Die Website ist nicht das Problem., sondern die Exe-Dateien, die zum größtenteil alle unerkannt sind.

Uwelis Screenshot nach werden die Echsen durch Avast erkannt,...

btw: Unsinning im Browser eine Adresse zu verschleiern, die hier im Thread steht und im Screenshot auch an anderer Stelle erscheint.

Nein, nur weil die exakt aufgerufene Seite (hier der Link mit den Echsen) im Popup erscheint ist das nicht so - im Gegenteil:
URL:Mal und "Webseite blockiert" verweisen eindeutig darauf, dass es sich nur um eine Blacklist und keine Erkennung handelt. Kann hilfreich sein bei bekannten Malwareschleudern, dass Seitenblacklists auch gehörige Nachteile haben sieht man aber auch oft.

URL:Mal und "Webseite blockiert" verweisen eindeutig darauf, dass es sich nur um eine Blacklist und keine Erkennung handelt.

Na hoffentlich reibst du dich daran nicht auf SLE an anderer Stelle wurde auch hier bei Rokop schon darauf verwiesen das man infizierte Webseiten in Bildern deren Adresse unkenntlich machen solle. Das machte ich obwohl auch blueX die Adressen der Webseiten postete und die Adressen nur mit 2 X veränderte.

Warum ist in deinen Augen eine Blacklist keine Erkennung? es wurde doch durch eine Schutzfunktion(Netzwerkschutz)verhindert, das Webseiten aufgerufen werden können, auf denen sich Infizierungen bzw infizierte Dateien/Files befinden. In meinen Augen ist das auch eine Art von Erkennung.

Seiten werden komplett gesperrt auch die harmlosen Inhalte.

sondern BlueX ging es v.a. gerade um das Phänomen, dass Signaturen schnell wieder irrelevant werden bei leichten Variationen, obwohl das bei besseren Signaturen anders sein sollte.

Das ist auch löblich, aber du hast es eben nicht konsequent gemacht, weil man es im Avast Popup noch sieht

Aber es geht hier nicht um Sinn und Unsinn von Blacklists (die haben oft sogar viel Sinn, solange man es nicht übertreibt), sondern BlueX ging es v.a. gerade um das Phänomen, dass Signaturen schnell wieder irrelevant werden bei leichten Variationen, obwohl das bei besseren Signaturen anders sein sollte.

Und ob Avast hier einen Unterschied macht (macht es nicht) hast du gar nicht getestet, dazu müsstest du mehrere Varianten herunterladen und scannen.

OT: ZeroAccess Samples erkennt man ja mittlerweile schon am Dateinamen

OK, da hätte ich wohl noch eine Zeile weiter lesen sollen... Als Erkennung sehe ich das trotzdem an, eine Schicht des Schutzprogrammes hat den Zugriff zuverlässig verhindert. Ob das nun über Signaturen, Verhaltensanalyse, Blacklist oder wie auch immer erfolgt ist für das Verhindern von Infektionen erst mal Nebensache.

J4U

Und ob Avast hier einen Unterschied macht (macht es nicht) hast du gar nicht getestet, dazu müsstest du mehrere Varianten herunterladen und scannen.

Der übliche Wettlauf zwischen Hase und Igel. Wenn eine Webseite als Malwareschleuder auftritt, dann sperren und fertig, ...

Ich weiß um was es blueX ging: stösst man auf solch eine Datei und führt diese aus, wird von vielen Virenscannern bei neueren Varianten von Ransomsoftware diese nicht als Gefahr erkannt, ...

Avast verhinderte den Aufruf der Webseiten und in dem Fall waren es keine FP's weil sich dort ja Ransomsoftware usw. "tummelt" und man so erst gar nicht in die Verlegenheit kommt an eine Ransomsoftware zu geraten.

Ebenso OT SLE: Nicht jeder User(wohl eher die Miderheit der User)hat das Wissen das du hast und erkennt ZeroAccess Samples nicht schon anhand des Dateinamens

Ich war mal wieder zu langsam wenn ich bei Avast die Schutzsteuerung deaktiviere und versuche die Seiten von blueX aufzurufen, sind die nicht mehr verfügbar Ergo kann ich mir auch keine Files dort runterladen zum testen.

ChicaPC-Shield 1.65.1.1000
www.chicalogic.com

Datenbank Version: v2012.11.28.08

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
xxxxxxx :: xxxxxxxxxxxxxxx [Administrator]

29.11.2012 00:14:49
cpcs-log-2012-11-29 (00-14-49).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 234237
Laufzeit: 4 Minute(n), 46 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 2
HKCR\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32| (Trojan.0Access) -> Bösartig: (C:\RECYCLER\S-1-5-18\$f473824e5d2371ca45ef49b673e3180a\n.) Gut: (fastprox.dll) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCR\CLSID\{FBEB8A05-BEEE-4442-804E-409D6C4515E9}\InProcServer32| (Trojan.0Access) -> Bösartig: (C:\RECYCLER\S-1-5-21-117609710-1532298954-1801674531-1004\$f473824e5d2371ca45ef49b673e3180a\n.) Gut: (shell32.dll) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\RECYCLER\S-1-5-18\$f473824e5d2371ca45ef49b673e3180a\n (Trojan.0Access) -> Löschen bei Neustart.
C:\RECYCLER\S-1-5-21-117609710-1532298954-1801674531-1004\$f473824e5d2371ca45ef49b673e3180a\n (Trojan.0Access) -> Löschen bei Neustart.

(Ende)

Wenn nämlich diesselbe Malware nicht über die gesperrte Webseite kommt zählt die Blacklist nichts.

