打印

[討論] ESET簡短分析"Rustock.C"

integear

KEIKA

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 4699
精華: 4
威望: 27158
黃金: 10557
來自: 台灣ㄟ"彰化"
註冊時間: 2006-12-23

1^# 大中小發表於 2008-6-16 16:49 只看該作者

ESET簡短分析"Rustock.C"

之前Dr.Web大肆宣傳他們能夠偵測傳說中的Rootkit:"Rustock.C"

.

最近在Sunbelt的Blog上也看到了相關分析.6/10,ESET也在Blog中發布了該威脅的簡短分析

.

ESET說這隻威脅被說成是很難處理的一個程式,但事實上它所用的技術相當普通:
encryption
compression
imports rebuilding
relocations handling
anti-debug tricks

其中包含了我們常說的:加殼和加花,兩種免殺技術(該威脅還有使用加密技術)

.

猜測Dr.Web可能釋出(或是"售出")該威脅的樣本,否則在這麼短的時間內ESET和Sunbelt不太可能取得

.

不過在ESET的更新清單中,就已經更新過50次Rustock的變種,或許只是被Dr.Web"謠言"化而已

.

ESET簡短分析報告,可參考:http://www.eset.com/threat-center/blog/?p=127

[ 本帖最後由 integear 於 2008-6-16 16:54 編輯 ]

在下的Blog開寫啦,最新文章:安全廠商所該思考的問題.歡迎大家來共同討論喔！

TOP

andy

金牌會員

Rank: 6 Rank: 6

帖子: 1257
精華: 0
威望: 5282
黃金: 17428
註冊時間: 2007-2-15

2^# 大中小發表於 2008-6-16 17:49 只看該作者

Rustock.C – Unpacking a Nested Doll
http://blog.threatexpert.com/200 ... ng-nested-doll.html

Sunday, May 18, 2008

本帖最近評分記錄

integear 威望 +30 有你真好 2008-6-16 20:40
integear 黃金 +35 有你真好 2008-6-16 20:40

Best regards,
andy :)

TOP

said411f

小羊羊

金牌會員

Rank: 6 Rank: 6

無良水電

帖子: 824
精華: 0
威望: 5566
黃金: 132
註冊時間: 2007-9-16

3^# 大中小發表於 2008-6-16 19:44 只看該作者

偶去抓了一個Rustock.C BootKit 感染Ntdlr的ROOTKIT样本.....
不知道是不是傳說中的Rootkit:"Rustock.C"

附件: 您所在的用戶組無法下載或查看附件

TOP

wsc47621

Intel Core i7 處理器

金牌會員

Rank: 6 Rank: 6

帖子: 802
精華: 0
威望: 7161
黃金: 4367
來自: 超頻者天堂
註冊時間: 2007-3-16

4^# 大中小發表於 2008-6-16 20:28 只看該作者

C:\Documents and Settings\Administrator\桌面\111.rar > RAR > 111.sys - Win32/Rustock.NEW 木馬
好像是其中一種吧!?

2008年1月新番十字架與吸血鬼
手滑了...Orz
PS:有機會在製作殺必死版的簽名檔

TOP

proll

Administrator

Rank: 9 Rank: 9 Rank: 9

帖子: 1561
精華: 4
威望: 13498
黃金: 649
註冊時間: 2006-12-22

5^# 大中小發表於 2008-6-16 20:34 只看該作者

前幾天還在樣本區見到了這個KILLAV.IA

歡迎瀏覽我的Blog

TOP

integear

KEIKA

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 4699
精華: 4
威望: 27158
黃金: 10557
來自: 台灣ㄟ"彰化"
註冊時間: 2006-12-23

6^# 大中小發表於 2008-6-16 20:38 只看該作者

引用:

原帖由 wsc47621 於 2008-6-16 20:28 發表
C:\Documents and Settings\Administrator\桌面\111.rar > RAR > 111.sys - Win32/Rustock.NEW 木馬
好像是其中一種吧!?

ESET更新"Rustock"變種,最新一次是在2945(20080313):"Win32/Rustock.NDV".猜測應該就是這隻

.

在下的Blog開寫啦,最新文章:安全廠商所該思考的問題.歡迎大家來共同討論喔！

TOP

recollection904

The Rock

中級會員

Rank: 3 Rank: 3

帖子: 28
精華: 0
威望: 394
黃金: 30
來自: 台灣
註冊時間: 2008-6-14

7^# 大中小發表於 2008-6-21 20:43 只看該作者

F-Secure Client Security 7.10:

Virus.Win32.Rustock.a
C:\Users\USER\Desktop\111.rar\111.sys

Ζ╭═∩═∩═╮zｚZΖ︻︻
·z∥ (－﹏－) ∥▂▂︴◣◢
\╭═●═══●═╮▄︻═—．‧碰

TOP

home81

金牌會員

Rank: 6 Rank: 6

帖子: 532
精華: 0
威望: 4620
黃金: 1759
來自: 香港
註冊時間: 2008-3-23

8^# 大中小發表於 2008-6-22 05:46 只看該作者

Kaspersky Internet Security 7.0.1.325版
偵測
病毒 Virus.Win32.Rustock.a

TOP

charles1394

高級會員

Rank: 4

帖子: 171
精華: 0
威望: 912
黃金: 977
來自: 台灣
註冊時間: 2007-12-17

9^# 大中小發表於 2008-7-4 09:28 只看該作者

看來是Rustock.A啊，和Rustock.C應該有不同點吧？

據說Rustock.C從釋出到被發現，經過了一年多，可能有許多電腦中槍了。

上面樣本小紅傘偵測：TR/Rootkit.Gen

測試軟體粉好玩

TOP

integear

KEIKA

Moderator

Rank: 7 Rank: 7 Rank: 7

帖子: 4699
精華: 4
威望: 27158
黃金: 10557
來自: 台灣ㄟ"彰化"
註冊時間: 2006-12-23

10^# 大中小發表於 2008-7-4 09:43 只看該作者

引用:

原帖由 charles1394 於 2008-7-4 09:28 發表
看來是Rustock.A啊，和Rustock.C應該有不同點吧？
據說Rustock.C從釋出到被發現，經過了一年多，可能有許多電腦中槍了。

上面樣本小紅傘偵測：TR/Rootkit.Gen

恩恩,Dr.Web說它已經在網路上流傳很久了,但是為何會突然抓到,不知道

.

在下的Blog開寫啦,最新文章:安全廠商所該思考的問題.歡迎大家來共同討論喔！

TOP

a7656133

中級會員

Rank: 3 Rank: 3

帖子: 12
精華: 0
威望: 156
黃金: -41
註冊時間: 2008-2-10

11^# 大中小發表於 2008-7-20 22:39 只看該作者

卡8 434版點附件下載就被抓了@

TOP

帶您瞭解卡巴斯基2009防禦體系	還有大廠在使用檔案大小判毒	KIS 2009 評測	GDATA 2009中文化簡評
使用過一些防毒軟體之後的心得	Comodo Internet Security Beta	GDATA 2009 行為監控簡評	敢相信掃毒軟體和VT嗎?