Lemmit

Детект программ взлома. Ложные срабатывания?

В этой теме 93 сообщений

Интересно, почему продукты Symantec детектируют некоторые файлы, предназначенные для "взлома" распространенных программных продуктов, как трояны, хотя очевидно, что троянов в них нет.

Я понимаю, что наличие подобных файлов - действительно повод для тревоги и, наверно, для осуждения, они вредоносны для производителей продуктов, для репутации владельца компьютера, но не для безопасности или функциональности самого компьютера. Зачем же вводить в заблуждение пользователей такой классификацией?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно, почему продукты Symantec детектируют некоторые файлы, предназначенные для "взлома" распространенных программных продуктов, как трояны, хотя очевидно, что троянов в них нет.

Я понимаю, что наличие подобных файлов - действительно повод для тревоги и, наверно, для осуждения, они вредоносны для производителей продуктов, для репутации владельца компьютера, но не для безопасности или функциональности самого компьютера. Зачем же вводить в заблуждение пользователей такой классификацией?

На самом деле делает это не только Symantec, но и многие другие вендоры. Что касается причин, то их можно выделить 3:

1. Эти программы действительно содержат в себе некие скрытые возможности, которых там быть не должно.

2. Эти программы содержат участки кода, которые возможно даже те же авторы используют для создания вредоносного ПО.

3. И, наконец, это просто ложное срабатывание. Но это ложное срабатывания можно назвать во благо. А происходит оно потому, что ни одна антивирусная компания, проводя Контроль Качества своих сигнатурных баз, не будет проверять на кряках, кейгенах и прочем подобном ПО.

И дело на самом деле это хорошее, но только загруженность АВ лабораторий анализом действительно вредоносного кода, к сожалению, не позволяет заниматься добавлением всех программ взлома ПО, да и базы бы в таком случае выросли непомерно, а баланс Риска и Возможностей для АВ ПО еще никто не отменял.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Спасибо, Кирилл, за подробный ответ!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
загруженность АВ лабораторий анализом действительно вредоносного кода, к сожалению, не позволяет заниматься добавлением всех программ взлома ПО

Хочу добавить, что на первый взгляд может действительно показаться, что антивирусные программы детектят все crackware и кейгены без разбору, но на практике в них очень часто содержится не банальный троян, меняющий стартовую страницу или дающий ссылку на некий сайт, а Backdoor (закулисник), который при запуске кейгенератора может скинуться в системную директорию до "лучших" для него времён. Например, несколько лет назад музыкальные кейгены нередко скидывали музыкальный файл в системную директорию Windows98. :)

А кто может поручиться, что ныне они не скинут туда же или в "Documents and Settings" что-нибудь "поинтереснее" и "позаковырестей"? И скидывают же. dolf_ru_080.gif

Гляньте, нет ли у кого-нибудь в директории пользователя или администратора -

C:\Documents and Settings\Администратор\ - лишнего скрытого (или нескрытого) файлика с расширением EXE или BAT - с названиями вроде admin.exe, iexplorer.exe или iexpIore.exe. Дальше-глубже, уверяю вас, их может быть ещё больше. А некоторые вообще порой не детектятся никакими антивирусами, а своё чёрное дело делают.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Или может это просто сговор с крупным партнером, которому не нравится, что его пользователи ставят левое ПО, и контору нагибают проверяющие органы?

Или может такой файл попал в какие-нибудь тесты, и проще добавить, чем оправдываться на каждом углу по поводу якобы пропуска?

Или может кто-то на VT фалсит на него, а жадные пользователи заваливают вирлаб просьбами перепроверить файл?

Таких "или" можно придумать два вагона и маленькую тележку, главное что в случае даже некорректного детекта никому в голову не придет жаловаться на фалсу... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

За примером далеко ходить не надо.

Предлагаю вашему вниманию кейген, который KAV-KIS детектит как Backdoor.Win32.Rbot.hjw и удаляет "без зазрения совести" даже из архива. attachment=2589:KeyGen.rar

Отчёт ниже в теме. Файл удалил 21 мая. Если надо верну. :)

Кирилл Керценбаум

Прав ли он? И очень интересно? как его задетектят NIS и NAV?

