i giochi "pericolosi" di nV 25.... 56k Warning! [Archivio]

View Full Version : i giochi "pericolosi" di nV 25.... 56k Warning!

nV 25

30-12-2006, 16:36

Scusate se il titolo del thread non è troppo aderente a quello che sarà il proseguo del post ma (aimè) proprio non avevo idea di che nome dargli... :)

Cmq sia, cosa ho fatto?
Bè, semplicemente, ho deciso di mettere alla prova l'armamentario di cui dispongo (in firma...) per vedere come reagiva di fronte a quelle che oggi sono indiscutibilmente le più grosse minacce del "navigatore", e cioè i ROOTKIT. :(

Premesso che non sono un tecnico ma un semplice amatore, con questo post non ho certo la presunzione di volervi insegnare alcunchè (anche perchè, poi, se continuate la lettura, vedrete da soli che "da imparare non c'è proprio nulla"...) ma solo di farvi vedere quello che è accaduto realmente sul mio Pc.
Sarebbero anzi graditi eventuali commenti tecnici se qualcuno volesse integrare o spiegare meglio i meccanismi di funzionamento di questi malwares, spesso e volentieri veri e propri gioielli di tecnologia informatica ma, pur sempre, grandissimi figli di ** visto sia quello che potenzialmente possono combinare sui nostri sistemi sia per la loro difficoltà di rimozione.

NB: per i test che seguono mi sono avvalso di sample liberamente reperibili su siti specializzati (h**p://rootkit.com/index.php) e di un sample rintracciabile su sysinternals, in particolare, quello realizzato da PE386 e scaricabile da qui:
h**p://forum.sysinternals.com/forum_posts.asp?TID=8527&PN=2
Alla fine, per scrupolo, ho provveduto a RIPRISTINARE l'intero SO con un'immagine che mi ero precedentemente fatto.

Per quanto "innocui", questi sample sono pur sempre rootkit veri e propri per cui NON installateli!

Ok, finite le raccomandazioni, i "fatti".

Come 1° cosa ho disabilitato l'intero REAL TIME di KAV6, quindi i moduli file antivirus e Web antivirus.
Il motivo è semplice.

Simulare degli 0-days (per i meno pratici, minacce di cui ancora le software house antivirus non hanno rilasciato firme, per cui "a tutti gli effetti" è come se questi sample fossero "vere e proprie novità"...), lasciando cosi' tutto l'ONERE dell'intercettazione alla componente HIPS del mio sistema.
Di KIS 6 attivo, allora, c'era SOLO il PDM (=il nuovo modulo contro rootkit e compagnia bella) per cui, come dicevo poc'anzi, i test si sono scontrati contro Process Guard, RegDefend e il PDM.

LEZIONE che ne ho tratto:
talvolta la tecnologia dei malwares è migliore di quella delle nostre difese per quanta sia la cura riposta nella scelta delle stesse....
(vedi in proposito h**p://forum.sysinternals.com/forum_posts.asp?TID=8857&PN=2 dove in 1° pagina fa per l'appunto bella mostra di se questo:

"ACTIVE Rustock.b - FULLY INVISIBLE by NOD32.
// my comment: tech level of rustock is greatly higher than nod32"
o, per KAV6, quest'altro:

"Active rootkits vs KAV 6.0

Proactive defense - ON
All protection - enabled
......

KAV detects only inactive rootkits."

In sostanza, disponiamo di soluzioni "molto fragili" contro le "novità" :cry: e (probabilmente) l'UNICA vera MEDICINA è configurabile con la nostra abitudine d'uso del Pc:
o impariamo A NON CLICCARE SU QUALSIASI COSA (STRANA) ABBIAMO DI FRONTE, o ciccia....

E ora, i fatti che mi hanno portato alla "LEZIONE" sopra.

FUto advanced "contro tutti":

http://xs410.xs.to/xs410/06526/5zxa.JPG.xs.jpg (http://xs.to/xs.php?h=xs410&d=06526&f=5zxa.JPG)

intercettato da PG, non si arriva neppure al PDM &/o a RegDefend. (ho scelto di "aggredire" il processo ctfmon.exe, PID 1532)

http://xs410.xs.to/xs410/06526/6zxa.JPG.xs.jpg (http://xs.to/xs.php?h=xs410&d=06526&f=6zxa.JPG)

Vanquish:

http://xs410.xs.to/xs410/06526/7zxa.JPG.xs.jpg (http://xs.to/xs.php?h=xs410&d=06526&f=7zxa.JPG)
(qui si "sveglia" anche il PDM anche se PG ha fatto tutto il lavoro "sporco"...)

