Перейти к содержанию
strat

Проблема размера лечащих утилит

Recommended Posts

strat

Завел тему на форуме веба но там меня не поняли, хочу спросить здесь.

Cureit меньше чем за год вырос в два раза, помню недавно он был 15 мегабайт размером. А что дальше? Скоро будет 100 - 200 - 300 мегабайт? Вирусам и не надо будет ресурсы смотреть или по имени рубить, запретил запуск больших exe и привет. Что скажете

Как вы думаете, это проблема может быть?

п.с. исправьте кто-нибудь название темы, ошибся пока писал

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Motley

Кода я сидел на dual-up'е, задавался подобными вопросами, а сейчас это уже не актуально. С другой стороны, если размер дистриба и впрямь возрастёт на порядок, то лечащие утилиты исчезнут как класс :) их заменят "облачные" сервисы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lias

ну так а размеры обновлений тоже увеличиваются

я сам заметил такое

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Вирусам и не надо будет ресурсы смотреть или по имени рубить, запретил запуск больших exe и привет. Что скажете... Как вы думаете, это проблема может быть?

Обратите внимание на переформулированный вопрос strat. Как я понял, он хотел узнать именно это:

- "Могут ли вирусы запретить запуск на выполнение больших исполняемых файлов?"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
strat
Как я понял, он хотел узнать именно это:

да, и я очень удивлен 2-м и 3-м постами тут, они по непонятию темы абсолютно равнозначны первым постам на форуме веба

Чтобы не было непонятного полностью распишу.

Вирусы активно противодействуют запуску лечащих утилит. Cureit глушили по имени и авторы сделали автогенерацию имени запускного файла типа gf434hg4.exe, avz глушили по имени файла и названию баз лежащих в определенной папке и автор сделал полиморфную версию которую можно переименовать как угодно. Теперь вырисовывается проблема, лечащую утилиту как угодно переименуют и закриптуют но РАЗМЕР то останется. Его никуда не спрячешь. И вирусам можно будет всего лишь отсекать возможность запуска ЛЮБЫХ exe свыше определенного размера, к примеру 25 мегабайт. Лечащие утилиты идут лесом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Лечащие утилиты идут лесом.

Да, авторы зловредов хорошо разбираются во всех таких утилитах и активно на них экспериментируют.

Недавно наблюдал такую картину - утилита запускается чин-чинарём, но не выдаёт сканер, а сразу говорит, что вирусов не найдено. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Motley

А с размером файла ничего нельзя придумать? Используя методы тех же вирусописателей ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
strat

метод вирописов в этом плане - закидывание маленького дроппера/даунлоадера на компьютер, и дальнейшая подкачка из сети всей остальной пакости.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Motley

Ну, так и тут так же - разбить 100Мб на 5 по 20 и закачиваешь, запускается только один из них и в процессе работы обращается к остальным. Или оформить большой дистриб в виде исо-файла и просто подмонтировать его как раздел. Появление нового раздела вирус запретить не сможет :) Ну, или что-нибудь в этом роде симпровизировать :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
А с размером файла ничего нельзя придумать?

Можно распаковывать дистрибутив и запускать вручную.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

а какая разница зловреду какой ехе-файл блокировать для запуска: 30 метровый или 100 метровый ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Распаковать можно CureIT

Находящаяся в открытом бета-тестировании версия CureIt! представляет собой один бинарный файл, а не SFX RAR, как та, которая сейчас доступна в релизе. Потому Ваше утверждение верно наполовину.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zilla

K_Mikhail, ясно, тогда это серьёзно.. Ведь поставят ограничение в 20мб и всё, не поможет лечилка.. но пока такой угрозы нет, так что пусть будет как есть..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
K_Mikhail, ясно, тогда это серьёзно.. Ведь поставят ограничение в 20мб и всё, не поможет лечилка.. но пока такой угрозы нет, так что пусть будет как есть..

