Stayer

OSCE 10.0 SP1 Rus и вирус TROJ_DELF.JEN

В этой теме 6 сообщений

История следующая: примерно полгода назад, был обнаружен вирус, который не обнаруживался Трендом. Вирус отправили в trendlabs, его добавили в базы. Все хорошо. Полмесяца назад ситуация повторилась. Нашелся вирус, отправили, добавили в базу. Неделю назад в третий раз нашелся вирус, не обнаруживаемый Трендом.

Все бы хорошо, если бы это не был один и тот же вирус. Точнее это, похоже, каждый раз небольшая модификация исходного вируса. И каждый раз, пока не добавят сигнатуру в базу, эта новая модификация не видится. Во всех трех случаях он определяется как TROJ_DELF.JEN (заражает exe-файлы. Очень неприятный вирус). Такая ситуация вызывает недоумение-а где эвристика Тренда и как быть дальше, если через неделю появится еще модификация?

На файловых серверах этот вопрос решили радикально-перешли на другой антивирус, который вылечивает файлы. Тренд, кстати, не может вылечить этот TROJ_DELF.JEN-обнаруживает, когда может и удаляет файл. Но остаются пользовательские машины. Каждый раз такая песня с одним и тем же вирусом будет напрягать.

Хотелось бы услышать комментарии или может быть имеет смысл задать вопрос разработчикам-почему тренд постоянно спотыкается об один и тот же вирус?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Что бы совсем "недетектилось" - такое было при выключенной эвристике.

По поводу лечения - да была похожая ситуация, помогла только премиум поддержка.

Пока не лечился - пользовались outbreak protection.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Stayer,

Интересно, а что является источником заражения - от куда в локалку попадает этот вирус?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

lepa,

Outbreak Prevention-это в русской версии "предотвращение эпидемии"? Ни разу не пользовался. Можно где почитать подробнее про это, а то на странице настройки только текстбокс и кнопочка "Включить режим предотвращения эпидемии". А то кажется как-то слишком просто-выбираешь "плохие" машины, нажимаешь Включить и что происходит дальше?

Pavel Yablonskiy,

У нас это случилось на фтп. Но у нас есть другие сервера, где у юзеров сетевые диски подключены. Сейчас беды нет, на серверах поставили другой антивирус, последняя модификация вируса, котрую мы нашли, в базы Тренда добавлена, так что и у пользователей все нормально. Как я понял, один из вариантов при появлении нового вируса-использовать "предотвращение эпидемии". Но интересен другой вопрос-как может быть, что на модификацию одного вируса (который до этого определялся на раз) реакция эвристического анализатора нулевая? На другие подозрительные файлы эвристика срабатывает, например, TROJ_Generic.DIT.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Outbreak Prevention-это в русской версии "предотвращение эпидемии"? Ни разу не пользовался. Можно где почитать подробнее про это, а то на странице настройки только текстбокс и кнопочка "Включить режим предотвращения эпидемии"?

да, в русской такой вариант.

почитать про эту опцию можно в документации: ftp://ftp.antivirus.com/documentation/gui...can10SP1_AG.pdf

начиная со стр.234

Но интересен другой вопрос-как может быть, что на модификацию одного вируса (который до этого определялся на раз) реакция эвристического анализатора нулевая? На другие подозрительные файлы эвристика срабатывает, например, TROJ_Generic.DIT.

Эвристика вещь опасная с точки зрения корпоративного продукта- слишком велика вероятность ложного срабатывания. В связи с этим, ее функциональность в OfficeScan настроена таким образом, чтобы отрабатывать только по наиболее характерным семействам зловредов (указанный вами вариант, по всей видимости, таковым в компании не считают). Могу по опыту сказать следующее - при отправке образцов, относящихся к одной группе вируса, достаточно длительное время в базу добавляют только отдельные сигнатуры. На уровне эвристики очень долго проверяют данные в связи с указанным выше опасением (ошибка может дорого обойтись).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Николай Романов,

Спасибо за разъяснения. Теперь ясно почему так, а не по-другому ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Harlison
      А кто какие виды отдыха и развлечения знает?
      Если из примеров, то что-то вроде подобного лазербола https://bnbpaintball.com/services/lazertag и подобных развлечений. Хочется в городе устроить многоборство по подобным видам отдыха, для людей. Чтобы хоть летом можно было отдохнуть, не думать о работе и учёбе и наслаждаться жизнью.
      Кто чего посоветует?
    • MarivannaMVD
    • MarivannaMVD
      А я пока нигде не ставлю.
    • MarivannaMVD
      Если речь стоит об отдыхе внутри страны, то Анапа сейчас становится все популярнее, поскольку местность славится мягким климатом, теплым неглубоким у побережья морем и возможностью отдохнуть с комфортом. Жилье в Анапе присутствует на любой вкус, от отеля 5 звезд до частного сектора на окраинах и в пригороде. На любой вкус и кошелек. И центр бронирования даже есть.
    • demkd
      Добавить -mhe ключ в параметр ArchiveZoo и все А вообще да, там же пароль указывается, я уже и забыл, можно вместе с -mhe попробовать, вполне возможно не нравятся имена файлов в архиве.
      Ну а в случае гуглмейла ничего не поможет, он не предназначен для передачи шифрованных архивов, тем не менее им почему-то пользуются до сих пор