Службы вирусного мониторинга - пообсуждаем...

В качестве предисловия... Многие завсегдатаи данного форума делают рассылку обнаруженных но ещё не детектируемых файлов вирусным аналитикам антивирусных вендоров.... Тут сегодня случилась проблема с паролем на отсылаемый архив...

В основном я делаю пересылку файлов в Dr.web, там даётся номер обращения при получении файлов и потом по данному номеру отдаётся ответ. Проблемы бывают, но в основном связаны с временем отсылки-обработки... Отсылаешь вовремя, ответ через десять минут приходит. Попадёшь, например, в пятницу, в пересменок... можно ответа ждать и до вторника.

Про VBA ничего сказать немогу... ни одного ответа от них не получал.

А вот с KAV... До сегодня ответов от них так же не получал.... но... "Тут сегодня случилась проблема с паролем на отсылаемый архив..." через полчасика пришло письмо - Здравствуйте. Стандартный, это какой? (про пароль)....
Отвечаю...
Проверяю архив... точно, вскрыть немогу... перепаковываю и повторно отсылаю... ну думаю значит сейчас обработают... ответят...
ан нет, до сих пор ответов нет.

Это только у меня так?
А что вы можете расказать про VMS вендоров с которыми вы работаете?

пообсуждаем? ;)

Не знаю, мне из ЛК всегда отвечают в течении суток.

Может сделать список e-mail и форм для отправки подозрительных файлов по вендорам? - с указанием стандартных паролей или других требований?

Сколько в ЛК не писал, всегда отвечают, шо мол этот зверек уже есть в базах, включите расширеные базы. Хотя все шо я посылал, проверял на virustotal.com и KAV`ом с расширенными базами. Еще я отправляю зверьков в VBA, т.к. отни очень быстро отвечают на все мои письма. Пробывал несколько раз посылать в DrWeb, но мне ни разу не ответили.

Доктор и ЛК отвечают исправно. VBA - ещё ни разу.

DrWeb и ЛК отвечают исправно. ESET никогда не отвечает, обратился в суппорт, сказали, что в связи с огромным кол-вом присылаемой заразы, они физически не успевают ответить на все письма.

Писал пару раз в ЛК и DrWeb, вежливо и быстро отвечают. ВБА - ни разу не ответили на письмо, но базы обновляют тоже быстро.

Здравствуйте!
По поводу Dr.Web могу сказать, что отвечают всегда. Но я им больше не пишу!!! Все дело в том, что аналитики Dr.Web очень часто отвечают - это был не вирус и спасибо за сотрудничество. Однако проходит время и запись добавляют. Очень странное поведение аналитиков и довольно часто так происходило:? Вот почему, желание писать им отпало.
По поводу ЛК могу сказать, что отвечают они всегда и иногда довольно полно и даже очень уважительно (г-н Хованский). Правда иногда могут задержать с ответом на 2-3 дня, но обычно отвечают за 3-4 часа, а бавыло за 1 час!!! Пару раз перепутали название детектированной заразы.;) Но в целом молодцы.
В VBA писал 22 раза. Ответ получил лишь в двух!!! Правда довольно полный и уважительный. Есть подозрения, что часть писем до них просто не доходила. А вот часть явно дошла. Так-как были внесены изменения по ложным срабатываниям и добавили несколько редких вариантов. Возможно они не успевают отвечать всем (простая нехватка людей).
Команде Nod32 писал один раз. Не ответили. Что-то сказать сложно.
В Symantec можно отправить файл на анализ лишь в случае, если сам Нортон закарантинит файл. Другой возможности вроде бы нет. Такое у меня случалось трижды. И три раза добавляли нового червя в базу.
Вот пожалуй и все.:D
Интересно, а как у BitDefender дела обстоят ?!

Кстати, по ESET(NOD32):"If you submit a sample to samples[at]eset.com, it will be added as quickly as the risk level it poses. Replies are received only in the case of large enterprise clients (on demand)."

[QUOTE=HATTIFNATTOR]Может сделать список e-mail и форм для отправки подозрительных файлов по вендорам? - с указанием стандартных паролей или других требований?[/QUOTE]
Было бы очень неплохо... начну для доктора, оснальные надеюсь подтянутся, и потом можно будет переместить в FAQ.

[B]Для DrWeb:[/B] [email][email protected][/email] [QUOTE]Отправляя вирусный файл в нашу лабораторию по электронной почте, не забудьте заархивировать его и, по возможности, защитить архив паролем — по умолчанию нами используется пароль [B]virus[/B]. Если Вы используете этот пароль для защиты посылаемого нам архива, его можно не указывать в теле письма. Использование другого пароля допустимо, однако такое письмо может быть перехвачено антивирусным фильтром и не дойти до своего получателя. В случае использования отличного от virus пароля сообщите его, пожалуйста, специалистам лаборатории.