И вообще хотелось бы узнать, чем по-вашему мнению заразен этот файл? И вообще Backdoor ли он на самом деле?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Андрей-001 не детектит, по форме похоже на простой генератор серийных номеров, для проведения анализа поведения к сожалению нет времени, могу отправить в Security Response, посмотрим что они скажут...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
к сожалению нет времени, могу отправить в Security Response, посмотрим что они скажут...

Удивительно, что Вы ответили мне быстрее чем я успел отправить сообщение. :) Вовремя я.

Да, очень бы хотелось этот пример разобрать по камешкам. Очень показательно мнение разных защитных средств.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

кейген содержит вредоносный код.

+ прилепим скан с вирустотатала.

Файл KeyGen.rar получен 2008.05.16 23:34:35 (CET)

Текущий статус: закончено

Результат: 19/32 (59.38%)

Форматированные

Печать результатов Антивирус Версия Обновление Результат

AhnLab-V3 2008.5.10.0 2008.05.13 -

AntiVir 7.8.0.17 2008.05.13 Worm/Rbot.214528.25

Authentium 5.1.0.4 2008.05.14 -

Avast 4.8.1169.0 2008.05.12 -

AVG 7.5.0.516 2008.05.13 IRC/BackDoor.SdBot3.ABCC

BitDefender 7.2 2008.05.08 -

CAT-QuickHeal 9.50 2008.05.12 Backdoor.Rbot.hjw

ClamAV 0.92.1 2008.05.13 -

DrWeb 4.44.0.09170 2008.05.13 -

eSafe 7.0.15.0 2008.05.12 Win32.Rbot.hjw

eTrust-Vet 31.4.5784 2008.05.13 -

Ewido 4.0 2008.05.13 -

F-Prot 4.4.2.54 2008.05.13 -

F-Secure 6.70.13260.0 2008.05.13 Backdoor.Win32.Rbot.hjw

Fortinet 3.14.0.0 2008.05.13 -

GData 2.0.7306.1023 2008.05.14 Backdoor.Win32.Rbot.hjw

Ikarus T3.1.1.26.0 2008.05.13 Backdoor.Win32.Rbot.hjw

Kaspersky 7.0.0.125 2008.05.13 Backdoor.Win32.Rbot.hjw

McAfee 5293 2008.05.12 W32/Sdbot.worm

Microsoft 1.3408 2008.05.13 -

NOD32v2 3095 2008.05.13 probably a variant of Win32/Rbot

Norman 5.80.02 2008.05.09 -

Panda 9.0.0.4 2008.05.12 Suspicious file

Prevx1 V2 2008.05.16 Malicious Software

Rising 20.44.12.00 2008.05.13 -

Sophos 4.29.0 2008.05.13 Sus/Keygen-A

Sunbelt 3.0.1114.0 2008.05.12 VIPRE.Suspicious

Symantec 10 2008.05.13 W32.IRCBot

TheHacker 6.2.92.309 2008.05.13 Backdoor/Rbot.hjw

VBA32 3.12.6.6 2008.05.13 Backdoor.Win32.Rbot.hjw

VirusBuster 4.3.26:9 2008.05.12 Worm.Rbot.AAOY

Webwasher-Gateway 6.6.2 2008.05.13 Worm.Rbot.214528.25

http://www.virustotal.com/ru/analisis/cc72...5a34a9ad16cd40a

ps замечу, что касперски и Vba32 просто так кейгены в базу не вносят, + повнимательней присмотритесь, как именуют вендоры этот кейген. Можно сделать соответствующий вывод :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Groft благодарю за распечатку.

Backdoor.Win32.Rbot.hjw...

Backdoor.Win32.Rbot...

Worm.Rbot...

W32.IRCBot...

Странно, но, наверное, всё-таки очевидно, что не сходятся антималвары "во мнениях" - одни видят в нём бэкдура, другие червя... - видимо просто на код "клюют", т.к. сигнатуры др. у др. лямзят. ;)

повнимательней присмотритесь, как именуют вендоры этот кейген. Можно сделать соответствующий вывод
Типа этого вывода?

Мне это известно и без viruslist. Это же общие фразы для многих разных. Конкретизация нужна.

Кирилл Керценбаум

Security Response - пока не отозвались. Ждёмс...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Groft благодарю за распечатку.

Backdoor.Win32.Rbot.hjw...

Backdoor.Win32.Rbot...

Worm.Rbot...

W32.IRCBot...

