Что делать с ложными срабатываниями?

Non-English Boards Русский
21
22

А можно сравнить на уровне “лучше-хуже” аваст и MSE по этим опциям?

23

vadim170552
Можно было просто отредактировать предыдущее сообщение, а не создавать ещё одно.

24

Целое исследование получилось, спасибо. Понимаю теперь, почему мои запасы старых антивирусов ничего не нашли. Думаю, что такие объекты лучше бы удалять, хотя бы для того, чтобы антивирусник не паниковал.

Кстати, если у вас найдется немного свободного времени, то может быть вы посмотрите на второй объект – тот, в котором Аваст видит DarkAvanger-1536/1800?
вот он
Заведомо чистого файла у меня нет, все копии этой игрушки (StarGoose 1988), какие я только смог сейчас отыскать, немного отличаются от той копии, что хранится у меня. Однако могу с уверенностью сказать, что длина в 32000 байт соотвествует оригиналу.

25

Хорошо. Ð’ этом исследовании мы попробуем поставить под сомнение то, что из баз современных антивирусов исключают старые вирусы…(хотя исключения из правил всегда есть…)

DarkAvanger-1536/1800 (по классификации Dr.Web - Eddie.1530 и Eddie.1800)

[i]Eddie.1530
Опасный резидентный вирус. Иногда “вешает” систему и изменяет тип диска
в CMOS-памяти.
Eddie.1800 (1-3)
Очень опасные резидентные вирусы. Производят запись в случайные сектора
текущего диска 512 байт своего кода. Перехватывают INT 21h, 27h. Не
дают изменить адрес вектора INT 21h. INT 27h используется для контроля
за INT 21h. Первоначальный вариант вируса содержал текстовые строки:

    Eddie lives...somewhere in time!
    Diana P.
    This program was written in the city of Sofia (C) 1988-89 Dark Avenger[/i]

http://stfw.ru/page.php?id=9120

Берём два файла зараженных Eddie.1800 - один оригинальный, второй - Московский штамм, в котором сообщение “Eddie lives… somewhere in time” заменено на
“B O R O D A мстит во времени”.

Проверяем их на вирустотал:

  1. Результат первого
    File name: DA-1800D.COM
    Submission date: 2011-09-12 19:21:09 (UTC)
    Result: 40/ 44 (90.9%)
    http://www.virustotal.com/file-scan/report.html?id=79f9a330739b4d30379303e1e563deff867d9677922faf9f011073f79cd412b4-1315855269

  2. Результат второго:
    File name: DA-1800B.COM
    Submission date: 2011-09-12 19:22:12 (UTC)
    Result: 40/ 44 (90.9%)
    http://www.virustotal.com/file-scan/report.html?id=ed9d688705f71a05e4c564e86d8ba73da075b008b36e039e409176b6c2bd167a-1315855332

Как видим, если файлы действительно заражены, то это отметили все уважаемые антивирусы.
Ну, и результат проверки вашего файла:
http://www.virustotal.com/file-scan/report.html?id=fcb73b98ac4903c7176bfb710900d9912c0fc0c83e5e1f63952079df28b611d1-1315851399
Видимо, Аваст опять ругается на остатки кода вируса в вылеченом файле…

26

Есть! Характерный кусок, 512 байт, от 0x6000 по 0x61ff, единственный фрагмент файла, похожий на программный код, начинается как раз с этой строки.
Вот, видимо на нее аваст (и прочие) и реагирует.
Весь остальной объем – растровая графика, я полагаю. Комбинации битовых тетрад 0x0, x1, 2, 6, 9, b, f занимают 96% объема.

Файл - не исполняемый. Контент более всего похож на графические элементы и весьма схож с контентом остальных *.X файлов из этой игрушки. Он не мог быть выбран для заражение по маске *.exe/com, не мог быть заражен на перехвате ДОС-функции exec.
Каким образом в него попал фрагмент тела вируса - тайна сия велика есть.

27

Красиво, я так не умею :cry:

28

Касательно ложных срабатываний…

Информация о последнем обновление

Версия:11091301
Дата:2011-09-13
Добавлены новые вирусы:-30
This VPS update contains only fixes to existing definitions or removal of false alarms.

29

Кнопка “Modify”

30

Почти всегда у Аваста после большой обновы ложняки (перед этим была - New virus definitions added:7386).

31

А мне главное то, что у аваста отличный детект, хороший песок и то, что он один из немногих прошёл достойно тесты Рампанта. Это реальный показатель) Особенно потешно смотреть на то, что бесплатная версия аваста даёт жару некоторым платным продуктам. Хехехе))) Что уж говорить про платную)

32

Aryen
Что за тест? Ссылочку можно?

Dim@rik
Это же роботы работают, в случае чего аналитики руками допиливают. Сейчас так все антивирусные вендоры работают.

33

Спс за инфу…я в курсе.

34

http://www.youtube.com/user/OldRampant

35

Благодарю. ::slight_smile: