Marea revelatie Avira 8. Sau nu.

Am de doua saptamani Avira Premium Security Suite 8.0.206. Ma uitam la un film mai devreme si au inceput sa-mi apara pagini de IE pe ecran cu zeci de reclame (in timpul vizionarii, va dati seama   ). Avira updat-at la zi, si cu toate astea, am un folder nou nouț numit IAS in C:\ si un fisier svchost.exe de 179KB, care s-a apucat sa-mi genereze *.vbs-uri prin C:\Windows si care ma umplu de reclame la loterii care mai de care mai tentante.   Desigur ca acest svchost deja pornit (si nedetectat la timp de avira) in sistem nu mai mergea dat cu clor, fiind injectat prin procesele sistemului.

Am instalat vechiul NOD Antivirus 2.79 si caut si cu el in acel folder si gaseste: "C:\ias\svchost.exe ?PECompact v2.xx - Win32/Delf.BUA trojan". Caut pe Google si gasesc date despre el aici: http://research.sunb...threatid=271244 , "installed without user interaction through security exploits, and can severely compromise system security. Such risks may open illicit network connections, use polymorphic tactics to self-mutate, disable security software, modify system files, and install additional malware" deci nici o grija, "e doar un polimorfic".  

N-am stat prea mult pe ganduri si mi-am pus imaginea facuta cu Ghost-ul acum 2 zile, in 2 minute, ca sa nu-mi bat capul cu BUA ăsta. Pentru un premiant la capitolul detectie, si la cat e de laudat, a cam dat-o in bara Avira pe langa NOD 2.79 care e cam old dealtfel. Si cand ma gandesc ca am schimbat NOD-ul pe Avira, dar ii mai acord o sansa, NOD-ului.



PS: Apropo, cine il vrea, l-am arhivat, il facem tocăniță pe sâmbătă. PM.

Edited by alexandrudicu, 02 June 2008 - 22:30.

Si eu folosesc Avira 8 + Comodo momentan . Il vreau eu. Mi-e dor de o reinstalare de Windows.

Nu-mi trimiti si mie de-o tocanita?

Am instalat si eu Avira de proba. Mi-a gasit o gramada de fisiere fals-pozitiv infectate (verificate cu mai multi AV online). Asa ca... back to Nod32.

L-am scanat si eu cu Avira si intr-adevar nu este detectat ca fiind o amenintare. Am incercat si cu ESET Smart Security 3.0 si, bineinteles, acesta l-a recunoscut ca fiind suspect.
Am trimis fisierul respectiv spre analiza la cei de la Avira. Sunt curios cat de repede iau masuri.
PS: Ma bate gandu'  sa iau o licenta de Smart Security/NOD32.

Edited by ady_9, 03 June 2008 - 19:17.

ady_9, on Jun 4 2008, 03:13, said:

Chiar iti recomand...

Si pentru ca nimeni nu s-a gandit sa faca o scanare pe VirusTotal, astea sunt rezultatele: http://www.virustota...d5b28fdb45adfa3

Sincer sa fiu, nu stiam de acest Virus Total. Oricum, rezultatele sunt suprinzatoare. Mai mult de 50% dintre antivirusii cunoscuti nu il detecteaza.

Intr-adevar Avira nu-l detecteaza si nu incerc sa-l apar, insa vreau sa atrag atentia asupra unor aspecte:

1. zilnic apar circa 1500 de virusi noi si nici un antivirus nu-i va detecta pe toti. Nu exista antivirus perfect.
2. nu poti spune ca antivirusul X este mai bun ca antivirusul Y doar pentru detectia unui singur virus. Din acelasi motiv testele se fac pe sute de mii de virusi. Daca treci de la un antivirus la altul la o ratare a unui virus sau la o alarma falsa vei fi dezamagit mereu din motivul enuntat la punct-ul 1.
3. exista zilnic virusi ratati de marii producatori si fiecare incearca sa-i adauge cat mai rapid pe masura ce-i primesc.

Si uite ca a venit si raspunsul de la echipa Avira:
"Welcome back, Mr Ady Varian!

Our Virus Research Team still works on your submission"

Raspuns prompt, dar inca se pare ca nu au luat masuri.

ady_9, on Jun 3 2008, 21:55, said:

Asta este doar un raspuns automat pe care-l primesti la fiecare trimitere a unui virus si fiecarei submisii i se atribuie un numar de ordine.
Analiza va veni probabil mai tarziu sau maine, iar virusul va fi adaugat probabil inainte de a-ti trimite raspunsul.

pykko, on Jun 3 2008, 21:46, said:

De acord cu tine, ca nu e suficient un virus ca sa-ti schimbi antivirusul, nici eu nu sunt absurd, insa mie mi se pare destul de important acest "bug" din moment ce au inceput sa-mi apara pagini cu loterii pe ecran din senin. Daca era un simplu troian care imi da disable la task manager sau chestii softcore, era acceptabil, insa asta era prea hardcore ca sa fie trecut cu vederea tocmai de Avira Number One. Daca il rata Sophos Antivirus, intelegeam.  

alexandru nici nodu nu te poate proteja de el.

toata faza e urmatoarea:  trojanul a infiltrat sistemul tau printr-o bresa a sistemului de operare s-au a unui soft instalat pe sistemul tau  si ti-a dezactivat antivirusul.

deci sfatu meu ar fi sa-ti instalezi iara Avira, sa instalezi si un firewall decent gen comodo, outpost, online armor, zone alarm si un antispyware cu protectie realtime.

Blackhat, on Jun 4 2008, 11:33, said:

Au adaugat deja definitie.

foarte tare.  nice job

Tin sa mentionez ca l-am trimis eu ieri spre analiza si azi am fost anuntat ca a fost adaugat .

Exact cum a spus și Pykko, nici unul nu le va recunoaște pe toate. Am avut și eu un troian pe care NOD32 nici nu-l băga în seamă, dar pe care Antivir l-a găsit.

Avira a ieșit de mai multe ori primul la detecție cu 98% sa zicem pe eșantioane de 100 000 de malware-uri. 2% missed din 100 000 inseamna 2000 de forme de malware nerecunoscute. E puțin pentru o firmă care primește sute de mii de mostre de malware spre analiză și enorm pentru un user obișnuit. Asta e... Nimic nu e perfect pe lumea asta.

Pentru fișiere foarte dubioase, puteți folosi oricând engine-uri multiple, gen virustotal (știu că nu se aplică în cazul tău, unde a fost folosit un exploit, dar oricum o scanare multiplă va fi întotdeauna mult mai sigură decât una pe un singur antivirus)

L.E. Oricum, webul a devenit un mare junkyard. E aproape imposibil pentru un om cu cunoștințe normale de calculatoare să faca browsing în siguranță. Pune-i tu unei verișoare sau unei rude un antivirus cu false positives + un firewall care cere user interaction pentru stabilirea unor reguli și vezi ce-o să iasă

Fără puțină educație și experiență acumulată în privința locurilor pe care ai voie să le vizitezi, ești în pericol tot timpul, iar soluțiile de "protecție" devin tot mai complexe și mai străine pentru Joe Sixpack, care n-are habar de calculatoare. Trist...

Edited by Tomkaten, 04 June 2008 - 13:20.

Antivirus	  Version	  Last Update	  Result
AhnLab-V3	2008.5.30.1	2008.06.04	-
AntiVir	7.8.0.26	2008.06.04	Worm/Rbot.1304008
Authentium	5.1.0.4	2008.06.04	-
Avast	4.8.1195.0	2008.06.04	-
AVG	7.5.0.516	2008.06.04	-
BitDefender	7.2	2008.06.04	-
CAT-QuickHeal	9.50	2008.06.03	-
ClamAV	0.92.1	2008.06.04	-
DrWeb	4.44.0.09170	2008.06.04	-
eSafe	7.0.15.0	2008.06.03	-
eTrust-Vet	31.6.5847	2008.06.04	-
Ewido	4.0	2008.06.04	-
F-Prot	4.4.4.56	2008.06.02	-
F-Secure	6.70.13260.0	2008.06.04	-
Fortinet	3.14.0.0	2008.06.04	W32/RBot.KKW!tr.bdr
GData	2.0.7306.1023	2008.06.04	-
Ikarus	T3.1.1.26.0	2008.06.04	Backdoor.IRCBot.ABSW
Kaspersky	7.0.0.125	2008.06.04	-
McAfee	5309	2008.06.03	-
Microsoft	1.3604	2008.06.04	-
NOD32v2	3157	2008.06.04	-
Norman	5.80.02	2008.06.03	Malware.CVIA
Panda	9.0.0.4	2008.06.04	-
Prevx1	V2	2008.06.04	Malicious Software
Rising	20.47.22.00	2008.06.04	-
Sophos	4.30.0	2008.06.04	Sus/ComPack-C
Sunbelt	3.0.1144.1	2008.06.04	Backdoor.Rbot
Symantec	10	2008.06.04	-
TheHacker	6.2.92.333	2008.06.03	-
VBA32	3.12.6.7	2008.06.03	Backdoor.Win32.Rbot.kkw
VirusBuster	4.3.26:9	2008.06.03	-
Webwasher-Gateway	6.6.2	2008.06.04	Worm.Rbot.1304008

Eu ce sa cred din scanarea asta? Este executabilul din Active file recovery.