Перейти к содержанию

Recommended Posts

Stayer

История следующая: примерно полгода назад, был обнаружен вирус, который не обнаруживался Трендом. Вирус отправили в trendlabs, его добавили в базы. Все хорошо. Полмесяца назад ситуация повторилась. Нашелся вирус, отправили, добавили в базу. Неделю назад в третий раз нашелся вирус, не обнаруживаемый Трендом.

Все бы хорошо, если бы это не был один и тот же вирус. Точнее это, похоже, каждый раз небольшая модификация исходного вируса. И каждый раз, пока не добавят сигнатуру в базу, эта новая модификация не видится. Во всех трех случаях он определяется как TROJ_DELF.JEN (заражает exe-файлы. Очень неприятный вирус). Такая ситуация вызывает недоумение-а где эвристика Тренда и как быть дальше, если через неделю появится еще модификация?

На файловых серверах этот вопрос решили радикально-перешли на другой антивирус, который вылечивает файлы. Тренд, кстати, не может вылечить этот TROJ_DELF.JEN-обнаруживает, когда может и удаляет файл. Но остаются пользовательские машины. Каждый раз такая песня с одним и тем же вирусом будет напрягать.

Хотелось бы услышать комментарии или может быть имеет смысл задать вопрос разработчикам-почему тренд постоянно спотыкается об один и тот же вирус?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lepa

Что бы совсем "недетектилось" - такое было при выключенной эвристике.

По поводу лечения - да была похожая ситуация, помогла только премиум поддержка.

Пока не лечился - пользовались outbreak protection.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Stayer,

Интересно, а что является источником заражения - от куда в локалку попадает этот вирус?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Stayer

lepa,

Outbreak Prevention-это в русской версии "предотвращение эпидемии"? Ни разу не пользовался. Можно где почитать подробнее про это, а то на странице настройки только текстбокс и кнопочка "Включить режим предотвращения эпидемии". А то кажется как-то слишком просто-выбираешь "плохие" машины, нажимаешь Включить и что происходит дальше?

Pavel Yablonskiy,

У нас это случилось на фтп. Но у нас есть другие сервера, где у юзеров сетевые диски подключены. Сейчас беды нет, на серверах поставили другой антивирус, последняя модификация вируса, котрую мы нашли, в базы Тренда добавлена, так что и у пользователей все нормально. Как я понял, один из вариантов при появлении нового вируса-использовать "предотвращение эпидемии". Но интересен другой вопрос-как может быть, что на модификацию одного вируса (который до этого определялся на раз) реакция эвристического анализатора нулевая? На другие подозрительные файлы эвристика срабатывает, например, TROJ_Generic.DIT.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Романов
Outbreak Prevention-это в русской версии "предотвращение эпидемии"? Ни разу не пользовался. Можно где почитать подробнее про это, а то на странице настройки только текстбокс и кнопочка "Включить режим предотвращения эпидемии"?

да, в русской такой вариант.

почитать про эту опцию можно в документации: ftp://ftp.antivirus.com/documentation/gui...can10SP1_AG.pdf

начиная со стр.234

Но интересен другой вопрос-как может быть, что на модификацию одного вируса (который до этого определялся на раз) реакция эвристического анализатора нулевая? На другие подозрительные файлы эвристика срабатывает, например, TROJ_Generic.DIT.

Эвристика вещь опасная с точки зрения корпоративного продукта- слишком велика вероятность ложного срабатывания. В связи с этим, ее функциональность в OfficeScan настроена таким образом, чтобы отрабатывать только по наиболее характерным семействам зловредов (указанный вами вариант, по всей видимости, таковым в компании не считают). Могу по опыту сказать следующее - при отправке образцов, относящихся к одной группе вируса, достаточно длительное время в базу добавляют только отдельные сигнатуры. На уровне эвристики очень долго проверяют данные в связи с указанным выше опасением (ошибка может дорого обойтись).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Stayer

Николай Романов,

Спасибо за разъяснения. Теперь ясно почему так, а не по-другому ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • xxxzionxxx
      Качественные автомобильные чехлы из экокожи. Заводские лекала. Респектабельный внешний вид. http://autopelt.ru/ 
      Также вступайте в нашу группу где наш менеджер ответит на все интересующие Вас вопросы. https://vk.com/autopelt 
    • PR55.RP55
      Образ:  http://rgho.st/6XQWrPGf7
    • PR55.RP55
      + Получается, что по файлу есть две записи. Полное имя                  C:\PROGRAM FILES\NVIDIA CORPORATION\DISPLAY\NVTRAY.EXE
      Имя файла                   NVTRAY.EXE
      Тек. статус                 АКТИВНЫЙ ПРОВЕРЕННЫЙ [СЕТЕВАЯ_АКТИВНОСТЬ]
                                  
