Minivir l'Antivir portatile

[c.m.g]

Originariamente inviato da forum1

alcuni antivirus o antispyware possono rilevare minivir come malware per il fatto che è stato creato e compilato con autoit

è probabile che ogni script compilato di autoit venga visto come probabile malware da alcuni antivirus, anche una semplice message box con scritto hello

in pratica non fanno distinzione tra un eseguibile che esegue azioni nocive ed uno innocuo

inoltre minivir è in grado di scaricare da internet files dai server di avira o da qualsiasi server e questo viene visto come potenziale pericolo

in teoria io potrei (se fossi un bastardone) creare una versione modificata di Minivir in modo tale che oltre alle definizioni dei virus venisse scaricato un eseguibile nocivo

ovvio che io non lo faccio quindi le versioni compilate di minivir che scaricate dai link presenti sul mio blog sono pulite ma dato che il codice dello script è pubblico chiunque potrebbe creare una versione maligna di minivir

perciò accertatevi sempre di usare una versione ufficiale scaricata partendo dal mio blog

se lo trovate su siti diversi dal mio blog o su emule o bittorrent è altamente probabile, per non dire certo che sia taroccato

non ho mai dubitato nemmeno per un secondo di te forum1, la mia era una semplice segnalazione anche per avvisare eventuali utenti dubbiosi che non sanno come comportarsi in queste situazioni.
La versione di minivir che ho, l'ho scaricata direttamente dal tuo blog, non sarei così pazzo da scaricarlo per vie dubbie

[forum1]

Originariamente inviato da c.m.g

non ho mai dubitato nemmeno per un secondo di te forum1, la mia era una semplice segnalazione anche per avvisare eventuali utenti dubbiosi che non sanno come comportarsi in queste situazioni.
La versione di minivir che ho, l'ho scaricata direttamente dal tuo blog, non sarei così pazzo da scaricarlo per vie dubbie

e la mia era una spiegazione tecnica (più o meno) del perchè Minivir ma anche altri eseguibili del tutto innocui vengono rilevati come malware

ad esempio molti eseguibili della Nirsoft vengono riconosciuti da Antivir come trojan o roba simile ma in realtà non lo sono

[Ignorante Informatico]

Originariamente inviato da forum1

..in pratica non fanno distinzione tra un eseguibile che esegue azioni nocive ed uno innocuo..

Appunto. L'origine perfetta di tutti i falsi positivi (di a-squared soprattutto).

Ovviamente, non sono polemico... è comprensibile che succeda ed apprezzo molto il programma della EMSI Software

[c.m.g]

Originariamente inviato da Ignorante Informatico

Appunto. L'origine perfetta di tutti i falsi positivi (di a-squared soprattutto).

Ovviamente, non sono polemico... è comprensibile che succeda ed apprezzo molto il programma della EMSI Software

esatto, il programma è rinomato per i suoi falsi positivi ma è buono comunque

[wjmat]

Originariamente inviato da forum1

metti il file ivdf_fusebundle_nt_en.zip nella cartella di minivir e dopo crei un file bat che lancia 7za.exe e gli fa estrarre i file

qualcosa del genere

7za.exe e ivdf_fusebundle_nt_en.zip -y *.vdf avewin32.dll avpack32.dll avrep.dll

7za.exe non è altro che la riga di comando di 7-zip

ottimo

[wjmat]

sarà stata colpa dell'estate ma non mi ero accorto della nuova versione con interfaccia ridotta....

volevo integrare minivir in una sorta di guida alla disinfezione "portable" per pc con problemi alla connssione, e non potendo usare f-secure, avrei solo la disponibilità di kasp rem tool, non compatibile con chi ha già installato kasp...

la quarantena come mai è stata eliminata?
nelle info segnali di fare prima un giro a vuoto e poi fare il giro con eliminazione.
se mi dura 3 ore il primo scan, poi mi tocca perdere ancora tutto quel tempo??

se per esempio nella pulizia puoi implementare la rinomina dei file infetti, in modo che in caso di falso, dal log reperisco gli indirizzi e rinomino con i nomi originali?