HackerDefender:
http://xs410.xs.to/xs410/06526/8zxa.JPG.xs.jpg (http://xs.to/xs.php?h=xs410&d=06526&f=8zxa.JPG)

RKDemo:
http://xs410.xs.to/xs410/06526/11zxa.JPG.xs.jpg (http://xs.to/xs.php?h=xs410&d=06526&f=11zxa.JPG)

PHIDE di PE386

SE lo si blocca fin dall'inizio, bene....

http://xs410.xs.to/xs410/06526/10zxa.JPG.xs.jpg (http://xs.to/xs.php?h=xs410&d=06526&f=10zxa.JPG)

altrimenti, TROMBATO! (e questa la posto grande...)

http://xs410.xs.to/xs410/06526/9zxa.JPG

Ecco il "gioiello" all'opera, in barba a TUTTI i miei HIPS....

Process Guard blocca l'installazione del driver del rootkit ma, anche cosi', phide_ex va tranquillo e beato nella lista dei processi e in C: appare un bel logghettino dove si può leggere chiaramente quello che il programmatore "ci dice"..... :D
Per dovere di cronaca ribadisco che ho acconsentito DI PROPOSITO all'esecuzione del file, SICURO PERO' che PG continuasse a fare il suo dovere come neglia altri casi.....ma, come dicevo, 'sto sample è mooolto rognoso....

Nell'unico caso in cui il PDM del KIS6 poteva dire la sua (il lavoro, infatti, fino ad ora era stato svolto da ProcessGuard senza chiamare in causa nient'altro...), in realtà LUI se ne stava beato in vacanza in Polinesia.....

Secondo me dai test sopra c'è di che riflettere visto che i ROOTKIT sono la vera piaga dei prossimi anni....
Se già gli utenti "protetti" vengono aperti come carciofi (se pur in casi sporadici..), figuriamoci gli utenti "normali" che non usano grandi armamentari per tutelare la propria macchina e che, per di più, CLICCANO SU OGNI COSA CHE VEDONO "purchè RESPIRI"...

Auguri alle software house che cmq hanno ancora molto lavoro da svolgere....

sampei.nihira

30-12-2006, 16:56

nV 25, per curiosità prima di ripristinare il S.O. con l'immagine hai provato a "terminare" il "mostrino" con Sophos,Gmer e compagnia bella ? :D

nV 25

30-12-2006, 17:09

nV 25, per curiosità prima di ripristinare il S.O. con l'immagine hai provato a "terminare" il "mostrino" con Sophos,Gmer e compagnia bella ? :D
no, no...nessuna prova di rimozione con tools specifici....

Phide_ex è stato terminato tranquillamente con un semplice click da task manager....
Il fatto che fosse visibile è probabilente dovuto al nuovo meccanismo del PDM (il famoso "task manager protection"...) o ad una sua installazione (forse) non perfetta dovuta a PG....

Sò troppo poco per entrare nel merito, sorry...

E' per quello che spero anche in qualche commento "tecnico" di eraser e compagnia bella....

Gli altri rootkit, invece, non hanno avuto il tempo di vivere visto che sono stati "spezzati" sul nascere....

Cmq c'è ben poco da stare allegri..... :(

PS: è cosa certa xò che riprovo PHIDE vs ProSecurity (al posto del mio mitico PG):
a 'sto punto, son troppo curioso di vedere cosa succede....

Se trovassi il link a Gromozon, mi piaceva vederlo sulla mia pelle....per quello, cmq, cerco meglio su sysinternals....

lucas84

30-12-2006, 17:16

Quali files vuoi di gromozon?se ti servono,te li posso spedire :)

Ciao e buon anno

nV 25

30-12-2006, 17:21

Quali files vuoi di gromozon?se ti servono,te li posso spedire :)

Ciao e buon anno

Immaginavo che qualcuno avesse sample a giro.... :D ..e che sarebbe bastato chiedere....

Bè, cmq sia, faccio prima 1 ricerchina e nel frattempo decido se "l'azzardo" valga la candela (in cuor mio, cmq, direi di si'....), visto che ormai son deciso a mettere alla frusta la mia "suite" HIPS...

