In einigen Themen wurde kürzlich wieder darauf hingewiesen (insbesondere von den Kollegen des Ratboards), wie einfach es doch ist, mit einem Packer und/oder Crypter selbst gute AV Scanner wie McAfee oder KAV zu täuschen.

Da dies der Wirklichkeit entspricht, frage ich mich, ob es Sinn machen würde, hier möglichst viele der noch unbekannten Packer und Crypter zu posten. Ich selbst könnte insoweit Folgendes beitragen:

1. Einige unbekannte Packer und Crypter.
2. Eine Anleitung wie man solche Packer und Crypter findet (gedacht für weniger erfahrene User, die sich durch harte! Arbeit nützlich machen und damit der AV Szene helfen wollen).

Das Ganze macht aber nur Sinn, wenn wir zuversichtlich sein können, dass jeder neu gepostete Packer bzw. Crypter auch umgehend! vom jeweiligen AV Hersteller in die Unpacking Engine eingebaut wird. Ansonsten würde dieser Thread ja nur der Gegenseite nützen.

Haben wir so gute Kontakte zu den AV Herstellern, dass die von mir angedachte Verfahrensweise Sinn macht?

Gruss Nautilus

ich finde das thema zwar interessant und bin auch gegen security by obscurity, aber wenn wir hier anfangen funktionierende crypter/packer kombis zu posten, sind wir sofort top-thread auf dem ratboard.

ich bin mir nicht sicher, ob man das hier machen sollte.

.cruz

@Cruz Ich bin mir auch nicht sicher, ob das wirklich so schlau ist. Und falls doch, müsste man den Thread evt. auf solche AV Hersteller (z.B.: KAV) beschränken, bei denen eine schnelle Reaktion erwartet werden kann.

Bei Herstellern ohne vernünftige Unpacking-Engine erübrigt sich die Suche ja ohnehin...da fast jeder Packer nicht erkannt wird

Nautilus

KAV, McAfee - das wars ;o).

Ich halte es übrigens für durchaus sinnvoll ).

wie stehts denn eigentlich mit der ants-unpacking engine? =)

.cruz

Auf die Gefahr hin, dass Seltsam mich korrigiert:

Ants 2 hat keine und auf Ants 3 müssen wir wohl noch einige Zeit warten.

Nautilus

ants 2 hat keine, ants 3 kann fast alles ;o).

ich fänd son beitrag auch gut *fg* dann bräucht ich den dreck nich selber suchen um die unpacking engine auszubauen....ob das in der öffentlichkeit was bringt weiß ich nich. aber kannst mir gerne emails mit packern schicken

Da ich sowohl zu Kaspersky als auch zu McAfee beste Connections habe, würde ich mich gern bereiterklären, diese an sie weiterzuleiten. Das Beste ist immer ein mit dem jeweiligen Packer/Crypter gepackter Server mit dem entsprechenden Hinweis an diese beiden Firmen senden. Der Erfolg stellt sich meist recht schnell ein. Übrigens geht die KAV Ekennung langsam in Richtung 1000 verschiedene Packer/Crypter. (Varianten natürlich mit eingeschlossen)
Also her mit den Files : virus@rokop-security.de

Wie Bitmaster schon geschrieben an Rokop-Security schicken, da dort bereits ein Verteiler mit persönlichen Kontakten zu AV Firmen besteht. Somit bekommen die richtigen Leute direkt die Packer zugestellt.

Eine Veröffentlichung der Packer hier (oder in einem anderen Forum) würde nichts nützen, da man die AV Firmen so oder so anschreiben muss. Außerdem ist nicht jede AV Firma in der Lage innerhalb kürzester Zeit Updates zur Erkennung diese Packer bereit zustellen. IMHO scheint Kaspersky die einzige Firma zu sein, die so flexibel ist.

Und warum sollte man hier einen Top-Threat für Scriptkiddies machen? Davon haben wir (leider) schon genug in diesem Forum.

wizard

Hmm...so wie es mir bislang scheint, wird aus dem Projekt wohl mangels Bereitschaft zum Mitmachen eh nichts werden. Zwar wollen alle AV Coder gerne unbekannte Packer und Crypter (vermutlichst möglichst auf Exklusivbasis zugesandt bekommen, für die mühsame Suche hat sich aber noch niemand gemeldet.

Mein Vorschlag, die Ergebnisse hier zu posten, hatte insbesondere drei Gründe.

1.
Wir werden wohl niemand finden, der sich die Mühe macht, nach solchen Packern und Cryptern zu fahnden, wenn er nicht anschliessend den "Gummipunkt" dafür abkassieren und den Packer hier öffentlichkeitswirksam posten darf.

2.
Das Posten eines Packers dient auch zur Kontrolle der AV Hersteller. Denn diese werden sonst möglicherweise einfach nur eine neue Signatur für den gepackten Trojaner erstellen, statt sich der viel mühsameren Aufgabe zu unterziehen, ihre Unpacking Engine zu erweitern.

