- [Duke's Virus Labs #4] - [Page 21] - Что внутри у AVC ??? (c) by Duke/SMF Вот мы и заглянули внутрь AV-баз AVP !!! С помощью утилит AVPX v1.01 by Z0mbie/29A я распаковал базы с намерением узнать полный список детектируемых программой AVP вирусов. После распаковки оказалось, что список не очень удобочитаем (не говоря уже о том, чтобы сравнивать его со списком вирусов в своей коллекции). Пришлось писать тулсу... Итоги распаковки и конвертации, а также саму тулсу вы найдете в прилагающемся архиве. Хочу заметить, что по *.nam файлам можно определить количество записей для одного вируса (если вирус ищется сразу по нескольким сигнатурам). Строки альтернативных записей начинаются с символа '#'. При конвертации nam => txt эти записи пропущены. Я не гарантирую исчерпывающей полноты списка вирусов по причине ошибок в базах. Кому надо - пишите свой конвертер. Отдались базы из кумулятива 01.99. Начинка AVC-файлов: **** Описания вирусов содержатся в следующих AVC-базах: Номер Имя базы 1 backdoor.avc 3 eicar.avc 4 macro.avc 8 trojan.avc c avp9901.avc 0 malware.avc **** В базе ca.avc содержатся всяческие подозрения на вирусы **** В базе unpack.avc - список детектируемых упаковщиков: ===== Cut ===== Diet AVPACK Com2Com ComPack COMPACK Crypt Exe2Com ExePack LzExe PGMPAK PkLite Protect.2.0 Protect.3.0 Protect.4.0 Protect.5.0 SCRNCH TT UCEXE UPD WWPACK Mscan-vac ASPack-md BJFnt PE-Crypt PE-Pack PE-Shield WWPack32 ARF AVL CPAV Crunch Scrambler CryptCOM CryptCOM-b F-XLOCK FileShield Dropper-a Dropper-b Dropper-c Dropper-d Protect.1.0 Protect.2.0 CryptGeneric Com2Exe ObjectModule HDD Image Boot BIN Image ===== Cut ===== **** В базе extract.avc - список детектируемых архиваторов: ===== Cut ===== ARJ ZIP GZIP Embedded MSO PowerPoint Compressor LHA RAR ProCarry DiskDupe TeleDisk DiskImage WinBackup Effect Office ===== Cut ===== **** В базе kernel.avc (т.н. "ядро AVP") - нечто, напоминающее вселенскую свалку : ===== Cut ===== Library #LibPack #Macro #Java #Entry #Cure #Common (Diza) #Emulator #Emulator library #Call emul16 #Call emul32 #Call emul NewExe #MtE.Ludwig.2836 #Zmiana #Advent #Freedom.3600 #Keypress.1212,1216 #Keypress.1216 (Jcc 02) #Keypress.d #Keypress.e #Keypress.e.drop #Keypress.1003 #Keypress.1199 #Keypress.1600 #Keypress.BBS #Freedom.2448 #Gigi.1318 #Gigi.1465 #Triyanto #JMP near #CALL near #JMP short #CALL/JMP far EXE #Ambulance_II #Apparition.700 #Apparition.7035 #Australian.306,482 #Australian.1035 #Cholera.2415 #CrazyPunk.500 #Dark.1016,1020,1023 #DirVirus #Div #Jeru.Havoc #Jeru.Taiwan #LJF #Nuker.Syndrome #PrintMonster #ScreenMixer #Vinnitsa #Vinnitsa, 2 #Albanian #AmazonQueen.479 #Asmodeous.1437,1450 #Astra.1556 #BackFormat.2381 #Brothers #Cybertech.647 #EndOf #Olivia #Olivia #ViruSoft.655 #Dei #F3.1901 #Lokjaw.Pfeiffer,Scratch #MMAND.2048 #Niko #WildLicker #Zombie.PM.4592 #Zombie.PM.4566 #1stVir #8tunes #Acapulco #Acvt #Agena #Amanita #Amuck #AMZ.789 #AMZ.1100 #Aria.4616 #Aurea.653 #Aurea.768.a #Aurea.768.b #BadCom #Bebe.486 #Bebe.b #Bel.2124 #Billiard #Bops #Cannibal #Caterpillar #Caterpillar.g #Caterpillar.m #Chcc #Cheeba #Cheeba #Crocodiles.1592 #Crude #DarkLord #Digress.945 #Enola.1183 #Eupm #Exterminate #Face-2521 #Fair-2083 #Fatty.3008 #Fistik #Flat #Fr-1013 #Freak-938 #Goga #Ha!