Исследование антивирусов 2

[azza]

File: CALC.zip
Status: INFECTED/MALWARE
MD5 cf75582ebf1ee94f7c919da887b2d182
Packers detected: UPX
Scanner results
AntiVir Found Trojan/KillAV.2
ArcaVir Found Trojan.Spy.Lydra.P
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found Trojan.LydraSpy
F-Prot Antivirus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found Trojan-Spy.Win32.Lydra.p
NOD32 Found probably a variant of Win32/Spy.Lydra (probable variant)
Norman Virus Control Found nothing
UNA Found nothing
VBA32 Found nothing
---------------------------
Изначально троян был обнаружен эвристиком DrWeb4.33.

[Зайцев Олег]

Файл "svhost.exe", 16 кб, явный троян, работает с сетью
Antivirus Version Update Result
AntiVir 6.32.0.6 10.10.2005 PCK/MEW
Avast 4.6.695.0 10.10.2005 no virus found
AVG 718 10.10.2005 no virus found
Avira 6.32.0.6 10.10.2005 PCK/MEW
BitDefender 7.2 10.11.2005 no virus found
CAT-QuickHeal 8.00 10.10.2005 (Suspicious) - DNAScan
ClamAV devel-20050917 10.11.2005 Worm.Mytob.GH
DrWeb 4.32b 10.10.2005 no virus found
eTrust-Iris 7.1.194.0 10.10.2005 no virus found
eTrust-Vet 11.9.1.0 10.10.2005 no virus found
Fortinet 2.48.0.0 10.10.2005 no virus found
F-Prot 3.16c 10.10.2005 no virus found
Ikarus 0.2.59.0 10.10.2005 Backdoor.Win32.SdBot.Gen
Kaspersky 4.0.2.24 10.11.2005 no virus found
McAfee 4601 10.10.2005 no virus found
NOD32v2 1.1248 10.10.2005 no virus found
Norman 5.70.10 10.10.2005 W32/Suspicious_M.gen
Panda 8.02.00 10.10.2005 no virus found
Sophos 3.98.0 10.10.2005 no virus found
Symantec 8.0 10.10.2005 no virus found
TheHacker 5.8.2.121 10.10.2005 no virus found
VBA32 3.10.4 10.10.2005 MalwareScope.Trojan-Spy.Banker.8

[Зайцев Олег]

AntiVir 6.32.0.6 10.10.2005 PCK/MEW
Avast 4.6.695.0 10.10.2005 Win32:Trojano-2441
AVG 718 10.10.2005 no virus found
Avira 6.32.0.6 10.10.2005 PCK/MEW
BitDefender 7.2 10.11.2005 BehavesLike:Trojan.ShellObject
CAT-QuickHeal 8.00 10.10.2005 (Suspicious) - DNAScan
ClamAV devel-20050917 10.11.2005 Worm.Mytob.GH
DrWeb 4.32b 10.10.2005 no virus found
eTrust-Iris 7.1.194.0 10.10.2005 no virus found
eTrust-Vet 11.9.1.0 10.10.2005 no virus found
Fortinet 2.48.0.0 10.10.2005 no virus found
F-Prot 3.16c 10.10.2005 no virus found
Ikarus 0.2.59.0 10.10.2005 Backdoor.Win32.SdBot.Gen
Kaspersky 4.0.2.24 10.11.2005 no virus found
McAfee 4601 10.10.2005 no virus found
NOD32v2 1.1248 10.10.2005 a variant of Win32/TrojanDropper.Small.NCP
Norman 5.70.10 10.10.2005 W32/Suspicious_M.gen
Panda 8.02.00 10.10.2005 no virus found
Sophos 3.98.0 10.10.2005 no virus found
Symantec 8.0 10.10.2005 no virus found
TheHacker 5.8.2.121 10.10.2005 no virus found
VBA32 3.10.4 10.10.2005 no virus found

[Grey]

