87 ответов в этой теме

[Anmawe]

После запуска Trojan.Packed.21815 вредоносное ПО, находящееся в оперативной памяти, не обнаруживается Curelt . Почему не обнаруживается, когда вредоносное ПО уже запущено (заражает другие процессы) ? Вроде бы должен обнаруживать ? В антивирусной базе он есть .

 

Если просканировать весь компьютер, то Curelt конечно найдет Trojan.Packed.21815 , но весь комп сканировать долго, а оперативная память сканируется быстро .

 

 

 

 

[RomaNNN]

Сигнатуры именно в памяти делаются редко, в основном для эпидемий вирусов. А так в CureIt-е есть быстрая проверка, которая обнаружит этот файл, прибьет его на диске и в памяти + почистит реестр.

[Borka]

После запуска Trojan.Packed.21815 вредоносное ПО, находящееся в оперативной памяти, не обнаруживается Curelt . Почему не обнаруживается, когда вредоносное ПО уже запущено (заражает другие процессы) ? Вроде бы должен обнаруживать ? В антивирусной базе он есть .

Во-первых, детект в памяти делается отнюдь не для всех угроз, а только для тех, лечение которых без нейтрализации в памяти невозможно. Во-вторых, что есть "заражает другие процессы"? В-третьих, если есть процесс, то есть и файл, породивший этот процесс. При проверке памяти этот файл должен быть проверен, равно как и при проверке стартапов. У Вас не так?

в основном для эпидемий вирусов.

М... Исключительно при лечении сложных угроз.

[mrbelyash]

1)если судить по имени Trojan.Packed.21815 то оно не должно заражать.

2)может не правильную запись аналитик сделал. В вирлаб-запрос на лечение.

[Anmawe]

Malware Defender писал, что Trojan.Packed.21815 создает поток в другом процессе . Trojan.Packed.21815 завершает работу после запуска и его нет в диспетчере задач, но вредоносные действия совершают другие процессы . Explorer.exe заражает флэшку, которую воткнули, iexplorer не пускает на virustotal .

 

https://www.virustotal.com/ru/file/7fa54fe61f0e18b84baa44d817e2186c08956595f0ff644f667cd5f29d77d226/analysis/1372326180/

то ли троян, то ли червь .

 

Если просканировать автозагрузки (это системный каталог Windows ? ), то сканер удалит вредоносное ПО и после перезагрузки это ПО не будет запускаться. Для чего тогда память сканировать, если эффективнее сканировать автозагрузки ?

[mrbelyash]

Сделайте логи в помощи по лечению. Так будет проще.

[RomaNNN]

Malware Defender писал, что Trojan.Packed.21815 создает поток в другом процессе . Trojan.Packed.21815 завершает работу после запуска и его нет в диспетчере задач, но вредоносные действия совершают другие процессы . Explorer.exe заражает флэшку, которую воткнули, iexplorer не пускает на virustotal .

 

https://www.virustotal.com/ru/file/7fa54fe61f0e18b84baa44d817e2186c08956595f0ff644f667cd5f29d77d226/analysis/1372326180/

то ли троян, то ли червь .

 

Если просканировать автозагрузки (это системный каталог Windows ? ), то сканер удалит вредоносное ПО и после перезагрузки это ПО не будет запускаться. Для чего тогда память сканировать, если эффективнее сканировать автозагрузки ?

 

У вас после быстрой проверки в CureIt-е что-то осталось?

[Borka]

Для чего тогда память сканировать, если эффективнее сканировать автозагрузки ?

Эти проверки разные, для разных целей. При Быстрой проверке проверяется И память, И автозагрузки. Это не замена одного другим, это дополнение. Сигнатуры для детекта в памяти делаются редко, но только для тех сусликов, лечение которых без нейтрализации процесса невозможна. Аналитики не посчитали нужным сделать детект для конкретного сэмпла. При проверке (любой!) суслик все равно будет найден.

[Anmawe]

У меня Curelt конкретно этот файл в автозагрузке не просканировал (то, что в CurrentVersion/Run/Rczkzb.exe). Галочки поставил на Оперативная память, системный каталог windows , временные файлы .

 

В конце лога C:\Users\Admin\AppData\Roaming\Rczkzb.exe , я указал конкретно этот файл . В логе больше нет записи C:\Users\Admin\AppData\Roaming\Rczkzb.exe, когда сканировалась память ,системный каталог .

