Newsgroup: it.news.net-abuse
Titolo: MBL_142932 - falso positivo

Ho un paio di installazioni in cui erano attive su clamav anche alcune firme
"amtispam" non ufficiali, come per l'appunto MBL, prese dal pacchetto debian
clamav-unofficial-sigs
Purtroppo per una corruzione del DB ci sono stati molti falsi positivi negli
ultimi giorni. Se usate il pacchetto consiglio di verificare i log e vedere
se si è vittime di questo problema (specie se per qualche malaugurato motivo
qualcuno avesse ancora clamav in postqueue, 
p.es
. con amavis, configurato in
discard).
-- 
Flavio Visentin
2006: l'onestà  2007: la storia  2008: la leggenda  2009: il mito epico
2010: l'apoteosi!! 3 TITULI!!! Scudetto, Coppa Italia, Champions League
 
http://www.zipman.it/ot/Gufi_Rosicate.jpg
   Far rodere un cretino come ponziopilato è godurioso come 4 TITULI!
Il pirla continua a rodere abbestia, lo dimostra ad ogni post. E io godo!

 Purtroppo per una corruzione del DB ci sono stati molti falsi positivi
Si, c'è una discussione al proposito sulla ML di "sanesecurity"
<quote>
Date: Wed, 17 Nov 2010 08:22:34 -0500
From: Gerard Seibert <gerard...>
To: sanesecurity...
Subject: [sanesecurity] Re: Any one have an issue with
MBL_142932.UNOFFICIAL - false positive
I have been having an intermittent problem with the "mbl.ndb" file for
several days now. The closest I have gotten to nailing down the problem
is that there appears to be a supercilious <CRLF> occasionally tagged
onto the end of the file ocasionally. That may be totally incorrect;
however, I have not been able to discover the exact problem with the
minuscule resources and time available to me at the present. At 08:08
EST this morning the file did download, validate and load correctly. I
am going to try and contact the definition file provider and see if
they can track down the problem.
The good news with my script is that a faulty "mbl.ndb" file will not
be made available for clamav to use. The last good file will remain in
use unless you manually delete it which would be totally unnecessary.
Selfless self promotion: there is an updated version of my script now
available on SourceForge.
 
https://sourceforge.net/projects/scamp/
It doesn't help this problem; however, it does address a few other
minor bugs.
</quote>
la signature che sembra causare il problema è MBL_142932.UNOFFICIAL
c'è però da dire che, considerando il fatto che il signature file è
corrotto,
per evitare problemi del genere basterebbe verificare le signatures
scaricate prima di spostarle in "working"; al proposito sul sito di
sanesecurity esistono degli scripts che si occupano sia di scaricare
tali signatures "unofficial" sia di verificarne la coerenza prima di
darle
in pasto a clamd :)
http://www.sanesecurity.com/download_scripts_linux.htm
va considerato che quegli scripts permettono di scaricare diverse sigs
e vanno personalizzati selezionando le signatures che si desidera usare
per maggiori info in proposito, vedere
http://www.sanesecurity.com/databases.htm
HTH

> Si, c'è una discussione al proposito sulla ML di "sanesecurity"
Dimenticavo... per quanto riguarda "mbl.ndb" non uso quella
lista ormai da tempo dato che avevo riscontrato già in passato
diversi problemi con la stessa (di solito relativi al file corrotto)
al momento utilizzo (oltre alle sig ufficiali) le seguenti signatures
rsync://
rsync.sanesecurity.net/sanesecurity/sanesecurity.ftm
rsync://
rsync.sanesecurity.net/sanesecurity/sigwhitelist.ign2
rsync://
rsync.sanesecurity.net/sanesecurity/junk.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/jurlbla.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/lott.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/phish.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/rogue.hdb
rsync://
rsync.sanesecurity.net/sanesecurity/scam.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/spam.ldb
rsync://
rsync.sanesecurity.net/sanesecurity/spamimg.hdb
rsync://
rsync.sanesecurity.net/sanesecurity/spamattach.hdb
rsync://
rsync.sanesecurity.net/sanesecurity/spear.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/scamnailer.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/doppelstern.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/INetMsg-SpamDomains-2w.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/winnow_malware.hdb
rsync://
rsync.sanesecurity.net/sanesecurity/winnow_malware_links.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/winnow_phish_complete.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/winnow_spam_complete.ndb
rsync://
rsync.sanesecurity.net/sanesecurity/winnow.attachments.hdb
rsync://
rsync.sanesecurity.net/sanesecurity/winnow_extended_malware.hdb
http://clamav.securiteinfo.com/honeynet.hdb
http://clamav.securiteinfo.com/securiteinfobat.hdb
http://clamav.securiteinfo.com/securiteinfodos.hdb
http://clamav.securiteinfo.com/securiteinfoelf.hdb
http://clamav.securiteinfo.com/securiteinfo.hdb
http://clamav.securiteinfo.com/securiteinfohtml.hdb
http://clamav.securiteinfo.com/securiteinfooffice.hdb
http://clamav.securiteinfo.com/securiteinfopdf.hdb
http://clamav.securiteinfo.com/securiteinfosh.hdb

> Dimenticavo... per quanto riguarda "mbl.ndb" non uso quella
<quote>
EPILOGUE
I have now gone over 36 hours without a problem with the "mbl.ndb"
file. It appears that perhaps the powers that be have corrected the
problem on their end.
</quote>
alert over
anche se, sinceramente, continuer� a NON usare quelle sigs