Исследование антивирусов 2

[alich]

Ламерский вопрос: А каким минимальным составом (набором) тестируемых антивирусов могли быть выявлены "пойманные вручную" (в этой теме) вирусы? Т.е. какие (по минимуму) антивирусы надо использовать простому юзеру типа "ламер", чтобы свести к минимуму количество обращений к знатокам (в вирусах и пиве), которые вечно заняты? Достаточно первой четверки (из графика от kvit)?

[kvit]

могу сказать точно - 2 не обойтись я про график.. а в реальной жизни можно и без антивируса прожить, все от пользователя зависит...

добавочка:
даже имея под рукой Kaspersky, VBA32, NOD32v2, DrWeb вместе взятые существует вероятность пропустить вирус. И я даже сужу не по реальной жизни, а по графику...
добавочка2:
а вот если в эту доблестную компанию добавить McAfee то будет 100% результат...

[sergey_gum]

Minos написал об этом: http://www.virusinfo.info/showthread.php?t=4085
Фишка в том, что на любой запрос (даже при поиске файла с бредовым названием) выдается isbar - и именно с запрошенным именем архива.
Т.е. название архива лишь говорит о том, что искали .

Социальная инженерия - шанс на запуск того, что сам искал, довольно высоки . Особенно ежели оно антивирями еще не детектится.

Пришли результаты:

The file C:\Documents and Settings\Sergey_gum\Мои
документы\Downloads\vba32.key.zip contains new virus/trojan/backdoor/etc.
It is added in antivirus database.

Файл C:\Documents and Settings\Sergey_gum\Мои документы\Downloads\vba32.key.zip
содержит новый вирус/троян/бэкдур/т.п.
Запись добавлена в антивирусную базу.

--
Monday, November 28, 2005, 12:28:54 +0200
Regards, Vba32 Quarantine
VirusBlokAda Ltd., Minsk, Belarus
http://www.anti-virus.by/
http://www.anti-virus.by/en/

[Alexey P.]

могу сказать точно - 2 не обойтись я про график.. а в реальной жизни можно и без антивируса прожить, все от пользователя зависит...

добавочка:
даже имея под рукой Kaspersky, VBA32, NOD32v2, DrWeb вместе взятые существует вероятность пропустить вирус. И я даже сужу не по реальной жизни, а по графику...
добавочка2:
а вот если в эту доблестную компанию добавить McAfee то будет 100% результат...

В смысле система 100% ляжет ? .
Трояны тогда ничего с ней поделать не смогут.
Мертвые пчелы не жужжат (с) народное украинское.

ЗЫ: Minos в вышеуказанной теме привел это:
================================================== ==
Вот результат проверки одного из 14554215_srvzh_kdkjf__4_.rar файлов.

AntiVir 6.32.0.6 11.27.2005 no virus found
Avast 4.6.695.0 11.26.2005 no virus found
AVG 718 11.25.2005 no virus found
Avira 6.32.0.6 11.27.2005 no virus found
BitDefender 7.2 11.27.2005 no virus found
CAT-QuickHeal 8.00 11.25.2005 no virus found
ClamAV devel-20051108 11.25.2005 no virus found
DrWeb 4.33 11.27.2005 no virus found
eTrust-Iris 7.1.194.0 11.27.2005 no virus found
eTrust-Vet 11.9.1.0 11.25.2005 no virus found
Fortinet 2.48.0.0 11.26.2005 suspicious
F-Prot 3.16c 11.24.2005 no virus found
Ikarus 0.2.59.0 11.26.2005 no virus found
Kaspersky 4.0.2.24 11.27.2005 no virus found
McAfee 4637 11.25.2005 no virus found
NOD32v2 1.1305 11.25.2005 no virus found
Norman 5.70.10 11.25.2005 no virus found
Panda 8.02.00 11.27.2005 no virus found
Sophos 4.00.0 11.26.2005 no virus found
Symantec 8.0 11.27.2005 no virus found
TheHacker 5.9.1.044 11.24.2005 no virus found
VBA32 3.10.5 11.26.2005 no virus found
================================================== ==

