The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Комплекс вредоносного ПО 'Дроворуб' заражает ОС Linux, opennews (??), 14-Авг-20, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


151. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Michael Shigorinemail (ok), 14-Авг-20, 10:32 
И то, и другое помогает как-то купировать агрессию недоумков, которым жрать хочется продолжать в три глотки, а вот работать -- это для других.

PS: я понимаю, что сейчас форсится вой на тему "русские/китайцы/иранцы спёрли вакцину от китайского вируса у умненьких америкосов", вот только глядя на репортажи с тамошних улиц и изнасилование науки политкорректью -- чё-то сомнения в уме берут.

Ответить | Правка | Наверх | Cообщить модератору

206. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +3 +/–
Сообщение от mos87 (ok), 14-Авг-20, 12:14 
Михаил а вы с собой огнетушитель носите? просто у вас так подгарает от пендосни что учитывая сколько вокруг пендосского мне за вас страшно
Ответить | Правка | Наверх | Cообщить модератору

316. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  –2 +/–
Сообщение от Ordu (ok), 14-Авг-20, 23:25 
> я понимаю, что сейчас форсится вой на тему "русские/китайцы/иранцы спёрли вакцину от китайского вируса у умненьких америкосов", вот только глядя на репортажи с тамошних улиц и изнасилование науки политкорректью -- чё-то сомнения в уме берут.

Кстати, ты поднял очень интересный вопрос. Я не ждал, что наши смогут выкатить вакцину раньше амеров. По разным причинам, но основная в том, что в США в фармакологии крутятся непредставимо бешеные деньги, у них это крутая индустрия, где всё отлажено, давно поставлено на рельсы, причём с магнитной подвеской. Но наши выкатили раньше, хоть и передвигались на дрезине. Несмотря на десятилетиями непрекращающуюся утечку мозгов, несмотря на весьма скромное финансирование медицины, несмотря на то, что в аптеке всё забито импортными лекарствами (или сделанными по импортной лицензии). Как так могло случится? Что за чудо? Не, ну реально, если наши умеют производить такие чудеса, то если понять как им удаётся, можно увезти секрет в США и заработать миллиарды, продавая его. Но этого ещё никто не сделал, и, естественно, я заподозрил какое-то шулерство. Не поленился, полез разбираться.

Есть четыре этапа исследований новой вакцины.
1. на небольшой группе людей.
2. на большой группе людей
3. рандомизированное слепое исследование эффективности вакцины
4. постмаркетинговые исследования

Вакцина считается вакциной после прохождения третьего этапа. Наши заявили, что они разработали вакцину, после второго этапа. То есть, если, по-хорошему, они показали что введение вакцины не смертельно, и начали трубить о том, что у них есть вакцина. Я при этом, не совсем уверен, что они показали несмертельность -- там что-то около 40 человек участвовало на втором этапе, я не знаю как там в медицине принято, но мне кажется, что 40 человек -- это курам на смех.

Возможно, я ошибаюсь. Но ты сам подумай, если вероятность смертельного исхода при введении вакцины равна 0.2, то вероятность получить на сорока испытуемых отсутствие смертельных исходов равна 0.001. Незначительно? Можно заигнорить? Может быть, но если вероятность смертельного исхода в единичном введении 0.05, то на сорока испытуемых вероятность отсутствия смертельных исходов уже 0.13, что вообще-то вероятность, которую не стоит игнорировать. Чуешь? При введении вакцины будет умирать каждый двадцатый, но тем не менее исследование показало нулевую смертность. 40 испытуемых -- это норм для психологического исследования, которое не приведёт к смертям, и на котором написано, что p<0.05, чтобы все знали, что значимость исследования так себе. Но в медицине, что-то мне подсказывает, это не вариант вовсе.

При этом, в мире есть пять другие вакцин, которые сейчас проходят через третий этап исследования. И про них никто не трубит, что вакцина готова. Более того, ты глянь на эту ссылку: https://airtable.com/shrSAi6t5WFwqo3GM/tblEzPQS5fnc0FHYR/viw...
Там роспотребпозор на стадии pre-clinical, как я подозреваю потому, что они не озаботились опубликовать ни одной статьи о своих исследованиях -- во всяком случае мне не удалось найти ссылок на статьи. То есть, они _заявили_ что закончили со вторым этапом, но даже это остаётся на уровне пустых сотрясений воздуха, потому как нет ни одной публикации, которая бы подкрепляла эти слова. Хотя, конечно, можно предположить, что наших как всегда задвигают, и готовы умирать от ковида, лишь бы не признать русскую вакцину.

Я вот жопой чуял, что здесь что-то неладно, и именно так оно и вышло. Наши не вакцину создали, а новый повод для пропаганды.

Наш паровоз вперёд летит...
Весь пар в свисток!
Роисся вперде!
Ура, товарищи!

Ответить | Правка | К родителю #151 | Наверх | Cообщить модератору

326. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  –1 +/–
Сообщение от siu77 (ok), 15-Авг-20, 04:41 
>Наши не вакцину создали, а новый повод для пропаганды.

Наши всё что угодно могут использовать как повод для пропаганды. А с отечественной вакциной сложнее:
"Есть две большие проблемы, которые не зависят от самого Института Гамалеи, а зависят от характера коронавируса, То есть если эти проблемы будут, они будут у всех вакцин этого векторного типа и да, возможно, у всех вакцин против коронавируса. Одна из них называется ADE-эффект — это антителозависимое усиление реакции. Суть его заключается в том, что вакцинация не ослабляет заболевание, а усиливает его..."
https://echo.msk.ru/programs/code/2681633-echo/

Ответить | Правка | Наверх | Cообщить модератору

402. Скрыто модератором  +1 +/–
Сообщение от Michael Shigorinemail (ok), 17-Авг-20, 00:35 
Ответить | Правка | Наверх | Cообщить модератору

407. Скрыто модератором  –1 +/–
Сообщение от siu77 (ok), 17-Авг-20, 07:45 
Ответить | Правка | Наверх | Cообщить модератору

409. Скрыто модератором  +/–
Сообщение от n00by (ok), 17-Авг-20, 14:06 
Ответить | Правка | Наверх | Cообщить модератору

418. Скрыто модератором  +/–
Сообщение от siu77 (ok), 17-Авг-20, 16:45 
Ответить | Правка | Наверх | Cообщить модератору

420. Скрыто модератором  +/–
Сообщение от n00by (ok), 17-Авг-20, 17:02 
Ответить | Правка | Наверх | Cообщить модератору

421. Скрыто модератором  +1 +/–
Сообщение от Michael Shigorinemail (ok), 17-Авг-20, 17:23 
Ответить | Правка | Наверх | Cообщить модератору

422. Скрыто модератором  +/–
Сообщение от siu77 (ok), 17-Авг-20, 18:36 
Ответить | Правка | Наверх | Cообщить модератору

423. Скрыто модератором  +/–
Сообщение от Michael Shigorinemail (ok), 17-Авг-20, 19:18 
Ответить | Правка | Наверх | Cообщить модератору

403. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Michael Shigorinemail (ok), 17-Авг-20, 00:38 
> Я вот жопой чуял, что здесь что-то неладно

Если это главный аналитический инструмент -- посидите на статьях о вакцине по Эболе того же разработчика, что ли.

Они разрабатывали (и разработали) _платформу_, потому что очень нужно было.

А вот что меня удивило -- так это что самое позднее по весне, ну _к_ лету не выкатили "удивительным образом случайно быстро сложившуюся" таблетку от "нового _китайского_, запомните, _китайского_ вируса" в штатах... или настолько ополоумели, что действительно без домашней заготовки выкатили зловред -- или настолько уже похрен на штаты вместе с населением? (ну, в рамках предположения, что десятки биолабов не просто так на стене висят и тайминги слишком многих событий не просто так слишком хорошо сходятся)

PS: *в
PPS: s/выкатили --/выкатили зловред --/

Ответить | Правка | К родителю #316 | Наверх | Cообщить модератору

439. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 18-Авг-20, 18:27 
>> Я вот жопой чуял, что здесь что-то неладно
> Если это главный аналитический инструмент -- посидите на статьях о вакцине по
> Эболе того же разработчика, что ли.

Шигорин, моя жопа стоит двух твоих голов.

> Они разрабатывали (и разработали) _платформу_, потому что очень нужно было.
> А вот что меня удивило -- так это что самое позднее по
> весне, ну _к_ лету не выкатили "удивительным образом случайно быстро сложившуюся"
> таблетку от "нового _китайского_, запомните, _китайского_ вируса" в штатах... или настолько
> ополоумели, что действительно без домашней заготовки выкатили зловред -- или настолько
> уже похрен на штаты вместе с населением? (ну, в рамках предположения,
> что десятки биолабов не просто так на стене висят и тайминги
> слишком многих событий не просто так слишком хорошо сходятся)

И сейчас я объясню тебе почему так. Даже если твоя гипотеза о том, что короновирус -- дело рук Штатов, то с их стороны было бы глупостью, недостойной даже тебя, выкатить таблетку от неё быстрее, чем позволяет процесс разработки новой таблетки и прохождения ею всей бюрократии FDA, которую надо пройти, чтобы быть допущенной до рынка. Экспертные оценки из февраля где-то о том, когда в штатах появится таблетка от коронавируса -- это не раньше осени 2020, и эти экспертные оценки как раз основаны на существующей статистике того, как быстро в штатах таблетки разрабывают и выходят с ними на рынок. Я вот только не помню, была ли там учтена фаза разворачивания производства.

Ответить | Правка | Наверх | Cообщить модератору

440. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 18-Авг-20, 19:56 
Если вирус действительно рукотворен, значит это не просто болезнь для "поднять денег", а ОМП. Соответственно -- по законам военного времени -- медики и их порядки отодвигаются на второй план. Заинтересованные стороны делают заявления, когда считают нужным. Вероятно, ожидалось заявление Трампа "Китай нас заразил, но наши медики огого!", но что-то пошло не так.

Обратите внимание, что перед нашим анонсом "недоделанной" вакцины были утверждены и _опубликованы_ Основы, в частности:

19. Условиями, определяющими возможность применения Российской Федерацией ядерного оружия, являются:
...
б) применение противником ядерного оружия или других видов оружия массового поражения по территориям Российской Федерации и (или) ее союзников;

после -- тихо и спокойно прошло голосование по Конституции.

Ответить | Правка | Наверх | Cообщить модератору

442. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 19-Авг-20, 10:15 
Почитал ответ удалённый. Не...

Если я что-то здесь и доказывал (точнее, лишь указал нюанс, который людям с достаточной компетенцией и без меня ясен), так это как раз по теме, см. https://www.opennet.ru/openforum/vsluhforumID3/121575.html#434
До того был всего один комментарий с предложением обсудить тех.детали, но после намёка https://www.opennet.ru/openforum/vsluhforumID3/121575.html#348 желающих поговорить более-менее предметно не наблюдается (способные есть, но предпочитают стёб).

Что касается политбабловируса-19 и оценки условий, при которых синус π может достигать 7-8 -- априори здешняя экспертиза на уровне "дроворуб режет слух". Удивлён мнению, что якобы я хотел что-то _доказать_ по теме вне моей компетенции. Впрочем, атмосферные испытания ЯО проводились, а этих... как их там, ботанов... оу, йес, сир -- FDA! выслушивали по факту через дцать лет.

Ответить | Правка | К родителю #439 | Наверх | Cообщить модератору

446. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 19-Авг-20, 15:55 
> Почитал ответ удалённый. Не...
> Если я что-то здесь и доказывал (точнее, лишь указал нюанс, который людям
> с достаточной компетенцией и без меня ясен), так это как раз
> по теме, см. https://www.opennet.ru/openforum/vsluhforumID3/121575.html#434
> До того был всего один комментарий с предложением обсудить тех.детали, но после
> намёка https://www.opennet.ru/openforum/vsluhforumID3/121575.html#348 желающих
> поговорить более-менее предметно не наблюдается (способные есть, но предпочитают стёб).

Да там сплошной бла-бла-бла с техническим уклоном. Ну реально, все эти рассказы о том, что данный бэкдор легко детектируется, это переливание из пустого в порожнее: что значит "легко"? Вот я запущу strace, он напишет мне "у вас бэкдор"? Нет, наверное, что я должен запустить? Антивирус? Какой антивирус сработает в линуксе и сможет детектировать этот бэкдор?

Что ты имеешь в виду под "легко" детектируется? Мне кажется, что-то очень аморфное, и выстроенное таким образом, чтобы дать тебе возможность показать, что ты шаришь в ассемблере. Но эмм... мне пофиг, шаришь ты или нет, я даже разбираться не буду. Мне проще держаться приоров: вероятность столкнуться здесь со специалистом в малварях под линукс исчезающе мала, значит скорее всего ты не специалист, лишь щёки надуваешь, прочитав учебник по ассемблеру.

> Что касается политбабловируса-19 и оценки условий, при которых синус π может достигать
> 7-8 -- априори здешняя экспертиза на уровне "дроворуб режет слух". Удивлён
> мнению, что якобы я хотел что-то _доказать_ по теме вне моей
> компетенции.

Хехе, чтобы не удивляться такому, в следующий раз, высказывая мнение, высказывай мнение, а не только аргументацию к этому мнению. Когда ты высказываешь только аргументацию, читателю остаётся лишь угадывать твоё мнение, и если он угадал не так, как ты задумал, то это твой косяк, потому что ты забыл изложить своё мнение. Отмечу, что в этом комменте, ты опять забыл изложить своё мнение, потому как "синус π может достигать 7-8" это не мнение, это скорее оценка этого мнения. То есть, я могу приписать сейчас тебе любое ковид-скептичное мнение, и начать громить это соломенное чучело, а потом ещё тебя сделать виноватым за свой промах.

То есть, да, при троллинге очень полезно оставлять оппонента в неведении о том, какого именно мнения ты придерживаешься, тогда оппоненты будут воевать с ветряными мельницами, которые они себе навоображали, но если ты думаешь, что я тебе так просто позволю это делать со мной, то ты сильно ошибаешься.

> Впрочем, атмосферные испытания ЯО проводились, а этих... как их там,
> ботанов... оу, йес, сир -- FDA! выслушивали по факту через дцать
> лет.

Ну да, естественно. Серая территория: воякам уже выделили финансирование на испытания ЯО, а тут FDA говорит, отдайте деньги обратно, и... эмм... машина уже запущена, паровоз катится по рельсам, остановить его гораздо сложнее, чем не дать ему сдвинутся с места. Регистрация же вакцины -- это то, чем FDA занимается напрямую, и со стороны FDA будет большой глупостью спустить президенту попытку зарегистрировать вакцину в обход FDA: возможность регистрировать или не регистрировать вакцины -- это тот кусочек власти, который делигирован FDA, если она этот кусочек власти выпустит из рук, то она станет не нужной.