Странно, но, наверное, всё-таки очевидно, что не сходятся антималвары "во мнениях" - одни видят в нём бэкдура, другие червя... - видимо просто на код "клюют", т.к. сигнатуры др. у др. лямзят. ;)

http://www..com/ru/viruses/encyclopedia?virusid=56713 - Типа этого вывода?

Мне это известно и без viruslist. Это же общие фразы для многих разных. Конкретизация нужна.

Да не за что :)

То, что вендоры не сходятся в названиях - это нормально, когда вы видели, чтобы все и всегда сходились? ;)

ссылка не фурычит :)

зы подождем ответ из вирлаба.

Нашел описание Backdoor.Win32.Rbot.fy, поскольку Backdoor.Win32.Rbot.hjw не было, так как hjw модификация.

http://www.viruslist.com/ru/viruses/encycl...amp;#entry37888[/url]

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Groft

ссылка не фурычит:::Нашел описание Backdoor.Win32.Rbot.fy

Так я похожее описание и имел ввиду. Малварь же старая - от 2005 года.

Сверился ещё с энциклопедией и вставил, а она не фурычит. :) Тогда я её сейчас исправлю там же.

Backdoor.Win32.Rbot.fy («Лаборатория Касперского») также известен как: W32.Spybot.Worm (Symantec), Win32.HLLW.MyBot (Doctor Web), W32/Rbot-TX (Sophos), Win32/HLLW.Spybot.AI (RAV), WORM_SPYBOT.LW (Trend Micro), Worm/VB.a (H+BEDV), IRC/BackDoor.SdBot.113.AJ (Grisoft), Backdoor.Rbot.FY (SOFTWIN), Trojan.Mybot-825 (ClamAV), Bck/Sdbot.BQR (Panda), Win32/Rbot.CNF (Eset) .

Backdoor.Rbot - семейство троянских программ для ОС Windows, предоставляющая злоумышленнику неавторизованный удаленный доступ к зараженной машине. Управляется через канал IRC.

Обладают следующей функциональностью:

  • прослушивание сети и перехват «интересных» пакетов (например, содержащих пароли к FTP-серверам, платежной системе PayPal и т.п.);
  • поиск машин в сети, подверженных некоторым популярным уязвимостям (RPC DCOM, UPnP, WebDAV и др.);
  • поиск машин, зараженных троянскими программами (Backdoor.Optix, Backdoor.NetDevil, Backdoor.SubSeven и др.) и троянскими компонентами червей (I-Worm.MyDoom, I-Worm.Bagle);
  • поиск машин со «слабыми» системными паролями;
  • проведение DoS-атак;
  • запуск на зараженной машине SOCKS- и HTTP-серверов;
  • отсылка злоумышленнику подробной информации о системе, в том числе паролей и серийных номеров для некоторых компьютерных игр.

Это и есть общие фразы для многих разных. Без конкретизации - это просто отписка и уже никак не энциклопедические сведения.

А в случае детекта кейгена - перестраховка. Увы, напоминает репрессии сталинской эпохи. Один из 1000 может что-то не так сделал (или даже шпионил) - а всех под одну гребёнку!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Security Response - пока не отозвались

А они вообще отзываются?

Сколько раз слал неизвестные Нортону вирусы с помощью вэб формы тут

https://submit.symantec.com/websubmit/retail.cgi

Через несколько дней всегда один и тот же автоматический ответ от робота

Symantec Security Response Automation

We have analyzed your submission. The following is a report of our

findings for each file you have submitted:

filename: ХХХ

machine: Machine

result: See the developer notes

Developer notes:

C:\Users\ХХХ

Our automation was unable to identify

any malicious content in this submission.

The file will be stored for further human analysis

Т.е. наша чудесная автоматика ничего не обнаружила,дело закрыто,а файл якобы будет сохранён для дополнительных человеческих исследований.Естественно,никаких живых ответов после этого не приходит вообще.Собственно,как и не происходит детекта отосланных сэмплов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Security Response - пока не отозвались. Ждёмс...

К сожалению я не успел отправить, но уже 17 мая рано утром данный образец детектился, так что смысла в этом уже нет.

А они вообще отзываются?

Еще как, но данная форма предназначена для тех, кто не является пользователем продуктов Symantec и скорость реакции здесь значительно ниже. Пользователи Norton отправляют образцы из самих продуктов, корпоративные пользователи - из другой формы.

Т.е. наша чудесная автоматика ничего не обнаружила,дело закрыто

Совсем нет, данный образец с большой вероятностью очень скоро окажется в базах, но повторюсь - Symantec Security Response не ставит своей задачаей охватить все и вся - приоритет на наиболее опасных угрозах и, прежде всего, на своих клиентах. И данный принцип дает свои положительные результаты...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
и, прежде всего, на своих клиентах.
для тех, кто не является пользователем продуктов Symantec и скорость реакции здесь значительно ниже.

а я признаться думал, что скорость реакции должна зависеть не от того клиент не клиент

не ваши пользователи в принципе одолжение вам делают, посылая самплы

ведь им достаточно в своём продукте детект и лечение получить

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Это же логично - тот, кто платит деньги за продукт - обслуживаются в первую очередь. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Поводом для создания этой темы был результат проверки четырех файлов, которые ни KIS, ни AVZ, не считали сколько-нибудь подозрительными, но продукты Symantec считали вредоносными.

Отправка образцов в январе текущего года на [email protected] привела к в общем-то ожидаемому результату: ЛК не нашла ничего вредоносного (и до сих пор не считает, судя по сканированию со современными базами). Symantec повторно указала на их вредоносность.

Остальные вендоры повторили свои вердикты Вирустотала. Кто-то проигнорировал. Кто-то поблагодарил за сэмплы, не дав их оценки.

К сожалению, самостоятельное дизассемблирование выходит за пределы моей компетенции. Так что как в известном сериале, истина снова осталась "где-то рядом".

Может, кому-то будет интересно "покопаться", чтоб выяснить объективную истину? Как понимаю, здесь выкладывать файлы не правильно. А в закрытый форум нет доступа. Как быть?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Это же логично - тот, кто платит деньги за продукт - обслуживаются в первую очередь

Нет,не логично.

Я был одно время клиентом Symantec (NAV),слал образцы и из самой программы,и с помощью вэб формы.Точно с таким же успехом и результатом,т.е. нулевым.

Та же Trend Micro (тоже не самая маленькая компания) всегда отвечают и вносят весьма оперативно в базы и не спрашивают,чей я клиент.А тут как как головой об стену.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Кирилл Керценбаум

но уже 17 мая рано утром данный образец детектился

А как именно он называется по версии NIS&NAV?

Symantec 10 2008.05.13 W32.IRCBot
W32.Spybot.Worm

Так, как было написано со ссылкой на Symantec на ВирусТотале, или на ВирусЛист, или иначе?

Это же очень интересно узнать ~ насколько они дают достоверную информацию!

dolf_ru_292.gif

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Добавочная инфо для размышления.

Не удержался: http://virusinfo.info/showthread.php?p=228833

Данные по ссылкам на на Virustotal подтверждают, что вердикты остались прежними.

Кто-то называет файлы логично "potentially unwanted program Keygen", а кто-то почему-то трояном.

Знакомый специалист сообщил, что 3 из 4 файлов явно не вредоносны, а 4-й содержит участок кода, который потенциально мог бы внести деструктивные изменения в реестр, но, этот участок по каким-то причинам в ходе работы приложения просто не исполняется.

Так что похоже, что Кирилл прямо как в воду глядел:

1. Эти программы действительно содержат в себе некие скрытые возможности, которых там быть не должно.

2. Эти программы содержат участки кода, которые возможно даже те же авторы используют для создания вредоносного ПО.

Вот только по хорошему вердикт должен быть именно: "potentially unwanted program Keygen"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Lemmit

Вот только по хорошему вердикт должен быть именно: "potentially unwanted program Keygen"

Или же одним словом Riskware?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Или же одним словом Riskware?

На кейгены еще не скоро будут писать рисквэа :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

А вот почти идеально "чистый" образец кейгена.

Бывают ли чище? Отчёт ниже в теме. Файл удаляю. Если надо верну. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Андрей-001, ваше вложение модераторы удалят за нарушение УК :) Там Symantec детектирует пакер. Кажется, тут все ясно и разумно.

Мое же пожелание к уважаемой компании Symantec, производящей очень неплохой (IMHO) продукт: пусть кейгены и им подобное называют хоть Riskware хоть как еще там, но не троянцами, вирусами, червями и т.п., чтобы не вводить пользователей в заблуждение.

