Перейти к содержанию
Сергей Ильин

Жертвы McAfee SiteAdvisor в рунете

Recommended Posts

Сергей Ильин

Не так давно наш сайт повторно попал в черные списки McAfee SiteAdvisor, о чем я писал в этой теме http://www.anti-malware.ru/forum/index.php?showtopic=4378 Установив данные плагин себе на компьютер, стал частенько замечать его подозрительные срабатывание. Поэтому решил воздать отдельную тему, куда буду публиковать FPs или подозрения на них.

http://forum.kasperskyclub.com/ - опасный сайт

1 "красная" загружаемая программа

В результате проведения тестов на данном веб-сайте были обнаружены загружаемые программы, которые некоторые пользователи считают шпионскими программами, программами для показа рекламы или другим нежелательным программным обеспечением.

http://www.siteadvisor.com/sites/http%3A//...perskyclub.com/

Особенно интересно на что именно ругается McAfee. Это файл KTU_1496293.rar

Как вы думаете, что это? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег

Так адвизор нашел кровожадную и беспощадную утилиту http://ktu.kasperskyclub.com/rus.html - http://www.siteadvisor.com/sites/kaspersky...loads/17219987/ .... и радостно загнобил весь сайт.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Mr. Justice, да, еще не сняли :(

Дублирую здесь:

McAfee SiteAdvisor помечает как опасный сайт популярной среди юристов информационно-справочной системы "КонсультантПлюс" http://www.consultant.ru/. В качестве причины указывается наличие ссылок на mail.ru.

Вот результаты проверки http://www.siteadvisor.com/sites/http%3A//www.consultant.ru/

Так адвизор нашел кровожадную и беспощадную утилиту http://ktu.kasperskyclub.com/rus.html

Ага :) Причем он другие версии этой же тулзы оценивает как нормальные, а именно эту версию оценил как опасную с рейтингом 6 из 10

http://www.siteadvisor.com/sites/kaspersky....com/downloads/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Марат, конечно, тот еще "былдлокодер" (.Нет Бейсик, да), но не вирусмейкер :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Очередная жертва - http://www.radmin.ru/

Причину блокировки я не понимаю. Там написано следующее:

В ходе анализа веб-репутации McAfee TrustedSource на этом сайте обнаружены потенциальные угрозы безопасности. Соблюдайте крайнюю осторожность.

http://www.siteadvisor.com/sites/radmin.ru

Никаких подробностей больше нет. Загружамые файлы все чистые.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Об истории с ФК ЛК. Детект на эту имитацию троян-даунлеудера https://www.virustotal.com/file/843cfa5fc63...sis/1342204276/ Он качает заглушку и тут же запускает ее. Теперь просто меняем

This program cannot be run in DOS mode
на
This program Cannot be run in DOS mode
и получаем https://www.virustotal.com/file/84f5d209e10...sis/1342205453/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Umnik, половина детектов отвалилась, неплохо. :)

********************

Еще одна жертва, многими любимое храналище всякого хлама - http://www.softportal.com

http://www.siteadvisor.com/sites/http%3A//www.softportal.com

Там букет целый: ссылки на softbn.ru + подозрительные файлы в раздаче http://www.siteadvisor.com/sites/softporta...oads/startat20/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Еще одна жертва - http://2ip.ru/ - может быть небезопасным для посещения.

В ходе анализа веб-репутации McAfee TrustedSource на этом сайте обнаружены потенциальные угрозы безопасности. Соблюдайте крайнюю осторожность.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
~Джон Доу~
Еще одна жертва - _http://2ip.ru/ - может быть небезопасным для посещения.

И ещё одна жертва аборта - шведский стол - "Соблюдайте крайнюю осторожность" ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
И ещё одна жертва аборта - шведский стол - "Соблюдайте крайнюю осторожность"

Блокировать сайты конкурентов - это святое :) В Швеции видимо Касперский особенно достал McAfee.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

А вот это уже большой лол

http://images.yandex.ru/yandsearch полностью в блоке McAfee SiteAdvisor. Причем на http://images.yandex.ru/ пускает, а если набрать любое слово в поиске, то сайт становится опасным :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
А вот это уже большой лол

http://images.yandex.ru/yandsearch полностью в блоке McAfee SiteAdvisor. Причем на http://images.yandex.ru/ пускает, а если набрать любое слово в поиске, то сайт становится опасным :)

Это из-за того, что на https://images.yandex.ru отдается неправильный сертификат. У тебя не тольк Макафи, а даже браузер на такое ругаться будет.

Вове Иванову еще позавчера отписывал по этому поводу, обещали поправить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Это из-за того, что на https://images.yandex.ru отдается неправильный сертификат. У тебя не тольк Макафи, а даже браузер на такое ругаться будет.

Браузеры молчат у меня. Показывает, что сертификат просто отсутствует.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • demkd
      это если пользоваться regedit-ом, впрочем там невозможно обнулить dacl там можно его сделать пустым, что приведет к обратному - недоступности ключа для всех пользователей кроме владельца, если убивать dacl программно то ничего не появляется его просто нет и ключ доступен для всех. Сами исправят когда-нибудь, я им не пользуюсь. Увы, но майнеры работают напрямую с библиотеками amd opencl или с cuda nvidia или просто с opencl какой зацепят включая интеля, через них можно получить общую загрузку gpu для родной карты, но не раскладку по процессам, ну разве что за исключением nvidia quadro у них есть свои бибилиотки и там вроде как можно что-то вытянуть, но опять же только для quadro.
      Да и это не актуально, я набросал на коленке небольшую тестовую утилиту через direct-x, все довольно точно считает и в 10-ке и в 7-ке, вряд ли оно конечно будет работать в XP, но оно и не надо впрочем желающие протестируют, добавлю в след. версии uVS, будет считать аналогично CPU с момента запуска процесса, такой подход майнеров CPU/GPU выявляет замечательно, они грузят постоянно, а значит и процент близкий 100 выходит, на фоне практически нуля для всех остальных процессов.
    • PR55.RP55
      Dragokas Да, сегодня искал по данному вопросу информацию. https://ru.bmstu.wiki/Кража_веб-страниц,_запускаемых_в_браузере_пользователя,_с_использованием_уязвимостей_графического_процессора + Ещё будет полезна информация полученная по:  tasklist  [ Память ] https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist  
    • Dragokas
      Раз уж в них такие нестыковки по показаниям GPU, проще наверное взять исходники какого-нибудь консольного майнера. Там обычно отображаются и учитываются все такие нагрузки, уже заточена поддержка под несколько видеокарт и даже можно задать ограничения. Можно начать с NiceHashMiner - там внутри папки есть все наиболее популярные майнеры и дальше уже смотреть, у какого из них есть исходник, в крайнем случае списаться с автором.
    • Dragokas
    • demkd
      Сейчас посмотрел в Windows 10 1803, PH показал загрузку, но вот только отличие от реальной более чем в 2 раза xD
      PE показал на процент больше, но считай тоже самое, виндовый диспетчер задач показал менее процента при реальной загрузке близкой к 100%
      Вывод очевиден: надо делать самому с нуля, почитаю что там умеет dx оценю объем работ, если он небольшой то сделаю, если нет то когда-нибудь...

      Посмотрел что показывает PE на Windows 7 с 4-мя картами загруженными майнингом на 100%:
      Как бы он вообще не видит что zecminer64 насилует все 4 карты одновременно


      ProcessHacker повел себя идентично, копипаст рулит, одинаковые ошибки в одинаковых случаях.
×