PDA

Просмотр полной версии : удаление вира


TruPAC
24.02.2008, 21:42
не могли бы вы помочь с удалением вируса?
у меня позавчера (23) было день рождение и кто то дорвался до компа. естественно в пьяном виде и в папку "вирусы" ну и конечно же виртуальная машина была изобретена не для них.

вообщем: кто может помочь с исследованием данных фалов? я не уверен в своих силах, посему прошу не кидать в этой проблеме - фаервол настроен только на пропуска на трафика на ачат и на гугль с несколькими исключениями, что очень неприятно.

вообщем все что на пока удалось накопать - это то что вирус заражает только не пакованные файлы (увы тут проверить сейчас просто не могу просто по памяти прикинул что примерно из программ у меня не пакованно), создает в папке содержащей текущие зараженное приложение файл с таким же именем и расширением *.exe.exe, также создает в папке windows файл с именем Logo1_.exe и иконкой последнего зараженного файла, ломиться в адресное пространство explorer.exe, завершает незараженные "крекерские" процессы peid, DeDE, cff, etc (ольку просто заражает xD) пишется в автозагрузку, ..., вообщем список можно продолжать но не буду.

ссылки найденные на viruslist.com
http://www.viruslist.com/ru/viruses/encyclopedia?virusid=69620
http://www.viruslist.com/ru/viruses/encyclopedia?virusid=73406
http://www.viruslist.com/ru/viruses/encyclopedia?virusid=151648
по описанию действий больше похож на последний, но действует скорее как второй. я думаю возможно в данном случае я имею дело с конструктором. конечно я могу ошибаться но не обессуйте.

вот собственно и сама просьба:
не могли бы вы подсказать мне адрес перехода на код вируса в зараженном приложении и ключи автозагрузки? ну и еще как можно написать утилку которая рекурсивно перебирает зараженные файлики на харде в поисках вира и занопливает джампы на его код? ))

ссылка на файл с вирусом (зараженный файл, сгенерированный файл, и Logo1_.exe)
http://atomx.ru/5482220 (доступен до 2008-03-25, вес пол метра (извиняюсь что не нашел меньше))

xxChaoSxx
25.02.2008, 00:04
я что ты написал не читал но может попробуй отослать в лабораторию к касперскому пусть он с ним чёнить сделает а потом обновлятся базы и всё будт ок (^^)

TruPAC
25.02.2008, 00:18
мдя, товарищ!

если бы вы не поленились пройти по ссылке, то бы вы увидели что на viruslist стоят копирайты касперского!

и вообще ставить антивирь, качество которого очень сомнительно, себе на комп я не спешу. к тому же, метод лечения там - это простое удаление ВСЕГО что не понравилось, а зараженного как я думаю, у меня не мало, от чего мне потом еще долго и тупо все придеться переставлять.

ProTeuS
26.02.2008, 18:27
по твоему описанию, обы4ный Hllw-вирус.
зарази им дефолтный калькулятор или блокнот винды и выкладывай сюда, поглядим и по возможности сделаем парсер-ле4илку, имея пару оригинальных файлов и заинфек4еных вирем можно сделать вывод об алго заражения и сделать реверс-алгоритм для ле4ения

gold-goblin
27.02.2008, 00:16
Если есть описание на вирус лис и копирайты каспера то паставь касперского...
А так сделай как сказал ProTeuS.
Для определения от куда он грузится можно попробывать прогу AScontrol она показывает очень много мест авто загрузки и что от туда грузится.

Lamia
27.02.2008, 03:12
Те важно самому разобраться на будущие в этой проблеме!
Делай как сказал ProTeuS,впоследствии когда столкнёшся с нечьто подобным,будеш
знать что делать,если конечьно разьберёшся на примерах,что те предоставит ProTeuS.
А вообще делай бекап системы,или те файлы,что заражены не имеют аналогов?

0x0c0de
27.02.2008, 12:58
ТС: выложите экзе блокнота/калькулятора зараженное. или же зараженное и с оригиналом. когда вам точно известно что это оригинал. *если этот вопрос вас еще волнует

Midas
27.02.2008, 14:21
блин, я непонимию, почему нельзя обойтись антивирусом? Тем же самым каспером. Почему бы и нет?
и вообще ставить антивирь, качество которого очень сомнительно, себе на комп я не спешуА что тогда хорошего качества? Чем он тебе не нравится?
метод лечения там - это простое удаление ВСЕГО что не понравилосьполный бред.

Lamia
27.02.2008, 22:40
Да он всем млин не нравится!И вы до сих пор всё надеетесь на антервери?А хорошего качества могут быть только руки!

TruPAC
28.02.2008, 01:24
2 proteus:

сделаю это несколько попозже на vm (думаю через денек), так как я пока обхожусь тем что собрал все что заражено dr.web'ом в одну папку, отсеял все лишние оставив только exe и переправил все ep.

