA XREF: sub_414930+13Bo .rdata:0042C5BC aZaprosUspesnoO db 'Запрос успешно обработан' .rdata:0042C5D8 aAcceptEncodi_0 db 'Accept-Encoding:',0Ah,0 ; DATA XREF: sub_414B60+6Eo .rdata:0042C5EC aZagrujaemDokum db 'Загружаем документ' ; DATA XREF: sub_414FC0:loc_414FE6o .rdata:0042C600 aDokumentZagruj db 'Документ загружен' ; DATA XREF: sub_414FC0+163o .rdata:0042C614 aObrabativaemOt db 'Обрабатываем ответ сервера:' .rdata:0042C630 aKodOtvetaD db 'Код ответа: %d' ; DATA XREF: sub_415240+64o .rdata:0042C640 aKontentSNePodd db 'Контент %s не поддерживается!' .rdata:0042C660 aSoedinenieZa_0 db 'Соединение закрыто' ; DATA XREF: sub_415680+57o .rdata:0042C704 aInicializaciqI db 'Инициализация InternetExplorer:' .rdata:0042C724 aInicializiruem db 'Инициализируем конфиг' ; DATA XREF: sub_415880+20o .rdata:0042C73C aPerexvatFunkci db 'Перехват функций WinAPI' ; DATA XREF: sub_4158E0+6o .rdata:0042C754 aInicializiru_0 db 'Инициализируем глобальные данные' .rdata:0042C778 aMenqemNastroik db 'Меняем настройки реестра' ; DATA XREF: sub_4158E0+2Ao .rdata:0042C794 aFunkciiWininet db 'Функции WinInet успешно перехвачены' rdata:0042A224 aIdentifikaciqP db 'Идентификация пользователя 1.0.0.28' .rdata:0042A2C8 aNastroiki db 'Настройки' ; DATA XREF: sub_40C090+4Eo .rdata:0042A2DC aSvoistvaTocki db 'Свойства точки' ; DATA XREF: sub_40C090+DAo .rdata:0042A2EC aSvoistvaTock_0 db 'Свойства точки' ; DATA XREF: sub_40C090+19Ao .rdata:0042A2FC aNazvanES db 'НазванЁе: %s',0Dh,0Ah ; DATA XREF: sub_40C090+39Fr .rdata:0042A30C aKodDileraS db 'Код дилера: %s',0Dh,0Ah ; DATA XREF: sub_40C090+3DBr .rdata:0042A320 aKodTockiPriema db 'Код точки приема: %s',0Dh,0Ah .rdata:0042A338 aIstocnikKlucei db 'Источник ключей: %s',0Dh,0Ah .rdata:0042A350 aPutKKlucamS db 'Путь к ключам: %s',0Dh,0Ah ; DATA XREF: sub_40C090+472r .rdata:0042A364 aKodovaqFrazaS db 'Кодовая фраза: %s',0Dh,0Ah ; DATA XREF: sub_40C090+4ADr .rdata:0042A378 aPovtorKodovoiF db 'Повтор кодовой фразы: %s',0Dh,0Ah .rdata:0042A394 aSeriiniiNomerZ db 'Серийный номер закрытого ключа точки: %s',0Dh,0Ah .rdata:0042A3C0 aSeriiniiNomerO db 'Серийный номер открытого ключа банка: %s',0Dh,0Ah .rdata:0042A3EC aInfo_SS db 'info_%s-%s',0 ; DATA XREF: sub_40C090+7CCo .rdata:0042A3FC aInfo_txt db 'Info.txt',0 ; DATA XREF: sub_40C090+809o .rdata:0042A408 aSvoistvaPolZov db 'Свойства пользователя' ; DATA XREF: sub_40C090+92Do .rdata:0042A420 aSvoistvaPolZ_0 db 'Свойства пользователя' ; DATA XREF: sub_40C090+A00o .rdata:0042A438 aLoginS db 'Логин: %s',0Dh,0Ah ; DATA XREF: sub_40C090+BD6r .rdata:0042A444 aParolS db 'Пароль: %s',0Dh,0Ah ; DATA XREF: sub_40C090+BF9r .rdata:0042A454 aParolS_0 db 'Пароль: %s',0Dh,0Ah ; DATA XREF: sub_40C090+C28r .rdata:0042A464 aKodOperatoraS db 'Код оператора: %s',0Dh,0Ah ; DATA XREF: sub_40C090+C57r .rdata:0042A478 aKodTockiPrie_0 db 'Код точки приема: %s',0Dh,0Ah .rdata:0042A490 aPinKodS db 'Пин код: %s',0Dh,0Ah ; DATA XREF: sub_40C090+CA6r .rdata:0042A4A0 aUser_S_txt db 'User_%s.txt',0 ; DATA XREF: sub_40C090+EA1o .rdata:0042A4AC aScreen_jpeg_1 db 'screen.jpeg',0 ; DATA XREF: sub_40C090+1009o .rdata:0042A4B8 aNetinfo_txt_1 db 'NetInfo.txt',0 ; DATA XREF: sub_40C090+1044o .rdata:0042A4C4 aCyberterm_mdb db 'CyberTerm.mdb',0 ; DATA XREF: sub_40D1A0+97o .rdata:0042A4D4 aModulPlatejei db 'Модуль платежей*' ; DATA XREF: sub_40D290+2Ao .rdata:0042A978 aTipDokumentaS db '--- Тип документа [%s]' ; DATA XREF: sub_40E420+92o .rdata:0042A990 aErrDanniiTipDo db '---err Данный тип документов не поддерживается' .rdata:0042A9C0 aRazmerDokument db '--- Размер документа %d' ; DATA XREF: sub_40E420+122o .rdata:0042A9D8 aErrNeUkazanRaz db '---err Не указан размер документа' .rdata:0042AA00 aProizvodimHtml db '+++++ Производим HTML инжекты' .rdata:0042AA20 aVDokumentVnese db '+++++ В документ внесены изменения' .rdata:0042AA44 aObrabativaemSk db 'Обрабатываем скриншоты' ; DATA XREF: sub_40E8D0+1Ao .rdata:0042AA5C aPolucaemXas db 'Получаем хэш' ; DATA XREF: sub_40E8D0:loc_40E90Do .rdata:0042AA6C aOtpravlqemDann db 'Отправляем данные' ; DATA XREF: sub_40E8D0:loc_40E949o .rdata:0042AA80 aNssLayer db 'NSS layer',0 ; DATA XREF: sub_40E990+C7o .rdata:0042AA94 aPerexvativaemP db 'Перехватываем POST данные' ; DATA XREF: sub_40E990+15Co .rdata:0042AAB0 aZaprosNeSoderj db 'Запрос не содержит POST данные' .rdata:0042AAD0 aContentTypeS db 'Content-Type: %s',0 ; DATA XREF: sub_40E990+1D7o .rdata:0042AAE4 aTipDannixNePod db 'Тип данных не поддерживается' .rdata:0042AB04 aPostDannieS db 'POST данные: ',0Dh,0Ah ; DATA XREF: sub_40E990+247o .rdata:0042AB20 aNacaloCteniqDa db 'Начало чтения данных' ; DATA XREF: sub_40ECE0+38o .rdata:0042AB38 aProcitanoDBait db '---> Прочитано %d байт' ; DATA XREF: sub_40ECE0+91o .rdata:0042AB50 aSoedinenieSSok db 'Соединение с сокетом закрыто' .rdata:0042AB70 aVozvrasaemDBai db '<--- Возвращаем %d байт' ; DATA XREF: sub_40EE60+9Eo .rdata:0042AB88 aVseDanniePered db 'Все данные переданы' ; DATA XREF: sub_40EE60:loc_40EF13o .rdata:0042AB9C aOtpravkaZapros db 'Отправка запроса на %s' ; DATA XREF: sub_40F000+2Bo .rdata:0042ABB4 db '(Размер буфера %d)',0Dh,0Ah .rdata:0042ABD8 aInjectUrlS db ' >>>>>> Inject URL=%s',0 ; DATA XREF: sub_40F000+C1o .rdata:0042ABF0 db '============== Соединение закрыто ',0Dh,0Ah .rdata:0042AC18 aOtkrivaemSoket db 'Открываем сокет' ; DATA XREF: sub_40F140+34o .rdata:0042C230 aRegistraciqPol db 'Регистрация пользователя' ; DATA XREF: sub_4130E0+Bo .rdata:0042C24C aPodpisDannix db 'Подпись данных' ; DATA XREF: sub_4130E0+12o .rdata:0042C25C aPodpisISifrova db 'Подпись и шифрование' ; DATA XREF: sub_4130E0+19o \| Сообщение посчитали полезным: tihiy_grom
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 24 августа 2011 09:19 · Личное сообщение · #14 GMax, класс - редкая сеть имеет маску 1.0.0.0, её клиент 28 видимо уже пойман... Что-то наплыв в последнее время по банкам и ПС... стоит добавить цели такие, как cyberplat, bssibank, inist - за месяц у жены поймал 3 зверька, среди которых был carberp, настроенный на них... Сдаётся мне, что после открытия исходников Зевса и др. заражаются всё чаще... P.S. А некоторые забаненные (и даже не в одном кол-ве - радоваться здесь или тревогу бить - хз ), ввиду отсутствия взаимопонимания и... находят "интересные вещи" в винде ----- IZ.RU
