Ohjelman kotisivulta SoftPerfect.com ja Download.fi sivuilta latautuu eri hash-tunnisteet omaava tiedosto kuin yleisiltä lataussivuilta (TechSpot.com, Softpedia.com jne.)
File: networx_setup.exe (Download.fi)
CRC-32: 69502d16
MD4: 85e6ae1fd026f3bda6dcaa6e1b7a5512
MD5: 84fe8adb36787c4f0c383a40a3feea33
SHA-1: cd3717932841212f5a02907cec0681f6f1ff8485
File: networx_setup.exe (SoftPerfect.com ohjelman kotisivu)
CRC-32: c25f4782
MD4: 718b9f1b73cfcc726915c02c5247bb9a
MD5: 49441c76c8a25271e63da324bc4299f5
SHA-1: d997f434268856ef32ad45563b72fc9d293fe87d
File: networx_setup.exe (TechSpot.com)
CRC-32: ea01c711
MD4: efd845c7f2f818f2aaa950a67ee49c1e
MD5: 272d94667916417d67f603aedb53be93
SHA-1: f4abeed3951a495def036c38a273dfac0d5f4eba
File: networx_setup.exe (Softpedia.com)
CRC-32: ea01c711
MD4: efd845c7f2f818f2aaa950a67ee49c1e
MD5: 272d94667916417d67f603aedb53be93
SHA-1: f4abeed3951a495def036c38a273dfac0d5f4eba
NetWorx v5.2.11 tiedot ja allekirjoitukset:
Download.fi
Ominaisuudet:
Tiedoston kuvaus: Network monitoring utility
Tyyppi: Sovellus
Tiedoston versio: 5.2.11.0
Tuotenimi: NetWorx
Tuoteversio: 5.2.11
Tekijäoikeus: 2002-2013 SoftPerfect Research
Koko: 3,22 Mt
Muokkauspäivämäärä: 9.11.2013 19:58
Kieli: Kielen suhteen neutraali
Allekirjoittajan tiedot
Nimi: SOFTPERFECT PTY. LTD.
Allekirjoitusaika: 28. lokakuu ta 2013 14:55:08
Varmentavat allekirjoitukset:
GlobalSign TSA for MS Authenticode - G1
Allekirjoitusaika: 28. lokakuu ta 2013 14:55:08
SoftPerfect.com (kotisivu)
Ominaisuudet:
Tiedoston kuvaus: Network monitoring utility
Tyyppi: Sovellus
Tiedoston versio: 5.2.11.0
Tuotenimi: NetWorx
Tuoteversio: 5.2.11
Tekijäoikeus: 2002-2013 SoftPerfect Research
Koko: 3,22 Mt
Muokkauspäivämäärä: 9.11.2013 19:54
Kieli: Kielen suhteen neutraali
Allekirjoittajan tiedot
Nimi: SOFTPERFECT PTY. LTD.
Allekirjoitusaika: 6. marraskuu ta 2013 9:27:33
Varmentavat allekirjoitukset:
GlobalSign TSA for MS Authenticode - G1
Allekirjoitusaika: 6. marraskuu ta 2013 9:27:33
Softapedia.com, TechSpot.com, Filehorse.com jne. tunnetut lataussivustot
Ominaisuudet:
Tiedoston kuvaus: Network monitoring utility
Tyyppi: Sovellus
Tiedoston versio: 5.2.11.0
Tuotenimi: NetWorx
Tuoteversio: 5.2.11
Tekijäoikeus: 2002-2013 SoftPerfect Research
Koko: 3,22 Mt
Muokkauspäivämäärä: 9.11.2013 19:57
Kieli: Kielen suhteen neutraali
Allekirjoittajan tiedot
Nimi: SOFTPERFECT PTY. LTD.
