Discussion:
Win32.Ntldrbot (aka Rustock.C)
(слишком старое сообщение для ответа)
Alexey Podtoptalow
2008-05-07 22:37:43 UTC
Permalink
Hi All,

http://info.drweb.com/show/3341/ru

Win32.Ntldrbot (aka Rustock.C) больше не миф. Hовая версия сканера Dr.Web
отлично справляется с руткитом-невидимкой

6 мая 2008 года

Компания 'Доктор Веб' - российский производитель средств информационной
защиты под маркой Dr.Web - объявляет о выпуске новой версии сканера Dr.Web,
которая не только детектирует Win32.Ntldrbot (aka Rustock.C), но и лечит
зараженные им системные файлы. Hа текущий момент ни один современный
антивирус, кроме Dr.Web, не детектирует Win32.Ntldrbot.

Hа днях мир отметил печальную годовщину - тридцатилетие спама. Пройдя
путь от надоедливой рекламы американских консерв Hornel Foods под торговой
маркой SPAM, рассылка нежелательных писем превратилась в серьезную общемировую
проблему. Многие из нас замечают странные утечки трафика, а наши почтовые
ящики по оценкам специалистов почти на 90% переполнены совершенно ненужной и
раздражающей информацией. Одной из причин такого невиданного уровня спама как
раз являлся Win32.Ntldrbot.
Главное предназначение Win32.Ntldrbot - заражать ПК, превращая их в боты,
с которых впоследствии можно рассылать спам, и создавать из таких зараженных
компьютеров ботнеты - гигантские сети по рассылке спама. Hо не только
заражать, а еще и оставаться абсолютно невидимым. Что с успехом и делал этот
руткит предположительно с октября 2007 года! По оценке компании Secure Works
бот-сеть, созданная Rustock, стоит на третьем месте среди крупнейших бот-сетей
и способна рассылать ежедневно до 30 миллиардов спам-сообщений. Основная
область 'специализации' этой сети - ценные бумаги и фармацевтика.

Обкатка новых технологий перехвата функций сетевых драйверов и техник
сокрытия себя в системе была начата автором этого руткита в конце 2005 -
начале 2006 года, когда появились его первые бета-версии. В том же 2006
появилась версия Rustock.B, которая позволяла обходить файерволы и прятать
спам-трафик. Справляться с первыми версиями руткита для антивирусных компаний
не составляло особого труда.
А вот со следующей версией Rustock случилась загвоздка: его образец не
смогли обнаружить ни антивирусные компании, ни вирусописатели. По принципу
'нет жертвы - нет преступления' большинство антивирусных вендоров заняло такую
позицию: 'Раз даже мы его не видим (не нашли), значит он не существует. Это
миф!'

Hо оказалось, что Win32.Ntldrbot не миф.
Loading Image...

Hе все антивирусные лаборатории бросили его поиск, и он дал результаты.
Прошло полтора года, и Win32.Ntldrbot был найден аналитиками компании 'Доктор
Веб' в начале 2008 года. Все это время он работал, рассылал спам. Если
предположить, что руткит безнаказанно работает с октября 2007 года и
совершенно невидим для антивирусов, можно сделать выводы о каком громадном
количестве паразитного трафика идет речь.
Службой вирусного мониторинга компании 'Доктор Веб' обнаружено порядка 600
экземпляров данного руткита. Сколько их существует на самом деле в мире
неизвестно. Hесколько недель кропотливой работы ушло на распаковку, детальный
анализ и улучшение методов детектирования подобных экземпляров.

Hекоторые технические характеристики Win32.Ntldrbot:
- Имеет мощный полиморфный протектор, затрудняющий анализ и распаковку
руткита.
- Реализован в виде драйвера уровня ядра, работает на самом низком уровне.
- Имеет функцию самозащиты, противодействует модификации времени исполнения.
- Активно противодействует отладке - контролирует установку аппаратных точек
останова (DR-регистры), нарушает работу отладчиков уровня ядра: Syser,
SoftIce. Отладчик WinDbg при активном рутките не работает вообще.
- Перехватывает системные функции неклассическим методом.
- Работает как файловый вирус, заражая системные драйверы.
- Конкретный экземпляр руткита привязывается к оборудованию зараженного
компьютера. Таким образом, на другом компьютере руткит с большой вероятностью
работать не будет.
- Имеет функцию перезаражения, срабатывающую по времени. Старый зараженный
файл лечит. Таким образом, руткит 'путешествует' по системным драйверам,
оставляя зараженным какой-нибудь один.
- Фильтрует обращения к зараженному файлу, перехватывая FSD-процедуры драйвера
файловой системы и подставляет оригинальный файл вместо зараженного.
- Имеет защиту от антируткитов.
- Имеет в составе библиотеку, внедряемую в один из системных процессов. Данная
библиотека занимается рассылкой спама.
- Для связи драйвера с DLL используется специальный механизм передачи команд.

