Mon Oct 27 2008 00:45, Dima Abramow wrote to Alexey Podtoptalow:
AP>> Если бы эту TheMida вообще всю задетектили (что не так и сложно, имхо)
AP>> - было бы правильнее. Бо пакуют ею столько червей, что уже добрая
AP>> половина virustotal на неё гавкает просто по факту использования этой
AP>> TheMida.
DA> Хмм... по опыту моего общения с тем кейгеном, TheMida раздувает исходник
DA> почти на порядок в объеме - не совсем похоже на удачное решение для
DA> всякой заразы, стремящейся к малозаметности... :-)
Угу, раздувает. Hо это мало кого нынче смущает, пакуют, и очень активно.
Очень давно использует Win32.HLLM.Beagle, а также всякие Win32.HLLW.MyBot и
т.п.. Вот не очень старый Beagle, от 12 октября. И как раз упомянутой тобой
записью он и детектится, Trojan.Packed.650.
Возможно, твои кейгеновцы использовали тот же экземпляр Themida, что уже
становится весьма любопытно.
http://www.virustotal.com/analisis/c8474d49488d5c82ee799d2dfec9fef1
----------------------------------------------------------------------
File b64_1.jpg received on 10.27.2008 00:06:37 (CET)
Current status: finished
Result: 21/36 (58.34%)
Antivirus Version Last Update Result
AhnLab-V3 2008.10.24.3 2008.10.27 Win-Trojan/Bagle.858628
AntiVir 7.9.0.9 2008.10.25 WORM/Bagle.Gen
Authentium 5.1.0.4 2008.10.26 -
Avast 4.8.1248.0 2008.10.27 Win32:Trojan-gen {Other}
AVG 8.0.0.161 2008.10.27 Win32/Themida
BitDefender 7.2 2008.10.27 Trojan.PWS.LdPinch.TSE
CAT-QuickHeal 9.50 2008.10.25 (Suspicious) - DNAScan
ClamAV 0.93.1 2008.10.26 -
DrWeb 4.44.0.09170 2008.10.26 Trojan.Packed.650
eSafe 7.0.17.0 2008.10.26 -
eTrust-Vet 31.6.6168 2008.10.25 -
Ewido 4.0 2008.10.26 -
F-Prot 4.4.4.56 2008.10.26 -
F-Secure 8.0.14332.0 2008.10.27 -
Fortinet 3.113.0.0 2008.10.26 PossibleThreat
GData 19 2008.10.27 Trojan.PWS.LdPinch.TSE
Ikarus T3.1.1.44.0 2008.10.26 Worm.Bagle
K7AntiVirus 7.10.508 2008.10.26 -
Kaspersky 7.0.0.125 2008.10.27
Trojan-Downloader.Win32.Bagle.aep
McAfee 5415 2008.10.25 Generic.dx
Microsoft 1.4005 2008.10.27 -
NOD32 3557 2008.10.26 Win32/Bagle.PX
Norman 5.80.02 2008.10.24 -
Panda 9.0.0.4 2008.10.26 Trj/Ldpinch.ATK
PCTools 4.4.2.0 2008.10.26 -
Prevx1 V2 2008.10.27 Worm
Rising 21.00.62.00 2008.10.26 -
SecureWeb-Gateway 6.7.6 2008.10.25 Worm.Bagle.Gen
Sophos 4.35.0 2008.10.26 Sus/ComPack
Sunbelt 3.1.1753.1 2008.10.25 -
Symantec 10 2008.10.27 Infostealer.Ldpinch.C
TheHacker 6.3.1.1.129 2008.10.25 W32/Behav-Heuristic-064
TrendMicro 8.700.0.1004 2008.10.24 TROJ_PAKES.BAB
VBA32 3.12.8.8 2008.10.25 Win32.Bagle.PX
ViRobot 2008.10.24.1436 2008.10.24 -
VirusBuster 4.5.11.0 2008.10.26 -
Additional information
File size: 858628 bytes
MD5...: 73040a35273fb1681118affb4038b464
SHA1..: c3b93d4b12ced15e87ccaac50766e7defd311fbd
SHA256: 95f8d389aef9768e35ca797c05b7b647dcd3da72488d9c8d66ce8bdb7077cdc2
SHA512: 7a3a327a1c4a71bbdc671bd8cdd61300770ebbb3a2d2e89b4588b948311cfff9
c2abf1557aef6d8c69599239132366b9f3e61f5e1bf7353e2291c0ec6e7584e2
PEiD..: -
TrID..: File type identification
Win32 Executable Generic (38.4%)
Win32 Dynamic Link Library (generic) (34.1%)
Win16/32 Executable Delphi generic (9.3%)
Generic Win/DOS Executable (9.0%)
DOS Executable Generic (9.0%)
PEInfo: PE Structure information
( base data )
entrypointaddress.: 0x49c014
timedatestamp.....: 0x2a425e19 (Fri Jun 19 22:22:17 1992)
machinetype.......: 0x14c (I386)
( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
0x1000 0x94000 0x3f800 7.98 e2a7c3a74c989a618c92f8f07ee091fe
.rsrc 0x95000 0x5800 0x2200 6.94 cca828d82c2dcb0e8371a333b2eaa46a
.idata 0x9b000 0x1000 0x200 1.44 0255fb69821afa094f3c0a7ab2d107b2
Themida 0x9c000 0x14c000 0x8ee00 7.91 a1012fe448437c5f2a64365e5425fc4e
( 2 imports )
KERNEL32.dll: CreateFileA, ExitProcess
COMCTL32.dll: InitCommonControls
( 0 exports )
Prevx info:
http://info.prevx.com/aboutprogramtext.asp?PX5=9F1E1FA2044417C11A840DDE41DEB000
724BA95A
packers (F-Prot): Themida
----------------------------------------------------------------------
AP>> Если кейген стоит того, чтобы о нем беспокоиться - зашли, конкретно
AP>> его уберут из детекта.
DA> Дык, собственно-то кейген - в его чистом исходном виде - и не
DA> детектится... :-)
DA> ... а "зашли" - это на е-мейл?
Думаю, лучше через веб-форму. Там категории указаны, стоит ознакомиться.
См. на http://vms.drweb.com/sendvirus/