crc32 wrote:

Tin buồn cho stl là AVAST! cũng vừa mới chộp cổ mớ malwares trong iTunes.rar. 

Nó chộp iTunesHelper.exe từ sáng sớm hôm qua (30-8-2011), khi tôi thử nghiệm lai quá trình DDoS vào mục tiêu.
Bây giờ muốn thử nghiệm một số bot-DDoS tool của STL phải "chiều" chúng như "chiều vong". Phải disable Antivir guard, có lúc phải disable cả Avira, hạ hết Firewall, cẩn thận disable cả McAfee on-access scan, disable cả các chương trình dự đoán có thể conflict với nó....để STL bot có thể nhiễm được vào máy của mình. Hì hì

TQN wrote:

http://analysis.avira.com/samples/details.php?uniqueid=KcAZAjtnOS4VD6kgfsrWYGchX1gq6Lvn
Kể ra up cũng khá nhiều, và hầu hết đã bị Avira chụp hết, ngay cả cái IAStor cũng đã được đưa vào danh sách.
Avira số 1, KAV+MS số 2. Bỏ công sức ra viết mail cũng đáng. 

crc32 wrote:

Tin buồn cho stl là AVAST! cũng vừa mới chộp cổ mớ malwares trong iTunes.rar. 

Cho đến sáng nay (31.8.2011-9.00AM) Avira vẫn chưa detect đươc các files trong "IAStore_26_08_2011.zip" (gồm 5 file .dll và 1 file .exe sau khi extracted) là virus, TQN ạ!

 

PS: Ngày hôm qua tình cờ đọc một bài viết của đám 29A public trên mạng, tụi nó đã có thể extract digital signature từ 1 file sạch và ghép vào 1 file malware của tụi nó. Thằng Nga này còn cung cấp source C + exe luôn.
Bởi vậy, không tin cái gì được cả. Thời buổi đão lộn ! 

Em tưởng mấy tool verify digital signature nó phải checksum cả image nữa chứ nhỉ, chứ kiểm tra mỗi cái phần thẻ digital sig không thì dính đòn cũng phải. 

D = Digest[M, K]

Không em, tụi virus writer sau khi compile, build ra file virus, malware thì sẽ dùng tool đó để attach good digital signature vào file virus, malware, không cần chính virus, malware đó được run. 

Vừa thấy comodo báo trong máy có thằng iastordatamgrsvc.exe connect tới ip 119.153.92.110 . Đây có phải malware đã nêu không ạ ? Có cần mình upload lên không ? Cám ơn! 

Sherlockok wrote:

Vừa thấy comodo báo trong máy có thằng iastordatamgrsvc.exe connect tới ip 119.153.92.110 . Đây có phải malware đã nêu không ạ ? Có cần mình upload lên không ? Cám ơn! 

Virus chắc chắn đó bạn ơi, IP kia ở tận PESHAWAR, PAKISTAN.
Bạn cứ upload file lên đi. 

Đây là chuyện nhức nhối và đây là chuyện cần phải thay đổi tận gốc. Như em đã có lần nhận xét rằng, những vết thương ung mủ không chịu chữa trị thì dần dần sẽ dẫn đến hoại thư cho cả một cơ thể là vậy. Bịnh thành tích là hội chứng của sự mặc cảm, sự sợ hãi sự thật và thói quen che đậy. Những căn bịnh này dần dần sẽ huỷ hoại sự thật, huỷ hoại đức tính trung thực, huỷ hoại lòng dũng cảm đối diện với thiếu sót để thay đổi và phát triển. Đây không phải là chuyện đùa nữa rồi. 

Điều này lằm tôi rất buồn . Làm thế nào mà thay đổi tận gốc được đây . Không nhẽ bảo tôi tự chặt chân mình đi à ? Cái điều tôi sợ nhất là phải nhổ cái cây ấy đi và trồng cây khác . Lại đau đầu . 