Адрес, на который Вы можете отправить вирусный образец — [email][email protected][/email] — обрабатывается автоматической системой, которая позволит Вам интерактивно общаться с вирусными аналитиками. По результатам анализа присланного Вами файла Вам будет предоставлена соответствующая информация. [/QUOTE] [B]Отправить через web[/B] - [url]http://support.drweb.com/sendnew/[/url]


pps. А ответа от ЛК я так пока и не получил...

[b]Для NOD32[/b] [email][email protected][/email] Присылать в zip (rar) архиве, пароль - [b]infected[/b]
[Quote=]
Если вы нашли новый вирус:

Центр разработки Eset благодарен пользователям или партнерам, сообщающим о появлении вирусов и других угроз, связанных с вредоносным программным кодом.

Информацию о вирусах или других связанных с вредоносным ПО угрозах следует отправлять по адресу [email][email protected][/email]. Находящиеся на круглосуточном дежурстве эксперты мгновенно получат вирус или образец другого вредоносного ПО и оперативно отреагируют. Разработчики и эксперты Eset обращаются с просьбой к партнерам пересылать всю информацию о вирусах и другом вредоносном ПО, включая источник получения, реакцию на угрозу различных антивирусов, тело вируса и прочие детали.[/quote]

[b]ALWIL (Avast!)[/b] - [email][email protected][/email]. Отправлять в .zip-архиве, пароль [b]virus[/b]

[b]CA (eTrust EZ Antivirus/InoculateIT) [/b]

eTrust EZ Antivirus - отправить через веб - [url]http://www.my-etrust.com/services/virusSample.cfm[/url]

eTrust Vet Antivirus - [email][email protected][/email]. Отправлять в .zip-архиве, пароль [b]virus[/b]

eTrust InoculateIT 4.x & 6.0 и eTrust Antivirus 6.0 & 7.0 - [email][email protected][/email].
Отправлять в .zip-архиве, пароль [b]virus[/b]

[b]F-Secure[/b] - [email][email protected][/email]. Отправить через веб - [url]http://support.f-secure.com/enu/home/virusproblem/sample/index_sample.shtml[/url]. Отправлять в .zip-архиве, пароль [b]infected[/b]

[b]Grisoft (AVG)[/b] - [email][email protected][/email]. Отправлять в .zip-архиве, указав следующую информацию:
- пароль на архив
- версию ОС
- путь к файлу
- версию AVG и версию баз
- почему Вы думаете что этот файл вредоносный

[b]Avira Antivir free[/b] - [email][email protected][/email]. Отправлять в архиве с паролем. Отправить через веб - [url]http://www.avira.com/en/support/submit_suspicious_files.html[/url]

[b]Avira Antivir PE[/b] - [email][email protected][/email]. Отправлять в архиве с паролем.

[b]McAfee[/b] - Отправить через веб [url]http://vil.mcafeesecurity.com/vil/submit-sample.asp[/url] , требуется предварительная регистрация - [url]https://www.webimmune.net/PreRegistration.asp[/url]

[email][email protected];[email protected][/email]

Великобритания - [email][email protected][/email]
Германия - [email][email protected][/email]
Япония - [email][email protected][/email]
Австралия - [email][email protected][/email]
Нидерланды - [email][email protected][/email]

[b]Norman Antivirus[/b] - [email][email protected][/email] Отправить через веб - [url]http://sandbox.norman.no/live_4.html[/url]

[b]Лаборатория Касперского[/b] - [email][email protected][/email]
Пояснений не нашёл. Нормально принимают запароленные RAR-архивы (ZIP, вероятно, тоже) с указанием пароля в письме.

[b]ВирусБлокАда[/b] - [email][email protected][/email]
Пояснений не нашёл.

Дополнительный,вернее,главный адрес Avira для отсылки вирусов и подозрительных файлов:
[email][email protected][/email]

Для отправки файлов на проверку для Ikarus:
[email][email protected][/email]

VirusBuster :
[email][email protected][/email]
или веб-страница:
[url]http://www.virusbuster.net/en/viruslab/send_virus/[/url]

Поправка для Avira:
[email][email protected][/email]

[QUOTE=ALEX(XX)]DrWeb и ЛК отвечают исправно. ESET никогда не отвечает, обратился в суппорт, сказали, что в связи с огромным кол-вом присылаемой заразы, они физически не успевают ответить на все письма.[/QUOTE]
ESET-у даже робота для автоматической регистрации прикрутить слабо.
У дрвеба, имхо, единственного это сделано давно и по уму - идет четкий учет обращений на [email][email protected][/email] / [email][email protected][/email] и есть контроль за их обработкой.

