Странные фолсы Авиры - Страница 4 - Выбор домашних средств защиты - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Zilla

Да, действительно не оригинал.. Версии файлов одинаковые, а вес разный..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skeptic

Да сборка небось левая, вот и все объяснение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Андрей, можно и не в безопасном. Пробовал, и не раз.

Я имел ввиду, что вредонос может быть тогда отцепился бы от него, потому как предполагал, что

Версии файлов одинаковые, а вес разный..

Да, что там regedit.exe, на одном из тех семи компов, что у меня сейчас стоят, при вставке флешки на неё залетает, не какой-нибудь банальный троян, червь или даже кидо, а самый настоящий (внешне) rundll32.exe с отображаемой подписью Microsoft + ещё один файл от MS + самый обычный файл-помощник autorun.inf (без него никак).

Добавлено 14. 09.09

Был похожий случай. Описание и семпл в закрытом разделе.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dr_dizel
при вставке флешки на неё залетает, не какой-нибудь банальный троян, червь или даже кидо, а самый настоящий (внешне) rundll32.exe с отображаемой подписью Microsoft + ещё один файл от MS + самый обычный файл-помощник autorun.inf (без него никак).

Я валяюсь, дорогая редакция. Отформатируйте флэху и суньте в заражённый комп. После заражения снимите образ с компрессией и в закрытый раздел форума положите.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Nexus

Насчет regedit.exe, тоже была такая проблема, что авира ругалась на него, даже где то писал об этом в теме. Причина была в графическом патчере, который изменяет интерфейс регедита.

Отредактировал Nexus

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Как донести до Авиры ссылки?

19.07.2009,22:14:33 [iNFO] WebGuard was enabled

19.07.2009,22:16:36 [DETERMINE] [63] The URL (http://s1.mail.ru/sense.html) has been blocked.

19.07.2009,22:37:18 [DETERMINE] [775] The URL (http://100.topnews.ru/count.php?id=18) has been blocked.

19.07.2009,22:50:27 [DETERMINE] [870] The URL (http://100.topnews.ru/count.php?id=18) has been blocked.

19.07.2009,22:57:55 [DETERMINE] [1081] The URL (http://100.topnews.ru/count.php?id=18) has been blocked.

19.07.2009,23:09:23 [DETERMINE] [1254] The URL (http://100.topnews.ru/count.php?id=18) has been blocked.

19.07.2009,23:14:29 [DETERMINE] [1565] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=10) has been blocked.

19.07.2009,23:14:29 [DETERMINE] [1566] The URL (http://s.fraza.ua/) has been blocked.

19.07.2009,23:14:29 [DETERMINE] [1572] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=12) has been blocked.

19.07.2009,23:14:32 [DETERMINE] [1562] The URL (http://news.gnezdo.ru/show/85/block.html) has been blocked.

19.07.2009,23:14:35 [DETERMINE] [1604] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=11) has been blocked.

19.07.2009,23:14:38 [DETERMINE] [1605] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=14) has been blocked.

19.07.2009,23:14:51 [DETERMINE] [1669] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=15) has been blocked.

19.07.2009,23:14:51 [DETERMINE] [1670] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=16) has been blocked.

19.07.2009,23:14:52 [DETERMINE] [1671] The URL (http://adv.fraza.ua/www/delivery/afr.php?zoneid=13) has been blocked.

19.07.2009,23:15:04 [iNFO] WebGuard was disabled

19.07.2009,23:15:34 [iNFO] WebGuard was enabled

19.07.2009,23:21:35 [DETERMINE] [1782] The URL (http://100.topnews.ru/count.php?id=18) has been blocked.

19.07.2009,23:23:44 [DETERMINE] [1840] The URL (http://100.topnews.ru/count.php?id=18) has been blocked.

20.07.2009,0:09:05 [DETERMINE] [2936] The URL (http://cnt.sup.com/adv?i2=0018000000...80&r=377360780) has been blocked.

Так как пришел вот такой ответ:

(Call #30475) False positive

Dear Sir or Madam,

Thank you for your recent inquiry.

We could not check what you have written in your mail because you haven't

sent us the suspicious file or the link of this website.

Please send this file as a zip-file with password back to this call. If you

have to send the file as original, please use the following email account:

virus_malware@avira.com

We will test it in our virus lab to give you a quick reply.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skeptic

Я делал так: заносил адреса в текстовый файл и посылал через веб-форму.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u
Как донести до Авиры ссылки?

Возможно вы ссылки отправили в активном и/или в открытом виде? Они жалуется о том, что их не получили.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

При загрузки с Гугла Picasa 3, Авира выдала это:

Blocked by WebGuard

Ну ваще уже офигела. Ссылка:

http://dl.google.com/picasa/picasa3-setup.exe

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
imagine
При загрузки с Гугла Picasa 3, Авира выдала это:

Ну ваще уже офигела. Ссылка:

http://dl.google.com/picasa/picasa3-setup.exe

фришка норм грузит. вирусов не видит. настройки максимальные.

3322f6e5f526.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Ну так в ней нет веб монитора. Он тоже вируса не видит, но просто блокирует сайт, без алертов

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
imagine
Ну так в ней нет веб монитора. Он тоже вируса не видит, но просто блокирует сайт, без алертов

Я понимаю. Тогда что мешает временно отключить вебгуард? Скачаете-включите.

Браузер какой?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Мазила. Сейчас так и сделаю. Так запарился сегодня, что даже не додумался до этого :wacko:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
imagine
Мазила.

noscript, по идее, отрубил бы скрипты, на которые авира фолс выдает.

Так запарился сегодня, что даже не додумался до этого :wacko:

:lol: и такое бывает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Я думаю, у Авиры большой глюк с базами. Она часто блокирует нормальные ссылки. Что эту, на программу, что счетчики посещаемости.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
imagine
Я думаю, у Авиры большой глюк с базами. Она часто блокирует нормальные ссылки. Что эту, на программу, что счетчики посещаемости.

Именно после блокировки браузеров и ссылок пришлось окончательно отказаться от премиум-версии авиры. Утомляет :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion
фолс или не фолс? http://disk.tom.ru/x6gy2s7

просто тузла для умертвления поцессов, как я понял.

написано же в сигнатуре APPL :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Даниэль

Это утилита Марка Руссиновича. Но впредь не выкладывайте в паблик то, в чем подозреваете вредонос, иначе получите от меня RO и премодерацию. Изучите правила http://www.anti-malware.ru/forum/index.php?act=boardrules

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Скачай файл и Нортон вот что выдал:

f461d0d8c403t.jpg

Авира как всегда, за свое...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skorpion
Скачай файл и Нортон вот что выдал:

f461d0d8c403t.jpg

Авира как всегда, за свое...

Десятки тысяч - в это слабо верится))

А Авира и не считает этот файл вирусом. Всего лишь хактулзом:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ak_

Цитата из справки к Авире:

Приложение (APPL)

Под APPL обозначены приложения, запуск которых может быть связан с определенным риском, или источник их происхождения не внушает доверия.

Avira AntiVir Premium распознает "Приложение (APPL)". Если в настройках в пункте Дополнительные категории угроз включена опция Приложение (APPL) , Вы получаете соответствующее предупреждение, если Avira AntiVir Premium замечает подобное поведение.

Опция обнаружения APPL в настройках по умолчанию отключена.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Даниэль
Даниэль

Это утилита Марка Руссиновича. Но впредь не выкладывайте в паблик то, в чем подозреваете вредонос, иначе получите от меня RO и премодерацию. Изучите правила http://www.anti-malware.ru/forum/index.php?act=boardrules

Дико извиняюсь.

Где можно подробно почитать про эту утилиту?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Даниэль

http://technet.microsoft.com/ru-ru/sysinte...s/bb896683.aspx по-моему это она. Перекачивать и проверять, она или нет неохота. Прочитать всегда можно на http://technet.microsoft.com/ru-ru/sysinternals/default.aspx

