PREVX 3.0

[Romagnolo1973]

Originariamente inviato da enigmista63

Allora se e' come penso io questa volta sono molto arrabbiato,l'immagine che posto e presa dal MYPREVX la lettera U sta a significare che per il momento e' in fase di studio il file klif.sys,nella pagina di PREVX la dicitura tradotta dice questo:

Vendor, prodotto e Informazioni sulla versione

Un file con il nome klif.sys sono stati visti per avere i seguenti vendor, prodotto e informazioni sulla versione nel file di intestazione:

* Kaspersky Lab; Klif Mini-Filter [fre_wnet_x86]; 8.4.0.107 costruita da: WinDDK
* Kaspersky Lab; VeriSign Class 3 Code Signing CA 2004; (C)
* Kaspersky Lab; Klif Mini-Filter [fre_wnet_x86]; 8.4.0.107



[IMG][/IMG]




A questo punto oltre ad aver rilevato ed eliminato file dell'antivirus,visto che l'antivirus e' nelle esclusioni perche' non ha evitato di scansionare quello che e' nelle esclusioni? GRAVE MOLTO GRAVE

Ehh mi sono svegliato per bere e che mi trovo un "problemone"
domani o meglio dire oggi vista l'ora, quando sono più sveglio ci ragiono su meglio e poi vedo di investigare un po'
Come eri settato con l'euristica di AGE e Popularity su Medio?
Il fatto che non prenda le esclusioni potrebbe essere un baco, comunque tra qualche ora mi informo
Buonanotte

[marcoesse]

Originariamente inviato da enigmista63

Ciao a tutti si e' rilevato uno strano prolema,durante la scansione dopo l'avvio del pc PREVX ha rilevato 3 infezioni da KLIF.SYS, ora la mia domanda e' visto che non ne sono sicuro,il file KLIF non e' un file di KASPERSKY?

Originariamente inviato da enigmista63

Ciao a tutti qualcuno di voi sa se il file KLIF.SYS e' un file legittimo di KASPERSKY?.Grazie

si certo

Originariamente inviato da enigmista63

Perche' se cosi' fosse PREVX e' riuscito a rilevarlo come ROOTKIT ed a eliminarlo.

anche a me' lo ha rilevato fatto come falso positivo
ma non mi dirai che hai ancora la spunta su elimina automaticamente

[enigmista63]

Ciao ragazzi,si ha combinato un bel casino,io ho dimenticato dopo l'ultima installazione di togliere la fatidica spunta,ma in ogni caso NON PUO' E NON DEVE scansionare KIS tra le esclusioni e tanto meno file e cartelle di cio' che ho messo appositamente di non monitorare,inoltre da qualche giorno aveva iniziato a scansionare(con la finestra in basso a dx) tutti i movimenti di KIS compresi gli aggiornamenti,la cosa mi sembra un po troppo invasiva visto che dall'altra sponda evita accuratamente di scansionare i movimenti di PREVX CHE HA NELLE SCLUSIONI,IN SOSTANZA HO DOVUTO REINSTALLARE KIS.Adesso ho disinstallato PREVX e per il momento mene guardo bene prima di reinstallarlo.

[marcoesse]

Originariamente inviato da enigmista63

Ciao ragazzi,si ha combinato un bel casino,io ho dimenticato dopo l'ultima installazione di togliere la fatidica spunta,ma in ogni caso NON PUO' E NON DEVE scansionare KIS tra le esclusioni e tanto meno file e cartelle di cio' che ho messo appositamente di non monitorare....