[forum1]

Originariamente inviato da wjmat

sarà stata colpa dell'estate ma non mi ero accorto della nuova versione con interfaccia ridotta....

volevo integrare minivir in una sorta di guida alla disinfezione "portable" per pc con problemi alla connssione, e non potendo usare f-secure, avrei solo la disponibilità di kasp rem tool, non compatibile con chi ha già installato kasp...

la quarantena come mai è stata eliminata?
nelle info segnali di fare prima un giro a vuoto e poi fare il giro con eliminazione.
se mi dura 3 ore il primo scan, poi mi tocca perdere ancora tutto quel tempo??

se per esempio nella pulizia puoi implementare la rinomina dei file infetti, in modo che in caso di falso, dal log reperisco gli indirizzi e rinomino con i nomi originali?

credo che la versione ridotta a cui tu fai riferimento sia la versione 1 ormai obsoleta

http://bp3.blogger.com/_-wXyqwvjjAE/...ESECUZIONE.JPG

l'ultima versione è la 2.4 il cui link l'ho messo in firma

http://altagradazione.blogspot.com/2...inivir-24.html

tutti i post relativi a minivir sul mio blog

http://altagradazione.blogspot.com/search?q=minivir

[wjmat]

avevo cercato minivir su google e mi ha mandato nella pagina della prima versione.... pensavo che ci fosse solo l'ultima versione online e me la sono tirata giù....
come non detto quindi

approfitto delle tue conoscenze...
ho inserito in un bat quell'aggiornamento manuale di minivir... ma ho dovuto rinominare la cartella in minivir, come faccio da dos ad eliminare i problemi di spazi e punteggiatura?

[forum1]

Originariamente inviato da wjmat

avevo cercato minivir su google e mi ha mandato nella pagina della prima versione.... pensavo che ci fosse solo l'ultima versione online e me la sono tirata giù....
come non detto quindi

approfitto delle tue conoscenze...
ho inserito in un bat quell'aggiornamento manuale di minivir... ma ho dovuto rinominare la cartella in minivir, come faccio da dos ad eliminare i problemi di spazi e punteggiatura?

prova a mettere tra virgolette i percorsi, dovrebbe funzionare

[forum1]

programmatore italiano

vedi in fondo all'articolo

http://www.ilsoftware.it/articoli.asp?id=4621

[wjmat]

Originariamente inviato da forum1

programmatore italiano

vedi in fondo all'articolo

http://www.ilsoftware.it/articoli.asp?id=4621

[c.m.g]

mi sarei aspettato almeno un riferimento al blog di forum1.... va be'!

http://www.hwupgrade.it/forum/showth...2#post24102962

[forum1]

Originariamente inviato da c.m.g

mi sarei aspettato almeno un riferimento al blog di forum1.... va be'!

http://www.hwupgrade.it/forum/showth...2#post24102962

si l'avevo notato anche io che su ilsoftware.it c'era solo il link da cui scaricare ma siccome non mi garba fare polemiche mi sono limitato a commentare in quella pagina.

[@Sirio@]

Ho provato Minivir 2.2.6 su un PC infetto:

AntiVir/Win32-Console Version 7.6.0.59, (Jan 29 2008, 18:11:09)
Copyright(c) 2007 Avira GmbH

Report created on 09/16/2008 13:47:57

Command line: C:\* -alltypes -s -z -r1 -rs -rfC:\Users\marco\Desktop\minivir.log 
-heuristic:2 -defext -qua-copy C:\quarantena 

AVPack-Version: 7.6.1.2
VDF version: 7.0.6.47 - FUP(0), created 08/21/2008

AVCLS license: ***********************

Drives:
C: Harddisk
D: Harddisk
E: CDROM
F: Floppy

checking the master boot record of drive 80h
 ERROR (5): cannot read record

checking the master boot record of drive 81h
 ERROR (5): cannot read record

checking the boot record of drive C:
 ERROR (5): cannot read record

checking drive/path (list): C:\
C:\hiberfil.sys
 Date: 16.09.2008  Time: 10:54:48  Size: 2145574912
 ERROR: could not open file for read access
 file was not scanned at all!

