Virus Testing Machine

[cloutz]

Originariamente inviato da @Sirio@

Invece di mettere le estensioni (visto che non sai quale userà il virus) IMO è meglio mettere l'intera partizione nei File Protetti (d:\*, e:\*, ecc.) che coprirà qualunque estensione.

si è vero, hai ragione.

Originariamente inviato da @Sirio@

Mi sembra che su questo malware abbiamo detto tutto ormai.... o no?

Ciao cloutz, ottimo lavoro

Grazie, ottimo il nostro lavoro
Si direi che abbiamo detto tutto quello che ci poteva interessare...

Saluti

[@Sirio@]

Originariamente inviato da buonasalve

Sirio, quindi è bene mettere nei file protetti il C: e D: che mi ritrovo sul notebook senza mettere regole specifiche per zip rar e compagnia ?

C:\* (partizione di sistema) non lo devi mettere perché protetto da default, le altre si, le estensioni ai File Protetti no, visto che aggiungerai le partizioni... non mettere neanche le modifiche alle Regole Applicazioni per winrar, ecc., casomai avessi problemi (richieste per le partizioni diverse da quella di sistema) facci sapere che correggeremo insieme.

Ciao

[@Sirio@]

Originariamente inviato da cloutz

si è vero, hai ragione.

Grazie, ottimo il nostro lavoro
Si direi che abbiamo detto tutto quello che ci poteva interessare...

Saluti

Vero, non possiamo che essere soddisfatti

[buonasalve]

Originariamente inviato da @Sirio@

C:\* (partizione di sistema) non lo devi mettere perché protetto da default, le altre si, le estensioni ai File Protetti no, visto che aggiungerai le partizioni... non mettere neanche le modifiche alle Regole Applicazioni per winrar, ecc., casomai avessi problemi (richieste per le partizioni diverse da quella di sistema) facci sapere che correggeremo insieme.

Ciao

dunque, in D: io ho solamente la Sandbox e basta
dici che vale la pena ?
se comunque dovessi procedere, avrei bisogno di tutti gli step perchè non vorrei fare una operazione monca o malriuscita

se non ti va di spiegarmelo adesso non fa nulla, fallo quando ti pare perchè non è che si tratti di vita o morte
però fallo

ciao carissimo

[buonasalve]

Originariamente inviato da @Sirio@

Vero, non possiamo che essere soddisfatti

complimenti ad entrambi, siete davvero in gamba ragazzi

[commi]

Originariamente inviato da cloutz

ho provato il b.css tanto acclamato da Aigle contro MD, e non ho verificato il comportamento da lui descritto (così come è successo le prime volte che l'ho provato )




uppo solo l'immagine del log che mostra da quando xyplorer.exe avvia trp.pif..
potete vedere che il comportamento è totalmente differente da quello di Aigle, e non sono ancora riuscito a riprodurre quei risultati

Ho rieseguito il test con il solo TPR.PIF (file che viene creato durante l'esecuzione di b.css) lanciandolo con explorer.exe (non è necessario usare per forza Xyplorer) e confermo i risultati avuti da Aigle:




prima di avere a schermo l'alert relativo al tentativo di esecuzione del processo tpr.pif (come è logico che sia), MD ci avverte che explorer.exe tenta di connettersi ad un IP presumibilmente malevolo.
Pertanto, explorer.exe (così come Xyplorer) viene in un certo senso "manipolato" da tpr.pif affinchè si connetta ad internet.

P.S.: il test con TPR.PIF va eseguito con la connessione internet attiva

[cloutz]

Ciao commi

ricordo che avevamo parlato anche in pvt, ma purtroppo non sono mai riuscito a riprodurre quella situazione
penso ci siano troppe variabili, dipendenti anche dal sistema, perchè si ottengano gli stessi risultati..

diciamo che non sono stato "fortunato" col b.css
vedrò di rifarmi col prossimo

Saluti

[sampei.nihira]

Originariamente inviato da @Sirio@

A proposito del tuo dubbio, ho controllato RVS 2010 beta aggiungendo al File Protection la mia pendrive E:\, ma al riavvio le modifiche avvenute durante la sessione protetta, non sono state cancellate
Approfondirò la questione, forse mi sfugge qualcosa.