Проверял как-то полученные тикеты ("получено" - "обработано") от drweb.com - все обработаны, пропущенных нет. За прошлый год - 1513 штук.
А "это не вирус" - отвечают для тех, что в базы добавлять не будут. Хотя и есть исключения, конечно. Отправлял некоторые им повторно с комментариями - некоторые все же включили в базы, на большую часть снова ответили - "не вирус".

ЗЫ: Для антивируса очень существенно, что детектить, что нет. Некоторые вообще предпочли бы, чтобы вся винда детектировалась как вирус :).

[b]Sophos[/b] - [email][email protected][/email] Отправить через веб - [url]http://www.sophos.com/support/samples[/url]

[b]Trendmicro[/b] - Отправить через веб - [url]http://subwiz.trendmicro.com/SubWiz/Wizard.asp?opgWizard=7[/url]

[b]Symantec[/b] - [email][email protected][/email]. Отправлять в .zip-архиве, пароль [b]infected[/b]. Загрузить Sarcret.exe - [url]ftp://ftp.symantec.com/public/english_us_canada/linked_files/nav/Sarcret.exe[/url]
и запустить его, перетащить файл, предназначенный для отправки, в окно программы и нажать "Submit".

[b]UNA[/b] - [email][email protected][/email]

[b]Stocona[/b] - [email][email protected][/email] Отправлять в запароленном архиве

[b]Agnitum[/b] - [email][email protected];[email protected][/email] Отправлять в запароленном архиве

[b]a-squared[/b] - [email][email protected][/email] Отправлять в .zip или .rar Отправить через веб - [url]http://www.emsisoft.com/en/support/submit/[/url]

[b]Ewido[/b] - [email][email protected][/email] Отправить через веб - [url]http://www.ewido.net/en/malware/[/url]

[b]Ad-Aware[/b] - [email][email protected][/email] Отправить через веб - [url]http://www.lavasoftresearch.com/submit.php[/url]

[QUOTE=Alexey P.]ESET-у даже робота для автоматической регистрации прикрутить слабо.
У дрвеба, имхо, единственного это сделано давно и по уму - идет четкий учет обращений на [email][email protected][/email] / [email][email protected][/email] и есть контроль за их обработкой....
[/QUOTE]
Все же ESET иногда отвечает примерно так.
---
Hello,
this Bagle variant was detected about 10 hours ago by heuristics before you submitted the sample as a NewHeur_PE virus. Detection by name was added to the last update 1.1227 issued a couple of hours ago.
Best regards,
Mark

Eset
NOD32 Technical Support
Slovakia
Web: [url]www.eset.com[/url]
Email: [email][email protected][/email]
=========================================
NOD32 ... protecting digital worlds!
=========================================
----- Original Message -----
...
Newsgroups: eset.samples
To: <[email protected]>; <[email protected]>
Sent: Wednesday, September 21, 2005 7:31 AM
Subject: new_virus [TRACK#4330F126685E]

AntiVir Found Trojan/Bagle.Gen.B
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found I-Worm/Bagle
BitDefender Found Win32.Bagle.JL@mm
ClamAV Found Worm.Bagle.Gen-5
Dr.Web Found Win32.HLLM.Beagle.35146
F-Prot Antivirus Found W32/Mitglieder.gen - Packed
Fortinet Found W32/Mitglieder.fam-tr
Kaspersky Anti-Virus Found Email-Worm.Win32.Bagle.dt
NOD32 Found nothing
Norman Virus Control Found nothing
UNA Found nothing
VBA32 Found nothing

Есть сайт [url]www.mcafee.ru[/url], там указано, что желательно по возможности сделать для отправки образца:

[quote]Отправить файл в AVERT

Подразделение McAfee AVERT (Anti-Virus Emergency Response Team) является одним из крупнейших антивирусных центров в мире, объединяя разработчиков из 16 стран. При подозрении на наличие неизвестного вируса в системе Вы можете отправить файлы с Вашего компьютера в AVERT. Для этого необходимо направить по адресу [email][email protected][/email] письмо, приложив "подозрительные" файлы. В письме по возможности необходимо указать:

Симптомы заражения
Обнаруживается ли вирус продуктами 3-х фирм (если да, то указать производителя, название и версию антивирусного пакета, а также имя обнаруженного вируса)
Версия используемого антивируса McAfee: версия продукта (Version), сканера (Scan Engine), антивирусных баз (Virus Definitions) - эта информация доступна в разделе "About"
Операционная система зараженного компьютера
Контактная информация (E-mail)


Отправка файловых и макро вирусов

В зависимости от предполагаемого типа вируса необходимо выполнить следующие действия:

Файловый вирус - скопируйте в отдельный каталог файл command.com, переименовав его в файл command.xxx с любым неисполняемым расширением.