Originariamente inviato da enigmista63

:supercool: Ciao ,secondo me la cosa ha la stessa gravita' di quando AVG ha creato problemi per falsi positivi con file microsoft,tanto piu' che se KIS e' nelle esclusioni NON deve assolutamente monitorare quello che inserisco nelle esclusioni altrimenti perche' applico quella opzione?

ciao,
il driver KLIF non è nelle cartelle Kaspersky per cui non è nelle esclusioni
è un driver "nascosto" ed ha come comportamento il comportamento "tipico" dei rootkit
lo trovi in: system32
<service id="KLIF">
<name>Kaspersky Lab Driver</name>
<status>Running</status>
<start>System</start>
<type>File System</type>
<path>system32\DRIVERS\klif.sys</path>

per cui o si mette la cartella system32 nelle esclusioni (cosa peraltro pericolosissima ergo improponibile)
oppure ci si ricorda di mettere la spunta di non eliminare file sospetti come (di norma si fa') con qualsiasi altro AV
e come dici anche tu' quelli di AVG avranno imparato la lezione? (molti secondo me' no )
ciao

[Romagnolo1973]

Originariamente inviato da enigmista63

Ciao ragazzi,si ha combinato un bel casino,io ho dimenticato dopo l'ultima installazione di togliere la fatidica spunta,ma in ogni caso NON PUO' E NON DEVE scansionare KIS tra le esclusioni e tanto meno file e cartelle di cio' che ho messo appositamente di non monitorare,inoltre da qualche giorno aveva iniziato a scansionare(con la finestra in basso a dx) tutti i movimenti di KIS compresi gli aggiornamenti,la cosa mi sembra un po troppo invasiva visto che dall'altra sponda evita accuratamente di scansionare i movimenti di PREVX CHE HA NELLE SCLUSIONI,IN SOSTANZA HO DOVUTO REINSTALLARE KIS.Adesso ho disinstallato PREVX e per il momento mene guardo bene prima di reinstallarlo.

nella notte il mio cervello era in sospensione quindi non mi è venuto in mente una cosa banalissima che poi molti ignorano ovvero:
a differenza di tanti prodotti Prevx ha una funzione che prima si chiamava roolback ora chiamata Undo CleanUP (non mi ricordo come e se è stata tradotta) che permette SEMPRE di tornare indietro nelle decisioni prese senza fare danni in virtù di ciò io ho l'opzione famosa automatically remove blocked file attiva e così la lascio
Inoltre sebbene la spunta all'opzione vi sia prevx mi avverte comunque del blocco fatto e sta a me poi decidere se dargli permesso di agire una volta, sempre o bloccarlo definitivamente
Quindi direi che è bene tenere il baffetto sulla opzione e poi se come in questo caso si tratta di FP agire col roolback e tornare indietro, ovvio si può tornare indietro non dopo giorni, a quel punto il file viene eliminato definitivamente.
Nessun altro prodotto dopo aver cancellato il file ha una funzione analoga
Ergo rimetti su Prevx non appena ho info che il FP lo hanno sistemato

Originariamente inviato da marcoesse

ciao,
il driver KLIF non è nelle cartelle Kaspersky per cui non è nelle esclusioni
è un driver "nascosto" ed ha come comportamento il comportamento "tipico" dei rootkit
lo trovi in: system32
<service id="KLIF">
<name>Kaspersky Lab Driver</name>
<status>Running</status>
<start>System</start>
<type>File System</type>
<path>system32\DRIVERS\klif.sys</path>

per cui o si mette la cartella system32 nelle esclusioni (cosa peraltro pericolosissima ergo improponibile)
oppure ci si ricorda di mettere la spunta di non eliminare file sospetti come (di norma si fa') con qualsiasi altro AV
e come dici anche tu' quelli di AVG avranno imparato la lezione? (molti secondo me' no )
ciao

in realtà si può mettere il klif.sys come escluso dalla scansione, visto che oltre a inserire le cartelle si possono inserire anche sottocartello o file singoli
Per ora ho chiesto a prevx di considerare sicuro il file e ho anche chiesto se non sia il caso di mettere pure il drive di kis tra le esclusioni specifiche.
Attendo risposta ma penso che dovrai fare una aggiunta al post delle esclusionni reciproche
Vediamo poi vi dico

[marcoesse]

Originariamente inviato da Romagnolo1973

Per ora ho chiesto a prevx di considerare sicuro il file e ho anche chiesto se non sia il caso di mettere pure il drive di kis tra le esclusioni specifiche.
Attendo risposta ma penso che dovrai fare una aggiunta al post delle esclusionni reciproche
Vediamo poi vi dico

fatto
http://www.hwupgrade.it/forum/showpo...&postcount=288

che sia questo?

