Перейти к содержанию
Lemmit

Детект программ взлома. Ложные срабатывания?

Recommended Posts

Lemmit

Интересно, почему продукты Symantec детектируют некоторые файлы, предназначенные для "взлома" распространенных программных продуктов, как трояны, хотя очевидно, что троянов в них нет.

Я понимаю, что наличие подобных файлов - действительно повод для тревоги и, наверно, для осуждения, они вредоносны для производителей продуктов, для репутации владельца компьютера, но не для безопасности или функциональности самого компьютера. Зачем же вводить в заблуждение пользователей такой классификацией?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Интересно, почему продукты Symantec детектируют некоторые файлы, предназначенные для "взлома" распространенных программных продуктов, как трояны, хотя очевидно, что троянов в них нет.

Я понимаю, что наличие подобных файлов - действительно повод для тревоги и, наверно, для осуждения, они вредоносны для производителей продуктов, для репутации владельца компьютера, но не для безопасности или функциональности самого компьютера. Зачем же вводить в заблуждение пользователей такой классификацией?

На самом деле делает это не только Symantec, но и многие другие вендоры. Что касается причин, то их можно выделить 3:

1. Эти программы действительно содержат в себе некие скрытые возможности, которых там быть не должно.

2. Эти программы содержат участки кода, которые возможно даже те же авторы используют для создания вредоносного ПО.

3. И, наконец, это просто ложное срабатывание. Но это ложное срабатывания можно назвать во благо. А происходит оно потому, что ни одна антивирусная компания, проводя Контроль Качества своих сигнатурных баз, не будет проверять на кряках, кейгенах и прочем подобном ПО.

И дело на самом деле это хорошее, но только загруженность АВ лабораторий анализом действительно вредоносного кода, к сожалению, не позволяет заниматься добавлением всех программ взлома ПО, да и базы бы в таком случае выросли непомерно, а баланс Риска и Возможностей для АВ ПО еще никто не отменял.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Спасибо, Кирилл, за подробный ответ!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
загруженность АВ лабораторий анализом действительно вредоносного кода, к сожалению, не позволяет заниматься добавлением всех программ взлома ПО

Хочу добавить, что на первый взгляд может действительно показаться, что антивирусные программы детектят все crackware и кейгены без разбору, но на практике в них очень часто содержится не банальный троян, меняющий стартовую страницу или дающий ссылку на некий сайт, а Backdoor (закулисник), который при запуске кейгенератора может скинуться в системную директорию до "лучших" для него времён. Например, несколько лет назад музыкальные кейгены нередко скидывали музыкальный файл в системную директорию Windows98. :)

А кто может поручиться, что ныне они не скинут туда же или в "Documents and Settings" что-нибудь "поинтереснее" и "позаковырестей"? И скидывают же. dolf_ru_080.gif

Гляньте, нет ли у кого-нибудь в директории пользователя или администратора -

C:\Documents and Settings\Администратор\ - лишнего скрытого (или нескрытого) файлика с расширением EXE или BAT - с названиями вроде admin.exe, iexplorer.exe или iexpIore.exe. Дальше-глубже, уверяю вас, их может быть ещё больше. А некоторые вообще порой не детектятся никакими антивирусами, а своё чёрное дело делают.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

Или может это просто сговор с крупным партнером, которому не нравится, что его пользователи ставят левое ПО, и контору нагибают проверяющие органы?

Или может такой файл попал в какие-нибудь тесты, и проще добавить, чем оправдываться на каждом углу по поводу якобы пропуска?

Или может кто-то на VT фалсит на него, а жадные пользователи заваливают вирлаб просьбами перепроверить файл?

Таких "или" можно придумать два вагона и маленькую тележку, главное что в случае даже некорректного детекта никому в голову не придет жаловаться на фалсу... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

За примером далеко ходить не надо.

Предлагаю вашему вниманию кейген, который KAV-KIS детектит как Backdoor.Win32.Rbot.hjw и удаляет "без зазрения совести" даже из архива. attachment=2589:KeyGen.rar

Отчёт ниже в теме. Файл удалил 21 мая. Если надо верну. :)

Кирилл Керценбаум

Прав ли он? И очень интересно? как его задетектят NIS и NAV?

И вообще хотелось бы узнать, чем по-вашему мнению заразен этот файл? И вообще Backdoor ли он на самом деле?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Андрей-001 не детектит, по форме похоже на простой генератор серийных номеров, для проведения анализа поведения к сожалению нет времени, могу отправить в Security Response, посмотрим что они скажут...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
к сожалению нет времени, могу отправить в Security Response, посмотрим что они скажут...

Удивительно, что Вы ответили мне быстрее чем я успел отправить сообщение. :) Вовремя я.

Да, очень бы хотелось этот пример разобрать по камешкам. Очень показательно мнение разных защитных средств.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Groft

кейген содержит вредоносный код.

+ прилепим скан с вирустотатала.

Файл KeyGen.rar получен 2008.05.16 23:34:35 (CET)

Текущий статус: закончено

Результат: 19/32 (59.38%)

Форматированные

Печать результатов Антивирус Версия Обновление Результат

AhnLab-V3 2008.5.10.0 2008.05.13 -

AntiVir 7.8.0.17 2008.05.13 Worm/Rbot.214528.25

Authentium 5.1.0.4 2008.05.14 -

Avast 4.8.1169.0 2008.05.12 -

AVG 7.5.0.516 2008.05.13 IRC/BackDoor.SdBot3.ABCC

BitDefender 7.2 2008.05.08 -

CAT-QuickHeal 9.50 2008.05.12 Backdoor.Rbot.hjw

ClamAV 0.92.1 2008.05.13 -

DrWeb 4.44.0.09170 2008.05.13 -

eSafe 7.0.15.0 2008.05.12 Win32.Rbot.hjw

eTrust-Vet 31.4.5784 2008.05.13 -

Ewido 4.0 2008.05.13 -

F-Prot 4.4.2.54 2008.05.13 -

F-Secure 6.70.13260.0 2008.05.13 Backdoor.Win32.Rbot.hjw

Fortinet 3.14.0.0 2008.05.13 -

GData 2.0.7306.1023 2008.05.14 Backdoor.Win32.Rbot.hjw

Ikarus T3.1.1.26.0 2008.05.13 Backdoor.Win32.Rbot.hjw

Kaspersky 7.0.0.125 2008.05.13 Backdoor.Win32.Rbot.hjw

McAfee 5293 2008.05.12 W32/Sdbot.worm

Microsoft 1.3408 2008.05.13 -

NOD32v2 3095 2008.05.13 probably a variant of Win32/Rbot

Norman 5.80.02 2008.05.09 -

Panda 9.0.0.4 2008.05.12 Suspicious file

Prevx1 V2 2008.05.16 Malicious Software

Rising 20.44.12.00 2008.05.13 -

Sophos 4.29.0 2008.05.13 Sus/Keygen-A

Sunbelt 3.0.1114.0 2008.05.12 VIPRE.Suspicious

Symantec 10 2008.05.13 W32.IRCBot

TheHacker 6.2.92.309 2008.05.13 Backdoor/Rbot.hjw

VBA32 3.12.6.6 2008.05.13 Backdoor.Win32.Rbot.hjw

VirusBuster 4.3.26:9 2008.05.12 Worm.Rbot.AAOY

Webwasher-Gateway 6.6.2 2008.05.13 Worm.Rbot.214528.25

http://www.virustotal.com/ru/analisis/cc72...5a34a9ad16cd40a

ps замечу, что касперски и Vba32 просто так кейгены в базу не вносят, + повнимательней присмотритесь, как именуют вендоры этот кейген. Можно сделать соответствующий вывод :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Groft благодарю за распечатку.

Backdoor.Win32.Rbot.hjw...

Backdoor.Win32.Rbot...

Worm.Rbot...

W32.IRCBot...

Странно, но, наверное, всё-таки очевидно, что не сходятся антималвары "во мнениях" - одни видят в нём бэкдура, другие червя... - видимо просто на код "клюют", т.к. сигнатуры др. у др. лямзят. ;)

повнимательней присмотритесь, как именуют вендоры этот кейген. Можно сделать соответствующий вывод
Типа этого вывода?

Мне это известно и без viruslist. Это же общие фразы для многих разных. Конкретизация нужна.

Кирилл Керценбаум

Security Response - пока не отозвались. Ждёмс...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Groft
Groft благодарю за распечатку.

Backdoor.Win32.Rbot.hjw...

Backdoor.Win32.Rbot...

Worm.Rbot...

W32.IRCBot...

Странно, но, наверное, всё-таки очевидно, что не сходятся антималвары "во мнениях" - одни видят в нём бэкдура, другие червя... - видимо просто на код "клюют", т.к. сигнатуры др. у др. лямзят. ;)

http://www..com/ru/viruses/encyclopedia?virusid=56713 - Типа этого вывода?

Мне это известно и без viruslist. Это же общие фразы для многих разных. Конкретизация нужна.

Да не за что :)

То, что вендоры не сходятся в названиях - это нормально, когда вы видели, чтобы все и всегда сходились? ;)

ссылка не фурычит :)

зы подождем ответ из вирлаба.

