Частенько выдаёт окно (в аттаче скрин)... Кто знает что это? А то я замучался...

5a79_18.04.2006_CRACKLAB.rU.tgz - OutPostFireWall.JPG

| Сообщение посчитали полезным:

Ms-Rem пишет:
Такой трой (по крайней мере один) существует.

даже страшно

-----
in search of sunrise

| Сообщение посчитали полезным:

Ms-Rem пишет:
Такой трой (по крайней мере один) существует.
Надеюсь, ты его не выпускаешь "погулять"...

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться

| Сообщение посчитали полезным:

ValdiS Я думаю, что он уже гуляет Иначе для чего он создавался?

-----
Research is my purpose

| Сообщение посчитали полезным:

Чего это за трой интересно......

-----
The blood swap....

| Сообщение посчитали полезным:

оффтоп:
А еще есть логическая бомбочка, работающая из практически любой учетной записи. Обычная. Фсю информацию - фтопку.
Ядрышко глубоко интегрируется в систему, давая жизнь оттуда своим "легкомысленным отпрыскам". Которые потихому, пока компьютер еще грузится, затирают все. При этом (назовем это полиморфизмом) полиморфизм потомства, как видно, 100%.
Отсыл их касперу показал, что сигнатура для одного не подходит для идентификации другой волны.
То есть, скрыв родителя, можно не беспокоится, что потомство помрет от антивируса ввиду того, что одного (отправляли трех с реальных машин) представителя отправили на анализ.

-----
ring 0

| Сообщение посчитали полезным:

Тогда тоже оффтоп....
То apple - где такой нарыть можно? Мне для коллекции надо..... Последняя бомба была старая добрая ANTICOMM..... Но уже давно и безнадежно устаревшая.....

-----
The blood swap....

| Сообщение посчитали полезным:

Но в любом случае лучше лазить в нет с Фаером...
Вопрос: Имеет слысл ставть Фаер, если у тя DialUp?

| Сообщение посчитали полезным:

По поводу DNS

Windows игнорирует некоторые записи в hosts
dl // 16.04.06 21:38
Как известно, с давних времен практически любая система, использующая стек tcp/ip, содержит локальный файл hosts, в котором пользователь может замостоятельно задать соответствие между именами хостов и их ip-адресами. Кроме того, этот файл в последнее время часто используется для блокировки доступа к нежелательным хостам. Выяснилось, что встроенный в Windows DNS-клиент игнорирует записи из hosts для некоторых адресов, принадлежащих Microsoft (полный список можно найти во внутренностях файла %WINDIR%\system32\dnsapi.dll). Предположительно, это поведение направлено на противостояние попыткам вредоносного софта блокировать Windows Update и другие аналогичные функции.
Источник: BugTraq

| Сообщение посчитали полезным:

Shidla
Конечно, особенно если у тебя сервис паков не стоит ;)

-----
Подписи - ЗЛО! Нужно убирать!

| Сообщение посчитали полезным:

Ms-Rem пишет:
Можно просто использовать троя которому не страшны ВСЕ существующие системы безопасности.

Очень интересно Что то я за всю практику (более 17 лет) НИ РАЗУ НЕ ВСТРЕТИЛ две ОДИНАКОВЫЕ системы безопасности. Поэтому очень бы хотелось посмотреть на это чудо инженерной мысли потому что получается что этот "унивирсал" может валисть ВСЕ системы???? - Бред 100%!

| Сообщение посчитали полезным:

недавно вышла версия 3.51.462

| Сообщение посчитали полезным:

AngelDance пишет:
Что то я за всю практику (более 17 лет) НИ РАЗУ НЕ ВСТРЕТИЛ две ОДИНАКОВЫЕ системы безопасности
Одинаковых конечно нет, но число используемых в них принципов ограничего. Это:
1) Сигнарутрый скан (антивирусы)
2) Перехват сетевого траффика (фаерволлы)
3) Перехват вызовов ядра и анализ их по правилам (проактивные защиты типа Safe n Sec)
4) Сканирование диска на изменения в файлах (ревизоры типа adinf)
5) Поиск апихуков, скрытых файлов путем чтения тома в raw режиме, скрытых ключей в реестре (rootkit детекторы)
6) Внешние хардварные фаерволлы.
7) Сниферы анализирующие трафик на сигнатуры атак вроде командной строки (snort и др.)
8) Antispaware программы сканирующие файлы и реестр по определеным признакам троянов которые забиты в базах.
Во всяком случае весь софт попадающий в эти категории бессилен.
А теперь скажи - много ли ты видел систем безопасности которые предназначены для защиты от установки (или поиска) троянов, и работают на абсолютно другом принципе?

-----
Скажем дружно - нафиг нужно.

| Сообщение посчитали полезным:

Ms-Rem

Ты совершенно верно сказал. Только одно НО, ты ВИДЕЛ хоть однин троян, который сможет преодалеть ВСЕ ЭТО? Вряд ли, иначе линк в студию!

Смотри, допустим есть сетка из 10 компов - работают на WindowsXP. Есть сервер, который занимается маскарадингом и прокси (на FreeBSD), выход в инет работает через Cisco (инет + IP-телефония). Какой троян пройдет это?

| Сообщение посчитали полезным:

AngelDance пишет:
НО, ты ВИДЕЛ хоть однин троян, который сможет преодалеть ВСЕ ЭТО
Я не видел а делал
AngelDance пишет:
линк в студию
А тебе не кажется, что на паблике таких вещей небыло, нет, и никогда не будет?


AngelDance пишет:
Смотри, допустим есть сетка из 10 компов - работают на WindowsXP. Есть сервер, который занимается маскарадингом и прокси (на FreeBSD), выход в инет работает через Cisco (инет + IP-телефония). Какой троян пройдет это?
Если есть выход в инет (nat), то троян будет спокойно выходить в инет через него. Какая ему разница прямое соединение или NAT? Если он начнет конектиться к своему серверу, то любой NAT обязан пропустить.

-----
Скажем дружно - нафиг нужно.

| Сообщение посчитали полезным:

Ms-Rem Выложил бы куда-то хотябы что-то старое, интересно посмотреть на твое творчество

-----
Research is my purpose

| Сообщение посчитали полезным:

Уже появилась 3.51.748.
Кому надо в аттаче инфо...
С обновлением все нормально.

53f3_22.04.2006_CRACKLAB.rU.tgz - OUT 3.5.txt

| Сообщение посчитали полезным:

ZXCVB, см. 6-ть постов вверх

| Сообщение посчитали полезным:

Av0id
Без проблем, только у нас номера версий разные...

| Сообщение посчитали полезным:

ZXCVB, не разные - вы просто некорректно их дали

| Сообщение посчитали полезным:

Ms-Rem
Скажи ты безопасностью занимаешься профессионально? Где учился?

Ms-Rem пишет:
Я не видел а делал
очень похоже... на сказку.... Кевин Митник и тот к каждой системе отдельный подход делал. А у тебя получается один троян-универсал, любую систему валит... сказочник!

Ты может и написал троян, который проходит защиту домашних сетей. Это да, возможно, в силу того, что там никто сильно с защитой не замарачивается. В лучшем случае firewall+antivir. А вот профессиональную защиту пробить.... банка например, это уже отдельная песня.

| Сообщение посчитали полезным:

AngelDance пишет:
А вот профессиональную защиту пробить.... банка например, это уже отдельная песня.
помойму у эмси трой под виндовс был ;) в хороших банках не строят защиту на этой ОС. ИМХО.

| Сообщение посчитали полезным:

Red Bar0n пишет:
хороших банках не строят защиту на этой ОС.

Совершенно верно, в серьезных компаниях защита комбинированная.

| Сообщение посчитали полезным:

А не все ли равно, правда это или нет?

