как убедиться, что Symantec AntiVirus действительно работает - Symantec - комплексная информационная безопасность - Форумы Anti-Malware.ru Перейти к содержанию
Leopoldus

как убедиться, что Symantec AntiVirus действительно работает

Recommended Posts

Leopoldus

Всем доборого дня.

Читал когда-то в Инете, что вирус или троян могут заблокировать Norton AntiVirus так, чтобы пользователь об этом не догадался, то есть, имитируетеся активность NAV (иконка NAV в system tray показывает, что монитор Files System Auto-Protct включен)? У меня возникло подозрение, что на моем компе после запуска одного подозрительного файла стало как раз происходить нечто подобное. Смотрел статус служб NAV в Services, большинство имеет статус активных (Started), но некоторые другие отключены (нпр. SavRoam, Symantec SPBBCSvc и др.). Впрочем, может, так и должно быть?

Кроме того, происходит задержка с автоматическим обновлением вирусных баз, хотя с ручным обновлением никаких проблем. Например, сегодня 07.07.2008, а база обновлялась в последний раз 04.07.2008, то есть, 3 дня назад, хотя в настройках LiveUpdate задан интервал обновления каждые 720 минут

Если опасность подобной имитации, в принципе, существует, то можно ли как-то проверить, работает ли NAV на самом деле или только делает вид?

Заранее спаисбо!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit
Если опасность подобной имитации, в принципе, существует, то можно ли как-то проверить, работает ли NAV на самом деле или только делает вид?

Создать тестовый файл Eicar сохранить, запустить...

Если он обнаружен - защита работает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
Создать тестовый файл Eicar сохранить, запустить...

Если он обнаружен - защита работает.

Спасибо, это работает.

Маленькая поправка к совету: при включенном мониторе File System Auto-Protect запускать тестовый файл не требуется, достаточно просто сохранить текстовый файл на диск, причем с любым именем и расширением, например, test.txt а не только .COM.

Правда, совершенно непонятно, почему при сохранении на диск страницы HTML http://www.viruslist.com/ru/search?VN=EICAR-Test-File, содержащей данный код, этот HTML-файл всё-таки не определяется как вирус :o

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Потому что eicar это

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

и ничего больше. А посмотрите HTML-код сохраненной странички...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
А посмотрите HTML-код сохраненной странички...

Я тоже сначала подумал, что там этот код как-то хитро разбит невидимыми спецсимволами и пр. Но когда проверил HTML-код страницы, то увидел, что ничего подобного: этот самый "вирусный" код там пристутствует в явном виде без всяких искажений. Что и повергло меня в удивление.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lemmit

Так и должно быть, потому что наличие в html-файле фрагмента тестового файла - не повод для срабатывания антивируса, по крайней мере, потому, что в этом виде он не запустится и не выведет свою зловещую надпись :)

Так же, как слово "virus" в тексте файла тоже не 100% признак его вредоносности.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Так и должно быть, потому что наличие в html-файле фрагмента тестового файла - не повод для срабатывания антивируса, по крайней мере, потому, что в этом виде он не запустится и не выведет свою зловещую надпись

Так же, как слово "virus" в тексте файла тоже не 100% признак его вредоносности

+1

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
Так и должно быть, потому что наличие в html-файле фрагмента тестового файла - не повод для срабатывания антивируса, по крайней мере, потому, что в этом виде он не запустится и не выведет свою зловещую надпись

Так же, как слово "virus" в тексте файла тоже не 100% признак его вредоносности.

При всем уважении к гуру осмелюсь заметить, что данное объяснение кажется противоречащим логике.

Как я уже писал, NAV определяет "вирис" при сохранении кода на диск в файл test.txt и автоматически блокирует этот файл и помещает его в карантин.

В чём же принципиальная разница включением кода в файл с расширением .TXT и файл с расширением .HTM? В обоих случаях файлы не являются исполнимыми (при этом HTM как тип все-таки потенциально более опасен, чем TXT, так как может содержать скрипты и пр.).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
В чём же принципиальная разница включением кода в файл с расширением .TXT и файл с расширением .HTM? В обоих случаях файлы не являются исполнимыми (при этом HTM как тип все-таки потенциально более опасен, чем TXT, так как может содержать скрипты и пр.).

