Alvin Chen

變種EMail病毒 - ARJ格式

alvinchen — Mon, 16 Jun 2008 11:00:00 GMT

今日發現2隻新變種病毒，採用好久不見的壓縮檔格式 - arj，

許多防毒軟體或閘道，應可拆解並分析zip或rar；

但不一定能拆解arj。

所以一旦傳到個人用戶，只要有安裝解壓縮程式，

那麼幾乎都可解壓縮arj的格式...

看來DOS時代大名鼎鼎的ARJ壓縮檔，

準備重出江湖了!

樣本畫面1

樣本畫面2

以下防毒軟體已可偵測:

Authentium;5.1.0.4;2008.06.16;W32/Onlinegames.gen

AVG;7.5.0.516;2008.06.15;PSW.OnlineGames.BR

F-Prot;4.4.4.56;2008.06.12;W32/OnlineGames.AE.gen!Eldorado

Fortinet;3.14.0.0;2008.06.15;W32/OnLineGames.fam!tr.pws

Ikarus;T3.1.1.26.0;2008.06.16;Trojan.Win32.Helpud.A

Microsoft;1.3604;2008.06.16;PWS:Win32/OnLineGames.DL!dll

Panda;9.0.0.4;2008.06.15;Suspicious file

Rising;20.48.62.00;2008.06.15;Packer.Win32.Mian007.a

Sophos;4.30.0;2008.06.15;Mal/EncPk-CE

Webwasher-Gateway;6.6.2;2008.06.15;Win32.Malware.gen (suspicious)

SQL Injection 123

alvinchen — Thu, 12 Jun 2008 13:13:00 GMT

最近火熱的資安議題，就是大規模攻台的SQLInjection攻擊。

在五月初時，已可看到一些戰火；而在5/20的前後，

為攻擊的最高峰，並陸續在各大媒體披露；一直到最近才稍稍減緩。

以下是我的一些觀察:

1.無特定對象，且不限系統平台；只要有資料庫的網站，都是攻擊對象

2.時間多在非上班時間，如上班前早上、中午、下班後晚上、午夜凌晨

3.攻擊次數多分散在各日

4.每次(日)攻擊IP皆不同

5.語法特徵混雜16進位碼及大小寫

下面是一些在家中查到的攻擊語法，

大致為權限測試及惡意網址注入。

摘要如下(部分文字以星號取代):

權限測試(原碼):

權限測試(實際語法):

惡意網址注入(原碼):

惡意網址注入(實際語法):

就語法來說，十分精簡，且不易攔截。

<<後語>>

SQLInjection攻擊雖然多指向網頁程式問題，

但個人認為，資料庫權限及語法、網站漏洞修補、作業系統權限及漏洞修補等，

也一樣重要。

只是這些工作，都非一人所能完成，

且環環相扣，因此也不容易面面俱到。

以下是一些個人覺得很有幫助的說明:

SQLInjection(資料隱碼)-駭客的SQL填空遊戲(恆逸資訊胡百敬)

http://www.microsoft.com/taiwan/sql/sql_injection_G1.htm

LINQ-對付SQLInjection的"免費補洞策略"(微軟技術顧問黃忠成)

http://www.microsoft.com/taiwan/msdn/columns/huang_jhong_cheng/LVSS.htm

老掉牙的SQLInjection卻造成你的網站在裸奔(網路攻防戰OpenBlue)

http://anti-hacker.blogspot.com/2008/06/sql-injection.html

自訂 HTTP 404 的網頁錯誤

alvinchen — Mon, 09 Jun 2008 10:37:00 GMT

看膩了 "HTTP 錯誤 404 - 找不到檔案或目錄"?

來客製化吧!

Customizable, search-enabled web error pages - Web Page Error Toolkit
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-tw&FamilyID=deca3e03-4f93-46d1-affc-493c0e02eb63

把不必要的流量，都導到搜尋引擎上面去吧!

列出AD網域群組中的使用者名單

alvinchen — Sat, 07 Jun 2008 16:21:00 GMT

許多人都是用vbscript，在此分享dsget的做法。

Dsget重點是在最後面的參數

範例：Dsget group “CN=群組名稱,OU=OU名稱,DC=網域,DC=com,DC=tw” –members

如果想進一步簡化帳號的欄位，例如只顯示名稱，

那麼可導向並再次執行dsget，加上-display參數。

範例：dsget group " CN=群組名稱,OU=OU名稱,DC=網域,DC=com,DC=tw" -members | dsget user -display