[deity]

This is a report processed by VirusTotal on 12/03/2005 at 01:03:59 (CET) after scanning the file "SVKP.SYS" file.
------------------------------------------
Antivirus Version Update Result
AntiVir 6.32.1.63 12.02.2005 no virus found
Avast 4.6.695.0 12.01.2005 no virus found
AVG 718 12.02.2005 no virus found
Avira 6.32.1.63 12.02.2005 no virus found
BitDefender 7.2 12.03.2005 no virus found
CAT-QuickHeal 8.00 12.01.2005 no virus found
ClamAV devel-20051108 12.01.2005 no virus found
DrWeb 4.33 12.02.2005 no virus found
eTrust-Iris 7.1.194.0 12.02.2005 no virus found
eTrust-Vet 11.9.1.0 12.02.2005 no virus found
Fortinet 2.48.0.0 12.02.2005 no virus found
F-Prot 3.16c 12.02.2005 no virus found
Ikarus 0.2.59.0 12.02.2005 no virus found
Kaspersky 4.0.2.24 12.03.2005 no virus found
McAfee 4642 12.02.2005 no virus found
NOD32v2 1.1311 12.02.2005 no virus found
Norman 5.70.10 12.02.2005 no virus found
Panda 8.02.00 12.02.2005 no virus found
Sophos 4.00.0 12.02.2005 no virus found
Symantec 8.0 12.03.2005 no virus found
TheHacker 5.9.1.047 12.01.2005 no virus found
VBA32 3.10.5 12.03.2005 Virtool.SVKProtector
----------------------------------------------

[WaterFish]

This is a report processed by VirusTotal on 12/03/2005 at 01:03:59 (CET) after scanning the file "SVKP.SYS" file.
------------------------------------------
Antivirus Version Update Result
AntiVir 6.32.1.63 12.02.2005 no virus found
Avast 4.6.695.0 12.01.2005 no virus found
AVG 718 12.02.2005 no virus found
Avira 6.32.1.63 12.02.2005 no virus found
BitDefender 7.2 12.03.2005 no virus found
CAT-QuickHeal 8.00 12.01.2005 no virus found
ClamAV devel-20051108 12.01.2005 no virus found
DrWeb 4.33 12.02.2005 no virus found
eTrust-Iris 7.1.194.0 12.02.2005 no virus found
eTrust-Vet 11.9.1.0 12.02.2005 no virus found
Fortinet 2.48.0.0 12.02.2005 no virus found
F-Prot 3.16c 12.02.2005 no virus found
Ikarus 0.2.59.0 12.02.2005 no virus found
Kaspersky 4.0.2.24 12.03.2005 no virus found
McAfee 4642 12.02.2005 no virus found
NOD32v2 1.1311 12.02.2005 no virus found
Norman 5.70.10 12.02.2005 no virus found
Panda 8.02.00 12.02.2005 no virus found
Sophos 4.00.0 12.02.2005 no virus found
Symantec 8.0 12.03.2005 no virus found
TheHacker 5.9.1.047 12.01.2005 no virus found
VBA32 3.10.5 12.03.2005 Virtool.SVKProtector
----------------------------------------------

Virtools - далеко не есть вирь

[Geser]

Virtools - далеко не есть вирь

Однако часто указывает на его наличие в системе

[deity]

Virtools - далеко не есть вирь

http://shield.prevx.com/pxparall.asp?PXC=dd5435884
This system file is malware and is not considered safe, it is part of a Malware group sometimes referred to as Virtool.SVKProtector. It should be Jailed.

[Geser]

http://shield.prevx.com/pxparall.asp?PXC=dd5435884
This system file is malware and is not considered safe, it is part of a Malware group sometimes referred to as Virtool.SVKProtector. It should be Jailed.

