Оффтоп из "Исследование антивирусов"

**Winsent** · 01.12.2009, 19:29

Интересно на virustotal nod32 обновляется beta базами? Проверив сейчас файл, увидел версю баз 4652, хотя на ПК последняя доступная версия после принудительного запуска обновления - 4651

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**notenuf** · 01.12.2009, 20:44

а вот ещё один удивительный факт из жизни VT... решил вот приурочить к выходу очередных промежуточных итогов тестирования, как из них следует McAfee+Artemis один из лидеров
но ! вот есть файл, который на вирустотале детектится артемисом

http://www.virustotal.com/ru/analisi...6e2-1259687463
однако если отправить его в McAfee Lab оказывается что макафиии "видит" этот файл в первый раз !! т.е. неизвестен компании абсолютно ))))

из скрина выше видим что файл отправлен на человеческий анализ... соответственно и реальный домашний продукт макафии с включенным артемисом (у меня) этот файл не детектит ! (и таких файлов штук 20 было)
как такое возможно ?

**Никита Соловьев** · 01.12.2009, 22:05

Сообщение от notenuf

однако если отправить его в McAfee Lab оказывается что макафиии "видит" этот файл в первый раз !!

Правильно, ведь артемис это некое подобие эвристики. (И он, если я не ошибаюсь, работает только в сканере по требованию)

**senyak** · 02.12.2009, 13:35

Еще Artemis срабатывает при запуске файла

**notenuf** · 02.12.2009, 18:42

нет артемис вроде не эвристика и работает в любых сканерах... вот к примеру настоящий артемис:

а вот так он выглядит в McAfee Labs

а вирустотал видимо использует какойто очень особенный артемис )) или макафии использует вирустотал "в темную" для своих маркетинговых целей обманывая пользователей... так что верить результатам McAfee+Artemis на VT как-то не получается больше...

**senyak** · 02.12.2009, 21:03

Artemis - облочная технология, которая детектит странные файлы, путем проверки их на своих серверах online.

**AlphaM100** · 13.01.2010, 00:54

обычно когда я натыкаюсь на предполагаемый вирус
я его рассылаю по вирусным лабораториям

примерный список такой

[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]

=====================

например за сегодня....новые выловил

virus5.exe - Trojan-Dropper.Win32.Agent.bkqu
setup.exe - Trojan-Dropper.Win32.Agent.bkqr
crac.exe - Trojan-Dropper.Win32.Agent.bkqs
patch.exe - Trojan-Dropper.Win32.Agent.bkqt
setup.exe - Trojan-Dropper.Win32.Agent.bkqr
setup(3).exe - Trojan-Dropper.Win32.Agent.bkqs

p.s. я так и не понял - когда файл нашли с вирусом
вы по лабораториям его рассылаете?

**gjf** · 13.01.2010, 00:58

Ну можно и так, если у вирлабов не стоит вильтр на множественные адреса в поле СС

Можно отправлять подозрительные файлы одновременно всем вендорам, очень удобно: [email protected]
Отправлять следует в zip-архиве с паролем "infected" (без кавычек)

**AlphaM100** · 13.01.2010, 01:35

Сообщение от gjf

Ну можно и так, если у вирлабов не стоит вильтр на множественные адреса в поле СС

на самом деле сначала так слал - как вы написали на один адрес,
но что то не заметил что добавляют оперативно лаборатории новые вирусы

потом взял список с этого сайте, проверил на валидность
+ выкинул что недоставляються и теперь так шлю

вроде как оперативно получается
- только вот на гугле больше 25 таких писем в день не пошлешь ;-( банят на 24 часа

**uuu99950** · 13.01.2010, 18:54

Подскажите пожалуйста

))

Где мне взять инсталлятор вирусов, которые сейчас считаются самыми крутыми ?

Я хотел бы поставить эти вирусы к себе на компьютер

И на лучших, так сказать, представителях - оттачивать технологию обнаружения и нейтрализации вирусов. Желательно таких, которых пока ни одна антивирусная программа не ловит.

Подскажите где взять ?

**pig** · 13.01.2010, 21:00

Идите в интернет и нажимайте на все ссылки подряд, соглашайтесь на установку всего, что IE попросит.

**antanta** · 13.01.2010, 21:12

uuu99950,

Я я специально лазаю по порносайтам в надежде, что кто-нибудь где-нибудь все-таки начнет меня заражать !

Прикинь, я родакам такую отмазку тоже кидал. Нипамагает.
Если серьезно, дайте объявление в газету. Типа: "Отлов вирусов лучшим в городе (области, республике) специалистом!" Почти бесплатно (акция!!!). Кстати, срабатывает.
Рыба есть ... ой... про это я уже говорил.

**Юльча** · 18.01.2010, 01:38

Какое дружное ложное срабатывание.. испугались упаковщика?

Файл innounp.exe получен 2010.01.17 22:14:55 (UTC)
Результат: 31/41 (75.61%)

Антивирус Версия Обновление Результат
a-squared 4.5.0.50 2010.01.17 Virus.Win32.Trojan!IK
AhnLab-V3 5.0.0.2 2010.01.16 Packed/Upack
AntiVir 7.9.1.142 2010.01.17 -
Antiy-AVL 2.0.3.7 2010.01.12 Trojan/Win32.Agent.gen
Authentium 5.2.0.5 2010.01.16 W32/Heuristic-210!Eldorado
Avast 4.8.1351.0 2010.01.17 Win32:Trojan-gen
AVG 9.0.0.730 2010.01.17 Generic10.XFN
BitDefender 7.2 2010.01.17 Trojan.Generic.1661336
CAT-QuickHeal 10.00 2010.01.16 (Suspicious) - DNAScan
ClamAV 0.94.1 2010.01.17 PUA.Packed.Upack39
Comodo 3616 2010.01.17 Heur.Packed.Unknown
DrWeb 5.0.1.12222 2010.01.17 -
eSafe 7.0.17.0 2010.01.17 Win32.Infostealer.ga
eTrust-Vet 35.2.7240 2010.01.15 -
F-Prot 4.5.1.85 2010.01.17 W32/Heuristic-210!Eldorado
F-Secure 9.0.15370.0 2010.01.17 Suspicious:W32/Riskware!Online
Fortinet 4.0.14.0 2010.01.16 W32/Agent.GM!tr
GData 19 2010.01.17 Trojan.Generic.1661336
Ikarus T3.1.1.80.0 2010.01.17 Virus.Win32.Trojan
Jiangmin 13.0.900 2010.01.17 -
K7AntiVirus 7.10.949 2010.01.16 Trojan.Win32.Malware.1
Kaspersky 7.0.0.125 2010.01.17 -
McAfee 5864 2010.01.17 Generic.dx
McAfee+Artemis 5864 2010.01.17 Generic.dx
McAfee-GW-Edition 6.8.5 2010.01.17 Heuristic.LooksLike.Win32.Dropper.B
Microsoft 1.5302 2010.01.17 -
NOD32 4780 2010.01.17 probably a variant of Win32/Agent
Norman 6.04.03 2010.01.17 W32/Packed_Upack.A
nProtect 2009.1.8.0 2010.01.17 Trojan/W32.Agent.94564
Panda 10.0.2.2 2010.01.17 Trj/Lineage.BZE
PCTools 7.0.3.5 2010.01.17 Trojan-PSW.Gampass
Prevx 3.0 2010.01.17 Medium Risk Malware
Rising 22.30.06.04 2010.01.17 -
Sophos 4.49.0 2010.01.17 Mal/Generic-A
Sunbelt 3.2.1858.2 2010.01.17 Trojan.Win32.Packer.Upack0.3.9 (v)
Symantec 20091.2.0.41 2010.01.17 Infostealer.Gampass
TheHacker 6.5.0.6.154 2010.01.17 W32/Behav-Heuristic-060
TrendMicro 9.120.0.1004 2010.01.17 -
VBA32 3.12.12.1 2010.01.17 -
ViRobot 2010.1.16.2140 2010.01.16 -
VirusBuster 5.0.21.0 2010.01.17 Packed/Upack

Дополнительная информация
File size: 94564 bytes
MD5...: 8a93c3415a3ebc7cf4ebd5ace6cb062d

Добавлено через 9 минут

Засомневалась, отослала касперу в техподдержку, ответ четкий:

innounp.exe
Вредоносный код в файле не обнаружен.

**gjf** · 18.01.2010, 01:46

Юльча, ну я файл, конечно, не вижу, но в списке ВирусТотала одни эвристики и пакеры - ни одного прямого срабатывания.
Если считаете, что ответ ошибочный - Вам сюда.

**Юльча** · 18.01.2010, 02:06

я считаю ответ поддержки каспера верным (файл отданный на детект - это распаковщик inno setup), но забавно смотреть на кол-во среагировавших антивирусов =)

или на "ложные" срабатывания в этой теме антивирусы не исследуют?

**Matias** · 18.01.2010, 18:59

Вопрос - почему на VT используются далеко не самые последние версии некоторых антивирусных сканеров? Например, там используются КАВ 7, Авира 7, Битдефендер 7). Почему не все вендоры предоставляют актуальные версии?

**Surfer** · 20.01.2010, 18:15

Matias, А это и не нужно, думаю тут 2 варианта
1) Нет никаких различий с новыми версиями.
2) Вендоры не хотят, чтобы их новые методы использовались злоумышленниками для обхода детекта.

**gjf** · 20.01.2010, 18:25

Сообщение от Surfer

Matias, А это и не нужно, думаю тут 2 варианта
1) Нет никаких различий с новыми версиями.

Да не совсем. Могу найти тему на оффоруме Касперского, где товарищ приводит случай удачного лечения заражённого Virut'ом файла с помощью 7-й версии и неудачного того же файла - с помощью 9-й.

Сообщение от Surfer

2) Вендоры не хотят, чтобы их новые методы использовались злоумышленниками для обхода детекта.

А вот это на правду похоже. Но в таком случае Matias прав.

**Surfer** · 20.01.2010, 18:42

Сообщение от gjf

Да не совсем. Могу найти тему на оффоруме Касперского, где товарищ приводит случай удачного лечения заражённого Virut'ом файла с помощью 7-й версии и неудачного того же файла - с помощью 9-й.

А вот это на правду похоже. Но в таком случае Matias прав.

Я говорю, что либо-либо. В чем он прав ? Те, кто зарабатывает профессионально на этом вирустотал не нужен, ибо с него идет рассылка вендорам, они пользуются платными аналогами.

**Torvic99** · 20.01.2010, 18:52

Сообщение от Surfer

ибо с него идет рассылка вендорам

Ой что то я сомневаюсь в этом - по крайней мере нод добавляет в базу только после прямой засылки.

Оффтоп из "Исследование антивирусов"

Опции темы

Похожие темы

при работе возникает Дамп Памяти ... только "Reset" Приложения: исследование системы

Оффтоп из "NOD 32 - еще в игре?"

Оффтоп из "2*2=4. Aleksandra. ScratchyClaws. Интервью"

Компания Microsoft представила очередное "независимое" исследование

Ваши права в разделе