Anh bozalno_1989 xem hộ em log này với, em đã scan theo hướng dẫn của anh.

http://www.mediafire.com/?l34farrkbldu7av 

Sáng nay ghost lại bản ghost win XP để test thử thì thấy AV báo phát hiện:

file:G:\WINDOWS\GoogleCrashHandler.exe
Trojan:Win32/Sisron
từ trước đến giờ vẫn dùng bản ghost này mà ko thấy báo, hoá ra nó nằm ở trong bản ghót này lâu ròi 

Iwwaty wrote:

Anh bozalno_1989 xem hộ em log này với, em đã scan theo hướng dẫn của anh.

http://www.mediafire.com/?l34farrkbldu7av 

Nhìn vô là thấy ngay mấy ông này:
"C:\Program Files (x86)\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe"
c:\windows\system32\themeservice.dll
c:\windows\system32\drivers\netaapl64.sys
c:\program files (x86)\ati technologies\ati.ace\core-static\atiacm64.dll
c:\program files\common files\ati technologies\multimedia\atimpenc64.dll


Bồ upload mấy ông này lên xem sao? 

IAStorCommon.dll,
IAStorDataMgr.dll,
IAStorUIHelper.dll,
iTunesHelper-tray.exe_,
SmartPin.dll,
SysInftLib.dll

No malicious code were found in these files.

IAStorDataMgrSvc.exe- Trojan-Downloader.Win32.Agent.tbhb

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

ituneshelper.exe_ - Trojan.Win32.Diple.acxu
k113.css - Backdoor.Win32.Agent.bqwm

.......................
.......................

Regards, Dmitry Kirsanov
Virus Analyst, Kaspersky Lab.
 

conmale wrote:

Iwwaty wrote:

Anh bozalno_1989 xem hộ em log này với, em đã scan theo hướng dẫn của anh.

http://www.mediafire.com/?l34farrkbldu7av 

Nhìn vô là thấy ngay mấy ông này:
"C:\Program Files (x86)\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe"
c:\windows\system32\themeservice.dll
c:\windows\system32\drivers\netaapl64.sys
c:\program files (x86)\ati technologies\ati.ace\core-static\atiacm64.dll
c:\program files\common files\ati technologies\multimedia\atimpenc64.dll


Bồ upload mấy ông này lên xem sao? 

Chào anh Conmale,
Cảm ơn anh đã quan tâm đến em, đây là những file anh yêu cầu.

http://www.mediafire.com/?ba9ugwab9ec70je

File Adobelmsvc.exe em không upload được vì tối qua em đã uninstall toàn bộ những gì liên quan đến Adobe ( trừ flash plugin ) rồi nên file này không còn tồn tại nữa.
Chúc anh và mọi người có 1 ngày tốt lành. 

Máy em có cài KIS update thường xuyên và dùng 64bit nên chắc cũng không đáng ngại. Dạo này máy có mấy triệu chứng lạ nên post lên nhờ các anh kiểu tra hộ.
Cảm ơn anh Conmale và anh TQN đã quan tâm. 

Iwwaty wrote:

Máy em có cài KIS update thường xuyên và dùng 64bit nên chắc cũng không đáng ngại. Dạo này máy có mấy triệu chứng lạ nên post lên nhờ các anh kiểu tra hộ.
Cảm ơn anh Conmale và anh TQN đã quan tâm. 

Không hẳn đâu em. Dòng Windows XP trở lên dùng 64-bit vẫn có khả năng backward compatible với 32-bit. Bởi vậy 32-bit apps (và malware) vẫn có thể tấn công như thường.

Cách dễ nhất để thu hẹp phạm vi nguyên nhân các triệu chứng lạ là nên dùng portmon và processmon http://technet.microsoft.com/en-us/sysinternals/bb896644) để theo dõi xem cái gì đi vô, đi ra máy mình. Từ đó xác định được processes / binaries nào có khả năng là nguyên nhân tạo "triệu chứng lạ".

Nếu bà con tìm thấy được những triệu chứng lạ và có thể thu thập thông tin đồng thời cung cấp luôn nguồn gốc của những chương trình "lạ" ấy từ đâu ra thì càng tốt (ví dụ: vừa cài thêm soft download ở xyz..., vừa mở file đính kèm từ email...).