Just illumination of Sality detection by special Kaspersky Tool vs NIS 2010

[Niko2]

Virus.Win32.Sality: Norton and Kaspersky detections
http://community.norton.com/t5/Norto...ns/td-p/273514

кратко:
стоит Norton Internet Security (NIS) 2010 всегда полностью обновленный
кол-во запусков спец. утилиты от Лаборатории >= кол-ву внесенных ею исправлений в систему. и так при каждом ее периодическом запуске уже как минимум неск. месяцев. внимание, вопрос - так комп реально заражен и нортон не может обезвредить заразу или всегда обновляемая спец. утилита лаборатории в своих результатах сканирования всегда ерунду кажет?

увидим, точнее запросили объяснений.

а сумантек наверно как всегда отмолчится, только некомпетентные пользователи выскажут свои идеи и все. это как всегда. открывал на сайте сообщества нортона вопросов 15-17 и в течение 2.5-3 недель никогда не видел ответов от работников компании. так и хочется спросить:там вообще, кроме бото-подобных юзеров, живые есть?)

кстати мнение здешних спецов тоже очень интресно, ведь рассматривается и утилита Лаборатории...
снимок экрана результатов работы утилиты, пожалуйста, посмотрите в той ветке, что указана в начале сообщения или отдельно тут (копия):

[antanta]

Дело в том, что Sality вносит в системный реестр изменения, делающие невозможной загрузку в safe mode. SalityRegCure исправляет это (может быть, что-то еще). Процедура выполняется для профилактики, и выполнение этой процедуры не свидетельствует о заражении.
То есть - никто тут ерунду не кажет. По крайней мере, это следует из скриншота.
А с этм:

Why kaspersky tool always fix my system files, what scripts it blocked?
Once I saw "4" number in one of now "0" string

- надо видеть логи тех запусков.

SalityKiller -help

[Niko2]

Спасибо за ответ.

К сожалению старый логов не сохранил. Просто замечал что что-то все же исправляет, потенциально думал не справляется основной антивирус. вот когда это случилось в который раз уже не смог удержаться, не спросить: так в чем же дело, господа?..

Есть еще 2 вопроса:

Если утилита делает профилактические действия с реестром, то почему она пишет "исправляю/восстанавливаю" а не "проверяю" или просто "проверено, действие не требуется/изменений не внесено". все таки так все будет называться своими именами. она не вносила никаких изменений или они были сделаны - тогда одно от другого отличить нельзя. а для чего отличить? элементарно - чтобы убедиться в эффективности действий основного установленного продукта (если у него много недостатков, кто же его тогда будет использовать?).
или утилита каждый раз вносит изменения по-любому, вне зависимости от того, что там было, просто перезаписывает?


И второй:
что за интересная информация:
запущенные скрипты реестра: 1
что за скрипт? активного заражения?

[antanta]

Если утилита делает профилактические действия с реестром, то почему она пишет "исправляю/восстанавливаю" а не "проверяю" или просто "проверено, действие не требуется/изменений не внесено".

Этот вопрос следует задать разработчикам.

а для чего отличить? элементарно - чтобы убедиться в эффективности действий основного установленного продукта

Здесь нам помогут строчки следующего вида:

Infected xxxxxxx - 0

что за интересная информация:
запущенные скрипты реестра: 1
что за скрипт? активного заражения?

Даже при отсутствии активного заражения возможны нарушения работы ОС, возникшие в результате заражения в прошлом. В такой ситуации ОС функционирует нормально в обычном режиме, но может загрузиться в "безопасном". Для исправления этого запускается упомянутый скрипт.

или утилита каждый раз вносит изменения по-любому, вне зависимости от того, что там было, просто перезаписывает?

Это можно выяснить у разработчиков, либо самостоятельно, используя утилиту Regmon или подобные ей. Могу предположить, что скрипт проверяет валидность некоторых ключей реестра, и, в случае обнаружения неправильных записей, исправляет. Если интересует, что именно правит скрипт, могу поделиться соответствующими reg-файлами. Возможно, они не вполне актуальны, но помогут составить представление о действиях скрипта.

[Niko2]

как уже писал - что самое-то интересное - запускал утилиту раз 5-6 в течение последних 3-4 месяцев и всегда она говорила, что исправляет записи реестра и постоянно не все нижние строки нулевые (когда-то даже в одной из них была запись "4" не помню точно в какой)

[antanta]

Niko2, В случае активного заражения взору является много, обычно - очень много строчек с именами пролеченных файлов(если не подхватили заразу непосредственно перед проверкой). И всегда бывают заражены несколько процессов.
Про исправление записей реестра - требует дополнительных пояснений? Ну а:

(когда-то даже в одной из них была запись "4" не помню точно в какой)

Представляю Ваше общение с разработчиком в подобном ключе

[Niko2]

>Про исправление записей реестра - требует дополнительных пояснений?

поянение, точнее совет уже был, спасибо:
>Этот вопрос следует задать разработчикам.

>Представляю Ваше общение с разработчиком в подобном ключе

1) ну не стоит дотошно цепляться к словам, нужно узнать общий смысл: что значат вхождения в отчет
2) то был давнишний отчет, насчет него не известно что как, я про него и не спрашиваю, а просто говорю что было всякое, не всегда одно и тоже, как на приведенном скриншоте