LiveCD -- наше всё? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
strat

Находящаяся в открытом бета-тестировании версия CureIt! представляет собой один бинарный файл, а не SFX RAR
как ни странно но все равно распаковывается с помощью 7z

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu
как ни странно но все равно распаковывается с помощью 7z

Вирус просто может не позволять скачивать бинарник с размером более 20 мб из интернета и все.

(и запрещать читать флешки и сд).

Как вы распакуете то, что доставить на машину нельзя?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Лукин Вадим
      Пришла мне в голову идея организовать самостоятельное путешествие по некоторым сказочным местам нашей Родины! Было бы здорово, если бы кто-то подсказал, где можно найти нормальные отели? Может есть какая-то прога?
    • Липковский Борис
      Моё отношение к казино вполне положительное, я уже больше полугода играю в слоты на сайте Play Fortuna Уже неоднократно поднимал там приличные деньги и не жалуюсь. Естественно и несколько раз проигрывал, но в каждой игре бывают проигрыши и это вполне нормально. На этом сайте есть разные слоты, их около двухсот штук, можно выбрать любой и на каждом из них высокий шанс выиграть.
    • Dima2_90
      Об особенностях сканирования исполняемых файлов антивирусами и доверии результатам VirusTotal - https://habr.com/post/346480/ Цитаты из статьи "Забавно, детект уменьшился с 60 для неупакованного файла и 41 для архива до 17 — при этом ни один из антивирусных движков не обнаружил Eicar, детекты явно имеют эвристический характер, а в ряде случаев напоминают ложное срабатывание (DrWeb, Baidu и др.)" "6 детектов из 67. Шесть, Карл! Все — эвристические. И скорее всего ничего не подозревающий пользователь посчитает файл безопасным." "современные антивирусные сканеры так и остались барахлом, которым были десяток-два лет назад, абсолютно пасующим перед простейшими видами упаковки кода. Решения в виде тестовых сред — «песочниц», эвристических анализаторов и т.д. только добавили неразберихи, ложных срабатываний, но по сути не защищают от реальной угрозы. Со старым, открытым и разжёванным до потрохов UPX как был бардак — так он и остался. А ведь я вполне мог упаковать не файл, вызывающий вредоносную активность, а непосредственно код, работать не с файлами на диске в %temp%, а в памяти, использовать не свободно доступные утилиты, а собственные или закрытые разработки — и таким образом обойти срабатывание резидентной защиты. Я вполне мог добавить интересные элементы интерфейса или скопировать таковой из распространённой программы — и обойти проактивку у неискушённого пользователя, который просто будет соглашаться с любыми запросами, доверяя тому, что запустил.

      То, что мы сделали выше — примитивный способ обмануть антивирус, который может понять и реализовать практически любой. И он сработал. Что говорить про искушённых специалистов!"
    • Dima2_90
      Ad-Aware --------- https://www.adaware.com/support/securitycenter/report_false_positives.php  Antiy-AVL --------- [email protected] Avast --------------- https://www.avast.ru/false-positive-file-form.php AVG ---------------- https://www.avg.com/ru-ru/false-positive-file-form Avira --------------- https://analysis.avira.com/en/submit BitDefender -------- https://www.bitdefender.com/submit/ ClamAV ------------ http://www.clamav.net/reports/fp DrWeb ------------- https://vms.drweb.ua/sendvirus ESET-NOD32 ------- https://www.esetnod32.ru/support/knowledge_base/new_virus/ Kaspersky --------- https://virusdesk.kaspersky.ru/ Microsoft ---------- https://www.microsoft.com/en-us/wdsi/filesubmission NANO-Antivirus ---- http://nanoav.ru/index.php?option=com_content&view=article&id=15&Itemid=83&lang=ru Symantec ---------- https://submit.symantec.com/false_positive/
    • Липковский Борис
      Вдруг понадобится, спасибо за информацию.
×