-1383 #Happy_II #Hary-981 #Havjiva #HH-1024 #HS.1221 #Ichthum.1024 #Inferno #Jeff #Koko #KrK #Lamento #Liberty #Liberty.1170 #Mabuhay #Mabuhay.2660.b #Marawi #Marsia.Minosse #Marzia.WW.2048.a #Marzia.WW.2048.b #Matura.1626 #Monkey-979 #Moscau #Munich.2355 #Peach.887 #Plovdiv.984 #Ppsp #Pulce #Pyramid #Quiet-2048 #Rex.1637 #Saratov.1790 #Saturday14.a #Saturday14.c #SillyC-339 #SillyRC.403 #Sov #Ssi-623 #Ssi-905 #Stryke.253 #Swalker-1266 #TEH #TenBytes #Tim-1600 #Tobacco #V.696 #V.1099 #V.1689 #VLAD.Backwards #VLAD.Backwards #Wang #Wasp.1655 #Yang #ZHT-CV4 #Zyx.5685 #BlackHackTrojan #MOV Reg,Offset // PUSH Reg // RET #COM_EP #Droppers #Skip 1st command ===== Cut ===== Что я могу сказать про содержимое баз... Оно меня приятно удивило !!! 1) Оказалось, что базы не лишены ошибок (достаточно посмотреть на trojan.avc, чтобы убедиться в этом). 2) В базу trojan.avc помещены данные о семействах Dropper.* Trojan.* Intended.* Corrupted.* BinaryImage.* GenDropper.* а также вирусы BAS.Evod и Win95.CIH (!?!) 3) В базу malware.avc ("база для детектирования вредоносных программ" (c) by Евгений Касперский) собраны семейства Hoax.* Joke.* Constructor.* FileCryptor.Crunch PolyCryptor.SUPD.* VirTools.* CardMaker.CreditGen KeyMaker.* Cracker.DAO.* На основании последних двух пунктов могу заявить следующее: пользователи со спокойной душой могут отключить в AVP.SET базы trojan.avc и malware.avc - все равно толку от них никакого, а лишнее занимание памяти, да большая цифра на счетчике известных вирусов. 4) Некоторый семейства разбросаны по нескольким AVC-файлам (так стало с VirTools.* и Corrupted.* ) 5) Полиморфные вирусы собраны в одну кучку (в самом конце основной базы), аналогично поступили с продуктами конструкторов и полиморфных генераторов, с boot-вирусами. Большие семейства собраны по группам (например, HLL). 6) В AV-базах Касперский не придерживается строгого алфавитного порядка, и даже можно наблюдать, что добавилось в базу в последнюю очередь. 7) Делайте выводы - какие криптовщики AVP не знает, теми и пакуйте ! Заглянув в более старые базы, я нашел причину, по которой AVP не мог детектировать мой вирус BAT.MF.351 в зараженных файлах (как я и предполагал, они посчитали паразита за оверврайта :)) В кумулятиве 01.99 эта ошибка заменена на другую (в том же месте :) Поэтому вирус все равно не детектируется ;))) В завершение я хочу поблагодарить Z0mbie за то удовольствие, которое я получил при юзании его утилиты. :))