Недохождение писем на newvirus_z...

Здравствуйте.

Поскольку при лечении компов я пользуюсь AVZ вкупе с другими антивирусами, то достаточно часто получаются ситуации, в которых AVZ не определяет вирус по своим базам - это абсолютно понятно. Вирус изымается с компа, проверяется на вирустотале и сохраняется отдельно для отправки.

Я думаю многие знают ящик, на который можно отправлять вирусы - newvirus:at:z-... (я думаю дальше продолжать не надо? :) ). Но проблема в том, что ооочень часто мои письма режутся антиспамом (это из ответа Олега).

Встаёт вопрос - как оптравить файл, чтобы он дошёл? С момента моей последней отправки сборки вирусов прошло уже около 3-4 дней, детектирование так и не появилось.

ps: может ввести какую-то ключевую строку, чтобы спам-фильтр пропускал письмо?

Отправляй файлы через сайт [url]http://z-oleg.com/secur/avz/uploadvir.php[/url]

Вариант.. но с почтой поудобнее как-то. Особенно, когда отправляю сразу во многие лаборатории.

ps: я думаю не только мои письма не доходят..

После того как файл проверяется на ВТ,он автоматически рассылается всем лабам:)

Гриша, честно говорю - ради интереса слежу за некоторыми вирусами. После проверки на ВТ они появляются не у всех. ООооооочень не у всех!!! (прошло около 3х недель) Может из-за большого потока файлов с ВТ. может из-за чего-то ещё... факт остаётся фактом. Из личного опыта - на письма видимо больше обращается внимание.

ps: может AVZ тоже подключиться к ВТ? :-)
pps: отправил ещё сборку вирусов на сайт - посмотрим, когда будет обновление по ним..

AVZ подключена по этой ссылке [url]http://z-oleg.com/secur/avz/uploadvir.php[/url]

Архивируйте в rar-формат c паролем и шифрованием имен файлов.

-возможно причина в том, что письмо спам-типичного содержания, да к тому же ещё и адресовано сразу многим получателям... попробуйте что-то изменить

Причин подавления почты можно быть очень много:
1. Антивирус или блокиратор запароленной почты на сервере отправителя
2. Антивирус или блокиратор запароленной почты в цепечке между отправителем и получателем (очень типично дл якорпторативных систем - зачатую пока письмо дойдет до получателя, оно пройдет 2-3 промежуточных почтаря)
3. Антивирус и блокираторы с моей стороны (на Агаве последнее время параноидальные антивирус и антиспам)
4. Всевозможные фильтры на почтарях (аналог 1-3), например по числу получателей письма, отправителю, контексту и т.п.

2Alex Plutoff: возможно.. иногда письмо уходит по 10 лабораториям одновременно, но и с отправкой только на один адрес :at:z-.. проблема сохранялась. Т.е. отправлял 2 письма слегка разного содержания (2 части пака вирусов) - одно дошло, детектирование появилось. Другая часть - не дошла, детектирование не появилось.

Насколько соответствует "спам-типичного содержания" письмо
[code]Sample submitted for analysis

Pas_sword: infected[/code]

Либо на русском с пояснениями :-)

Попробую ответить по причинам:
1) отправляется с яндекса, если срабатывает их анализатор - то сразу выводится предупреждение. Причём анализатор ищет слово password, берёт значение пароля и передаёт его в антивирус :-)), после чего письмо может пометиться как содержащие вирус. Приходится вставлять _
2) скорее всего нет, т.к. иначе бы возвращался статус недохождения письма. Да и к другим лабораториям оно доходит.
Остаётся 3 и 4

3 и 4 - вопрос о возможности настройки антиспама. Самый просто выход - введение сигнальных строк для маркировки письма: infected\virus\sample\submit и т.д. как на п. 3, так и п.4

[quote=Shtorm_S2d;238400]2Alex Plutoff: возможно...

