MyCity » Zaštita od zlonamernih programa » Članak: Ko je ovde lud, a ko blesav...

Ko je ovde lud, a ko blesav...

Napisano na dan: 15.1.2006
2

Ko je ovde lud, a ko blesav...
Pagination Prethodna strana

Idi na vrh

Poslao: 17 Jan 2006 10:45
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Ajde jos jednom da obnovimo lekciju, posto vidim da ne mozete da razgranicite neke stvari:

Arhive su:
TAR

Arhive sa kompresijom:
GZip, Zip, Rar, Arj, Zoo, Ha, 7z, Uharc, Arc, Lhz, bz2...

Pakeri su:
UPX, ASPack, Fsg i jos gomila koja postoji na listi gore u clanku

Neku vrstu pakera/arhivera predstavljaju i instaleri za programe:
NSIS, Inno Setup, Wise installer, MSI Installer...

Osim toga, postoje jos i druge vrste 'koverti' ili konstruktora 'koverti':
razni dropperi, binderi, joineri...

Vecina AV programa manje-vise lepo podrzava rad sa Arhivama i Arhivama sa kompresijom.
Problem su pakeri, instaleri, i zadnja grupa.

Veci deo clanka se odnosi na pakere i zadnju grupu. Zadnja grupa je najveci problem, posto u vecini slucajeva jedan dropper recimo, bude iskoriscen samo za distribuciju jednog trojanca, tj. ne bude masovno koriscen.
Jasno je da ce neka AV kompanija pre da ugradi podrsku za skeniranje Arhiva (sa kompresijom) neko podrsku za tamo neki dropper koji ima 0.01% ucesca na trzistu.
Dobar deo clanka se odnosi na genericku detekciju droppera i njima slicnih, bez da dropper prodje neku analizu u laboratoriji.

@Vladimir_Z
Nadam se da sada mozes da uvidis gresku u tvom pitanju.



Registruj se da bi učestvovao u diskusiji. Registrovanim korisnicima se NE prikazuju reklame unutar poruka.
Poslao: 17 Jan 2006 11:23
Idi na vrh
offline
  • Pridružio: 20 Feb 2005
  • Poruke: 4505
  • Gde živiš: planeta Zemlja

@booby
znaci ti nama u stvari govoris da danas jedan od jako zasupljenih packera biva jako rekto otkrivan (mislim na NSIS i Inno Setup) tj njegov sadrzaj?



Poslao: 17 Jan 2006 11:40
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Inno ide nekako, tj. vec neko vreme ga vise AV programa mogu rasturiti da bi ga skenirali.
Sto se tice NSIS-a, do skora je KAV imao ekskluzivnu mogucnost da ga 'rasturi na atome' da bi ga skenirao.
Pre neki mesec je jedan Rus napravio program za 'rasturanje' instalera koji podrzava i NSIS, ali ne funkcionise bas uvek.
Prikazuje sadrzaj svih NSIS streamova, ali dobar deo ne moze da raspakuje.
Ja sam uspeo da njime otpakujem desetak startijih NSIS arhiva, ali mi je zato na tri arhive blokirao Windows.

Iz ovog razloga, NSIS se dosta koristi za rasturanje Adwarea na netu.
Na p2p puno puta mozes da nadjes spot/pesmu/film sa EXE ekstenzijom.
Vecina njih su NSIS instaleri koji ce da ti raspakuju sadrzaj tek ako pristanes da ti instaliraju adware.

Ja sam moj Total Commander toliko nacickao pluginovima, da vecine instalera otvaram kao da su ZIP arhive, i po pravilu uvek prvo rasturim fajl pre nego sto ga instaliram (navika).
FAR je mozda napredniji od TC-a po ovom pitanju, ali mi se ne svidja interfejs.

Poslao: 18 Jan 2006 01:30
Idi na vrh
offline
  • Pridružio: 10 Feb 2005
  • Poruke: 3549

Nije greska u pitanju, vec sam "permutovao" u kucanju.
Ajde sad ponovo, dali postoji neki AV koji bi,recimo, u 70% slucaja uspeo da se izbori sa pakerima.

Poslao: 18 Jan 2006 02:34
Idi na vrh
offline
  • Pridružio: 11 Sep 2005
  • Poruke: 1282
  • Gde živiš: Pa gde i do sada

Vladimir_Z ::Nije greska u pitanju, vec sam "permutovao" u kucanju.
Ajde sad ponovo, dali postoji neki AV koji bi,recimo, u 70% slucaja uspeo da se izbori sa pakerima.

Zaista neznam dali si shvatio post od bobby-a dva puta je napisao u cemu je problem
Vecina AV programa manje-vise lepo podrzava rad sa Arhivama i Arhivama sa kompresijom.
Problem su pakeri, instaleri, i zadnja grupa.
i tu ti lezi ceo odgovor Exclamation

Poslao: 18 Jan 2006 07:12
Idi na vrh
offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

@Vladimir_z
Ima AV programa koji se lepo snalaze sa pakerima i sa instalerima. Neki lepo mogu da izadju na kraj sa packerima pomocu heuristike, cak iako ne poznaju packer. Pogledaj nas AV test za malo podataka o tome.

Jedini veci problem koji je prisutan za sve AV programe su dropperi.

MyCity » Zaštita od zlonamernih programa » Članak: Ko je ovde lud, a ko blesav...

Ko je trenutno na forumu
 

Ukupno su 1252 korisnika na forumu :: 95 registrovanih, 8 sakrivenih i 1149 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 15694 - dana 01 Feb 2026 12:23

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: 04bokibole, 9191vs, advokat84, ArmyBoss, Aska, Asparagus, Atomski čoban, awathorn, Ba4e, BaneM75, bato_banjaluka, bigvlada, Bombona, Brankojle, BrcakRS, CCCP, Cicumile, coaaco, crnogorac, Daba75, Dejan_vw, dexteroza, Dioniss, draganl, dushan, Džekson, ElvisP, halkin gol, ikan, ILGromovnik, Imperator_Aleksandr_lll, ivan_8282, Ivanmateja, Jakonjveliki, janbo, Jaxupa, Jeremiah, JK, K-1A, Kajzer Soze, Kamov, Klonfer83, Komentator, kreker, Kruger, Kubovac, Lieutenant, M74AB3, Major Tankosić, marko308, Metanoja, Mi lao shu, mikrimaus, milikonst, Millennium, MiroslavD, Mitogna, Miškić, mocnijogurt, moldway, Naum T, nebkv, nekdo, Nemanja.M, nemkea71, obsc, Paki, Panter, Papadubi, Pekman, ping15, R_038, razumihin, Rebel Frank, samipag822, SamoLAgan0, Singidunumac, Smajser, Smiljkovich, Solunac na steroidima, Sone1983, stegonosa, Stojan Mrsavi, SympathyForTheDevil, tm, tritonus, Vanderx, VBoss, Velizar Laro, vidra boy, VJ, Volkhov-M, Walkers, Zavulon, zivojin32