PowerToys for Windows Vista - TechNet

alvinchen — Thu, 15 May 2008 13:02:00 GMT

簡單好用的工具，

以前的"CMD Prompt here"都回來啦！

原文：
Utility Spotlight Script Elevation PowerToys for Windows Vista

或者點這裡直接下載。

about Visual Studio 2008 and Kaspersky

alvinchen — Thu, 08 May 2008 15:33:00 GMT

日前安裝Visual Studio 2008時，就在快完成的時候，防毒軟體忽然跳出紅色視窗，說攔截到病毒 Trojan.generic.Riskware。原本以為是有人攻擊我的電腦，但仔細一看，發現攔截到的是光碟中”setup.exe”檔案。
但這是正版光碟，且其他人裝都沒事ㄟ……所以，當下初步判斷是場誤判，接著按下允許，直到安裝結束。事後我查了一下，發生此問題似乎不多，但為了謹慎起見，今早我仍詢問防毒公司，並請他們釐清真相，看究竟是我電腦問題、還是防毒軟體問題。當天下午，對方某資深工程師回覆，說這個警告是錯的，並將於新版本修正。 <結語> 最後，果然防毒軟體誤判。不過話說回來，一般人應該會認為，想也知道是個誤判啊。看來，我有點太緊張了。

假防毒公司之名、行病毒散布之實

alvinchen — Tue, 22 Apr 2008 15:12:00 GMT

收到某防毒公司寄的信，說有個新產品幫人免費掃毒；內容如下: 既然是防毒大廠，我就不假思索的連上去，之後，該網站立刻自動幫我掃毒… 掃描結果奇慘，報告都是紅叉叉，更慘的是，還說我中毒了！看起來不妙…

就在這個時候，網站很貼心的帶出一支程式要我下載；從檔名看起來，似乎可以解決所有的問題…

就在我準備去按執行的時候，忽然間，我的防毒軟體醒了！告訴我說、這一切都是假象…

聰明的讀者，如果是你，會按允許還是拒絕呢? 這是封假防毒公司之名、行病毒散布之實的email，要你下載的檔案，看似防毒軟體，其實卻是之惡意程式。而這隻程式，仍有50%的防毒軟體掃不出來… 話說回來，這類網站真的是越做越像，然而，在我們嘖嘖稱奇的同時，也應該要擔心如何進行防護之道。

各家病毒回報方式與心得

alvinchen — Sat, 05 Apr 2008 07:50:00 GMT

最近常與病毒打交道，回報多了，就產生一些心得；以下就是是站在非用戶的角色、所做的報告。但畢竟小弟只是業餘人員，如有同好也歡迎交流!

Name	Method	Limit	Reply	Link	Speed	Note
Avast!	Email	may no limit	N/A	click here	N/A	回報後仍掃不到,是回報方式錯誤?
Avira	Email,Web	<8MB	Yes	click here	Medium	處理速度極佳!就免費軟體來說,相當不錯!
BitDefender	Email,Forum	<2MB	N/A	click here	Medium	有時會回覆,有時不會
Eset	Email	may no limit	N/A	click here	N/A	回報後仍掃不到,是我回報方式錯誤嗎?
F-Secure	Web	may no limit	Yes	click here	Fast	處理速度極佳!需注意的是上傳時會有檔名限制
Kaspersky	Email	may no limit	Yes	click here	Fast	處理速度極佳!一般來說會在2hr內回覆
Kingsoft	Web	<5MB <10files	Yes	click here	Fast	處理速度不錯,不過有檔案上傳數量限制
McAfee	Email,Web	<3MB	Yes	click here	Fast	回報限制較多,有時無法讀取對中文檔名
Microsoft	Email,Web	<10MB	Yes	click here	Fast	處理速度極佳!但回報時若網路不穩常會失敗
Rising	Web	<5MB	Yes	click here	Fast	處理速度不錯,但檔案限制有點太小
Sophos	Web	<50MB	Yes	click here	Fast	處理速度極佳!不過上傳時要填寫許多資料
Symantec	Web	<10MB <8files	N/A	click here	N/A	大公司有大公司的規模,回報流程嚴謹,但限制頗多
Twister	Email	may no limit	N/A	click here	N/A	偶爾會收到處理結果,感覺是間還算用心的公司

從Yahoo EMail壓縮擋病毒看防毒軟體比較

alvinchen — Wed, 30 Jan 2008 17:25:00 GMT

此病毒2008/1/18至今，我做一個小測驗，
看看各防毒廠商掃描狀況如何。
(沒想到S家大廠居然尚無法偵測... 還跟我說結案了... )

值得注意的是，32家名單只有46.88%可偵測出來，
這樣的比例和病毒已發佈超過10天的速度相比，
有的似乎較慢了些!

檔案 10_________10_________.zip 接收於 2008.01.30 18:02:40 (CET)
反病毒引擎	版本	最後更新	掃瞄結果
AhnLab-V3	2008.1.31.10	2008.01.30	-
AntiVir	7.6.0.59	2008.01.30	DR/Maran.A
Authentium	4.93.8	2008.01.30	-
Avast	4.7.1098.0	2008.01.30	-
AVG	7.5.0.516	2008.01.30	-
BitDefender	7.2	2008.01.30	-
CAT-QuickHeal	9.00	2008.01.29	-
ClamAV	0.91.2	2008.01.30	Worm.Mytob.IS
DrWeb	4.44.0.09170	2008.01.30	Trojan.PWS.Gamania.origin
eSafe	7.0.15.0	2008.01.28	-
eTrust-Vet	31.3.5497	2008.01.30	-
Ewido	4.0	2008.01.30	-
FileAdvisor	1	2008.01.30	-
Fortinet	3.14.0.0	2008.01.30	W32/OnLineGames.PAB!tr.pws
F-Prot	4.4.2.54	2008.01.29	-
F-Secure	6.70.13260.0	2008.01.30	Trojan-PSW.Win32.OnLineGames.pab
Ikarus	T3.1.1.20	2008.01.30	-
Kaspersky	7.0.0.125	2008.01.30	Trojan-PSW.Win32.OnLineGames.pab
McAfee	5218	2008.01.29	-
Microsoft	1.3109	2008.01.28	PWS:Win32/Wowsteal.gen!A
NOD32v2	2836	2008.01.30	a variant of Win32/PSW.OnLineGames.PLR
Norman	5.80.02	2008.01.29	W32/Malware
Panda	9.0.0.4	2008.01.29	Suspicious file
Prevx1	V2	2008.01.30	-
Rising	20.29.22.00	2008.01.30	-
Sophos	4.25.0	2008.01.30	Mal/EncPk-AP
Sunbelt	2.2.907.0	2008.01.30	-
Symantec	10	2008.01.30	-
TheHacker	6.2.9.202	2008.01.30	Trojan/Agent.adv
VBA32	3.12.2.6	2008.01.29	suspected of Embedded.MalwareScope.Trojan-PSW.Game.14
VirusBuster	4.3.26:9	2008.01.30	Packed/NSPack
Webwasher-Gateway	6.6.2	2008.01.30	Trojan.Dropper.PSW.OnLineGa.pab

附加訊息
File size: 177787 bytes
MD5: 2de2725d001455399793f63f7e31d782
SHA1: 2f5b3dc20d32e949ff48f94713b811335b44998b
PEiD: -
packers: RAR, NSPack
norman sandbox: [ General information ] * IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD). * Creating several executable files on hard-drive. * Accesses executable file from resource section. * File length: 222901 bytes. [ Changes to filesystem ] * Creates directory C:. * Creates directory C:\WINDOWS. * Creates directory C:\WINDOWS\TEMP. * Creates directory C:\WINDOWS\TEMP\RarSFX0. * Creates file C:\WINDOWS\TEMP\RarSFX0\10_ _10_ h.exe. * Creates file C:\WINDOWS\TEMP\RarSFX0\d.exe. * Creates file C:\WINDOWS\TEMP\RarSFX0\10_ _10_ h.txt. * Creates file C:\WINDOWS\TEMP\RarSFX0\2.bat. * Creates file C:\WINDOWS\HELP\F3C74E3FA248.dll. [ Changes to registry ] * Creates key \"HKCU\Software\WinRAR SFX\". * Sets value \"C%%PROGRA~1%WindowsUp\"=\"C:\WINDOWS\TEMP\RarSFX0\" in key \"HKCU\Software\WinRAR SFX\". * Creates key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\". * Sets value \"\"=\"SSUUDL\" in key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\". * Creates key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\InProcServer32\". * Sets value \"\"=\"C:\WINDOWS\HELP\F3C74E3FA248.dll\" in key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\InProcServer32\". * Sets value \"ThreadingModel\"=\"Apartment\" in key \"HKCR\CLSID\{1DBD6574-D6D0-4782-94C3-69619E719765}\InProcServer32\". [ Network ] * Hooks into Shell explorer. [ Process/window information ] * Attemps to NULL C:\WINDOWS\TEMP\RarSFX0\10_ _10_ h.exe NULL. * Attemps to NULL C:\WINDOWS\TEMP\RarSFX0\d.exe NULL. * Attemps to NULL C:\WINDOWS\TEMP\RarSFX0\10_ _10_ h.txt NULL. * Creates a mutex WSXIHUDS.

