Počeli smo da se vređamo, a?
Korišćenje specijalizovanih removal tool-ova... Zašto se uopšte prave?
Klasičan antivirus funkcioniše na prilično jednostavnom principu: detektuj kreiranje file-a/procesa, odredi signature i pogledaj postoji li isti u bazi - ako postoji, pokušaj da dezinfikuješ file ili da ga obrišeš.
Za neaktivan malware ovo fino funkcioniše, ali za aktivan i za malo kompleksnije, dinamičnije i tehnološki naprednije infekcije, prilično slabo. Prosto, ako problem ne može da se reši čistom silom ili (un)patchovanjem file-a, AV ne može ni da ga reši jer je "glup" za nešto takvo. U tom slučaju, neke AV kompanije izdaju specijalizovane cleanere. Isti se, generalno gledano, daleko bolje snalaze sa datom infekcijom.
Drawback? Pa, za ažuriranje AV-a (tj. baze), potrebno je samo nabaviti primerak file-a i kreirati signature što je mnogo jednostavnije od ažuriranja nekog cleanera - tu treba izvršiti analizu ponašanja malware-a (jer njega sigurno čeka aktivna infekcija), kreirati potpise i izmeniti kod samog programa. Ovo, ako uopšte može da se uradi, traje.
Citat:
dava: Može da buljiš u logove Hijack-a i dijagnostickih alata koliko hoćeš, ali file infektora nećeš pronaći.
To su virusi u pravom smislu rječi, oni se upisuju u exe fajl, recimo na kraj, a poziv smjeste na početak fajla i na taj način obezbjede svoje izvršavanje. Mogu isto tako da urade dll injection, pa ti gledaš procese, ugledaš explorer.exe, znaš da je to regularan windows-ov proces, a ono u njemu malware u obliku dll-a i radi ono za šta je napisan.
Svi popularni file infektori su blended threats pa je time moguće videti da su prisutni. Takođe, moguće je videti i injekcije koda u logovima, a za sistemske file-ove je moguće izvršiti verifikaciju digitalnih potpisa. Naravno, za dezinfekciju klasičnih file infektora je potreban antivirus (ako je u pitanju malware koji patchuje ograničen broj sistemskih file-ova, to se onda može i drugačije, ne mora AV).
Citat:
dava: Ako pustiš AV program da skenira zaražen disk, kada nadje nešto (ako je iole ozbiljniji AV) on će ga i ukloniti, ako je u pitanju file infektor tad će fajl dezinfikovati.
Malware ...... broj AV-ova koji imaju signature ....... broj AV-ova koji mogu da uklone aktivnu infekciju:
Rustock (npr. B pa na gore) ..... 50 + ..... 5, 6?
Neprodoor ............................ 50 + ..... 2, 3?
Mebroot ............................... 50 + ..... 2, 3?
Virut .................................... 50 + ..... 0
Sality ................................... 50 + ..... 0
TDL ...................................... 50 + ...... 0
Whistler based RKs ................ 20 + ...... 0
Da nastavim? Pomenute rootkitove većina AV-ova ne može ni da detektuje, a virusi onemogućavaju rad svih AV-ova za koje se pretpostavlja da bi bili sposobni da iz dezinfikuju (neki budu obrisani, neki budu injektovani i time totalno zaslepljeni).
Citat:
dava: Kaspersky se sa njima itekako izbori.
A što su onda napravili cleanere za Virut i Sality (koji, inače, pokrivaju svega desetinu poznatih varijanti)?
Citat:
mocnisima: Na ovom forumu već duže vreme pojedinci stvaraju atmosferu nesigurnosti i panike širenjem priča kako su AV programi bespomoćni protiv mnogih virusa.
Ne mnogih, već pojedinih primeraka malware-a. To je činjenica. Naravno, ja pričam o uklanjanju aktivnog malware-a.
Citat:
mocnisima: LIČNO koristim dva računara sa Eset i Kaspersky zaštitom.U njihovim logovima postoje i Sality i Virut.Otkriveni u startu i izbrisani bez ikakvih komplikacija.Reći kako je alat koji dolazi iz Kaspersky laba neupotrebljiv je krajnje neozbiljno i pokazuje elementarno nepoznavanje tematike i načina na koji se stvaraju, iz minuta u minut, update-i AV programa.
Kao što je objašnjeno, to može biti aktivno detektovano, ne i dezinfikovano kad je aktivno. Oba pomenuta će da pretvore i Eset i KAV (kao i većinu ostalih) u froncle (Sality ih "lepše" ukloni no Eset/KAV removal tools
).
Citat:
dava: Procesi AV programa rade u višim prioritetima od ostalih i ako se desi da je zaražen neki sistemski proces koji ne dozvoljava privremeno zaustavljanje, kao winlogon, svchost, lsass itd tada AV program zahtjeva restart, kako bi ih "uhvatio na spavanju".
Višim prioritetima? Skeneri rade pod SYSTEM accountom (što, je l', ne pomaže puno ako se malware pokrenuo dovoljno rano, a "rano" može biti i pre Windowsa).
Anyway, ono što krenuh sinoć da napišem (nisam stigao, a vi se u međuvremenu raspisali)...
Još nisam video da je klasičan AV uspeo da pravilno dezinfikuje aktivan Virut ili Sality virus. S jedne strane, u pitanju su veoma kompleksne infekcije. S druge strane, autori istih su poslednjih godina gotovo isključivo radili na razvoju non-virus komponenti malware-a, pri tome koristeći istu onu bugičnu patching rutinu od pre par godina.
Upravo zbog tih bugova u Virutu i Salityju je diskutabilno koliko se i offline skeniranjem može srediti situacija. Prosto, oba ova virusa imaju tendenciju da prilikom višestrukih inficiranja nepovratno oštete file-ove.
Re: Win32-Kates-CY (Trj) Ne mogu mu nista!! Help!
Re: Win32-Kates-CY (Trj) Ne mogu mu nista!! Help!