Волчьи IT-мысли » stuxnet

Stuxnet Memory Analysis and IOC creation

SWW — Thu, 22 Jul 2010 09:11:57 +0000

The stuxnet malware has been making the press recently for two reasons. First it contains two drivers signed with a legitimate (at the time) cert. Second is it’s targeting SCADA systems. The malware is cool for a host of other geeky reasons. Nick Harbour, Stephen Davis, and I started looking at the malware Sunday afternoon. We had hoped to write a blog post about the specifics of the malware before we left for Vegas on Friday. However, in the short term I thought this malware would provide a great opportunity to demonstrate how memory analysis can be leveraged to find malware easily, and how the MANDIANT’s Indicator of Compromise editor (IOCe) tool can be used to describe the malware and what to look for.

Вся статья

Мирт и Гуава. Эпизоды. Свежие новости.

SWW — Tue, 20 Jul 2010 14:25:28 +0000

Мне нечего добавить, просто читайте по ссылке.

Мирт и Гуава. Эпизоды

SWW — Mon, 19 Jul 2010 18:45:52 +0000

Может быть вы еще не в курсе, но был найден довольно интересный вредоносный код, заточенный под промышленные системы. Драйверы-руткиты подписаны подписью компании Realtek, а распространяется вредоносная программа через уязвимость нулевого дня. На вопрос «Где деньги?» пока не ответил ни один вендор. На текущий момент в этой истории очень много белых пятен. Почему сэмпл был обнаружен компанией VBA? Почему обнаружен тогда, когда истекла подпись? Собственно говоря, где деньги?

Пока мы в ЛК анализируем (я — руткит компоненты), можете прочесть первые 3 записи в блоге:

Эпизод 1
Эпизод 2
Эпизод 3