# бесплатное мыло на your_name#re-lab.org

kaspersky

Значит минус в том, что адреса возврата и данные лежат в одном месте. Вроде бы реально разнести стек не поломав совместимость с существующим ПО, нужно только дублировать адреса возврата в стеке данных и в стеке адресов. Нормальным программам менять адрес возврата совершенно не нужно, а сплойты пойдут лесом.

Вообще от порчи ценной информации по хорошему может спасти только бэкап и системы управления версиями. Пользователь сам может быть страшнее любого вируса. ^)

Наверно лучше использовать альтернативы, благо они есть. Приходилось видеть даже бсоды при юзании акробата.

Скорее всего какие-нибудь дыры в механизме ASLR, не представляю как это возможно если ASLR абсолютно рандомен + DEP. Кстати в линуксе я использую prelink, не знаю насколько оно без дыр(вряд ли без них), но дополнительный бонус безопасности не помешает.

 

kaspersky

ORly?! Вот что я напейсав:

Могу по-английски то же самое написать ...

>> Малварь - это что-то особенное в плане реверсенга?
> это очень узкоспециализированное направление со своими целями, задачами, методами их решения.
Красиво сказано. А где технические детали?

Предидущий примерчег с 15-тью минутами говорит о том, как вы читаете написанное. В данном случае имелось в виду что: 1) малварь обфускана и сверху - пакована; 2) анпакера у вас нету; 3) внутри пакера и/или ядра сидит несколько проверок в том числе - на виртуалку; 4) вам надо знать что она _способна_ делать. То, что вы своими двумя снапшотиками увидите что никаких изменений нету (кроме тех, что оставил сам снапшот) - вам даст чуть менее чем ничего. Ни руткита дропанного, ничего. Вперед, у вас есть 3 часа.

>> Если вы за три часа про сигнатуру говорите - так в это я верю.
> ну вы и балда. вот как раз чтобы выделить сигнатуру...
Речь шла о сигнатуре к семейству VB.Даун

[...Здесь еще могло бы быть много обсуждений, но ...]

Почему так? Из какого конкретно моего поста/части вы сделали такое универсальное заключение? Ну мне представляется мне много что есть сказать "по существу".

Artemis!. Как, вы не знаете что такое Artemis?! Ну вот заметил я ~2дня назад один сэмпл на другом ресурсеге, нашел его на вирустотале. 3детекта, и макаффи нет. O'key, чекаем через день. Уже 17 детектов и - разумеется! - "марсиане" быстро его разобрали - Artemis! Кто же ты, Артёмис? Посылаем с куском appended bytes, и - by magic wand! - Artemis'а как ветром сдуло.

... А вы говорите - один файловую систему наблюдает, другой ему кофе носит...

Да, на это все бы хотелось ответить. Не знаю сколько туда шлют, но что-то мне подсказывает что вы долго руками будете рыцца - даже если если я вам первые 3 символа хэша скажу. И - еще раз - я в банке не работал (никогда).

TermoSINteZ

Ну вы же хотели обсудить технические детали (Крис тратит на анализ ОДНОГО char'а несчастного скрипта столько, сколько (например) можно пробрутить тысячи md5)? Поскольку вы не поняли (как впрочем и Крис) то я был несколько озадачен чем же в AV оценивают производительность их программ.

Аргумент великолепный. Купил тухлятинку - а вы сами попробуйте нетухлое произвести!

Почему узколоб?... Только что померял - 1.5см лоб у меня... А! Дошло! Это вы типа недалекий я что-ли? Ну расскажите нам в каких странах идет активная разработка новых месторождениев...

Вы меня обижаете. Почему скрытное? Тьфу, то-есть я хотел сказать - почему унижение? Кого я унизил в каком посте конкретно? Мысчь сказал ~"о чем с вами вообще разговаривать" (такое впечатление что он сам как минимум Xpaj ковырял) - про меня!, вы тут модерацией пугаете...

Если под аллегорией "кто быстрее, у кого длинее" ассоциация с половым актом - то я лучше проиграю По моему мнению это Касперски начал мерить, я миролюбиво пытался перевести беседу в основное русло. Если меня не поняли так как я думал меня поймут то поймите меня правильно - не хотел я меряццо!

А тема - основная - была такая - мы (потребители, кастомеры - от слова cast наверное) хотим качества и Правды которая стало быть и Истена от AV. А если не можете, то признайте а не очковтируйте этим VB100 и прочая.

ps Некоторые, кстати, поняли меня мгновенно - например, wsd/мне совершенно нечего спорить - total agreement.

 

Да то, что яблочники пи..расы, это двестипроцентный факт. Но разве ж они одни такие? Даже наша любимая и неподражаемая w2k - и в той сделано до хрена через любимое яблочниками место. Меня вот только удивляет, откуда у вас есть желание доказывать человеку что неломаемых систем не бывает?)

