Innerhalb weniger Minuten ist die Malware wieder undetected |
Willkommen, Gast ( Anmelden | Registrierung )
Innerhalb weniger Minuten ist die Malware wieder undetected |
Gast_blueX_* |
28.11.2012, 19:03
Beitrag
#1
|
Gäste |
Hallo,
ich beobachte seit einigen Wochen zwei interessante URL Adressen: hxxp://xpornstarsckc.ddns.name/latest/xxx-porn-movie.avi.ex e hxxp://xamateurpornlic.www1.biz/latest/xxx-porn-movie.avi.ex e Über diese Adressen wird Malware massenhaft verbreitet. So wurden bis vor kurzer Zeit ca. 100 neue Varianten täglich (!) eines Trojanes (FakeAV) verbreitet. Alle 20 Minuten wurde ein neues Sample, welches gegenüber allen AVs laut Scan bei Virustotal undetected war, verbreitet. Und dies über mehrere Wochen. Seit einigen Tagen ist das Intervall deutlich länger geworden und es wird auch eine andere Art von Malware (Backdoor.ZeroAcces) verbreitet. Trotzdem gibt es alle paar Stunden eine neue Variante des Backdoors, der nur von zwei oder drei der gelisteten AVs bei Virustotal erkannt wird. Ich bin erstaunt wie leicht es scheinbar ist, massenweise Samples gegenüber den AVs undetected zu machen. Auch bin ich erstaunt, dass die AVs für diese Malware keine Generische Erkennung einbauen können. Die Malware muss doch änlichen Code aufweisen und ähnliche Muster haben. Stattdesen wird lieber jedes eingesandte Sample einzeln zu den Signaturen hinzugefügt. Unverständlich ist für mich auch, dass die AVs keine geeigneten Werkzeuge haben, die überprüfen können, ob eine neue Variante angeboten wird. Die AVs könnten diese Datei dann selbstständig herunterladen und in die Erkennung aufnehmen. Habt ihr sowas schon mal gesehen? Wie denkt ihr darüber? Viele Grüße bluex |
|
|
30.11.2012, 17:15
Beitrag
#2
|
|
Gehört zum Inventar Gruppe: Mitglieder Beiträge: 3.359 Mitglied seit: 17.03.2012 Mitglieds-Nr.: 9.353 Betriebssystem: Windows 10 64 Pro 22H2 Virenscanner: Kaspersky Free Firewall: GlassWire Free |
ZITAT Sollte nicht wirklich, beim Nachfragen wird man eben nur vorher bei den Files gefragt, die AVAST sonst automatisch in die Sandbox gepackt hätte. Uwes Tests zeigen, dass dies bei ihm aber nicht funktioniert: Bei der Option Nachfragen wurde das System infiziert, trotz Sandboxauswahl. Von daher würde ich das als Bug - zumindest auf seinem System werten. SLE, es kann aber auch daran gelegen haben was claudia schrieb: nämlich das das System hätte rebootet gehört nachdem ich die Autosandbox aktiviert hatte und ich hatte ja nicht das System rebootet. ZITAT Du siehst in den Details was im jeweiligen Modus mehr gemeldet wird, fraglich ist wie sehr der Nutzer die Meldungen versteht und das Wissen hat um entsprechend zu reagieren. Du kannst Comodo im Paranoiden Modus extrem scharf stellen, wirst dich aber mit zu 99,9999% Meldungen die harmlose Programmaktion betreffen auseinandersetzen müssen und schön erlauben. Würdest du dann noch die 0,0001% der Meldungen richtig erkennen, die verdächtige Aktionen betreffen? Wenn nicht ist ein so konfiguriertes HIPS nichts für dich und du solltest dir einen anständigen Verhaltensblocker ala Mamutu zulegen. Der warnt auch bei verdächtiger Netzwerkaktivität und macht somit die klassische DFW überflüssig. Ich schaue mir jetzt mal den Trainings-Modus an, das scheint ein guter Kompromiss zu sein zwischen Paranoider Modus und Sicherer Modus und ich will mich ja mit dem HIPS der Comodo auseindersetzen, will sehen wenn Abfragefenster kommen und dann darauf reagieren wenn ich sehe was für eine Anwendung/Aktion in den Fenstern gemeldet wird. -------------------- |
|
|
Vereinfachte Darstellung | Aktuelles Datum: 19.06.2024, 21:14 |