Перейти к содержанию
Pavlenko

Блокирование сайта www.movienizer.com антивирусом DrWeb

Recommended Posts

Pavlenko

Добрый день, коллеги!

Уже более 15 лет мы разрабатываем софт для домашних пользователей, периодически бывали проблемы с антивирусами, которые мы успешно решали. Но сейчас столкнулись с непробиемой реакцией Dr.Web.

Недавно один из наших пользователей пожаловался на то, что не получается скачать дистрибутив с нашего сайта. Dr.Web находит в нем Adware.Downware.8466. Если прогнать файл через VirusTotal, то только 1 срабатывание:

https://www.virustotal.com/en/file/8740171a...sis/1411046939/

Я сразу заполнил форму на сайте Dr.Web о ложном срабатывании, но получил краткий ответ без объяснения причин: "Ваш запрос был проанализирован. Это не ложное срабатывание."

Стал разбираться. Выяснилось, что антивирус ругается только на файл дистрибутива, который собран с помощью InnoSetup. На основной исполняемый файл программы на жалуется.

Более того, ругается только на подписанный цифровой подписью дистрибутив, если убрать подпись, то все нормально.

Ситуация дурацкая: подпись должна защищать, а не разрушать. При этом раз не ругается на основной подписанный файл, то есть с подписью проблем нет. Ну и отсутствие подписи никак не влияет на работоспособность программы. Будь там вирусы, то получается, что Dr.Web пропустил бы их.

Посоветовали пользователю скачать ZIP-архив с программой. Но на этот раз Dr.Web заблокировал весь сайт!

Опять написал в поддержку, ответили: "Указанный Вами сайт не рекомендуется к посещению специалистами компании «Доктор Веб», и ссылка на него не будет удалена из баз Dr.Web."

Я в недоумении. Наша программа на рынке с 2007 года, о ней писало много компьютерных изданий, у нас тысячи только тех пользователей, кто купил программу.

Malware могло попасть только случайно, но мы специально платим McAfee, чтобы они каждый день сканировали сайт на уязвимости и вирусы. Проблем нет:

https://www.mcafeesecure.com/verify?host=www.movienizer.com

Надеюсь, что с помощью независимого ресурса удастся разобраться в проблеме. Выход через знакомых на Dr.Web не помог :(

Отредактировал Pavlenko

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail

Проблема здесь в том, что под Downware подпадает целый класс внешне не вредоносных программ, но имеющие своей целью обогащение своих создателей через свои партнёрские программы (InstallCore, Somoto, проч.). Например, когда за браузер Mozilla Firefox, который абсолютно бесплатен, с какого-нибудь сайта типа bestfreesoftware.ololo просят некоторую мзду в виде платной SMS. При этом подобные программы-подменки имеют цифровую подпись (например, от Mail.Ru и.т.п.). Антивирусные производители такие вещи стараются детектировать и, соответственно, блокировать как Adware (рекламный модуль). При этом зачастую сопровождая детект префиксами not-a-virus и допуская возможность нажать кнопку "Пропустить" при подобного рода срабатывании. Кроме того, те производители, в составе продуктов которых есть веб-фильтры, добавляется детект как сайтов-распространителей подобного рода программ, так и сайтов их компаний-разработчиков. Поэтому, если монетизируетесь (схема распространения) через подобного рода партнёрские программы (см. выше - InstallCore, Somoto, проч.) и имеете подпись от, например, COMODO CA, - высоки шансы быть добавленным в базы антивирусных производителей. С весьма неохотным вычёркиванием оттуда.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

при установке Вашего софта есть "галочка" на установку партнерского софта? если есть, то причина детекта ясна.

а то, что дрвеб детектит по подписи, то это вопрос лишь удобства, а не некого умысла, захотят могут хоть по размеру и времени компиляции детектить...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavlenko

Нет, ставится только наша программа.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavlenko
Кроме того, те производители, в составе продуктов которых есть веб-фильтры, добавляется детект как сайтов-распространителей подобного рода программ, так и сайтов их компаний-разработчиков.

В нашем бесплатном софте на другом сайте используется Somoto и OpenCandy, но на этом сайте их никогда не было. Как и в этой коммерческой программе.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
В нашем бесплатном софте на другом сайте используется Somoto и OpenCandy.

Тем самым оправдывается их детектирование. В качестве примера детекта OpenCandy: http://www.herdprotect.com/lyrics-finder.e...1c646c2c8a.aspx

Обратите внимание на то, что файл подписан:

Digital SignatureSigned by:Soft Integrator Ltd.Authority:COMODO CA LimitedValid from:9/18/2012 2:00:00 AMValid to:9/19/2017 1:59:59 AMSubject:CN=Soft Integrator Ltd., O=Soft Integrator Ltd., STREET=34-B Predslavinskaya, L=Kyiv, S=Kyiv, PostalCode=03150, C=UAIssuer:CN=COMODO Code Signing CA 2, O=COMODO CA Limited, L=Salford, S=Greater Manchester, C=GBSerial number:00940377CC336C213475B843DA476735C9
но на этом сайте их никогда не было. Как и в этой коммерческой программе

Получается, что коммерческая версия вашего продукта страдает из-за схемы распространения вашего бесплатного софта на других сайтах с участием известных блокируемых партнёрских программ. Очевидно, при детектировании пошли по пути "лучше пере-, чем недо-". В любом случае, полагаю, что из-за детекта своих бесплатных продуктов вы не очень страдаете. Ну а сотрудниками "Доктор Веб" данный форум читается (но не пишется). Возможно, наш с Вами диалог как-то повляет на снятие детекта с вашего коммерческого ПО и вашего сайта в целом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavlenko

Dr.Web я ссылку скинул, они отозвались на Twitter.

Но про OpenCandy пока что домыслы, они внятно не написали.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

напишите как будет что проясняться, это крайне необычно, что заодно выходит детект всего - и то, что с партнерским софтом и то, что без. Эцп везде одинаковая? возможно детект тупо на нее - хоть хелловорлд подпишите и будет детект, коли так.

можете после того как написали им на почту и вам невнятно ответили еще на их форуме тему создать, тогда придется им более внятно отвечать...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy

Или политкорректно закроют тему :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavlenko
напишите как будет что проясняться, это крайне необычно, что заодно выходит детект всего - и то, что с партнерским софтом и то, что без. Эцп везде одинаковая? возможно детект тупо на нее - хоть хелловорлд подпишите и будет детект, коли так.

Не, я же выше писал, что сама программа тоже подписана (исполняемый файл), но если ее прогнать через VirusTotal, то все ОК.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Доктор Веб - компания в себе, расставляют детекты как хотят. Как блин соотносится схема распространения программы и ее вредоносность? Известно только им. Мне, например, не нравится как распространяется Яндекс.Браузер, тоже что ли его нежелательное ПО зачислить?

Уже два раза проверяли их детекты и писали отчеты:

http://www.anti-malware.ru/Threats_Analysis/Zona_analysis

http://www.anti-malware.ru/Threats_Analysi...diaget_analysis

Добиться от Доктор Веб снятия детекта авторы не могли. Проблема еще в том, что у них воруют детект и другие антивирусные компании. Поэтому проблема разрастается.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Касательно этого файла:

1. Установка/удаление адекватное - браузер с параметрами запустит, но не более того.

2. В скрипте инсталляции подводных камней не заметил (типа детекта виртуалки в случае которого адварь не ставится).

3. Детектируются сами инсталляионные пакеты, причем русскоязычный инсталлер тоже детектируется. Детекты одинаковы - Adware.Downware.8466

4. Детектирует по подписи.

5. Отображается какая-либо реклама во время работы продукта сказать сложно, но какой-либо рекламный баннер отображается во многих ПО, которые не детектируются, но рекламы при работе ПО не заметил.

6. Сами файлы программы не детектируются - только инсталлер.

7. Насколько я могу судить, софт не распространяется через даунлоадеры-инсталлеры.

8. Единственно, на чем остановился взгляд это _http://www.plimus.com/jsp/redirect.jsp?contractId=2620828 - насколько это серьезно, судить не берусь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
B .

Movienizer_ru.exe детектируется как Adware.Downware.8466 по подписи, которая использовалась при раздаче софта с somoto и opencandy. Если разработчик сознательно использует подпись для приложений, распространяющихся через блокируемые партнерки или файлопомойки, весьма странно удивляться, что антивирус начинает реагировать на все файлы с такой подписью. Ну, а сайт может запросто попасть в "нерекомендуемые" автоматом просто по факту того, что с него загружается нечто, детектируемое антивирусом.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v
Movienizer_ru.exe детектируется как Adware.Downware.8466 по подписи, которая использовалась при раздаче софта с somoto и opencandy

а ТС об этом умолчал :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pavlenko
а ТС об этом умолчал :D

Ну как бы об этом никто ясно не сказал. Догадки были. На этом сайте и в дистрибутиве OpenCandy никогда не было.

Что касается OpenCandy, то можно поспорить насколько они являются malware. Они очень щепитильны по поводу офферов и пару лет назад получили неплохие инвестиции от Google Ventures. Вряд ли большой брат будет во всякую фигню вкладываться.

Никакие офферы сами не ставятся, пользователь должен согласиться с ними. Не удивлюсь, если Dr.Web рекламируется через того же OpenCandy.

Somoto более агрессивные, но тоже вполне вменяемые.

8. Единственно, на чем остановился взгляд это _http://www.plimus.com/jsp/redirect.jsp?contractId=2620828 - насколько это серьезно, судить не берусь.

До этого кода не доходит - несостоявшаяся партнерка.

Скрипт инсталлера выложил на сайте: www.movienizer.com/movienizer7x_ru.iss

PS Прошу прощения за задержку с ответами - чего-то форум не открывался.

PPS Про OpenCandy и Somoto писал выше - http://www.anti-malware.ru/forum/index.php...st&p=180372

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Gregoryjed
      Online casino slots are a popular pastime for many people - but with so much to choose from and learn, it can be tricky to find the best ones! Luckily, this article has all of the answers you need to find your next favorite game. With the recent release of a new craze known as "auctioning," many resorts have begun to create games that incorporate this concept. The game's rules can be explained in just the amount of time it takes to play one round. However, there are some who would argue that these games can actually make your gambling habits worse - since you don't have to learn anything, you're at a disadvantage because you're playing "blind."

      How to Win At Slot Machines

      You're not going to win at slots, but the more you play, the better your chances. One great way to win at slot machines is to play with a bonus code. One bonus code will usually give the player 10 free spins up to a certain amount or 20% extra payout after each spin. Slot machines are booming with popularity. Why? Slots have an instant jackpot, and there's always a chance for someone to win BIG! There are some simple steps to follow if you want to be successful at slots. There are many different reasons why people enjoy playing online slots, but there are some basic principles behind winning at slot machines. Here are the most important tips that will help you win at online slots:

      What are the Basic Ways to Play casino slots?

      There are a lot of different games to play at an online casino. One you might want to try is the slots, which is where the most money is won in slot machines across the world. Online casino slots vary depending on where you are playing and what games they have available. Some casinos specialize in just one game while others have many different options to choose from. There are a variety of ways that you can play casino slots. Some of these include the "Wheel of Fortune" and "Lucky Ladys Charm." Playing these games is probably one of the easiest ways to understand how the game works. If you are more interested in playing games with higher odds, then try playing video poker or blackjack.

      Which online casinos Offer Welcome Bonuses?

      Casinos that offer welcome bonuses to new players typically also have a number of other sign-up incentives, including free spins, cash back, and match deposits. These promotions can help to entice players away from their competitors and give them the best possible chance at winning big. There are various online casinos that offer welcome bonuses. These include 100% bonus, free chips, no deposit bonus, and match bonus. However, bonuses vary from casino to casino. It is important to choose a casino because of their terms and conditions. online casinos offer welcome bonuses to encourage new players to join. These welcome bonuses typically consist of a percentage of the first deposit that is given back to the player, usually in the form of free slots and/or free cash. Some online casino welcome bonuses also include an additional bonus on top of that, such as a coupon code or match bonus.

      Best Casino Sites in the UK

      The biggest mistake that players make is not doing sufficient research on the best casino sites in the UK. It's important to find a reliable and affordable site, such as Casino Rama, so that you can enjoy your time playing at one. Online casino slots are a great way to try and win big while doing something you enjoy. There are plenty of UK casinos that offer slots so it can be a daunting task trying to find the right one. The following websites offer the best casinos with the best games, bonuses and more: So you want to win at online casino slots? Rather than getting in over your head, it's best to start small - with the UK's best casinos. These sites have a great selection of games and are some of the most trusted around.

      Best online casinos in the UK

      As online casinos have become more popular, so have the rules and guidelines surrounding their game selection. One thing you should know is that the best online casino games are those that can produce a lot of revenue for your business. The UK has a handful of the top online casinos that offer slots, roulette, and other games. These include jackpotbetonline.com, jackpotbetgame.com, jackpotcasinotips.com and more to come soon as they continue to grow in popularity as an alternative to brick-and-mortar casinos. UK online casinos offer players a variety of different games with huge jackpots to be won. Different online casinos offer different types of payouts, such as the amount you will get from playing slots, or how much your deposit will pay out. It's important to know what each casino offers in order to find one that better suits your needs.

      Why Is casino slots so Addictive?

      casino slots have the potential to be highly addictive. This is because of the random nature of slot games and how the outcome of each round is different. The specific combination of symbols in each game can make a player feel as if they are always winning, which leads to them considering it a fun activity. They'll also spend more money on slot machines in order to keep this feeling going, which can lead to gambling problems and spending too much money. Many people love the thrill of playing slots. Some people enjoy slot machines because they are easy to understand and can feel in control. There are a few ways to determine why slots are so addictive and some suggestions on how to avoid it.

      Conclusion

      In conclusion, it is important to realize that playing slots online is not the same as playing slots in a land-based casino. One of the most important rules to remember when playing at a land-based casino is to never play for more than what you can afford, but online slots are not always so easy.
    • Joshua3233Chids
      This is my first time come here
      https://gto5767.com/home.php?mod=space&uid=1902793
      http://www.atlasroleplay.com/forum/profile/koreanneck14
      https://spinalhub.win/wiki/H124pc_Wholesale_Clear_Acrylic_Crystal_Stud_Earring_Field_Show_Jewelry_Reward_Binsh1
      http://quanboo.com/home.php?mod=space&uid=53013
      http://idea.informer.com/users/cobwebplier5/?what=personal

      I am very happy to cme here I am very happy to cme here I am very happy to cme here I am very happy to cme here I am very happy to cme here 8287d12
    • Ego Dekker
      Домашние антивирусы ESET были обновлены до версии 15.0.23.
    • Thomaspaymn
      Hello there, I'm completely new here, I am not sure in the event this section is a right place to create this and also sorry with this, but I was hoping a person here on anti-malware.ru would be able to assist me.
      I am just wondering anybody knows just about any trusted company for signals for crypto. Is this website good and anyone worked with them ?
      binance futures signals
      Also please introduce any good and comprehensive blog for more inormation about this kind of services. We appreciate it.
    • Gabrielmop
      Какое абстрактное мышление
      filmkont.online
×