[Romagnolo1973]

Originariamente inviato da marcoesse

fatto
http://www.hwupgrade.it/forum/showpo...&postcount=288

che sia questo?

è proprio lui, ovvio che a distanza di giorni il "trucchetto" non funziona più essendo il file definitivamente cancellato ma nell'arco di poche ore è ancora presente e si può intervenire senza troppi sbattimenti

[enigmista63]

Allora adesso ho tolto la spunta su elimina automaticamente,se rileva un eventuale file nocivo quale e' la procedura esatta per metterlo in quarantena?,al momento del rilevamento mi chiede di chiudere la connessione,disattivare AV e fare pulizia,a quel punto il file viene eliminato o messo in quarantena'Grazie

[enigmista63]

Ciao questo e' quanto rileva,la cosa strana che cosi' come ieri dopo aver installato la versione di TUNEUP in prova mi rileva di nuovo questi file nocivi.

[IMG][/IMG]

[Romagnolo1973]

Originariamente inviato da enigmista63

Allora adesso ho tolto la spunta su elimina automaticamente,se rileva un eventuale file nocivo quale e' la procedura esatta per metterlo in quarantena?,al momento del rilevamento mi chiede di chiudere la connessione,disattivare AV e fare pulizia,a quel punto il file viene eliminato o messo in quarantena'Grazie

Io la spunta la terrei attiva e se del caso agirei col tasto UndoCleanUp come scritto nei primi post quando ne parlo (ho modificato il nome che prima era Roolback CleanUp e mi era sfuggito)
Comunque cosa fa quell'opzione lo scrivono nel loro help

Automatically remove blocked files

This feature is only enabled for registered users of Prevx 3.0 who have malware removal functionality enabled in their license. When Prevx 3.0 encounters a malicious file and you block the file, Prevx 3.0 will automatically remove the file and any associated malicious components. The file will be backed up into the Undo Cleanup database which will allow you to review any detections if wanted.
Quindi presuppone che a l'allerta ci sia e lì decido cosa fare (vedi il post 6 dove c'è l'immagine con blocca, permetti una volta o permetti sempre) e questa allerta c'è comunque e sempre, con l'opzione attiva non solo si blocca il file ma anche le variazioni al registro, quindi va tenuto attivo per meglio controllare l'infezione e sradicarla

Originariamente inviato da enigmista63

Ciao questo e' quanto rileva,la cosa strana che cosi' come ieri dopo aver installato la versione di TUNEUP in prova mi rileva di nuovo questi file nocivi.

[IMG][/IMG]

Per ora facendo tasto destro puoi dire di trattarli come Falsi Positivi
In america è l'alba quindi quando lo vedranno poi risolveranno il problema
Visto che ci sono anche chiavi di registro non so quanto mettere il file nelle esclusioni sia funzionale, attendo lumi dagli USA

[enigmista63]

La cosa che mi lascia perpelesso e' il fatto che il file klif.sys non lo trovo in kis o in driver. sono presenti in kis vari file klif,ma non klif.sys

[Romagnolo1973]

Originariamente inviato da enigmista63

La cosa che mi lascia perpelesso e' il fatto che il file klif.sys non lo trovo in kis o in driver. sono presenti in kis vari file klif,ma non klif.sys

forse è particolarmente criptato da Kaspersky proprio per evitare che venga disabilitato da un malware
boh aspettiamo info

[enigmista63]

Forse trovato l'ighippo,il presunto file klif .sys,non e' secondo me un file di kis,ma preumo sia un file o presunto rootkit come dice prevx del software TUNE UP sara' strano,ma se faccio scansione con prevx ed il software e' chiuso tutto ok,se apro il software TUNEUP e scansiono con prevx ecco trovate sempre piu' infezioni,la cosa e' stata ripetuta piu' volte cnl lo stesso risultato vedi imagine con TUNEUP aperto.


