Тестовый malware
Stas Degteff
������, All!
��������� ����� ����� � ���� ���� ������ ��������� "���������� ��" ��� ��������
�� ��-���������.
��� �� �������, �� ������ ������ ������� ��� windows ����� �� 3 ������ ��
������� (� ���������� � �� �� ��������, � ޣ� �����).
��� � �������, ��� ��� ����� ������� ����� ����� ����� "� �������" PoC-���
������� ��� windows, ����� ��� ���������� ���������� ������ ������ ���
�������������� � �������� � ��.
����� �� ������, ��� ����� �������. ��, ��� ������ ������ "� ����� ����"
��������� �����, ��� ��� �������� ������� �����.
Stas Degteff
Eugene Grosbein
SD> Hекоторое время назад у меня была задача подобрать "зловредное ПО" для
SD> конкурса
SD> на ИТ-фестивале.
SD> Как ни странно, ни одного живого руткита для windows найти за 3 недели не
SD> удалось (а специально я их не сохранял, о чём жалею).
SD> Вот и подумал, что для таких случаев имеет смысл иметь "в заначке" PoC-код
SD> руткита для windows, чтобы при подготовке конкурсной задачи слегка его
SD> модифицировать и внедрить в ОС.
SD> Опять же вопрос, где взять образец. То, что сейчас гуляет "в диком виде"
SD> настолько убого, что для конкурса слишком мелко.
Зато дешево, надежно и практично (c)
Eugene
--
With sufficient thrust, pigs fly just fine. However, this is not necessarily
a good idea. It is hard to be sure where they are going to land, and it could
be dangerous sitting under them as they fly overhead.
3rd Fundamental Truth of Networking (RFC1925)
Stas Degteff
28 Jan 11 14:11, you wrote to me:
SD>> ��, ��� ������ ������ "� ����� ����" ��������� �����,
SD>> ��� ��� �������� ������� �����.
EG> ���� ������, ������� � ��������� (c)
� �������������� �� ������� �� 5 �����, ��������� :)
�� ��� ���� (-+�����������) �������� � �������� ������ ���� ������, �������
������������� � ������. ����� �����������, ��� �� ��� ���������� ��� ���
�������, ��� ������ ����� ����� ���������� ����� �������, � �� �����������.
Stas
Jabber-ID: grum...@grumbler.org
GPG key 0x72186DB9 (keyserver: hkp://wwwkeys.eu.pgp.net)
Eugene Grosbein
SD>>> То, что сейчас гуляет "в диком виде" настолько убого,
SD>>> что для конкурса слишком мелко.
EG>> Зато дешево, надежно и практично (c)
SD> И выковыривается из системы за 5 минут, буквально :)
Hет, абсолютное большинство не выковыряет рядовой троян
ни за 5 минут, ни за 15, а остальные роли не играют.
SD> За три года (-+ежемесячной) практики я встретил только один руткит,
SD> который
SD> выковыривался с трудом. Такое впечатление, что он был специально для них
SD> написан, вот только зачем СОБЕС взламывать таким образом, я не
SD> представляю.
Eugene
--
Трудно быть смертным.
Stas Degteff
28 Jan 11 18:54, you wrote to me:
SD>>>> ��, ��� ������ ������ "� ����� ����" ��������� �����,
SD>>>> ��� ��� �������� ������� �����.
EG>>> ���� ������, ������� � ��������� (c)
SD>> � �������������� �� ������� �� 5 �����, ��������� :)
EG> H��, ���������� ����������� �� ���������� ������� �����
EG> �� �� 5 �����, �� �� 15, � ��������� ���� �� ������.
���������� ����������� == "���������������� �����������" + ����������� � ������
��������
� � ��� ���� �������. :)
�� �ݣ �������, ������� � ���� ��������, ������������ �� � �������� ����, ���
���� :)
Yuriy Saloid
Hi *Stas*!
SD> екоторое время назад у меня была задача подобрать "зловредное ПО" для
SD> конкурса на ИТ-фестивале
SD> Как ни странно, ни одного живого руткита для windows найти за 3 недели
SD> не удалось (а специально я их не сохранял, о чём жалею)
А я сохранял :)
SD> Опять же вопрос, где взять образец. То, что сейчас гуляет "в диком виде"
SD> настолько убого, что для конкурса слишком мелко
Тут пару недель тому я удачно зашел из голой ХР через мобильного оператора
- и как всегда в самый подходящий момент - его как-раз колбасило, да так,
что в справке по поводу доступа в сеть очередь была, до полуночи.
Hу а сразу после полуночи и мне червячок достался, добро еще, что следил
за показаниями счетчика трафика, отрубился сразу.
Hу, руками если знаешь где, то и правда через пять минут находишь что :)
Хотя по лени и недостатку времени он мне еще неделю мозги периодически
компостировал.
Вот, разобрался вроде окончательно, могу выслать если надо, пиши в мыло
- куда.
Только это и правда дичь та еще, судя по списку отрубленных в реестре
файрволлов, написано третьекурсником-второгодником, да еще и года три
тому. Просто в моей подсети много старья гуляет. Так много, что иной
раз я думаю - может это не из-за погоды вышка порой недоступна бывает,
а провайдер сам ее отрубает иной раз на ночь :)
У нас тут все-таки деревня, и электрики например чтоб отловить кто
ворует свет с целью погреться нахаляву, просто отрубают его, а потом
отправляются на машине с мощным фонарем по линии и ищут наброску...
Always yours Yuriy