 

PSR1257
ну блин опять, обсираете размер другого, а свой под пятью штанами с кодовыми замками прячите)
маркетинглвое де*мо продавцов не предъявимо IT разработчикам, разные мативации, принцыпы и понятия.
некоторые считают, что раз дядя Женя смог защитить самого Джеки-Чана, то их и подавно сможет.
почему бы не об*ать их? аргументов ощутимых будет на порядки достаточно.

 

wsd
> маркетинглвое де*мо продавцов не предъявимо IT разработчикам,
> разные мативации, принцыпы и понятия.
маркетологи продают то, что им дают разработчки.

кстати, на счет недели реверса одного сэмпла. будем считать $2k минимальной зарплатой реверсера. неделя на один сэмпл. до четырех сэмплов в месяц, $500/сэмпл одной лишь зарплаты одного реверсера без учета налогов, аренды, зарплаты прочих сотрудников и собс-но самой прибыли. то есть конечный кастомер заплатит в лучшем случае штуку за сабмит одного сэмпла.

и после этого некоторые (не вы) удивляются почему антивиус, стоящий чуть дороже колбасы, работает не самым лучшим образом. и еще они удивляются почему он не всех вирусов ловит. не могу говорить за нашу фирму, скажу за iDef раз уж пошел за нее разговор. один только pdf на экспериментальный on-line чеккер одного из их сотрудников за полгода залили 20,000 штук.

вопрос (3й класс средней) школы -- сколько нужно сотрудников из расчета, что один pdf может уронить хотя бы один exe (хотя в реальности -- больше), если exe анализируется неделю?

одна из причин низкого качества антивирусов -- экономическая. при текущей техническом уровне реверсинга просто невозможно обеспечить качественный анализ малвари и при этом выйти хотя бы на нулевой уровень доходности. а раз анализ поверхностный -- со всеми отсюда вытекающими.

я бы тоже хотел сидеть над одним сэмплом неделю, только мне ее никто не даст. юзеры готовы платить разумную, а не космическую цену за сабмит одного файла. эта цена определяет кол. во сэмплов которые нужно проанализировать в единицу времени и в реальности для _средних_ сэмплов эта единица близка к 3 часам. и тут мы уже пляешем не от "сколько нам нужно времени на анализ...", а от "время анализа ограничено, как этим временем распорядиться максимально эффективно"

и опять -- смысл критиковать ничего не предлагая в замен это все равно что выть на луну. если есть идеи как изменить ситуацию -- давайте обсудим.

 

wsd

(Я тоже напишу на этот ник но адресовацца буду ко всем участникам дискусса)

Итак, we have reached that Edge, that Zenith where stimuli and comatose collide (c). Тов. Незуми нехотя признал в арифметических выкладках для "третьего класса средней школы" что три часа а даже может и три дня маловато и качество страдает (но не страдает цена).

Масса кидает в лицо этим красивым коробкам внутри которых вакуумная пустота чексум обвинение - где заявленное качество? Скоммерсант это кто пишет малварь за бабло, а антивирусники - "они продались". Но что конкретно стоит за этим словами? Проданные идеалы (чего?), проданная Родина (где она?)?

Сконпели еще немного этого шелкодеса. Это не живет в четырехмерном пространстве (X,Y,Z,деньги). Здесь нет этого дерьма в виде трехчасового лимита который продал манагер а отрабатываешь который ты.

Утопия. Она существует - когда ты пишешь вирус ты никому ничего не должен - за исключением может быть одной вещи - it must to give a shit, man. Ее почти нет когда ты пишешь под формат ксакепа и совсем-совсем мало когда "мне залили тысячи пдф и я их должен был обработать еще вчера".

Refuse, resist. Ты - разработчег детекций - имей мужество сказать манагерам что это семейство реально требует время или садись и дебаж это сам. Или признай что ты действительно продался за шекель и в каждой новой чексумме sha1 глаза привычно ищут среди хекса 6 ... 6 ... 6.

Касперски решил уравнение с одним неизвестным но реалити на самом деле описывается уравнением с двумя: число малварей которые реально требуют серьезного анализа не бесконечно. Да, катвэйл, русток, синовал - ряд достаточно длинный - но ты согласился работать на трехчасовом конвеере и ты больше не дискриминируешь это и VB.Даун.

 

Насчёт сабжа - отправил заявку по ЛС kaspersky почти неделю назад, но ответа нет.

 

PSR1257
> Тов. Незуми нехотя признал в арифметических выкладках для "третьего класса средней школы"
> что три часа а даже может и три дня маловато и качество страдает (но не страдает цена).
- цена обуславливается тем, сколько кастомер готов платить.
- качество обуславливается ценой и требованиями кастомера (и конкуренцией).

