Attenti a quei due! - Pagina 4

eraser · 22-03-2006, 17:51

l'analisi che abbiamo fatto noi è stata praticamente confermata da F-Secure

complimenti a tutti

nV 25 · 22-03-2006, 17:52

Quote:

Originariamente inviato da eraser

l'analisi che abbiamo fatto noi è stata praticamente confermata da F-Secure

complimenti a tutti

parli di te al PLURALE?

PS: ora mi si offende Wgator...

eraser · 22-03-2006, 17:53

tutti quelli che hanno partecipato al thread

PS: votatemi http://www.hwupgrade.it/forum/showth...4&page=1&pp=20

wgator · 22-03-2006, 18:54

Quote:

Originariamente inviato da nV 25

Wgator usa BartPE, se non ho capito male....

Ciao,

bè... io uso Bart PE per "catturare" i virus senza fagli male

nel senso che, prima cerco di individuarli, poi non li rimuovo con l'antivirus, con killbox o con la forza bruta, altrimenti si sciupano

Uso Bart per togliere quelli altrimenti inamovibili e trasferirli nella famosa drive pen o su un CD
Li raccolgo e cerco di studiarli ma non ho l'esperienza di Eraser, tento solo di imparare

eraser · 22-03-2006, 19:16

Dunque:

in primis si controlla se il file sospetto è compresso con qualche runtime packer. In caso positivo si tenta di decomprimerlo con routine statiche. In caso negativo si passa comunque al secondo passo.

2) Si può fare un'analisi dinamica per mezzo di una virtual machine, quali vmware o virtualPC per esempio, per analizzarne il comportamento. Ovviamente la VM deve essere attrezzata con gli strumenti per analizzarne i comportamenti. L'esecuzione del codice nocivo è altrettanto utile per poter fare il dump in memoria del file, in caso non si sia riusciti a decomprimerlo staticamente. Non sempre l'esecuzione su VM è possibile, in alcuni casi i malware cercano di controllare se stanno girando su una VM (per esempio funzione IsDebugPresent() ), allora terminano subito la loro esecuzione. Comunque ci sarebbe un papiro di roba da scrivere su questo argomento

3) Si può poi passare ad un'analisi statica. Ci si arma di disassembler, quale per esempio IDA, e di santa pazienza

Si analizzano per esempio anche le chiamate alle dll di sistema e le procedure utilizzate. Per il terzo punto ovviamente il file deve essere decompresso, altrimenti non si analizza un bel niente

Poi si rimettono un pò insieme i pezzi del puzzle e si vede cosa se ne ricava

Sono stato abbastanza esauriente?

(tra parentesi mi state mettendo abbastanza in imbarazzo

)

Ciao a tutti

Marco

eraser · 22-03-2006, 20:17

Il trojan è completamente riconosciuto per ora da:

- Kaspersky (e derivati ovviamente, tipo AVK o F-Secure)
- ViruScape
- Dr.Web (solo taskdir.dll)

astolfo63 · 22-03-2006, 20:47

Caro Eraser,hai mai pensato di scrivere un antivirus??

eraser · 22-03-2006, 23:56

eraser · 23-03-2006, 09:49

- Symantec
- Dr.Web
- Ewido

Evidenzio che la tecnologia TruPrevent di Panda aveva identificato sin dall'inizio i files come sospetti

juninho85 · 23-03-2006, 09:51

antivir ancora nulla?

tutmosi3 · 23-03-2006, 10:02

Ragazzi potreste passare i file infetti anche a me, così gli darò uno sguardo.

Contattatemi in privato così vi mando l'indirizzo dove spedire il malloppo.

Ciao e grazie

nV 25 · 23-03-2006, 10:11

Quote:

Originariamente inviato da wgator

...

bè... io uso Bart PE per "catturare" i virus senza fagli male

...altrimenti si sciupano

.....

FANTASTICO!

*

Quote:

Originariamente inviato da eraser

Dunque:
........

anche se immaginavo ( a grandi linee...) un analisi di questo tipo, permettimi un " ECCEZIONALE"

*

Assistere peraltro in tempo reale alla lotta è stato qualcosa di emozionante.

* avrei voluto mettere l'emoticons "applausi scroscianti" che xò non esiste qui su Hw...

tutmosi3 · 23-03-2006, 10:14

Quote:

Originariamente inviato da nV 25

* avrei voluto mettere l'emoticons "applausi scroscianti" che xò non esiste qui su Hw...

Se vuoi te la passo io.
Ciao

eraser · 23-03-2006, 15:09

- AVG

tutmosi3 · 23-03-2006, 15:14

Eraser, se ti mando la mia mail in PVT manderesti il file anche a me?
Ciao

eraser · 23-03-2006, 15:23

Quote:

Originariamente inviato da tutmosi3

Eraser, se ti mando la mia mail in PVT manderesti il file anche a me?
Ciao

io te lo mando pure, stacci attento però

quale file vuoi?

tutmosi3 · 23-03-2006, 15:47

Manda pure entrambi i file.
Stai tranquillo, faccio tutto tramite Debian.
Credo proprio di non essere contagiabile.
Ciao

Wip3out · 23-03-2006, 15:48

Quote:

Originariamente inviato da eraser

Evidenzio che la tecnologia TruPrevent di Panda aveva identificato sin dall'inizio i files come sospetti

Sarebbe stato interessante vedere se la Proactive Defense di KIS 6.0 avrebbe ottenuto lo stesso risultato, soprattutto alla luce della DDL Injection che avete rilevato...

eraser · 23-03-2006, 15:58

ps: siamo famosi

http://www.wilderssecurity.com/showthread.php?t=124925

eraser · 23-03-2006, 16:31

Quote:

Originariamente inviato da eraser

ps: siamo famosi

http://www.wilderssecurity.com/showthread.php?t=124925

ps: sorvolate sulle offerte di lavoro

22-03-2006, 17:51	#61
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	l'analisi che abbiamo fatto noi è stata praticamente confermata da F-Secure complimenti a tutti __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

22-03-2006, 17:53	#63
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	tutti quelli che hanno partecipato al thread PS: votatemi http://www.hwupgrade.it/forum/showth...4&page=1&pp=20 __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio :: Ultima modifica di eraser : 22-03-2006 alle 18:02.

