[WinXP] Tomcat 6.0.18 - Virus/Trojan/Worm durante installazione!?

[Dark Phoenix]

Salve a tutti,

ho formattato ieri, e oggi stavo procedendo con l'installazione di tutto quel che serve...
quando durante l'installazione di "Tomcat 6.0.18" (uscito recentemente) il buon Avast (4.8 home edition - versione gratuita per intenderci) mi dice che è presente un virus/trojan/worm in un file sotto la cartella temp... (logicamente creato dall'installer)

...come voi (almeno immagino) che state leggendo la mia espressione è stata :mbe: :confused: :mbe: :confused: (!?)

mi sembra alquanto strano...
Avast non mi da molti dettagli (o almeno non so dove li metta), comunque sono:
Nome del file: C:\DOCUME~1\Phoenix\IMPOST~1\Temp\nsr146.tmp\ns14A.tmp
Win32:Trojan-gen {Other}
Tipo di Malware: Virus/Worm
Versione VPS: 080802-0, 02/08/2008 (vabbè l'ultima)

ne sapete qualcosa!? Mi confermate che è un falso positivo?


Grazie in anticipo

[Chill-Out]

Presumibilmente è un falso positivo per sicurezza e zelo fallo scansionare qui:

http://www.virustotal.com/it/
http://virscan.org/

[xcdegasp]

novità?

[Dark Phoenix]

Scusa la lentezza ma ultimamente non ho molto tempo...


comunque il report su Virus Total è il seguente
Antivirus Versione Ultimo aggiornamento Risultato
AhnLab-V3 2008.8.5.0 2008.08.04 -
AntiVir 7.8.1.15 2008.08.04 -
Authentium 5.1.0.4 2008.08.04 -
Avast 4.8.1195.0 2008.08.04 Win32:Trojan-gen {Other}
AVG 8.0.0.156 2008.08.04 Agent.VJL
BitDefender 7.2 2008.08.04 -
CAT-QuickHeal 9.50 2008.08.04 Trojan.Agent.muq
ClamAV 0.93.1 2008.08.04 -
DrWeb 4.44.0.09170 2008.08.04 -
eSafe 7.0.17.0 2008.08.03 -
eTrust-Vet 31.6.6007 2008.08.04 -
Ewido 4.0 2008.08.04 -
F-Prot 4.4.4.56 2008.08.04 -
F-Secure 7.60.13501.0 2008.08.04 -
Fortinet 3.14.0.0 2008.08.04 -
GData 2.0.7306.1023 2008.08.04 Win32:Trojan-gen
Ikarus T3.1.1.34.0 2008.08.04 Virus.Win32.Trojan
K7AntiVirus 7.10.403 2008.08.04 -
Kaspersky 7.0.0.125 2008.08.04 -
McAfee 5353 2008.08.04 -
Microsoft 1.3807 2008.08.04 -
NOD32v2 3325 2008.08.04 -
Norman 5.80.02 2008.08.04 -
Panda 9.0.0.4 2008.08.04 -
PCTools 4.4.2.0 2008.08.04 -
Prevx1 V2 2008.08.04 -
Rising 20.56.02.00 2008.08.04 -
Sophos 4.31.0 2008.08.04 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.04 -
TheHacker 6.2.96.393 2008.08.04 -
TrendMicro 8.700.0.1004 2008.08.04 -
VBA32 3.12.8.2 2008.08.04 Trojan.Win32.Agent.muq
ViRobot 2008.8.4.1322 2008.08.04 -
VirusBuster 4.5.11.0 2008.08.04 -
Webwasher-Gateway 6.6.2 2008.08.04 -
Informazioni addizionali
File size: 6656 bytes
MD5...: 81fdb3f76341f7257ff5335e922f5531
SHA1..: 40b163679e0d6242e332c65c1b5d42c375a00a71
SHA256: b01c4ccdd54d4ebd2fdcba8c723fce6550e58592b4783a194cb4fa7917ba7cb2
SHA512: aafd77b463e0a01962fc05ca1a5dced12e14f634eb8ddd9b5a3deb6b2e2cb730
67b1d2b9a88a0eca6108a051837a34aeba7f1590930e75247be81ed31d59a531
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001963
timedatestamp.....: 0x481c71d1 (Sat May 03 14:08:17 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xa42 0xc00 5.74 2961615cb7f8b293a843a87e81e7a02e
.rdata 0x2000 0x52c 0x600 4.52 abff9501a5db712a53e7e74cb3b2a01c
.data 0x3000 0x498 0x200 1.39 96bbc2c81c2bbc6b1324ee00ca70e014
.reloc 0x4000 0x182 0x200 4.11 394f7c6c4bc7ca801cadec853322631c

( 3 imports )
> KERNEL32.dll: GetExitCodeProcess, WaitForSingleObject, Sleep, TerminateProcess, lstrcpyA, lstrcpynA, GlobalReAlloc, GlobalUnlock, GlobalSize, ReadFile, PeekNamedPipe, GetTickCount, CreateProcessA, GetStartupInfoA, CreatePipe, GetVersionExA, GetModuleHandleA, DeleteFileA, lstrcmpiA, lstrlenA, lstrcatA, CloseHandle, UnmapViewOfFile, MapViewOfFile, CreateFileMappingA, CreateFileA, CopyFileA, GetTempFileNameA, GlobalFree, GlobalAlloc, GetModuleFileNameA, ExitProcess, GetCommandLineA, GetProcAddress, GlobalLock, GetCurrentProcess
> USER32.dll: SendMessageA, OemToCharBuffA, CharNextA, wsprintfA, CharPrevA, FindWindowExA
> ADVAPI32.dll: InitializeSecurityDescriptor, SetSecurityDescriptorDacl

( 3 exports )
Exec, ExecToLog, ExecToStack

Mentre per virscan è...
Antivirus Versione Ultimo aggiornamento Risultato
AhnLab-V3 2008.8.5.0 2008.08.04 -
AntiVir 7.8.1.15 2008.08.04 -
Authentium 5.1.0.4 2008.08.04 -
Avast 4.8.1195.0 2008.08.04 Win32:Trojan-gen {Other}
AVG 8.0.0.156 2008.08.04 Agent.VJL
BitDefender 7.2 2008.08.04 -
CAT-QuickHeal 9.50 2008.08.04 Trojan.Agent.muq
ClamAV 0.93.1 2008.08.04 -
DrWeb 4.44.0.09170 2008.08.04 -
eSafe 7.0.17.0 2008.08.03 -
eTrust-Vet 31.6.6007 2008.08.04 -
Ewido 4.0 2008.08.04 -
F-Prot 4.4.4.56 2008.08.04 -
F-Secure 7.60.13501.0 2008.08.04 -
Fortinet 3.14.0.0 2008.08.04 -
GData 2.0.7306.1023 2008.08.04 Win32:Trojan-gen
Ikarus T3.1.1.34.0 2008.08.04 Virus.Win32.Trojan
K7AntiVirus 7.10.403 2008.08.04 -
Kaspersky 7.0.0.125 2008.08.04 -
McAfee 5353 2008.08.04 -
Microsoft 1.3807 2008.08.04 -
NOD32v2 3325 2008.08.04 -
Norman 5.80.02 2008.08.04 -
Panda 9.0.0.4 2008.08.04 -
PCTools 4.4.2.0 2008.08.04 -
Prevx1 V2 2008.08.04 -
Rising 20.56.02.00 2008.08.04 -
Sophos 4.31.0 2008.08.04 -
Sunbelt 3.1.1537.1 2008.08.01 -
Symantec 10 2008.08.04 -
TheHacker 6.2.96.393 2008.08.04 -
TrendMicro 8.700.0.1004 2008.08.04 -
VBA32 3.12.8.2 2008.08.04 Trojan.Win32.Agent.muq
ViRobot 2008.8.4.1322 2008.08.04 -
VirusBuster 4.5.11.0 2008.08.04 -
Webwasher-Gateway 6.6.2 2008.08.04 -
Informazioni addizionali
File size: 6656 bytes
MD5...: 81fdb3f76341f7257ff5335e922f5531
SHA1..: 40b163679e0d6242e332c65c1b5d42c375a00a71
SHA256: b01c4ccdd54d4ebd2fdcba8c723fce6550e58592b4783a194cb4fa7917ba7cb2
SHA512: aafd77b463e0a01962fc05ca1a5dced12e14f634eb8ddd9b5a3deb6b2e2cb730
67b1d2b9a88a0eca6108a051837a34aeba7f1590930e75247be81ed31d59a531
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001963
timedatestamp.....: 0x481c71d1 (Sat May 03 14:08:17 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xa42 0xc00 5.74 2961615cb7f8b293a843a87e81e7a02e
.rdata 0x2000 0x52c 0x600 4.52 abff9501a5db712a53e7e74cb3b2a01c
.data 0x3000 0x498 0x200 1.39 96bbc2c81c2bbc6b1324ee00ca70e014
.reloc 0x4000 0x182 0x200 4.11 394f7c6c4bc7ca801cadec853322631c

( 3 imports )
> KERNEL32.dll: GetExitCodeProcess, WaitForSingleObject, Sleep, TerminateProcess, lstrcpyA, lstrcpynA, GlobalReAlloc, GlobalUnlock, GlobalSize, ReadFile, PeekNamedPipe, GetTickCount, CreateProcessA, GetStartupInfoA, CreatePipe, GetVersionExA, GetModuleHandleA, DeleteFileA, lstrcmpiA, lstrlenA, lstrcatA, CloseHandle, UnmapViewOfFile, MapViewOfFile, CreateFileMappingA, CreateFileA, CopyFileA, GetTempFileNameA, GlobalFree, GlobalAlloc, GetModuleFileNameA, ExitProcess, GetCommandLineA, GetProcAddress, GlobalLock, GetCurrentProcess
> USER32.dll: SendMessageA, OemToCharBuffA, CharNextA, wsprintfA, CharPrevA, FindWindowExA
> ADVAPI32.dll: InitializeSecurityDescriptor, SetSecurityDescriptorDacl

( 3 exports )
Exec, ExecToLog, ExecToStack

molto simile logicamente quindi... che ne dite?