2 midas

если мои слова бред, то как тогда он лечит? (думаю мне не приснилось наблюдать это у моего друга - он тупо удалял все что по его мнению было заражено этим же самым виром)

2 lamia

бекап есть. уже научен горьким опытом. просто как я могу посмотреть вам в глаза если не справился с какойто мелко живностью и общаться с вами на форуме? xD

ps
а почему так долго тянули с ответом?

ProTeuS
28.02.2008, 12:09
ps
а почему так долго тянули с ответом?

ты бы сам лу4ше появлялся в открытую собой же тему по4аще, 4ем раз в 3 дня...

TruPAC
28.02.2008, 14:12
ну почему же?

первые сутки я тут почти безвылазно сидел. а ответил мне только один человек и то поленившись прочесть то что я написал.

TruPAC
29.02.2008, 14:18
вот ссылочка на зараженный блокнот (100 кубов)
http://atomx.ru/5544943

а вот сам вирус без примбамбасов (чуть меньше чем 40)
http://atomx.ru/5545016

execom
29.02.2008, 21:21
чистый Hllp - лечить его лёгко))) находишь конец вируса.. после него до конца файла идёт неизменённый файл))) в общем, лечилку могу написать как два пальца об асфальт...

TruPAC
29.02.2008, 21:45
буду жутко благодарен как и за лечилку, так и за пример того как это делается!

ProTeuS
29.02.2008, 22:23
нужно отрезать первые 33.949 байт у инфицированного файла, пофиксить заголовок, коли4есво секций етц. и самое важное - найти оригинальную (потертую вирем) то4ку входа, к которй должен быть переходник после отработки упаковщика виря. если будет время завтра мож гляну стаб и мож напишу генерился если будет актуально...

TruPAC
29.02.2008, 23:34
будет

execom
01.03.2008, 00:32
нужно отрезать первые 33.949 байт у инфицированного файла, пофиксить заголовок, коли4есво секций етц. и самое важное - найти оригинальную (потертую вирем) то4ку входа, к которй должен быть переходник после отработки упаковщика виря. если будет время завтра мож гляну стаб и мож напишу генерился если будет актуально..Зверь оказался ещё тупей.. Он не меняет точку входа у жертвы, он просто пишет жертву в конец, а себе ставит её первую иконку, т.о. размер виря может немного меняться (в зависимости от иконки).. короче проще всего всего делать так:
1) ищем все ехе
2) расшариваем их на предмет сигнатуры конца виря.. (она всегда одинакоавая..)
3)если находим.. копируем с текущей позиции весь оставшийся файл в буфер, далее обнуляем файл и пишем в новый файл содержимое буфера,
4)вот и всё лечение...

gold-goblin
01.03.2008, 01:22
Скачал я твой блокнот и каспер его запалил как Worm.Win32/Viking.bb
описание есть только для викинга а оно тут http://www.viruslist.com/ru/viruses/encyclopedia?virusid=73406
Тест заразил 9 файлов
Касперский 7 с последними базами их выличил без проблем =) так что не надо говарить что антивирусы только удолять умеют. =)

execom
01.03.2008, 01:41
Скачал я твой блокнот и каспер его запалил как Worm.Win32/Viking.bb
описание есть только для викинга а оно тут http://www.viruslist.com/ru/viruses/encyclopedia?virusid=73406
Тест заразил 9 файлов
Касперский 7 с последними базами их выличил без проблем =) так что не надо говарить что антивирусы только удолять умеют. =)
Гы.. Невероятный тебе респект)).. Я уже начал писать антивирь)) Хорошо что ты остановил)) Но вообще каспер действительно умеет лечить делеко не все файловые вири.. такие тупые как этот конечно запросто, а вот что-то сложней (например вирусы моего генератора вирусов - GVDG), он предлагает удалить)) Так это не самое смешное.. Как-то я чисто в обучающих целях нашкрябал простенький вирус, руганью в адрес каспера "подбил" их добавить вирус в базы, как излечимый.. После этого я упаковал вирус UPX-ом, попробывал заразить и вылечить.. Вышло имено то чего я и ожидал.. каспер, канечно же определил вирус упаканый upx-ом, радостно предложил лечить)) (наивный албанец).. Благополучно сообщил мне что лечение прошло просто супер)) КОРОЧЕ КАСПЕР ОТРЕЗАЛ ОТ НЕСЧАСТНЫХ ЖЕРТВ ИЗ НАЧАЛА КУСОК РАЗМЕРОМ РАВНЫМ РАЗНИЦЕ МЕЖДУ НЕПАКАНЫМ И ПАКАНЫМ ВИРЁМ - ТЕМ САМЫМ СДЕЛАВ ФАЙЛЫ, ДАЖЕ ТЕОРЕТИЧЕСКИ НЕИЗЛЕЧИМЫМИ))) Вот такой вот каспер - злобный умнеГ))

TruPAC
01.03.2008, 04:26
эм! мне что касперского реверсить?! пожалуйста, продолжай - не могу дождаться перехода от теории к практике! да и касперский как было замечено... ))

ProTeuS
01.03.2008, 12:43
TruPAC, держи свою ле4илку
http://prot.someshit.net/viking.rar
проверил на присланых тобой файлах - работает, проверяй, если 4то надо будет-подправлю

TruPAC
01.03.2008, 13:22
спасибо! несколько огорчает дельфи, но думаю разберусь.