This is a report processed by VirusTotal on 10/11/2005 at 13:18:12 (CET) after scanning the file "crack.exe" file.
Antivirus Version Update Result
AntiVir 6.32.0.6 10.11.2005 TR/Dldr.IstBar.IT
Avast 4.6.695.0 10.10.2005 Win32:IstBar-AJ
AVG 718 10.10.2005 Downloader.Istbar.AH
Avira 6.32.0.6 10.11.2005 TR/Dldr.IstBar.IT
BitDefender 7.2 10.11.2005 Trojan.Downloader.IstBar.JA
CAT-QuickHeal 8.00 10.11.2005 TrojanDownloader.IstBar.ja
ClamAV devel-20050917 10.11.2005 no virus found
DrWeb 4.32b 10.11.2005 Trojan.Isbar.335
eTrust-Iris 7.1.194.0 10.10.2005 no virus found
eTrust-Vet 11.9.1.0 10.11.2005 no virus found
Fortinet 2.48.0.0 10.10.2005 W32/IstBar.JA-dldr
F-Prot 3.16c 10.10.2005 security risk or a "backdoor" program
Ikarus 0.2.59.0 10.10.2005 no virus found
Kaspersky 4.0.2.24 10.11.2005 Trojan-Downloader.Win32.INService.ja
McAfee 4601 10.10.2005 potentially unwanted program Adware-RBlast
NOD32v2 1.1249 10.11.2005 Win32/Adware.ISTbar
Norman 5.70.10 10.11.2005 no virus found
Panda 8.02.00 10.10.2005 Adware/IST.ISTBar
Sophos 3.98.0 10.11.2005 no virus found
Symantec 8.0 10.10.2005 no virus found
TheHacker 5.8.2.121 10.10.2005 no virus found
VBA32 3.10.4 10.10.2005 no virus found

[azza]

File: pokapoka76.exe
Status: INFECTED/MALWARE
MD5 71ef6a0d1e0d3135d2b050f972eae833
Packers detected: UPX
Scanner results
AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found MULDROP.Trojan (probable variant)
F-Prot Antivirus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found a variant of Win32/Adware.EliteBar application
Norman Virus Control Found nothing
UNA Found nothing
VBA32 Found Trojan.StartPage.12 (probable variant)
-----------------------------------------------------------
Наглядная работа эвристиков.

PS. DrWeb: Возможно, MULDROP.Trojan --> Adware.EliteBar

[Grey]

This is a report processed by VirusTotal on 10/14/2005 at 16:34:19 (CET) after scanning the file "approved-password.txt" file.

Antivirus Version Update Result
AntiVir 6.32.0.6 10.14.2005 Worm/Mytob.KN
Avast 4.6.695.0 10.14.2005 Win32:Mytob-MJ
AVG 718 10.13.2005 no virus found
Avira 6.32.0.6 10.14.2005 Worm/Mytob.KN
BitDefender 7.2 10.14.2005 Win32.MyTob.FD@mm
CAT-QuickHeal 8.00 10.14.2005 Mytob.dc
ClamAV devel-20050917 10.14.2005 Worm.Mytob.IT-2
DrWeb 4.32b 10.14.2005 BackDoor.IRC.HellBot
eTrust-Iris 7.1.194.0 10.14.2005 no virus found
eTrust-Vet 11.9.1.0 10.14.2005 no virus found
Fortinet 2.48.0.0 10.14.2005 suspicious
F-Prot 3.16c 10.14.2005 W32/Mytob.MY@mm
Ikarus 0.2.59.0 10.14.2005 Net-Worm.Win32.Mytob.DE
Kaspersky 4.0.2.24 10.14.2005 Net-Worm.Win32.Mytob.dc
McAfee 4604 10.13.2005 no virus found
NOD32v2 1.1254 10.14.2005 Win32/Mytob.LF
Norman 5.70.10 10.14.2005 no virus found
Panda 8.02.00 10.14.2005 no virus found
Sophos 3.98.0 10.14.2005 W32/Mytob-EX
Symantec 8.0 10.13.2005 no virus found
TheHacker 5.8.2.123 10.13.2005 no virus found
VBA32 3.10.4 10.13.2005 no virus found

[RiC]

Jotty, мимо проходил -
Last file scanned at least one scanner reported something about: xingtonemodfree.exe, detected by:
Scanner Malware name
AntiVir X
ArcaVir X
Avast X
AVG Antivirus X
BitDefender Application.Adware.NewDotNet.Dropper
ClamAV Adware.NewDotNet.B-4
Dr.Web Adware.SaveNow
F-Prot Antivirus X
Fortinet X
Kaspersky Anti-Virus not-a-virus:AdWare.Win32.SaveNow.bo
NOD32 X
Norman Virus Control X
UNA X
VBA32 X

[kvit]

Jotty, мимо проходил

Не хотелось бы писать в данный пост, но все же...
Jotty не лучший вариант для сбора статистики...
Вот тут я писал об этом:
http://virusinfo.info/showthread.php?t=3491

[Geser]

This is a report processed by VirusTotal on 10/23/2005 at 2246 (CET) after scanning the file "photo.jpg.exe" file.
Antivirus Version Update Result
AntiVir 6.32.0.6 10.22.2005 Heuristic/Trojan.PwdStealer
Avast 4.6.695.0 10.21.2005 no virus found
AVG 718 10.21.2005 no virus found
Avira 6.32.0.6 10.22.2005 Heuristic/Trojan.PwdStealer
BitDefender 7.2 10.22.2005 no virus found
CAT-QuickHeal 8.00 10.22.2005 no virus found
ClamAV devel-20050917 10.21.2005 no virus found
DrWeb 4.32b 10.23.2005 no virus found
eTrust-Iris 7.1.194.0 10.23.2005 no virus found
eTrust-Vet 11.9.1.0 10.21.2005 no virus found
Fortinet 2.48.0.0 10.22.2005 suspicious
F-Prot 3.16c 10.20.2005 no virus found
Ikarus 0.2.59.0 10.21.2005 no virus found
Kaspersky 4.0.2.24 10.23.2005 no virus found
McAfee 4610 10.21.2005 no virus found
NOD32v2 1.1263 10.21.2005 probably unknown NewHeur_PE virus
Norman 5.70.10 10.21.2005 no virus found
Panda 8.02.00 10.23.2005 no virus found
Sophos 3.98.0 10.23.2005 no virus found
Symantec 8.0 10.23.2005 no virus found
TheHacker 5.8.4.127 10.21.2005 no virus found
VBA32 3.10.4 10.23.2005 no virus found

А эвристика ловит местами

[WinR]

Почему не используются последние версии антивирусов при тестировании?

[MOCT]

AntiVir 6.32.0.6 10.10.2005
Avira 6.32.0.6 10.10.2005

какой смысл дважды тестировать одним и тем же?

[Geser]

Что на Вирустотал есть тем и тестируем

[Grey]

Прикол, пришло письмо с одного моего ящика на другой мой ящик с файликом Info_prices.zip. Но самое интересное, что мой получатель я и отправитель я, хотя я точно знаю что ничего такого себе не слал.

This is a report processed by VirusTotal on 11/03/2005 at 10:23:52 (CET) after scanning the file "Info_prices.zip" file.

