Перейти к содержанию
Leopoldus

как убедиться, что Symantec AntiVirus действительно работает

Recommended Posts

Leopoldus

Всем доборого дня.

Читал когда-то в Инете, что вирус или троян могут заблокировать Norton AntiVirus так, чтобы пользователь об этом не догадался, то есть, имитируетеся активность NAV (иконка NAV в system tray показывает, что монитор Files System Auto-Protct включен)? У меня возникло подозрение, что на моем компе после запуска одного подозрительного файла стало как раз происходить нечто подобное. Смотрел статус служб NAV в Services, большинство имеет статус активных (Started), но некоторые другие отключены (нпр. SavRoam, Symantec SPBBCSvc и др.). Впрочем, может, так и должно быть?

Кроме того, происходит задержка с автоматическим обновлением вирусных баз, хотя с ручным обновлением никаких проблем. Например, сегодня 07.07.2008, а база обновлялась в последний раз 04.07.2008, то есть, 3 дня назад, хотя в настройках LiveUpdate задан интервал обновления каждые 720 минут

Если опасность подобной имитации, в принципе, существует, то можно ли как-то проверить, работает ли NAV на самом деле или только делает вид?

Заранее спаисбо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit
Если опасность подобной имитации, в принципе, существует, то можно ли как-то проверить, работает ли NAV на самом деле или только делает вид?

Создать тестовый файл Eicar сохранить, запустить...

Если он обнаружен - защита работает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
Создать тестовый файл Eicar сохранить, запустить...

Если он обнаружен - защита работает.

Спасибо, это работает.

Маленькая поправка к совету: при включенном мониторе File System Auto-Protect запускать тестовый файл не требуется, достаточно просто сохранить текстовый файл на диск, причем с любым именем и расширением, например, test.txt а не только .COM.

Правда, совершенно непонятно, почему при сохранении на диск страницы HTML http://www.viruslist.com/ru/search?VN=EICAR-Test-File, содержащей данный код, этот HTML-файл всё-таки не определяется как вирус :o

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Потому что eicar это

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

и ничего больше. А посмотрите HTML-код сохраненной странички...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
А посмотрите HTML-код сохраненной странички...

Я тоже сначала подумал, что там этот код как-то хитро разбит невидимыми спецсимволами и пр. Но когда проверил HTML-код страницы, то увидел, что ничего подобного: этот самый "вирусный" код там пристутствует в явном виде без всяких искажений. Что и повергло меня в удивление.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Так и должно быть, потому что наличие в html-файле фрагмента тестового файла - не повод для срабатывания антивируса, по крайней мере, потому, что в этом виде он не запустится и не выведет свою зловещую надпись :)

Так же, как слово "virus" в тексте файла тоже не 100% признак его вредоносности.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Так и должно быть, потому что наличие в html-файле фрагмента тестового файла - не повод для срабатывания антивируса, по крайней мере, потому, что в этом виде он не запустится и не выведет свою зловещую надпись

Так же, как слово "virus" в тексте файла тоже не 100% признак его вредоносности

+1

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
Так и должно быть, потому что наличие в html-файле фрагмента тестового файла - не повод для срабатывания антивируса, по крайней мере, потому, что в этом виде он не запустится и не выведет свою зловещую надпись

Так же, как слово "virus" в тексте файла тоже не 100% признак его вредоносности.

При всем уважении к гуру осмелюсь заметить, что данное объяснение кажется противоречащим логике.

Как я уже писал, NAV определяет "вирис" при сохранении кода на диск в файл test.txt и автоматически блокирует этот файл и помещает его в карантин.

В чём же принципиальная разница включением кода в файл с расширением .TXT и файл с расширением .HTM? В обоих случаях файлы не являются исполнимыми (при этом HTM как тип все-таки потенциально более опасен, чем TXT, так как может содержать скрипты и пр.).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
В чём же принципиальная разница включением кода в файл с расширением .TXT и файл с расширением .HTM? В обоих случаях файлы не являются исполнимыми (при этом HTM как тип все-таки потенциально более опасен, чем TXT, так как может содержать скрипты и пр.).

Разница в том, что HTML-файл, в котором код EICAR'а находится в середине файла, не сможет быть запущен на выполнение, даже если его переименовать из .html в .com. А вот если переименовать текстовый файл, содержащий только тело EICAR'a из test.txt в test.com, то он будет вполне исполняем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
А вот если переименовать текстовый файл, содержащий только тело EICAR'a из test.txt в test.com, то он будет вполне исполняем.

Понял, спасибо! Это действительно логично.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw
Создать тестовый файл Eicar сохранить, запустить...

Если он обнаружен - защита работает.

На современной ОС (x64) не получится запустить этот файл, к сожалению :(

____

Почти "Итальянская забастовка". Я добрый, отзывчивый, культурный, все строго по правилам. Прошу обращаться на ВЫ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Но детект все равно есть (Win 7 x64).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
hardfate

Скажите есть ли разница между купленным и скаченным Symantec AntiVirus ?? Не могу определится Мне сказали, что я могу его купить на http://www.softmagazin.ru/soft/antivirusy_i_bezopasnost/symantec но там и цена я смотрю не малая, просто чтобы не прогадать, что бы не получилось, что я выкинул деньги, а потом сидел локти кусал. Подскажите плз !!!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      cinquefoil2014 На anti-malware.ru нет раздела по лечению. Обратиться за помощью можно на любой из этих форумов: https://virusinfo.info/forumdisplay.php?f=46 https://forum.kasperskyclub.ru/index.php?showforum=26 http://www.cyberforum.ru/viruses/ https://safezone.cc/forums/viruses/
    • cinquefoil2014
      Подскажите а в каком разделе можно задать вопрос по поводу лечения вируса на сайте?
    • PR55.RP55
      1) По поводу команды: Сбросить атрибуты для все файлов/каталогов в... Это не работает, если не заданы: Группы или пользователи. т.е. нужно проверить не пуст ли список... Если пуст:  прописать пользователя. И только после этого можно сбросить атрибуты... 2) При проверке ЭЦП по F6 ... Если неполадки с сетевым оборудованием, или службами отвечающими за доступ к сети... uvS видит: Сеть есть... и начинает проверять файлы. А по сути сети нет. т.е. здесь нужен таймер.: Если в течении определённого времени нет результата - то проверять ЭЦП локально ( с соответствующей записью в Лог )   Не ждать, как сейчас 100 500 часов. 3)  Проверка занимает излишне много времени в ситуации: Ошибка  [Не удается построить цепочку сертификатов для доверенного корневого центра. ]
      Ошибка  [Цепочка сертификатов обработана, но обработка прервана на корневом сертификате, у которого отсутствует отношение доверия с поставщиком доверия. ] uVS натыкается на такой файл и думает... думает...
    • PR55.RP55
      1) Если оператор применил фильтр  [V]  Известные. То при применении команды: F6   проверять только оставшиеся в списке файлы. Это на порядок ускорит проверку.  Нужно проверить всё ? Сними чек-бокс.  
    • PR55.RP55
      В Инфо. указывать не только время создания\изменения файла но и время создания... Пример:  Система Установлена 2018  > Каталог создан в 2020, а файл в каталоге  2021  
×