[IMG][/IMG]

[Romagnolo1973]

Originariamente inviato da enigmista63

Forse trovato l'ighippo,il presunto file klif .sys,non e' secondo me un file di kis,ma preumo sia un file o presunto rootkit come dice prevx del software TUNE UP sara' strano,ma se faccio scansione con prevx ed il software e' chiuso tutto ok,se apro il software TUNEUP e scansiono con prevx ecco trovate sempre piu' infezioni,la cosa e' stata ripetuta piu' volte cnl lo stesso risultato vedi imagine con TUNEUP aperto.

Beh il fatto che una volta eliminato kis non partiva indica che il file è legittimo e appartiene a KIS

Anche Marco ha avuto la segnalazione e non penso a TuneUp aperto ammesso che lo abbia
Ovvio che aumentano le segnalazioni visto che tuneUp ti ha trovato KLIF anche nel cestino (qello profondo di sistema che resta in memoria anche per giorni) e quindi poi prevx vede questa ulteriore voce

[enigmista63]

Si esatto e come dici tu la cosa si e' ripetuta anche dopo aver disinstallato tune up ma tutto dipende dalla nuova versione di prevx aggiornata alla 5.23.mettu tutto nei falsi positivi sperando che risolvano presto,anche perche' adesso mi segnala infetto anche ASHAPOO FREE per masterizzare.

[Romagnolo1973]

Originariamente inviato da enigmista63

Si esatto e come dici tu la cosa si e' ripetuta anche dopo aver disinstallato tune up ma tutto dipende dalla nuova versione di prevx aggiornata alla 5.23.mettu tutto nei falsi positivi sperando che risolvano presto,anche perche' adesso mi segnala infetto anche ASHAPOO FREE per masterizzare.

riesci a fare un file di log? poi posti qui solo le prime righe, visto che i file infetti o presunti tali li mette all'inizio si tratta di copiare solo poche righe (i mod mi perdoneranno) e non il resto del log che poi qua non è permesso perchè incasinano l'impaginazione e se dal percorso c'è tipo un tuo nome beh metti le XXX, così poi lo posto a loro per risolvere

[d.gordon]

Ciao
vorrei segnalare che l'ultima versione 3.0.5.23 di prevx pro
la safeonline con ogni settaggio mi blocca il tastierino virtuale per accedere al sito di iwbank e i video di youtube...

se invece spengo la safeonline va tutto ok

entrato poi nel sito di youtube posso riattivare la safeonline e continuare a vedere i video ...

consigli?

[Romagnolo1973]

Originariamente inviato da d.gordon

Ciao
vorrei segnalare che l'ultima versione 3.0.5.23 di prevx pro
la safeonline con ogni settaggio mi blocca il tastierino virtuale per accedere al sito di iwbank e i video di youtube...

se invece spengo la safeonline va tutto ok

entrato poi nel sito di youtube posso riattivare la safeonline e continuare a vedere i video ...

consigli?

youtube a me va benissimo su IE (uso di norma Chrome4 ancora non supportato) con safeonline al max
Per la banca fai così è possibile la veda come una minaccia e non te lo faccia comparire, in quel caso trattandosi della tua banca e sicuro che è lei e non un phishing (https e lucchetto del browser) disabilita la safeonline dal suo tasto ON/OFF e riparti, così non dovrebbero esserci problemi

[d.gordon]

infatti faccio così...ma non c'e il modo di far "memorizzare" il sito sicuro al safeonline?

[Romagnolo1973]

Originariamente inviato da d.gordon

infatti faccio così...ma non c'e il modo di far "memorizzare" il sito sicuro al safeonline?

penso il problema non sia il fatto che il sito non è sicuro ma che in qualche modo come è stato scritto sulla pagina web quel tastierino numerico porta Prevx a pensare non che sia insicuro ma che stia per prelevarti info senza che tu lo sappia e lo blocca.
Se hai la Pro magari prova a gestire quel sito tramite la funzione advanced, forse e dico forse risolvi (non ho mai testato questa funzione attentamente)