-----
The blood swap....

| Сообщение посчитали полезным:

Ms-Rem пишет:
троя которому не страшны ВСЕ существующие системы безопасности
Системы защиты тоже не стоят на месте, да и вообще по настоящему
универсальных троянов не существует. Хотя информацию об атакуемой
системе получить не очень-то и сложно.

| Сообщение посчитали полезным:

Было бы интересно услышать мнение Ms-Rem о защищенности Линуксов...

-----
Research is my purpose

| Сообщение посчитали полезным:

AngelDance пишет:
вот профессиональную защиту пробить.... банка например, это уже отдельная песня
Ну ты скажи сначала что в этом банке стоит, я отвечу пробьет или нет. Но вобще, у меня такая задача не стояла. Не буду утверждать что пробивает абслютно все, но все что широко (и не очень широко) используется это точно. Во всяком случае, накачав и интернета кучу антивирусного и antispiware софта, найти ничего не удасться.

Error_Log пишет:
Было бы интересно услышать мнение Ms-Rem о защищенности Линуксов...
По линуксам вопросы не ко мне, я занимаюсь только виндами.

-----
Скажем дружно - нафиг нужно.

| Сообщение посчитали полезным:

Ms-Rem пишет:
Не буду утверждать что пробивает абслютно все
Вот тут чувствуется мнение профессионала. Не стал лезть в бутылку и доказывать, что твой трой пробьет все, значит вещь действительно хорошая. Просто как я и говорил, трой пробивает защиты типа "домовая сеть", а таких большинство.
Ms-Rem пишет:
накачав и интернета кучу антивирусного и antispiware софта, найти ничего не удасться.
А что ты хотел найти? Конечно не найдешь ничего, потому что они же по сигнатуре проверяют, и только если есть что подозрительное, то эвристик пытаются включить, а он у них

| Сообщение посчитали полезным:

AngelDance пишет:
А что ты хотел найти? Конечно не найдешь ничего, потому что они же по сигнатуре проверяют, и только если есть что подозрительное, то эвристик пытаются включить, а он у них

Ну, есть еще антируткиты. С ними справиться куда сложнее, чем с сигнатурным сканом. Есть еще файловые ревизоры которые вобще читают том в RAW режиме и разбирают структуры фс (таким образом ищутся и скрытые файлы). Такой софт используется не многими, но он представляет наибольшую трудность в обходе.
Доводка технологии шла таким способом: запускаю новую версию, потом ищу в гугле имя файла троя. Попадаю на форумы где пишут каким образом его поймали и как от него избавляются. Ну и в новой версии эти дыры закрываю. И так до тех пор, пока гугл после 3х месяцев использования не выдал ни одной ссылки. Вот поэтому я и могу утверждать, что сейчас он пробивает все (или почти все), так как прошло много времени, а никто еще не поймал. Если поймают - в следующей версии закрою и это.

-----
Скажем дружно - нафиг нужно.

| Сообщение посчитали полезным:

AngelDance пишет:
Конечно не найдешь ничего, потому что они же по сигнатуре проверяют
По сигнатуре не все проверяют, есть проги, которые ищут хуки, и есть проги которые ставят хуки, так что не все так просто; вопрос в том, что то, что реализованно на данный момент времени - лажа, тут спору нету, хотя прогресс определенный есть, даже каспер закрыл уже доступ к физической памяти, например. Интересно, что изменится с выходом висты. В принципе я считаю вполне реальным существование троя, который обходит все защиты, которые сейчас есть. Я бы, наверно, подумал как поселить такого зверя в системный файл...

-----
Research is my purpose

| Сообщение посчитали полезным:

Ms-Rem пишет:
Ну, есть еще антируткиты. С ними справиться куда сложнее, чем с сигнатурным сканом. Есть еще файловые ревизоры которые вобще читают том в RAW режиме и разбирают структуры фс (таким образом ищутся и скрытые файлы).
Имя программ в студию?

| Сообщение посчитали полезным: