Paczki, malware, złośliwe pliki, linki itp.

[Barti18]

Już czas. Witam styczniowo.

Treść widoczna jedynie dla zarejestrowanych użytkowników

Prawdopodobnie witryny oszukańcze.

1.Opera blokuje
2.Opera blokuje

[Bergo]

Już czas. Witam styczniowo.

Treść widoczna jedynie dla zarejestrowanych użytkowników

Prawdopodobnie witryny oszukańcze.

Gdata: Blocked!

[jasiekkidawa]

Już czas. Witam styczniowo.

Treść widoczna jedynie dla zarejestrowanych użytkowników

Prawdopodobnie witryny oszukańcze.

KIS blokuje obydwie witryny

[tomatto007]

477 files - Identified as malicious on VT

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Waves]

Jest już nowa paczka w nowym temacie, więc rok 2012 uznaję za zamknięty

[tommyklab]

477 files - Identified as malicious on VT

Kaspersky 391/477 (82%)

[myciu1974]

477 files - Identified as malicious on VT

Treść widoczna jedynie dla zarejestrowanych użytkowników

Emsi 428/477 (89,72%)

---

Dodano: 01 sty 2013, 15:22

HitmanPro 436/477 (91,4%)

---

Dodano: 01 sty 2013, 15:32

MBAM 353/477 (74%)

[gr83]

477 files - Identified as malicious on VT

TP2013
430/477 (90,14%) (chyba pierwszy raz silnik AVG ma większą detekcję niż Bitdefendera )

[rostek6]

477 files - Identified as malicious on VT

Treść widoczna jedynie dla zarejestrowanych użytkowników

CIS 5.12
403/477 (84,49%)

[Barti18]

477 files - Identified as malicious on VT

Eset 405/477 84,9%

[Flash999]

avast! Free 228/477 (47,8 %)

[Street]

Cieniusio avast!

[spywar]

Comodo 6 + cloud : 409/477 (85.7%)
samples sent to lab.

[tachion]

Rootkit Necurs

Zakraplacz

[Aby zobaczyć linki, zarejestruj się tutaj]

Rootkit

[Aby zobaczyć linki, zarejestruj się tutaj]

Trochę o nim <!-- s--> <!-- s-->

Rootkit necurs to malware który zainfekował już około 83.000 maszyn i jest dostarczany przez Black Hole Exploit Kit.
Necurs jest rootkitem bardzo niebezpiecznym,który potrafi ukrywać swoje składniki przed wykryciem jak i dezaktywować około 30 programów zabezpieczających.
Posiada również funkcjonalność backdoora umożliwiając zdalny dostęp i kontrolę nad zainfekowanym komputerem co za tym idzie ściągać dodatkowe złośliwe oprogramowanie monitorować aktywność wysyłania spamu lub instalowanie scareware.
Klucz necurs umozliwia uniknięcie wykrycia go przed różnymi programami i jest regularnie aktualizowany nawet jak zostaną wykryte w nim bugi autor jest w stanie zdalnie go załatać.
Rootkit zapewnia sobie najwcześniejszy start w systemie (Jest przed programami av i sterownikami systemowymi)

Lista zapobiegania pracy AV

[Aby zobaczyć linki, zarejestruj się tutaj]

Lista zapobiegania pracy różnych sterowników

[Aby zobaczyć linki, zarejestruj się tutaj]

Obraz sterownika zaszyfowanego

[Aby zobaczyć linki, zarejestruj się tutaj]

Obraz sterownika odszyfrowanego

[Aby zobaczyć linki, zarejestruj się tutaj]

Wykonanie
Created process: (null),"C:\Windows\system32\netsh.exe" advfirewall firewall set rule name="Core Networking - System IP Core" dir=in new action=allow enable=yes profile=any,(null)
Created process: (null),"C:\Windows\system32\netsh.exe" advfirewall firewall set rule name="Core Networking - System IP Core" dir=out new action=allow enable=yes profile=any,(null)
Created process: (null),cmd.exe /C del /Q /F "C:\Users\tachion\AppData\Local\Temp\cc990808.tmp",(null)
Defined file type created in Windows folder: C:\Windows\Installer\{DF9D2925-E731-8FB6-D68E-4CEFB6641CED}\syshost.exe
Defined file type created in Windows folder: C:\Windows\System32\drivers\16d2707.sys
Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\16d2707\DisplayName = syshost.exe

Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\16d2707\ImagePath = C:\Windows\system32\drivers\16d2707.sys

Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\16d2707\Start = 00000001
Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\16d2707\Type = 00000001

Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\syshost32\ImagePath = "C:\Windows\Installer\{DF9D2925-E731-8FB6-D68E-4CEFB6641CED}\syshost.exe" /service

Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\syshost32\Start = 00000002
Defined registry AutoStart location created or modified: machine\System\CurrentControlSet\Services\syshost32\Type = 00000010

Encrypted data
File copied itself
File deleted itself
Got system default language ID
C:\Windows\Installer\{DF9D2925-E731-8FB6-D68E-4CEFB6641CED}\syshost.exe Connects to "217.172.178.104" on port 80 (TCP - HTTP)

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Street]

Niezłe ziółko

[PascalHP]

Testy wrą, zobaczymy jak poradzą sobie popularne pakiety behawioralnie z tym zagrożeniem.

[tachion]

21 FakeAV - System Protection Progressive
Większość nie widziana jeszcze przez VT

Treść widoczna jedynie dla zarejestrowanych użytkowników

[Street]

Testy wrą, zobaczymy jak poradzą sobie popularne pakiety behawioralnie z tym zagrożeniem.

Bardzo dobry pomysł !

[malwarepanda]

Treść widoczna jedynie dla zarejestrowanych użytkowników

Avast 1/ 2
Malware Send to lab.

Kaspersky2013
1/2
syshost.exe - Trojan-Dropper.Win32.Necurs.bni
Malware Send to lab.

Emsisoft Anti Malware 7(B) 1/ 2
Malware Send to lab.

[PascalHP]

Testy wrą, zobaczymy jak poradzą sobie popularne pakiety behawioralnie z tym zagrożeniem.

Bardzo dobry pomysł !

Zdradzę tylko, że na razie 1:2 dla zagrożenia.