Насколько соответствует "спам-типичного содержания" письмо
[code]Sample submitted for analysis

Pas_sword: infected[/code]Либо на русском с пояснениями :-) ...[/quote]-для некоторых параноидально настроеных спам-фильтров этого более чем достаточно, т.е. сообщение содержащее очень короткий текстовый фрагмент(либо полное его отсутствие), плюс, аттач(вложение), плюс, множество адресатов(ещё хуже, копий, скрытых копий ) = [SPAM] ... 8)

Возможно :-) Но не писать же изложение на тему "как я его поймал"? :-)) Остаётся дел о за настройкой..

-или, как вариант, все же пользовать web-форму :)

Если не секрет - ориентировочно, сколько времени проходит с момента отправки файлов по почте\сайту до момента занесения в сигнатуры?

Из пака не детектируется всё, включая amvo0.dll :-)))

[quote=Shtorm_S2d;239281]Если не секрет - ориентировочно, сколько времени проходит с момента отправки файлов по почте\сайту до момента занесения в сигнатуры?

Из пака не детектируется всё, включая amvo0.dll :-)))[/quote]
Все зависит от стечения множества факторов ... Главный - дошел ли архив, стандартный ли на нем пароль и т.п. Сам анализ и добавление занимает секунды (в худшем случае минуты), а вот в очереди он может болтаться очень долго. Дело в том, что мои анализаторы сейчас ловят зверей намного больше, чем нужно - поэтому приоритет отдается согласно распространенности зверей и статистике.

Мое скромное мнение такое - сигнатуры AVZ вряд ли нужны, т.к. на мой взгляд это ручной инструмент, а не сигнатурная утилита. Есть потребность в сигнатурной утилите - пожалуйста: CureIt! и AVPTool. Если они не знают зловреда, то его можно отослать в ДрВеб и Лабораторию Касперского соответственно, тогда детект появится.

Лучше всего не заменять одно другим, а комбинировать. Уже бывали случаи, когда AVZ находил то, что не детектировалось др.вебом и касперским. Точно так же, как и пополнение базы чистых файлов. Инструмент ручной, но наличие сигнатур очень сильно облегчает жизнь.

Да и ситуации бывают совершенно разные. Особенно когда система грузится с live cd, интернета нет... разве мало таких ситуаций? :-)

[quote=kps;239295]Мое скромное мнение такое - сигнатуры AVZ вряд ли нужны, т.к. на мой взгляд это ручной инструмент, а не сигнатурная утилита. Есть потребность в сигнатурной утилите - пожалуйста: CureIt! и AVPTool. Если они не знают зловреда, то его можно отослать в ДрВеб и Лабораторию Касперского соответственно, тогда детект появится.[/quote]
Сигнатуры нужны как воздух. Любой, даже простейший поиск по здорой базе - это же автоматизация работы... - и эта автоматизация избавляет от дурной работы принимать решение вручную. В AVZ работают две базы - база чистых (снижает объем того, что попадает в лог) + база зверей (автоудаление того, что хорошо известно).

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=Shtorm_S2d;239505]Лучше всего не заменять одно другим, а комбинировать. Уже бывали случаи, когда AVZ находил то, что не детектировалось др.вебом и касперским. Точно так же, как и пополнение базы чистых файлов. Инструмент ручной, но наличие сигнатур очень сильно облегчает жизнь.

Да и ситуации бывают совершенно разные. Особенно когда система грузится с live cd, интернета нет... разве мало таких ситуаций? :-)[/quote]
Вот я и комбинирую, поддерживая разумный оптимум. Прямо сейчас я мог бы расширить базы до 200-250 тыс записей, зверей для этого куча, штабелями лежат :) Но это не изменит картину радикальным образом, а вот объем баз - изменит однозначно

Тогда может стоит "зверей", не попадающих в основные базы программы собрать в дополнительные?
Которые не будут участвовать в автоапдейте и будут доступны для отдельного скачивания.
Как я помню - базы "поднимаются" утилитой по их присутствию в папке base программы.
А пересобирать их можно вместе с выходом новой версии AVZ.

