Как я вирус ловил

[Faraday ТС]

Жалко закрыли тему про  dr.web. Как раз по теме было. Ну да ладно, расскажу в новой, а модератор пусть туда перенесет.
----------------
В минувшую пятницу приходил знакомый с ноутбуком ко мне работу. Я свою флешку пихал в его ноут. Когда он ушел, я ближе к вечеру засунул флешку в свой рабочий комп. При открытии вижу на флешке скрытый файл autorun.exe. Проверяю его КИСом 2009. Говорит, что чисто. Я-то знаю, что чисто не может быть, так как файл не мой. Тут кто-то позвонил, я отвлекся и зачем-то запустил его ... . Касперский пару раз заблокировал попытку какого процесса скачать подозрительные файлы, потом кто-то стал с монотонной периодичностью обращаться к флоппику. После удаления файлов autorun.exe и autorun.inf с флешки они тут-же появляются вновь. Попытка снятия процессов в диспетчере задач приводит в конце концов к перезагрузке компа. После удаления временных файлов инета перестал грузится exprorer (голый рабочий стол). Зараженную флешку воткнул в другой комп с обновленным предварительно Avast'ом. Грит, что чисто . Дело было к вечеру, поэтому забрал системник домой. В субботу не трогал, а в воскресенье обновил КИС2009 - все равно не находит ничего. Проверил заразу на флешке autorun.exe несколькими on-line сервисами - нашел только dr.web. Определил как Win32.HLLW.Autoruner.6326. Подобная зараза (с разными цифирями) была известна почти год, почему же Касперский с Авастом ее не ловили? Ну и что с того, что она видоизменилась слегка, а как же продвинутый эвристический анализ и "современные методы раннего обнаружения"? Написал Касперскому письмо, вложил образец вируса. Буквально через 5 минут пришел ответ: спасибо за сотрудничество, Вы прислали неизвестный доселе образец Worm.Win32.AutoRun.frg, который незамедлительно будет включен в антивирусную базу, бла-бла-бла. Сам AutoRun.frg давно, кстати, известен, но пара измененных байтов обходят защиту. Короче скачал бесплатную утилиту launch.exe от доктора и вылечил все им. Нашел в 5-и местах, где зараза прописалась.
---------
Короче, все навороты Касперского бесполезны. Стал всерьез подумывать о смене антивиря, многие хвалят немецкий Avira, не знаю, надо поизучать этот вопрос.

[OVA]

Для тех, кто не в танке и пихает свои флэшки/карточки из телефонов/карточки из фотоаппаратов в чужие компы есть такой рецепт:
-создать каталог с именем autorun.inf
-создать в этом каталоге любой файл (лишь бы что-то было в этом каталоге)
-атрибуты на каталог autorun.inf установить "только для чтения" и "скрытый", для файла - тоже самое
Будете защищены от большинства вирусов типа "autoruner".
Конечно, вы не застрахованы от пришествия вируса извне, зато сами менее вероятно подхватите заразу на свою флэшку.

[Водила]

У меня Аваст ловит такое. С работы после Каспера принёс домой, а Аваст нашёл авторанку на флэхе. После этого проверил Кюритом от Др.Вэба, он сказал что всё чисто. Есть ещё проги типа ФлэшГвард и прочее - специализируются именно на авторанах, удаляют их (но только их). Зачастую автораны присутствуют на флэхе помоему совместно с cmd (если не путаю название), их бы тож надо удалить.
А Авира - хороший антивирь, ставить можно

[ScrewDriver]

КиС у меня всегда такие вещи хватает без проблем.

[alex@2141]

Для тех, кто не в танке и пихает свои флэшки/карточки из телефонов/карточки из фотоаппаратов в чужие компы есть такой рецепт:
-создать каталог с именем autorun.inf
-создать в этом каталоге любой файл (лишь бы что-то было в этом каталоге)
-атрибуты на каталог autorun.inf установить "только для чтения" и "скрытый", для файла - тоже самое
Будете защищены от большинства вирусов типа "autoruner".

это не работает. Лучше и проще http://www.pandasecurity.com/russia/homeusers/downloads/usbvaccine/

[OVA]

это не работает

Да, не на все 100 процентов работает способ, но от запуска вируса предотвращает. Копироваться-то он, всяко на флэшку скопируется, но вот уже с автозапуском "себя любимого" будет напряг. Если только по любопытствовать юзеру захочется и сам выполнит неизвестное приложеньице.
Себе на флэшку ловил таких зверей, но ни один при наличии папки autorun.inf не смог прописаться в автозапуск. Должно быть, скоро научат их и это обходить или мне просто везло и я "умных" модификаций не встречал.

[ScrewDriver]

И какая жопская скотина, извиняюсь, первой решила убрать с флешек переключатель блока записи. Удушил бы сволочь. Как раньше хорошо было - щелк и спокоен, что хотя бы в чужом рассаднике зверей не наберешь...

[OVA]

Да, Панда прикольную утилитку сделала.
Создается autorun.inf с заведомо некорректными атрибутами, так что ни удалить этот файл, ни переименовать.
А указанный мной способ подвержен угрозе переименования.

[Ахинеич]

Снова про базы..
Относительно всё. Кто
Что раньше обнаружит, тот и правит бал в конкретный момент времени. Ещё конкурентные войны вспомним. В общем смысла метаться не имеет.

[Faraday ТС]

В общем смысла метаться не имеет.

КИС2009 стал очень тяжеловесным. При запуске долго анализирует запускаемое приложение и шлет инфу куда-то . Дома глючит на компе с тремя сетевыми интерфейсами - пришлось отключить его фарвол. Про сигнатуры баз согласен: кто первый успел образец вируса получить, тот и выиграл . Хотя мне кажется производители обмениваются образцами вируса между собой.
--------
Вообще сейчас модно стало утежелять антивирусники всякими антишифингами, фарволами, автодозвонами и прочей лабудой, гордо называя это Интернет-секьюрити. А оно нужно? Фарвол, да нужен, хотя, пожалуй и обычного, встроенного в винду хватит. А ведь есть еще Защитник windows. Имхо, хватит обычного простенького антивиря.

[Ахинеич]

Так потому и утяжеляется, что ресурсы ростут. А иначе зачем ресурсы?

[Ахинеич]

Так потому и утяжеляется, что ресурсы ростут. А иначе зачем ресурсы?

[alex@2141]

Коля, ресурсоемкость определяется тем что упор делается на поведенческий анализ. Сигнатурный анализ постепенно отходит на второй план поскольку путем обновлением сигнатур физически не угнаться за появлением новых модификаций вирусни.

[SergeyK]

И какая жопская скотина, извиняюсь, первой решила убрать с флешек переключатель блока записи. Удушил бы сволочь. Как раньше хорошо было - щелк и спокоен, что хотя бы в чужом рассаднике зверей не наберешь...

Здравствуйте!

По работе часто приходится работать на зараженных машинах. Для себя вместе с коллегами избрал следующий способ: SD карта с USB адаптером. Карта имеет переключатель защиты от записи.
http://shop.key.ru/shop/goods/24103/
Есть такие же на 16 - чего и пользуем.

С Уважением, Сергей К.

[Faraday ТС]

Коля, ресурсоемкость определяется тем что упор делается на поведенческий анализ. Сигнатурный анализ постепенно отходит на второй план поскольку путем обновлением сигнатур физически не угнаться за появлением новых модификаций вирусни.

Первый пост как раз о том, что не черта не работает этот "поведенческий" анализ.