Перейти к содержанию
kzenz

Symantec Endpoint 12

Recommended Posts

kzenz

Добрый день. Есть такая проблема:

есть зараженная флешка с Sysmon.exe и autorun.ini на сколько я понял это вируc Z-connect.

Симантек его упорно не видит :( Зеленый доктор его тут же ловит......ПОЧЕМУ???

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Здравствуйте! Можно этот файл выслать мне в личку в архиве с паролем, я его отошлю в антивирусную лабораторию и через пару дней его добавят. Или же можете сделать это сами (нужна подписка). Во втором случае будет быстрей

Передача подозрительных файлов - БЫСТРО - ТРЕБУЕТСЯ ДЕЙСТВУЮЩИЙ КОНТРАКТ BASIC

Передача подозрительных файлов - БЫСТРО - ТРЕБУЕТСЯ ДЕЙСТВУЮЩИЙ КОНТРАКТ ESSENTIAL

Передача подозрительных файлов - ДО 2 ЧАСОВ - ТРЕБУЕТСЯ ДЕЙСТВУЮЩИЙ КОНТРАКТ BCS

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
ПОЧЕМУ???

Ну потому что к сожалению ни один АВ продукт не ловит все 100% из тех сотен миллионов вирусов, которые сейчас бродят по планете. Отправляли в Symantec Security Response? Вы используете SEP SMB 12? Вирус не определяется даже при копировании файла?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
kzenz
Ну потому что к сожалению ни один АВ продукт не ловит все 100% из тех сотен миллионов вирусов, которые сейчас бродят по планете. Отправляли в Symantec Security Response? Вы используете SEP SMB 12? Вирус не определяется даже при копировании файла?

"АВ продукт не ловит все 100%" Знаю, понимаю. Но вирус Z-connect появился не вчера :( ему (на сколько я знаю) уже около полугода.

Отправляли в Symantec Security Response? Нет

Вы используете SEP SMB 12? Да

Вирус не определяется даже при копировании файла? Вообще никак может проблема вся в том что сам файл хранится в Скрыторй директории RECYCLER ? и обнаружить его можно только по наличию файла Autorun.ini в "корне"

К великому сожалению у себя уже удалил.....вышлю Вам завтра. Спасибо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Но вирус Z-connect появился не вчера ему (на сколько я знаю) уже около полугода.

Есть вирусы, которым уже 5 лет - но новые модификации появляются еще до сих пор - и как Вы прекрасно понимаете сигнатура должна постоянно модифицироваться чтобы учитывать это - поэтому свежие образцы могут и не определяться. SEP не сканирует USB устройства автоматически, поэтому при попытке копирования или запуска данного файла вполне возможно он бы определился

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      Зачем ? Только для файлов которые попали в подозрительные. Логика такая:  Файл в подозрительных > uVS берёт его SHA1 ( если таковая есть ) и прогоняет весь список на совпадение > если совпадение найдено - файл попадает в подозрительные > в Инфо. файла пишется информация по какой причине файл попал в подозрительные. Да и проверку можно проводить на  готовом образе\списке.
    • demkd
      И чего в ней странного? Обычный каталог с непонятным LSM.
        Кто-давно не говорил что uVS медленно создает образ...
    • PR55.RP55
      + + Крайняя форма извращения: ( там же ) uVS  поместил а Подозрительные только два файла из шести. Предлагаю: Автоматически помещать в Подозрительные все файлы при совпадении SHA1 ( и\или имени ) т.е. если файл  попал в подозрительные - то идёт проверка списка на совпадения. Есть совпадение > файл в подозрительные. ( с соответствующий записью в Инфо - о причине )
    • PR55.RP55
      + http://www.tehnari.ru/f183/t262601/ Тоже странная запись. Полное имя                  C:\PROGRAMDATA\{01456982-0145-0145-014569822880}\LSM.EXE
      Имя файла                   LSM.EXE
      Тек. статус                   ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                                 
      Сохраненная информация      на момент создания образа
      Статус                      в автозапуске
      Инф. о файле                Не удается найти указанный файл.
      Цифр. подпись               проверка не производилась
                                  
      Ссылки на объект            
      Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\MICROSOFT LOCALMANAGER[WINDOWS 8.1 SINGLE LANGUAGE]
                                  
    • demkd
      Кто-то криворукий прописал путь, так что ничего удивительного нет.
×