L'unico fastidio, semmai, è quello di ripristinare tutto....

PS: mi daresti qualche info in + sul rootkit PHIDE? (con parole semplici, txs...)

:)

sampei.nihira

30-12-2006, 17:36

Trojan.Rootkit.Phide.BType Malware
Type Description Malware ("malicious software") consists of software with clearly malicious, hostile, or harmful functionality or behavior and that is used to compromise and endanger individual PCs as well as entire networks.
Category Rootkit
Category Description A Rootkit is software that cloaks the presence of files and data to evade detection, while allowing an attacker to take control of the machine without the user's knowledge. Rootkits are typically used by malware including viruses, spyware, trojans, and backdoors, to conceal themselves from the user as well as from malware detection software such as anti-virus and anti-spyware applications. Rootkits are also used by some adware applications and DRM (Digital Rights Management) programs to thwart the removal of that unwanted software by users.
Level High
Level Description High risks are typically installed without user interaction through security exploits, and can severely compromise system security. Such risks may open illicit network connections, use polymorphic tactics to self-mutate, disable security software, modify system files, and install additional malware. These risks may also collect and transmit personally identifiable information (PII) without your consent and severely degrade the performance and stability of your computer.

File Traces
3239.exe
cb9999dade31b48ceab148ddf97e38ec.sys

Può servirti ?

juninho85

30-12-2006, 17:52

che link avevi postato nel primo reply?al limite inseriscili e rendili non cliccabili :D

edit:ho visto ora :O

nV 25

30-12-2006, 18:03

Trojan.Rootkit.Phide....

Può servirti ?
onestamente?
no.... :)

Grazie cmq dell'aiuto, Sampei :)

Il No è legato al fatto che mi piacerebbe sapere <come funziona> (è un .exe "all inclusive", vedi infatti la descrizione dell'autore:

He contains in itself hidden process and hidden driver...

.....

Scorrendo il thread, si vedono questi commenti:

"MP_ART: It is not so easy to detect phide_ex, but possible..."

ma anche questo:

"EP_X0FF: Detection of hidden process was trivial problem. A problem just to code workable detector. More interesting and difficult is detect hidden driver. It is not anymore driver, just piece of code...."

(NB: entrambi si riferiscono ai tool di rimozione stile gmer e compagnia e non agli hips....
apparentemente poi sui processi nascosti sembrano dire cose opposte...)

A me + che altro interessa sapere come funziona per capire PERCHE' ha battuto Process Guard ( e se lo ha battuto, poi, a prescindere da quello che è il log che dice "phide_ex is fu**ing your sistem"):
perchè allora io lo vedo nei processi se MP_ART dice che non sia facile vederlo e se, + che altro, il fine dei rootkit è quello di celarsi (hidden di su, hidden di giù...)?

E' dovuto al PDM?
E' il driver che parrebbe essere correttamente bloccato da PG che gli impedisce di nascondersi? E se si, come diavolo ha fatto allora a proseguire la sua azione mostrandomi il log?

Insomma, vorrei delucidazioni "sulla meccanica" del malware.... :)

PS: ho editato il post iniziale togliendo i link diretti (anche se in verità per scaricare questi tecnological demo occorre fare ulteriori passaggi, ma cmq...)

dariuzzz

30-12-2006, 18:04

Non sono un esperto di sicurezza, pero' vedendo questi test secondo me ci si puo' rendere conto di due cose:

1) come gia' detto altre volte, e come ribadito da nV 25, la "testa" dell'utente e il suo comportamento sul web costituiscono la prima linea di difesa contro qualsiasi tipo di attacco.

2) anche se non perfetti, anche se tutt'altro che infallibili, i software HIPS sono importanti. Bisogna familiarizzare con questi programmi e affiancarli agli ormai "noti" antivirus e firewall, cosi' da avere una maggiore "copertura" per quel che riguarda la sicurezza... (invece e' ancora pieno di gente che ritiene inutili questi programmi)... Speriamo che le case produttrici di software HIPS migliorino i loro prodotti e li rendano sempre piu' impenetrabili! :)

c.m.g

30-12-2006, 18:18

nv25, se ti può interessare ti posto questo link trovato in rete dove ci sono scritte cose interessanti:

http://www.zonapc.it/articoli/rootkit/rootkit.php

spero ti sia d'aiuto. ;)

nV 25

30-12-2006, 18:25

nv25, se ti può interessare ti posto questo link trovato in rete dove ci sono scritte cose interessanti:

http://www.zonapc.it/articoli/rootkit/rootkit.php

spero ti sia d'aiuto. ;)
grazie, ora leggo.

