En osaa tulkita MSE:n skannaustuloksia...
Epäilen, että skannatut tiedostot ovat saastuneita jos 30 muutakin AV-ohjelmaa ne toteavat saastuneiksi (olkoonkin osa heuristiikan perusteella) tosin on olemassa se mahdollisuus, että ohjelmat tekevät jotakin sellaista, että ne ovat skannereille hyvin helppo tulkita muka viruksiksi (false positives), eivätkä ohjelmat ole tainneet olla levityksessäkään kauhean kauan. Ajattelinkin analysoida niiden toimintaa vaikka Anubiksella. Ongelmana vain se, että nyt MSE ei anna mun lähettää tiedostoja mihinkään, ennen kuin valitsen "allow" -vaihtoehdon, joka on hieman typerästi muotoiltu.
Huom! Kaikki nuo tiedostot on zipattuja, eikä niitä ei ole korkattu, ellei MSE sitä tehnyt tosin käsittääkseni MSE ei pura pakkauksia kiintolevylle, vaan tekee purun muistissa...
MSE sanoo skannaustuloksien kohdalla ("show results" tais olla), että...
Status = Active
Recommended Action = Quarantine/Remove/Allow
Karanteeniin en tiedostoja laita, enkä poistakaan niitä ennen kuin olen ne johonkin analyysipalveluun lähettänyt. Ennen kaikkea tuo "Status = Active" ja "Allow" ovat hankalatulkintaisia, koska "allow" eli "salli" tuntuu lähes luvalta antaa ohjelmalle tehdä mitä tahansa eli siinä vihjataan, että haitake olisi jo korkattu. Samaa vihjailee tuo Status = Active, vaikka taitaa tarkottaa sitä, että haitake on vain kiintolevyllä, ei korkattuna.
Mahtaako tuo "allow" tarkoittaa ihan samaa kuin "Do Nothing for Now"? Jos näin on, niin eikö olisi parempi, että voisi valita "Do Nothing for Now"? Sitten sen ZIP:in voisi vapaasti purkaa vaikka hiekkalaatikkoon ja sieltä sen *ajettavan tiedoston* eli executablen lähettää analysoitavaksi jollekin sivustolle, jotta näkee ihan mitä se tekee sen sijaan, että näkisi nuo mahdolliset false positivet. Jos ei esim. sitä Anubiksen analyysiä ymmärrä täysin, niin kaveri, joka tietää, voi vaikka avittaa.
Epäilen, että skannatut tiedostot ovat saastuneita jos 30 muutakin AV-ohjelmaa ne toteavat saastuneiksi (olkoonkin osa heuristiikan perusteella) tosin on olemassa se mahdollisuus, että ohjelmat tekevät jotakin sellaista, että ne ovat skannereille hyvin helppo tulkita muka viruksiksi (false positives), eivätkä ohjelmat ole tainneet olla levityksessäkään kauhean kauan. Ajattelinkin analysoida niiden toimintaa vaikka Anubiksella. Ongelmana vain se, että nyt MSE ei anna mun lähettää tiedostoja mihinkään, ennen kuin valitsen "allow" -vaihtoehdon, joka on hieman typerästi muotoiltu.
Huom! Kaikki nuo tiedostot on zipattuja, eikä niitä ei ole korkattu, ellei MSE sitä tehnyt tosin käsittääkseni MSE ei pura pakkauksia kiintolevylle, vaan tekee purun muistissa...
MSE sanoo skannaustuloksien kohdalla ("show results" tais olla), että...
Status = Active
Recommended Action = Quarantine/Remove/Allow
Karanteeniin en tiedostoja laita, enkä poistakaan niitä ennen kuin olen ne johonkin analyysipalveluun lähettänyt. Ennen kaikkea tuo "Status = Active" ja "Allow" ovat hankalatulkintaisia, koska "allow" eli "salli" tuntuu lähes luvalta antaa ohjelmalle tehdä mitä tahansa eli siinä vihjataan, että haitake olisi jo korkattu. Samaa vihjailee tuo Status = Active, vaikka taitaa tarkottaa sitä, että haitake on vain kiintolevyllä, ei korkattuna.
Mahtaako tuo "allow" tarkoittaa ihan samaa kuin "Do Nothing for Now"? Jos näin on, niin eikö olisi parempi, että voisi valita "Do Nothing for Now"? Sitten sen ZIP:in voisi vapaasti purkaa vaikka hiekkalaatikkoon ja sieltä sen *ajettavan tiedoston* eli executablen lähettää analysoitavaksi jollekin sivustolle, jotta näkee ihan mitä se tekee sen sijaan, että näkisi nuo mahdolliset false positivet. Jos ei esim. sitä Anubiksen analyysiä ymmärrä täysin, niin kaveri, joka tietää, voi vaikka avittaa.
Vastaukset 3
Vanhimmat
Mitä tarkoittaa "...haitake olisi jo korkattu..." ?
Mikä on Anubis?
Korkkaaminen on tässä sitä, että se ajettava tiedosto, joka sisältää haitakkeen, olisi käynnistetty/ajettu, jolloin haitake olisi päässyt tekemään pahojaan.
Anubis: "Submit your Windows executable or Android APK and receive an analysis report telling you what it does."
http://anubis.iseclab.org/
Anubiksen tapaisia sivustoja on olemassa pilvin pimein, mutta Anubis on mielestäni suht helppokäyttöinen ja nopea.
Uskon muuten, että varmasti se, että 30+ AV-skanneria löytää haitakkeen kuulostaa paljolta, mutta mitään 100% varmuutta se ei anna saastumisen todennäköisyydestä. Tähän mennessä mullakin on ollut monia tiedostoja, jotka ovat lukuisien antivirussoftien mukaan olleet saastuneita, mutta ovatkin sitten osoittautuneet puhtaiksi. Muun muassa vanhojen pelien "trainerit" käyttävät paljon "hotkeyhooksia", joka on eräänlainen keylogger (tms.). Kun lähettelin niitä trainereita sitten eri antivirus-labeihin, niin eivät löytäneet niistä mitään haittaohjelmia, eli niiden ajaminen ei saastuta konetta.
Ota MSE pois päältä ja lähetä. Pakattu tiedosto ei ole vahingollinen, edes haittoineen.