Sandynist — мой блог

меня больше смущает что КИС детектит шифровальщик как трояна

такие вещи нужно рубить на корню

 

ты настоящий тестер, проделал огромную работу, от меня респект и уважуха!

Если уточнить по вирустоталу сейчас, то Trojan-Downloader.Script.Generic  https://www.virustotal.com/ru/file/97bdf9115e30457d48bdfaa8d55f1377d60df594bbf2c0df6264bf7778c33f3f/analysis/1469895481/

Sandynist настройки по умолчанию не пробовал поменять?

Включить обнаружение других угроз: http://support.kaspersky.ru/12407 и включить максимальную защиту?

Sandynist настройки по умолчанию не пробовал поменять?

Включить обнаружение других угроз: http://support.kaspe...ersky.ru/12407 и включить максимальную защиту?

пользователь не должен ковыряться в настройках

поставил и должно всё отлавливать по умолчанию

Pomka. это зависит от пользователя, хочет поймать шифровальщика и зашифровать все документы, то да, можно ничего не настраивать, не хочет-- меняет настройки под себя.
 

Sandynist перепроверь файл, он должен детектироваться иначе: Trojan-Ransom.JS.Agent.bq

Проверить где? Если на Вирустотале, то вчера проверил, и ссылка приведена выше, если на KAV 2017, то он детектирует этот скрипт как PDM:Trojan.Win32.Badur.a , кстати тоже проверено вчера. И смысл перепроверки в чём?

Sandynist 

обнови, пожалуйста, антивирусные базы и перепроверь повторно файл, так как изначально у тебя детектирование идет компонентом, а не базами.

Выше написал как должен детектироваться файл в базах и в VirusTotal, после чего его должен детектировать и Free версия.

 

Ты видимо невнимательно читал условия тестирования —  все антивирусы устанавливались, затем обновлялись, после этого перезагружалась система, делалась точка отката, после чего проводился тест.

Sandynist 

Я все прочитал. Мне нужен результат как сейчас детектируется файл,а не как он раньше детектировался.

Нужно просто обновить антивирусные базы повторно и проверить файл или загрузить его повторно на Virustotal и предоставить результат с новой проверкой.

И как это повлияет на результаты вчерашнего теста?

И как это повлияет на результаты вчерашнего теста?

забей на тролля)) у него пользователь должен изучать и настраивать антивирус, 

после этого уже можно завязывать обсуждение

Перепроверил, по просьбам трудящихся )) https://www.virustotal.com/ru/file/97bdf9115e30457d48bdfaa8d55f1377d60df594bbf2c0df6264bf7778c33f3f/analysis/1469954827/

 

Вчера я отправил скрипт в DrWeb, результат не замедлил себя ждать, добавили детектирование оперативно.

Sandynist

Хм, очень странно. Должно было быть так: Trojan-Ransom.JS.Agent.bq , а как продукт детектит?

"Вчера я отправил скрипт в DrWeb, результат не замедлил себя ждать, добавили детектирование оперативно."

 

Думаю добавление присланных зловредов у DrWeb работает так же, как добавление зловредов у ЕСЕТ, сначала они все подозрительное добавляют в детект, а уже через 1-3 недели досконально проверяют и или вытаскивают файл из детекта или оставляют, так кстати работаю почти все производители защитных продуктов. 

Не знаю, что лучше — добавлять как DrWeb все подряд присланные вредоносные файлы, или тупо игнорить все присланные вредоносные файлы, как это делает вирлаб Лаборатории Касперского?

 

Обновил запись, добавил тестирование зверушки на устаревшем корпоративном антивирусе WKS6 MP4, результаты этого дополнительного тестирования всё же говорят, что вариант вирлаба компании DrWeb предпочтительнее.

Не, ну они не совсем игнорят, просто на проверку уходит какое то время, кстати обычно когда я им посылал на проверку файлы, они мне отвечали достаточно быстро(в течении суток) и что самое смешное, часто от ДрВеб и Касперский приходили противоположные версии, Др отвечал что это точно зловред, а Каспер что файл чистый и честно говоря Касперу в этом плане я верю больше, потому что посланные файлы чаще всего были ложными срабатываниями, из за этого я и посылал, что бы убрали детект, но у многих вендоров заиметь ложный детект легко, а вот снять тяжело, они не любят признавать свои ошибки)

Хотя вот например если написать о ложном срабатывании в Malwarebytes Anti-Malware они стабильно снимают детект за 3-4 часа, другое дело у меня закрадываются сомнения, они реально провели обследование присланного файла или просто поверили мне на слово)

На то это и бесплатный антивирус, чтобы не иметь разных полезных плюшек, которые есть в платных версиях. Разработчики тоже кушать хотят все таки.

mike 1

Самое интересное почему антивирус и Virustotal детектируют его компонентом, если он уже есть в базах: Trojan-Ransom.JS.Agent.bq.

Sandynist

Можете отправить файл в ЛС с паролем: infected для проверки, который ранее отправляли в [KLAN-4733379059] и [KLAN-4726601605]?

На то это и бесплатный антивирус, чтобы не иметь разных полезных плюшек, которые есть в платных версиях. ...

 

Я уже вполне прозрачно намекнул каким образом выйти из этой ситуации на примере Комода. Лаборатория Касперского забросила свою разработку в виде песочницы, которая сейчас была бы как нельзя кстати. Пусть добавят песочницу в Kaspersky Free, как я понимаю такой «полезной плюшки» нет в платных версиях продуктов. Тогда бы и овцы были сыты, и рогами бы волков не забодали.

Пусть добавят песочницу в Kaspersky Free, как я понимаю такой «полезной плюшки» нет в платных версиях продуктов. Тогда бы и овцы были сыты, и рогами бы волков не забодали.

 

 

Мне кажется бессмысленно изобретать то, что уже изобретено и проверено временем, нет никакой проблемы с Kaspersky Free установить Комодо фаервол, который добавляет к урезанному касперу именно то что нужно, хороший хипс и песочницу, тем более оба продукта в связке работают очень корректно, сам сидел на такой с пол года)

Мне кажется, что изобретать тут вообще ничего не нужно. Лаборатории Касперского просто нужно посмотреть в кладовке (в серверной, в сейфе, который хранит чертежи прошлых разработок) и приделать песочницу для Kaspersky Free. Много труда для этого не понадобится. Не смогут сделать этого лишь по двум причинам:

1) Лень и всем пофиг (профита то всё равно финансового никакого) 2) Претензии к песочнице, разработанной в KL, у какого-либо из «патентных троллей». Если второй вариант и тролль пытается отсудить много бабла за патент, то тогда это будет несбыточной мечтой. Ну а если первый вариант, то есть смысл побороться за продукт, например — составить петицию и собрать подписи ))

Сделал сегодня ещё одну проверку файла на Вирустотале — DrWeb удалил шифровальщика из своих антивирусных баз  https://www.virustotal.com/ru/file/97bdf9115e30457d48bdfaa8d55f1377d60df594bbf2c0df6264bf7778c33f3f/analysis/1470241943/

 

Хотя вроде бы ещё вчера они писали: 

 

Ваш запрос был закрыт Автоматической Системой в связи с тем, что на данный момент найденная Вами угроза уже обнаруживается антивирусом Dr.Web.

 

В Службу вирусного мониторинга компании «Доктор Веб» поступает большое количество запросов от пользователей. Образец угрозы, присланной Вами, был прислан другим пользователем ранее и уже проанализирован вирусными аналитиками «Доктор Веб». Соответствующая запись в вирусной базе Dr.Web уже существует.

 

 

Угроза: Trojan.DownLoader22.13470

 

Sandynist

Уже почти неделя прошла и так мало антивирусов детектирует данный вирус?

Сейчас явно его Kaspersky Free 2017 должен ловить. http://www.kaspersky.ru/free-antivirus

Я же дополнил в статье — теперь все продукты Лаборатории Касперского обнаруживают его с помощью сигнатуры.