Вирус, или нет? - Помощь - Форумы Anti-Malware.ru Перейти к содержанию
Lemmit

Вирус, или нет?

Recommended Posts

Lemmit

Скачал файл c http://stopgame.ru/help/need_for_speed_mos...19_trainer.html

далее - по ссылке закачки файла. Лучше не скачивайте файл, если не уверены! :wink:

Проверил онлайн-сканером Бит Дефендера. Выдает, что троян. Проверил на Virustotal.com

Результат

AntiVir 7.4.0.32/20070618 found [bDS/Ciadoor.N.20]

>> BitDefender 7.2/20070618 found [backdoor.Ciadoor.N]

>> CAT-QuickHeal 9.00/20070616 found [W32.Brontok.Q]

>> eSafe 7.0.15.0/20070617 found [suspicious Trojan/Worm]

>> Ewido 4.0/20070617 found [backdoor.Ciadoor.n]

>> Fortinet 2.85.0.0/20070618 found [PossibleThreat]

>> Ikarus T3.1.1.8/20070618 found [backdoor.Win32.Ciadoor.N]

>> Sunbelt 2.2.907.0/20070616 found [backdoor.Ciadoor]

>> Symantec 10/20070618 found [backdoor.Trojan]

>> Webwasher-Gateway 6.0.1/20070618 found [Trojan.Ciadoor.N.20]

>>

остальные антивирусы, в том числе. каспер, ничего не нашли.

Отправил файл на <newvirus@kaspersky.com>, пришел ответ, что ничего вредоносного нет. Сам в дизассемблировании не силен, поэтому проверить утверждение не могу. Но кажется странным, что 10 антивирусов заподозрили неладное, а там ничего "интересного".

Добавлено спустя 25 минут 44 секунды:

Конечно, поведение трейнера можно в чем-то сопоставить вредоносному (внедрение в стороннее приложение, управление им и т.п.) но, например, Симантек, насколько мне известно, такого анализа не имеет и фальшивых срабатываний не должен иметь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

Symantec - не показатель, увы. Больше напоминает ложное срабатывание на пакер или что-то в этом роде, так как:

- не может файл одновременно детектиться как Brontok и Cyadoor,

- аналитики ЛК, как правило, не ошибаются,

- в эмуляции опасного поведения не проявляет (не ахти какой аргумент, но все же).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alabama

Вроде не вирус и точно не Ciadoor. PEiD показывает, что файл запакован MEW 11 1.2. Для этой версии unpacker'а у меня нет. В приципе там есть функции Win API часто встречающиеся в вирусах. Но подозрительной активности я не заметил. Может случайно совпала сигнатура с Symantecom, да и файлы запакованные MEW, некоторые антивирусы считают зловредными.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

Дома у меня кроме злой жены инструментов анализа нет, но ciadoor в 56кб файле точно быть не может. Backdoor.Trojan симантека это явно детект пакера, BitDefender - наверно фалза, остальные - попугаи.

На самом деле это bundle из нескольких файлов, самый большой - точно обычный trainer, остальные - ХЗ, больше смахивают на музыку, скины и настройки для hot-keys трейнера.

Может в комплекте и есть малвара (в чем лично я сильно сомневаюсь - на калькуляторе посчиталь размеры файлов, неизвестных осталось меньше 1кб), но это точно не ciadoor.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit
Дома у меня кроме злой жены инструментов анализа нет,
:lol:

Спасибо, NickGolovko, alabama, Dr.Golova!

Значит, если не хватит терпения, будем юзать трейнер! :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SuperBrat

Lemmit, сбросьте образец на vendors@spywarefix.org в zip-архиве с паролем "infected". Вам ответят вирусные аналитики из многих лабораторий. Развеют сомнения или уберегут от ошибки.

P.S. Общение будет идти в основном на английском языке.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин

Trend Micro пишет, что это BKDG_Generic. То есть эвристика считает, что это программа, предоставляющая злоумышленнику удаленнный доступ к компьютеру жертвы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit
Lemmit, сбросьте образец на vendors@spywarefix.org в zip-архиве с паролем "infected".

Сделано. О результатах сообщу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ice-berg

да нету там ниче...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit
да нету там ниче...

Я бы не стал так категорично утверждать.

пока имеются следующие ответы вендоров в порядке поступления:

DrWeb (Роман Василенко. «…It was not a virus»

Sophos. Martin Elliott. «The file that you sent to us for analysis is detected as Mal/Packer…»

Avira Virus Lab. Tjark Auerbach «The file 'pztrain.exe' has been determined to be 'MALWARE'. Our analysts named the threat BDS/Ciadoor.N.20. The term "BDS/" denotes a Backdoor-Server program».

И еще в догонку - вердикт автомата от CA Anti-Virus 2007 «The Windows PE (I386,EXE) file "pztrain.exe" has been determined to be malicious. Aliases reported by other AV products are listed here: (Backdoor.Trojan)».

Удивительно, но если задуматься, то вопросов становится еще больше. :shock: :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Сегдня пришло.

Symantec (автомат): "This file is detected as Backdoor.Trojan". (Кто бы сомневался).

Kaspersky(Юрий Несмачный): "No malicious code was found in this file" (тоже несложно было предугадать).

В связи с тем, что ясно, что ничего не ясно предлагаю на этом тему закрыть, и оставить в покое файл, ставший темой обсуждения. :wink: :D

Спасибо всем ответившим!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ordon
В связи с тем, что ясно, что ничего не ясно

В том то всё и дело :). То что на такого рода файлы часто ругаются антивири - в основном ( по крайней мере в моей практике) ложняк, но конечно бывают и исключения...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×