Allekirjoitusaika: 23. lokakuu ta 2013 15:59:09
Varmentavat allekirjoitukset:
GlobalSign TSA for MS Authenticode - G1
Allekirjoitusaika: 23. lokakuu ta 2013 15:59:09
Miksi tuo asennustiedosto on allekirjoitettu useampaan kertaan, vaikka siinä ei ole mitään versiomuutoksia?
HASH-tiivistetunnisteet ovat varmin keino todentaa tiedostojen identtisyys ja muuttumattomuus. Varsinkin jos useampi eri tiivistetunniste täsmää MD5, SHA-1 jne. niin tiedostoa ei ole voitu muokata tai käsitellä.
Yleensä minkä tahansa ohjelman saman version asennustiedoston HASH-tiivistetunnisteet täsmäävät jos kyseessä sama jakeluversio .exe tai .msi tai .zip, ja juuri näiden tiivisteiden identtisyyden takia tiedoston alkuperäisyys voidaan todentaa. Siksi saman version NetWorx-setup-tiedoston jakaminen useammalla eri HASH-tunnisteella ja allekirjoituksella ihmetyttää.
Kaiken lisäksi noiden eri tunnisteella tulevien asennustiedostojen tiedostokoko (SoftPerfect-kotisivu ja Download.fi) on suurempi kuin yleisillä lataussivuilla olevan version.
File: networx_setup.exe (Download.fi)
Tiedostokoko: 3379352 tavua
Tiedostotyyppi: PE32 executable (GUI) Intel 80386, for MS Windows
MD5: 84fe8adb36787c4f0c383a40a3feea33
SHA1: cd3717932841212f5a02907cec0681f6f1ff8485
http://virusscan.jotti.org/fi ClamAV tunnistaa tuon tiedoston
2013-10-28 Win.Trojan.Bublik-357 -tiedostoksi
Tiedetystihän digitaaliset allekirjoitukset voidaan väärentää jos halutaan levittää saastutettuja asennustiedostoja. Kaiken lisäksi nuo HASH-tunnisteeltaan eroavat NetWorx v5.2.11 tiedostot ovat hieman suurempia kuin luotettavien ohjelmalataussivujen jakama versio.
File: networx_setup.exe (Download.fi)
CRC-32: 69502d16
MD4: 85e6ae1fd026f3bda6dcaa6e1b7a5512
MD5: 84fe8adb36787c4f0c383a40a3feea33
SHA-1: cd3717932841212f5a02907cec0681f6f1ff8485
File: networx_setup.exe (SoftPerfect.com ohjelman kotisivu)
CRC-32: c25f4782
MD4: 718b9f1b73cfcc726915c02c5247bb9a
MD5: 49441c76c8a25271e63da324bc4299f5
SHA-1: d997f434268856ef32ad45563b72fc9d293fe87d
File: networx_setup.exe (TechSpot.com)
CRC-32: ea01c711
MD4: efd845c7f2f818f2aaa950a67ee49c1e
MD5: 272d94667916417d67f603aedb53be93
SHA-1: f4abeed3951a495def036c38a273dfac0d5f4eba
File: networx_setup.exe (Softpedia.com)
CRC-32: ea01c711
MD4: efd845c7f2f818f2aaa950a67ee49c1e
MD5: 272d94667916417d67f603aedb53be93
SHA-1: f4abeed3951a495def036c38a273dfac0d5f4eba
NetWorx v5.2.11 tiedot ja allekirjoitukset:
Download.fi
Ominaisuudet:
Tiedoston kuvaus: Network monitoring utility
Tyyppi: Sovellus
Tiedoston versio: 5.2.11.0
Tuotenimi: NetWorx
Tuoteversio: 5.2.11
Tekijäoikeus: 2002-2013 SoftPerfect Research
Koko: 3,22 Mt
Muokkauspäivämäärä: 9.11.2013 19:58
Kieli: Kielen suhteen neutraali
Allekirjoittajan tiedot
Nimi: SOFTPERFECT PTY. LTD.