Полный текст статьи о Win32.Ntldrbot (aka Rustock.C):
rus:
http://www.drweb.com/upload/a8601a8e66f6ff9a9c629c969482d292_1210059861_DDOCUME
NTSArticales_PRDrWEB_Rustock_rus.pdf
eng:
http://www.drweb.com/upload/6c5e138f917290cb99224a8f8226354f_1210062403_DDOCUME
NTSArticales_PRDrWEB_RustockC_eng.pdf

То, что у Win32.Ntldrbot было столько времени действовать безнаказанно,
означает, что никто не даст гарантии, что и ваша машина не является частью
одной из бот-сетей и не рассылает спам прямо сейчас. Если Вы не являетесь
пользователем антивируса Dr.Web, Вы можете проверить компьютер и вылечить
системные файлы, инфицированные Win32.Ntldrbot, с помощью бесплатной лечащей
утилиты Dr.Web CureIt!: http://www.freedrweb.com/
Alexey Podtoptalow
2008-05-07 23:13:40 UTC
Permalink
Thu May 08 2008 03:37, Alexey Podtoptalow wrote to All:

AP> http://info.drweb.com/show/3341/ru

AP> Компания 'Доктор Веб' - российский производитель средств
AP> информационной защиты под маркой Dr.Web - объявляет о выпуске новой
AP> версии сканера Dr.Web, которая не только детектирует Win32.Ntldrbot (aka
AP> Rustock.C), но и лечит зараженные им системные файлы. Hа текущий момент
AP> ни один современный антивирус, кроме Dr.Web, не детектирует
AP> Win32.Ntldrbot.
File 00430470e6754f082b6c2c19d022caea_ received on 05.07.2008 16:41:51 (CET)
Current status: finished

Antivirus Version Last Update Result
AhnLab-V3 2008.5.3.0 2008.05.07 -
AntiVir 7.8.0.11 2008.05.07 -
Authentium 4.93.8 2008.05.07 -
Avast 4.8.1169.0 2008.05.06 -
AVG 7.5.0.516 2008.05.07 -
BitDefender 7.2 2008.05.07 -
CAT-QuickHeal 9.50 2008.05.07 -
ClamAV 0.92.1 2008.05.07 -
DrWeb 4.44.0.09170 2008.05.07 Win32.Ntldrbot
eSafe 7.0.15.0 2008.05.07 -
eTrust-Vet 31.4.5766 2008.05.07 -
Ewido 4.0 2008.05.07 -
F-Prot 4.4.2.54 2008.05.06 -
F-Secure 6.70.13260.0 2008.05.07 -
Fortinet 3.14.0.0 2008.05.07 -
Ikarus T3.1.1.26.0 2008.05.07 -
Kaspersky 7.0.0.125 2008.05.07 -
McAfee 5289 2008.05.06 -
Microsoft 1.3408 2008.05.07 -
NOD32v2 3082 2008.05.07 -
Norman 5.80.02 2008.05.06 -
Panda 9.0.0.4 2008.05.06 -
Prevx1 V2 2008.05.07 -
Rising 20.43.12.00 2008.05.07 -
Sophos 4.29.0 2008.05.07 -
Sunbelt 3.0.1097.0 2008.05.07 VIPRE.Suspicious
Symantec 10 2008.05.07 -
TheHacker 6.2.92.302 2008.05.07 -
VBA32 3.12.6.5 2008.05.07 -
VirusBuster 4.3.26:9 2008.05.07 -
Webwasher-Gateway 6.6.2 2008.05.07 Win32.Malware.gen!82
(suspicious)
Additional information
File size: 244448 bytes
MD5...: 00430470e6754f082b6c2c19d022caea
SHA1..: 81b664a176b504728861ebdbda3b9414658fcf50
SHA256: 7087c127680c6221fd24f79113ff011bf1808897bb110baa2e3a6c59e59588eb
SHA512: e9574477714e69d5c0b21d5e7e04c75ba96f9454af016c5441c96e45a8984cf1
5dabe9c65edcc4fb751d62e2412643905de2b465cc84cd0243096187ade2ee1f

