home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1993 #1 / NN_1993_1.iso / spool / comp / virus / 4837 < prev    next >
Encoding:
Internet Message Format  |  1993-01-06  |  3.8 KB
  1. Path: sparky!uunet!olivea!spool.mu.edu!darwin.sura.net!jvnc.net!netnews.upenn.edu!netnews.cc.lehigh.edu!news
  2. From: bontchev@fbihh.informatik.uni-hamburg.de (Vesselin Bontchev)
  3. Newsgroups: comp.virus
  4. Subject: Re: Virus Simulator MtE Suppliment (PC)
  5. Message-ID: <0012.9301062041.AA14693@barnabas.cert.org>
  6. Date: 5 Jan 93 18:39:30 GMT
  7. Sender: virus-l@lehigh.edu
  8. Lines: 66
  9. Approved: news@netnews.cc.lehigh.edu
  10.  
  11. as194@cleveland.Freenet.Edu (Doren Rosenthal) writes:
  12.  
  13. >  Thank  you for your comments on my Virus Simulator MtE Supplement. I'll  be 
  14. >  mailing  the first copies january 1, so I hope your opinion  is  mistakenly 
  15. >  based  on  my original Virus Simulator and not your technical review  of  a 
  16. >  program you could not possibly have examined yet. Readers of this forum may 
  17. >  recall  the  considerable  controversy and  strong  opinion  you  expressed 
  18. >  beginning two weeks before my release of that program as well.
  19.  
  20. Well, Frisk's comments about your Virus Simulator turned out to be
  21. right even after it appeared, so I would guess that he understands the
  22. principles behind such "test" tools even better than you do...
  23.  
  24. >  pattern  to avoid recognition. A few examples of viruses that  employ  this 
  25. >  same MtE engine are:
  26. >  
  27. >  Pogue,  Dame, MtE, Gotcha, 7S, Mut, Dedicated, Fear, Groove,  Coffee  Shop, 
  28. >  MtE-Spawn, Questo, Crypto Lab, Encroach. 
  29.  
  30. Corrections: By "7S" you probably mean "Seventh_Son" ("7S" is how SCAN
  31. calls it) and it is NOT based on MtE. "Dame" is not a virus, it is
  32. just how SCAN call -all- MtE-based viruses. Gotcha is NOT an MtE-based
  33. virus. Dunno what you are calling "Mut" but I know about no such
  34. MtE-based virus. The CARO name for "MtE-Spawn" is "Insufficient". The
  35. correct spelling of the last two names is "CryptLab" and "Encroacher".
  36. "MtE" is not a virus; it is a tool for building polymorphic viruses.
  37.  
  38. When looking at the names you quoted, I am getting the impression that
  39. you knowledge about the names of the existing MtE-based viruses is
  40. based on the reports generated by SCAN, since it sometimes reports the
  41. unencrypted variants of Pogue as "Gotcha" (which is correct - Pogue is
  42. actually a Gotcha variant with MtE polymorphism added), and one of the
  43. older versions of SCAN reported "7S" in some unencrypted variants of
  44. one of the other MtE-based viruses (not certain about that; have to
  45. check).
  46.  
  47. >  Although  the  MtE  simulations  produced  by  my  program  are  safe   and 
  48. >  controlled, they are real viruses, capable of infecting their special dummy 
  49. >  host  programs.
  50.  
  51. So, you are not only distributing malicious software (MtE) but also
  52. real viruses, hmm? Anyway, Frisk's comment is still valid. The ability
  53. of a scanner to detect "your" viruses may or may not be related to its
  54. ability to detect -real- MtE-based viruses.
  55.  
  56. > Vigilant anti-virus programs that are capable  of  reliably 
  57. >  detecting the MtE mutation engine should report these simulations as  being 
  58. >  infected. 
  59.  
  60. Usually, yes, but not necessarily. It depends on how your viruses
  61. infect their victims, how often they are generating unencrypted
  62. replicants, how exactly the particular scanner works, and so on. As I
  63. said, it may or it may not be connected with the actual ability of the
  64. scanner to detect the existing MtE-based viruses... But if a scanner
  65. - -doesn't- detect some of "your" viruses, this is a serious reason for
  66. further investigation. It does not necessarily mean that that
  67. particular scanner will also miss a real MtE-based virus, but it is
  68. worth checking why it misses your virus...
  69.  
  70. Regards,
  71. Vesselin
  72. - -- 
  73. Vesselin Vladimirov Bontchev          Virus Test Center, University of Hamburg
  74. Tel.:+49-40-54715-224, Fax: +49-40-54715-226      Fachbereich Informatik - AGN
  75. < PGP 2.1 public key available on request. > Vogt-Koelln-Strasse 30, rm. 107 C
  76. e-mail: bontchev@fbihh.informatik.uni-hamburg.de    D-2000 Hamburg 54, Germany
  77.