Yahoo Mail 寄來的壓縮檔病毒 - RAR and ZIP (update2)

alvinchen — Mon, 28 Jan 2008 11:11:00 GMT

陸續發現其他病毒檔名:

你的照片.zip
剋星.zip
媽祖喜歡你.zip
我的相冊.zip
新年賀卡.zip
歌詞.zip
照片.zip
猴.zip
隱私.zip
謎底.zip

Yahoo Mail 寄來的壓縮檔病毒 - RAR and ZIP (update)

alvinchen — Thu, 24 Jan 2008 05:15:00 GMT

這兩天已有出現變種，檔名如下：

question.rar
韓國與日本13歲漂亮MM照片.zip
主星運勢.zip
小雯照片.zip
我乖乖.zip
我女兒相片.zip
接吻越多壽命越長.zip
笑話集笑死你不償命全.zip
網路姊妹.zip
請問都是甚麼人.zip
這運動會否太累.zip

Yahoo Mail 寄來的壓縮檔病毒 - RAR and ZIP

alvinchen — Mon, 21 Jan 2008 16:34:00 GMT

最近攔截到許多尚無法被任何防毒所偵測的壓縮檔(RAR, ZIP)病毒。都是由Yahoo信箱寄出。目前已知的附件檔名如下：

10人看完10人瘋全.zip
card.zip
主星運勢.rar
台灣與香港校園漂亮mm照片.rar
寫真.rar
小時候ㄌ照片.zip
帳號.zip
我的相冊.rar
放屁不要太用力.zip
新信箱.zip
新版電梯鬼故事.rar
是人必看.zip
照片.rar
特搞笑.rar
男人天堂.rar
秘密.rar
這是封紅衣少女ㄉ信_...._誰刪ㄌ....就..必須陪紅.zip
韓國美女金泰熙.rar
小時候ㄌ照片.zip

初步測試，上述病毒主要目的都是為了竊取個人資訊、
或線上遊戲帳號密碼，

目前已回報Kaspersky、Avira、
Microsoft、Avast、Symantec、Ponda六家病毒公司處理。

Kaspersky幾乎1小時內就回覆，Microsoft和Avira也在2小時內回覆，
其他則尚未有消息。附帶一提的是，各家回應的時間，
都在我預期之內；但其中Microsoft這幾次回報速度，
都與Avira不相上下，頗有迎頭趕上的趨勢。

醫生的個人電腦

alvinchen — Sat, 15 Dec 2007 15:33:00 GMT

前幾天身體不適，咳嗽咳得很厲害，最後受不了了，就決定去看醫生。

或許是職業病吧，每到一個地方，我都會打量一下資訊系統。這間診所，基本上雖不大，但該有的都有，有雷射印表機、事務機、LCD螢幕、甚至每台主機都有接UPS，這樣的小診所一定沒有資訊人員，不過該考慮的都考慮到了，當然也可能是比較肯花吧。

快到我的時候，我和幾個病人一起坐在醫師旁邊，等著看診，這時候職業病又來了，忍不住又盯著醫生的電腦螢幕看；不看還好，一看居然看到醫生電腦螢幕的右下角，閃爍著紅色的病毒攔截訊息，但醫生卻一直不去理會，繼續看病。

可能是覺得太礙眼了，醫生開始打電話，從對會內容猜想，應該是外包的電腦公司；醫生就對著話筒說『電腦說有發現病毒，問我怎麼處理，我要按甚麼? 喔… 刪除… 好像不行… 略過… 好了，我知道了』，然後，醫生又隨便點了點滑鼠，就繼續看診…

看到這一幕，其他病患卻都沒有反應，不曉得是他們沒有sense，還是想說認了；不過我心裡是很震驚，很想奪門而出，但怕被認為這個人瘋了；所以，最後，我還是乖乖看了診，然後眼睜睜看得我的個人資訊在這台電腦被修改、存檔…

曾聽一位朋友說，許多門市的個人電腦都是大毒窟，但外包的電腦廠商不會去care，因為資訊安全通常不會在SLA中訂得很清楚，所以既然是這樣，何必做白工?

資訊安全是點點滴滴累積起來的，雖然台灣貴為資訊島國，但民眾的個人隱私，常常在不顯眼的地方就被犧牲掉了。資訊系統，事前的規劃和事後的維護都很重要，只不過沒有出事，往往就被認為是理所當然的，因此不可能會被認為是績效，自然而然也無法吸引注意了。

至於我的感冒，好很多了，但咳嗽還是很嚴重；只不過每次一咳嗽，我就會想到醫生電腦螢幕上的病毒警訊，同時也會猜測，我的個人資料，現在會在哪個國家的駭客手中?