Чем чреваты тесты Anti-Malware.ru и VirusTotal

[OlegAndr 236]

2 проблемы:

1. есть проблема широких эвристических детектов, которые тырят друг у друга кто попало. Соответственно программа сразу начинает признаваться "большинством" вредоносной и без экспертизы принять решение о вредоносности нельзя.

Варианты решения - опираться на мнение ограниченного числа профф вендоров. (чем будет определятся непонятно, кроме того ESET показывает нам что не панацея).

2. Законодательство не регулирует легальный оборот вредоносов (есть же нелегальный оборот наркотических средств, а есть легальный).

[ANDYBOND 283]

Полностью согласен, но это, увы, мы тут не решим...

[Kapral 311]

Сегодня ты выложил программу. На ВТ она белая и пушистая, а через неделю все подкрутили свои эвристики - и упс... рожки да хвостик так и прут со всех вердиктов

А пояснение (о пушистости) не выложено

Такой вариант тоже имеет быть

[ANDYBOND 283]

Сегодня ты выложил программу. На ВТ она белая и пушистая, а через неделю все подкрутили свои эвристики - и упс... рожки да хвостик так и прут со всех вердиктов

А пояснение (о пушистости) не выложено

Такой вариант тоже имеет быть

Если программа не сопровождается каким-то пояснением назначения и функционала, то, значит, автор виноват, если сайт заблокируют.

[Kapral 311]

Если программа не сопровождается каким-то пояснением назначения и функционала, то, значит, автор виноват, если сайт заблокируют.

Какие объяснения должны быть?

1. Что делает программа (а-ля - текстовый редактор с поддержкой синтакисиса следующих языков)

2. Это программа не вирус, даже если в будущем она кем то будет определятся как вирус (даже если 30 вендоров её внесут под жутким вердиктом)

[ANDYBOND 283]

Какие объяснения должны быть?

1. Функционал.

2. Назначение.

3. Сфера применения.

4. Классификация.

5. Пояснение причин возможного детекта антивирусным ПО.

Последний пункт поясню. Иногда автору просто необходимо использовать те же, например, упаковщики, которые любят авторы вирусов, для обеспечения функционала программы. В таком случае надо не полениться и написать об этом. Одно дело, когда, например, свободное ПО детектируется проактивно как возможно зловредное, и совсем другое, когда имеем сигнатурный детект.

[Mr. Justice 771]

Топик очищен от флейма. Убедительно прошу воздерживаться от оскорбительных выпадов. Небольшое совет: составили сообщение, не публикуйте сразу - отойдите от монитора или переключитесь на другую вкладку на время. После того как эмоции остыли -посмотрите что можно убрать из сообщения и какие фразы можно перестроить, чтобы не нарушать правил форума и общепринятой этики. Можно скопировать текст куда-нибудь, а потом, через некоторое время, освободив от "шелухи" - запостить. А лучше вообще не пытаться составить ответ сразу. Займитесь чем-нибудь, а затем когда остынете - составляйте ответ. Кстати, после паузы легче понять о чем пишет оппонент и проще составить аргументированный ответ. У меня самого так далеко не всегда получается делать, но нужно как-то стараться контролировать себя.

[Kapral 311]

1. Функционал.

2. Назначение.

3. Сфера применения.

4. Классификация.

5. Пояснение причин возможного детекта антивирусным ПО.

Последний пункт поясню. Иногда автору просто необходимо использовать те же, например, упаковщики, которые любят авторы вирусов, для обеспечения функционала программы. В таком случае надо не полениться и написать об этом. Одно дело, когда, например, свободное ПО детектируется проактивно как возможно зловредное, и совсем другое, когда имеем сигнатурный детект.

1. Обновление видеокодеков

2. Просмотр видео-контента распространяемого ВКонтакте

3. см. п.2

4. Драйвера

5. Некоторые антивирусы его определяют как вредоносное ПО по причине выкачивания недостающих компонентов с офф.сайта + упаковка для экономии вашего трафика, отключите на момент обновления ваш антивирус

Ну или - Трояны атакуют пользователей Counter-Strike, хочешь так же красиво распишу?

[A. 876]

с роема

Dieann

08.08.2011 16:26:23 #

Агава

5 августа компания Агава получила уведомление от регистратора Directi о блокировке доменного имени z-oleg.com, после чего мы незамедлительно связались с владельцем домена. Ссылку z-oleg.com/leaktest.exe посчитали вредоносной эксперты регистратора, так как подразделение виртуального хостинга Агавы не занимается анализом и выявлением вредоносного ПО самолично.