Сообщение было изменено Anmawe: 27 Июнь 2013 - 15:00

[Borka]

У меня Curelt конкретно этот файл в автозагрузке не просканировал (то, что в CurrentVersion/Run/Rczkzb.exe). Галочки поставил на Оперативная память, системный каталог windows , временные файлы .

Так а как же вы хотите, чтобы он нашелся при пользовательском сканировании?

Object(s) to scan:
- Scan processes in memory
- C:\Windows\system32\
- C:\Windows\TEMP\
- C:\Users\Admin\AppData\Local\Temp\

и

Object(s) to scan:
- C:\Users\Admin\AppData\Roaming\Rczkzb.exe

[l.e.e.]

https://www.virustotal.com/ru/file/e8de534b806bd194308aa2c41b25d8f5fbebd16cb7278a2766f85107642b5715/analysis/1372339435/

DrWeb  Trojan.MBRlock.30

ESET-NOD32  Win32/Dorkbot.B

Вот до кучи - это явно не мбр локер, а червь. Что его в запрос на лечение ?

[RomaNNN]

У меня Curelt конкретно этот файл в автозагрузке не просканировал (то, что в CurrentVersion/Run/Rczkzb.exe). Галочки поставил на Оперативная память, системный каталог windows , временные файлы .

 

В конце лога C:\Users\Admin\AppData\Roaming\Rczkzb.exe , я указал конкретно этот файл . В логе больше нет записи C:\Users\Admin\AppData\Roaming\Rczkzb.exe, когда сканировалась память ,системный каталог .

 

Не надо изменять ничего руками. При запуске CureIt-а есть одна большая кнопка - "Начать проверку". При ней гарантировано все активное найдется.

[VVS]

Vindows, это форум посвящён DrWeb, а не каким-то другим продуктам.

Не офтопьте.

Модератор.

[l.e.e.]

DrWeb  Trojan.MBRlock.30

Поправили - Угроза: Trojan.Packed.24419

[Borka]

https://www.virustotal.com/ru/file/e8de534b806bd194308aa2c41b25d8f5fbebd16cb7278a2766f85107642b5715/analysis/1372339435/
DrWeb  Trojan.MBRlock.30
ESET-NOD32  Win32/Dorkbot.B
Вот до кучи - это явно не мбр локер, а червь. Что его в запрос на лечение ?

Это откуда?

[l.e.e.]

 

https://www.virustotal.com/ru/file/e8de534b806bd194308aa2c41b25d8f5fbebd16cb7278a2766f85107642b5715/analysis/1372339435/
DrWeb  Trojan.MBRlock.30
ESET-NOD32  Win32/Dorkbot.B
Вот до кучи - это явно не мбр локер, а червь. Что его в запрос на лечение ?

Это откуда?

Скорее всего с virussign. Отбирал по детектам и вот решил опробовать мбр локеры, а этот вёл себя странно.

[Borka]

Это откуда?

Скорее всего с virussign. Отбирал по детектам и вот решил опробовать мбр локеры, а этот вёл себя странно.

Это как-то связано с сабжем?

[RomaNNN]

 

 

Это откуда?

Скорее всего с virussign. Отбирал по детектам и вот решил опробовать мбр локеры, а этот вёл себя странно.

Это как-то связано с сабжем?

Я вот тоже не понимаю, зачем постоянно писать не по теме...

[l.e.e.]

Это как-то связано с сабжем?

Взгляните на результат VT по сабжу и моему сообщению. Почему я выделил детект НОДа , например ? Давно заметил слабую обработку червей. Не долечивание заражения флеш накопителей - это большой минус с точки зрения пользователя. То есть зараза нейтрализована, а там хоть трава не расти - не видимые папки и ярлыки с перенаправлением надо ремонтировать ручками.

Я вот тоже не понимаю, зачем постоянно писать не по теме...

Считайте это сканом на лету  . (stop flood)

[Vindows]

Потому-что реальность такова. Что, если бы например Евгению Касперскому предложили поменять LK на ESET, LK моментально бы стала Словатской компанией.  А на публику все завидуют и включают "дурачка", продвигая свои продукты пользователям. 

Сообщение было изменено Vindows: 01 Июль 2013 - 20:33