Allekirjoitusaika: 28. lokakuu ta 2013 14:55:08
Varmentavat allekirjoitukset:
GlobalSign TSA for MS Authenticode - G1
Allekirjoitusaika: 28. lokakuu ta 2013 14:55:08
SoftPerfect.com (kotisivu)
Ominaisuudet:
Tiedoston kuvaus: Network monitoring utility
Tyyppi: Sovellus
Tiedoston versio: 5.2.11.0
Tuotenimi: NetWorx
Tuoteversio: 5.2.11
Tekijäoikeus: 2002-2013 SoftPerfect Research
Koko: 3,22 Mt
Muokkauspäivämäärä: 9.11.2013 19:54
Kieli: Kielen suhteen neutraali
Allekirjoittajan tiedot
Nimi: SOFTPERFECT PTY. LTD.
Allekirjoitusaika: 6. marraskuu ta 2013 9:27:33
Varmentavat allekirjoitukset:
GlobalSign TSA for MS Authenticode - G1
Allekirjoitusaika: 6. marraskuu ta 2013 9:27:33
Softapedia.com, TechSpot.com, Filehorse.com jne. tunnetut lataussivustot
Ominaisuudet:
Tiedoston kuvaus: Network monitoring utility
Tyyppi: Sovellus
Tiedoston versio: 5.2.11.0
Tuotenimi: NetWorx
Tuoteversio: 5.2.11
Tekijäoikeus: 2002-2013 SoftPerfect Research
Koko: 3,22 Mt
Muokkauspäivämäärä: 9.11.2013 19:57
Kieli: Kielen suhteen neutraali
Allekirjoittajan tiedot
Nimi: SOFTPERFECT PTY. LTD.
Allekirjoitusaika: 23. lokakuu ta 2013 15:59:09
Varmentavat allekirjoitukset:
GlobalSign TSA for MS Authenticode - G1
Allekirjoitusaika: 23. lokakuu ta 2013 15:59:09
Miksi tuo asennustiedosto on allekirjoitettu useampaan kertaan, vaikka siinä ei ole mitään versiomuutoksia?
HASH-tiivistetunnisteet ovat varmin keino todentaa tiedostojen identtisyys ja muuttumattomuus. Varsinkin jos useampi eri tiivistetunniste täsmää MD5, SHA-1 jne. niin tiedostoa ei ole voitu muokata tai käsitellä.
Yleensä minkä tahansa ohjelman saman version asennustiedoston HASH-tiivistetunnisteet täsmäävät jos kyseessä sama jakeluversio .exe tai .msi tai .zip, ja juuri näiden tiivisteiden identtisyyden takia tiedoston alkuperäisyys voidaan todentaa. Siksi saman version NetWorx-setup-tiedoston jakaminen useammalla eri HASH-tunnisteella ja allekirjoituksella ihmetyttää.
Kaiken lisäksi noiden eri tunnisteella tulevien asennustiedostojen tiedostokoko (SoftPerfect-kotisivu ja Download.fi) on suurempi kuin yleisillä lataussivuilla olevan version.
File: networx_setup.exe (Download.fi)
Tiedostokoko: 3379352 tavua
Tiedostotyyppi: PE32 executable (GUI) Intel 80386, for MS Windows
MD5: 84fe8adb36787c4f0c383a40a3feea33
SHA1: cd3717932841212f5a02907cec0681f6f1ff8485
http://virusscan.jotti.org/fi ClamAV tunnistaa tuon tiedoston
2013-10-28 Win.Trojan.Bublik-357 -tiedostoksi
Tiedetystihän digitaaliset allekirjoitukset voidaan väärentää jos halutaan levittää saastutettuja asennustiedostoja. Kaiken lisäksi nuo HASH-tunnisteeltaan eroavat NetWorx v5.2.11 tiedostot ovat hieman suurempia kuin luotettavien ohjelmalataussivujen jakama versio.
Vastaukset 17
Vanhimmat
Verratkaapa noiden tiedostojen yhden kilotavun eroa koodista.