Grazie poi anche a Sampei, molto gentile come sempre (anzi, scusa se apparentemente sono risultato "offensivo":
in realtà ho max rispetto e stima).

PS: qualche tecnico che ci faccia capire?
Pmonti, ci sei?
eraser??????
lucas84?

ecc ecc

in parole semplici, eh.... :D

sampei.nihira

30-12-2006, 18:31

grazie, ora leggo.

Grazie poi anche a Sampei, molto gentile come sempre (anzi, scusa se apparentemente sono risultato "offensivo":
in realtà ho max rispetto e stima).

PS: qualche tecnico che ci faccia capire?
Pmonti, ci sei?
eraser??????
lucas84?

ecc ecc

in parole semplici, eh.... :D

Ma no anzi !! ;)
Mi hai ringraziato ben 2 volte.....e non ho fatto molto....più di così :D
In effetti il capitolo ROOTKIT è affascinante.
E noi tutti dobbiamo ancora imparare molto....

lucas84

30-12-2006, 20:02

nV 25

30-12-2006, 20:50

phide mi crasha su v.m.,mi ricordo che poco tempo fa l'avevo provato su un pc normale ed il processo compariva nel task manager(spero di non ricordami male)in questo momento ho solo questo pc,comunque ho altri rootkits + o meno conosciuti,se ti servono basta chiedere :)

Ciao
sul discorso di phide in vm, mi sembrava che anche nel thread fosse stato detto che su un OS virtuale non girava...

Visto cmq che sembri ferrato in materia, mi dai qualche info maggiore?

Del tipo:
clicco sull'exe, e poi? che accade al sistema?
come fa (materialmente e in parole semplici) ad avviarsi?
e la storia del suo driver? (guarda PG come reagisce)....

PS: se i rootkit sono dei sample di test (tecnological demo), bè, si può anche fare, in caso contrario non me la sento di sfidare troppo la sorte...

nV 25

30-12-2006, 22:13

avrei trovato un'altra serie di rootkittini "da paura" (roba stile Rustock.b, qualche Gromozonino e compagnia bella):

che faccio, provo e vi faccio vedere come è andata? :ciapet:

PS: se mi decido e sentite il colpo, non pensate che abbiano anticipato i festeggiamenti per l'arrivo dell'anno nuovo:
è SOLO segno del fatto che il mio Pc è andato arrosto... :D

Ne approfitto per fare gli auguri di buon anno a tutti visto che a breve saluto il mondo del Pc una volta per tutte:
potrete finalmente dire di nV 25:
"ei fu..." :stordita: :D

wgator

30-12-2006, 23:33

Ciao,

mi raccomando, non infettate mezzo mondo con i vostri esperimenti perniciosi :ciapet:
Mi piacerebbe intervenire seguendo a fondo gli esperimenti ma, a causa di casa e studio in ristrutturazione, (muratori, pavimentisti idraulici & c.) sono in regime di operatività ridotta fin dallo scorso mese di Ottobre e ne avrò fino al prossimo Febbraio. :cry:

Teliqalipukt

30-12-2006, 23:49

Ne approfitto per fare gli auguri di buon anno a tutti visto che a breve saluto il mondo del Pc una volta per tutte:
potrete finalmente dire di nV 25:
"ei fu..." :stordita: :D

:mbe:

Wè non fare scherzi. C'è un motivo particolare?

D'accordo che sei milanista, ma poi per il resto hai tante belle qualità. Pensa che ti vengo a leggere pure sul tuo blog anche se non aggiorni mai :O

ti leggo (e continuerei a leggerti) con piacere.