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Да есть такой баг, выбор целого диска не предусмотрел.
    • PR55.RP55
      Сейчас попробовал добавить файлы и... E:\ [Error: 0x3 - The system cannot find the path specified. ] т.е. Файл > Добавить в список >  Все исполняемые файлы каталога. или пишет вышеуказанную ошибку или вешается. Это и на Win 7 и на Win 10 и с HDD дисками и с USB Диски нормально открываются т.е. доступны.
    • demkd
      А ничего с этим не сделать старые версии windows проблемные там система сама балуется внедрением потоков при очень низком уровне защиты системных процессов, а эцп вообще ничего не гарантирует когда речь заходит о внедренных потоках, зловред вполне может внедрить поток в системный процесс как с помощью подкинутой в правильное место "легитимной" dll, так и просто создав его, а тот уже в свою очередь внедрить в следующий системный и ищи концы среди вот этого вот всего.
      Все это усугубляется тем что тот же SVCHOST.EXE который был когда запущен может оказаться совсем не системным, хотя путь у него будет правильным как и файл будет иметь валидную эцп и запущен он будет якобы services.exe, в 10ке такое провернуть уже сложнее, а вот 7ке легко, потому урезать лог по принципу "оба файла имеют эцп" никак нельзя.
    • PR55.RP55
      uVS v5.0.6v x64 [http://dsrt.dyndns.org:8888]: Windows 7 Home Basic x64 (NT v6.1 SP1) build 7601 Service Pack 1 [C:\WINDOWS] (!) ПРЕДУПРЕЖДЕНИЕ: Ф зафиксировал внедрение потока C:\WINDOWS\SYSTEM32\SERVICES.EXE [428] внедрил поток [380] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [876]   C:\WINDOWS\SYSTEM32\SVCHOST.EXE [1060] внедрил поток [1276] в процесс: C:\WINDOWS\SYSTEM32\SVCHOST.EXE [336] и т.д.  А есть ли смысл выводить в лог десяток - другой аналогичных записей, если все эти файлы  в базе проверенных и у них легальная цифровая?  
    • demkd
      ---------------------------------------------------------
       5.0.6
      ---------------------------------------------------------
       o Добавлено 4 новых ключа автозапуска в список для проверки.

       o Добавлен новый статус "UWP".
         Его получают пакеты приложений универсальной платформы Windows (Universal Windows Platform Apps).

       o Добавлен новый твик #46: Отключить Windows Terminal и очистить реестр.
         Если Windows Terminal активен, в лог выдается предупреждение.
         При обнаружении подозрительных настроек Windows Terminal в конфигурационных файлах, реестре или в каталогах с фрагментами в лог выводится предупреждение.
         Если подозрительная строка найдена в JSON-файле настроек, то в список автозапуска добавляется этот файл с содержимым со статусом "подозрительный".
         В любом случае рекомендуется отключить Windows Terminal, а еще лучше немедленно удалить это из системы.
         Windows Terminal — крайне уязвимый и неоптимизированный кусок кода.

       o Улучшена функция масштабирования удаленного рабочего стола, повышено качество аппаратного апскейла, добавлен параметр "Резкость".
         (Требуется D2D и DX11 на клиентском компьютере)

       o Исправлена старая ошибка в функции отправки ответов серверной части uVS.
         Из-за ошибки в редких случаях могло происходить подвисание серверной и клиентской частей uVS при работе с удаленной системой.

       o Исправлена ошибка в функции завершения серверной части при выходе из удаленной системы.

       o Оптимизирована функция подключения к удаленной системе.

       o Оптимизирована функция сжатия фреймов для DDAL/DDAw режимов: шрифты теперь не теряют яркость, а картинка DDAL практически неотличима от DDA1/DDA2 на глаз, 
         при этом размер сжатого фрейма вырос лишь незначительно.

       o Добавлена x64 версия report_crash.

       o Обновалена функция сбора дампа при падении uVS, функция перенесена в утилиту report_crash, что позволит
         получить максимально точную информацию о произошедшей ошибке.

       o Временно добавлена аппаратная функция обнаружения разрушения списка автозапуска в памяти uVS, что позволит отлавливать сложные в обнаружении ошибки.
         Есть 5 дампов, по которым не удалось выяснить точное место ошибки и эта функция должна помочь найти проблемное место.
         Функция снижает скорость формирования списка на ~5% на современных процессорах.

       o Исправлена ошибка в функции подсчета удаленных ключей реестра.

       o Исправлена ошибка в функции записи параметров при выходе из uVS.

       o Исправлена ошибка разбора JSON-файлов.

       o Исправлена ошибка проверки переменных окружения загруженного пользователя.

       o Из списка доступных для подключения IP-адресов удалены адреса активных VPN.

       
×