[backdoor] Hacktool.Win32.Havis

[OptimusPrima]

Hallo allemaal,

Zojuist probeerde ik een SQL injection tool te downloaden (Havij) via de volgende url:

code:

http://www.itsecteam.com/products/havij-v116-advanced-sql-injection/index.html

(de v1.15 free download)

Na het openen van de executable kreeg ik vrijwel direct een melding van mijn firewall dat het bestand besmet is met een backdoor en niet kan worden verwijderd.

Hoewel het om een virtuele machine gaat wil ik toch graag weten of dit wel of geen daadwerkelijke backdoor betreft en niet zomaar een false positive.

Een scan van de site itsecteam leverde ook niet veel betrouwbaars op, het vreemde is echter dat zij de ontwikkelaars zijn van de applicatie: http://www.isthisfilesafe.org/company/ITSecTeam_details.aspx

Voor de moraal ridders: ik volg een informatica studie op het gebied van informatie security en wilde legitiem gaan experimenteren met SQL injecties (http://crackme.cenzic.com/Kelev/view/home.php).

[ Voor 3% gewijzigd door iisschots op 08-09-2012 09:58 ]

[ongekend41]

Geen idee, ik heb het programma nooit gebruikt. Ik weet wel dat je bij bijvoorbeeld MSF bepaalde directory's en applicaties moet whitelisten, wellicht is dat hier ook het geval? Ligt er ook een beetje aan wat voor firewall (of virusscanner?) je gebruikt.
Maar als je toch met een studie bezig bent, zou het dan niet leerzamer zijn eerst handmatig met sqli bezig te gaan? Dan weet je wat een programma als Havij onder de motorkap uitvoert. Gebruik maken van tools kan (nagenoeg) iedereen.

[alex3305]

Dus? Waarom kan een bedrijf niet ook een virus uitgeven?

[OptimusPrima]

ongekend41 schreef op zaterdag 08 september 2012 @ 01:28:
Geen idee, ik heb het programma nooit gebruikt. Ik weet wel dat je bij bijvoorbeeld MSF bepaalde directory's en applicaties moet whitelisten, wellicht is dat hier ook het geval? Ligt er ook een beetje aan wat voor firewall (of virusscanner?) je gebruikt.
Maar als je toch met een studie bezig bent, zou het dan niet leerzamer zijn eerst handmatig met sqli bezig te gaan? Dan weet je wat een programma als Havij onder de motorkap uitvoert. Gebruik maken van tools kan (nagenoeg) iedereen.

Bedankt voor je reactie. Volkomen met je eens! Omdat ik vast liep met handmatige SQLi's wilde ik kijken of de site vatbaar is voor sqli door een geautomatiseerde tool de draaien (wil niet te lang besteden aan het zoeken naar iets wat er mogelijk niet is).

[ Voor 7% gewijzigd door OptimusPrima op 08-09-2012 01:44 ]

[KnoxNL]

Ik snap wel dat een tool om SQL injecties uit te voeren als "besmet" wordt aangemerkt hoor. Dat kan een keuze zijn van de antivirus/firewall bakker zijn om strategische keuzes maar ook door code in het bestand.

[OptimusPrima]

KnoxNL schreef op zaterdag 08 september 2012 @ 01:43:
Ik snap wel dat een tool om SQL injecties uit te voeren als "besmet" wordt aangemerkt hoor. Dat kan een keuze zijn van de antivirus/firewall bakker zijn om strategische keuzes maar ook door code in het bestand.

Zo'n vermoeden had ik ook, maar dan verwacht je geen backdoor variant (voor mij nieuw althans).

[Sefyu]

-beter lezen-

[ Voor 89% gewijzigd door Sefyu op 08-09-2012 01:47 ]

[KnoxNL]

OptimusPrima schreef op zaterdag 08 september 2012 @ 01:46:
[...]


Zo'n vermoeden had ik ook, maar dan verwacht je geen backdoor variant (voor mij nieuw althans).

Dat is wel apart inderdaad, als je het bestand ECHT nodig hebt zou je het nog eens met een ander pakket kunnen testen om de classificatie daar te bekijken. Dat kan soms schimmig zijn.

Anders bestandje lekker links laten liggen en iets anders zoeken.

[Verwijderd]

Probeer deze anders eens, scant met meerdere pakketten. Dat verschaft soms wat duidelijkheid:

Jotti's malwarescan

[Verwijderd]

Verwijderd schreef op zaterdag 08 september 2012 @ 01:56:
Probeer deze anders eens, scant met meerdere pakketten. Dat verschaft soms wat duidelijkheid:

Jotti's malwarescan

Wilde deze ook al posten .

[Verwijderd]

Of nog beter; https://www.virustotal.com

VirusTotal is zojuist overgenomen door Google. Dat heeft veel voordelen, en misschien ook wat nadelen...?

[Verwijderd]

Verwijderd schreef op zaterdag 08 september 2012 @ 02:09:
Of nog beter; https://www.virustotal.com

Waarom is die beter?

[Verwijderd]

Verwijderd schreef op zaterdag 08 september 2012 @ 02:11:
[...]

Waarom is die beter?

Scan een bestand en vergelijk de informatie die je krijgt op beide sites.

[OptimusPrima]

resultaat van jotti:
http://virusscan.jotti.or...b9601f5e3096763e7077e8671

Enkel mijn FW (Comodo) geeft het resultaat 'backdoor' blijkt. Ach, we zetten gewoon weer een snapshot terug als we klaar zijn. Bedankt voor de reacties allemaal.

[Verwijderd]

Resultaat van hetzelfde bestand op VirusTotal:

https://www.virustotal.com/file/e2f08b5059058f84138dd85d60501f95d68c10e572f2556ae17e003dde12887c/analysis/

Daar geeft Comodo aan dat het een "TrojWare.Win32.HackTool.SQLInject.DX" is.

[KnoxNL]

"Hacktool"

Daar gaan we dus al met wat ik met classificatie noemde, en het verschil tussen AV/FW bakkers.

Dat is precies de goede noemer.

[iisschots]

Ik heb even de URL tussen code tags gezet. Dan klikt niemand hem onbedoeld aan.

[Verwijderd]

Verwijderd schreef op zaterdag 08 september 2012 @ 02:19:
Scan een bestand en vergelijk de informatie die je krijgt op beide sites.

Ja, dat had ik gedaan. Ik zie het niet.

[photofreak]

Je zou ook kunnen kijken naar SQLmap, is weleenswaar commandline maar heeft wel alle mogelijkheden die Havij ook heeft, maar toch gaat mijn voorkeur uit naar handmatig testen. Om erachter te komen of er een lek in een website/cms zit hoef je echt niet heel de databank leeg te trekken.

[iisschots]

Voordat dit een topic word dat hacktools gaat bespreken sluit ik hem.