Разница в том, что HTML-файл, в котором код EICAR'а находится в середине файла, не сможет быть запущен на выполнение, даже если его переименовать из .html в .com. А вот если переименовать текстовый файл, содержащий только тело EICAR'a из test.txt в test.com, то он будет вполне исполняем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leopoldus
А вот если переименовать текстовый файл, содержащий только тело EICAR'a из test.txt в test.com, то он будет вполне исполняем.

Понял, спасибо! Это действительно логично.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw
Создать тестовый файл Eicar сохранить, запустить...

Если он обнаружен - защита работает.

На современной ОС (x64) не получится запустить этот файл, к сожалению :(

____

Почти "Итальянская забастовка". Я добрый, отзывчивый, культурный, все строго по правилам. Прошу обращаться на ВЫ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виктор Коляденко

Но детект все равно есть (Win 7 x64).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
hardfate

Скажите есть ли разница между купленным и скаченным Symantec AntiVirus ?? Не могу определится Мне сказали, что я могу его купить на http://www.softmagazin.ru/soft/antivirusy_i_bezopasnost/symantec но там и цена я смотрю не малая, просто чтобы не прогадать, что бы не получилось, что я выкинул деньги, а потом сидел локти кусал. Подскажите плз !!!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      С большой вероятностью эта версия и станет v5.0
      Все что было запланировано реализовано. ---------------------------------------------------------
       5.0.RC1
      ---------------------------------------------------------
       o В окно запуска добавлен пункт меню "Перезагрузить в интерфейс встроенного ПО [UEFI]"
         Доступно начиная с Win10.

       o В окно запуска добавлен выбор основного шрифта.

       o Пополнено окно дополнительных настроек.

       o В функцию удаления временных файлов добавлено 4 каталога с временным файлами Windows.
         o \Windows\Downloaded Program Files
         o \ProgramData\Microsoft\Windows\WER\ReportArchive   
         o \ProgramData\Microsoft\Windows\WER\ReportQueue
         o \ProgramData\Microsoft\Windows\WER\Temp
         Функция больше не выводит в лог пути до отсутствующих каталогов.

       o Исправлена критическая ошибка инициализации режима DDA,
         она могла проявляться на чипсетах AMD при подключении
         физического монитора к компьютеру, который был отключен или физически
         не подключен на этапе загрузки системы, при этом меняются логические
         номера дисплеев и 1-го дисплея обычно не существует, поэтому
         если вы подключились и 1-й дисплей показывает черный квадрат то
         стоит попробовать переключиться на 2-й и т.п.
         (!) В этом случае не работает программный способ вывода дисплея из сна,
         (!) поэтому в текущей версии движения мыши в любом случае передаются на
         (!) удаленный компьютер, что гарантировано пробуждает спящий дисплей
         (!) при переключении на него.

       o Исправлена ошибка создания загрузочного диска под Windows 11 24H2,
         по неизвестной причине в этой редакции Windows dism из пакета ADK
         не способен без ошибок сформировать загрузочный образ диска,
         поэтому все операции с образом диска теперь выполняет штатный dism из системного каталога.

       o Исправлена ошибка для определения пути до драйвера CDD.DLL при анализе
         ключей безопасного режима.

       
    • PR55.RP55
      Критическая уязвимость в ASUS DriverHub https://www.comss.ru/page.php?id=16443
    • PR55.RP55
      Изменения для драйверов Windows 11: новые сертификаты и отказ от метаданных https://www.comss.ru/page.php?id=16408
    • demkd
      Если нет пользовательского реестра для пользователя то будет сообщение в логе, остальное не надо видеть и тем более удалять - это дело пользователя.
    • PR55.RP55
      Увидит ли такое uVS И должно быть удаление ? O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\TEMP
      O27 - Account: (Bad profile) Folder is not referenced by any of user SIDs: C:\Users\Михаил Акаминов
      O27 - Account: (Hidden) User 'John' is invisible on logon screen
      O27 - Account: (Missing) HKLM\..\ProfileList\S-1-5-21-1832937462-987109255-1306349959-1002.bak [ProfileImagePath] = C:\Users\Михаил (folder missing)
×