С ЯО она как раз грызлась за эту самую свою власть.

Ответить | Правка | Наверх | Cообщить модератору

447. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 19-Авг-20, 18:41 
>> Почитал ответ удалённый. Не...
>> Если я что-то здесь и доказывал (точнее, лишь указал нюанс, который людям
>> с достаточной компетенцией и без меня ясен), так это как раз
>> по теме, см. https://www.opennet.ru/openforum/vsluhforumID3/121575.html#434
>> До того был всего один комментарий с предложением обсудить тех.детали, но после
>> намёка https://www.opennet.ru/openforum/vsluhforumID3/121575.html#348 желающих
>> поговорить более-менее предметно не наблюдается (способные есть, но предпочитают стёб).
> Да там сплошной бла-бла-бла с техническим уклоном. Ну реально, все эти рассказы
> о том, что данный бэкдор легко детектируется, это переливание из пустого
> в порожнее: что значит "легко"?

Совершенно о другом рассказ. Инлайн-хук, он же сплайсинг -- в общем случае не рабочая технология (но применяется условными скрипткиддисами). Это не моё мнение, а объективный факт (причину там указал, кто сомневается, читает историю возникновения Hotpatchable Images в оффтопике).

> Вот я запущу strace, он напишет
> мне "у вас бэкдор"? Нет, наверное, что я должен запустить? Антивирус?
> Какой антивирус сработает в линуксе и сможет детектировать этот бэкдор?

Руткит ортогонален к бэкдору. Задачей ставится скрыть присутствие в системе. Как следствие, антивирус банально не видит тело. Обсуждаемый экземпляр перехватывает функцию перечисления файлов в каталоге и удаляет информацию о себе из её результата (детали уточнил на всякий случай: на основании столь кратких вводных даже не имея опыта вполне реально построить рабочую методику обнаружения).

> Что ты имеешь в виду под "легко" детектируется?

Имею ввиду, что лёгкость детекта как раз нет смысла обсуждать, поскольку при этом г-нокоду слишком много чести будет оказано. И как правильно замечено, она -- субъективный критерий, от чего споры имеют тенденцию скатываться к вкусовщине, успевшей поднадоесть ещё во времена Gmer и RkU.

> Мне кажется, что-то очень
> аморфное, и выстроенное таким образом, чтобы дать тебе возможность показать, что
> ты шаришь в ассемблере. Но эмм... мне пофиг, шаришь ты или
> нет, я даже разбираться не буду. Мне проще держаться приоров: вероятность
> столкнуться здесь со специалистом в малварях под линукс исчезающе мала, значит
> скорее всего ты не специалист, лишь щёки надуваешь, прочитав учебник по
> ассемблеру.

Ну вот, основную мысль я таки донёс: специалистов по ОМП здесь тусит и подавно меньше. :)

>> Что касается политбабловируса-19 и оценки условий, при которых синус π может достигать
>> 7-8 -- априори здешняя экспертиза на уровне "дроворуб режет слух". Удивлён
>> мнению, что якобы я хотел что-то _доказать_ по теме вне моей
>> компетенции.
> Хехе, чтобы не удивляться такому, в следующий раз, высказывая мнение, высказывай мнение,
> а не только аргументацию к этому мнению.

Мнение высказал Михаил (насколько знаю, по образованию химик, значит кое-чему должен был научиться на военке). Я попробовал объяснить, что имеется ввиду и исходя их каких вводных получены такие сроки. То есть в его методике "деньги" и "мнение учёных" не рассматривались, потому и диалог в целом вышел как у тех мудрецов, с закрытыми глазами слона щупавших.

Ответить | Правка | Наверх | Cообщить модератору

448. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 19-Авг-20, 20:43 
>> Что ты имеешь в виду под "легко" детектируется?
> Имею ввиду, что лёгкость детекта как раз нет смысла обсуждать, поскольку при
> этом г-нокоду слишком много чести будет оказано.

Лол. Ты так и не ответил на вопрос: что ты подразумеваешь под лёгкостью детекта. Начал съезжать с темы, используя дурацкие предлоги. Ты выше как минимум два поста накатал, с разобором древоруба, и вдруг засмущался, и решил, что слишком много чести обсуждать его?

Между прочим ты упомянул антивирус, какой именно? Вот кинь мне ссылочку на антивирус, который я могу использовать, чтобы задетектить древоруба.

Ответить | Правка | Наверх | Cообщить модератору

451. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 20-Авг-20, 11:26 
>>> Что ты имеешь в виду под "легко" детектируется?
>> Имею ввиду, что лёгкость детекта как раз нет смысла обсуждать, поскольку при
>> этом г-нокоду слишком много чести будет оказано.
> Лол. Ты так и не ответил на вопрос: что ты подразумеваешь под
> лёгкостью детекта.

Потому что подразумеваю, что ты достаточно умён, что бы банальности не разжёвывать. И предполагаемого противника не считаю идиотом, способным пропустить "руткит" с описанным "скрытием". И наши точно не будут ставить задачу, что бы в АНБ все поумирали со смеху.

> Начал съезжать с темы, используя дурацкие предлоги. Ты выше
> как минимум два поста накатал, с разобором древоруба, и вдруг засмущался,
> и решил, что слишком много чести обсуждать его?

Я сразу в исходном разборе обозначил рамки актуальной темы, цитирую: «То, что такое "скрытие" элементарно детектируется -- можно даже не рассматривать». Обсуждение этого Дуболома возможно при согласии, что упомянутый в экспертизе хук не является приемлемым решением (после чего дальнейшее по понятным причинам теряет смысл). Ты зацепился за тему "лёгкости детекта", которая тебе кажется более понятной, но это вообще не тема, а honeypot, если угодно.

> Между прочим ты упомянул антивирус, какой именно? Вот кинь мне ссылочку на
> антивирус, который я могу использовать, чтобы задетектить древоруба.

Это ты завёл разговор про антивирус, цитирую: «что я должен запустить? Антивирус?»
на что я ответил, что задача руткита от файлового сканера скрыться (как следствие, вместо сигнатурного анализа используются иные методы). Перед там я упомянул два новых для тебя слова (Gmer и RkU). Ты мог проявить любознательность и самостоятельно ознакомиться с упомянутыми инструментами, описание принципов их работы должно быть доступно (а сами принципы достаточно общи и переносимы). Если тебя заинтересовала тема обнаружения, то следует уяснить простую истину: большую часть информации придётся добывать самому. Не потому что она секретна, а потому что находит ищущий. Если желание всего лишь сравнить "лёгкость", а фрагмента описания спамбота десятилетней давности недостаточно, посмотри презентацию Blue Pill на Black Hat.

Ответить | Правка | Наверх | Cообщить модератору

452. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 20-Авг-20, 14:46 
>>>> Что ты имеешь в виду под "легко" детектируется?
>>> Имею ввиду, что лёгкость детекта как раз нет смысла обсуждать, поскольку при
>>> этом г-нокоду слишком много чести будет оказано.
>> Лол. Ты так и не ответил на вопрос: что ты подразумеваешь под
>> лёгкостью детекта.
> Потому что подразумеваю, что ты достаточно умён, что бы банальности не разжёвывать.
> И предполагаемого противника не считаю идиотом, способным пропустить "руткит" с описанным
> "скрытием". И наши точно не будут ставить задачу, что бы в
> АНБ все поумирали со смеху.

МОжет ты прекратишь съезжать с темы, и наконец ответишь на вопрос: что ты имеешь в виду под лёгкостью детекта? Хочешь я тебе повторю вопрос полностью, чтобы напомнить, что именно мне неясно?