В подобных случаях мы всегда делаем все возможное, чтобы помочь клиенту удалить вирус с сайта. Мы предоставили владельцу z-oleg.com все данные, чтобы стало ясно почему регистратор посчитал этот файл вредоносным. Блокировка ресурсов - это не личные "капризы" нашей компании.

Вечером 7 августа мы получили подробные объяснения по данной программе от владельца z-oleg.com - машинный код, описание действий - которые сразу же передали регистратору. На следующий день домен разблокировали.

[ntoskrnl 155]

Коллеги! Договоры нужно "внимательно изучать" ДО момента заключения. А не когда "петух жёпа клюнет". И если договор, например, предусматривает обязанность заказчика не размещать "малварь", значит нужно выяснить и согласовать критерии и процедуры выяснения вредоносности. И если мы заранее знаем, что специфика сайта такова, что такие "вопросы" вполне возможны, значит нужно это сразу оговаривать. Вплоть до заключения отдельных/дополнительных протоколов по каждому файлу. Чтобы было хотя бы видно, что " лицо приняло все меры для надлежащего исполнения обязательства при той степени заботливости и осмотрительности, какая от него требовалась по характеру обязательства". И если договор предусматривает за подрядчиком право приостановления услуги в указанных случаях, даже в случае возникновения определённых подозрений, в суды можно ходить очень долго и "продуктивно". А подозрения здесь вполне существенные. Масса детектов на ВТ, абузы от контрагентов, перед которыми, между прочим, у хостера/регистратора тоже есть обязательства, возможно абузы от частных лиц и т.д. И в данном случае именно у заказчика есть интерес развеять все подозрения или даже вообще убрать этот файл с хоста, вместо того, чтобы хихикать, какие в других вирлабах дураки сидят, рассказывать что это "совершенно безопасная программа", мол проверьте сами бинарник весом в 40 кб, "мамой клянусь" и т.п. Особенно "эротично" выглядит предложение в данной ситуации обратиться в надзорные органы. Где прокурор будет иметь все основания сразу же возбудить уголовное дело по признакам состава, предусмотренного ст. 273 УК РФ. Конечно, тут можно будет "расслабиться" презумпция невиновности" и все прочие плюшки, "разберёмся, товарищ".

[Kapral 311]

Ссылку z-oleg.com/leaktest.exe посчитали вредоносной эксперты регистратора, так как подразделение виртуального хостинга Агавы не занимается анализом и выявлением вредоносного ПО самолично.

1. Какие злые дяди где-то там.... далеко от нас

2. Интересно критерии оценки узнать

[Зайцев Олег 402]

В общем-то указанное соответствует истине, за исключением того, что данные по файлу они получили еще месяц назад, когда саппорт Агавы задал вопрос по этому файлу, инадо было сначала запросить исчерпывающие данные, а потом блочить,а не наоброт К слову сказать, файл я убрал, так как на досуге изучил логику блокировки регистратора - "эксперты" - это бот, который с некоторой периодичность проверяет наличие файла и пробивает его по VT. Если детектов более N и файл доступен - то идет абуза... вот и всего делов. На стороне провайдера все еще проще - идет проверка чем-то (в данном случае NOD32) и раз детектит - значит действительно вирус. При этом есть два момента:

1. В теории должно быть все наоборот. Т.е. у регистратора или хостера (Агава в моем случае) возникает некией вопрос или сомнение по некоему файлу. то вполне законно и резонно, в такой ситуации они обращаются к клиенту за разъяснениями. Получив таковые данные, эксперты (эксперты - не бот и VT) проверяют их и либо подтверждают полученную информацию и вносят файл в некую базу чистых, либо блокируют домен.

2. А как быть, если владелец файла не вирусолог и кроме аргумента "это не вирус" у него ничего нет ?! Ведь если вспомнить, весь сыр-бор пошел из-за совершенно чистого и неопасного файла-пустышки, а ведь массированные детекты легитимных файлов из-за "передирания" детектов - почти норма

[A. 876]

Я ведь не просто так приводил тут ссылку на сеть Агавы по данным сэйфбраузинга Гугла. Суть в том, что просто на основании этих данных и количества вредоносных хостингов на их площадке - сама Агава элементарно (в рамках ее же логики) может быть причислена к малварному хостеру, аля RBN и прибанена наглухо со всей своей автономкой.

А потом уже будем разбираться с ними, ну по факту, пусть доказывают что за эксплоиты на взломанных сайтах клиентов - они не отвечают.

Олег, блокировка домена со стороны регистратора - это реально что-то новенькое и, имхо, нарушающее массу законов. Они вообще не имеют права на подобные действия, как регистратор. Далее, при снятии блокировки они обязаны продлить за свой счет регистрацию домена на срок неработоспособности. Елы-палы, Микрософту в суды приходится подавать, чтобы домены Рустока заблочить - а тут какой-то регистратор сам по себе такое творит ?

[Mr. Justice 771]

Коллеги! Договоры нужно "внимательно изучать" ДО момента заключения. А не когда "петух жёпа клюнет". И если договор, например, предусматривает обязанность заказчика не размещать "малварь", значит нужно выяснить и согласовать критерии и процедуры выяснения вредоносности. И если мы заранее знаем, что специфика сайта такова, что такие "вопросы" вполне возможны, значит нужно это сразу оговаривать. Вплоть до заключения отдельных/дополнительных протоколов по каждому файлу. Чтобы было хотя бы видно, что " лицо приняло все меры для надлежащего исполнения обязательства при той степени заботливости и осмотрительности, какая от него требовалась по характеру обязательства".

Договоры между хостинг-провайдерами и клиентами, в подавляющем большинстве случаев, являются договорами присоединения, условия которого определены одной из сторон в формулярах или иных стандартных формах и могли быть приняты другой стороной не иначе как путем присоединения к предложенному договору в целом (п. 1 ст. 428 ГК ). Таким образом, клиент не может в таких случаях участвовать в разработке условий договора.

Особенно "эротично" выглядит предложение в данной ситуации обратиться в надзорные органы. Где прокурор будет иметь все основания сразу же возбудить уголовное дело по признакам состава, предусмотренного ст. 273 УК РФ. Конечно, тут можно будет "расслабиться" презумпция невиновности" и все прочие плюшки, "разберёмся, товарищ".

Во-первых, формальные основания для возбуждения могут возникнуть только после проведения предварительной проверки (ч. 2 ст. 140 УПК, ст. 144). На момент обращения никаких оснований быть не может. То, что вы перечисляете выше - не основания, а поводы к возбуждению уголовного дела (ч. 1 ст. 140 УПК).

Во-вторых, я имел в виду не прокуратуру, а иные надзорные органы.

Конечно, тут можно будет "расслабиться" презумпция невиновности" и все прочие плюшки, "разберёмся, товарищ"

Если даже уголовное дело было бы возбуждено, его прекратили бы за отсутствием состава преступления (п. 2 ч. 1 ст. 24 УПК).

P.S. Если Вы с чем то не согласны, пожалуйста, приводите ссылки на конкретные правовые нормы, чтобы легче было вести дискуссию. Если не согласны с толкованием, также прошу приводить свои доводы.

[OlegAndr 236]

Цитата(ntoskrnl @ 08.08.2011, 16:59) *

Конечно, тут можно будет "расслабиться" презумпция невиновности" и все прочие плюшки, "разберёмся, товарищ"

Если даже уголовное дело было бы возбуждено, его прекратили бы за отсутствием состава преступления.

Ага, посиди в СИЗО пока следователь составит заявку на экспертизу, пока она придет в ЛК (или Др Веб) пока они её отработают.

А у следователя палок не хватает, и закрыть дело - на планерке взгреют...

Лучше в суд предать. Написать что программа "несанкцианированно изменяла информацию на удаленном ЭВМ путем демонстрации окошка с сообщением" и привет.

А суд выносит в нашей стране 99.95% обвинительных приговоров (статистика не моя)

[RuJN 21]

Mr. Justice

тут наверняка не договор, а оферта

[Mr. Justice 771]

Mr. Justice

тут наверняка не договор, а оферта

Если был акцепт, то договор считается заключенным на условиях предложенных в публичной оферте.

[ntoskrnl 155]

Договоры между хостинг-провайдерами и клиентами, в подавляющем большинстве случаев, являются договорами присоединения, условия которого определены одной из сторон в формулярах или иных стандартных формах и могли быть приняты другой стороной не иначе как путем присоединения к предложенному договору в целом (п. 1 ст. 428 ГК ). Таким образом, клиент не может, в данном случае, участвовать в разработке условий договора.

И что с того? Клиента никто не заставляет заключать именно такой договор и он может предложить провайдеру заключение "специального" договора, чтобы не оказаться "в подавляющем большинстве случаев". Пойдёт на это провайдер или нет, вопрос уже третий, но от исполнения обязательств форма договора не освобождает.

Во-первых, формальные основания для возбуждения у прокурора могут возникнуть только после проведения предварительной проверки (ст. 144, ч. 2 ст. 140 УПК). На момент обращения никаких оснований быть не может. То, что вы перечисляете выше - не основания, а поводы к возбуждению уголовного дела (ст. ч. 1 ст. 140 УПК). Не буду гадать, что будет считаться достаточными данными в данном случае.

Естественно, поводы! Тем не менее

2. Основанием для возбуждения уголовного дела является наличие достаточных данных, указывающих на признаки преступления.

та же ст. 140 УПК А Вы предлагаете, практически, принести все эти данные на блюдечке с голубой каёмочкой.

Во-вторых, я имел в виду не прокуратуру, а иные надзорные органы.

Какие?

Если даже уголовное дело было бы возбуждено, его прекратили бы за отсутствием состава преступления.

Вполне возможно! По крайней мере, после проведения соотв. экспертизы. Но до тех пор - масса интересного.

[Mr. Justice 771]

Ага, посиди в СИЗО пока следователь составит заявку на экспертизу, пока она придет в ЛК (или Др Веб) пока они её отработают.

А у следователя палок не хватает, и закрыть дело - на планерке взгреют...

Сомневаюсь, что суд в этом случае санкционирует такую "суровую" меру пресечения как арест.

Лучше в суд предать. Написать что программа "несанкцианированно изменяла информацию на удаленном ЭВМ путем демонстрации окошка с сообщением" и привет.

А суд выносит в нашей стране 99.95% обвинительных приговоров (статистика не моя)

Это усредненная статистика, если цифры вообще правильные. Полагаю, что в этом случае нет состава преступления, поскольку отсутствует объективная сторона состава (в данном случае - противоправность). Поэтому дело должно быть прекращено за отсутствием состава.

[RuJN 21]

Sophos:

Hi

thank you for your email. The file leaktest.exe that you sent to us for analysis appears to be a test file for anti-virus software. It displays the popup 'Virus demo stub for AV test'. We will continue to detect this as Mal/Generic-L and we are not the only vendor to detect this file. Please do not hesitate to contact me if I can be of any further assistance.

Regards,

Martin Elliott

Sophos Technical Support

[zloyDi 15]

Sophos:

Hi

thank you for your email. The file leaktest.exe that you sent to us for analysis appears to be a test file for anti-virus software. It displays the popup 'Virus demo stub for AV test'. We will continue to detect this as Mal/Generic-L and we are not the only vendor to detect this file. Please do not hesitate to contact me if I can be of any further assistance.

Regards,

Martin Elliott

Sophos Technical Support

Ответ от вирлаба ЕСЕТА

Thank you for your submission.

It is a false positive of our scanner and this issue will be fixed in our next signature update.

Так что явный фолс все таки уберут.

[RuJN 21]

Ответ от вирлаба ЕСЕТА

Thank you for your submission.

It is a false positive of our scanner and this issue will be fixed in our next signature update.

Так что явный фолс все таки уберут.

Вы им на какой адрес отправляли? Мне два раза не ответили.

[Mr. Justice 771]

И что с того? Клиента никто не заставляет заключать именно такой договор и он может предложить провайдеру заключение "специального" договора, чтобы не оказаться "в подавляющем большинстве случаев". Пойдёт на это провайдер или нет, вопрос уже третий, но от исполнения обязательств форма договора не освобождает.

ntoskrnl, я говорю о сложившейся практике. Вы думаете, что в практике такие случаи не редкость и для Олега сделают исключение? Полагаю, что ему предложат согласиться со стандартными условиями с формулировкой: "не хочешь -не ешь". Согласен с Вами, попросить, конечно, можно, но будет ли нужный результат, вот в чем вопрос. Я, естественно, могу ошибаться, ибо сотрудникам агавы мозг не сканировал .

Естественно, поводы! Тем не менее

та же ст. 140 УПК А Вы предлагаете, практически, принести все эти данные на блюдечке с голубой каёмочкой.

Нет, конечно, я лишь указал на терминологическую некорректность Вашей формулировки.

Какие?

Я думаю сейчас не имеет значения какие это будут органы. Повторю, что я не имел в виду именно прокуратуру.

Вполне возможно! По крайней мере, после проведения соотв. экспертизы. Но до тех пор - масса интересного.

Я не спорю с тем, что гораздо проще убрать сомнительный контент с сайта, если это приведет к оперативному решению проблемы, но при этом рассматриваю и другие варианты ее решения.

[A. 876]

We will continue to detect this as Mal/Generic-L and we are not the only vendor to detect this file.

это эпик, я щетаю

[zloyDi 15]

Вы им на какой адрес отправляли? Мне два раза не ответили.

samples@eset.sk

В базе 6360 детект убран!