Макро вирус Word - скопируйте в отдельный каталог файл normal.dot и все файлы из каталога автозапуска Microsoft Office (обычно это C:\Program Files\Microsoft Office\Office\Startup).

Макро вирус Excel - скопируйте в отдельный каталог все файлы из каталога \XLSTART.

Макро вирус PowerPoint - скопируйте в отдельный каталог файл Blank Presentation.pot.


Отправка троянских программ

Проверьте следующие места на предмет наличия ссылок на файлы:
ключ реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
ключ реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
строки load= и run= в файле Win.ini


Скопируйте все обнаруженные файлы (сами файлы, а не ссылки на них) в отдельный каталог и упакуйте в ZIP-архив, установив пароль INFECTED (все заглавные). Если отправить архив без пароля, то файлы по пути могут быть вылечены антивирусным шлюзом, так и не попав к экспертам AVERT. В случае обнаружения вируса в присланных Вами файлах, специалисты AVERT в течение нескольких часов выпустят и направят Вам специальный файл-вакцину extra.dat для его обезвреживания.[/quote]

[b]Fortinet[/b] - [email][email protected][/email] Отправлять в запароленном .zip или .rar Отправить через веб - [url]http://www.fortinet.com/FortiGuardCenter/antivirus/virus_scanner.html[/url]

[b]F-Prot[/b] - Отправить через веб - [url]http://www.f-prot.com/virusinfo/submission_form.html[/url]

[b]Vexira[/b] - [email][email protected][/email]

[b]Command of demand[/b] - [email][email protected][/email] Отправлять в запароленном .zip

[b]Rising[/b] - [email][email protected][/email]

[b]Stop![/b] - [email][email protected][/email] Отправлять в запароленном .zip Пароль [b]infected[/b] В письме по возможности указать:

-Симптомы заражения
-Обнаруживается ли вирус продуктами 3-х фирм (если да, то указать производителя, название и версию антивирусного пакета, а также имя обнаруженного вируса)
-Версия используемого Антивирус Stop! - эта информация доступна в разделе "О программе"
-Операционная система зараженного компьютера
-Контактная информация (E-mail)

Отправить через веб - [url]ftp://ftp.proantivirus.com/incoming[/url]

[b]ZoneAlarm[/b] - [email][email protected][/email]. Отправлять в запароленном .zip Пароль [b]infected[/b]

BitDefender, Panda, mks?

[QUOTE=HATTIFNATTOR]BitDefender, Panda, mks?[/QUOTE]
BitDefender - [email][email protected][/email] Правда непонятно с каким паролем и в каком формате...

[b]Panda[/b]- [email][email protected][/email]
Слать в запароленном архиве.
Можно послать напрямую и из самой программы.

NOD-ом никогда практически не пользовался, ставил бету из любопытства. Но когда один друг стал его использовать как основной антивирус, решил отправить им недетектируемых зверей (127 файлов). Отправляли их в конце 2005 г. через представительство в России.
После этого зверей добавляли, но как-то очень медленно. Было даже не понятно, из моего архива их брали или они шли от других пользователей.

Теперь решил снова проверить свою коллекцию – пропущено 236 файлов(коллекция выросла почти в 3 раза).
Посмотрел, сначала, как будут добавлять без моей «помощи»:
[code] 05/17/06 18-е 19-е 21-е
Adware 93 93 93 93
BackDoor 16 14 14 10
Dialer 21 21 21 21
Exploit 7 7 7 7
Trojan 97 96 92 89
Win32.IRC.Bot 1 1 1 1
Итого: 236 233 229 222[/code]
В общем, процесс идет, но медленно и как-то избирательно – добавляют детектирование только Trojan-ов и BackDoor-ов (их NOD тоже троянами обзывает, но со словом Spy в названии). Сегодня отправил им ([email protected]) своих Trojan-ов и BackDoor-ов. Буду теперь смотреть, как это отразится на прогрессе...

22 мая - без изменений
23 мая - -3 трояна
26 мая - -3 Adware
29 мая - повторно отправил архив с BackDoor-ами (на адрес [email][email protected][/email] с паролем)
31 мая - проверил архив с BackDoor-ами на [url]http://virusscan.jotti.org/[/url]. Результат, как говорится, без комментариев:
[code]Scanner results
AntiVir Found Heuristic/VB.PwdStealer heuristic, Backdoor-Server/Rarac backdoor, Backdoor-Server/Agent.YW backdoor, Trojan/Click.VB.br.gen, Backdoor-Server/DskLite.A.2 backdoor, Trojan/Spy.Falis, Backdoor-Server/Haxdoor.AW.3 backdoor (probable variant), Trojan/Spy.Agent.abu.DLL
ArcaVir Found Trojan.Haxdoor.Aw, Trojan.Delf.Aml
Avast Found Win32:Trojan-gen. {Other}, Win32:Trojano-2997
AVG Antivirus Found Generic.RUQ, PSW.Generic.VMF, BackDoor.Agent.BGH, Generic.QRW
BitDefender Found Trojan.Spy.Sters.Q, Backdoor.Agent.YW, Trojan.Clicker.Vb.BR, Backdoor.Cia.121, Backdoor.Bobi.20, Trojan.Dropper.Agent.AGH, Backdoor.Haxdoor.AW, Backdoor.Delf.AML
ClamAV Found nothing
Dr.Web Found BackDoor.Generic.1307, BackDoor.Generic.1287, BackDoor.Sunex, BackDoor.Generic.871, BackDoor.Cia.121, BackDoor.Bobi.20, BackDoor.Uragan, BackDoor.Haxdoor.227, BackDoor.Newbot.12
F-Prot Antivirus Found nothing
Fortinet Found Spy/Sters, Raser.Z!tr
Kaspersky Anti-Virus Found Trojan.Win32.VB.aks, Trojan.Win32.VB.amg, Backdoor.Win32.Agent.yw, Trojan-Clicker.Win32.VB.br, Trojan-Proxy.Win32.Xorpix.m, Backdoor.Win32.Haxdoor.aw, Backdoor.Win32.Delf.aml
[b]NOD32 Found nothing [/b]
Norman Virus Control Found nothing
UNA Found nothing
VirusBuster Found Backdoor.Agent.CII, Trojan.CL.VB.VEO, Trojan.PR.Xorpix.O, Backdoor.Delf.BPL
VBA32 Found Trojan.Win32.VB.aks, BackDoor.Generic.1287, Backdoor.Win32.Agent.yw, Trojan-Clicker.Win32.VB.br, Backdoor.Win32.Ciadoor.13, BackDoor.Bobi.20, Trojan-Proxy.Win32.Xorpix.m, Backdoor.Win32.Haxdoor.aw, Backdoor.Win32.Delf.aml
[/code]

Для NOD32 файлы лучше отправлять на [email][email protected][/email]. Мне всегда отвечают.;)


Здравствуйте, Александр.
Спасибо за присланный образец. Он передан на анализ разработчикам, и в
ближайшее время в антивирусные базы будут добавлены соответствующие
сигнатуры.


С уважением,

Воротников Борис
Специалист службы технической поддержки
-----------------------------------------------------
Cлужба технической поддержки Eset NOD32 Russia
Тел./факс: +7 495 727 3548
[email][email protected][/email]
[url]http://www.esetnod32.ru[/url]


-----Original Message-----
From: Александр Синауридзе [mailto:[email protected]]
Posted At: Saturday, July 01, 2006 8:08 PM
Posted To: [email][email protected][/email]
Conversation:
Subject:

Здравствуйте!
Отправляю Вам файл для анализа. Пароль на архивный файл - infected. Заранее
спасибо за ответ.

[quote=Синауридзе Александр]Для NOD32 файлы лучше отправлять на [email][email protected][/email]. Мне всегда отвечают.[/quote]
Мне не нужен ответ, что файлы переданы разработчикам. Я сам им могу их послать, без посредников:
[url]http://www.eset.com/support/faq1.php?id=1110[/url]

Через 7 недель после отправки архива проверяю его еще раз:
[code]NOD32 Found Win32/VB.NDR, Win32/VB.NDS, Win32/TrojanClicker.VB.NBF, Win32/Haxdoor.AW, Win32/Delf.AML, Win32/Agent.YW, Win32/TrojanProxy.Xorpix.M [/code]
Ура! Они все таки работают! :)
Раз уж тема ожила, выскажусь о моем впечатлении вирлабом NOD-а.
Впечатление такое, что вирусная лаборатория у них [i]самое слабое звено[/i]. Есть программисты, которые пишут стабильно работающий как скала антивирус, вирусные аналитики, которые совершенствуют прекрасный эвристик. А вирлаб, который по моим понятиям, должен оперативно добавлять сигнатуры в базы, находится на «остаточном финансировании».

[QUOTE=AndreyKa]Ура! Они все таки работают! :)
Раз уж тема ожила, выскажусь о моем впечатлении вирлабом NOD-а.
Впечатление такое, что вирусная лаборатория у них [i]самое слабое звено[/i]. Есть программисты, которые пишут стабильно работающий как скала антивирус, вирусные аналитики, которые совершенствуют прекрасный эвристик. А вирлаб, который по моим понятиям, должен оперативно добавлять сигнатуры в базы, находится на «остаточном финансировании».[/QUOTE]

Увы. Я с этим полностью согласен. :'-( Хотя иногда бывают проблески активности. Бывало, когда через несколько часов добавляли в базы.