>> Начал съезжать с темы, используя дурацкие предлоги. Ты выше
>> как минимум два поста накатал, с разобором древоруба, и вдруг засмущался,
>> и решил, что слишком много чести обсуждать его?
> Я сразу в исходном разборе обозначил рамки актуальной темы, цитирую: «То, что
> такое "скрытие" элементарно детектируется -- можно даже не рассматривать».

Окей. Если так, то я в ответ скажу тебе, что ты дурак, имбецил и ничего не понимаешь в безопасности, хоть и строишь из себя тут чёрт знает что. Вот точно так же скажу, финально, необсуждаемо, и на все вопросы почему так, буду отвечать "если ты не совсем дурак, то сам поймёшь". Сойдёт?

Объясни свою позицию, или признай свою некомпетентность.

>[оверквотинг удален]
> на что я ответил, что задача руткита от файлового сканера скрыться (как
> следствие, вместо сигнатурного анализа используются иные методы). Перед там я упомянул
> два новых для тебя слова (Gmer и RkU). Ты мог проявить
> любознательность и самостоятельно ознакомиться с упомянутыми инструментами, описание
> принципов их работы должно быть доступно (а сами принципы достаточно общи
> и переносимы). Если тебя заинтересовала тема обнаружения, то следует уяснить простую
> истину: большую часть информации придётся добывать самому. Не потому что она
> секретна, а потому что находит ищущий. Если желание всего лишь сравнить
> "лёгкость", а фрагмента описания спамбота десятилетней давности недостаточно, посмотри
> презентацию Blue Pill на Black Hat.

Бла-бла-бла. Сорри, не читал, спешу, бежать надо. Ты можешь просто ответить на поставленный вопрос, а не разводить философию, доказывая мне своё интеллектуальное превосходство? Если тебе нужно это превосходство, я готов так отдать. На, бери.

Ответить | Правка | Наверх | Cообщить модератору

453. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 20-Авг-20, 17:26 
>[оверквотинг удален]
>>>> Имею ввиду, что лёгкость детекта как раз нет смысла обсуждать, поскольку при
>>>> этом г-нокоду слишком много чести будет оказано.
>>> Лол. Ты так и не ответил на вопрос: что ты подразумеваешь под
>>> лёгкостью детекта.
>> Потому что подразумеваю, что ты достаточно умён, что бы банальности не разжёвывать.
>> И предполагаемого противника не считаю идиотом, способным пропустить "руткит" с описанным
>> "скрытием". И наши точно не будут ставить задачу, что бы в
>> АНБ все поумирали со смеху.
> МОжет ты прекратишь съезжать с темы, и наконец ответишь на вопрос: что
> ты имеешь в виду под лёгкостью детекта?

Я придерживаюсь той темы, которую сам выбрал. И принципиально не собираюсь отвечать на вопрос иначе чем "это очевидно". Если кому-то это не очевидно и он полагает, что моё «можно даже не рассматривать» даёт право требовать вводного курса "что есть обнаружение руткитов вообще и псевдорабочего хлама в частности", пусть тщательнее изучит контракт.

> Хочешь я тебе повторю
> вопрос полностью, чтобы напомнить, что именно мне неясно?

Нет, не хочу, сейчас это не интересно. Изначально было любопытно, предложишь ли вариант детекта (и какой) в ответ на намёки и вводные -- тогда можно было бы поговорить о выбранной методике. Предложение было воспринято по-своему, а если не устраивает моя подача, значит я не подхожу, остаётся поискать другой источник информации.

>[оверквотинг удален]
>>> как минимум два поста накатал, с разобором древоруба, и вдруг засмущался,
>>> и решил, что слишком много чести обсуждать его?
>> Я сразу в исходном разборе обозначил рамки актуальной темы, цитирую: «То, что
>> такое "скрытие" элементарно детектируется -- можно даже не рассматривать».
> Окей. Если так, то я в ответ скажу тебе, что ты дурак,
> имбецил и ничего не понимаешь в безопасности, хоть и строишь из
> себя тут чёрт знает что. Вот точно так же скажу, финально,
> необсуждаемо, и на все вопросы почему так, буду отвечать "если ты
> не совсем дурак, то сам поймёшь". Сойдёт?
> Объясни свою позицию, или признай свою некомпетентность.

Перед кем? Ты в самом деле не догоняешь, что лично твоё мнение по теме не только взвешено проверенным способом, но и имеет околонулевой вес исходя из заявленных тобой же приоров? Или прикидываешься?)

>[оверквотинг удален]
>> любознательность и самостоятельно ознакомиться с упомянутыми инструментами, описание
>> принципов их работы должно быть доступно (а сами принципы достаточно общи
>> и переносимы). Если тебя заинтересовала тема обнаружения, то следует уяснить простую
>> истину: большую часть информации придётся добывать самому. Не потому что она
>> секретна, а потому что находит ищущий. Если желание всего лишь сравнить
>> "лёгкость", а фрагмента описания спамбота десятилетней давности недостаточно, посмотри
>> презентацию Blue Pill на Black Hat.
> Бла-бла-бла. Сорри, не читал, спешу, бежать надо. Ты можешь просто ответить на
> поставленный вопрос, а не разводить философию, доказывая мне своё интеллектуальное превосходство?

Ты же знаешь, нет смысла что-то доказывать Интернету. Меня просили ссылку на антивирус, я указал на ошибку и дал ключевые слова.

> Если тебе нужно это превосходство, я готов так отдать. На, бери.

Ответить | Правка | Наверх | Cообщить модератору

455. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 20-Авг-20, 17:49 
>> Объясни свою позицию, или признай свою некомпетентность.
> Перед кем? Ты в самом деле не догоняешь, что лично твоё мнение
> по теме не только взвешено проверенным способом, но и имеет околонулевой
> вес исходя из заявленных тобой же приоров? Или прикидываешься?)

Прикидываюсь, конечно, отыгрывая роль зеркала. Я надеялся, что ты увидишь себя в зеркале, ан нет, твоя психика не в состоянии узнать себя в зеркале. Люди обычно справляются. Ряд других млекопитов тоже. А ты нет. Странно.

Ответить | Правка | К родителю #453 | Наверх | Cообщить модератору

456. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 20-Авг-20, 18:01 
Беда "зеркала" в том, что я то как раз не держал тебя за неспособного, несмотря на отсутствие опыта. Если я утверждаю "элементарно", значит ты элементарно реализуешь детект. Если я сходу скажу решение -- тебе это в лучшем случае ничего не даст.
Ответить | Правка | К родителю #455 | Наверх | Cообщить модератору

459. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 20-Авг-20, 20:22 
> Беда "зеркала" в том, что я то как раз не держал тебя
> за неспособного, несмотря на отсутствие опыта. Если я утверждаю "элементарно", значит
> ты элементарно реализуешь детект. Если я сходу скажу решение -- тебе
> это в лучшем случае ничего не даст.

Из того что ты понаписал выше, я вижу, что если взять дебуггер с дизассемблером, можно задетектить. Офигенная перспектива. В *nix, где всё плохо с дебуггерами без отладочной информации, это конечно же "элементарно", да. То есть даже в win, где средства отладки, как правило, заточены на работу без отладочной информации, потому как win32api не имеет её, а зарыться в библиотечную функцию, дебажа свою программу -- это просто маст-хэв, без этого сессию дебага можно считать несостоявшейся. Но даже при таких средствах, чтобы отловить малварь нужны специальные навыки или много времени. Назвать это "элементарно" я бы не назвал.

Поэтому я и задаю вопросы, те самые которые задаю: как? Элементарно, в моём понимании, это скрипт detect-all-the-active-malware.sh, который выдаст мне список руткитов, бекдоров, майнеров и прочей пурги, которая в моей системе присутствует. Я не знаю о существовании такого скрипта, но ты говоришь, что тем не менее есть элементарный способ. Как так? Может быть ты знаешь где такой скрипт взять?

Ответить | Правка | К родителю #456 | Наверх | Cообщить модератору

460. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 21-Авг-20, 09:41 
>> Беда "зеркала" в том, что я то как раз не держал тебя
>> за неспособного, несмотря на отсутствие опыта. Если я утверждаю "элементарно", значит
>> ты элементарно реализуешь детект. Если я сходу скажу решение -- тебе
>> это в лучшем случае ничего не даст.
> Из того что ты понаписал выше, я вижу, что если взять дебуггер
> с дизассемблером, можно задетектить.

Это путь, по которому пошли вышеупомянутые Gmer/RkU. Они (автоматически) сканируют память в поисках модификаций машинного кода. Содержат дизассемблер, находят в теле (начале) функции команду jmp и сигнализируют о признаках руткита. То есть ищутся признаки известных вариантов хуков. Проблема подхода (как и всякого решения для частных случаев) в том, что следующий руткит вместо jmp ставит условные push addr + ret, и детектор ничего подозрительного не находит.

Вероятно, на этот путь тебя сбил листинг iterate_dir. Он приведён с другой целью -- показать, что хук функции приводит к краху системы (в редких случаях, потому исполнитель об ошибочности решения не знает, либо на качество ему плевать).

>[оверквотинг удален]
> зарыться в библиотечную функцию, дебажа свою программу -- это просто маст-хэв,
> без этого сессию дебага можно считать несостоявшейся. Но даже при таких
> средствах, чтобы отловить малварь нужны специальные навыки или много времени. Назвать
> это "элементарно" я бы не назвал.
> Поэтому я и задаю вопросы, те самые которые задаю: как? Элементарно, в
> моём понимании, это скрипт detect-all-the-active-malware.sh, который выдаст мне список
> руткитов, бекдоров, майнеров и прочей пурги, которая в моей системе присутствует.
> Я не знаю о существовании такого скрипта, но ты говоришь, что
> тем не менее есть элементарный способ. Как так? Может быть ты
> знаешь где такой скрипт взять?

Скрипт для обнаружения Дроворуба ты можешь написать сам. В отличие от авторов упомянутых детекторов, ты владеешь необходимой теоретической базой (поскольку не раз говорил о валидации кода транслятором Rust; но в данном случае так глубоко копать не надо). Есть алгоритм, есть его имплементация (именно она и ищется в подходе выше). Есть побочный эффект, он же наблюдаемый результат. Анализировать машинные команды -- да, не тривиально. Значит правильнее искать наблюдаемый результат работы руткита, а именно отсутствие файла. Если ты такой скрипт не напишешь, значит просто не хочешь, ленишься, есть дела важнее и так далее, но те эпитеты, которыми я наградил scamпелировавшего Дроволом, к тебе не применимы.

Ответить | Правка | К родителю #459 | Наверх | Cообщить модератору

461. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 21-Авг-20, 10:37 
>[оверквотинг удален]
>>> ты элементарно реализуешь детект. Если я сходу скажу решение -- тебе
>>> это в лучшем случае ничего не даст.
>> Из того что ты понаписал выше, я вижу, что если взять дебуггер
>> с дизассемблером, можно задетектить.
> Это путь, по которому пошли вышеупомянутые Gmer/RkU. Они (автоматически) сканируют память
> в поисках модификаций машинного кода. Содержат дизассемблер, находят в теле (начале)
> функции команду jmp и сигнализируют о признаках руткита. То есть ищутся
> признаки известных вариантов хуков. Проблема подхода (как и всякого решения для
> частных случаев) в том, что следующий руткит вместо jmp ставит условные
> push addr + ret, и детектор ничего подозрительного не находит.

Эмм:
"GMER runs on Windows XP/VISTA/7/8/10"
Домашнюю страничку RkU мне не удалось найти в гугле, но то что я видел наводит на мысль, что это тоже вендософт.
То есть обе программы совершенно бесполезны против этого древоруба.

> Вероятно, на этот путь тебя сбил листинг iterate_dir. Он приведён с другой
> целью -- показать, что хук функции приводит к краху системы (в
> редких случаях, потому исполнитель об ошибочности решения не знает, либо на
> качество ему плевать).

Нет, на этот путь меня сбили рассуждения о том, какие машинные инструкции и где находятся.

> Скрипт для обнаружения Дроворуба ты можешь написать сам. В отличие от авторов
> упомянутых детекторов, ты владеешь необходимой теоретической базой (поскольку не раз говорил
> о валидации кода транслятором Rust; но в данном случае так глубоко
> копать не надо).

Может быть и могу, но это не _элементарный_ способ. Этот способ недоступен большинству админов систем на *nix.

И тут мы, наконец, можем вернутся к следующему:

> Якобы некая разведка (не важно, чья) выпустила "продукт", который в момент выполнения второй команды пролога меняет последовательность инструкций на jmp near. Система падает. Атака обнаруживается. Пусть и 1 раз из 1000000, этого достаточно для признания "решения" непригодным. (2) То, что такое "скрытие" элементарно детектируется -- можно даже не рассматривать.

Как мы выяснили, детектируется неэлементарно. Но интереснее почему ты решил, что "этого достаточно для признания "решения" непригодным". Ты читал ГОСТы на разработку вредоносного ПО, и там прописаны эти условия? Или ты сам решил, что такие решения непригодны? Непригодны для чего?

Если глянуть с ещё одного ракурса, ты тут имплицитно утверждаешь, что во всех этих ЦРУ работают идиоты, имплицитно предполагая, что в наших спецслужбах работают исключительно высококвалифицированные и высокомотивированные ребята, которые могут не слакать и не будут слакать. Но мне кажется, что оба этих имплицитных утверждения неверны в корне: там где работает 100+ человек, обязательно найдутся неквалифицированные и не особо-то мотивированные. С этим древорубом я вполне могу представить сценарий, где сверху спустили команду разработать червь, и разработчик что-то там выкатил, что хорошо смотрится на презентации для высоких чинов (которые вообще ничего в червях не понимают). Это даже если в каких-то внутренних документах прописано, что детект в 1 случае из миллиона -- недопустимо. В чём я сильно-сильно сомневаюсь.

Можно внимательно почитать этот отчёт о древорубе и посмотреть там признаки неквалифицированной постановки. Мне лень, если честно, но я не пытаюсь доказать, что это не постановка. Я пытаюсь показать тебе, что твои рассуждения все не стоят выеденного яйца. Даже несмотря на то, что ты прочитал аж целый учебник по ассемблеру.

Ответить | Правка | К родителю #460 | Наверх | Cообщить модератору

464. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 22-Авг-20, 10:39 
>[оверквотинг удален]
>> в поисках модификаций машинного кода. Содержат дизассемблер, находят в теле (начале)
>> функции команду jmp и сигнализируют о признаках руткита. То есть ищутся
>> признаки известных вариантов хуков. Проблема подхода (как и всякого решения для
>> частных случаев) в том, что следующий руткит вместо jmp ставит условные
>> push addr + ret, и детектор ничего подозрительного не находит.
> Эмм:
> "GMER runs on Windows XP/VISTA/7/8/10"
> Домашнюю страничку RkU мне не удалось найти в гугле, но то что
> я видел наводит на мысль, что это тоже вендософт.
> То есть обе программы совершенно бесполезны против этого древоруба.