MIllä ohjelmalla koodissa olevaia eroja voisi monitoroida?
Jo aikaisemmissa NetWorx-versioissa havaittu sama ilmiö:
http://keskustelu.suomi24.fi/node/11718862
Esim. NetWorx v5.2.9 SoftPerfect-kotisivulta ladattuna antaa Virustotal. com-sivulla troijalaisvaroituksia https://www.virustotal.com
Source: www.softperfect.com/products/networx/ (NetWorx v5.2.9)
File: networx_setup.exe
CRC-32: 6a50c306
MD4: da0f7460f78177cda92dc54d74daa09b
MD5: bf3dc5ea0b85a86bbf5c9b57919996f5
SHA-1: fb1561a515d604876dc6f9a31305e35e68cedee2
Virustotal-löytö:
Symantec------------------------WS.Reputation.1--------------20130913
TrendMicro-HouseCall ----- TROJ_GEN.F47V0903------20130913
Et ole eka joka tuota ihmettelee, tuolla kyselevät palautetta
http://processchecker.com/file/networx_setup.exe.html
NetWorx on tunnettu vanha verkkoyhteyden seurantaohjelmisto, joten hyvä alusta muistissa pyörivälle troijalaiselle joka juoruaa tietoja isoveljelle.
kirjautumistietoja ym. keräävät troijalaiset voivat olla virustunnisteisiin nojautuville virustorjuntaohjelmille hankalia havaittavia, koska ne pyörivät tietokoneen käyttömuistissa. Ei ihme että käyttää liikaa CPU:ta ja muistia.
Kumma että winkuraan ladattavista ohjelmista ei löydy tarkistussummia. Aika riskialtista on käyttää epämääräisiä ohjelmia?
Joo, se on aika outoa että vain harva ohjelmistofirma kertoo sivuillaan ohjelmiensa hash-tunnisteet MD5, SHA-1 jne. Monelta tietoturvafirmaltakin nuo puuttuvat sivuilta. Johtuneeko siitä etä isoveli saattaa pyytää ujuttamaan sivulle takaportatun version, ja jos tämän tunnisteet ohjelmafirma jukaisisi niin se todettaisiin syylliseksi haitakeohjelman levittämisestä. Nyt voidaan aina syyttää jonkun tunkeutuneen sivulle ja vaihtaneen tiedostot. Digitaaliset allekirjoitukset eivät sinällään merkitse mitään, niitä voidaan väärentää. Sen sijaan ihmetystä herättää kun samasta ohjelman asennustiedostoversiosta liikkuu useampia Digitaalisella allekirjoituksella merkattuja eri hash-tiivisteversioita. Osa niistä saattaa olla portattuja versioita, joita koitetaan kohdistetusti levittää.
"Kumma että winkuraan ladattavista ohjelmista ei löydy tarkistussummia. Aika riskialtista on käyttää epämääräisiä ohjelmia?"
HASH-tunnisteiden avulla Windows saataisiin paljon turvallisemmaksi. Reaaliaikainen HIPS-suojaus joka laskisi vaikka suoritettavien tiedostojen MD5, SHA-1 ja SHA256 tunnisteet realiaikaisesti. Lisäksi kaikkien koneessa olevien tiedostojen tunnisteet voisi laskea ja niiden muutoksia seurata. Tunnisteista pidettäisiin Virustotal.com ja systemexplorer.net tyylistä tietokantaa josta selviää tiedoston digitaaliset varmenteet, muut tiedot, sekä missä sitä on tavattu aiemmin ja koska ensimmäisen keran. Vihreästä punaiseen tunnus turvalliseksi varmistettu, tunnettu allekirjoitettu, tunnettu allekirjoittamaton, tuntematon allekirjoitettu, tuntematon, haitallinen.
