Детектирование полиморфов

[Alex_Goodwin 81]

Wordmonger

он убивает оверлей файла и записывается в него.

Интересно, кто это сможет вылечить?

Давайте не будем смеяться. Я не обязан знать механизм заражения каждого вируса.

ИМХО исторически, качество лечения Симантека мне представляется более высоким нежели КАВа, что легко объясняется "старой школой", "медленной реакцией" и т.д.

[Dmitry Perets 30]

ИМХО исторически, качество лечения Симантека мне представляется более высоким нежели КАВа, что легко объясняется "старой школой", "медленной реакцией" и т.д.

Ну вы всё же вышлите в ЛК примеры. Быстрая реакция - это хорошо, но пусть и лечение поправят, если возможно. Или действительно честно скажут "Cannot be disinfected".

[Сергей Ильин 1538]

Если у человека нет примеров? Что он должен был бекапить зараженные и битые после лечения файлы? Вы требуете невозможного.

По нашим тестам лечение у Symantec действительно на высоком уровне.

[dan 10]

Доктор тоже не очень лечит.

И вообще, зачем такое лечение? Претензия именно в этом, а не в том, что лечит или нет. Просто нажимаешь лечить - получаешь коцаные файлы. ИМХО, надо честно признаться, что не лечим, и предложить только удалить. Юзер бы стал лечилку искать. А так, когда я к юзеру пришел, пришлось из резервного хранилища 7 все поднимать - вручную, по одному, т.к. кнопки восстанивить все у Касперского нет.

Ctrl+A и восстановить конечно помогает, но жать ол долго - долго совсем не прикольно..

Всмысле такое лечение?

Вы уверены что заражённые файлы у Вас работают?

Я вот уверен что все файлы которые у Вас получились покоцанные не работают и до лечения. Почему? Потому что вирус некорректно заразил файлы и удалил часть данных. Наиболее частая ошибка допускаемая в вирусах, это "забывание" про оверлей файла. В результате у заражённого файла удаляется оверлей и у Вас перестают работать все архивы. А антивирус не может определить нормально заражён данный файл или криво и честно всё лечит как будто файлы корректные. Так что в данном случае не стоит "наезжать" на антивирусные компании, имхо.

Добавлено спустя 2 минуты 17 секунд:

Уточнил. По словам пользователя: Зараженные файлы 100% рабочие. Ничем перед Касперским не лечились.

После лечения и удаления битых exe + полного сканирования, через некоторое время вирус появляется снова. Патч, закрывающий уъязвимость, эксплуатируемую вирусом, стоит.

После отключения восстановления системы и проверки в безопасном режиме наверное удалось избавится от вируса.

Те 2 файла, что вы прислали в вирлаб были неработоспособными ещё до лечения.

[Сергей Ильин 1538]

dan, а можно ли при разборе виря понять, что он криво заражает и сделать их этого выводы? Например, честно сообщить, что лечение невозможно.

[dan 10]

1) Вирус криво заражает не всё, а только какое то количество файлов, иначе вирус не получил бы расспространение.

2) По заражённому файлу уже не понятно, криво он был заражён или нормально.

[Alex_Goodwin 81]

Те 2 файла, что вы прислали в вирлаб были неработоспособными ещё до лечения.

В в вир лабе работаете или гадаете на кофейной гуще?

Я еще раз повторяю, заражение было не у меня, а у юзера, на машине кстати, стоял Доктор. Я не наезжаю, читайте внимательно мои посты.

[Dmitry Perets 30]

Если у человека нет примеров? Что он должен был бекапить зараженные и битые после лечения файлы? Вы требуете невозможного.

Ну нет так нет =) Я думал, может есть.

[Alex_Goodwin 81]

Выложил то, что осталось в закрытом разделе.

[dan 10]

Выложил то, что осталось в закрытом разделе.

Да, те файлы повреждены ещё в заражённом виде.

[Alex_Goodwin 81]

Да, те файлы повреждены ещё в заражённом виде.

А вот и не угадали

По словам аналитика ЛК один из файлов работоспособен до и после лечения.

[dan 10]

Да, те файлы повреждены ещё в заражённом виде.

А вот и не угадали

По словам аналитика ЛК один из файлов работоспособен до и после лечения.

Как раз угадал. Аналитик Вам ответил что лечение отработало корректно.

Это совершенно не предполагает восстановление функциональности файла на момент до заражения. Это предполагает что лечение сделало всё возможное и что файл будет работать не хуже чем в заражённом виде. Если я не прав, процитируйте ответ, пожалуйста.

[Storm 0]

Аналитик Вам ответил что лечение отработало корректно.

Может быть я не прав, но лечение отрабатывает корректно не тогда, как так сказал аналитик, а когда вылеченный файл работает не хуже, чем до заражения.

[dan 10]

Аналитик Вам ответил что лечение отработало корректно.

Может быть я не прав, но лечение отрабатывает корректно не тогда, как так сказал аналитик, а когда вылеченный файл работает не хуже, чем до заражения.

Безусловно правы, просто письма присылались по теме того, что лечение работает "криво".

[Storm 0]

Безусловно правы, просто письма присылались по теме того, что лечение работает "криво".

Так, может я что не знаю, но пока вижу так:

1) есть зараженный файл, который нормально работает

2) после лечения КАВом файл не работает

3) однако симантек этот файл лечит нормально

Вывод: действительно ли лечение КАВе работает "прямо"?

[dan 10]

В данном случае было так:

1) есть заражённый файл у которого отрезан оверлей и во время инсталляции вылазит ошибка.

2) после лечения файл остаётся с тем же функционалом, но уже без вируса

3) лично не проверял, но если действительно дописывает оверлей, сильно удивлюсь и рассмотрю все варианты по улучшению лечения.

Вывод делайте сами.

[dk64 0]

Лечение тестировать будут ?