Uploadergebnisse v-total + jotti, viel spass :) Einstellungen

[SLE]

War eigentlich eine exe Datei - habe ich nur selber gepackt weil ich es anschließend nochmal an so ziemlich alle eingeschickt habe.

Und wenn du die exe zu VT hochlädst - ist die Erkennung da auch so?

[Denny]

Ja ich glaube die war genauso Sebastian (habe nur gerade einen anderen Rechner und kann nicht im Verlauf von gestern nach gucken) . Hat mich selber mal interessiert ob es einen Unterschied zwischen direkter exe Datei oder einem hoch geladenen Archiv gibt.

Hier mal aktuell hoch geladen (die exe) - nun sind es 6/ 43 (14.0%)

http://www.virustotal.com/file-scan/report...a0d2-1312121562

[SLE]

Hat mich selber mal interessiert ob es einen Unterschied zwischen direkter exe Datei oder einem hoch geladenen Archiv gibt.

Wenn es kein passwortgeschützes Archiv ist, dann nicht.
Ausnahme: PREVX, das bei Archiven öfters mal "High Risk Worm" meint, bei den entpackten Files aber nicht.

[Denny]

Ah Danke für die Aufklärung

Na dann schauen wir mal wie viele dafür eine Erkennung anlegen. Bei manchen habe ich den Eindruck das wenn der Verhaltensschutz den Schädling erkennt das man sich sogar manchmal bewusst oder unbewusst eine Signatur dafür spart oder sich dann hier für lange Zeit lässt. Symantec wäre ein Beispiel ^^ Kaspersky hingegen erstellt davon unabhängig ziemlich flott eine Erkennung.

Meine Erfahrungen jedenfalls bisher xD

[Denny]

Langsam bin ich auch zu faul zum ständigen einsenden.

http://r.virscan.org/14e48d2fc7048c9d097db0aa55450ea6

Der Beitrag wurde von Denny bearbeitet: 16.08.2011, 22:36

[KasperskyFreaky]

Bekam gerade bei Facebook ein Link zugeschickt - wie neugierig ich doch bin führte ich die Datei selbstverständlich auch aus. Das AV das ich derzeit (testweise) benütze ESET meldete sich im Automatikmodus gar nicht - sprich der Rechner wurde infiziert. Im Interaktiven Modus kam ganz genau eine Meldung (siehe Bild)

So sieht übr. die Erkennung aus.
http://virusscan.jotti.org/de/scanresult/7...9c0146d7873c040

Gruß

Der Beitrag wurde von KasperskyFreaky bearbeitet: 17.09.2011, 18:26

Angehängte Datei(en)

 Unbenannt.png ( 25.86KB ) Anzahl der Downloads: 45

 

[SLE]

Im Interaktiven Modus kam ganz genau eine Meldung (siehe Bild)

Und selbst die zählt nicht als Schutz oder Erkennung, da du eine Startabfrage bei jeglicher Anwendung bekommst.

[KasperskyFreaky]

Mittlerweile erkennt ESET das Teil per Signatur

Und selbst die zählt nicht als Schutz oder Erkennung, da du eine Startabfrage bei jeglicher Anwendung bekommst.

Hab ich ja auch nicht behauptet, oder?

Gruß

[SLE]

Hab ich ja auch nicht behauptet, oder?

Ne Kann man aber nicht oft genug herausstellen

[KasperskyFreaky]

Hab die Malware an mehrere Hersteller gesendet... so schaut nun die Erkennung aus - klick.