Un salutone sampè

Ti ringrazio anche a nome degli altri utenti che come me NON usano,attualmente, nel caso di RVS la versione che citi tu.
Anche da parte mia i miei più graditi salutoni.

[leolas]

Ho provato anch'io il Trojan Simulator con Online Armor, mi tira troppo fare test con virus veri, ormai...
Magari più avanti..

Il TrojanSimulator è questo -> http://www.misec.net/trojansimulator/

L'ho provato in Modalità Standard: dopo che l'ho fatto una volta non riesco più a farlo, mi si blocca sempre... Ergo, solo il primo popup l'ho anche in modalità avanzata (cambia poco)..

Appena lo avvio, OA mi avverte che è un file pericoloso:
Mod Standard ->> In Mod. Avanzata -->


Clicco sui pulsanti "Info", e mi rimanda a questa pagina -> http://www.tallemu.com/oasis2/search...nsimulator_exe
e cliccando sull'unica voce presente, a questa -> http://www.tallemu.com/oasis2/file/u...tor_exe/199864

Dopodichè, deselezionando le caselle e facendo Consenti, si avvia il test, e il primo popup che OA apre è questo:


e successivamente, sempre deselezionando le caselle e facendo Consenti, questo:

Cliccando sugli Info, rimanda a questa pagina -> http://www.tallemu.com/oasis2/file/m...erv_exe/100808

Diciamo che in un caso come questo, sarebbe da idioti riuscire ad infettarsi

Tra l'altro, facendolo mi sono accorto che ho cannato alcune traduzioni

[Romagnolo1973]

Originariamente inviato da leolas

Ho provato anch'io il Trojan Simulator

Copione
Cloutz lo ha fatto con il suo MD
Adesso metto le immagini di CIS , Avira, Prevx, MBAM (che non lo trova )
Il tempo di fare le freccie nelle foto e arrivo

[leolas]

Originariamente inviato da Romagnolo1973

Copione
Cloutz lo ha fatto con il suo MD
Adesso metto le immagini di CIS , Avira, Prevx, MBAM (che non lo trova )
Il tempo di fare le freccie nelle foto e arrivo

uff, tutti con ste freccie... state diventando molto più professionali di me

A me tira.. si è visto dal post abbastanza sintetico che ho fatto

[Romagnolo1973]

Comportamento CIS Vs TrojanSimulator
Qui si trova questo simulatore di attività trojan del tutto innocuo ma che aiuta a capire il funzionamento delle proprie difese contro questo tipo di minacce; in sintesi il finto trojan fa una modifica al registro in modo da autogenerarsi all'avvio del pc per poter poi consentire al sua stesso processo malevolo di scaricare altra porcheria trasformandoci per esempio in una Botnet.
Ecco la situazione iniziale dopo aver scaricato e dezippato il file, si noti che comunque per ulteriore sicurezza l'ho fatto dietro Returnil e con altri sistemi stoppati per non sporcare il test in questo caso rivolto al solo D+ (settato al massimo)
OVVIO che diamo acconsenti ad ogni schermata, se bloccassimo alla prima (come si dovrebbe) il trojan è bello che morto



Primo avviso, Explorer chiede il permesso per eseguire il trojan, l'avviso è abbastanza chiaro direi



Si apre la finestra del trojan che ancora non è installato, gli diciamo di installarsi



D+ rispetto ad altri Hips ha un avviso in più ed è proprio questo dell'Analisi Euristica che ci avvisa della possibile malvagità, noi continuiamo accettando



Ecco la modifica al Registro fatta dal trojan per poi potersi generare all'avvio del pc