Das ist nicht unwahr, wenn der nette Zeitgenosse mit dem USB-Stick... Trotzdem kann diese Datei wegen der Blacklist gar nicht erst auf den USB-Stick gelangen (theoretisch).

Klingt so als hätte Avast mal wieder versagt und nur die Hälfte gestoppt....Comodo auch stumm geblieben?

...nicht die Registry mit überprüft

€: Jedere gescheite Verhaltensblocker erkennt ZeroAccess. Da sind eigentlich alle Tests der letzten 1,5 Jahre heranziehbar. Wenn nicht, braucht man gute Signaturen.

Das mein ich doch SLE: Avast überprüft bei den OnDemand Scans nicht die Registry und wie Malwarebytes und andere Scanner aufzeigen, macht sich Malware auch in der Registry breit und verändert dort Einstellungen bzw setzt eigene ich nenn es mal Befehle rein.

Mich würde mal interessieren wie Programme wie Kaspersky, BitDefender, G-Data, Avira Premium usw auf das File, das ich ausführte, reagieren würde bei Usern die besagte Programme im Einsatz haben.

ein paar Traces in der Registry ..., schlimm ist es nicht.

Wenn aber die entsprechenden files fehlen ist das i.d.R. völlig irrelevant. Sieht toll aus wenn Scanner XY noch ein paar Traces in der Registry findet, schlimm ist es nicht.

Dann hab ich jetzt mal als Beispiel folgende Frage an dich SLE weil du dich ja damit sehr gut auskennst: Angenommen man hat sich eine Ransomsoftware Infektion eingefangen und ein Fake AV ist demnach auf betreffendem System aktiv. Nun entschliesst sich der User(in dem Fall ich als Beispiel), das System mit dem installiertem Malwarebytes Free im Abgesicherten Modus bereinigen zu lassen. Nachdem der Scan fertig ist und man würde die Infektionen von der Säuberung/Bereinigung ausschliessen die die Registry betreffen, könnte dann Malwarebytes Free(als Beispiel)überhaupt eine Säuberung durchführen die das Fake AV richtig "wegputzt" oder blieben weiterhin Störungen des Systems und dessen Sicherheit zu befürchten durch die nicht bereinigten Registry Einträge?

Also SLE, ist es doch nicht so verkehrt wenn nicht sogar nützlich bei bestimmten Infektionen wie zum Beispiel Ransomsoftware wenn man einen Scanner einsetzt, der auch die Registry bereinigt und manipulierte Standard-Registry Einträge wieder korrigiert indem die Manipulationen die von der Infektion erstellt wurden gelöscht werden.

is sowieso wurscht, dein schutzkonzept hatt versagt, tdss war aktiev
C:\RECYCLER\S-1-5-18\$f473824e5d2371ca45ef49b673e3180a\n
und das neue Variannten auf Malware servern verteilt werden, häufig mehr mals pro Stunde ist auch nichts besonders neues :-)

Von daher hat Avast in meinen Augen nicht versagt sondern ich umging bewusst einen Schutzmechanismus(Netzwerkschutz samt Blacklist)um an das bösartige File zu gelangen.

Natürlich kann man zugute halten, dass man sobald man die Infektion merkt ein Image (hier unbedingt samt MBR) zurückspielen kann. Aber auch da kann schon Schaden vorliegen: geklaute PW etc.

Ausserdem bin ich jetzt mal über "meinen eigenen Schatten gesprungen" und habe die Avast Autosandbox aktiviert mit der Einstellung auf Nachfragen.

Na dann, erneut ausführen und schauen ob's hilft.

is sowieso wurscht, dein schutzkonzept hatt versagt, tdss war aktiev
C:\RECYCLER\S-1-5-18\$f473824e5d2371ca45ef49b673e3180a\n

Trotzdem schon mutig, auf seinem arbeits pc malware mutwillig auszuführen, würd ich persönlich nicht machen...

Habe momentan leider keinen Testrechner mehr übrig, würde mich interessieren wie EAM darauf reagiren würde.
Denke aber das der Verhaltensschutz greifen sollte.

Wenn mein Schutzkonzept wie du es nennst versagt, warum infiziere ich mir dann mein System nicht ungewollt sondern nur dann wie jetzt wenn ich mir extra solche bösartigen bewusst Files runterlade und ausführe?

Weil du Glück hast und vielleicht auch hin und wieder die richtige Skepsis. Wenn du so eine File irgenwo per DriveBye oder sonstwie bekommst würde deine komplette Schutzsoftware versagen. Warum dann auf sowas verlassen?

Wenn mein Schutzkonzept wie du es nennst versagt, warum infiziere ich mir dann mein System nicht ungewollt sondern nur dann wie jetzt wenn ich mir extra solche bösartigen bewusst Files runterlade und ausführe?

Comodo blieb wieder stumm SLE, die Firewall läufft im Spiele Modus wegen meinen Rennsimulationen, die Firewall und Defense+ Sicherheitsstufe stehen jeweils auf Sicherer Modus und die Comodo Sandbox ist dauerhaft deaktiviert. Warum das fragst du jetzt vielleicht? Ist die Comodo Sandbox aktiviert und ich starte die Rennsimulationen per Steam(die sind allesamt per Steam installiert), kommt eine Fehlermeldung und die Rennsimulationen können nicht gestartet/gespielt werden. Schalte ich dann aber die Comodo Sandbox aus, starten die Rennsimulationen als wäre nichts gewesen und ich weiß nicht was ich machen müsste damit die Comodo Sandbox meine Rennsimulationen starten lässt.