[quote=Kuzz;239535]Тогда может стоит "зверей", не попадающих в основные базы программы собрать в дополнительные?
Которые не будут участвовать в автоапдейте и будут доступны для отдельного скачивания.
Как я помню - базы "поднимаются" утилитой по их присутствию в папке base программы.
А пересобирать их можно вместе с выходом новой версии AVZ.[/quote]
В принципе такое возможно. Но базы собираются автоматически - т.е. процедура отлова ложняков, сборки базы и т.п. глобальна и не совсем понятно, как делить зверей на основную и неосновную базу ... (сегодня он попадет в дополнительную, завтра начнет часто встречаться и потребуется его в основную переносить и так по кругу)

[QUOTE=Зайцев Олег;239526]Сигнатуры нужны как воздух. Любой, даже простейший поиск по здорой базе - это же автоматизация работы... - и эта автоматизация избавляет от дурной работы принимать решение вручную.[/QUOTE]
А на мой взгляд - принимать решение вручную оптимальный вариант и это не так уж сложно, если есть знания, а зловредов может быть миллион, всех в базу не занесешь. Кроме того, база утяжеляет дистрибутив с программой. И еще, сигнатурный детект одного зловреда - далеко не гарантия, что в системе нет другого зловреда, которого нет в базе. Только зря может обнадежить :) Ручной поиск здесь гораздо эффективней.

[QUOTE=Зайцев Олег;239526]В AVZ работают две базы - база чистых (снижает объем того, что попадает в лог) + база зверей (автоудаление того, что хорошо известно).[/QUOTE]
Вот базу чистых я считаю очень нужной.

Имхо оочень хорошо это сделать [B]дополнительной опцией[/B], доступной при обновлении и выключенной по-умолчанию (чтобы не создавать лишний трафик). Как сейчас обновляется последняя база - так обновлялись бы и второстепенные (поскольку разбиение автоматизировано). Т.е. было бы [B]"объём стандартного обновления" + всё-всё, что не вошло в него[/B].

Я не могу говорить о ситуации в общем (боюсь соврать) - но общая тенденция идёт к тому, что всё больше и больше людей переходят на [B]широкополосный доступ[/B]. И скачать 5мб, 10мб, да хоть 20 - [U][I]это уже не проблема[/I][/U] :-) Если это сделать [U][I]опционально [/I][/U]- минусом это не будет, только плюсом. Кому надо - найдут, разберутся и скачают этот доп. объём. Это позволит отлавливать в том числе и редкую живность, которая всётаки водится на разных компах. Дополнительные базы есть у многих антивирусов, и это нормальная практика.

[quote=kps;239575]И еще, сигнатурный детект одного зловреда - далеко не гарантия, что в системе нет другого зловреда, которого нет в базе. Только зря может обнадежить :) [/quote]
Нахождение одного зловреда (особенно если посмотреть, кто он и что он) - вполне вероятно натолкнёт на более внимательный разбор того, что есть. Особенно если это даунлоадер или подобное. Лично меня нахождение одного вируса никогда не останавливало. А когда AVZ нашёл на компе 14 различных вирусов в системной папке - просто спасло! :-)) Я и за расширенную базу, и за большую чистую :-)

Везде идёт [B]компромис[/B]. Его можно сохранить, [B]и улучшить - дав выбор конечному пользователю. [/B]

Можно сделать 3 версии программы:

1.Облегченная БЕЗ антивирусных баз (Для тех у кого "туго" с трафиком)
2.Стандартная - такая как есть сейчас.
3.Расширенная - с дополнительными базами.

А зачем без баз? Без них же функциональность только эвристическая.. хотя, может быть кому-то и нужно :-)

[QUOTE=Shtorm_S2d;240070]А зачем без баз? Без них же функциональность только эвристическая.. хотя, может быть кому-то и нужно :-)[/QUOTE]

Без баз отчет о системе собираем и грохаем все руками...

[quote=zerocorporated;240318]Без баз отчет о системе собираем и грохаем все руками...[/quote]
+1

Может проведём опрос и обратимся к Олегу?