30-Oct-2000 AV NEW!
Symantec опубликовал описание вируса Win95.Bistro :
W95.Bistro is a virus that infects files under Windows 9x. It is currently one of the most complex, difficult to detect 32-bit metamorphic virus. The virus infects Portable Executable (PE) files, and it adds an infected executable into .zip or .rar archive files.
По инормации в теле вируса, он предположительно написан вирусописателями по имени Ghostdog (UK) и Mesut (Turkey). Неужели кому-то верится, что человек, RIP'нувший IRC-червя у российского вирусописателя mongoose способен написать собственный метаморфный вирус? На самом деле, этот вирус является rip'нутым вирусом Win32.Zombie.5 by Z0mbie. Между прочим, вот уже неделю AVP имеет в своем распоряжении экземпляры этого вируса, но вирус так и не добавлен в базу!

30-Oct-2000 AV NEW!
Выпушен октябрьский Wild List Октябрь'2000.

29-Oct-2000 VX NEW!
Сегодня на зарубежной сцене произошло несколько взаимосвязанных событий.
1. VirusBuster/29A выложил на своей странице http://www.coderz.net/vtc в разделе новостей сообщение о том, что (по мнению некоторых вирмейкеров) Ignite, AngelsKitten, GzR из группы neo-NuKE на самом деле один и тот же человек, известный как KnowDeth (лидер группы Metaphase).
2. MrSandman/29A, выступает за защиту свободы слова и против цензуры на вирусной сцене. По его словам, через несколько минут после того, как VirusBuster обновил свой сайт и ушел в offline, кто-то модифицировал страницу новостей VB и вместо новостей о группе NuKE вставил текст о мыльной опере :) Не говорится вслух, но подразумевается, что это дело рук Evul - владельца сервера www.coderz.net и мембера группы Metaphase.
3. VirusBuster закрыл свою страницу http://www.coderz.net/vtc и перенес сайт на новое место.
4. KnowDeth в разговоре со мной сообщил, что бред VirusBuster'а не имеет ничго общего с реальностью: KnowDeth знаком с мемберами neo-NuKE, а с некоторыми даже учился в одном колледже, но раздвоением личности не страдает.

27-Oct-2000 SECURITY NEW!
Скандал со взломом Микрософта. Официальный пресс-релиз можно прочитать здесь. По сообщению средств массовой информации, взлом осуществлен с применением вируса-бакдора Worm.Qaz. Если верить описанию в энциклопедии AVP, это очень примитивный червь, способный распространяться по локальной сети, и вообще удивительно, что с его помощью за 12 дней хакеры смогли скачать много информации из MicroSoft. Бум этого вируса пришелся на Июль/Август этого года, и уже с августа все крупнейшие антивирусы умеют детектировать и удалять его. После этого становится странным, что целый 12 дней вирус оставался необнаруженным - представляете, на каком зачаточном уровне находится безопасность (в том числе антивирусная) в MicroSoft ? Этот взлом - лучший аргумент против использования продукции от MicroSoft. Вирус имеет китайское происхождение, но было сообщено, что в вирусе найден почтовый адрес (предположительно хакера), который открыт в Санкт-Петербурге (www.mail.ru). Теперь Санкт-Петербург буквально наводнен зарубежными журналистами :)

26-Oct-2000 VX NEW!
VirusBuster нашел себе новых врагов - Evul & Darkman/29A. Видимо, считать себя известным деятелем VX сцены можно только после ссоры с VB. Список оппонентов VB растет и ширится, вступайте в их ряды!

25-Oct-2000 AV NEW!
По сообщению журнала Asterix, Norton Antivirus 2001 при включенной опции "scan all" не проверяет содержимое папки C:\_RESTORE. Если эта директория явно указана для проверки, то содержащиеся в ней вирусы не лечатся. По моему мнению, это не бага, а фича - таким образом аверы тестируют собственную коллекцию вирусов, размещая ее в C:\_RESTORE. Однако, этой фичей можно воспользоваться при написании вирусов и троянских коней.

24-Oct-2000 VX NEW!
RedArc объявил конкурс на самый короткий search вирус. Условия конкурса :

1. Вирус типа Search для COM программ (программы с EXE-форматом
заражаться не должны).
2. Записываться в файл можно куда угодно.
3. Программы должны работать как до заражения, так и после.
4. Вирус должен иметь минимальный размер или стремиться к тому.
5. Все байты вируса должны быть больше или равны 21h (можете шифровать
тушку или придумать чего-нибудь оригинальное). (!изюминка конкурса!)
6. На конкурс предоставляются следующие материалы:
6.1. Псевдоним автора
6.2. Краткое описание идеи
6.3. Комментированный исходник вируса
6.4. Работоспособный экземпляр вируса
[skip]
Условия второго тура конкурса еще лаконичнее: довести лучшие идеи из
первого тура до ну самого минимального размера общими усилиями.

В конкурсе победит тот, на ком остановится второй тур, т.е. тот кто
представит самую маленькую зверушку (как это было в конкурсе на
минимальный компаньон). Однако во втором туре будут рассматриваться
только те работы, авторы которых приняли участие в первом туре.

Конкурс стартовал! Ждем ваши работы для первого тура в течении двух
недель со дня опубликования данного письма.

24-Oct-2000 AV NEW!
Как снег на голову на нас свалился новый кумулятив AVP. Они видимо сбились с ритма "4 раза в год" и стали выпускать кумулятивы ежемесячно. Как обычно ;) часть вирусов переименована (Trojan.RBTG -> Constructor.BAT.RBTG, и это при наличии вируса Constructor.RBTG ;)). Вирус Cracker.PSW.Lopht (коммерческая утилита расшифровки паролей Windows NT by L0pht Heavy Industries) удален из базы. Зато добавлены вещи наподобие FileCryptor.Crypt.437 :-))) Баги :

20-Oct-2000 AV NEW!
Главная проблема антивируса AVP это скриптовые вирусы. Вот краткий список недоразумений, которые присутствуют в базах :

18-Oct-2000 VX NEW!
Coderz.net снова в дауне. Похоже, что всерьез и надолго.

18-Oct-2000 VX NEW!
Читайте интервью с Gigabyte : часть 1 и часть 2.

18-Oct-2000 AV NEW!
DrWeb во всем идет на поводу у AVP. Это подражание довело до того, что сегодня появилось ежедневное "горячее" дополнение баз. На самом деле это отстой, потому что DrWeb добавляет преимущественно malware. Неужели нельзя было придумать ничего оригинального ?

17-Oct-2000 AV NEW!
В ежедневное абновление AVP добавлено много Linux-бакдоров. Можно предположить, что в ближайшее время будут добавлены новые вирусы и троянцы для *NIX систем.

15-Oct-2000 VX NEW!
Забавно... Достался мне в коллекцию вирусок (раннее он редким среди коллекционеров, а теперь-то он есть у всех) под названием VirTools.SMF_Example. У него есть сородичи под буковками .a и .b , но сейчас речь не о них. Так вот, ковыряя свою коллекцию добрался я и до него. Заглянул и удивился - внутри красуется гордая надпись "(c) 2000 Duke/SMF". Вот те на, подумал я, ничего подобного не писал, а копирайты мои стоят. А я то еще грешил на Касперского (извини, Женя!), что он неверно вирус назвал.

Но это еще не все интересное. Другие вещицы из этого семейства однозначно принадлежат перу Z0mbie, да и в этом его почерк чувствуется - одно только поражение pbrush.exe чего стоит... Вопрос к нему - и зачем тебе это надо ???

14-Oct-2000 AV NEW!
Ну и спецы работают на DrWeb! Это же надо, назвать паразитический вирус BigBug как HLLO.Duke.9500! Брали бы лучше пример с AVP, которая называет этот вирус HLL.BigBug.9500.

13-Oct-2000 AV NEW!
Скандал-скандал... Добавление "вируса" Keymaker.WinACE в базы AVP вызвало бурные протесты со стороны общественности. Под этим именем детектируется генератор ключей для программы WINACE V1.31, написанный кракерской группой CORE. AVP Team пытается отмолчаться, надеясь что тема вскоре закроется. Но не тут-то было. Всплывшая на поверхность продажность аверов не делает им чести. Было сказано, что аверы за большие деньги добавляют в свои базы краки для софта, умалчивая это в документации. Поскольку AVP Team не опроверг этот факт, то его подлинность больше не вызывает сомнений. Избранные письма из переписки в AVP.SUPPORT читайте здесь.

06-Oct-2000 VX NEW!
Kamaileon покинул вирусную сцену. Странно, всего месяц назад он основал новую группу, а теперь уходит со сцены... во второй раз.

05-Oct-2000 AV NEW!
На сайте AVP мной был замечен интересный "прокол" - 5 числа на сайте было выложено обновление от 10 числа :-))) Скриншот гостей из будущего можно посмотреть здесь (250kb ;)

05-Oct-2000 VX NEW!
Снова объявился Януш Миловский. Его проект Top Device последние два месяца влачил жалкое существование - несколько вирусных новостей от Ultras, ни одной статьи (потому что Ultras и Z0mbie отдали свои статьи в MATRiX #2)... Я уж подумал, что проект приказал долго жить... Но, вернулся Януш, объяснив свое отвутствие сгоревшими компами и модемами.

04-Oct-2000 VX NEW!
Paul Zest опубликовал на своей страничке исследование на тему "Vesselin Bronchev = Dark Avenger". Для тех кто не знает, поясню что VB - старейший и известнейший западный авер, а DA - старейший и известнейший западный вирусописатель ;-) На этой же странице вы можете почитать истории про других западных аверов.

03-Oct-2000 AV NEW!
Вышла новая давно обещанная версия AVP 3.5. Переделан GUI. Выпуск новой версии AVP 4.0 "Prague" обещан на первую четверть 2001 года.

03-Oct-2000 VX NEW!
Конкуренция между авторами вирусосортировочных утилит продолжается. Новое письмо от Black Cat :

From:  "Black Cat BCVES, FCF member."  
To:  bcves@egroups.com 
Subject:  [bcves] VB - What else? [OT] (Read it - pls) 
Date:  Tue, 3 Oct 2000 03:21:24 -0700 (PDT) 


Hi all! Again VirusBuster... And he is again doing
such fool things, that I'm feeling sick. (And hope,
most of us, agree.) I did have a look at the new
version of VS2K, and the help... And I saw some
things... The last version of VS2K contained bugs. And
not one, more. One was reported by Perikles. (He
knows.) So... Last time VB said, VSNG won't get any
points for bugs on his toplist, because it contains
some bugs. (Of course, because there is no perfect
program) And he told me, he gave himself a full point,
because his program is perfect... Now what? Two
detected bugs in VS2K? In a perfect program? Don't u
think, that it means, that there could be even more? 
And I don't say, VSNG has no bugs... It HAS! But I'm
working on it, to make it as bug free as I can...
So I think VB's point chart is... Well... It seems
that it DOES not GIVES back the real state of
things... It makes me laugh, (and sick)... And it is
again an interesting question... As soon as, VSNG has
a new version out (containing always lot, and quality
services), VB immediately wants to copy them. Or he
tries to copy, but in most cases, he fails. The thing,
(that VS2K comes out after VSNG) shows, that VB is
still the same lamer as he was. Thank u for your
patience, to listening me, I think everybody should
think over on it...
Anyway I'm searching for VSNG and Shell beta testers.
If anybody want to help me, pls, write me... (this
thing again shows, that I try making my program as
good and fast as it is possible). Anyway, the new V1.6
will be out in some weeks, and I could DOUBLE it's
effective speed... When it will out, it will be the
fastest, and most complex virus trading tool
available. (Not thinking on Vkeeper, wich is a very
good, but slow utility, doing not LOG, but collection
sorting jobs... But VSNG V1.6 and V1.7 will change
this thing too...) 
Thx. Bye!