22-03-2006, 19:16	#65
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	Dunque: in primis si controlla se il file sospetto è compresso con qualche runtime packer. In caso positivo si tenta di decomprimerlo con routine statiche. In caso negativo si passa comunque al secondo passo. 2) Si può fare un'analisi dinamica per mezzo di una virtual machine, quali vmware o virtualPC per esempio, per analizzarne il comportamento. Ovviamente la VM deve essere attrezzata con gli strumenti per analizzarne i comportamenti. L'esecuzione del codice nocivo è altrettanto utile per poter fare il dump in memoria del file, in caso non si sia riusciti a decomprimerlo staticamente. Non sempre l'esecuzione su VM è possibile, in alcuni casi i malware cercano di controllare se stanno girando su una VM (per esempio funzione IsDebugPresent() ), allora terminano subito la loro esecuzione. Comunque ci sarebbe un papiro di roba da scrivere su questo argomento 3) Si può poi passare ad un'analisi statica. Ci si arma di disassembler, quale per esempio IDA, e di santa pazienza Si analizzano per esempio anche le chiamate alle dll di sistema e le procedure utilizzate. Per il terzo punto ovviamente il file deve essere decompresso, altrimenti non si analizza un bel niente Poi si rimettono un pò insieme i pezzi del puzzle e si vede cosa se ne ricava Sono stato abbastanza esauriente? (tra parentesi mi state mettendo abbastanza in imbarazzo ) Ciao a tutti Marco __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

22-03-2006, 20:17	#66
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	Il trojan è completamente riconosciuto per ora da: - Kaspersky (e derivati ovviamente, tipo AVK o F-Secure) - ViruScape - Dr.Web (solo taskdir.dll) __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio :: Ultima modifica di eraser : 22-03-2006 alle 20:33.

22-03-2006, 23:56	#68
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	__________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

22-03-2006, 20:47	#67
astolfo63 Member Iscritto dal: May 2005 Città: Bologna Messaggi: 151	Caro Eraser,hai mai pensato di scrivere un antivirus??

23-03-2006, 09:49	#69
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	- Symantec - Dr.Web - Ewido Evidenzio che la tecnologia TruPrevent di Panda aveva identificato sin dall'inizio i files come sospetti __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

23-03-2006, 09:51	#70
juninho85 Bannato Iscritto dal: Mar 2004 Città: Galapagos Attenzione:utente flautolente,tienilo a mente Messaggi: 28983	antivir ancora nulla?

23-03-2006, 10:02	#71
tutmosi3 Senior Member Iscritto dal: Sep 2004 Città: Deir el-Bahari - Luxor Location desiderata: Nantucket (Maine - USA) Nome horo: Ka nekhet kha m uaset Messaggi: 23966	Ragazzi potreste passare i file infetti anche a me, così gli darò uno sguardo. Contattatemi in privato così vi mando l'indirizzo dove spedire il malloppo. Ciao e grazie __________________ Sorridi ... Sempre, anche quando le cose non vanno\|2 aprile 2005, ore 21:37 - Giovanni Paolo II vive NAS\|Quello su Libero e su Splinder, non sono io\|Test RAM

23-03-2006, 15:09	#74
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	- AVG __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

23-03-2006, 15:14	#75
tutmosi3 Senior Member Iscritto dal: Sep 2004 Città: Deir el-Bahari - Luxor Location desiderata: Nantucket (Maine - USA) Nome horo: Ka nekhet kha m uaset Messaggi: 23966	Eraser, se ti mando la mia mail in PVT manderesti il file anche a me? Ciao __________________ Sorridi ... Sempre, anche quando le cose non vanno\|2 aprile 2005, ore 21:37 - Giovanni Paolo II vive NAS\|Quello su Libero e su Splinder, non sono io\|Test RAM

23-03-2006, 15:47	#77
tutmosi3 Senior Member Iscritto dal: Sep 2004 Città: Deir el-Bahari - Luxor Location desiderata: Nantucket (Maine - USA) Nome horo: Ka nekhet kha m uaset Messaggi: 23966	Manda pure entrambi i file. Stai tranquillo, faccio tutto tramite Debian. Credo proprio di non essere contagiabile. Ciao __________________ Sorridi ... Sempre, anche quando le cose non vanno\|2 aprile 2005, ore 21:37 - Giovanni Paolo II vive NAS\|Quello su Libero e su Splinder, non sono io\|Test RAM

23-03-2006, 15:58	#79
eraser Senior Member Iscritto dal: Nov 2001 Città: Bastia Umbra (PG) Messaggi: 6395	ps: siamo famosi http://www.wilderssecurity.com/showthread.php?t=124925 __________________ :: Il miglior argomento contro la democrazia è una conversazione di cinque minuti con l'elettore medio ::

Strumenti
Mostra una versione stampabile Invia questa pagina per email