[xcdegasp]

direi esattamente uguali quindi secondo me hai copiato due volte lo stesso log ad ogni modo non è un problema,prova a scrivere all'assistenza del tuo antivirus chiedendo conferma che sia virus o falso positivo :)
nelle regole di sezione c'è il link per avere gli indirizzi email necessari ;)

[Dark Phoenix]

Ops vero scusate...

per completezza metto l'altro scan...
da virscan:

File information
File Name : ns9.tmp
File Size : 6656 byte
File Type : PE32 executable for MS Windows (console) Intel 80386 32-bit
MD5 : 81fdb3f76341f7257ff5335e922f5531
SHA1 : 40b163679e0d6242e332c65c1b5d42c375a00a71

Scanner results
Scanner results : 17% Scanner(6/36) found malware!
Time : 2008/08/05 23:30:46 (CEST)
Scanner ↓ Engine Ver Sig Ver Sig Date Scan result Time
a-squared 3.5.0.22 2008.08.04 2008-08-04
-
2.649
AhnLab V3 2008.08.05.01 2008.08.05 2008-08-05
-
0.865
AntiVir 7.8.1.15 7.0.5.217 2008-08-05
-
2.189
Arcavir 1.0.5 200808051157 2008-08-05
Trojan.Small.Jk
1.176
AVAST! 3.0.1 080805-0 2008-08-05
Win32:Trojan-gen {Other}
0.002
AVG 7.5.51.442 270.5.12/1592 2008-08-05
Agent.VJL
1.600
BitDefender 7.60825.1415069 7.20372 2008-08-06
-
2.639
CA (VET) 9.0.0.143 31.6.6011 2008-08-05
-
5.281
ClamAV 0.93.3 7949 2008-08-06
-
0.005
Comodo 2.11 2.0.0.607 2008-08-05
-
0.442
CP Secure 1.1.0.715 2008.08.06 2008-08-06
-
5.905
Dr.Web 4.44.0.9170 2008.08.05 2008-08-05
-
3.035
ewido 4.0.0.2 2008.08.04 2008-08-04
-
2.331
F-Prot 4.4.4.56 20080805 2008-08-05
-
0.984
F-Secure 5.51.6100 2008.08.05.04 2008-08-05
-
2.926
Fortinet 2.81-3.11 9.388 2008-08-05
-
1.660
Ikarus T3.1.01.34 2008.08.05.71222 2008-08-05
Virus.Win32.Trojan
3.110
JiangMin 11.0.706 2008.08.05 2008-08-05
-
1.127
Kaspersky 5.5.10 2008.08.05 2008-08-05
-
0.029
KingSoft 2008.1.14.15 2008.8.5.17 2008-08-05
-
0.567
McAfee 5.2.00 5354 2008-08-05
-
2.425
Microsoft 1.3807 2008.08.05 2008-08-05
-
4.031
mks_vir 2.01 2008.08.05 2008-08-05
-
2.507
Norman 5.93.01 5.93.00 2008-08-05
-
4.827
nProtect 2008-08-05.00 1738111 2008-08-05
-
3.222
Panda 9.05.01 2008.08.05 2008-08-05
-
2.175
Quick Heal 9.50 2008.08.05 2008-08-05
Trojan.Agent.muq
1.605
Rising 20.0 20.56.12.00 2008-08-05
-
0.768
Sophos 2.75.4 4.31 2008-08-06
-
1.954
Sunbelt 3.1.1537.1 2176 2008-08-01
-
0.414
Symantec 1.3.0.24 20080803.002 2008-08-03
-
0.048
The Hacker 6.2.96 v00393 2008-08-04
-
0.406
Trend Micro 8.700-1004 5.456.06 2008-08-05
-
0.024
VBA32 3.12.8.2 20080805.0822 2008-08-05
Trojan.Win32.Agent.muq
1.151
ViRobot 20080801 2008.08.01 2008-08-01
-
0.400
VirusBuster 4.5.11.10 4.5.11/ 0010-00-00
-
0.780

mi informo chiedo conferma e in quando ho fatto posto il risultato finale (falso positivo probabilmente)

grazie mille a tutti

[Chill-Out]

Segnala ad Avast il probabile falso positivo :)

[xcdegasp]

facci sapere quando ottieni risposta :)

[Dark Phoenix]

Perdonate la lentezza ma sapete come va.... È agosto ^^

Allora problema risolto, avast non lo rileva più, avranno aggiornato le firme.
Linko una discussione (http://www.mail-archive.com/[email protected]/msg48713.html) che ho trovato al proposito; motivo per il quale non ho inviato il file ad avast.


Grazie mille a tutti!!

Buon Ferragosto in anticipo!

[Chill-Out]

Bene buon Ferragosto anche a te :)