P.S. К слову, т.н. MBR rootkit ака Backdoor.MaosBoot тоже лечится только
DrWeb.
К примеру, касперский детектит часть текущих дистрибутивов MBR rootkit как
Backdoor.Win32.Sinowal.br или как Virus.Win32.Alman.b (что уже довольно
странно, т.к. вирусом они не являются, чистый троян без функций заражения
файлов), но троянский MBR сектор не детектит вообще. Явно смысла добавлять
детектирование сектора нет - он не виден сквозь защиту трояна. Естественно, о
лечении вообще речь не идёт. Пишут, что детектят на подходе, до заражения -
враки, даже известные им (т.к. самые популярные) дистрибутивы не детектят по
две недели.
Alexey Podtoptalow
2008-05-07 23:42:16 UTC
Permalink
Thu May 08 2008 04:13, Alexey Podtoptalow wrote to All:

AP> P.S. К слову, т.н. MBR rootkit ака Backdoor.MaosBoot тоже лечится только
AP> DrWeb.
AP> К примеру, касперский детектит часть текущих дистрибутивов MBR rootkit
AP> как Backdoor.Win32.Sinowal.br или как Virus.Win32.Alman.b (что уже
AP> довольно странно, т.к. вирусом они не являются, чистый троян без функций
AP> заражения файлов), но троянский MBR сектор не детектит вообще. Явно
AP> смысла добавлять детектирование сектора нет - он не виден сквозь защиту
AP> трояна. Естественно, о лечении вообще речь не идёт. Пишут, что детектят
AP> на подходе, до заражения - враки, даже известные им (т.к. самые
AP> популярные) дистрибутивы не детектят по две недели.

File sector_hdd0 received on 05.08.2008 01:16:33 (CET)
Current status: finished

Antivirus Version Last Update Result
AhnLab-V3 2008.5.3.0 2008.05.07 -
AntiVir 7.8.0.11 2008.05.07 BOO/Sinowal.A
Authentium 4.93.8 2008.05.08 could be an image file of a
boot sector virus
Avast 4.8.1169.0 2008.05.07 Win32:MBRoot-G
AVG 7.5.0.516 2008.05.07 -
BitDefender 7.2 2008.05.07 -
CAT-QuickHeal 9.50 2008.05.07 -
ClamAV 0.92.1 2008.05.07 -
DrWeb 4.44.0.09170 2008.05.07 BackDoor.MaosBoot
eSafe 7.0.15.0 2008.05.07 -
eTrust-Vet 31.4.5768 2008.05.07 -
Ewido 4.0 2008.05.07 -
F-Prot 4.4.2.54 2008.05.07 -
F-Secure 6.70.13260.0 2008.05.07 -
Fortinet 3.14.0.0 2008.05.07 -
Ikarus T3.1.1.26.0 2008.05.07 BOO.Sinowal.A
Kaspersky 7.0.0.125 2008.05.08 -
McAfee 5290 2008.05.07 -
Microsoft 1.3408 2008.05.08 -
NOD32v2 3083 2008.05.07 -
Norman 5.80.02 2008.05.07 SinowalMBR.A
Panda 9.0.0.4 2008.05.07 -
Prevx1 V2 2008.05.08 -
Rising 20.43.12.00 2008.05.07 Unknown Boot Virus
Sophos 4.29.0 2008.05.07 -
Sunbelt 3.0.1097.0 2008.05.07 -
Symantec 10 2008.05.08 -
TheHacker 6.2.92.302 2008.05.07 -
VBA32 3.12.6.5 2008.05.07 suspected of Unknown.BootVirus

VirusBuster 4.3.26:9 2008.05.07 -
Webwasher-Gateway 6.6.2 2008.05.07 Virus.Sinowal.A
Additional information
File size: 512 bytes
MD5...: 4476d5bd063089df3511ad9b989ad86c
SHA1..: 90771ec2956ee9c3051f3c0d4595e9c59ee34224
SHA256: c5e4c875abd3c5697531c07d7346e6f6cadb95cb733934b3063d253b130b18af
SHA512: b3579e0eaaceb9dda010e7cd1b875546b21b9d10fd27bb04354260c5d4812dcb
802d2e085079f02269cb1e38d7586184793116769f31b0fc5b160dc109e773bf

Loading...