¿Realmente los antivirus nos protegen?

[scott_]

Muy buenas bro's,

Probablemente este tema es muy polémico y ha sido difundido, debatido, comentado y muchas cosas de problemas y dudas.
Pero mi pregunta  va, ¿que los antivirus nos protegen?, no me la respondan que es un tema inicial.
Desde hace un tiempo he dejado a un lado los antivirus, ya que no son del todo protectores de nuestra seguridad y privacidad. Dependiendo el que tengas sera el mayor protector y analista de archivos indeseables.
http://subefotos.com/ver/?ce0aca471408ba9483b995c5c4004c57o.png

En este caso solo tube que usar un crypther, sin volverlo a cifrar con otro, para hacerlo indetectable completamente.

Pero ahora, pues se que son de utilidad para quitar archivos basura "malwares indeseados o virus que molestan". O siplemente para dar una sencilla advertencia de peligro.
Viendo el comportamiento de la botnet Atrax. Me doy cuenta que el Tor no es tan importante como la difunidicion de su codigo en especial. Es decir, que no es lo mismo que una botnet vieja.
De alli viene el peligro que muchos temen.
¿Entonces. Los crypthers jamas van a desaparecer?

Asi que nada, los crypthers son un peligro, ya que rondan en internet sin saber que uso se les dara. Es decir he probado armar una botnet con 1 solo infectoado y hasta ahora me sorprende la cifra. Es decir suficiente para tumbar una web comun.
No me gusta como va esto. Sigue en aumento.

Gracias a todos por su tiempo y Saludos.

[engel lex]

recuerda también que el cripter lo hace "FUD" por ahora, pero un algunas semanas lo detectarán más rápido aún si el archivo es distribuido, es como afirmar "la policía no nos protege porque si un ladrón, te sigue, ve tu rutina hasta que un día sale y te apuñala, entonces la policía es inútil" recuerda que hablamos de un ataque preciso con una herramienta "limpia"

[lechugaFeliz]

opino que no, sea cual sea el malware, la lucha contra estos está perdida si la forma más común de identificarlos es a travez de un hash.

Tomas el mismo código de malware, lo inyectas en otra aplicación y ya tienes otro hash.

[CodeJiyu]

Hasta cierto punto sí, pero es bueno combinar el antivirus con otro métodos de seguridad.

[kub0x]

Depende de tu conocimiento sobre aplicaciones o métodos defensivos. El impacto del ataque está directamente relacionado con la seguridad o defensa de la víctima.

A mi me gusta más el término anti-malware, pues en este caso yo no utilizo sólo un AV, también ago uso de: HIPS, FW y Sandbox.

El tema de los crypters ha sido ya analizado aquí numerosas veces, está claro que cuando codeas y liberas un malware, éste todavía no habrá sido detectado por las compañías de AVs, por lo que pasará desapercibido hasta que sea analizado por otros medios. Lo mismo para el crypter, si es detectado todos los ejecutables cifrados por el mismo darán positivo.

Imaginemos que tu crypter es nuevo y mi AV no lo detecta, si el crypter descifra el malware y lo guarda en disco, lo más probable es que de positivo si el malware ya es conocido por los AVs. Para eso el crypter debe descifrar y guardar el binario (malware) en memoria y ejecutar su método de entrada (RunPE). Aquí ya el AV queda inservible, pero tenemos un Firewall que bloquea conexiones dudosas y un HIPS que nos avisa de cualquier cambio relevante en nuestro equipo.

Un buen método de infección para bypassear este tipo de medidas es juntar dos ejecutables, un instalador y el malware, para que el usuario lo añada como excepción en su solución anti-malware, pues el instalador requiere de permisos y el usuario confía. Sino con escalar privilegios y subvertir el SO bastaría.

Saludos.

[xxxposeidonxxx]

Aquí hay un si! Y un No!

Si: Si para los trolls que solo quieren infectar para ver unas tetas y robarte 4 fotos y si pueden tu CC para hacer alguna compra.

NO: No sirven de nada ante la gente que realmente sabe, una persona cualificada te la puede colar muy muy facil.

PD: Ten encuenta que solo te hizo falta encryptar tu fichero para hacerlo indetectable al SCANEO. Ahora... No lo ejecutes porque un 90% de los AV's se lo cepillan, porque? Porque todos los crypters que hay publicos, son miles de copias de uno mismo, solo hay unos 4 que se libran de no copiar codigo ya publico.  Entonces no pasan mas que la proteccion de Scaneo. Yo de hecho ni tengo AV instalado asi que mira que eficacia les veo yo jeje

Saludos

[scott_]

Pues, yo no tengo tetas, si no petorales. Pero si soy trollero 

Ye tengo muchos crypters FUD 100%, y derivados de eso.

Pero indetectables:
http://www.refud.me/results.php?id=lfbue4xswkcovgrcbpuihogqq5rvpjbmebc

Y verle las tetas a una mujer de esa manera se me hace absurdo  , ninguna mujer que conozco se baña con lap encendida o eso creo.

Pero bueno. Ya sabras si eres un trollero.

Saludos.

[iUDEX]

Hasta cierto punto sí, pero es bueno combinar el antivirus con otro métodos de seguridad.

+1, totalmente cierto.

Recuerda que hay personas que usan su PC y se limitan a usar Internet o programas que sé yo. Escuchar música ejemplo.

No todos van a hacer como nosotros, no van a ponerse a buscar el virus/malware manualmente y encerrarlo en un sandbox, hacerle pruebas, estudiar el código y etcétera etcétera.

Saludos!

[Hurdano]

Joer, que tema más interesante. Estoy viendo muchos términos que no se que significan, voy a buscarlos y ver si me entero más o menos que es cada cosa. Por ejemplo lo del FUD y tal.

Y lo que más o menos estáis hablando, proteger proteger...te protegen de lo que ya tienen registrado. Puede que los de pago te den alguna protección extra frente a los gratuitos. Pero muy poca gente tiene AV de pago. O los descargan gratis o con crack, y con crack...xD xD xD.

El AV más eficaz es el usuario mismo. Pero ni las personas que saben y ni los que sabemos un poco, somos totalmente eficientes, siempre hacemos algo inseguro sin las medidas correctas.

[xxxposeidonxxx]

@Hurdano
FUD = Archivo completamente indetectable.
FUD = Fully undetectable. (completamente indetectable)

@scott_  Ese archivo es indetectable Scantime, Al ejecutarlo lo detectaria seguro 100%. A no ser que tu mismo lo programases con 2 cojones. 

@lechugaFeliz Con modificar 1 Byte del archivo ya cambias el Hash. Hace años que eso no funciona.