Оказывается, велосипед давно придуман. Достаточно отправить образец в архиве (предпочтительно zip) с паролем infected образец на адрес: vendors [at] spywarefix.org, чтобы его получили практически все существующие антивирусы:
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email] (virus/worm/trojan/etc samples) *this is on the vendors Mailman list
[email][email protected][/email] (spyware samples) *this one is not per request
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]
[email][email protected][/email]

[QUOTE=AndreyKa;75986]Ура! Они все таки работают! :)[/QUOTE]
Они не только работают, но еще и отвечать успевают!:)

Из исследования антивирусов 4 пост 269.

От кого: Daniel Novomesk? <[email protected]>
Кому: Александр Синауридзе
Дата: 12 Дек 2006 11:51:56
Тема: Re: [TRACK# 457C3B12966A]


Thank you for submitting the sample,
it will be detected as Win32/PSW.LdPinch.BFU trojan.
Best regards,
ESET

Александр Синауридзе wrote:
> Hello!
> I send you the infected file. The password on archive by default - infected. In advance thanks for the answer.

А меня вот настораживает служба BitDefendera. Он у меня пропустил пропустил два инфицированных письма, в одном из которых явно был Scano. Онлайн проверка файлов этих писем тоже ничего не дала. Остльные антивирусы на virustotal почти все правильно определили зловредов. Ну файлы в карантин и из карантина их отослал. Прошло три дня - не детектирует до сих пор. Посылал и в заппаролированном архиве на [email][email protected][/email] - тот же результат. Кстати, их не детектировал и AVAST!, но после того. как я им тоже отправил эти файлы, сигнатуры этих вирусов были в AVAST! добавлены почти сразу. Кто-нибудь, знает, как всё-таки правильно отправить подозрительные объекты в Bitdefender? Просто менять антивирус пока не хочу - купил на прошлой неделе, и жалко потраченных денег.

[quote=ВодкуГлыть]Посылал и в заппаролированном архиве на [email][email protected][/email] - тот же результат.[/quote]
Прямой адрес для отправки вирусов у них такой:
[email][email protected][/email]

PS. К сожалению ни один антивирус не знает всех гадов и у всех бывают задержки с анализом файлов.

На форуме [url]http://forum.drweb.com[/url] несколько раз пользователи жаловались что их "вирусы" долго в базы не добавляют. Один из ответов был такой:
[quote]
"О среднем времени реакции нельзя судить по одному примеру." Valery Ledovskoy, technical writer, Doctor Web[/quote]
И я захотел узнать, а какое оно это время, хотя бы примерно.

Начал отправлять по 1-3 файла в день и фиксировать, сколько затрачено времени на добавление в базы.
Чтобы анализ файлов не откладывали, старался отбирать наиболее вредные: Backdoor, Rootkit и ворующих пароли троянов. Но чем дольше шел этот тест, тем больше росло это среднее время. Это [b]среднее время стремится к времени проведения такого теста умноженному на процент не обработанных файлов.[/b]
На этот день данные выглядят так:
[code]
[font=courier] Вредоносная программа Отправлена №тикета Ответ Получен Затраченно, дн. ч:мин
Trojan-PSW.Win32.LdPinch.bmn 28.02 22:07 #168349 Trojan.PWS.LDPinch.1417 28.02 22:22 0 00:15
Email-Worm.Win32.Bagle.hk 28.02 22:20 #168355 Trojan.NtRootKit.213 01.03 11:45 0 13:25
Email-Worm.Win32.Warezov.do 28.02 22:59 #168371 Win32.HLLM.Limar 28.02 23:24 0 00:24
Trojan-PSW.Win32.LdPinch.bex 01.03 23:48 #168925 Trojan.MulDrop.5751 03.03 20:51 1 21:03
Trojan-PSW.Win32.LdPinch.bmn 01.03 23:54 #168928 Trojan.PWS.LDPinch.1417 09.03 09:37 7 09:43
Trojan-PSW.Win32.Agent.km 05.03 22:30 #250796 Trojan.PWS.School 13.03 16:46 7 18:16
Win32/PSW.LdPinch.BMQ 05.03 23:13 #250811 Trojan.PWS.LDPinch.1574 13.03 16:10 7 16:57
Trojan-PSW.Win32.Sinowal.co 06.03 23:08 #251386 22 00:17
Trojan.PWS.LDPinch.origin 07.03 22:31 #251835 Trojan.PWS.LDPinch.1542 08.03 00:03 0 01:32
Trojan-PSW.Win32.LdPinch.bmp 07.03 22:30 #251834 Trojan.PWS.LDPinch.1543 08.03 00:07 0 01:37
Trojan-Spy.Win32.Banker.cji 08.03 13:41 #252031 Trojan.PWS.School 08.03 16:59 0 03:18
Trojan.PWS.Helper.origin 08.03 19:20 #252101 Trojan.PWS.School 09.03 12:10 0 16:50
Trojan.FakeAlert 08.03 20:18 #252120 Trojan.Fakealert.258 14.03 14:11 5 17:53
Trojan.PWS.GoldSpy.origin 09.03 20:42 #252556 Trojan.PWS.GoldSpy 13.03 16:01 3 19:19
Rootkit.Win32.Agent.ec 09.03 21:11 #252564 19 02:14
Trojan-PSW.Win32.OnLineGames.jo09.03 23:43 #252612 18 23:42
Trojan-PSW.Win32.LdPinch.bky 10.03 21:27 #252936 Trojan.PWS.Ldpinch.1549 11.03 17:41 0 20:14
Trojan-PSW.Win32.Small.br 11.03 21:27 #253283 17 01:58
Trojan-Spy.Win32.KeyLogger.md 12.03 23:36 #253843 Trojan.KeyLogger.944 13.03 00:33 0 00:57
SpamTool.Win32.Agent.r 15.03 00:08 #254938 Trojan.Spambot 15.03 09:45 0 09:37
Rootkit.Win32.Agent.dj 15.03 00:09 #254943 13 23:15
False Trojan.Click.origin 18.03 15:22 #264718 исправленно 20.03 16:17 2 00:55
Trojan-PSW.Win32.Sinowal.co 18.03 19:04 #267840 Trojan.PWS.Gamma 19.03 11:23 0 16:19
Trojan-PSW.Win32.Maran.da 18.03 23:07 #268195 Trojan.PWS.Maran 19.03 00:09 0 01:02
Backdoor.Win32.Aimbot.fc 19.03 22:21 #268483 9 01:03
Trojan-Proxy.Win32.Agent.ll 19.03 22:30 #268487 9 00:55
Trojan-PSW.Win32.LdPinch.bpb 19.03 23:05 #268491 Trojan.PWS.LDPinch.1417 20.03 14:11 0 15:06
Trojan-Spy.Win32.Goldun.pa 20.03 12:57 #268629 8 10:28
Backdoor.Win32.IRCBot.aac 20.03 21:25 #268769 8 02:00
Trojan.NtRootKit.131 20.03 22:05 #268787 8 01:20
Trojan-Spy.Win32.Goldun.ms 21.03 23:28 #269157 6 23:57
Trojan.Win32.Obfuscated.ev 22.03 00:01 #269166 Trojan.Swizzor 22.03 09:08 0 09:07
Trojan.Win32.Agent.agv 22.03 00:04 #269167 BackDoor.Iterator 22.03 09:08 0 09:04
Packed.Win32.Klone.k 22.03 21:58 #269501 6 01:27
Trojan-Dropper.Win32.Agent.bet 22.03 23:50 #269523 5 23:35
Trojan-PSW.Win32.LdPinch.bgj 23.03 00:01 #269526 Trojan.PWS.LDPInch.1407 23.03 09:00 0 08:59
Trojan-Dropper.Win32.Agent.bet 23.03 21:18 #269854 5 02:07
Trojan.Win32.Agent.qt 23.03 21:30 #269857 Trojan.Mezzia 24.03 13:18 0 15:48
Backdoor.Win32.Small.nz 23.03 23:45 #269880 Trojan.Spambot 24.03 13:24 0 13:39
Backdoor.Win32.Rbot.rq 26.03 23:41 #270513 1 23:44
Среднее: 5 01:41[/font][/code]
Выводы.
Абсолютное большинство из обработанных файлов были добавлены в течение суток, если же файл не обработали в течение недели, то его добавления вообще нет смысла ждать.

Отправил в саппорт NOD'а новый экземпляр, который детектируется только Касперским (из нашего карантина). Вот какой пришел ответ[QUOTE]Здравствуйте.

Проверка показала, что только один из наиболее известных антивирусов
(Касперский) определяет в этом файле вредоносный код. Вполне возможно, что
это ложное срабатывание Антивируса Касперского.

AhnLab-V3 2007.4.12.0 04.13.2007 no virus found
AntiVir 7.3.1.50 04.13.2007 no virus found
Authentium 4.93.8 04.13.2007 no virus found
Avast 4.7.936.0 04.11.2007 no virus found
AVG 7.5.0.447 04.12.2007 no virus found
BitDefender 7.2 04.13.2007 no virus found
CAT-QuickHeal 9.00 04.13.2007 no virus found
ClamAV devel-20070312 04.13.2007 no virus found
DrWeb 4.33 04.13.2007 no virus found
eSafe 7.0.15.0 04.12.2007 no virus found
eTrust-Vet 30.7.3565 04.13.2007 no virus found
Ewido 4.0 04.12.2007 no virus found
FileAdvisor 1 04.13.2007 no virus found
Fortinet 2.85.0.0 04.13.2007 no virus found
F-Prot 4.3.2.48 04.12.2007 no virus found
F-Secure 6.70.13030.0 04.13.2007 no virus found
Ikarus T3.1.1.5 04.13.2007 no virus found
Kaspersky 4.0.2.24 04.13.2007 Trojan.Win32.VB.aup
McAfee 5008 04.13.2007 no virus found
Microsoft 1.2405 04.13.2007 no virus found
NOD32v2 2185 04.13.2007 no virus found
Norman 5.80.02 04.12.2007 no virus found
Panda 9.0.0.4 04.13.2007 no virus found
Prevx1 V2 04.13.2007 no virus found
Sophos 4.16.0 04.12.2007 no virus found
Sunbelt 2.2.907.0 04.07.2007 no virus found
Symantec 10 04.13.2007 no virus found
TheHacker 6.1.6.088 04.09.2007 no virus found
VBA32 3.11.3 04.12.2007 no virus found
VirusBuster 4.3.7:9 04.12.2007 no virus found
Webwasher-Gateway 6.0.1 04.13.2007 no virus found

С уважением,

Вячеслав Шишлаков
Специалист службы технической поддержки
-----------------------------------------------------
Служба технической поддержки Eset NOD32 Russia

Тел./факс: +7 495 727 3548
[email][email protected][/email]
[url]http://www.esetnod32.ru[/url] [/QUOTE]Без комментариев. Я писал многим вир. лабам, но такой ответ получил впервые :O

Сегодня рассылал зверьё. Из Doctor Web`а ответ, что запрос обработан и запись добавлена в базу пришёл через 13 (!!) минут!

[QUOTE=Maxim;103724]Отправил в саппорт NOD'а новый экземпляр, который детектируется только Касперским (из нашего карантина). Вот какой пришел ответБез комментариев. Я писал многим вир. лабам, но такой ответ получил впервые :O[/QUOTE]
осталось только проверить семпл и посмотреть, что он из себя представляет :) Его можно кинуть мне на почту, я погляжу вечером

Вдогонку. Авира тоже почти сразу откликнулась, а НОД молчит.

[quote=deus_ex;120232]а НОД молчит.[/quote]
Собственно у ESET какой-то особенный подход:
Официальный ответ
[QUOTE]Eset appreciates (a lot) all and every sample/s sent to its labs ([email protected]). Every sample is logged and examined using various methods. Addition of a sample-signature into the database is made on a need-to basis. Extraction of a signature of a sample is an automated process and could be completed in no time. However, Eset does not want to take part in a 'maximum-size-of-the-database' race and prefers to keep the database clean, i.e. without 'meaningless' benign signatures.

Some of the forum participants may recall the Rosenthal Utilities (RU) tests performed by CNET two years ago. All the 'simulated viruses' generated by the RU were benign (non-viral). 100% detection of the RU samples (achieved by some of the products) meant 100% False Alarm Rate. Detection of non-viral samples may lead to a couple of things: excellent results in some 'tests' combined with a false sense of security, a huge 'virus' signature database and 'dinosaur' update files.
Exponential increase of the number of new malware samples may often lead to a 'path-of-least-resistance' approach: automatic addition of all sample signatures, regardless of their viral nature.

Eset exchanges samples with several av vendors. Opposite statement is incorrect.

Speed of update and reaction time is of essence. Eset is fully aware of that. Advanced Heuristics has been developed and implemented with that in mind. The only acceptable reaction time is equal to zero. NOD32 achieves that often, e.g. it detected the infamous Netsky.A and Bagle.A heuristically.

Once again, I would like to thank you all: for both the samples and your patience[/QUOTE]

Если посмотреть на наше тестирование, то видно что по чистым детектам НОД стал даже хуже Нортона. И даже учитывая действительно не плохой эвристик он не дотягивает до КАВ. Видимо НОд повторит судьбу Нортона.

[QUOTE='Зайцев Олег;120125']осталось только проверить семпл и посмотреть, что он из себя представляет Его можно кинуть мне на почту, я погляжу вечером[/QUOTE]У меня уже давно нет этого семпла, но дело даже не в том, нужно его добавлять в сигнатуры или нет, а в смом отношении. Разве можно при проверки файла (тем более когда клиент говорит что вирье свежее) верить вендорам?