Как частные случаи реализации относительно сложного способа они действительно не запустятся на целевой системе, но сам способ вполне рабочий. Про это ты написал https://www.opennet.ru/openforum/vsluhforumID3/121575.html#459 словами "можно задетектить".

>> Скрипт для обнаружения Дроворуба ты можешь написать сам. В отличие от авторов
>> упомянутых детекторов, ты владеешь необходимой теоретической базой (поскольку не раз говорил
>> о валидации кода транслятором Rust; но в данном случае так глубоко
>> копать не надо).
> Может быть и могу, но это не _элементарный_ способ. Этот способ недоступен
> большинству админов систем на *nix.

Элементарный способ ты искать не захотел. Задача именно что для админа и решается, по-моему, 4-мя командами в терминале.

> И тут мы, наконец, можем вернутся к следующему:
>> Якобы некая разведка (не важно, чья) выпустила "продукт", который в момент выполнения второй команды пролога меняет последовательность инструкций на jmp near. Система падает. Атака обнаруживается. Пусть и 1 раз из 1000000, этого достаточно для признания "решения" непригодным. (2) То, что такое "скрытие" элементарно детектируется -- можно даже не рассматривать.
> Как мы выяснили, детектируется неэлементарно. Но интереснее почему ты решил, что "этого
> достаточно для признания "решения" непригодным". Ты читал ГОСТы на разработку вредоносного
> ПО, и там прописаны эти условия? Или ты сам решил, что
> такие решения непригодны? Непригодны для чего?

"1 раз из 1000000" это типичный аргумент применяющих такие хуки. Для остальных он выглядит как "вероятность отлична от нуля".

> Если глянуть с ещё одного ракурса, ты тут имплицитно утверждаешь, что во
> всех этих ЦРУ работают идиоты

Это ты сам почему-то придумал и начал приписывать мне. Идиотами они были бы, если бы _сочинили_ такое описание. Как раз эту гипотезу я и отметаю, считая её абсурдной. На основании чего и делаю вывод: экземпляр у них имеется, они чётко отработали и провели экспертизу. А вот исполнитель "руткита" либо некомпетентен, либо намеренно так написал.

> имплицитно предполагая, что в наших спецслужбах
> работают исключительно высококвалифицированные и высокомотивированные ребята, которые
> могут не слакать и не будут слакать. Но мне кажется, что
> оба этих имплицитных утверждения неверны в корне: там где работает 100+
> человек, обязательно найдутся неквалифицированные и не особо-то мотивированные. С этим
> древорубом я вполне могу представить сценарий, где сверху спустили команду разработать
> червь, и разработчик что-то там выкатил, что хорошо смотрится на презентации
> для высоких чинов (которые вообще ничего в червях не понимают).

Ну, примерно на это я и намекаю.)) Другое дело, что в играх спецслужб заинтересованных сторон больше 2-х. И есть сторона, которая спит и видит, шо Америкаснами и вот-вот победит ахрессора.

> Это
> даже если в каких-то внутренних документах прописано, что детект в 1
> случае из миллиона -- недопустимо. В чём я сильно-сильно сомневаюсь.

Это основы системного программирования и спрашивается на собеседованиях. Не про детект в частности, а про неприемлемость подобных модификаций исполняющегося кода в общем.

> Можно внимательно почитать этот отчёт о древорубе и посмотреть там признаки неквалифицированной
> постановки. Мне лень, если честно, но я не пытаюсь доказать, что
> это не постановка. Я пытаюсь показать тебе, что твои рассуждения все
> не стоят выеденного яйца. Даже несмотря на то, что ты прочитал
> аж целый учебник по ассемблеру.

Ответить | Правка | К родителю #461 | Наверх | Cообщить модератору

465. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 22-Авг-20, 12:21 
> Элементарный способ ты искать не захотел. Задача именно что для админа и
> решается, по-моему, 4-мя командами в терминале.

Как ты думаешь, хоть один админ из миллиона делает это?

> "1 раз из 1000000" это типичный аргумент применяющих такие хуки. Для остальных
> он выглядит как "вероятность отлична от нуля".

Было проведено исследование, которое показало, что шансы один к миллиону срабатывают каждый десятый раз. ;)
Это грубая цитата из Пратчетта, и исследование проводили маги, но это не очень важно. Как ты можешь померять эти шансы, и может ли твоё исследование отличить 1:1000000 от 1:100000? Если нет, то это не шансы, а buzzword'ы. Довольно распространённый способ выглядеть умно: использовать числа в своей речи, авось никто не заметит, что числа взяты с потолка.

Вероятность всегда отлична от нуля, и если ты ориентируешься на тех, кто говорит о 1:1000000, то ты заглядываешь в рот не специалистам, а самозванцам. Не-самозванцы должны начинать с постановки задачи, выработки ТЗ, и оценки того, какого уровня надёжность требуется исходя из ТЗ. Надёжность часто включают в ТЗ как один из пунктов. В разных ТЗ будет разный требуемый уровень надёжности. Так происходит потому, что надёжность небесплатна. Более того рост стоимости этой надёжности нелинейный и очень быстро улетает за облака при повышении требований.

Собственно тебя я задетектил как самозванца от безопасности именно потому, что у тебя фиксированные и взятые с потолка требования к надёжности. Я вижу, что ты почитал учебник по ассемблеру, какие-то статейки уровня Криса Касперски, но реально в безопасности ты не работал.

И из этого же следует, что оценивать качество этого древоруба мы не можем, поскольку мы не знаем для чего он предназначен. Понятно, что он выступает как руткит, но для решения каких конкретно задач этот червь предназначен? Какие системы он призван поражать? Что там с безопасностью в тех системах, какого уровня специалисты там работают, и насколько серьёзно они подходят к вопросу? Создан ли этот червь для того, чтобы десятилетиями работать на инфицированных машинах, или его задача была более локальной по времени -- проникнуть во много систем, быстро натырить инфы, и быстро слиться? Каким образом он распространялся? Его ставили вручную, затюнивая под взломанную систему, или использовался какой-нибудь червь, который совал его везде? Если вручную, то как? Покупали админов в нужных организациях и платили им? Или проникали на территорию? Или выискивали дыры таргетированной атакой и ставили удалённо?

>> Это
>> даже если в каких-то внутренних документах прописано, что детект в 1
>> случае из миллиона -- недопустимо. В чём я сильно-сильно сомневаюсь.
> Это основы системного программирования и спрашивается на собеседованиях. Не про детект
> в частности, а про неприемлемость подобных модификаций исполняющегося кода в общем.

Если тебя на собеседовании спрашивают о том, как часто допустимо для программы фейлится, и в качестве правильного ответа принимают 1:1000000, то это говорит о том, что собеседование проводят совершенно неквалифицированные ребята. Не надо там работать.

Ответить | Правка | К родителю #464 | Наверх | Cообщить модератору

466. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 22-Авг-20, 13:47 
>> Элементарный способ ты искать не захотел. Задача именно что для админа и
>> решается, по-моему, 4-мя командами в терминале.
> Как ты думаешь, хоть один админ из миллиона делает это?

Я думаю, что вопрос не имеет отношения к теме, а ты опять играешь в кривое*) зеркало.
>[оверквотинг удален]
> Вероятность всегда отлична от нуля, и если ты ориентируешься на тех, кто
> говорит о 1:1000000, то ты заглядываешь в рот не специалистам, а
> самозванцам. Не-самозванцы должны начинать с постановки задачи, выработки ТЗ, и оценки
> того, какого уровня надёжность требуется исходя из ТЗ. Надёжность часто включают
> в ТЗ как один из пунктов. В разных ТЗ будет разный
> требуемый уровень надёжности. Так происходит потому, что надёжность небесплатна. Более
> того рост стоимости этой надёжности нелинейный и очень быстро улетает за
> облака при повышении требований.
> Собственно тебя я задетектил как самозванца от безопасности именно потому, что у
> тебя фиксированные и взятые с потолка требования к надёжности.

Собственно ты пытаешься объяснить мне, почему руткит рушит систему, когда я начал с того, что руткит рушит систему. Поскольку исходишь из оценочных вероятностей и абстрактной надёжности, значит не понимаешь, из-за чего модификация машинного кода пролога функции приводит к краху (и упустил из виду сразу же данные пояснения).

> И из этого же следует, что оценивать качество этого древоруба мы не
> можем, поскольку мы не знаем для чего он предназначен.

Запуск Дроволома приводит к отказу системы. Полагаешь, руткит создали для DoS-атаки? В таком случае его следовало бы существенно упростить. С другой стороны, название оказывается подходящим.

>>> Это
>>> даже если в каких-то внутренних документах прописано, что детект в 1
>>> случае из миллиона -- недопустимо. В чём я сильно-сильно сомневаюсь.
>> Это основы системного программирования и спрашивается на собеседованиях. Не про детект
>> в частности, а про неприемлемость подобных модификаций исполняющегося кода в общем.
> Если тебя на собеседовании спрашивают о том, как часто допустимо для программы
> фейлится, и в качестве правильного ответа принимают 1:1000000, то это говорит
> о том, что собеседование проводят совершенно неквалифицированные ребята. Не надо там
> работать.

Естественно, такой ответ не принимается. Как и не принимаются такие "решения". Потому я и утверждаю: оно непригодно.

---
*) Изначально ты посчитал, что я ставлю целью принизить твои компетенции, в предыдущем сообщении приписал мне, будто бы я ЦРУшников (кстати, см. новость - там АНБ) считаю идиотами, теперь, по-твоему, админы ничего не делают. Странная предвзятость, сорри, bias, для дипломированного психолога.

Ответить | Правка | К родителю #465 | Наверх | Cообщить модератору

467. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 22-Авг-20, 16:06 
>>> Элементарный способ ты искать не захотел. Задача именно что для админа и
>>> решается, по-моему, 4-мя командами в терминале.
>> Как ты думаешь, хоть один админ из миллиона делает это?
> Я думаю, что вопрос не имеет отношения к теме, а ты опять
> играешь в кривое*) зеркало.

Нет. Ты говоришь о вероятности детекта. Но как ты можешь оценить вероятность детекта, не зная распространённости софта для детекта на целевых системах?

> Собственно ты пытаешься объяснить мне, почему руткит рушит систему, когда я начал
> с того, что руткит рушит систему. Поскольку исходишь из оценочных вероятностей
> и абстрактной надёжности, значит не понимаешь, из-за чего модификация машинного кода
> пролога функции приводит к краху (и упустил из виду сразу же
> данные пояснения).

Бла-бла-бла.

>> И из этого же следует, что оценивать качество этого древоруба мы не
>> можем, поскольку мы не знаем для чего он предназначен.
> Запуск Дроволома приводит к отказу системы. Полагаешь, руткит создали для DoS-атаки? В
> таком случае его следовало бы существенно упростить. С другой стороны, название
> оказывается подходящим.

Не приводит. Если бы он приводил к краху, о нём бы не писали. Если тебе кажется, что он приводит, значит ты чего-то не понял. Я при этом даже вдаваться в подробности не буду и искать где ты ошибся: если тебе интересно, ищи сам.

> *) Изначально ты посчитал, что я ставлю целью принизить твои компетенции

Ты не можешь принизить мои компетенции, у тебя нет никаких рычагов влияния на них. Если ты имел в виду восприятие моих компетенций другими, то мне начхать. Если тебе кажется, что речь о них, то это ещё одно место, в котором ты чего-то не понимаешь.

Ответить | Правка | К родителю #466 | Наверх | Cообщить модератору

469. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 24-Авг-20, 07:53 
>>>> Элементарный способ ты искать не захотел. Задача именно что для админа и
>>>> решается, по-моему, 4-мя командами в терминале.
>>> Как ты думаешь, хоть один админ из миллиона делает это?
>> Я думаю, что вопрос не имеет отношения к теме, а ты опять
>> играешь в кривое*) зеркало.
> Нет. Ты говоришь о вероятности детекта.

Это фантазии. "1 из 100000" не относится непосредственно к детекту, на что я не раз указывал.

> Но как ты можешь оценить вероятность
> детекта, не зная распространённости софта для детекта на целевых системах?

"Ты" действительно не может это сделать, а остальным достаточно знания аксиом: "противник обладает всеми необходимыми техническими средствами".

>> Запуск Дроволома приводит к отказу системы. Полагаешь, руткит создали для DoS-атаки? В
>> таком случае его следовало бы существенно упростить. С другой стороны, название
>> оказывается подходящим.
> Не приводит.

Мнение авторы IA SDM обязательно учтут. Если прочтут.

> Если бы он приводил к краху, о нём бы не
> писали.

Нет связи.

> Ты не можешь принизить мои компетенции, у тебя нет никаких рычагов влияния
> на них. Если ты имел в виду восприятие моих компетенций другими,
> то мне начхать. Если тебе кажется, что речь о них, то
> это ещё одно место, в котором ты чего-то не понимаешь.

Предо мной не стоит задача что-либо делать с компетенциями оппонента: тема обнаружения обширна, а у него нет желания с ней ознакомиться.

По факту, Ordu, в меру своего понимания, так или иначе обосновал все мои исходные тезисы кроме одного, где мнения разошлись отчасти. Ordu утверждает: русские -- идиоты. Я уточняю: исполнители Дроволома именно Расово-Правильные™ русские, а не какие-попало монголо-кацапы.

Ответить | Правка | К родителю #467 | Наверх | Cообщить модератору

470. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  –1 +/–
Сообщение от Ordu (ok), 25-Авг-20, 14:06 
>>>>> Элементарный способ ты искать не захотел. Задача именно что для админа и
>>>>> решается, по-моему, 4-мя командами в терминале.
>>>> Как ты думаешь, хоть один админ из миллиона делает это?
>>> Я думаю, что вопрос не имеет отношения к теме, а ты опять
>>> играешь в кривое*) зеркало.
>> Нет. Ты говоришь о вероятности детекта.
> Это фантазии. "1 из 100000" не относится непосредственно к детекту, на что
> я не раз указывал.

Слушай сюда дитятко, и не говори, что не слышал. Если ты произносишь какое-то число, и не можешь дать операционального определения этому числу, то ты не число произносишь, а маркетинговый буллшит.

> "Ты" действительно не может это сделать, а остальным достаточно знания аксиом: "противник
> обладает всеми необходимыми техническими средствами".

Плюнь в лицо этим остальным. Если противник обладает всем необходимым, то ты ставишь перед собой задачу, с которой ты никогда не справишься.

> По факту, Ordu, в меру своего понимания, так или иначе обосновал все
> мои исходные тезисы кроме одного, где мнения разошлись отчасти.