Acconsentiamo la richiesta e a questo punto il finto trojan si è installato



A detta degli sviluppatori cliccando Uninstall il processo stesso va a cancellare le modifiche da lui stesso apportate in precedenza, vediamo se è vero (il bello di un HIPS è proprio il controllo quasi totale che si ha del pc e permette anche questo tipo di verifica). Clicchiamo Uninstall e subito il primo avviso è quello di Euristica che ci avvisa del potenziale pericolo del processo



Il trojan si sta per avviare e CIS ci informa, poi ulteriormnte siamo avvisati che il processo si sta autoterminando ed inoltre che sta cancellando una chiave di registro (quella che prima aveva scritto)


Il programma si è disinstallato come da indicazione sottostante ed ha agito come detto dai suoi sviluppatori sia in fase di installazione che in fase di disinstallazione. Hanno detto il vero !!!




MALWARE DEFENDER Vs TrojanSimulator by cloutz

Qui potete vedere il test fatto da cloutz e postato sul suo 3d apposito
http://www.hwupgrade.it/forum/showpo...20&postcount=4
Direi analogo se si escludono gli avvisi di Euristica che il D+ ha rispetto agli altri

[Chill-Out]

@commi

Mi sono permesso di sistemare lo screenshot in quanto sfasava il layout del Forum

[arnyreny]

Test trojan simulator con Pctools InternetSecurity

Ho eseguito il test Trojan Simulator con pc tools internet security il risultato e sodisfacente non eccellente.
Infatti l'euristica dell'antivirus non lo considera proprio e su questo non avevo dubbi,ma fa la differenza la fa' l'intelliguard che segnala l'intrusione di codice da parte di trojansimulator in ttserv.exe,e la cosa piu' importante con un bel pop-up giallo di rischio ,che un attivita' sospetta sta per modificare dei dati sensibili,ovviamente gli ho dato blocca e metti in quarantena e' il trojan e' stato disintegrato.

ecco i due pop-up al primo gli ho dato consenti x far continare il test

[sampei.nihira]

Anche con EQS 3.41 si ha un comportamento simile.
Solo che io non ho mica voglia di fare tutti quegli screen......
Già mi è costato fatica passare al pc Windows.

Invece (già che ci sono lo scrivo visto che ho provato giorni fà quando Siro e Cloutz hanno inserito i loro risultati) con EQS a default (non ho provato a fare regole ad hoc e nemmeno inserire regole di Alcyon visto che adesso segue la versione del sw successiva MA a pagamento) le partizioni non C: sono completamente abbandonate a se stesse.Nessun pop-up allerta l'utente a video.
Quindi ogni modifica nella mia partizione D: è stata completa.Nessun intervento dell'HIPS.

[Romagnolo1973]

Originariamente inviato da Chill-Out

@commi

Mi sono permesso di sistemare lo screenshot in quanto sfasava il layout del Forum

Grazie boss, così è più fruibile

Adesso metto anche le imagini relative agli antivirus - antimalware alle prese con lo stesso test, si noterà una SOSTANZIALE differenza tra avere un hips e non averlo, la conclusione sarò sempre l'eliminazione del trojan (quando lo trovano ) ma non si capisce però ovvio cosa questo possa fare sul sistema

[cloutz]

Originariamente inviato da sampei.nihira

Invece (già che ci sono lo scrivo visto che ho provato giorni fà quando Siro e Cloutz hanno inserito i loro risultati) con EQS a default (non ho provato a fare regole ad hoc e nemmeno inserire regole di Alcyon visto che adesso segue la versione del sw successiva MA a pagamento) le partizioni non C: sono completamente abbandonate a se stesse.Nessun pop-up allerta l'utente a video.
Quindi ogni modifica nella mia partizione D: è stata completa.Nessun intervento dell'HIPS.

ricordo che con il ruleset di Alcyion si ha un controllo allucinante (forse troppo, a volte quasi ridondante), mentre a default è molto debole..
al 90% con gli Alcyion ruleset passavi il test


