Перейти к содержимому


Фото
- - - - -

срабатывание превентивной защиты


  • Please log in to reply
10 ответов в этой теме

#1 aperhov

aperhov

    Newbie

  • Posters
  • 3 Сообщений:

Отправлено 14 Ноябрь 2017 - 08:38

Здравствуйте.
 
Есть такая Галактика ERP. База в SQL, исполняемые файлы в расшаренной папке, у пользователей подключена как сетевой диск. Туда же в подпапки пишутся временные файлы, отчеты генерятся и тд.

Некоторое время назад в процессе работы (не при запуске, а уже в процессе работы, не у всех, не всегда) началось такое:
Прикрепленный файл  Снимок.JPG   24,4К   1 Скачано раз
Исполняемый exeшник блокируется (переместить в карантин не может, потому что он захвачен другими пользователями), до перезагрузки не запускается.
В логе на рабочей станции:

Preventive Protection event: Encoder
 
id: 21322, timestamp: 16:35:17.047, type: Encoder (40), flags: 5 (wait: 1), cid: 6980/5104:\Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe
  source context: start addr: 0x649e8c, image: 0x400000:\Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe
  hips: type: 17, action: deny [5]
  cmd: F:\galnet.rus\exe\AtlExec.exe  /c:F:\galnet.rus\galnet.cfg 
  encoder action: 2
  fileinfo: size: 3021856, easize: 39, attr: 0x2020, buildtime: 20.06.1992 01:22:17.000, ctime: 28.09.2017 05:43:30.656, atime: 13.11.2017 16:29:02.179, mtime: 04.07.2017 18:00:52.000, descr: Ядро 2-х уровневого Атлантис-приложения, ver: 5.5.28.3, company: Корпорация Галактика, oname: 
  hash: 0583df8cd7a6a002fd22667261fcfa7c48919db1 status: unsigned, pe32, mup / unsigned / unknown
threat: DPH:Trojan.Encoder.2 ==> send user blocked alert
path: \Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe ==> denied access to file
process: \Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe:6980 ==> suspended all threads in process
path: \Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe ==> quarantined
send driver event reply for unblock process ==> success
process: \Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe:6980 ==> terminated
disinfect: \Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe ==> quarantined [8]
threat: DPH:Trojan.Encoder.2 ==> sended user virus found alert
id: 21322 ==> denied [5], time: 7913.366403 ms

Два вопроса:

1. Уведомления об этом администратору не приходят, в консоли это никак не отображается (статистика - угрозы), это так и должно быть? На срабатывания SpIDer Guard и сканера все приходит/отображается.

2. Что должно быть написано в исключения превентивной защиты?

 

Сейчас стоит интерактивный режим, уровень оптимальный, в исключениях добавлены (все разрешено) 
Device\Mup\galaxy\VOL\galnet.rus\exe\atlexec.exe
F:\galnet.rus\exe\atlexec.exe

atlexec.exe

и все равно срабатывает.
 



#2 provayder

provayder

    Poster

  • Posters
  • 1 309 Сообщений:

Отправлено 14 Ноябрь 2017 - 10:47

С DPH детектами в тех.поддержку



#3 aperhov

aperhov

    Newbie

  • Posters
  • 3 Сообщений:

Отправлено 14 Ноябрь 2017 - 11:07

С DPH детектами в тех.поддержку


да уже отправлял Сообщить о ложном срабатывании Dr.Web с тем же логом экзешник.
но, 

 

 

Ваш запрос был проанализирован. Для присланного Вами файла указана категория "Ложное срабатывание", но на данный момент файл сканером Dr.Web не определяется как угроза.

 

Возможно, ложное срабатывание уже было исправлено специалистами ООО "Доктор Веб", или Вы указали неверную категорию.

 

Если Вы уверены, что данный файл представляет угрозу, пожалуйста, воспользуйтесь формой отправки повторно и укажите наиболее подходящую категорию запроса.
 

#7929758



#4 Afalin

Afalin

    Poster

  • Dr.Web Staff
  • 1 939 Сообщений:

Отправлено 14 Ноябрь 2017 - 11:08

Техподдержка – support.drweb.com. С этими детектами туда.


Сообщение было изменено Afalin: 14 Ноябрь 2017 - 11:09

Семь раз отрежь – один раз проверь

#5 Afalin

Afalin

    Poster

  • Dr.Web Staff
  • 1 939 Сообщений:

Отправлено 14 Ноябрь 2017 - 11:14

1. Уведомления об этом администратору не приходят, в консоли это никак не отображается (статистика - угрозы), это так и должно быть? На срабатывания SpIDer Guard и сканера все приходит/отображается.

Вообще не должно быть, но агент действительно это на сервер не сообщает.


Семь раз отрежь – один раз проверь

#6 Konstantin Yudin

Konstantin Yudin

    Смотрящий

  • Dr.Web Staff
  • 16 025 Сообщений:

Отправлено 14 Ноябрь 2017 - 11:26

>Что должно быть написано в исключения превентивной защиты?

нужно создавать правила в превентивной защите для этих процессов а не добавлять их в исключения
With best regards, Konstantin Yudin
Doctor Web, Ltd.

#7 aperhov

aperhov

    Newbie

  • Posters
  • 3 Сообщений:

Отправлено 14 Ноябрь 2017 - 11:35

Техподдержка – support.drweb.com. С этими детектами туда.

а https://my.drweb.com/biz/support/ это тогда что?

которое 
Ваши реквизиты доступа к личному кабинету бизнес-пользователя Dr.Web:

логин: 
пароль: 
Ссылка для входа в личный кабинет: https://my.drweb.com/biz/


позвонил голосом, типа да, тот запрос в техподдержку о ложном срабатывании это не туда запрос, хотя казалось бы... и та техподдержка, которая нужна, его не видит.

ладно, еще один сделаю.



#8 provayder

provayder

    Poster

  • Posters
  • 1 309 Сообщений:

Отправлено 14 Ноябрь 2017 - 12:14

тех.поддержка и вир.лаб это разные подразделения



#9 Jumbo Frame

Jumbo Frame

    Newbie

  • Posters
  • 91 Сообщений:

Отправлено 14 Ноябрь 2017 - 17:18

aperhov

 

Нужно правило создать в превентивной защите в "Списке приложений с персональными параметрами доступа к защищаемым объектам", для полного пути к файлу (F:\galnet.rus\exe\atlexec.exe), "целостность запущенных приложений - разрешать".


Dr.Web Server 10.01.0-201705110 (Linux 3.16.0-38-generic x86_64; Linux Mint 17.3 Rosa; glibc 2.19; NPTL 2.19)


#10 Kirill Polubelov

Kirill Polubelov

    Massive Poster

  • Dr.Web Staff
  • 2 110 Сообщений:

Отправлено 16 Ноябрь 2017 - 13:57

Галактика снова в белом списке. Можно убирать ранее добавленные файлы из исключений, надеюсь.


(exit 0)


#11 Konstantin Yudin

Konstantin Yudin

    Смотрящий

  • Dr.Web Staff
  • 16 025 Сообщений:

Отправлено 16 Ноябрь 2017 - 18:05

Исключения надо убрать в принципе, а правила в превентивке пусть будет, хуже не будет.
With best regards, Konstantin Yudin
Doctor Web, Ltd.


Читают тему: 1

0 пользователей, 1 гостей, 0 скрытых