P.s.: Говорят, что BitDefender имеет еще большую склонность называть подобные файлы разного рода вирусами, но это уже уклонение от темы командного форума.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ваше вложение модераторы удалят за нарушение УК
.

А чьего УК Саймантекского?

Файл предназначался как раз нашему Супермодератору для проверки, представителю Саймантека.

Там Symantec детектирует пакер.

Ха... А что упаковщики уже внезакона?

Так я проверил Антивирусом Касперского и прочими, что есть у меня и на ВирусТотале - ЧИСТОГАН!

Потому и привёл его как почти "чистый" образец. НЕ НРАВИТСЯ - САМ УДАЛЮ!

Мое же пожелание к уважаемой компании Symantec, производящей очень неплохой (IMHO) продукт: пусть кейгены и им подобное называют хоть Riskware хоть как еще там, но не троянцами, вирусами, червями и т.п., чтобы не вводить пользователей в заблуждение.

ПОЛНОСТЬЮ ПРИСОЕДИНЯЮСЬ К ЭТОМУ ПОЖЕЛАНИЮ, А ПРЕДЛОЖЕННЫЕ ОБРАЗЧИКИ ПУСТЬ ЭТОМУ СПОСОБСТВУЮТ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Lexluthor87
       Из своего личного опыта  могу поделиться следующей информацией. Кто-нибудь знаком с порядком получения микрокредитов в интернете? Я сам множество раз встречал в сети рекламу, типа, мгновенно любую сумму на ваш счет, без поручителей и залога, нужен только паспорт и ИНН...На днях срочно понадобились 3300 дол США  на 5-6 дней, и я начал искать варианты, типа быстроденьги и т.д. Я долго искал именно такой вариант, чтобы минимально переплачивать на процентах. Как я понял, в среднем процентные ставки микрокредитов в 2018 году составляют около 1-3% в день, это в основном зависит от суммы кредита. Но есть и варианты кредитов со ставкой менее 1%!!! Ставки 0,5-0,17% в день!!! Я нашел сам когда залез на https://fin32.com/ua , там куча предложений, пришлось перечитать массу вариантов, но оно того стоило. кому надо - пробуйте)
    • seomasterpro
      Если Ваш сайт работает на WordPress, то рекомендую установить плагин "Anti-Malware Security and Brute-Force Firewall".  Данный плагин является одним из немногих, что способны не только обнаруживать вредоносный код, но и умеют  удалять его. Функции и возможности. Автоматическое устранение известных угроз. Возможность загрузки определений новых угроз по мере их обнаружения. Автоматическое обновление версий TimThumb для устранения уязвимостей. Автоматическая установка обновления WP-login.php, чтобы блокировать атаку brute force. Возможность настроек сканирования. Запуск быстрого сканирования из админ. панели или полное сканирование из настроек плагина. Если Вам нужны рекомендации как пользоваться данным плагином для выявления вредоносных кодов на Вашем сайте, то можете обратиться к спецам от веб-студии на https://seo-master.pro Без регистрации плагин работает только в режиме сканирования. Регистрация плагина позволяет получить доступ к новым определениям «известных угроз» и другим функциям таким, как автоматическое удаление, а также патчи для конкретных уязвимостей , таких как старые версии TimThumb. Обновленные файлы определения могут быть загружены автоматически после того, как только Ваш ключ зарегистрирован. В противном случае, этот плагин просто сканирует на наличие потенциальных угроз и предоставляет Вам самостоятельно определять и удалять вредоносный код.
    • PR55.RP55
      Я с какой целью вам дал ссылку ? Откройте. И, если уж пишите про PC то стоит привести его характеристики. Asus k50c 2008 год; Windows 7; Одноядерный - Celeron 220 с тактовой частотой 1200 МГц; Память: DDR2 - 2ГБ. встроенная видеокарта: SiS Mirage 3+; HDD на 250 ГБ  
    • kostepanych
      А комодо без проблем работает без инета? Можно ли обновлять базы без инета, скачав обновления с официального сайта на другом компе?
      И не будет ли он сильно грузить старый ноут Asus k50c?
    • PR55.RP55
      + Info Software
      Media Lid
      Megabit
      Megabit, OOO
      'LLC' Dort
      "LLC" Dort