دانلود ویروس، تروجان، بررسی مخرب ها و تست آنتی‌ویروس ╣══ مقررات پست اول حتما مطالعه شود ══╠

[vtn54]

سلام

بدافزارهای این دوره و زمانه آنقدرها هم کودن نیستند .همانطور که دوست عزیزمان گفتند شناسایی محیطهای مجازی برای بدافزارها زیاد سخت نیست محیطهای مجازی شواهد بسیاری در رجیستری , حافظه , سیستم فایل و سایر قسمتهای سیستم عامل به جا می‌گذارند که به راحتی توسط بدافزارها قابل شناسایی است و از دو یا سه سال قبل بدافزارهای زیادی شروع به استفاده از این روش کرده‌اند (یکی از اولین نمونه‌های چنین بدافزارهایی کرم Conficker در سال 2009 بود که سیستمهای زیادی را آلوده کرد).

بنابراین وقتی بدافزاری را در یک سیستم مجازی اجرا می‌کنید و فعالیتی از خودش نشان نمی‌دهد ممکن است دلیل آن بی‌خطر بودن فایل نباشد.

برای مطالعه بیشتر برای دوستانی که علاقمند هستند:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

[pcsoft]

سلام عباس جان




فکر کنم دلیل اصلی اینکه مخرب محیط مجازی را میشناسه : محدودیت داشتن محیط مجازی همون سندباکس باشه...

یادمه من یه مخرب را در Sandboxie ران کردم که ترمینیت شد ولی همون مخرب در سندباکس کسپر راحت ران و به کارش ادامه داد.

پس یه سوال پیش میاد :


مگه نمیگیم ویروس محیط سندباکس را میشناسه ، پس چرا در برنامه Sandboxie خودش را ترمینیت کرد ولی در سندباکس کسپر راحت ران شد ؟

در صورتی که هر دو محیط مجازی بودن !!!

من میگم دلیل اینکه ویروس ترمینیت میشه ، باعث و بانیش محیط محدود کننده سندباکس هست !!!

درست میگم یا نه؟


اون محیط سندباکس هست که به مخرب هوش میده ، خودش را ترمینیت کنه و نه اینکه : خوده ویروس هوش داشته باشه و بداند که در یک محیط مجازی هست و باید خودش را ترمینیت بکنه !





خودشه


یه تشکر از رضا جان بابت اینکه بحث گرمی را شروع کرد

سلام و تشکر از همه.
البته من بیشتر منظورم روی ویندوز مجازی بود چون هر دو مخرب رو توی ویندوز مجازی ران کردم یکیش که اصلا error داد و اونیکی هم کاری نکرد.
برنامه هم: Microsoft Virtual PC
ویروس کظم غیظ رو همینطوری تستی زدم دیدم منفجر کرد سیستم رو. حالا روی VMware هم این ویروس ها رو تستش می کنم ببینم چی میشه.
هر دو ویروس رو اجرا کردم داخل VMWare. هر دو اجرا شدند و مشغول شدند. البته خبری از غیرفعال شدن چیزی نبود. شاید هم با ریستارت سیستم استارت کارشون خورده میشه.
فلش مموری خودم رو داخل vmware وصل کردم و دیدم فایلی توش کپی کرد.

نتیجه اینکه MS Virtual PC چون کمبودهایی داره نتونست درست اجرا کنه فایل رو. ولی vmware هر درایوری بود برای ویندوز نصب کرده بود و همه چیز آماده بود و این اتفاق افتاد.

[Jadda]

سلام

یک نمونه:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

پسورد: 123

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[jolan57]

سلام

یک نمونه:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

پسورد: 123

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

پاندا کلود


انلاین آرمور هم خیلی عصبانی با فایل برخورد میکنه و نپرسیده بلاک میکنه


البته این داره میگه من بلاک کردم ولی دروغ میگه چند بار هم رول بلاک شدنش رو پاک کردم و دوباره اجرا کردم ولی باز بلاک کرد

[Karkas20]

سلام

یک نمونه:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

پسورد: 123

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سلام

نورتون که تو اسکن نشناخت

مالواربیتس میگه تروجان هست

ولی اجرا بکنید / مشخص میشه که مخرب هست

[Jadda]

سلام

نورتون که تو اسکن نشناخت

مالواربیتس میگه تروجان هست

ولی اجرا بکنید / مشخص میشه که مخرب هست

سلام

خب، من دل را زدم به دریا و فایل را اجرا کردم:

CIS، سندباکس خاموش و +D فعال، یعنی فقط با HIPS ،

فایل وقتی اجرا میشه چند فایل دیگه را تولید میکنه و بعد هم همون فایلهای تولید شده را اجرا میکنه!!

خب، فایل اجرا میشه و شروع میکنه به تولید فایل دیگه (عکسها گویاست و کم توضیح میدم)

من این پیغام را Allow کردم تا فایل جدید ساخته بشه ببینم چیه



خب فایل ساخته و پیغام بعدی که میخواد اجرا بشه من هم Allow کردم:



خب، فایل اجرا شد و کمودو اونو شکار میکنه! و من هم پاکش کردم:



ولی فایل اصلی دست بردار نیست و یه فایل دیگه هم میسازه:



من هم بهش اجازه دادم که کارشو بکنه و بعد هم مثل پیغام بالایی این فایل جدید هم اجرا میشه (دیگه عکس نمیزارم؛ ولی مجددا فایل جدید هم شناسایی میشه و من پاکش کردم:



فایل اصلی دست بردار نیست و یه فال دیگه میسازه توی این مسیر و ..... :



در نهایت با بلاک کردن فایل اصلی کلیه فعالیتها متوقف میشه و تمام.

[Jadda]

سلام

بله امضای خوبی هم داره...



اما:



دیگه دوران امضا به سر اومده.......!!

سلام مجدد

الان از کمودو پرسیدم این تشخیص فالس است، میگن نـه !! البته من ایمیل نمیزنم، حضوریه....! شوخی



من یکی که اصلا از این فایل خوشم نمیاد

البته بعدا سعی میکنم یک مخرب مشتی با امضای دیجیتالی بزارم که تخریبگر باشه؛

[arfnpm]

Emsisoft در سیستم شناساییش میکنه اما نمیدونم چرا توی [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] ، توسط ام سی سافت شناسایی نمیشه.
به این نتیجه رسیدم که این سایت نتایجش قابل اعتماد نیست. (توسط موتور E1 یعنی ام سی سافت شناسایی شد.

[Karkas20]

سلام

نورتون الان شناخت

[arash_a]

سلام

یک نمونه:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

پسورد: 123

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

Comodo Internet Security با آخرین آپدیت ویروس رو شناسایی کرد.