ClamAV, i jos neki, moraju na popravni ispit

ClamAV, i jos neki, moraju na popravni ispit

offline
  • Pridružio: 04 Sep 2003
  • Poruke: 24135
  • Gde živiš: Wien

Jutros sam u jedan program koji radimo za AV Test ugradjivao podrsku za analizu ClamAV logova, i naisao sam na par zanimljivih stvari.

Tvorci ClamAV-a su se malo zeznuli dok su radili analize par crva koji su u zadnje vreme spopadali net. Napravili su jako pogresan signature (pricam ja njima vec neko vreme, ali me ne slusaju) za:
Worm.Bagle.BB-gen
Worm.Mytob.GH

Naime, za signature su uzeli deo koda koji ne pripada samom crvu, vec packeru kojim su doticni bili zapakovani.
Iz ovog razloga, svi programi koji su zapakovani PeX i MEW packerima ce biti identifikovani kao jedan od gorespomenutih crva.
Pazljivo sa brisanjem fajlova koje ClamAV nadje.

Jutros sam im poslao 4 fajla za primer, uz to sam im poslao i doticne pakere.
Za razliku od nekih koji su odgovarali u roku od par sati, ovi se igraju sa mojim strpljenjem...

Takodje zanimljivost vezana za ovaj AV (za koju neznam da li se moze svrstati u korisne ili ne):
ClamAV ima zavidno veliko prepoznavanje source fajlova virusa. Kada kazem zavidno veliko, onda mislim u odnosu na poznatije komercijalne programe.
Kao sto rekoh, neznam kakvu samo korist ima korisnik od ovoga.
Od programa za cije logove sam ugradjivao podrsku u nas spomenuti program, po kolicini prepoznatih source fajlova, lista 'uspesnosti' bi isla ovako:
1. FProt (Trial)
2. ClamAV
3. AVG i BitDefender (Free verzije)
4. KAV

Da napomenem da je prepoznavanje source fajlova od jako male vaznosti za kvalitet AV Programa, tako da ovo smatram samo opterecivanjem baze definicija (signatura).
Pod ovim podrazumevam VisualBasic source, Pascal/Delphi source, C/C++ i ASM source.
Zamislite da je jedan AV program prepoznavao Form fajlove kao trojance.
Programeri znaju da su fajlovi koji opisuju formu bezopasni, i da su irelevantni.
Najverovatnije je signature za neki virus bio zasnovan na nekom stringu, a taj string je deo forme doticnog trojanca.
Sada ulazimo u jos veci paradoks:
Imamo, znaci, source nekog trojanca, i isti se sastoji iz vise fajlova (forme, izvrsni kod, resource fajlovi...) od kojih je najbitniji (za nas) fajl koji sadrzi izvrsni kod (da ga tako nazovem), dok su resource i forma nebitni. Nas AV program ce da nas resi fajla forme, dok ce onaj u kome se nalazi izvrsni kod ostati neobrisan...

Ovo samo govori o tome sa kojom paznjom je neko pravio signature za neki virus.

Znam primer u kome se NAV-ov signature za jedan virus sastojao samo u prepoznavanju jednog jedinog slova na odredjenoj poziciji u fajlu.
Znate li koliki je tu potencijal za pravljenje laznih uzbuna, a i za egzekuciju neduznih fajlova?



Registruj se da bi učestvovao u diskusiji. Registrovanim korisnicima se NE prikazuju reklame unutar poruka.
offline
  • SVITAC 
  • Legendarni građanin
  • Pridružio: 28 Apr 2003
  • Poruke: 5919
  • Gde živiš: Beograd

Razvojni tim ClamAV'a nikada nije ni bio raspolozen za saradnju.
(Još od prošlog testa .. nekako mi se čini da su u nekoj ljušturi)
Mada nije ni bitno .. valjda će shvatiti šta si im poslao a pored toga i zašto.



offline
  • Pridružio: 06 Maj 2003
  • Poruke: 1263
  • Gde živiš: Apatin

Kako jedan takav razvojni tim koji radi na antivirusu moze da dozvoli takve sitnice? Ljudi rade na antivirusu koji ce ljudi da koriste da bi se zastitili a takve gluposti da im se dese.. To je krajnje neozbiljno..

@bobby
A ta dva crva sta radE? Jel imas nesto opsirnije o njima?

offline
  • Pridružio: 20 Feb 2005
  • Poruke: 4505
  • Gde živiš: planeta Zemlja

http://www.viruslist.com/en/viruses/encyclopedia?virusid=78835
Worm.Bagle.BB-gen

http://www.google.com/search?hl=sr&rls=com.mic.....AV&lr=
Worm.Mytob.GH

google je besplatan Wink

Ko je trenutno na forumu
 

Ukupno su 1283 korisnika na forumu :: 38 registrovanih, 4 sakrivenih i 1241 gosta   ::   [ Administrator ] [ Supermoderator ] [ Moderator ] :: Detaljnije

Najviše korisnika na forumu ikad bilo je 3466 - dana 01 Jun 2021 17:07

Korisnici koji su trenutno na forumu:
Korisnici trenutno na forumu: A.R.Chafee.Jr., Areal84, Bobrock1, bokisha253, Boris BM, Centauro, CikaKURE, Cobi026, dijica, Dorcolac, FOX, GandorCC, hooraay, ikan, Karla, kovinacc, Kriglord, Kubovac, lord sir giga, Magistar78, Marko Marković, mercedesamg, Metanoja, milutin134, nenad81, NoOneEver Dreams, nuke92, Papadubi, procesor, Shinobi, Stanlio, vandrej, Vlada78, vladaa012, voja64, vukdra, Zimbabwe, |_MeD_|