Saluti caro

p.s.: non serve che provi il sample, anche la prova innocua che ho fatto io via cmd mostra se l'attività viene intercettata o meno
p.p.s.: installato xubuntu, va 'na meraviglia

[sampei.nihira]

Originariamente inviato da cloutz

ricordo che con il ruleset di Alcyion si ha un controllo allucinante (forse troppo, a volte quasi ridondante), mentre a default è molto debole..
al 90% con gli Alcyion ruleset passavi il test


Saluti caro

p.s.: non serve che provi il sample, anche la prova innocua che ho fatto io via cmd mostra se l'attività viene intercettata o meno
p.p.s.: installato xubuntu, va 'na meraviglia

Sicuramente, ricordo che anche al CLT,con gli Alcyon rules mi apparivano un numero esorbitante di pop-up in più rispetto alla configurazione a default.
Il sample l'ho già provato qualche gg fà....
Salutoni.

p.s. per Xubuntu !!

[Romagnolo1973]

Dopo TrojanSimulatro contro vari HIPS (o FireWall con Hips) eccoci a vedere come si comportano alcuni software AV o antimalware contro questo simulatore di attività trojan.

AVIRA
L'euristica di Avira è settata al massimo come da guida di Juninho
Il guard di avira avverte appena si tenta di aprire lo ZIP, non è ancora finito di scompattarsi che il guard ci stressa, bene !!


Oltre al Guard viene riconosciuto anche in scansione; una volta in quarantena si provvede all'eliminazione



Minaccia sconfitta.

PREVX 3.0.4.200 RC in inglese
Settaggio Prevx come da guida euristica avanzata alta, program age & program popularity su medio.
Il trojan viene riconosciuto non quando si scompatta il file ma quando lo si avvia, ciò è normale per come ragiona Prevx rispetto ad Avira, l'analisi viene fatta al click sull'eseguibile che comunque fino a nostra decisione resta bloccato. Clicco continua e i file sospetti sono elencati (figura2)



Anche decidessi di far finta di nulla ora al posto dell'euristica mi avvisa Prevx stesso, notate che l'icona è rossa nella tray, provvedo alla rimozione che essendo un malware semplice dira un secondo, terminata la rimozione Prevx esegue una scansione in automatico per accertarsi che il sistema sia pulito



MALWAREBYTES FREE

Veniamo alle dolenti note, MBAM sebbene aggiornato pochi secondi prima, non ha tra le sue firme il finto trojan quindi non lo riconosce. Avendo io a disposizione la sola versione free MBAM non ha il realtime ne il simil hips della versione a pagamento che forse sventerebbero la minaccia. Hanno però qui indicato che la cosa è voluta, non lo vogliono individuare come malware essendo un test.




IOBIT360

Ho provato anche questa novità del mondo antimalware che millanta anche un controllo realtime nella versione free. Ho detto millanta perchè a più riprese facendo tentativi con diversi malware il realtime non ha mai dato segni di vita. Nel caso di questo trojan di test anche la scansione ondemand non ha dato esito. Bocciato.

Tutto attivato, aggiornato e settato al Max, notate in figura 2 cosa scrivono circa il RealTime, rileva solo le minacce più pericolose, lasciando allo Scan la rimozione di quelle a basso rischio

Ok allora proviamo a vedere lo Scan se trova Trojan Simulator? NO, non lo trova

Vediamo se i ben 2 realtime attivi di cui uno euristico trovano la minaccia allora? NO, non la trovano. il malware si è installato senza allarmi.


Ho segnalato a loro su Wilders il test, forse in futuro l'esito del test rifacendolo sarà differente.
Anche lì qualcuno chiede lumi sul prodotto perchè i dubbi iniziano ad affiorire, io ho messo la pulce nell'orecchio, nessuno ci ha chiarito le nostre perplessità

[commi]

Originariamente inviato da Chill-Out

@commi

Mi sono permesso di sistemare lo screenshot in quanto sfasava il layout del Forum

Hai fatto benissimo
anzi, chiedo scusa per non avervi prestato attenzione durante il copia/incolla del link.