C:\pagefile.sys
 Date: 16.09.2008  Time: 10:54:46  Size: 2459500544
 ERROR: could not open file for read access
 file was not scanned at all!

ALERT: [PCK/Armadillo] C:\Program Files\Millegiochi Rosso Alice\Fashion Craze\FashionCraze.exe <<< File has been compressed with an unusual runtime compression tool (PCK/Armadillo). Please verify the origin of the file
File has been copied to quarantine.

C:\Users\marco\NTUSER.DAT
 Date: 16.09.2008  Time: 11:52:56  Size: 1572864
 ERROR: could not open file for read access
 file was not scanned at all!

C:\Users\marco\AppData\Local\Microsoft\Windows\UsrClass.dat
 Date: 16.09.2008  Time: 11:48:00  Size: 2621440
 ERROR: could not open file for read access
 file was not scanned at all!

ALERT: [ADSPY/Comet.BP] C:\Users\marco\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\5Y5H2FPW\music_it[1].exe <<< Contains detection pattern of the Ad- or Spyware ADSPY/Comet.BP
File has been copied to quarantine.

ALERT: [TR/StartPage.azj] C:\Users\marco\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RSCQN5BU\1[1].exe <<< Is the Trojan horse TR/StartPage.azj
File has been copied to quarantine.

ALERT: [DR/Dldr.DNSChanger.Gen] C:\Users\marco\Documents\My Completed Downloads\nicecodec4264.exe <<< Contains detection pattern of the dropper DR/Dldr.DNSChanger.Gen
File has been copied to quarantine.

ALERT: [DIAL/210039] C:\Users\marco\Documents\My Completed Downloads\sex.exe <<< Contains detection pattern of the dial-up program DIAL/210039
File has been copied to quarantine.

C:\Windows\Panther\UnattendGC\diagerr.xml
 Date: 29.06.2007  Time: 21:58:44  Size: 52640
 ERROR: could not open file for read access
 file was not scanned at all!

C:\Windows\Panther\UnattendGC\diagwrn.xml
 Date: 29.06.2007  Time: 21:58:44  Size: 55951
 ERROR: could not open file for read access
 file was not scanned at all!

C:\Windows\SoftwareDistribution\EventCache\{A4F4296D-4CBC-48B7-95A3-1E3A56A01369}.bin
 Date: 27.06.2008  Time: 17:48:00  Size: 8
 ERROR: could not open file for read access
 file was not scanned at all!

ALERT: [TR/Dropper.Gen] C:\Windows\System32\dmqey.exe <<< Is the Trojan horse TR/Dropper.Gen
File has been copied to quarantine.

C:\Windows\System32\sysprep\Panther\diagerr.xml
 Date: 19.05.2007  Time: 21:37:46  Size: 2280
 ERROR: could not open file for read access
 file was not scanned at all!

C:\Windows\System32\sysprep\Panther\diagwrn.xml
 Date: 19.05.2007  Time: 21:37:46  Size: 2220
 ERROR: could not open file for read access
 file was not scanned at all!

ALERT: [TR/StartPage.azj] C:\Windows\System32\winsvc\svc\gennaro.exe <<< Is the Trojan horse TR/StartPage.azj
File has been copied to quarantine.



----- scan results -----
 directories:    11720
       files:    58264
      alerts:        7
  suspicious:        0
    repaired:        0
     deleted:        0
     renamed:        0
   scan time: 00:12:08
--------------------------
Thank you for using AntiVir

Dopo ho provato a fare una scansione con Malwarebytes' Anti-Malware:

Malwarebytes' Anti-Malware 1.28
Versione del database: 1161
Windows 6.0.6000 

16/09/2008 19.57.53
mbam-log-2008-09-16 (19-57-53).txt

Tipo di scansione: Scansione completa (C:\|D:\|)
Elementi scansionati: 99483
Tempo trascorso: 54 minute(s), 5 second(s)

