Paczki, malware, złośliwe pliki, linki itp.

[net9]

Paczka z 09.06.2011
Ess 4.2 113/125 = 90,4%

[tommyklab]

Również witam na forum, a hasło to najlepiej dać "sg", krótkie a robotę zrobi

[andrzej76]

Co Ty Tommy? Mks masz, czy zwałę robisz, bo nie ogarniam?

Witam " nowego" powiadasz wirusy będziesz zapodawał u Nas, dobrze, lubię te robaki, lubię....testować to paskudztwo elektronicznego świata, i patrzeć jak.... wykańcza go jakiś program av, bo trzymam z nimi.

[Aby zobaczyć linki, zarejestruj się tutaj]

Uploaded with

[Aby zobaczyć linki, zarejestruj się tutaj]

Nie dam rady tego pobrać.

[Eru]

Nie dam rady tego pobrać.

Zmieniasz początek adresu z "hxxp" na "http" i tyle ...

[andrzej76]

Dzięki za info Eru!

[morphiusz]

Jak możesz - proszę o jak największą liczbę rootkitów wszelkiej maści!
Witamy na forum.

[tommyklab]

Andrzej , on zamaskował linka i to podwójnie.

Andrzej, zmieniłem podpis, żeby już mi nikt nie docinał
Może będę miał spokój

[tommyklab]

Jutro, a w zasadzie dziś pod wieczór wrzucę paczkę z dwóch dni.

[net9]

Tommy504 Jesli mogę spytać, skąd bierzesz te wirusy do paczek?

[andrzej76]

Stary, używasz jednego z najlepszych softów, daj spokój, ja jestem wyzywany też od fanboyów jednego z producentów av , i co z tego, wiesz co mnie to...lotto.

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

Chciałem by coś mi Comodo przepuściło, ale się uparło, i nie tym razem.

[tommyklab]

1. MalwareURL -

[Aby zobaczyć linki, zarejestruj się tutaj]

2. MDL -

[Aby zobaczyć linki, zarejestruj się tutaj]

3. Malc0de -

[Aby zobaczyć linki, zarejestruj się tutaj]

4. Scumware -

[Aby zobaczyć linki, zarejestruj się tutaj]

5. MalwareBlacklist -

[Aby zobaczyć linki, zarejestruj się tutaj]

6. forum MBAM - pliki głownie

A.Ściągam linki z każdych w/w 5 lokalizacji, porównuję ze starszymi listami, odrzucam te co już były albo są zduplikowane - 1 odsiew.
B. Ściągam malware z listy uzyskanej w 1 odsiewie i wrzucam do Duplicate File Detector, gdzie porównuje (poprzez hash MD5) i odrzuca pliki które już były (aktualnie moja bazka malware liczy ok. 66.000 plików) - 2 odsiew.
C. Wstępny skan Kasperskim, co zostanie wysyłam do ich labu, resztę skanuję MBAM, Hitmanem, wrzucam na VT.

I tak powstaje paczka. Listy porównuję i filtruję CSVed.
Jak ktoś ma lepsze rozwiązanie niech się pochwali.

Wiadomo, w każdej z paczek jest tylko po jednym (co najwyżej kilka) reprezentancie danego malware.
Malware jest generowane teraz co 5-10 minut nawet na niektórych linkach, do tego by trzebabyło zrobić HoneyPota; kiedyś się bawiłem tym:

[Aby zobaczyć linki, zarejestruj się tutaj]

A na to nie mam czasu, to zajmowało by cały zegar 24/24, to jest brocha firm antywirusowych, niech działają. W sumie tu potrzebna jest dobra heurystyka, nic więcej.

W sumie paczki robię tak for fun, bo akurat mam czas, 3-4 godziny na tym schodzi. @Piotrex44 wie o co chodzi i jak to wygląda.
Kiedyś sam sobie tak sprawdzałem co jakiś czas malware, a teraz, od kiedy jestem na tym forum to się dzielę z tym jeszcze z wami
To tak wszystko w skrócie.

[morphiusz]

"W sumie tu potrzebna jest dobra heurystyka, nic więcej."

Akurat heurystyka to lypa, taki tam mit propaganda używana przez producentów, szczególnie kiedyś aby wprowadzić fałszywe przekonanie, że sam antywirus potrafi chronić w duzym stopniu przed nieznanymi zagrożeniami.

Fakt, może tam coś wykrywa, ale bez szału. Ta heurystyka w silnikach regularnych antywirusów jest słaba.
Co innego ta w labach czy chociażby valkyrie comodo.

[tommyklab]

Daje, daje dużo panie kolego
Jak skanowałem kasperczakiem świeżutkie pliki z HoneyPota (ok. 500 plików ściągniętych w przeciągu 3godzin), to 1/3 plików to była z detekcją HEUR.Generic, a to jest dużo.
Nie może być za mocna, bo będzie generowała FP na nieszkodliwych plikach i ludzie zasypią laby AV emailami, niepotrzebnymi.

W labach, to tak, zgadzam się, mają mocniejsze heurystyki niż te zaaplikowane w naszych AV.

A jako ciekawostkę i paradox to ci powiem, że jak skanowałem ostatnie paczki, to ArcaVir (microscan) więcej wykrywał na ustawionym poziomie heurystyki normalny niż na najwyższym. I to jest LOL dopiero (ok. 10 malware na paczce)

Także w ArcaVir może heurystyka jest do bani, ale inni producenci dbają o ten moduł lepiej.

[Piotrex44]

mi to Tommy schodziło 3-4 godziny ale bez nacisku na świeże malware bo bardziej skupiłem się na fp
gdybym miał przebierać same świeżynki to doszło by mi ze 2 godziny jeszcze

[tommyklab]

[Aby zobaczyć linki, zarejestruj się tutaj]

Wszystko wycięte, te 2 co zostały są czyste.

Na przyszłość, to zacznij może filtrowanie .exe, .dll, wykonywalnych narzędziem Timesaver:

[Aby zobaczyć linki, zarejestruj się tutaj]

(wrzucic do katalogu z malware i uruchomić - odsiewa pliki niewykonywalne)
Jeśli chcesz zamieszczać wykonywalne tylko

[virugen]

Dzięki za huczne powitanie To oczywiście tylko kilka malware z mojej bardzo licznej kolekcji.

---

Dodano: 01 lip 2011 11:05

Jak możesz - proszę o jak największą liczbę rootkitów wszelkiej maści!
Witamy na forum.

Spoko zaraz się zrobi .

[KaMiL]

Ale wielki szaczunek dla Was. Ja bym tak dłuho nie wytrzymał, a Tommy dak długo w tym siedzi
Dzięki Wam za to. Dzięki temu mogę wykonywać ,jak to mówi Ratatui, amatorszczyznę.

[KaMiL]

Witaj virugen. Naprawdę mocne wejście. Kolejny malware hunter do nas zawitał i bardzo się z tego cieszę. Oby tak dalej!
Pozdrawiam

[virugen]

Rootkit Popureb.E nowość w świecie zagrożeń info -

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

pass: malware

Rootkit Zero Access infekujący systemy x64 bitowe.

Treść widoczna jedynie dla zarejestrowanych użytkowników

pass: malware

Rootkit Podnuha

Treść widoczna jedynie dla zarejestrowanych użytkowników

Trojan WinLock screen -

[Aby zobaczyć linki, zarejestruj się tutaj]

Treść widoczna jedynie dla zarejestrowanych użytkowników

pass: sg

---

Dodano: 01 lip 2011 11:25

Witaj virugen. Naprawdę mocne wejście. Kolejny malware hunter do nas zawitał i bardzo się z tego cieszę. Oby tak dalej!
Pozdrawiam

Dzięki

[KaMiL]

F-Secure 2012 Beta

TDSS- wykryty

Trojan Mebroot- wykryty

Wirus Sality wariant .bh- wykryty

Trojan Seftad- wykryty

robak Zimuse- wykryty

Wynik 6/6 . Wszystko wyłapał po kliknięciu na plik PPM.

---

Dodano: 01 lip 2011 11:40

Rootkit Popureb.E- wykryty

Rootkit Zero Access - wykryty

Rootkit Podnuha- wykryty

Trojan WinLock screen- wykryty

Wynik 4/4

Mam nadzieję, że mi wierzycie na słowo <!-- s--> <!-- s-->