      Сохраненная информация      на момент создания образа
      Статус                      АКТИВНЫЙ ПРОВЕРЕННЫЙ [СЕТЕВАЯ_АКТИВНОСТЬ]
      Процесс                     32-х битный
      File_Id                     506B36F01C4000
      Linker                      10.0
      Размер                      1820520 байт
      Создан                      25.01.2013 в 17:04:40
      Изменен                     03.10.2012 в 06:28:55
                                  
      TimeStamp                   02.10.2012 в 18:48:16
      EntryPoint                  +
      OS Version                  5.0
      Subsystem                   Windows graphical user interface (GUI) subsystem
      IMAGE_FILE_DLL              -
      IMAGE_FILE_EXECUTABLE_IMAGE +
      Тип файла                   32-х битный ИСПОЛНЯЕМЫЙ
      Цифр. подпись               Действительна, подписано NVIDIA Corporation
                                  
      Оригинальное имя            nvtray.exe
      Версия файла                7.17.13.0697
      Версия продукта             7.17.13.0697
      Описание                    NVIDIA Settings
      Производитель               NVIDIA Corporation
                                  
      Доп. информация             на момент обновления списка
      pid = 3020                  USER01-PC\USER01
      CmdLine                     "C:/Program Files/NVIDIA Corporation/Display/nvtray.exe" -user_has_logged_in 1
      Процесс создан              21:14:29 [2018.10.16]
      С момента создания          01:02:58
      CPU                         0,00%
      CPU (1 core)                0,00%
      parentid = 1424             C:\PROGRAM FILES\NVIDIA CORPORATION\DISPLAY\NVXDSYNC.EXE
      UDP                         127.0.0.1:48001
      SHA1                        99F3E0CA5C45ED5061E0131ABC12758F051A795F
      MD5                         D610CDEDF1F702EB0A86B0FBD9BB49E5
                                  
      Ссылки на объект            
      Prefetcher                  C:\WINDOWS\Prefetch\Layout.ini
                                  
      Образы                      EXE и DLL
      NVTRAY.EXE                  C:\PROGRAM FILES\NVIDIA CORPORATION\DISPLAY
                                  
      Загруженные DLL             ИЗВЕСТНЫЕ и ПРОВЕРЕННЫЕ
      ADVAPI32.DLL                C:\WINDOWS\SYSTEM32
      APISETSCHEMA.DLL            C:\WINDOWS\SYSTEM32
      COMCTL32.DLL                C:\WINDOWS\WINSXS\X86_MICROSOFT.WINDOWS.COMMON-CONTROLS_6595B64144CCF1DF_5.82.7601.17514_NONE_EC83DFFA859149AF
      COMCTL32.DLL                C:\WINDOWS\WINSXS\X86_MICROSOFT.WINDOWS.COMMON-CONTROLS_6595B64144CCF1DF_6.0.7601.17514_NONE_41E6975E2BD6F2B2
      COMDLG32.DLL                C:\WINDOWS\SYSTEM32
      CRTDLL.DLL                  C:\WINDOWS\SYSTEM32
      DNSAPI.DLL                  C:\WINDOWS\SYSTEM32
      DWMAPI.DLL                  C:\WINDOWS\SYSTEM32
      EASYDAEMONAPIU.DLL          C:\PROGRAM FILES\NVIDIA CORPORATION\UPDATE COMMON
      FWPUCLNT.DLL                C:\WINDOWS\SYSTEM32
      GDI32.DLL                   C:\WINDOWS\SYSTEM32
      GDIPLUS.DLL                 C:\WINDOWS\WINSXS\X86_MICROSOFT.WINDOWS.GDIPLUS_6595B64144CCF1DF_1.1.7601.17825_NONE_72D273598668A06B
      IMM32.DLL                   C:\WINDOWS\SYSTEM32
      IPHLPAPI.DLL                C:\WINDOWS\SYSTEM32
      KERNEL32.DLL                C:\WINDOWS\SYSTEM32
      KERNELBASE.DLL              C:\WINDOWS\SYSTEM32
      LPK.DLL                     C:\WINDOWS\SYSTEM32
      MSCTF.DLL                   C:\WINDOWS\SYSTEM32
      MSIMG32.DLL                 C:\WINDOWS\SYSTEM32
      MSVCRT.DLL                  C:\WINDOWS\SYSTEM32
      MSWSOCK.DLL                 C:\WINDOWS\SYSTEM32
      NAPINSP.DLL                 C:\WINDOWS\SYSTEM32
      NLAAPI.DLL                  C:\WINDOWS\SYSTEM32
      NSI.DLL                     C:\WINDOWS\SYSTEM32
      NTDLL.DLL                   C:\WINDOWS\SYSTEM32
      NVUI.DLL                    C:\PROGRAM FILES\NVIDIA CORPORATION\DISPLAY
      NVUIR.DLL                   C:\PROGRAM FILES\NVIDIA CORPORATION\DISPLAY
      NVUPDT.DLL                  C:\PROGRAM FILES\NVIDIA CORPORATION\UPDATE COMMON
      NVUPDTR.DLL                 C:\PROGRAM FILES\NVIDIA CORPORATION\UPDATE COMMON
      OLE32.DLL                   C:\WINDOWS\SYSTEM32
      OLEACC.DLL                  C:\WINDOWS\SYSTEM32
      OLEAUT32.DLL                C:\WINDOWS\SYSTEM32
      PNRPNSP.DLL                 C:\WINDOWS\SYSTEM32
      PROFAPI.DLL                 C:\WINDOWS\SYSTEM32
      RASADHLP.DLL                C:\WINDOWS\SYSTEM32
      RPCRT4.DLL                  C:\WINDOWS\SYSTEM32
      SECHOST.DLL                 C:\WINDOWS\SYSTEM32
      SHELL32.DLL                 C:\WINDOWS\SYSTEM32
      SHLWAPI.DLL                 C:\WINDOWS\SYSTEM32
      TV_W32.DLL                  C:\PROGRAM FILES\TEAMVIEWER\VERSION8
      USER32.DLL                  C:\WINDOWS\SYSTEM32
      USERENV.DLL                 C:\WINDOWS\SYSTEM32
      USP10.DLL                   C:\WINDOWS\SYSTEM32
      UXTHEME.DLL                 C:\WINDOWS\SYSTEM32
      VERSION.DLL                 C:\WINDOWS\SYSTEM32
      WINMM.DLL                   C:\WINDOWS\SYSTEM32
      WINNSI.DLL                  C:\WINDOWS\SYSTEM32
      WINRNR.DLL                  C:\WINDOWS\SYSTEM32
      WINSPOOL.DRV                C:\WINDOWS\SYSTEM32
      WINSTA.DLL                  C:\WINDOWS\SYSTEM32
      WS2_32.DLL                  C:\WINDOWS\SYSTEM32
      WSHTCPIP.DLL                C:\WINDOWS\SYSTEM32
      WTSAPI32.DLL                C:\WINDOWS\SYSTEM32
                                  
      Прочие файлы                отображенные в память
      OLEACCRC.DLL                C:\WINDOWS\SYSTEM32
      LOCALE.NLS                  C:\WINDOWS\SYSTEM32
      SORTDEFAULT.NLS             C:\WINDOWS\GLOBALIZATION\SORTING
    • PR55.RP55
      Полное имя                  C:\PROGRAM FILES/NVIDIA CORPORATION/DISPLAY/NVTRAY.EXE
      Имя файла                   PROGRAM FILES/NVIDIA CORPORATION/DISPLAY/NVTRAY.EXE
      Тек. статус                 [Запускался неявно или вручную]
                                  
      Сохраненная информация      на момент создания образа
      Статус                      [Запускался неявно или вручную]
                                  
      Доп. информация             на момент обновления списка
      CmdLine                     "C:/Program Files/NVIDIA Corporation/Display/nvtray.exe" -user_has_logged_in 1
       --------------------- Было несколько образов  с аналогичными данными. Как видно Инфо. в несколько усечённом виде. ---------------------------- " Насчет отображения всех сертификатов, что использованы в ЭЦП " И как я помню в наших любимых драйверах от NVIDIA два сертификата.          
    • Алена Орлова
      Хотите сделать татуировку? Или перекрыть старую и некачественную работу? Записывайтесь в нашу студию! Предлагаем услуги мастера художественной татуировки. Опыт работы более 12 лет. Работаем во всех стилях, все материалы одноразовые, студия в самом центре города. Разработка индивидуального эскиза по вашей идее в подарок Больше работ через личные сообщения
        Услуги сертифицированного мастера пирсера Любые виды проколов, установка любых микродермалов. Для очень нежных есть обезболивающая мазь. Все материалы стерильны, мастер принимает в оборудованной студии в центре города. Украшение для прокола можно приобрести у нас Для уточнения цен на проколы пишите в личные сообщения
      hurtland.ru
      https://vk.com/hurtlandtattoo
×