Нашел описание Backdoor.Win32.Rbot.fy, поскольку Backdoor.Win32.Rbot.hjw не было, так как hjw модификация.

http://www.viruslist.com/ru/viruses/encycl...amp;#entry37888[/url]

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Groft

ссылка не фурычит:::Нашел описание Backdoor.Win32.Rbot.fy

Так я похожее описание и имел ввиду. Малварь же старая - от 2005 года.

Сверился ещё с энциклопедией и вставил, а она не фурычит. :) Тогда я её сейчас исправлю там же.

Backdoor.Win32.Rbot.fy («Лаборатория Касперского») также известен как: W32.Spybot.Worm (Symantec), Win32.HLLW.MyBot (Doctor Web), W32/Rbot-TX (Sophos), Win32/HLLW.Spybot.AI (RAV), WORM_SPYBOT.LW (Trend Micro), Worm/VB.a (H+BEDV), IRC/BackDoor.SdBot.113.AJ (Grisoft), Backdoor.Rbot.FY (SOFTWIN), Trojan.Mybot-825 (ClamAV), Bck/Sdbot.BQR (Panda), Win32/Rbot.CNF (Eset) .

Backdoor.Rbot - семейство троянских программ для ОС Windows, предоставляющая злоумышленнику неавторизованный удаленный доступ к зараженной машине. Управляется через канал IRC.

Обладают следующей функциональностью:

  • прослушивание сети и перехват «интересных» пакетов (например, содержащих пароли к FTP-серверам, платежной системе PayPal и т.п.);
  • поиск машин в сети, подверженных некоторым популярным уязвимостям (RPC DCOM, UPnP, WebDAV и др.);
  • поиск машин, зараженных троянскими программами (Backdoor.Optix, Backdoor.NetDevil, Backdoor.SubSeven и др.) и троянскими компонентами червей (I-Worm.MyDoom, I-Worm.Bagle);
  • поиск машин со «слабыми» системными паролями;
  • проведение DoS-атак;
  • запуск на зараженной машине SOCKS- и HTTP-серверов;
  • отсылка злоумышленнику подробной информации о системе, в том числе паролей и серийных номеров для некоторых компьютерных игр.

Это и есть общие фразы для многих разных. Без конкретизации - это просто отписка и уже никак не энциклопедические сведения.

А в случае детекта кейгена - перестраховка. Увы, напоминает репрессии сталинской эпохи. Один из 1000 может что-то не так сделал (или даже шпионил) - а всех под одну гребёнку!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rayoflight
Security Response - пока не отозвались

А они вообще отзываются?

Сколько раз слал неизвестные Нортону вирусы с помощью вэб формы тут

https://submit.symantec.com/websubmit/retail.cgi

Через несколько дней всегда один и тот же автоматический ответ от робота

Symantec Security Response Automation

We have analyzed your submission. The following is a report of our

findings for each file you have submitted:

filename: ХХХ

machine: Machine

result: See the developer notes

Developer notes:

C:\Users\ХХХ

Our automation was unable to identify

any malicious content in this submission.

The file will be stored for further human analysis

Т.е. наша чудесная автоматика ничего не обнаружила,дело закрыто,а файл якобы будет сохранён для дополнительных человеческих исследований.Естественно,никаких живых ответов после этого не приходит вообще.Собственно,как и не происходит детекта отосланных сэмплов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Security Response - пока не отозвались. Ждёмс...

К сожалению я не успел отправить, но уже 17 мая рано утром данный образец детектился, так что смысла в этом уже нет.

А они вообще отзываются?

Еще как, но данная форма предназначена для тех, кто не является пользователем продуктов Symantec и скорость реакции здесь значительно ниже. Пользователи Norton отправляют образцы из самих продуктов, корпоративные пользователи - из другой формы.

Т.е. наша чудесная автоматика ничего не обнаружила,дело закрыто

Совсем нет, данный образец с большой вероятностью очень скоро окажется в базах, но повторюсь - Symantec Security Response не ставит своей задачаей охватить все и вся - приоритет на наиболее опасных угрозах и, прежде всего, на своих клиентах. И данный принцип дает свои положительные результаты...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
и, прежде всего, на своих клиентах.
для тех, кто не является пользователем продуктов Symantec и скорость реакции здесь значительно ниже.

а я признаться думал, что скорость реакции должна зависеть не от того клиент не клиент

не ваши пользователи в принципе одолжение вам делают, посылая самплы

ведь им достаточно в своём продукте детект и лечение получить

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
2600

Это же логично - тот, кто платит деньги за продукт - обслуживаются в первую очередь. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Поводом для создания этой темы был результат проверки четырех файлов, которые ни KIS, ни AVZ, не считали сколько-нибудь подозрительными, но продукты Symantec считали вредоносными.

Отправка образцов в январе текущего года на vendors@spywarefix.org привела к в общем-то ожидаемому результату: ЛК не нашла ничего вредоносного (и до сих пор не считает, судя по сканированию со современными базами). Symantec повторно указала на их вредоносность.

Остальные вендоры повторили свои вердикты Вирустотала. Кто-то проигнорировал. Кто-то поблагодарил за сэмплы, не дав их оценки.

К сожалению, самостоятельное дизассемблирование выходит за пределы моей компетенции. Так что как в известном сериале, истина снова осталась "где-то рядом".

Может, кому-то будет интересно "покопаться", чтоб выяснить объективную истину? Как понимаю, здесь выкладывать файлы не правильно. А в закрытый форум нет доступа. Как быть?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rayoflight
Это же логично - тот, кто платит деньги за продукт - обслуживаются в первую очередь

Нет,не логично.

Я был одно время клиентом Symantec (NAV),слал образцы и из самой программы,и с помощью вэб формы.Точно с таким же успехом и результатом,т.е. нулевым.

Та же Trend Micro (тоже не самая маленькая компания) всегда отвечают и вносят весьма оперативно в базы и не спрашивают,чей я клиент.А тут как как головой об стену.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Кирилл Керценбаум

но уже 17 мая рано утром данный образец детектился

А как именно он называется по версии NIS&NAV?

Symantec 10 2008.05.13 W32.IRCBot
W32.Spybot.Worm

Так, как было написано со ссылкой на Symantec на ВирусТотале, или на ВирусЛист, или иначе?

Это же очень интересно узнать ~ насколько они дают достоверную информацию!

dolf_ru_292.gif

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Добавочная инфо для размышления.

Не удержался: http://virusinfo.info/showthread.php?p=228833

Данные по ссылкам на на Virustotal подтверждают, что вердикты остались прежними.

Кто-то называет файлы логично "potentially unwanted program Keygen", а кто-то почему-то трояном.

Знакомый специалист сообщил, что 3 из 4 файлов явно не вредоносны, а 4-й содержит участок кода, который потенциально мог бы внести деструктивные изменения в реестр, но, этот участок по каким-то причинам в ходе работы приложения просто не исполняется.

Так что похоже, что Кирилл прямо как в воду глядел:

1. Эти программы действительно содержат в себе некие скрытые возможности, которых там быть не должно.

2. Эти программы содержат участки кода, которые возможно даже те же авторы используют для создания вредоносного ПО.

Вот только по хорошему вердикт должен быть именно: "potentially unwanted program Keygen"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Lemmit

Вот только по хорошему вердикт должен быть именно: "potentially unwanted program Keygen"

Или же одним словом Riskware?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Groft
Lemmit

Или же одним словом Riskware?

На кейгены еще не скоро будут писать рисквэа :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

А вот почти идеально "чистый" образец кейгена.

Бывают ли чище? Отчёт ниже в теме. Файл удаляю. Если надо верну. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Андрей-001, ваше вложение модераторы удалят за нарушение УК :) Там Symantec детектирует пакер. Кажется, тут все ясно и разумно.

Мое же пожелание к уважаемой компании Symantec, производящей очень неплохой (IMHO) продукт: пусть кейгены и им подобное называют хоть Riskware хоть как еще там, но не троянцами, вирусами, червями и т.п., чтобы не вводить пользователей в заблуждение.

P.s.: Говорят, что BitDefender имеет еще большую склонность называть подобные файлы разного рода вирусами, но это уже уклонение от темы командного форума.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
ваше вложение модераторы удалят за нарушение УК
.

А чьего УК Саймантекского?

Файл предназначался как раз нашему Супермодератору для проверки, представителю Саймантека.

Там Symantec детектирует пакер.

Ха... А что упаковщики уже внезакона?

Так я проверил Антивирусом Касперского и прочими, что есть у меня и на ВирусТотале - ЧИСТОГАН!

Потому и привёл его как почти "чистый" образец. НЕ НРАВИТСЯ - САМ УДАЛЮ!

Мое же пожелание к уважаемой компании Symantec, производящей очень неплохой (IMHO) продукт: пусть кейгены и им подобное называют хоть Riskware хоть как еще там, но не троянцами, вирусами, червями и т.п., чтобы не вводить пользователей в заблуждение.

ПОЛНОСТЬЮ ПРИСОЕДИНЯЮСЬ К ЭТОМУ ПОЖЕЛАНИЮ, А ПРЕДЛОЖЕННЫЕ ОБРАЗЧИКИ ПУСТЬ ЭТОМУ СПОСОБСТВУЮТ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×