Это не так. Это драйвер от супернаварочанного протектора. В теории может использоваться как всякими троянами так и вполне легитимным софтом.

[Alexey P.]

Кто вирустоталу чего-то несъедобное подсунул ?
Лежит, бедняга .

================================================== =
Proxy Error
The proxy server received an invalid response from an upstream server.
The proxy server could not handle the request GET /xhtml/index_en.html.
Reason: Error reading from remote server

Apache/1.3.33 Ben-SSL/1.55 Server at www.virustotal.com Port 80
================================================== =

[azza]

Ещё один сомнительный с точки зрения необходимости детектирования файл:
-------------------------------------------------------------------
File: NSupd9x.zip
Status: INFECTED/MALWARE
MD5 496217343c2a1229b6574794cb06fe5f
Packers detected: -
Scanner results
AntiVir Found nothing
ArcaVir Found nothing
Avast Found nothing
AVG Antivirus Found nothing
BitDefender Found nothing
ClamAV Found nothing
Dr.Web Found nothing
F-Prot Antivirus Found nothing
Fortinet Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found nothing
UNA Found nothing
VBA32 Found Malware.Dialer
-------------------------------------------
AVZ Found TrojanDownloader.Win32.Dyfuca

[Grey]

This is a report processed by VirusTotal on 12/08/2005 at 0936 (CET) after scanning the file "abf_keygenreal.zip" file.

Antivirus Version Update Result
AntiVir 6.33.0.61 12.08.2005 no virus found
Avast 4.6.695.0 12.07.2005 no virus found
AVG 718 12.05.2005 no virus found
Avira 6.33.0.61 12.08.2005 no virus found
BitDefender 7.2 12.08.2005 no virus found
CAT-QuickHeal 8.00 12.08.2005 (Suspicious) - DNAScan
ClamAV devel-20051108 12.07.2005 no virus found
DrWeb 4.33 12.08.2005 no virus found
eTrust-Iris 7.1.194.0 12.07.2005 no virus found
eTrust-Vet 11.9.1.0 12.08.2005 no virus found
Fortinet 2.54.0.0 12.08.2005 suspicious
F-Prot 3.16c 12.07.2005 security risk named W32/Sdbot.JZL
Ikarus 0.2.59.0 12.08.2005 no virus found
Kaspersky 4.0.2.24 12.08.2005 Trojan-Dropper.Win32.Juntador.c
McAfee 4645 12.07.2005 New Malware.p
NOD32v2 1.1315 12.07.2005 no virus found
Norman 5.70.10 12.07.2005 no virus found
Panda 8.02.00 12.07.2005 Suspect File
Sophos 4.00.0 12.08.2005 no virus found
Symantec 8.0 12.07.2005 no virus found
TheHacker 5.9.1.051 12.08.2005 no virus found
VBA32 3.10.5 12.07.2005 suspected of Backdoor.xBot.16

[umask]

This is a report processed by VirusTotal on 12/10/2005 at 11:23:28 (CET) after scanning the file "sp.html" file.

Antivirus Version Update Result
AntiVir 6.33.0.61 12.09.2005 no virus found
Avast 4.6.695.0 12.10.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.09.2005 no virus found
BitDefender 7.2 12.10.2005 no virus found
CAT-QuickHeal 8.00 12.09.2005 no virus found
ClamAV devel-20051108 12.09.2005 no virus found
DrWeb 4.33 12.10.2005 Exploit.Firehist
eTrust-Iris 7.1.194.0 12.09.2005 no virus found
eTrust-Vet 11.9.1.0 12.09.2005 no virus found
Fortinet 2.54.0.0 12.10.2005 no virus found
F-Prot 3.16c 12.09.2005 no virus found
Ikarus 0.2.59.0 12.10.2005 no virus found
Kaspersky 4.0.2.24 12.10.2005 no virus found
McAfee 4647 12.09.2005 no virus found
NOD32v2 1.1317 12.09.2005 no virus found
Norman 5.70.10 12.09.2005 no virus found
Panda 8.02.00 12.09.2005 no virus found
Sophos 4.00.0 12.10.2005 no virus found
Symantec 8.0 12.10.2005 no virus found
TheHacker 5.9.1.052 12.09.2005 no virus found
VBA32 3.10.5 12.09.2005 no virus found

:-)

[Geser]

This is a report processed by VirusTotal on 12/10/2005 at 16:39:47 (CET) after scanning the file "ip41_qc.dll" file.
Antivirus Version Update Result
AntiVir 6.33.0.61 12.09.2005 ADSPY/Look2Me.ab
Avast 4.6.695.0 12.10.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.09.2005 ADSPY/Look2Me.ab
BitDefender 7.2 12.10.2005 Adware.Dinky.A
CAT-QuickHeal 8.00 12.09.2005 Adware.Look2Me
ClamAV devel-20051108 12.09.2005 no virus found
DrWeb 4.33 12.10.2005 no virus found
eTrust-Iris 7.1.194.0 12.09.2005 Win32/Candebe!Trojan
eTrust-Vet 11.9.1.0 12.09.2005 Win32.Canbede
Fortinet 2.54.0.0 12.10.2005 suspicious
F-Prot 3.16c 12.09.2005 no virus found
Ikarus 0.2.59.0 12.10.2005 AdWare.Look2Me.U
Kaspersky 4.0.2.24 12.10.2005 not-a-virus:AdWare.Win32.Look2Me.ab
McAfee 4647 12.09.2005 potentially unwanted program Adware-Look2Me
NOD32v2 1.1317 12.09.2005 a variant of Win32/Adware.Look2Me
Norman 5.70.10 12.09.2005 W32/Look2Me.DJ
Panda 8.02.00 12.10.2005 Adware/Look2Me
Sophos 4.00.0 12.10.2005 no virus found
Symantec 8.0 12.10.2005 no virus found
TheHacker 5.9.1.052 12.09.2005 Adware/Look2Me
VBA32 3.10.5 12.09.2005 no virus found

[Alexey P.]

This is a report processed by VirusTotal on 12/10/2005 at 17:40:05
(CET) after scanning the file "avpi32.dll" file.

Antivirus Version Update Result
AntiVir 6.33.0.61 12.09.2005 no virus found
Avast 4.6.695.0 12.10.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.09.2005 no virus found
BitDefender 7.2 12.10.2005 no virus found
CAT-QuickHeal 8.00 12.09.2005 no virus found
ClamAV devel-20051108 12.09.2005 no virus found
DrWeb 4.33 12.10.2005 BackDoor.Haxdoor.176
eTrust-Iris 7.1.194.0 12.09.2005 Win32/Haxdoor.37152!DLL!Trojan
eTrust-Vet 11.9.1.0 12.09.2005 Win32.Haxdoor.AP
Fortinet 2.54.0.0 12.10.2005 suspicious
F-Prot 3.16c 12.09.2005 no virus found
Ikarus 0.2.59.0 12.10.2005 no virus found
Kaspersky 4.0.2.24 12.10.2005 no virus found
McAfee 4647 12.09.2005 no virus found
NOD32v2 1.1317 12.09.2005 a variant of Win32/Haxdoor
Norman 5.70.10 12.09.2005 no virus found
Panda 8.02.00 12.10.2005 no virus found
Sophos 4.00.0 12.10.2005 Troj/Haxdor-Fam
Symantec 8.0 12.10.2005 no virus found
TheHacker 5.9.1.052 12.09.2005 no virus found
VBA32 3.10.5 12.09.2005 suspected of Malware.Agent.44

[Geser]