> Масса кидает в лицо этим красивым коробкам внутри которых
> вакуумная пустота чексум обвинение - где заявленное качество?
деньги взад не вариант?

> Скоммерсант это кто пишет малварь за бабло,
> а антивирусники - "они продались".
> Но что конкретно стоит за этим словами?
> Проданные идеалы (чего?), проданная Родина (где она?)?
мы уже до родины дошли, так...

> Здесь нет этого дерьма в виде трехчасового лимита
> который продал манагер а отрабатываешь который ты.
манагер продает мой труд на рынке. хороший манагер делает это лучше меня. мои манагеры -- хорошие.


> Ее почти нет когда ты пишешь под формат ксакепа
меня в хакере форматом не ограничивали и я никогда не ныл, что мог писать бы лучше, если бы не формат. писал как мог. а редакторы мне помогали.

> Refuse, resist. Ты - разработчег детекций - имей мужество сказать
> манагерам что это семейство реально требует время или садись
> и дебаж это сам.
вообще-то, когда я говорю, что это займет один день, ну два от силы, мои манагеры автоматически переводят стрелки на полгода вперед

> Или признай что ты действительно продался за шекель
главное, что не продал других

> Касперски решил уравнение с одним неизвестным но реалити на самом
> деле описывается уравнением с двумя: число малварей которые реально
> требуют серьезного анализа не бесконечно. Да, катвэйл, русток, синовал
> ряд достаточно длинный - но ты согласился работать на трехчасовом
> конвеере и ты больше не дискриминируешь это и VB.Даун.
я -- отказался. кстати, реверсингом занимаюсь очень-очень мало. намного меньше, чем хотелось бы. и меня используют как девелопера. а девелопер из меня очень плохой. сначала мне было интересно когда меня выгонят, потому интересно почему не выгоняют, а сейчас просто интересно.

 

Похоже они вообще слабо себе представляли кого они берут и зачем) Вам бы разработческую группу консультировать по проектам, которые сейчас вас заставляют имплементировать своими ручками...

 

kaspersky, вы свою почту ,личку проверяете ?) Я вам уже несколько сообщений послал.
Если вас не затруднит ответьте пожалуйста на них.

 

А еще бывает в реальности, что вместо "время анализа ограничено, как этим временем распорядиться максимально эффективно" приходится плясать от "время ограничено, но анализ надо сделать и пох!", и тада уже встает вопрос - когда наконец то будет хоть один выходной и не вредно ли постоянно пить валерианку

 

Stariy
> А еще бывает в реальности, что вместо "время анализа ограничено,
> как этим временем распорядиться максимально эффективно" приходится
> плясать от "время ограничено, но анализ надо сделать и пох!", и тада
> уже встает вопрос - когда наконец то будет хоть один выходной и
> не вредно ли постоянно пить валерианку
валерьянку -- не вредно. мне вот хуже. мыщъх плотно подсел на феник. а по поводу работы -- когда сидишь на окладе, то выходные случаются регулярно. особенно когда ходишь в офис, а дома даже тырнета нет. это сначала без тырнета неудобно, а потом понимаешь какая это клевая отмазка когда нет тырнета.

ЗЫ. вот сейчас снова сижу в порту. типа жду вылета. таможенники пытались до меня докопаться, а я над ними ухохатывался. они вообще по ходу дела не догоняют. ну типа:
-- куда летите?
-- дубаи
-- а далье?
-- куала-лупур
-- цель вашего визита в куала-лупур?
-- полет в америку
-- что вы делате в америке?
-- живу я там
-- постоянно?
-- ага
-- счастливого пути!

вам не кажется что мои ответы были должны возбудить подозрения? или "окно" восприятия у моего собеседника вмещает не больше одного вопроса?

 

kaspersky

Будете в Дубае, рекомендую, если еще нет в программе, посетить поющий фонтан (тот, что самый высокий в мире ныне).

 

Derek
ну вот сейчас в дубаях. таки плюнул и полетел бизнесом. через два часа вылетаю в малайзию. а по начальному плану через два часа я должен был только из москвы вылетать. а дубайской визы у меня них нет. и вообще не уверен что с моими израильскими штампами мне ее сделают.

 

dZentle_man

вот такое, честно сказать, забавляет) надо будет найдут тебя довольно живо: у всех провов стоят довески, кои позволят историю посещений в инете узнать нужным товарищам без проблем, бд хацкеров, наверняка, имеется опять же у нужных товарищей -- при выходе любой мало-мальски интересной активности, круг подозреваемых будет достаточно быстро очерчен... так что не корми свою паранойю по пустому, а то так и в дурку пойти можно: комар пролетел и сразу подозрения, что злобные наноспецслужбы рвутся чрез ик-порт:-D

 

Крис. Ещё раздаете ящики?