=====
CU Black Cat
THE BLACK CAT VIRUS EXCHANGE SYSTEM
URL: http://www.shadowvx.com/blackcat

02-Oct-2000 VX NEW!
Анонсирован выход журнала G9N #2.

29-Sep-2000 VX
Один из столпов российской вирусной сцены Z0mbie сегодня обновил свою страничку. Спешите видеть новейшие технологии.

28-Sep-2000 VX
T-2000, скандалист вирусной сцены, попытавшийся возродить группу IRG (он был единственным мембером neo-IRG), заявил о своем уходе с вирусной сцены, сказав что ему надоели вирусы.

27-Sep-2000 VX
Антивирусные компании в один голос заявляют об эпидемии вируса I-Worm.MTX и его разновидностей. Этот вирус написан коллективом группы MATRiX. Вирус работоспособен под Win32, поражает PE-файлы, рассылается по электронной почте и устанавливает backdoor. При рассылке по почте вирус использует одно из следующих имен :

  README.TXT.pif
  I_wanna_see_YOU.TXT.pif
  MATRiX_Screen_Saver.SCR
  LOVE_LETTER_FOR_YOU.TXT.pif
  NEW_playboy_Screen_saver.SCR
  BILL_GATES_PIECE.JPG.pif
  TIAZINHA.JPG.pif
  FEITICEIRA_NUA.JPG.pif
  Geocities_Free_sites.TXT.pif
  NEW_NAPSTER_site.TXT.pif
  METALLICA_SONG.MP3.pif
  ANTI_CIH.EXE
  INTERNET_SECURITY_FORUM.DOC.pif
  ALANIS_Screen_Saver.SCR
  READER_DIGEST_LETTER.TXT.pif
  WIN_$100_NOW.DOC.pif
  IS_LINUX_GOOD_ENOUGH!.TXT.pif
  QI_TEST.EXE
  AVP_Updates.EXE
  SEICHO-NO-IE.EXE
  YOU_are_FAT!.TXT.pif
  FREE_xxx_sites.TXT.pif
  I_am_sorry.DOC.pif
  Me_nude.AVI.pif
  Sorry_about_yesterday.DOC.pif
  Protect_your_credit.HTML.pif
  JIMI_HMNDRIX.MP3.pif
  HANSON.SCR
  FUCKING_WITH_DOGS.SCR
  MATRiX_2_is_OUT.SCR
  zipped_files.EXE
  BLINK_182.MP3.pif

26-Sep-2000 SECURITY NEW!
Обнаружен бакдор в клиенте RAT NokNok 8.0. Он отсылает автору кешированные файлы с вашего компьютера. Вот и верь после этого людям...

26-Sep-2000 AV
Лаборатория Касперского разродилась статьей про различия между Backdoor и утилитами удаленного администрирования. Читайте здесь.

26-Sep-2000 AV
Вышел F-Prot 3.08. Изменились имена 2451 вируса :-) VirusBuster сообщил о найденном баге в программе: F-Prot не может детектировать все вирусы в архиве (некорректная распаковка либо некорректный алгоритм анализа формата архива)..

25-Sep-2000 VX
Bumblebee/29A открыл сайт вирусных новостей по адресу http://www.coderz.net/vxnews.