LEE_ROY
01.03.2008, 13:56
спасибо! несколько огорчает дельфи, но думаю разберусь.
тебе то какая разница делфи или спп ? там всеравно EXE скомпиленный. ;)

TruPAC
01.03.2008, 19:57
разница большая - 300 000 байт кода.

ProTeuS
01.03.2008, 20:21
бинарь 160кб, это раз
ты не малварь юзаешь, 4тобы тут играли роль каждые полкилобайта(там где юзаешь локально бинарь на сменном носителе, размер теряет смысл), это два
если убедишь в обратном, можно хоть в килобайт вместиться...

LEE_ROY
01.03.2008, 20:23
разница большая - 300 000 байт кода.
бугага, а это тут причем? :eek: ты 3 раза открыв этот топик потратил больше трафа, или ты выепнутся решил? так давай подискусируем на эту тему. ;)

LEE_ROY
01.03.2008, 20:25
хочеш я тебе на осенблере сконпелирую в 301 000 байт, и ты что ты скажеш тогда?:d

ProTeuS
01.03.2008, 20:38
http://prot.someshit.net/viking_console.rar
20Кб. путь к файлу указывать как аргумент консольного приложения. если еще покажется 4то мало, сорцы в зубы-ковырять, портить на асм, оптимизировать, пока код не станет занимать ~0байт

execom
01.03.2008, 22:15
...несколько огорчает дельфи, но думаю разберусь.Дарёному коню в зубы не смотрят (народная поговорка).. Равно как и не критикуют его конюшню(моё примечание по поводу Delphi)))))

TruPAC
02.03.2008, 02:15
LEE_ROY

ни как немогу в толк взять смысл фразы про три открытия и выпендриваться. но это придирки, а если серьезно то всегда пожалуйста! и кстати мне хотелось бы посмотреть на ассемблерный модуль который содержит 301кб полезного кода, если вас не затруднит! (именно полезного! xD)

ProTeuS

бинарь в не сжатом виде весит ~430 кубов. это раз. мной всегда двигала мания мериться писками и потому я с приплюснутого перешел на асму из за 4 килобайт стартапа, так что, думаю, столь радикально настроенного меня переубеждать - сизифов труд. это два. также меня мучает предубеждение что дельфи это презренная ide которую, кстати, большинство программистов величают за язык программирования, когда как компилятором является object pascal а delphi всего лиш название ide. таже у меня обнаруживается нервный тик при виде обилия бесполезного кода - мне по неопытности приходилось ставить бряки на код каких то функций в крекмисе которые не срабатывали ни разу за все исследования этого самого крякмиса и тем ни мение были в него включены. это три. и как итог выше написанному - дельфи было и будет хорошей идей с плохой реализацией - новичкам может быть и удобно рисовать окошки и писать свои "алгоритмы" скопированные с кнута в лучшем случае, но при запуске 100 программок написанных в дельфях и выводящих мне мой ип у меня начинаются беспросветные тормоза, чего не происходит при при том же количестве программ написанных на асме.
теперь же что бы вам не пришло в голову что я пытаюсь умалить ваши старанья скажу что этот вариант меня устраивает как нельзя больше - теперь мне можно смело писать батник.

execom

на каждую поговорку есть свой ответ - вот к примеру коня можно подарить такого, который будет медвежий услугой. )) (что для меня и есть прога написанная в дельфях. ProTeuS только не примите за оскорбление, просто эта ide вызывает у меня самые неприятные ассоциации)

спасибо всем кто принял участие в обсуждении. ProTeuS'у спасибо уже второй раз.
если кто то считает себя оскорбленным прошу в приват так как тему считаю закрытой.

ps
сейчас просмотрел ваш исходник - он меня удивил по меньшей мере. беру свои слова назад.

ProTeuS
02.03.2008, 12:56
вирь изу4ен, ле4илка в 20Кб кодом написана, ТС платим шекель и полу4аем 4истый асм. код или оставляем понты и свои "пожелания и умозаклю4ения" при себе и радуемся 4то тебе выделили 4ас своего драгоценного времени, который можно было провести с большей пользой для себя

тема ис4ерпана. закрыто