Antivirus Version Update Result
AntiVir 6.32.0.6 11.03.2005 TR/Bagle.DR
Avast 4.6.695.0 11.02.2005 Win32:Beagle-FT
AVG 718 11.01.2005 no virus found
Avira 6.32.0.6 11.03.2005 TR/Bagle.DR
BitDefender 7.2 11.03.2005 Trojan.Downloader.Bagle.1.Gen
CAT-QuickHeal 8.00 11.03.2005 " I-Worm.Bagle.eb
ClamAV devel-20050917 11.02.2005 no virus found (видимо давно не обновляли, у меня сегодняшняя база, и он его видит)
DrWeb 4.33 11.03.2005 Win32.HLLM.Beagle.38912
eTrust-Iris 7.1.194.0 11.02.2005 Win32/Glieder.CE!ZIP!Trojan
eTrust-Vet 11.9.1.0 11.03.2005 Win32.Glieder.CC!ZIP
Fortinet 2.48.0.0 11.02.2005 W32/Mitglieder.GB!tr
F-Prot 3.16c 11.02.2005 security risk named W32/Mitglieder.GB
Ikarus 0.2.59.0 11.02.2005 " Email-Worm.Win32.Bagle.EE
Kaspersky 4.0.2.24 11.03.2005 " Email-Worm.Win32.Bagle.eb
McAfee 4618 11.02.2005 W32/Bagle.gen
NOD32v2 1.1274 11.03.2005 Win32/Bagle.DG
Norman 5.70.10 11.03.2005 W32/Mitglied.NH
Panda 8.02.00 11.02.2005 Trj/Mitglieder.FL
Sophos 3.99.0 11.03.2005 Troj/BagleDl-Y
Symantec 8.0 11.02.2005 Trojan.Lodear.B
TheHacker 5.9.1.027 11.02.2005 W32/Bagle.gen
VBA32 3.10.4 11.02.2005 " Email-Worm.Win32.Bagle.eb

[MOCT]

Прикол, пришло письмо с одного моего ящика на другой мой ящик с файликом Info_prices.zip. Но самое интересное, что мой получатель я и отправитель я, хотя я точно знаю что ничего такого себе не слал.

всему есть разумное объяснение
не открою большого секрета если скажу, что заразился человек, которому были известны оба этих почтовых ящика. и теперь с его компьютера рассылаются письма со случайными чужими адресами на случайные чужие адреса.

[RiC]

Только что со спамом "сюрприз" упал -
AntiVir 6.32.0.6 11.03.2005 TR/Bagle.DW
Avast 4.6.695.0 11.03.2005 no virus found
AVG 718 11.01.2005 no virus found
Avira 6.32.0.6 11.03.2005 TR/Bagle.DW
BitDefender 7.2 11.03.2005 Win32.Bagle.EG@mm
CAT-QuickHeal 8.00 11.03.2005 (Suspicious) - DNAScan
ClamAV devel-20050917 11.03.2005 Worm.Bagle.Gen-6
DrWeb 4.33 11.03.2005 Win32.HLLM.Beagle.38912
eTrust-Iris 7.1.194.0 11.02.2005 no virus found
eTrust-Vet 11.9.1.0 11.03.2005 no virus found
Fortinet 2.48.0.0 11.03.2005 W32/Mitglieder.GD!tr
F-Prot 3.16c 11.02.2005 no virus found
Ikarus 0.2.59.0 11.03.2005 Email-Worm.Win32.Bagle.EE
Kaspersky 4.0.2.24 11.03.2005 no virus found
McAfee 4618 11.02.2005 no virus found
NOD32v2 1.1275 11.03.2005 Win32/Bagle.DL
Norman 5.70.10 11.03.2005 W32/Malware
Panda 8.02.00 11.02.2005 no virus found
Sophos 3.99.0 11.03.2005 Troj/BagleDl-AB
Symantec 8.0 11.02.2005 no virus found
TheHacker 5.9.1.027 11.02.2005 no virus found
VBA32 3.10.4 11.02.2005 no virus found

[Grey]

Только что со спамом "сюрприз" упал -
TR/Bagle.DW

Видать очередная модификация

[kvit]

Kaspersky 4.0.2.24 11.03.2005 no virus found
McAfee 4618 11.02.2005 no virus found
VBA32 3.10.4 11.02.2005 no virus found

Вот так бывает... Удивлен...

[sergey_gum]

Вот, подарок попался...
This is a report processed by VirusTotal on 11/03/2005 at 16:59:43 (CET) after scanning the file "A0018269.exe" file.

AntiVir 6.32.0.6 11.03.2005 TR/Dldr.Agent.XT
Avast 4.6.695.0 11.03.2005 Win32Dialer-481
AVG 718 11.01.2005 ownloader.Agent.ALW
Avira 6.32.0.6 11.03.2005 TR/Dldr.Agent.XT
BitDefender 7.2 11.03.2005 Trojan.Downloader.TwainXDial
CAT-QuickHeal 8.00 11.03.2005 TrojanDownloader.Agent.xt
ClamAV devel-20050917 11.03.2005 no virus found
DrWeb 4.33 11.03.2005 Trojan.DownLoader.2163
eTrust-Iris 7.1.194.0 11.02.2005 no virus found
eTrust-Vet 11.9.1.0 11.03.2005 no virus found
Fortinet 2.48.0.0 11.03.2005 Dial/Hogil
F-Prot 3.16c 11.03.2005 no virus found
Ikarus 0.2.59.0 11.03.2005 Trojan-Downloader.Win32.Agent.XT
Kaspersky 4.0.2.24 11.03.2005 Trojan-Downloader.Win32.Agent.xt
McAfee 4618 11.02.2005 potentially unwanted program Dialer-RAS
NOD32v2 1.1275 11.03.2005 a variant of Win32/Dialer.EB
Norman 5.70.10 11.03.2005 W32/Agent.JYM
Panda 8.02.00 11.02.2005 no virus found
Sophos 3.99.0 11.03.2005 no virus found
Symantec 8.0 11.02.2005 no virus found
TheHacker 5.9.1.027 11.02.2005 no virus found
VBA32 3.10.4 11.03.2005 Trojan-Downloader.Win32.Agent.xt

[azza]

Так тоже бывает
---------------------------------------------------------------------
This is a report processed by VirusTotal on 11/03/2005 at 17:13:23 (CET) after scanning the file "unfsgv20.zip" file.
Antivirus Version Update Result
AntiVir 6.32.0.6 11.03.2005 no virus found
Avast 4.6.695.0 11.03.2005 no virus found
AVG 718 11.01.2005 no virus found
Avira 6.32.0.6 11.03.2005 no virus found
BitDefender 7.2 11.03.2005 no virus found
CAT-QuickHeal 8.00 11.03.2005 no virus found
ClamAV devel-20050917 11.03.2005 no virus found
DrWeb 4.33 11.03.2005 no virus found
eTrust-Iris 7.1.194.0 11.02.2005 no virus found
eTrust-Vet 11.9.1.0 11.03.2005 no virus found
Fortinet 2.48.0.0 11.03.2005 no virus found
F-Prot 3.16c 11.03.2005 no virus found
Ikarus 0.2.59.0 11.03.2005 no virus found
Kaspersky 4.0.2.24 11.03.2005 no virus found
McAfee 4618 11.02.2005 no virus found
NOD32v2 1.1275 11.03.2005 no virus found
Norman 5.70.10 11.03.2005 no virus found
Panda 8.02.00 11.02.2005 no virus found
Sophos 3.99.0 11.03.2005 no virus found
Symantec 8.0 11.02.2005 no virus found
TheHacker 5.9.1.027 11.02.2005 no virus found
VBA32 3.10.4 11.03.2005 Backdoor.UnFSG.2.0
--------------------------------------------------------------
ЗЫ. h**p://biocyborg.narod.ru/soft/unfsgv20.zip

[AndreyKa]

всему есть разумное объяснение
не открою большого секрета если скажу, что заразился человек, которому были известны оба этих почтовых ящика. и теперь с его компьютера рассылаются письма со случайными чужими адресами на случайные чужие адреса.

Это другой случай. Данный вариант Bagle не имеет функции размножения. Видимо, рассылали по спамерским спискам и брали два соседних адреса из отсортированных по алфавиту.