Processi delle memoria infetti: 0
Moduli della memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Elementi dato del registro infetti: 4
Cartelle infette: 1
File infetti: 1

Processi delle memoria infetti:
(Nessun elemento malevolo rilevato)

Moduli della memoria infetti:
(Nessun elemento malevolo rilevato)

Chiavi di registro infette:
(Nessun elemento malevolo rilevato)

Valori di registro infetti:
(Nessun elemento malevolo rilevato)

Elementi dato del registro infetti:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.116.40 85.255.112.101 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.116.40 85.255.112.101 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.116.40 85.255.112.101 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.116.40 85.255.112.101 -> Quarantined and deleted successfully.

Cartelle infette:
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoKey (Trojan.DNSChanger) -> Quarantined and deleted successfully.

File infetti:
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\VideoKey\Uninstall.lnk (Trojan.DNSChanger) -> Quarantined and deleted successfully.

Terminato adesso anche a-squareed free, ne ha trovato un'altro:

a-squared Free - Version 3.5
Last update: 16/09/2008 20.27.22

Impostazioni scansione:

Oggetti: Memoria, Tracce, Cookies, C:\, D:\
Archivio scansioni: On
Scientifico: On
ADS Scan: On

Scansione avviata:	16/09/2008 23.12.28

C:\Windows\System32\winsvc\svc\gennaro.exe 	rilevati: Trojan.Win32.StartPage.azj

Scansionati

Files: 	146484
Tracce: 	355168
Cookies: 	2
Processi: 	74

Rilevato

Files: 	1
Tracce: 	0
Cookies: 	0
Processi: 	0
Chiavi registro: 	0

Fine scansione:	17/09/2008 0.13.29
Tempo scansione:	1:01:01

Adesso provo con SUPERAntispyware ...spero siano finiti...

Mi è venuto un dubbio: è possibile che Minivir abbia una rilevazione minore rispetto al programma installato sul PC?

Saluti

[forum1]

la riga di comando utilizzata da minivir è ferma alla versione 7 di antivir

avira non ha aggiornato la riga di comando e forse non lo farà mai

quindi in teoria è possibile che il rilevamento dei virus sia inferiore ad antivir 8 installato sul computer

antivir 8 ha uno scan engine (motore di scansione) migliore rispetto alla 7 anche se il database (VDF) dei virus è identico

tu hai usato l'euristica di default cioè il livello 2 prova anche con il livello Alta

poi ogni antivirus anti malware ha le sue differenze di rilevamento, per questo vale la pena di effettuare scansioni multiple con software diversi

comunque mi sembra che tra le tre scansioni minivir abbia trovato più degli altri

[@Sirio@]

Adesso capisco, infatti rifacendo la scansione con AntiVir 8 ha trovato altra roba.

Cmq funziona bene, dovrò aggiornare all'ultima versione che hai fatto, la 2.4.

Ciao e grazie.

[forum1]

Originariamente inviato da @Sirio@

Adesso capisco, infatti rifacendo la scansione con AntiVir 8 ha trovato altra roba.

Cmq funziona bene, dovrò aggiornare all'ultima versione che hai fatto, la 2.4.

Ciao e grazie.

non so quale versione hai usato fino adesso

anche la 2.4 comunque usa la medesima riga di comando

la scansione viene sempre eseguita da avcls.exe utilizzando il motore di scansione avewin32.dll

[@Sirio@]

Originariamente inviato da forum1

non so quale versione hai usato fino adesso

La 2.2.6

anche la 2.4 comunque usa la medesima riga di comando

la scansione viene sempre eseguita da avcls.exe utilizzando il motore di scansione avewin32.dll

..si, avevo capito, però volevo avere l'ultima.

[c.m.g]

Originariamente inviato da @Sirio@

[...]
..si, avevo capito, però volevo avere l'ultima.

anche io

[@Sirio@]

Originariamente inviato da c.m.g

anche io

..l'unica cosa che mi ha bloccato fino ad ora è il tempo che ci vuole per aggiornare.

Ciao c.m.g.