Ты льстишь себе, говоря о тезисах, которые у тебя были.

> Ordu утверждает:
> русские -- идиоты. Я уточняю: исполнители Дроволома именно Расово-Правильные™ русские,
> а не какие-попало монголо-кацапы.

Ты приписываешь мне то, чего я не говорил. Я тебе объяснял, что твой анализ ассемблерных инструкций -- совершенно бестолковая хвастостовство тем, что ты прочитал две статьи Криса Касперски, но никакого отношения к анализу того, как и откуда взялся древоруб не имеют.

Ответить | Правка | К родителю #469 | Наверх | Cообщить модератору

471. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +1 +/–
Сообщение от n00by (ok), 25-Авг-20, 15:10 
>[оверквотинг удален]
>>>>>> решается, по-моему, 4-мя командами в терминале.
>>>>> Как ты думаешь, хоть один админ из миллиона делает это?
>>>> Я думаю, что вопрос не имеет отношения к теме, а ты опять
>>>> играешь в кривое*) зеркало.
>>> Нет. Ты говоришь о вероятности детекта.
>> Это фантазии. "1 из 100000" не относится непосредственно к детекту, на что
>> я не раз указывал.
> Слушай сюда дитятко, и не говори, что не слышал. Если ты произносишь
> какое-то число, и не можешь дать операционального определения этому числу, то
> ты не число произносишь, а маркетинговый буллшит.

Скажу больше. "1 из 100000" -- это такой анекдот ("у меня на виртуалке работает" в заголовке сообщения -- из того же разряда). И он прекрасно выполняет свою функцию. ;)

>> "Ты" действительно не может это сделать, а остальным достаточно знания аксиом: "противник
>> обладает всеми необходимыми техническими средствами".
> Плюнь в лицо этим остальным. Если противник обладает всем необходимым, то ты
> ставишь перед собой задачу, с которой ты никогда не справишься.

Самому слабо? Цитата вроде из Шнайера. Не стесняйся ошибиться, накрывай всех оптом.

> Я тебе объяснял, что
> твой анализ ассемблерных инструкций

Открою секрет: я не производил анализ "ассемблерных инструкций". "Объяснятель", конечно, волен его поискать и привести цитату со ссылкой. Он ведь не балаболит и понимает о чём говорит?

Ответить | Правка | К родителю #470 | Наверх | Cообщить модератору

472. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  –1 +/–
Сообщение от Ordu (ok), 25-Авг-20, 19:42 
>>> "Ты" действительно не может это сделать, а остальным достаточно знания аксиом: "противник
>>> обладает всеми необходимыми техническими средствами".
>> Плюнь в лицо этим остальным. Если противник обладает всем необходимым, то ты
>> ставишь перед собой задачу, с которой ты никогда не справишься.
> Самому слабо? Цитата вроде из Шнайера. Не стесняйся ошибиться, накрывай всех оптом.

Либо ты не понял Шнайера, либо плюнь ему в лицо.

>> Я тебе объяснял, что
>> твой анализ ассемблерных инструкций
> Открою секрет: я не производил анализ "ассемблерных инструкций". "Объяснятель", конечно,
> волен его поискать и привести цитату со ссылкой. Он ведь не
> балаболит и понимает о чём говорит?

Сам отмотай тред на начало и посмотри. Я то тебе зачем для этого? Скроллом разучился пользоваться?

Ответить | Правка | К родителю #471 | Наверх | Cообщить модератору

473. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +1 +/–
Сообщение от n00by (ok), 26-Авг-20, 13:35 
> плюнь ему в лицо.

Не, дружочек, так дела не делаются. Тебе надо -- ты и плюй. Можешь не в самого Шнайера, открой его книжку в электронном виде и плюнь в монитор. Он сдачи не даст. Или бабушку попроси.

Ответить | Правка | К родителю #472 | Наверх | Cообщить модератору

474. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  –1 +/–
Сообщение от Ordu (ok), 26-Авг-20, 15:01 
>> плюнь ему в лицо.
> Не, дружочек, так дела не делаются. Тебе надо -- ты и плюй.
> Можешь не в самого Шнайера, открой его книжку в электронном виде
> и плюнь в монитор. Он сдачи не даст. Или бабушку попроси.

Ну да, вот я сейчас рванусь выяснять -- это ты не понял Шнайера, или Шнайер глупость сказал, чтобы понять кому в лицо плевать. Меня Шнайер не вводил в заблуждение, мне пофигу.

Ответить | Правка | К родителю #473 | Наверх | Cообщить модератору

475. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Michael Shigorinemail (ok), 26-Авг-20, 15:06 
>> "Ты" действительно не может это сделать, а остальным достаточно знания
>> аксиом: "противник обладает всеми необходимыми техническими средствами".
> Плюнь в лицо этим остальным. Если противник обладает всем необходимым, то ты
> ставишь перед собой задачу, с которой ты никогда не справишься.

Ну вот, опять провал с логикой уровня школьной математики.

Напомню: есть не только слово "необходимо", но и слово "достаточно".

Ох уж мне эти психолухи самопальные...

Ответить | Правка | К родителю #470 | Наверх | Cообщить модератору

476. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  –1 +/–
Сообщение от Ordu (ok), 26-Авг-20, 22:45 
>>> "Ты" действительно не может это сделать, а остальным достаточно знания
>>> аксиом: "противник обладает всеми необходимыми техническими средствами".
>> Плюнь в лицо этим остальным. Если противник обладает всем необходимым, то ты
>> ставишь перед собой задачу, с которой ты никогда не справишься.
> Ну вот, опять провал с логикой уровня школьной математики.
> Напомню: есть не только слово "необходимо", но и слово "достаточно".
> Ох уж мне эти психолухи самопальные...

Шигорин, иди мимо со своими загадками. У меня нет настроения их разгадывать, чтобы понять, что на этот раз тебе очень хотелось, но не получилось сказать.

Ответить | Правка | К родителю #475 | Наверх | Cообщить модератору

477. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от n00by (ok), 27-Авг-20, 12:39 
У Ordu первая "вышка" -- математика, если правильно помню. То есть как раз он мог бы нам рассказать о NP-полных задачах и пресловутой сотне времён жизни Вселенной, лежащих в основе стойкости криптоалгоритмов. А он почему-то даже после подсказки о наблюдаемом результате iterate_dir() не захотел догадаться, что для обнаружения "руткита" следует получить список файлов различными способами и сравнить. Может, и правда, дело в психологии...
Ответить | Правка | К родителю #475 | Наверх | Cообщить модератору

468. "Комплекс вредоносного ПО Дроворуб заражает ОС Linux"  +/–
Сообщение от Ordu (ok), 23-Авг-20, 00:53 
> Что касается политбабловируса-19 и оценки условий, при которых синус π может достигать
> 7-8 -- априори здешняя экспертиза на уровне "дроворуб режет слух". Удивлён
> мнению, что якобы я хотел что-то _доказать_ по теме вне моей
> компетенции. Впрочем, атмосферные испытания ЯО проводились, а этих... как их там,
> ботанов... оу, йес, сир -- FDA! выслушивали по факту через дцать
> лет.

Занятная новость в тему: https://www.aljazeera.com/news/2020/08/trump-accuses-deep-st...

Почитай, если будет время, но попробуй концентрироваться не столько на том, является ли ковид политблобовирусом-19 или он серьёзная и недооценённая угроза, а на том, какого рода отношения складываются между ведомствами.

Ответить | Правка | К родителю #442 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру