Ложное срабатывание антивирусов

Здесь обсуждаются проблемы мироустройства.
Decoy
Posts: 1
Joined: Fri 31 Mar, 2006 02:19

Post by Decoy » Fri 31 Mar, 2006 03:44

Latest post of the previous page:

вообщем есть подозрение на 1.93 UPX! винрар в свое время тоже пытался им паковать, но многие антивирусы кричать начали...
Если не я, то кто?

roman_amur
Posts: 2
Joined: Wed 23 Aug, 2006 00:35

KAV/KIS vs Far

Post by roman_amur » Wed 23 Aug, 2006 01:35

после скачивания farManager170.exe KAV 5.0.712 с базами от 23/08 ругается что обнаружен вирус Trojan-PSW.Win32.Lineage.acn
Что делать?
Last edited by Guest on Mon 18 Oct, 2010 13:15, edited 1 time in total.
Reason: Изменён заголовок Темы

Kildor
Posts: 1515
Joined: Wed 16 Mar, 2005 06:26
Location: Новосибирск
Contact:

Post by Kildor » Wed 23 Aug, 2006 03:05

roman_amur
убить касперского.
Ибо он принимает за вирус UPX-сжатие исполняемых файлов фара.
Ты мне не выкай!
«ФарФорум не для пользователей!»
Upd:
P.S. Я просто поддерживаю беседу.» © Народ.

xmpp:kildor@jabber.ru

roman_amur
Posts: 2
Joined: Wed 23 Aug, 2006 00:35

отмена тревоги

Post by roman_amur » Wed 23 Aug, 2006 03:23

Каспер решил эту проблемму пока вроде бы :evil:
глюк с базами

Anze
Posts: 3
Joined: Tue 10 Feb, 2009 11:59

Far удаляет сам себя О_О

Post by Anze » Tue 10 Feb, 2009 12:09

Ситуация такая:
1. Windowx XP SP3 (в домене)
2. Сервер Windows 2k3 в домене
3. Примонтирован каталог с сервера к текущей машине (буква X: если что)
4. Запускается фар (1.7 или самый свежий (2.0) без установки прямо из архива, т.е. распакованый WinRaroм во временную папку)
5. Копируем бинарь фара (Far.exe) на сервер (в X:), т.е. тот бинарь из которого мы запустили Far
6. Фар копирует бинарь, закрывается, и удаляет себя! Да, удаляется исходный бинарь на локальной машине.

Если примонтированный диск находится не на Windows а на Unix машине, то всё нормально. Если копировать в пределах одно машины - всё нормально.
Проверял несколько раз, толко в такой ситуации происходит такая вещь.
Использую Far в течении 5+ лет, и никогда не видел такого бага..

User avatar
LEM
Posts: 29
Joined: Thu 07 Apr, 2005 14:38
Location: Астрахань
Contact:

Re: Far удаляет сам себя О_О

Post by LEM » Tue 10 Feb, 2009 17:30

Anze, антивирус какой ?

Копирование самого себя (aka "размножение"), особенно по сети - это симптом червя (Virus.Worm). В таких случаях поведенческий анализатор некоторых антивирусов может блокировать FAR (блокировать, убивать процесс, удалять или изгаляться как еще он умеет).

Anze
Posts: 3
Joined: Tue 10 Feb, 2009 11:59

Re: Far удаляет сам себя О_О

Post by Anze » Tue 10 Feb, 2009 22:31

Касперский с последними базами.

Проблема как бы не совсем в размножении, потому что:
1. при копировании локально Far.exe - всё нормально.
2. при копировании Far.exe на примонтированный диск с машины юникс - всё нормально.
3. при копировании Far.exe на примонтированный диск с машины винды - закрывается и удаляется.

User avatar
LEM
Posts: 29
Joined: Thu 07 Apr, 2005 14:38
Location: Астрахань
Contact:

Re: Far удаляет сам себя О_О

Post by LEM » Wed 11 Feb, 2009 05:23

Под юниксом тоже Касперский стоит ?

Под виндой попробуй отключить Касперского и проверить копирование.

UJvu
Posts: 156
Joined: Tue 03 May, 2005 15:38
Location: Севастополь
Contact:

Re: Far удаляет сам себя О_О

Post by UJvu » Wed 11 Feb, 2009 12:26

Ещё можно взять Process Monitor и посмотреть кто кого удаляет :)

User avatar
Centaur
Posts: 1083
Joined: Tue 05 Apr, 2005 20:09
Location: Novosibirsk, Russia

Re: Far удаляет сам себя О_О

Post by Centaur » Wed 11 Feb, 2009 15:52

Ну, справедливости ради надо сказать, что удалять, по идее, должен WinRar.

User avatar
LEM
Posts: 29
Joined: Thu 07 Apr, 2005 14:38
Location: Астрахань
Contact:

Re: Far удаляет сам себя О_О

Post by LEM » Wed 11 Feb, 2009 16:31

Centaur, WinRAR его может удалить только после нормального закрытия из самого FAR - в этом случае приложение во временной папке больше не нужно, и его можно удалить.

А в обсуждаемом случае FAR закрывается сразу же после копирования, внезапно. Впрочем проверить недолго, у меня KIS 2009. Копирую Far.exe на другой локальный диск - все нормально. Копирую (работающий) Far.exe на ресурс по сети - программа закрывается, Far.exe удаляется. Распространение самого себя по сетке - это поведение червя, о чем антивирус Касперского выдает соответствующее сообщение после удаления им самого "вируса" Far.exe:

Image

Замечу, что в этом эксперименте WinRAR участие не принимал, а сам FAR запускался из копии и потому не пострадал. :)

User avatar
DrKnS
Posts: 4561
Joined: Thu 04 Aug, 2005 06:44
Location: Kyiv
Has thanked: 2 times
Been thanked: 113 times
Contact:

Re: Far удаляет сам себя О_О

Post by DrKnS » Wed 11 Feb, 2009 16:44

Распространение самого себя по сетке - это поведение червя, о чем антивирус Касперского выдает соответствующее сообщение после удаления им самого "вируса" Far.exe
И у них ещё хватает наглости это продавать, причём за деньги. Ужас.

User avatar
Skirda
Posts: 3474
Joined: Wed 16 Mar, 2005 11:01
Been thanked: 1 time

Re: Far удаляет сам себя О_О

Post by Skirda » Wed 11 Feb, 2009 17:21

DrKnS, могу еще один "ужас" рассказать :ha:

Имеем на борту каспер-антивирь для ISA сервера...
Если включаем фильтр для протокола FTP, то... пофигу - есть ли у какого-то FTP-сайта докачка или ее нет - в любом случае докачать мы ничего не сможем.
Касперы говорят, что это фича такая :crazy:
We are the Borg. You will be assimilated.
So Say We All!

User avatar
Александр Кряжев
Posts: 882
Joined: Sun 03 Dec, 2006 10:09
Location: Витебск
Has thanked: 1 time
Contact:

Re: Far удаляет сам себя О_О

Post by Александр Кряжев » Wed 11 Feb, 2009 17:29

Прикольно... :ha: Следующим шагом будет удаление far после нажатия f4 (файлы ведь только черви "редактируют")... А потом - снос всей системы после любого действия... (Мало ли, что там происходит? Что-то изменилось - явно вирус!..) Касперский жжот!.. :ha:

Фар - маргинальный продукт. (c) zg

User avatar
Wave
Posts: 1707
Joined: Thu 04 Aug, 2005 18:47
Location: Харьков, Украина
Has thanked: 2 times
Been thanked: 9 times
Contact:

Re: Far удаляет сам себя О_О

Post by Wave » Wed 11 Feb, 2009 18:04

А я подумывал о нём (каспере) в связи с фичей доктора веба «лечение удалением». Теперь вот думаю ещё поискать что-то.
Пользуюсь ФАРом больше 15 лет © собирательный.

Anze
Posts: 3
Joined: Tue 10 Feb, 2009 11:59

Re: Far удаляет сам себя О_О

Post by Anze » Mon 09 Mar, 2009 12:52

Да, но у меня КИС не стоит, стоит только КАВ.
Если бы ругалось на поведение как у вируса я бы даже не спрашивал что это такое...
И тем более почему удаляется только с виндовых машин, а с юниксовых нет?

User avatar
Tim Sobolev
Posts: 693
Joined: Fri 01 Apr, 2005 14:46
Location: Украина
Contact:

Re: Far удаляет сам себя О_О

Post by Tim Sobolev » Sat 14 Mar, 2009 20:38

Wave wrote:А я подумывал о нём (каспере) в связи с фичей доктора веба «лечение удалением». Теперь вот думаю ещё поискать что-то.
А зря, 2009 кис рулит, даже в режиме блондинки
Anze wrote:И тем более почему удаляется только с виндовых машин, а с юниксовых нет?
совпадает формат копируемого исполняемого файла и исполняемого файла, поддерживаемого системой. Если ты копируешь себя -- ты червь (жестко зашито в KAV, настраивается для конкретного бинарника в KIS).

Post Reply

Return to “О тщете всего сущего”