Ohjelmafirmat antaisivat tietojen tunnisteet näille turvallisiksi todetuille tietokannoille ennakkoon. Virustotal Googlen omistamana nyt ei kyllä ole luotettava, samoin systemexplorer.net saattaa olla jenkkifirmana NSA:n hallussa. Kun siis tarkistutat koneesi prosessit ja moduulit System Explorer pilvipalvelussa, ulkoinen taho näkee kaikki koneessasi päällä olevat prosessit ja moduulit, ja voi käyttää tätä tietoa hyödyksi hyökkäyksissä ohjelmien haavoittuvuuksien kautta.
Näiden turvallisten tietokantojen pitäisi siis olla kansalinvälisten toimijoiden hallussa. Mielellään koneelle voisi ladata päivittyvän hash-varmennetun tunnistetietokannan prosessien tarkkailuun. Kun tämän tietokanna voisi ajaa bootti-levyltä niin mahdolliset rootkititkään eivät estäisi kovalevyn skannausta täydellisesti.
http://www.itviikko.fi/uutiset/2012/09/10/hakujatti-hankkii-oman-tiedostoskannerin--virustotal-googlelle/201237459/7
Google PRISM-järjestelmän osana voi poistaa tai jättää huomioimatta Virustotalista valtiotason toimijoiden haitakkeiden tiedostot. Sen sijaan monikansallinen ja riippumaton edellä mainitun tyylinen megatietokanta kaikkien käyttöjärjestelmien tiedostoista (myös mobiilikäyttöjärjestelmien) päivittyvine tietokantatiedostoineen ja bootti-levyajoineen paljastaisi myös erilaiset valtiotason haitakkeet mm. Red Octoberin, Flamen ja muiden komponentit nopeasti sekä root-tasolta ajettavat haitakkeet. Kaikki koneen kiintolevyillä ja muissa massamuisteissa olevat tiedostot olisi tarkistettavissa, myös firmwaressa olevat.
System Explorer – tiedot mitä koneessa tapahtuu
http://neptunet.net/2012/05/09/system-explorer-–-tiedot-mita-koneessa-tapahtuu/
System Explorer on alallaan erinomainen sovellus koneessa suoritettavien prosessien, moduulien ym. tarkkailuun. Ainut ongelma on se että kuka tietää mikä taho on System Explorerin takana. Kun lähetät koneesi kaikki tärkeät tiedot http://systemexplorer.net pilvipalveluun tarkistettavaksi niin samalla paljastat koneesi kaikki haavoittuvuudet joiden kautta koneeseen voi verkosta hyökätä. He näkevät mitä palveluja, prosesseja, moduuleita sinulla on käytössä sekä niiden versiotiedot. Samalla nähdään tietenkin myös kaikkien käynnissä olevien tietoturvaohjelmien tiedot. Jos taustalla on NSA tai vastaava verkkoa seuraava taho, niin yksittäiseen koneeseen pääsy verkon kautta helpottuu oleellisesti.
NetWorx asentaa C:\Windows\ kansioon seuraavat kolme tiedostoa
is-OLR0B.exe
is-OLR0B.Lst
is-OLR0B.msg
Tiedostojen nimi vaihtelee eri koneissa.
is-OLR0B.exe details:
https://www.virustotal.com/fi/file/4b5509fa1360429e156de27f51353588fc31cfdc44d8c2ac346f7dddb94596be/analysis/
CRC-32: f3821995
MD4: e923245161e3b47cde24bf49fa3c9c9c
MD5: ed1b25bccd3b60c1e25e0c6a3884a5fb
SHA-1: 65a1bff96208e3b583775a9c9fdbca504852cd8c
SHA256: 4b5509fa1360429e156de27f51353588fc31cfdc44d8c2ac346f7dddb94596be
NetWorx laittaa myös is-OLR0B.exe tiedostolle seuraavat käynnistysmerkinnät:
Located: HK_LM:RunOnce, InnoSetupRegFile.0000000001
command: "C:\Windows\is-OLR0B.exe" /REG /REGSVRMODE
file: C:\Windows\is-OLR0B.exe
---------------------------------------------------------
Match: "C:\Windows\is-OLR0B.exe" /REG /REGSVRMODE
Found at: In Value Data
Registry Path: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce-, "InnoSetupRegFile.0000000001"
MIkä tämän tiedoston tehtävä on?
http://www.isthisfilesafe.com/sha1/65A1BFF96208E3B583775A9C9FDBCA504852CD8C_details.aspx
Ohjelmaa ei ole digitaalisesti allekirjoitettu vaikka se tulee NetWorx setup -ohjelman mukana.
Uusin SoftPerfect NetWorx v5.2.12 löytyy myös eri hash-tunnisteilla varustettuna kotisivulta ja esim. download.fi sivulta. En ole havainnut millään muulla softalla tällaista saman version jakamista eri tiivistetunnisteilla, joten mitä lisukkeita toinen allekirjoitettu jakelupaketti sisältää? SoftPerfect on jakanut aiemmistakin versioista NetWorx -ohjelmasta eri tunnisteilla olevia asennustiedostoja.
File: networx_setup_v5.2.12.exe ( http://www.softperfect.com/products/networx/ )
CRC-32: fc4bb3a1
MD4: 6777d41f39f9b83f2ad0048da5eaa0d7
MD5: cc0195a1cfbe92ddc36d3747a72f5783
SHA-1: 71f8276ee60cebb678277a1a3783d4b843cc76f6
SHA256: 4dd422efa654deee034ff6d9cc0a0c6d75ddf33add45def5f0d46a349de64816
https://www.virustotal.com/fi/file/4dd422efa654deee034ff6d9cc0a0c6d75ddf33add45def5f0d46a349de64816/analysis/
Detection ratio: 0 / 49
--
File: networx_setup_v5.2.12.exe (Download.fi)
CRC-32: a0dec1e1
MD4: e120b1b734ae99e8e3e65e6e00b820f3
MD5: 979c2517bd6dce4ab8b88842ce0592e7
SHA-1: 472d72d913799c54e2862732d7215ed7251e9ff3
SHA256: 29fa56707553bc683b3b3bc5ccf2a54c45e42187b6a8eb23c0ac5f226182cca2
https://www.virustotal.com/fi/file/29fa56707553bc683b3b3bc5ccf2a54c45e42187b6a8eb23c0ac5f226182cca2/analysis/
Detection ratio: 1 / 50
Emsisoft Trojan.QHosts.ARC (B) 20140213
Minkä takia pitää pelleillä joidenkin käsikäyttöisten CRC MD tai SHA tiivisteiden kanssa kun voi vain klikata hiiren oikealla napilla ominaisuudet ja tarkistaa allekirjoitus.
http://aijaa.com/mHB6Yy
Onko linuks niin alkeellinen että tällainen perusasia pitää tehdä käsipelillä?
Koita nyt tajuta että molemmat tiedostot on allekirjoitettu, ja kyseessä on nimenomaan Windows-versiot. On kohtuu outoa, että samaa allekirjoitettua versiota jaetaan eri tunnistetiedoin, eipä ole tullut muiden ohjelmien kohdalla vastaan. Ja vaihtelee versionumerottain kummasta löytyy virusepäilyjä joko SoftPerfect kotisivulta ladatusta tai download.fi, cnet.com ym. virallisilta ja tunnetuilta lataussivuilta ladatuista.
HASH-tunnisteet ovat varmin tapa varmistaa tiedoston alkuperä, varsinkin jos tarkistaa muutamalla eri tiivistealgoritmilla, niin tiedosto on takuulla identtinen samat tunnisteet omaavan tiedoston kanssa.
Tietoturvaan panostavat sivustot, varsinkin open source -sivut laittavat sivuilleen ladattavien tiedostojen tunnisteet näkyviin, jotta ne voi tarkistaa latauksen jälkeen. SoftPerfect ei tällaista tietoturvaa harrasta ikävä kyllä.
Careto sieltä asennetaan allekirjoitusten saattelemana.
act