Auguri di buon anno :) .... anche a wgator :p

P.s: se lasci hw posso rubarmi (anche io) il tuo avatar? :sofico:

sampei.nihira

30-12-2006, 23:58

Saluto l'audace nV25........ :D

Ma prima di andare......
La stessa prova simulata 0-days, ma questa volta con NOD32 2.7 ?

juninho85

31-12-2006, 00:21

Ne approfitto per fare gli auguri di buon anno a tutti visto che a breve saluto il mondo del Pc una volta per tutte:
potrete finalmente dire di nV 25:
"ei fu..." :stordita: :D
'ndo vai?:mbe:

Gianky....! :D :)

31-12-2006, 01:48

a breve saluto il mondo del Pc una volta per tutte:
potrete finalmente dire di nV 25:
"ei fu..." :stordita: :D

Ke kosa ??? :wtf:
Il grande NV 25 se ne vuole andare ???
Quel bravo a ragazzo a cui ho fregato l'avatar ??? :D
Non scherzare...
Cmq il thread è molto interessante...
Spero di capire qulkosa in più...
Ciao a Tutti e Buon Anno :D

c.m.g

31-12-2006, 10:33

'ndò vai nv25 quì ti vogliono tutti bene! :D auguri di buon anno di cuore pure da parte mia.

nV 25

31-12-2006, 10:48

ehm....grazie a tutti per le attestazioni di affetto :)

In realtà quando ho detto
"...visto che a breve saluto il mondo del Pc una volta per tutte",

mi riferivo al fatto che a sfidar troppo la sorte alla fine mi sarei bruciato o, meglio, avrei bruciato il Pc (da qui, "ei fu....") :D

Se sentite il botto, allora, sappiate che a Lucca c'è stata una fiammata... :ciapet:

c.m.g

31-12-2006, 10:53

nV 25

31-12-2006, 11:09

Saluto l'audace nV25........ :D
+ che audace, direi cogl** :D

La stessa prova simulata ... con NOD32 2.7 ?

questi "test" hanno ben poco di scientifico, li faccio semplicemente per vedere come reagiscono i miei HIPS di fronte a quelle che personalmente ritengo siano LE MINACCE più subdole degli anni futuri (o, almeno, i trend dicono quello)...

Sul discorso del NOD32 2.7, personalmente ritengo quanto segue:
1) a tentar non costa nulla, è sufficiente una bella Virtual Machine e via...
2) se prendo per buono quello che dicono gli esperti, e cioè:

"ACTIVE Rustock.b - FULLY INVISIBLE by NOD32.
// my comment: tech level of rustock is greatly higher than nod32",

bè, non c'è neppure da perdere tempo:
Nod32 (pur ottimo), o "li sente" con l'euristica prima che si impiantino nel sistema, o, mancando di tecnologie HIPS, se passa, salutiiii... :(

L'advanced stealth ecc ecc lavora infatti solo on-demand....

Insomma, l'unica ricetta contro questi agenti è la CAPACITA' dei software di prevenzione di operare bene, PUNTO.

E' necessario EVITARE che si impiantino nel sistema.

A posteriori, infatti, sono sempre dolori, vuoi perchè è proprio un casino la loro rimozione, vuoi perche l'utente normale ci si perde, vuoi perchè IMPLEMENTANO TECNOLOGIE sempre + moderne rispetto agli scanner generando una affannosa (quanto inutile..) rincorsa di questi sui primi, ben più agili....

juninho85

31-12-2006, 12:17

Teliqalipukt

31-12-2006, 12:27

...mica l'avevo capito :doh::D

Non l'aveva capita nessuno.... solo lui :sofico:

GRANDE NV25!

P.S: la scimmietta che fine ha fatto? :fagiano:

Gianky....! :D :)

31-12-2006, 12:58

lucas84

01-01-2007, 19:04

sul discorso di phide in vm, mi sembrava che anche nel thread fosse stato detto che su un OS virtuale non girava...

Visto cmq che sembri ferrato in materia, mi dai qualche info maggiore?

Del tipo:
clicco sull'exe, e poi? che accade al sistema?
come fa (materialmente e in parole semplici) ad avviarsi?
e la storia del suo driver? (guarda PG come reagisce)....

PS: se i rootkit sono dei sample di test (tecnological demo), bè, si può anche fare, in caso contrario non me la sento di sfidare troppo la sorte...

Scusa se ti rispondo solo adesso :) ,eh eh non sono così ferrato in materia,ne so quanto te,una volta cliccato sul'exe si installa il driver,il driver comunica con il programma(o viceversa)ed in base a come è stato programmato esegue le sue funzioni.

Ciao e buon anno