24-Sep-2000 VX
Вышел журнал DIE #2 от группы ASM. Занимает 4.5mb. В журнале представлены статьи кодерской направленности (DOS/Win32 ASM) - краки, патчи, и прочее, а также несколько вирусов. Хитом сезона стало наличие бакдора SubSeven в просмотрщике журнала. После этого разоблачения автор журнала Renegade/ASM заявил о своем уходе со сцены (за 7 лет своего обитания на вирусной сцене он написал 152 вируса).
VirusBuster выступил в защиту Renegade, сказав что это была случайность :-)
[по материалам http://virus.cyberspace.sk]

23-Sep-2000 AV
Новый Wild List Сентябрь'2000.

22-Sep-2000 AV
Вышел еженедельный апдейт AVP. AVP сообщило о появлении первого "настоящего" вируса под PalmOS - Palm.Phage (другое имя - PalmOS/Phage.963). Это примитивный overwriting вирус. В этом же апдейте детектируется троянец Trojan.Palm.Vapor. Если у вас есть эти вирусы - поделитесь с нами и родина вас не забудет :-)

19-Sep-2000 AV
Вышел новый кумулятив, и баз AVP коснулась череда переименований :

Есть и откровенные баги :

19-Sep-2000 VX
Cicatrix на своем сайте http://vdat.cjb.net сообщил, что вышедшая на днях версия VDAT 2000.2 стала последней. Он не будет выпускать новых версий, поскольку его работу никто не ценит и он не хочет чтобы из-за VDAT разгорались конфликты. Таким образом, из-за вздорного характера VirusBuster'а мы все остались без нашей любимой энциклопедии :-(

Широко известный в вирмейкерских кругах Knowdeth возглавил акцию под названием "Keep VDAT by popular demand". Посетите его страницу http://www.angelfire.com/zine/vdat и присоединяйтесь к этому движению ! Размещайте на своих страницах баннеры акции (скоро появятся в онлайне), пишите письма Knowdeth'у (он добавит ваше имя к числу сторонников VDAT, пишите письма Cicatrix'у с просьбой о продолжении издания VDAT !

19-Sep-2000 VX
Тайванец Chen Ing-Hau (автор вируса Win95.CIH) был арестован полицией. Теперь ему грозит заключение на срок до 3 лет.

19-Sep-2000 VX
Ждем выхода сентябрьских журналов Natural Selection #1, Coderz #1 и декабрьских 29A #5, XINE #5.

18-Sep-2000 VX
Видимо VirusBuster'у надоело раздувать скандалы с Tally по поводу спертых ссылок и с SlageHammer по поводу его личной жизни. Поэтому он переключился на Cicatrix'а. Теперь VirusBuster стал противником введения регистрационных ключей для VDAT (где же он раньше был, полгода назад, когда они только появились), поднял широкие народно-вирмейкерские массы на борьбу с Cicatrix'ом и в компании с Mist распространяет приватные ключи для VDAT. По меньшей мере - некрасивый поступок, не стоило выносить сор из избы и объявлять войну. Между прочим, все с кем скандалит VirusBuster (кроме BlackCat) - бывшие мемберы группы VTC.

15-Sep-2000 AV
Вышел восьмой апдейт для DrWeb. В этом апдейте аверы совершили героический поступок - попытались де-мутировать файлы созданные программой Advanced Batch Mutator v1.0. Смутированные вирусы детектируются под именем BAT.Duke.222, а утилиту - Duke.Generator. Алгоритм демутации довольно неплохой, и позволяет детектировать файлы смутированные более поздними версиями :
v1.0 - 10/10
v1.1 - 06/10
v1.2 - 01/10
v1.3 - 00/10
До этого попытку демутации предпринимал лишь Inflamed в утилите Anti-ABM.

В этом же апдейте DrWeb (по аналогии с AVP) стал детектировать Trojan.RBTG, который на самом деле не имеет ни ко мне, ни к RBTG никакого отношения.