This is a report processed by VirusTotal on 12/12/2005 at 21:18:02 (CET) after scanning the file "oddd3d9.exe" file.
Antivirus Version Update Result
AntiVir 6.33.0.61 12.12.2005 no virus found
Avast 4.6.695.0 12.10.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.12.2005 no virus found
BitDefender 7.2 12.12.2005 no virus found
CAT-QuickHeal 8.00 12.12.2005 (Suspicious) - DNAScan
ClamAV devel-20051108 12.12.2005 no virus found
DrWeb 4.33 12.12.2005 no virus found
eTrust-Iris 7.1.194.0 12.11.2005 no virus found
eTrust-Vet 12.3.3.0 12.12.2005 Win32/Propo
Fortinet 2.54.0.0 12.11.2005 no virus found
F-Prot 3.16c 12.09.2005 no virus found
Ikarus 0.2.59.0 12.12.2005 no virus found
Kaspersky 4.0.2.24 12.12.2005 Trojan.Win32.Crypt.t
McAfee 4648 12.12.2005 no virus found
NOD32v2 1.1319 12.12.2005 no virus found
Norman 5.70.10 12.12.2005 no virus found
Panda 8.02.00 12.12.2005 no virus found
Sophos 4.00.0 12.12.2005 no virus found
Symantec 8.0 12.12.2005 no virus found
TheHacker 5.9.1.053 12.12.2005 no virus found
VBA32 3.10.5 12.12.2005 no virus found

This is a report processed by VirusTotal on 12/12/2005 at 21:18:34 (CET) after scanning the file "mssmnmdd.sys" file.
Antivirus Version Update Result
AntiVir 6.33.0.61 12.12.2005 TR/Rootkit.SMA.A
Avast 4.6.695.0 12.10.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.12.2005 TR/Rootkit.SMA.A
BitDefender 7.2 12.12.2005 no virus found
CAT-QuickHeal 8.00 12.12.2005 no virus found
ClamAV devel-20051108 12.12.2005 no virus found
DrWeb 4.33 12.12.2005 no virus found
eTrust-Iris 7.1.194.0 12.11.2005 no virus found
eTrust-Vet 12.3.3.0 12.12.2005 Win32/Smamate
Fortinet 2.54.0.0 12.11.2005 suspicious
F-Prot 3.16c 12.09.2005 no virus found
Ikarus 0.2.59.0 12.12.2005 no virus found
Kaspersky 4.0.2.24 12.12.2005 Rootkit.Win32.Agent.ao
McAfee 4648 12.12.2005 no virus found
NOD32v2 1.1319 12.12.2005 no virus found
Norman 5.70.10 12.12.2005 no virus found
Panda 8.02.00 12.12.2005 no virus found
Sophos 4.00.0 12.12.2005 no virus found
Symantec 8.0 12.12.2005 no virus found
TheHacker 5.9.1.053 12.12.2005 no virus found
VBA32 3.10.5 12.12.2005 no virus found

This is a report processed by VirusTotal on 12/12/2005 at 21:22:39 (CET) after scanning the file "ace.dll" file.
Antivirus Version Update Result
AntiVir 6.33.0.61 12.12.2005 no virus found
Avast 4.6.695.0 12.10.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.12.2005 no virus found
BitDefender 7.2 12.12.2005 no virus found
CAT-QuickHeal 8.00 12.12.2005 no virus found
ClamAV devel-20051108 12.12.2005 no virus found
DrWeb 4.33 12.12.2005 no virus found
eTrust-Iris 7.1.194.0 12.11.2005 no virus found
eTrust-Vet 12.3.3.0 12.12.2005 Win32/Propo
Fortinet 2.54.0.0 12.11.2005 no virus found
F-Prot 3.16c 12.09.2005 no virus found
Ikarus 0.2.59.0 12.12.2005 no virus found
Kaspersky 4.0.2.24 12.12.2005 Trojan.Win32.Crypt.t
McAfee 4648 12.12.2005 no virus found
NOD32v2 1.1319 12.12.2005 no virus found
Norman 5.70.10 12.12.2005 no virus found
Panda 8.02.00 12.12.2005 no virus found
Sophos 4.00.0 12.12.2005 no virus found
Symantec 8.0 12.12.2005 no virus found
TheHacker 5.9.1.053 12.12.2005 no virus found
VBA32 3.10.5 12.12.2005 no virus found

[NRoman]

This is a report processed by VirusTotal on 12/13/2005 at 15:55:58 (CET) after scanning the file "lexplorer.exe" file.
Antivirus Version Update Result
AntiVir 6.33.0.61 12.13.2005 no virus found
Avast 4.6.695.0 12.13.2005 no virus found
AVG 718 12.08.2005 BackDoor.Generic.SZK
Avira 6.33.0.61 12.13.2005 no virus found
BitDefender 7.2 12.13.2005 no virus found
CAT-QuickHeal 8.00 12.13.2005 no virus found
ClamAV devel-20051108 12.12.2005 no virus found
DrWeb 4.33 12.13.2005 no virus found
eTrust-Iris 7.1.194.0 12.13.2005 no virus found
eTrust-Vet 12.3.3.0 12.13.2005 no virus found
Fortinet 2.54.0.0 12.12.2005 no virus found
F-Prot 3.16c 12.12.2005 no virus found
Ikarus 0.2.59.0 12.13.2005 no virus found
Kaspersky 4.0.2.24 12.13.2005 Backdoor.Win32.Delf.aik
McAfee 4648 12.12.2005 no virus found
NOD32v2 1.1320 12.12.2005 probably unknown NewHeur_PE virus
Norman 5.70.10 12.13.2005 W32/Delf.BQI
Panda 8.02.00 12.13.2005 no virus found
Sophos 4.00.0 12.13.2005 no virus found
Symantec 8.0 12.13.2005 no virus found
TheHacker 5.9.1.054 12.13.2005 no virus found
VBA32 3.10.5 12.13.2005 no virus found

[umask]

Уважаемый Geser, я думаю вы и так должны знать, что детектирование по упаковщику может быть ошибочным :-(
Поэтому результат можно сильно исказить.
(нижеследующее не относится к словам выше)



--------------------------
AntiVir 6.33.0.61 12.13.2005 no virus found
Avast 4.6.695.0 12.13.2005 no virus found
AVG 718 12.08.2005 no virus found
Avira 6.33.0.61 12.13.2005 no virus found
BitDefender 7.2 12.13.2005 no virus found
CAT-QuickHeal 8.00 12.13.2005 no virus found
ClamAV devel-20051108 12.12.2005 no virus found
DrWeb 4.33 12.13.2005 no virus found
eTrust-Iris 7.1.194.0 12.13.2005 no virus found
eTrust-Vet 12.3.3.0 12.13.2005 no virus found
Fortinet 2.54.0.0 12.12.2005 no virus found
F-Prot 3.16c 12.12.2005 no virus found
Ikarus 0.2.59.0 12.13.2005 Trojan-Dropper.Win32.Delf.NO
Kaspersky 4.0.2.24 12.13.2005 no virus found
McAfee 4649 12.13.2005 no virus found
NOD32v2 1.1321 12.13.2005 no virus found
Norman 5.70.10 12.13.2005 no virus found
Panda 8.02.00 12.13.2005 no virus found
Sophos 4.00.0 12.13.2005 no virus found
Symantec 8.0 12.13.2005 no virus found
TheHacker 5.9.1.054 12.13.2005 no virus found
VBA32 3.10.5 12.13.2005 Trojan.MulDrop.2873

[Sanja]

Обычно можно выделить нормальный упаковщик от "хакерского" коим и является модифицированный Yoda Protector 1.3 детектируемый как Win32.Crypt.t и измененный только ради вирусов

Найдется хорошая программа запакованная этим чудом - будет написан и анпакер а так - зря силы тратить

[Geser]

Уважаемый Geser, я думаю вы и так должны знать, что детектирование по упаковщику может быть ошибочным :-(

В указанном выше случае детектирование не было ошибочным. Как и большинство файлов которые я проверяю эти были сняты с зараженного компьютера