3.
Die Suche nach den Packern sollte wohl organisiert werden, d.h. es sollte nicht jeder die gleichen bekannten Downloadseiten für Packer/Crypter abklappern bzw. mittels Suchmaschine nach ihnen fahnden. Stattdessen sollte die Arbeit (beispielsweise nach Anfangsbuchstaben oder Sourcen etc.) aufgeteilt werden, um eine möglichst effektive Suche zu gewährleisten.

Mal sehen, was aus dem Thread wird Schaue spätestens nach meinem Urlaub noch mal rein.

Nautilus

[ 04. September 2002, 21:36: Beitrag editiert von: Nautilus ]

</font><blockquote>Zitat:</font><hr />Original erstellt von Nautilus:
Mal sehen, was aus dem Thread wird Schaue spätestens nach meinem Urlaub noch mal rein.</font>[/QUOTE]Vermutlich nichts. Denn Dein Ziel AV Software zu verbessern wirst Du nicht erreichen. Dafür machst Du mit Deiner Idee nur Scriptkiddies glücklich.

Bezüglich Deiner Idee solltest Du folgendes überdenken:</font>[*]AV Firmen haben ein generelles Interesse einen Packer zu adden. Das ist leider nicht bei jeder Firma der Fall</font>[*]So gut wie kein AV Programm (KAV mal ausgenommen) bietet die Möglichkeit eines schnellen Updates von Packern an. Wenn die Scanengine bezüglich Packer modifiziert werden muss dann kann dies Monate dauern bis diese veröffentlicht wird. Also hast Du hier wochenlang eine 1A Quelle für Scriptkiddies geschaffen.</font>[*]Packer und Crypter sind alles andere als leicht zu für AV Programme zu entpacken. Da ist zum Teil eherblicher Reverse Engineering Aufwand nötig. Das kann Monate dauern.

wizard

Hmm...grundsätzlich lege ich keinen besonderen Wert auf das Veröffentlichen. Bitte deshalb um einen Gegenvorschlag, der

1. potentielle Mitsucher ausreichend motiviert (bis jetzt hat sich ja noch kein einziger gemeldet!);

2. sicherstellt, dass nicht nur KAV und McAfee von der Suche profitieren;

3. eine Kontrolle der Reaktionen der AV Hersteller ermöglicht (d.h., werden die neuen Crypter tatsächlich zeitnah eingebaut?).

Gruss Nautilus

[ 05. September 2002, 07:51: Beitrag editiert von: Nautilus ]

</font><blockquote>Zitat:</font><hr />Original erstellt von Nautilus:
Hmm...grundsätzlich lege ich keinen besonderen Wert auf das Veröffentlichen. Bitte deshalb um einen Gegenvorschlag, der

1. potentielle Mitsucher ausreichend motiviert (bis jetzt hat sich ja noch kein einziger gemeldet!);</font>[/QUOTE]Das hat meiner Meinung nach nicht etwas mit motivieren zu tun. Leute die "Freakig" genug sind, sich ihre Zeit mit soetwas zu vertreiben, werden nicht erst motiviert werden muessen und die anderen werden sich das wohl nicht antun.

</font><blockquote>Zitat:</font><hr />2. sicherstellt, dass nicht nur KAV und McAfee von der Suche profitieren;</font>[/QUOTE]Da hat sich Bitmaster ja schon angeboten. Er wird wohl fuer die gerechte Verteilung sorgen.

</font><blockquote>Zitat:</font><hr />3. eine Kontrolle der Reaktionen der AV Hersteller ermöglicht (d.h., werden die neuen Crypter tatsächlich zeitnah eingebaut?).</font>[/QUOTE]Das laesst sich wohl kaum bewerten. So ziemlich alle AV-Firmen haben (akuten?) Personalnotstand, zumindest Frisk und Kaspersky(die wollen wohl noch 2 fuer soetwas einstellen). Die meisten haben nicht die Zeit sowas in angemessener Zeit einzubauen, sofern nicht etwas hoeher auf deren Prioritaetsliste steht.

MfG Raman

</font><blockquote>Zitat:</font><hr />Thus spake Nautilus:
grundsätzlich lege ich keinen besonderen Wert auf das Veröffentlichen.</font>[/QUOTE]Sowas stößt mir sauer auf. Trotzdem möchtest du, daß...
</font><blockquote>Zitat:</font><hr />potentielle Mitsucher ausreichend motiviert </font>[/QUOTE]...werden? Für wen oder was sollen unbekannte Packer oder Crypter zusammengetragen werden, wenn sie doch nicht veröffentlicht werden sollen? Du plädierst für eine Veröffentlichung im elitären Zirkel? Damit deine Scriptkiddy-Freunde weiterhin alle Möglichkeiten haben, Packer und Crypter zu verwenden, und der gemeine Nutzer keine Chance hat, solche Packer/Crypter zu erkennen? [img]graemlins/pfui.gif[/img]