mak Ранг: 673.3 (! !), 400thx Активность: 0.4↘0.31 Статус: Участник CyberMonk	Создано: 01 сентября 2011 15:36 · Поправил: mak · Личное сообщение · #15 Нид Хэлп Есть подозрение на подцеп , симптомы .. Перезагрузка через примерно 30 минут , уходит в бсод , прочитать не успеваю , заметил всего 2 раза , остальные не видел. Можно было бы списать на неполадку в компе , но перед тем как он уходит в бсод, появляется значок устранения проблем виндовс , где написано что Windows Defender отключен , через 2 секунды бсод. Стоят нод + Comodo , виндовс 7 32 , с последними обновлениями .. Предварительная проверка ничего не дала , авторан , реестр , наблюдение за процессами и активностью ничего не дала , антивирусы работают исправно , загрузочный сектор чист .. Особая черта - В журналах лога вин7 , нет ни одной записи о бсоде или проблеме , также нету минидампа .. все логи чистые .. Все работало нормально , последнее что сделал , обновил базу антивируса комодо , которая состояла из 200 мегабайт ... но не саму комоду .. Мнения или советы может у кого есть? Airenikus Это проверил , ничего подозрительного, кроме одного стилскода, но там на первый взгляд ничего , проверю это после , странно но уже сдвинулось время до 2 - 3 часов , убрать и посмотреть это да , сделаю это уже последним шагом и проверю стилсы .. но реакция все равно странная P.S. вопрос решен , это была Ошибка END_OF_NT_EVALUATION_PERIOD ----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube
Airenikus Ранг: 88.2 (постоянный), 111thx Активность: 0.07↘0.01 Статус: Участник	Создано: 01 сентября 2011 16:41 · Личное сообщение · #16 Убрать нод, комод - посмотреть на реакцию, попробывать антируткитом пройтись, посмотреть на хукнутые апихи. А вообще АВ + ФВ - не комильфо.
SGA Ранг: 2.0 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 26 декабря 2011 16:38 · Поправил: Модератор · Личное сообщение · #17 Ребят, кто в яве силён, посмотрите что сие чудо делает. hxxp://aogijzqtalking.info/main.php?page=9ac51deb6e5dbb6d изначальная ссылка была hxxp://rosehome.org/phpbb2/files/uyrtfuf6.htm посл серии переадресаций выходит на вышеприведённую , как я понял с эксплойтом. кому не лень посмотрите. От модератора: исправил протокол в линках, чтоб случайно не тыкали
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 26 декабря 2011 16:55 · Личное сообщение · #18 --> почитай гдето с середины <--Грузит флешь вирус вымогалку SGA Ты долбанулся чтоли прямые ссылки на эсплойт вставлять? ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
waza123 Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 20 февраля 2012 03:23 · Поправил: waza123 · Личное сообщение · #19 Не кто не хочет посмотреть что за вирус, что делает? Я думаю он как трой, весит в процесах незаметно и выполняет команды. Вот толька от куда он их получает? И самое интересное, он использует баг в Win7 (в остальных наверное тоже), файл содержит какой то символ, который обрезает расширение файла! В первые такое вижу!! pass: infected 008f_20.02.2012_EXELAB.rU.tgz - new_virus.zip
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 20 февраля 2012 11:29 · Поправил: OnLyOnE · Личное сообщение · #20 waza123 пишет: который обрезает расширение файла! Посмотрел, прикольно.. 00000000: 77 77 77 20.3F 70 69 7A.2E 53 43 52. www ?piz.SCR 20h и 3Fh "переварачивают" расширение Microsoft Visual C# / Basic .NET P.S. А чем ты его отловил? ----- aLL rIGHTS rEVERSED!
NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 20 февраля 2012 18:34 · Личное сообщение · #21 waza123 пишет: обрезает расширение файла File Extension Exploit
waza123 Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 20 февраля 2012 19:39 · Поправил: waza123 · Личное сообщение · #22 Заходиш на сайт m ov ie s l v .c om , и как то иногда, наверное по IP, впаривает этот файл: слэш ne wo utlaw_w ww.z ip (без пробелов) но я думаю там mod_rewrite на php файл, и повторна нескачаеш.. как я понел, они около 6000 компов уже зарозили.. по больше бы инфы что трой делает http://codertrick.blogspot.com/2011/08/file-extension-exploit-make-exe-look.html
gena-m Ранг: 87.8 (постоянный), 10thx Активность: 0.07↘0 Статус: Участник	Создано: 13 марта 2012 23:38 · Личное сообщение · #23 Кому инетересно, можете посмотреть, при заблокированном авторане флешки на ней оказались 2 папки .exe , один распаковал ( накрыт упыхом), но там не ОЕП, и в заголовок код добавлен, второй смотреть не стал. --> http://rghost.ru/37009522<-- ----- Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше
Rockphorr Ранг: 62.8 (постоянный), 11thx Активность: 0.06↘0 Статус: Участник	Создано: 18 июня 2012 18:29 · Поправил: Rockphorr · Личное сообщение · #24 --> Link <-- кряк к популярной ide сурс инсайт 35 в инструкции сказано что скопируйте в папку к программе и запустите кряка не происходит вирустотал говорит что бэкдор и троян (что для кряков в общем типично) интересно не сидит ли там какая малварь зы пароль стандартный virus
sendersu Ранг: 512.7 (!), 360thx Активность: 0.27↘0.03 Статус: Модератор	Создано: 18 июня 2012 19:52 · Личное сообщение · #25 Rockphorr есть кг если чего
Flint Ранг: 238.8 (наставник), 67thx Активность: 0.2↘0 Статус: Участник CyberHunter	Создано: 18 июня 2012 20:16 · Личное сообщение · #26 Rockphorr пишет: интересно не сидит ли там какая малварь сидит, только что не понятно. exe устанавливает дллку в HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify код сильно отморфлен, понять что происходит тяжело. Впервые в коде встретил такие мусорные инструкции: Code: 004020F2 . 0F018D 5CD6F9FF SIDT FWORD PTR SS:[EBP+FFF9D65C] 0040216F . 0F0085 48D6F9FF SLDT WORD PTR SS:[EBP+FFF9D648] 004021CF . 0F0185 38D6F9FF SGDT FWORD PTR SS:[EBP+FFF9D638] 00402238 . 0F008D 2CD6F9FF STR WORD PTR SS:[EBP+FFF9D62C] Есть строки: SOFTWARE\Microsoft\MSSMGR\ http://oberaufseher.net/img/cmd.php http://tubestock.net/img/cmd.php ----- Nulla aetas ad discendum sera
GMax Ранг: 23.2 (новичок), 8thx Активность: 0.02↘0 Статус: Участник	Создано: 18 июня 2012 21:58 · Личное сообщение · #27 Rockphorr Trojan.Nebuler Decrypted string: Code: .data:10009008 ; m3d5rt10 .data:10009014 ; PROGMAN .data:10009020 ; bat .data:10009028 ; :Retry .data:10009030 ; %sdel "%s" .data:1000903C ; %sif exist "%s" goto Retry .data:10009058 ; %sdel "%s" .data:10009064 ; %sexit .data:1000906C ; passed.txt .data:10009078 ; SOFTWARE\Microsoft\MSSMGR\ .data:10009094 ; SOFTWARE\Microsoft\SMGR\ .data:100090B0 ; MODEM .data:100090B8 ; modem .data:100090C0 ; [brand] .data:100090CC ; [version] .data:100090D8 ; [uid] .data:100090E0 ; cmd /c start iexplore -embedding .data:10009104 ; SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ .data:10009144 ; Super algorithm uid1=0x%X, uid2=0x%X .data:1000916C ; IEFrame .data:10009178 ; MozillaUIWindowClass .data:10009190 ; kernel32.dll .data:100091A0 ; VirtualAllocEx .data:100091B0 ; VirtualProtectEx .data:100091C4 ; WriteProcessMemory .data:100091D8 ; ReadProcessMemory .data:100091EC ; CreateRemoteThread .data:10009200 ; CreateThread .data:10009210 ; Iphlpapi.dll .data:10009220 ; GetAdaptersInfo .data:10009234 ; CopyFileA .data:10009240 ; SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ .data:10009270 ; Asynchronous .data:10009280 ; DllName .data:1000928C ; Impersonate .data:1000929C ; ole32.dll .data:100092A8 ; CoCreateGuid .data:100092B8 ; Data .data:100092C0 ; Rid .data:100092C8 ; http://oberaufseher.net/img/cmd.php .data:100092F0 ; http://tubestock.net/img/cmd.php .data:10009314 ; MSLIST .data:1000931C ; SCLIST .data:10009324 ; SSLIST .data:1000932C ; Brnd .data:10009334 ; IF .data:10009338 ; AptXLodK98 .data:10009344 ; eZF2g0b773 .data:10009350 ; PSTV .data:10009358 ; SSTV .data:10009360 ; BSTV .data:10009368 ; LSTV .data:10009370 ; OCCUR .data:10009378 ; BPTV .data:10009380 ; URLDownloadToCacheFileA .data:1000939C ; URLDownloadToFileA .data:100093B0 ; user32.dll .data:100093BC ; urlmon.dll .data:100093C8 ; GetModuleHandleA .data:100093DC ; GetProcAddress .data:100093EC ; LoadLibraryA .data:100093FC ; &v=%d&b=%d&id=%X&cnt=%s&q=%X .data:1000941C ; c=L1&s=%u&h=%u .data:1000942C ; c=R%d&cmdid=%d .data:1000943C ; c=S%d&cmdid=%d .data:1000944C ; c=U%d .data:10009454 ; c=a .data:1000945C ; c=r .data:10009464 ; c=I%d .data:1000946C ; SetThreadContext
F_a_u_s_t Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 18 июня 2012 22:01 · Личное сообщение · #28 Flint пишет: Впервые в коде встретил такие мусорные инструкции Писал школьник типа инде, который не в курсе, что такой код дрючится на дизасме длин.
zanetti Ранг: 0.3 (гость) Активность: 0=0 Статус: Участник	Создано: 29 июня 2012 13:29 · Личное сообщение · #29 iPoker_1.0.3.exe - програмка, установщик лейаута для покерного софта Проверил на virustotal.com - куча срабатываний (17 из 41), касперыч однако молчит Помогите пожалуйста определить есть ли троян в этой программке. Это они на упаковщик ругаются или там действительно вредоносная программа? Запустил на виртуалке - работает нормально, а вот определить на вшивость не хватает знаний =( Залил сюда: http://multi-up.com/725528
CruelHenker Ранг: 0.1 (гость) Активность: 0=0 Статус: Участник	Создано: 29 июня 2012 21:00 · Личное сообщение · #30 Скорее всего человек, накодивший сие творение покрыл его каким-то криптором, который не любят аверы. Ничего вредоносного в действиях этого семпла я не заметил. В интернет не лезет, никуда не инжектится, в реестре ничего критичного не меняет, по крайней мере вначеле. Написан на дельфи. Если есть подозрение, что эта вещь выполняет вредоносные действия именно в ходе работы с iPoker, а не вначале, то можете поизучать под олькой с фантомом. Еще и аверы, которые палят достаточно второсортные. Касперыч, кстати, тоже отстой. А вот то, что MSE молчит это уже показатель. Возможно еще, что аверы палят антиотладочные фишки.
vladimir070707 Ранг: 0.7 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 14 июля 2012 13:55 · Личное сообщение · #31 Парни, а кто умеет самостоятельно вирус исследовать на Soft ICE?

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 16 . 17 . >>

Для печати