Newsgroup: it.comp.sicurezza.varie
Titolo: decomprimere upx bxfl

Ho tra le mani un exe di dubbio gusto che, guardato all'editor
esadecimale sembra essere compresso con UPX 1.24. Il problema è che con
UPX 1.24w non riesco a decomprimerlo -> checksum error.
Il file è probabilmente un virus, un trojan o qualcosa del genere e mi
piacerebbe saperne di piu' visto che google questo "bxfl.exe" non sembra
conoscerlo.
nota: la stringa bxfl su google groups produce un sacco di messaggi
illeggibili che sembrano codificati con qualcosa di simile al rot13 ma
che non lo e', qualcuno ne sa qualcosa?
ciao
-- 
Seti@Home Java Applets
http://www.mycgiserver.com/~maruko/

che non lo e', qualcuno ne sa qualcosa?
Ho tra le mani anche io un file simile: readme.exe, un file da 52k
compresso con upx, ma all' atto della scompressione upx dice che il
checksum e' errato.
Purtroppo non ho potuto fare altro: domani preparo l' ambiente sterile
e lo provo.
 ==> Atlantis <==
 Icq # 18752702
 
http://thenomad.homeip.net
 (now online)
 A.T.L.A.N.T.I.S.: Artificial Transforming Lifeform Assembled for Nocturnal Troubleshooting and Intensive Sabotage
 "I'm a bomb technician. If you see me running, try to keep up"

 e lo provo.
Bugbear.b ?
Saluti.

Bugbear.b ?
probabile. 


 probabile. 
Mah, non sembra, pero'...
Ho provato ad eseguire il file sospetto e dice che e' una "applicazione
win32 non valida".
Forse che sia una mail virata gia' pulita a monte dall' isp?
Ciao
A.
icq# 18752702
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


ho detto probabile perche' sono dietro a ripulire 2 pc infetti e ieri mi
sono arrivate un paio di email con allegati upx-corrotti.
riguardo al bxfl e' 99% bugbear perche' ora ho qui un portatile con
sopra un beqc.exe riconosciuto come tale... bxfl, beqc...


 sopra un beqc.exe riconosciuto come tale... bxfl, beqc...
Tanto per la cronaca:
happycactus@wiseowl:vir$ strings FATTUR~1.XLS.Vexe | grep UPX
UPX0
UPX1
UPX2
UPX!
happycactus@wiseowl:vir$ upx -d FATTUR~1.XLS.Vexe 
                     Ultimate Packer for eXecutables
            Copyright (C) 1996, 1997, 1998, 1999, 2000, 2001
UPX 1.20         Markus F.X.J. Oberhumer & Laszlo Molnar        May 23rd
2001
        File size         Ratio      Format      Name
   --------------------   ------   -----------   -----------
upx: FATTUR~1.XLS.Vexe: Exception: checksum error
Unpacked 1 file: 0 ok, 1 error.
E viene riconosciuto da NOD32 aggiornato stamane come bugbear.b
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 sopra un beqc.exe riconosciuto come tale... bxfl, beqc...
Hai dimenticato il mio "pero'" :)
Si' e' bugbear/b


 che non lo e', qualcuno ne sa qualcosa?
Usa un generic unpacker, ProcDump o guw32 possono andare.
-- 
-=[]=---iAN CooG---=[]=-
Answers: $1, Short: $5, Correct: $25, dumb looks are still free.

 che non lo e', qualcuno ne sa qualcosa?
Sono siti spam_die, un mod apache che genera testi e indirizzi e-mail 
casuali con l'intento di rompere le balle ai crawler degli spammer.
Per quanto riguarda l'eseguibile compresso con upx, penso che possano
essere due i problemi. L'eseguibile potrebbe essere corrotto: bugbear
ad esempio deve avere il client SMTP bacato per cui, a volte, il file
allegato non e' completo. L'altro aspetto e' che e' probabile, sempre
nel caso di bugbear (il primo che mi viene in mente, eh?), che per la
compressione dell'eseguibile venga utilizzata una versione di upx non
standard. L'errore viene rilevato durante il calcolo della checksum a
fronte dell'algoritmo adler32, nella funzione Packer::decompress (upx
1.24). Non e' escluso che con un poco di lavoro non si riesca scovare 
come modificare il codice per decomprimere anche questi eseguibili ma
io non mi ci metto neanche.
Fabio

 conoscerlo.
Hai provato con alcuni dei tools su 
http://protools.cjb.net
 ?


