Антивирус Касперского версии 6.0 и выше..

Почему антивирус Касперского, начиная с версии 6.0 или даже 5.5, при детектировании зловреда меняет дату его создания на дату детектирования. Ведь это не правильно, часто бывает, что по дате попадания зловреда на системный блок можно найти ещё пару тройку его "братьев". Да и вообще время и дата о многом может сказать. Задал этот вопрос в техподдержку получил вот такой ответ:

[QUOTE]2007.11.13, 16:29 - Олеся Голубкова:
Здравствуйте.
По первому вопросу, согласно ответу разработчиков и 5 версии, и 6 версии, и 7 версии наш продукт действительно меняет дату и время создания файла на дату и время детектирования. Данная особенность не будет меняться в нашем продукте.[/QUOTE]
В версии 5.0 дата не меняется, на работе использую, но лицензия уже закончилась.

Извиняюсь за назойливость, но неужели все считают, что это правильно - изменение времени создания файла?

[QUOTE=Ромео;167697]Извиняюсь за назойливость, но неужели все считают, что это правильно - изменение времени создания файла?[/QUOTE]
И что, дата/время меняются именно при детекте? То есть у только что найденного вируса текущие дата/время?

[QUOTE=borka;167703]И что, дата/время меняются именно при детекте? То есть у только что найденного вируса текущие дата/время?[/QUOTE]
Да именно так. Раздаётся поросячий визг, и о чудо, дата и время детектируемого файла изменились на текущие.

[QUOTE=Ромео;167706]Да именно так. Раздаётся поросячий визг, и о чудо, дата и время детектируемого файла изменились на текущие.[/QUOTE]
Хм... Интересная фишка. Может, DVi объяснит, почему такой алгоритм применен? :unsure: Что сразу приходит в голову - это выделение продетектированного файла сегодняшними датой/временем на случай отказа от лечения...

А дата-время чего меняется? Последнего изменения?

[QUOTE=pig;167713]А дата-время чего меняется? Последнего изменения?[/QUOTE]
Судя по ответу ЛК, это именно дата/время создания.

Бредятина какая-то..

Да, меняет дату последнего изменения, я взял образец с датой изменения17.08.2004, включил KIS и тут же вылезло предупреждение о заразе, я нажал пропустить и дата изменения стала сегодняшней. Дата создания не меняется

A в чeм, coбcтвeннo, пpoблeмa? нa чтo в вaшeй жизни влияeт дaтa измeнeния фaйлa? мнe кaжeтcя, чтo дaтa coздaния нeceт бoльшe инфopмaции. xoтя иcпoльзoвaть дaтy для лoвли виpycoв нeлeпo.

В чем глубокий смысл данного действия?

[QUOTE=DVi;167810]A в чeм, coбcтвeннo, пpoблeмa? нa чтo в вaшeй жизни влияeт дaтa измeнeния фaйлa? мнe кaжeтcя, чтo дaтa coздaния нeceт бoльшe инфopмaции. xoтя иcпoльзoвaть дaтy для лoвли виpycoв нeлeпo.[/QUOTE]
Интересна и важна порой бывает дата когда на исследуемый системный НЖМД попал этот зловред, когда он был установлен в этой операционной системе. Это бывает важно для определения даты заражения исследуемого НЖМД, а так как руками порой выявить всех зловредов не представляется возможным, приходится атоматизировать процесс с использованием Вашего антивируса, делаю сразу поправку, что это тоже не даст 100% результат, но всё же приходится использовать антивирус для выявления зловредов на исследуемых НЖМД. Сами понимаете, что если дата будет изменена на текущую, то потеряется криминалистически важная информация.

В самом деле зачем реализована эта функция изменения даты и времени?
Согласитесь, что этого не нужно делать.

пoдoзpeвaю, чтo фaйл пpocтo oткpывaeтcя нa зaпиcь. ecли cмoгy yзнaть тoчнee - нaпишy.

Спасибо. Интересно, как обстоят как дела у других антивирусов..

[quote=DVi;168133]пoдoзpeвaю, чтo фaйл пpocтo oткpывaeтcя нa зaпиcь. ecли cмoгy yзнaть тoчнee - нaпишy.[/quote]
Угу, похоже это так, потому что дата открытия файла тоже меняется на текущую

Выяснил: файл принудительно открывается на запись, чтобы узнать, возможно ли его вылечить. Попрошу тестеров записать багу. Если будет возможность, выставим дату модификации в исходное значение.

[QUOTE=ALEX(XX);168257]дата открытия файла тоже меняется на текущую[/QUOTE]
Ну, это при любом открытии. У Dr.Web даже опция есть - восстанавливать дату открытия на предыдущее состояние.

[QUOTE=pig;168541]Ну, это при любом открытии. У Dr.Web даже опция есть - восстанавливать дату открытия на предыдущее состояние.[/QUOTE]
Вообще говоря, ключ называется [b]RestoreAccessDate[/b]...

В данной теме несущественно даже то, что он вообще есть :)

[QUOTE=DVi;168368]Выяснил: файл принудительно открывается на запись, чтобы узнать, возможно ли его вылечить. [/QUOTE]
А разве простое открытие файла на запись без его именения меняет атрибуты? :unsure:

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=pig;168668]В данной теме несущественно даже то, что он вообще есть :)[/QUOTE]
[url]http://virusinfo.info/showpost.php?p=168217&postcount=14[/url] :smile: