7 ответов в этой теме

[German AW]

В процессе компиляции скрипта срабатывает превентивка и удаляет файл программы 'Ahk2Exe.exe' c вердиктом DPD:DLOADER.Trojan.

В связи с этим пара вопросов

1. Это не ложняк? Компилирую скрипт для эмуляции клавиш навигации (Home, End и тп) для ноута с урезанной клавиатурой

2. Если не ложняк, то как грамотнее настроить превентивку, чтобы не срабатывала? Какой модуль превентивки настроить в "разрешенные" для данной программы?

 

2017-Oct-21 19:29:53.370951 [5012] [WRN] [bg-scan] scan result \Device\HarddiskVolume4\Program Files\AutoHotkey\Compiler\Ahk2Exe.exe-2580!0x400000-Ahk2Exe.exe[0] infection: DLOADER.Trojan (type: 4; code: 516)

2017-Oct-21 19:29:53.370951 [7536] [INF] [4536] [arkdll] path: \Device\HarddiskVolume4\Program Files\AutoHotkey\Compiler\Ahk2Exe.exe-2580!0x400000-Ahk2Exe.exe[0], threat: DPD:DLOADER.Trojan, hash: 1655652ab28ac73978715d33531c0c9357a71607, size: 348672 ==> send detect to cloud

2017-Oct-21 19:29:53.417832 [5012] [INF] [qr] Add file \Device\HarddiskVolume4\Program Files\AutoHotkey\Compiler\Ahk2Exe.exe-2580!0x400000-Ahk2Exe.exe[0] infection: DPD:DLOADER.Trojan map: Global\ABC-1394-4F7E5AC8 len: 921600 result: 0

2017-Oct-21 19:29:53.433458 [5012] [INF] [qr] Add file \Device\HarddiskVolume4\Program Files\AutoHotkey\Compiler\Ahk2Exe.exe infection: DPD:DLOADER.Trojan map: Global\ABC-1394-4F7F20EA len: 348672 result: 0

2017-Oct-21 19:29:58.804176 [7544] [INF] [5032] [arkdll] 

 

 

 

Прикрепленные файлы:

•  Снимок экрана (6).jpg   152,06К   0 Скачано раз

Сообщение было изменено German AW: 21 Октябрь 2017 - 19:48

[German AW]

Поэкспериментировал тут и что-то еще больше запутался

В общем выяснил следующее. Попробовал добавлять приложению индивидуальные настройки с "разрешить" всё что можно. При этом все равно файл выбрасывает в карантин. В итоге вернул все настройки превентивки в штатное состояние, но отключил SpIDer Guard. И о чудо!.. компиляция прошла успешно. Отключаю превентивку, оставляю сторож - файл уходит в карантин.

Т.е. превентивка как бы не при чем, а шалит сторож. Но при этом сам файл 'Ahk2Exe.exe' при прямой проверке как вирус не определяется. Но параллельно с ним в карантин попадает какой-то промежуточный файл (см. в логе выше - 'Ahk2Exe.exe-2580!0x400000-Ahk2Exe.exe[0]'. Четыре цифры (2580) при каждом эксперименте меняются). Вот на его АВ ругается сигнатурно. Заслал его в вилаб как ложняк (#7894233). Но все равно не понятно, как же 'Ahk2Exe.exe' попадает в карантин, если он чист, а превентивка отключена?

Сообщение было изменено German AW: 21 Октябрь 2017 - 22:18

[RomaNNN]

Поэкспериментировал тут и что-то еще больше запутался

В общем выяснил следующее. Попробовал добавлять приложению индивидуальные настройки с "разрешить" всё что можно. При этом все равно файл выбрасывает в карантин. В итоге вернул все настройки превентивки в штатное состояние, но отключил SpIDer Guard. И о чудо!.. компиляция прошла успешно. Отключаю превентивку, оставляю сторож - файл уходит в карантин.

Т.е. превентивка как бы не при чем, а шалит сторож. Но при этом сам файл 'Ahk2Exe.exe' при прямой проверке как вирус не определяется. Но параллельно с ним в карантин попадает какой-то промежуточный файл (см. в логе выше - 'Ahk2Exe.exe-2580!0x400000-Ahk2Exe.exe[0]'. Четыре цифры (2580) при каждом эксперименте меняются). Вот на его АВ ругается сигнатурно. Заслал его в вилаб как ложняк (#7894233). Но все равно не понятно, как же 'Ahk2Exe.exe' попадает в карантин, если он чист, а превентивка отключена?

 

DPD - это не превентивка, это детект сигнатурами на распакованном в памяти образе, завязана на Guard. Вот тот промежуточный файл, который детектится - это как раз дамп этого образа предназначен для устранения ложняков, чтобы его засылать в вирлаб. Хотелка Володи, в таком виде мне лично она не нравится, но лучше чем отсутствие дампа.

[SergSG]

Да, кто кого мочит и в настройки какого модуля лезть у Доктора не понять.

Я когда то писал FR, чтоб хотя бы в балуне указывали от какого модуля сработка прошла, но его закрыли с вердиктом, типа, АВ это единый механизм, а подробности юзеру знать не нужно. Бред, но...

[Ivan Korolev]

Ложное отключили, через час-два прилетит с обновлением баз.

[Ivan Korolev]

Т.е. превентивка как бы не при чем, а шалит сторож. Но при этом сам файл 'Ahk2Exe.exe' при прямой проверке как вирус не определяется. Но параллельно с ним в карантин попадает какой-то промежуточный файл (см. в логе выше - 'Ahk2Exe.exe-2580!0x400000-Ahk2Exe.exe[0]'. Четыре цифры (2580) при каждом эксперименте меняются). Вот на его АВ ругается сигнатурно.

 

4 цифры - это PID процесса скорее всего

[Nenya Amo]

4 цифры - это PID процесса скорее всего

по любому

[German AW]

Ложное отключили, через час-два прилетит с обновлением баз.

угу, проблема решна