guw32 che si pianta all'avvio con un bel rettangolone grigio (sotto xp)
e procdump che pero' non so usare (e non mi sono messo a leggere la doc)
e non ci ho tirato fuori niente... process is not 32 bit or can't be
loaded or is already finished.



non siti, messaggi su newsgroup trovati con google, esempio:
Dsseueo ssfi apvkup a sefwkl bsj aksd jk
psse mpl dgww y ppnb emspm eescn fgrf
estratto da:
http://groups.google.com/groups?hl=en&lr=&ie=UTF-8&oe=utf8&safe=off&threadm=F7EA3FE230.febphd%40lcxoarawp.mil&rnum=8&prev=/groups%3Fq%3Dbxfl%26ie%3Dutf8%26oe%3Dutf8%26sourceid%3Dmozilla-xul


> nota: la stringa bxfl su google groups produce un sacco di messaggi

A me sembra un bugbear/b ripulito alla cavolo da un motore di
trendmicro (provato a lavoro) :)
ciao


 trendmicro (provato a lavoro) :)
Boh, io ho ricevuto un centinaio di bugbear.b, che mi sono stati 
consegnati tali e quali, senza alcun tentativo di pulizia, in una 
mailbox dedicata, e nessuno di questi puo' essere decompresso con
la versione standard di upx. Secondo me chi ha codato bugbear.b 
ha semplciemente modificato leggermente, anche solo una stupidata, 
l'algoritmo di upx.
Fabio

Fabio Panigatti ha scritto:

http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=PE_BUGBEAR.B
"Trend Micro has received damaged samples of PE_BUGBEAR.B and created a
detection for it as PE_BUGBEAR.DAM"
I file sospetti che avevo io, infatti, oggi col pattern 561 sono stati
riconosciuti come PE_BUGBEAR.B.DAM: ho pensato a file "ripulito alla
cavolo da un motore di trendmicro" perche' mi e' capitato diverse,
soprattutto in occasione di diffusioni virali di massa, trend rilascia
pattern piuttosto "spigolosi" che ritocca poi con versioni successive
migliori (ricordo che una volta un pattern individuava come virus i files
asx presenti sul cd di installazione di 2000).
Tornando al discorso originale. i file in oggetto sono roba da buttare
comunque :)
Ciao


Atlantis ha scritto:
Mamma mia in quale lingua ho scritto?
Aggiungo solo che le mail con i file sospetti le ho ricevute tutte da
poste, che se non sbaglio utilizza i prodotti trendmicro: ho quindi
pensato che il loro antivirus avesse cercato di pulire gli allegati in
maniera un po' "barbara"


 detection for it as PE_BUGBEAR.DAM"
Penso che siano quelli "corti". Io ne ho una decina tra i 40 e i 50 k
invece dei 72892 k del worm completo (e' il baco di cui avevo parlato
nel primo post). I miei antivirus (clam, f-prot) non li riescono a 
riconoscere perche' il pattern invariante che costituisce la firma si 
trova nella parte finale del file, che viene troncata. Forse trend ha 
creato una firma (quella per il .dam) che guarda piu' vicino all'inizio 
del file. Penso che comunque, pur non avendo fatto prove, questi 
bugbear.b.dam[aged] siano innocui, visto che sono incompleti. 
Fabio

bugbear.b.dam[aged] siano innocui, visto che sono incompleti. 
Concordo in pieno con quanto hai scritto.
I file che ho io hanno tutti dimensione compresa tra 42 e 51 kb, tutti
dam.
Li ho provati su una macchina di test e tutti non risultano eseguibili
(applicazione win32 non valida), quindi innocui.
Ciao :)