Gruß

Der Beitrag wurde von KasperskyFreaky bearbeitet: 18.09.2011, 00:38

[KasperskyFreaky]

Es gibt ein neuen Schädling der sich hauptsächlich über die Sozialen Netze verbreitet. Ich hab mir die Datei angeschaut und es handelt sich um einen Wurm - hab die Datei auch bei den verschiedenen Herstellern geschickt.
Wie die Erkennung ausschaut sieht ihr hier

Gruß

[Hexo]

Erstaunlich.
Ist das ein FP oder warum erkennen 24 Stunden später nur 3 Virenscanner den Facebook wurm?
http://www.virustotal.com/file-scan/report...67eb-1316764688
(Das ist der Wurm, den KasperskyFreaky gestern gepostet hat)

[markus17]

Glaube kaum, dass es ein FP ist, denn diese Files kommen immer wieder vor. G Data blockt aber z.B. jedes einzelne von ihnen durch den BB und so werden es auch einige andere AV-Programme machen. Eine signaturenbasierende Erkennung würde trotzdem nicht schaden. ^^

[Hexo]

Mich würde mal interesieren, was Sonar und / oder Deepguard mit dem File machen.
Ich hab leider kein VM wo ich das testen kann und in ner Sandbox das testen ist wohl nicht empfehlenswert....

[KasperskyFreaky]

Ist das ein FP oder warum erkennen 24 Stunden später nur 3 Virenscanner den Facebook wurm?

Es handelt sich hierbei um kein FP! Ich weiß nicht wieso einige Hersteller sich viel Zeit lassen für eine Signatur - Erkennung. Kaspersky bsp. meldete sich bei mir nach ca. ner halben Stunde und es wurde dann auch sofort in KSN eingetragen, sprich mit aktivierter KSN erkannte Kaspersky das Ding.

Jetzt schaut es immerhin schon besser aus, klick

Mich würde mal interesieren, was Sonar und / oder Deepguard mit dem File machen.

Werde ich mir gleich anschauen

Gruß

Der Beitrag wurde von KasperskyFreaky bearbeitet: 23.09.2011, 14:50

[KasperskyFreaky]

Soo.....
hab mir auf meiner VM NIS 2012 installiert (zuvor die VM selbstverständlich zurückgesetzt). Updates eingespielt und PC neu gestartet.
Nun kommen wir zum spannenden (soo spannend ist es wiederrum auch nicht ) Teil dieses Beitrages. Ich hab die Malware heruntergeladen .... gemeldet hat sich Norton bisher nicht. Hab die Datei dann gestartet und es öffnete sich mein Browser - es erschien die Webseite "myspace". Nun erschient folgendes


Folgende Aktionen hat das Teil durchgeführt ( siehe Bilder )


Nun schauen wir mal was F-Secure macht - wenn die Malware gestartet wird.


Gruß

Der Beitrag wurde von KasperskyFreaky bearbeitet: 23.09.2011, 16:13

[Hexo]

Also hat beides mal der BB gegriffen. Ist schon mal was positives. Wobei es mich wundert, das der Dateinsight so spät ausschlägt und der Browser schon mal startet. Keine Meldung von Sonar???? Echt schade.
Gut, einen Infekt hat es nicht gegeben, gelle.
Danke schön für diesen Test. Muss mir auch mal ne VM zulegen.

Der Beitrag wurde von Hexo bearbeitet: 23.09.2011, 16:31

[KasperskyFreaky]

Keinerlei Meldung von SONAR....

Gruß

[Hexo]

Merkwürdig.
Alles weiter wäre zu sehr offtopic. Ich schreibs mal in den NIS Thread rein.
Danke schön.

[Voyager]

Wenn mich nicht alles täuscht war das eine Meldung von Sonar , diese Facebook.exe hat eine Fake Csrss.exe erstellt und die wurde von Sonar gelöscht wegen verdächtiger Aktivität . Ausserdem denke ich diese Facebook.exe hatte ausser dem Erstellen der Trojaner Routine nur die Aufgabe zur Ablenkung ein Bild anzuzeigen oder eine URL zu öffnen was anfürsich nicht zwangsweise schädlich ist. Wenn dem so ist muss Sonar auch nicht zwangsweise den Dropper löschen (sollte es aber) .

Lieg ich damit in etwa richtig ? Vermutlich ja, man siehts ja im Bild.

Keine Sorge Sonar löscht in der Regel immer den Dropper und Kaspersky naja wie die im Automodus abschneiden darüber wollen wir mal garnicht reden , da gibts Video auf Youtube...

Der Beitrag wurde von Voyager bearbeitet: 24.09.2011, 02:13