OSCE 10.0 SP1 Rus и вирус TROJ_DELF.JEN - Trend Micro - покупка, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Stayer

История следующая: примерно полгода назад, был обнаружен вирус, который не обнаруживался Трендом. Вирус отправили в trendlabs, его добавили в базы. Все хорошо. Полмесяца назад ситуация повторилась. Нашелся вирус, отправили, добавили в базу. Неделю назад в третий раз нашелся вирус, не обнаруживаемый Трендом.

Все бы хорошо, если бы это не был один и тот же вирус. Точнее это, похоже, каждый раз небольшая модификация исходного вируса. И каждый раз, пока не добавят сигнатуру в базу, эта новая модификация не видится. Во всех трех случаях он определяется как TROJ_DELF.JEN (заражает exe-файлы. Очень неприятный вирус). Такая ситуация вызывает недоумение-а где эвристика Тренда и как быть дальше, если через неделю появится еще модификация?

На файловых серверах этот вопрос решили радикально-перешли на другой антивирус, который вылечивает файлы. Тренд, кстати, не может вылечить этот TROJ_DELF.JEN-обнаруживает, когда может и удаляет файл. Но остаются пользовательские машины. Каждый раз такая песня с одним и тем же вирусом будет напрягать.

Хотелось бы услышать комментарии или может быть имеет смысл задать вопрос разработчикам-почему тренд постоянно спотыкается об один и тот же вирус?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lepa

Что бы совсем "недетектилось" - такое было при выключенной эвристике.

По поводу лечения - да была похожая ситуация, помогла только премиум поддержка.

Пока не лечился - пользовались outbreak protection.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavel Yablonskiy

Stayer,

Интересно, а что является источником заражения - от куда в локалку попадает этот вирус?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Stayer

lepa,

Outbreak Prevention-это в русской версии "предотвращение эпидемии"? Ни разу не пользовался. Можно где почитать подробнее про это, а то на странице настройки только текстбокс и кнопочка "Включить режим предотвращения эпидемии". А то кажется как-то слишком просто-выбираешь "плохие" машины, нажимаешь Включить и что происходит дальше?

Pavel Yablonskiy,

У нас это случилось на фтп. Но у нас есть другие сервера, где у юзеров сетевые диски подключены. Сейчас беды нет, на серверах поставили другой антивирус, последняя модификация вируса, котрую мы нашли, в базы Тренда добавлена, так что и у пользователей все нормально. Как я понял, один из вариантов при появлении нового вируса-использовать "предотвращение эпидемии". Но интересен другой вопрос-как может быть, что на модификацию одного вируса (который до этого определялся на раз) реакция эвристического анализатора нулевая? На другие подозрительные файлы эвристика срабатывает, например, TROJ_Generic.DIT.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Романов
Outbreak Prevention-это в русской версии "предотвращение эпидемии"? Ни разу не пользовался. Можно где почитать подробнее про это, а то на странице настройки только текстбокс и кнопочка "Включить режим предотвращения эпидемии"?

да, в русской такой вариант.

почитать про эту опцию можно в документации: ftp://ftp.antivirus.com/documentation/gui...can10SP1_AG.pdf

начиная со стр.234

Но интересен другой вопрос-как может быть, что на модификацию одного вируса (который до этого определялся на раз) реакция эвристического анализатора нулевая? На другие подозрительные файлы эвристика срабатывает, например, TROJ_Generic.DIT.

Эвристика вещь опасная с точки зрения корпоративного продукта- слишком велика вероятность ложного срабатывания. В связи с этим, ее функциональность в OfficeScan настроена таким образом, чтобы отрабатывать только по наиболее характерным семействам зловредов (указанный вами вариант, по всей видимости, таковым в компании не считают). Могу по опыту сказать следующее - при отправке образцов, относящихся к одной группе вируса, достаточно длительное время в базу добавляют только отдельные сигнатуры. На уровне эвристики очень долго проверяют данные в связи с указанным выше опасением (ошибка может дорого обойтись).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Stayer

Николай Романов,

Спасибо за разъяснения. Теперь ясно почему так, а не по-другому ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Проблема оказалась в редакции windows, для home нужно дополнительно прописывать флаг в реестр, в RC4 теперь это делается автоматически.
        Добавил функцию для образов.

      ---------------------------------------------------------
       5.0.RC4
      ---------------------------------------------------------
      o Добавлена поддержка включения отслеживания командной строки процессов для "Home" редакций Windows.
        Теперь при включении отслеживания в лог печатается статус этой опции.

      o Функция "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом" теперь доступа и при работе с образом,
        если образ сделан при активном отслеживании процессов.

      o Исправлена критическая ошибка при создании файла описания для скопированного в Zoo большого текстового файла (vbs/cmd и т.д.).

       
    • santy
      Привет. По 5.0 RC3 Это работает. (саму команду еще не проверил как работает). И в цепочку процесс укладывается, хотя цепочка достаточно запутана, но к сожалению, отслеживание командной строки не включилось по какой-то причине. Возможно потому что не был отключен антивирус MBAM.
       o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт: 
         "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
         Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс. Функция есть в истории процессов и задач, но работает видимо только из активной системы.                           DESKTOP-867G3VL_2025-07-15_20-59-13_v5.0.RC3.v x64.7z
    • demkd
      Да, с этим файлом проблема, починю.
    • PR55.RP55
      В настройках добавить: Отправлять лог применения\выполнения скрипта на сервер\адресату. Уникальный идентификатор прописывается в скрипт при его генерации. т.е. Оператор не запрашивает результат выполнения скрипта у пользователя.    
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.2.14.
×