13-Sep-2000 VX
Новости прошедшей недели :

11-Sep-2000 AV
Лаборатория Касперского выпустила пресс-релиз о вирусах в файловой системе NTFS. В нем заявляется, что аверами обнаружено несколько способов обхода антивирусных мониторов при вызове на исполнение вирусного кода из NTFS, а также анонсирован выход на этой неделе AVP 3.5.

08-Sep-2000 VX
Новости прошедшей недели :

02-Sep-2000 VX
Вышел журнал MATRIX #2 одноименной группы. Оболочка и демки работают только под Windows 2000. Непонятно только, зачем такая ориентация на заоблачные ресурсы ? На моем Celeron 366/RAM 32 Windows 2000 тормозит и ставить его ради посмотра одного журнала я не собираюсь :-P так же как и сотни других читателей. Так что, авторы журнала будут наслаждаться вьювером в одиночку. Если смотреть журнал без вьювера, то сразу проклевывается масса недостатков - нет списка статей; файлы с гритсами есть, но не поймешь от кого именно эти гритсы; xml файл кривой и IE4 не читается. Общее впечатление от оформления журнала - удручающее. А вот по качеству - журнал на высоком уровне. Как обычно, интересные статьи от Z0mbie, снова IRC-черви от Del_Armg0, предпочтение Win32-технологиям. Все статьи на английском, много статей от российских авторов (ULTRAS, Z0mbie, LordDark), но иногда создается впечатление, что где-то это уже было... А еще меня умиляют помещенные в журнал исходники, которые не хотят компилироваться (например, отсутствуют подключаемые файлы, ошибки в коде, отсутствие комментария в нужном месте и прочее), т.е. когда статьи помещают в журнал не глядя ;-)) Скачать журнал можно здесь.

01-Sep-2000 AV
Диалог-Наука выпустила на неделю (!) запоздавшее еженедельное обновление номер 6 для DrWeb. Неужели у них закончились все вирусы ??? Да вроде бы пока нет... Снова DrWeb приписывает мне авторство чужих вирусов : Trojan.Duke.2303, BAT.Duke.1319, 1326, 1597, 1801. Что такое первый вирус - понятия не имею, а вот батники создал GhostDog с помощью конструктора IBBM (детектируются как семейство BAT.IBBM.England by AVP).

При тестировании этого апдейта я обнаружил одну нехорошесть в алгоритме поиска BAT-вирусов программы DrWeb. Мной обнаружено, что программа ищет сигнатуры BAT-вирусов только в файлах с некоторыми специфическими расширениями (например, *.BAT). Если сменить расширение на другое (например, *.VIR), то вирус в этом файле найден не будет ! Таким образом, программа AVP превосходит DrWeb, т.к. способна детектировать вирус в любом файле, независимо от его расширения.

01-Sep-2000 SECURITY
Сегодня в интернете появилась новая программа для DDoS-атак - Omega v3.

01-Sep-2000 AV
Поздравляю всех c первым днем осени. По этому случаю Kaspersky Labs сменили дизайн своего сайта www.avp.ru.

31-Aug-2000 AV
В сегодняшнем пресс-релизе Лаборатория Касперского успокаивает пользователей мобильных телефонов, сообщая что все известия об обнаружении вируса для мобильников - не более чем ложная тревога. Действительно, существует троянский код, который при передаче его в SMS-сообщении блокирует все кнопки мобильника. В пресс-релизе есть такие интересные слова :

"Мы склонны рассматривать произошедшее как "фальстарт" в плане появления нового поколения вирусов, заражающих мобильные телефоны", - сказал Михаил Калиниченко, технический директор "Лаборатории Касперского", - "Несмотря на это, такие вирусы могут действительно появиться в самое ближайшее время. Для предотвращения этой угрозы наша компания скоро представит первый в мире платформонезависимый антивирус, который можно без существенных трудностей адаптировать для работы на любых процессорах, операционных системах и даже мобильных телефонах, портативных вычислительных устройствах, "интернетизированной" бытовой технике".