Interpretare scansioni antivirus online.

[enricobb]

Mi capita spesso di analizzare qualche file con Virus Total
e ricevere risultati ambigui che mi pare difficile interpretare.

Per esempio incollo i risultati di una scansione che rileva 9 positivi su 41 (22%)

a-squared 4.5.0.41 2009.11.22 Win32.SuspectCrc!IK
AhnLab-V3 5.0.0.2 2009.11.20 -
AntiVir 7.9.1.72 2009.11.20 -
Antiy-AVL 2.0.3.7 2009.11.20 -
Authentium 5.2.0.5 2009.11.21 W32/Backdoor2.EUUP
Avast 4.8.1351.0 2009.11.22 -
AVG 8.5.0.425 2009.11.22 -
BitDefender 7.2 2009.11.22 -
CAT-QuickHeal 10.00 2009.11.21 -
ClamAV 0.94.1 2009.11.22 -
Comodo 2997 2009.11.22 -
DrWeb 5.0.0.12182 2009.11.22 -
eSafe 7.0.17.0 2009.11.19 Win32.HackTool.Patch
eTrust-Vet None 2009.11.20 -
F-Prot 4.5.1.85 2009.11.21 W32/Backdoor2.EUUP
F-Secure 9.0.15370.0 2009.11.20 -
Fortinet 3.120.0.0 2009.11.22 -
GData 19 2009.11.22 -
Ikarus T3.1.1.74.0 2009.11.22 Win32.SuspectCrc
Jiangmin 11.0.800 2009.11.22 -
K7AntiVirus 7.10.901 2009.11.20 Trojan.Win32.Malware.1
Kaspersky 7.0.0.125 2009.11.22 -
McAfee 5809 2009.11.21 -
McAfee+Artemis 5809 2009.11.21 Artemis!51EC15FB1AC8
McAfee-GW-Edition 6.8.5 2009.11.21 -
Microsoft 1.5302 2009.11.22 -
NOD32 4627 2009.11.21 probably a variant of Win32/HackTool.Patcher.A
Norman 6.03.02 2009.11.21 -
nProtect 2009.1.8.0 2009.11.22 -
Panda 10.0.2.2 2009.11.21 -
PCTools 7.0.3.5 2009.11.22 -
Prevx 3.0 2009.11.22 Medium Risk Malware
Rising 22.22.06.04 2009.11.22 -
Sophos 4.47.0 2009.11.22 -
Sunbelt 3.2.1858.2 2009.11.21 -
Symantec 1.4.4.12 2009.11.22 -
TheHacker 6.5.0.2.075 2009.11.20 -
TrendMicro 9.0.0.1003 2009.11.22 -
VBA32 3.12.12.0 2009.11.22 -
ViRobot 2009.11.20.2047 2009.11.20 -
VirusBuster 5.0.21.0 2009.11.21 -

In casi simili non sono mai bene che fare.

Spesso decido di rinunciare e cestinare il file evitando di farlo girare,
ma insomma sarebbe molto meglio se mi fosse possibile capire
e interpretare meglio i risultati di questa e di altre scansione.

Qualcuno più esperto può aiutarmi?

Grazie.
Enrico.

[enricobb]

Ma è possibile che a nessuno sia mai capitato un caso simile?

[sampei.nihira]

Enrico, nel tuo esempio non c'è niente di ambiguo.
Il file che hai scaricato nel tuo pc è un malware che in quel momento è riconosciuto tale dagli antivirus che vedi nell'elenco.
Man mano che passa il tempo se rifai lo scan ci saranno altri antivirus/antimalware che riconosceranno il file che hai inviato.
Altri sono i risultati degli scan on line "ambigui" come dici tu.
Un malware può ad esempio NON essere rilevato da nessun antivirus in un certo momento ed essere lo stesso un malware.
Oppure ancora peggio essere rilevato da 1 solo antivirus come spesso accade per i falsi positivi.

[enricobb]

Enrico, nel tuo esempio non c'è niente di ambiguo.
Il file che hai scaricato nel tuo pc è un malware che in quel momento è riconosciuto tale dagli antivirus che vedi nell'elenco.
Man mano che passa il tempo se rifai lo scan ci saranno altri antivirus/antimalware che riconosceranno il file che hai inviato.


Ipotizzavo si trattasse di un falso positivo perché "soltanto" 9 antivirus su 41 l'hanno rilevato.

Un malware può ad esempio NON essere rilevato da nessun antivirus in un certo momento ed essere lo stesso un malware.

Addirittura?

Grazie.
Enrico.

[MauritiusX]

Ipotizzavo si trattasse di un falso positivo perché "soltanto" 9 antivirus su 41 l'hanno rilevato.



Addirittura?

Grazie.
Enrico.

Beh certo, come credi che vengano trovati i malware ? Prima si diffondono, poi qualcuno se ne accorge e mette le loro "impronte digitali" nel database dell'antivirus... ma sino a quel momento non vengono rilevati...

[enricobb]

Non è proprio possibile riconoscerli per quello che sono anche prima che abbiano procurato qualche danno?

Enrico.

[MauritiusX]

Non è proprio possibile riconoscerli per quello che sono anche prima che abbiano procurato qualche danno?

Enrico.

Beh magari con la scansione euristica dell'antivirus (quella che riconosce virus non presenti nelle firme) oppure li puoi trovare con un software tipo hijackthis che analizza le voci nel registro che mi sembra lo strumento piu' affidabile con i virus/malware sconosciuti.

[xcdegasp]

dai un po' di autocritica ci vuole! con quale faccia angelica ci si può porre il problema se la patch/fix/crack/warez scaricato sia pulito da eventuali virus??

lo hai preso consapevolmente su un sito che pubblica file di dubbia provenienza e sai esattamente quale sia il suo fine, non credo che si debba aggiungere altro!

visto che i virus Bagle e Vundo non sono serviti a nulla a frenare questa idea del "tutto è dovuto a gratis", e i malwarewriter se ne sono accorti ecco che spunta il nuovo virus per questi entusiasti fedelissimi e irriducibili:

Prevx lancia l'allerta su un nuovo pericoloso rootkit (http://www.hwupgrade.it/forum/showthread.php?t=2093421)


da rimuovere non è per nulla rosa e fiori anzi e per il momento risulta invisibile agli antivirus... :sofico:

[xcdegasp]

ovviamente chiudo il thread :)