Newsgroup: it.comp.sicurezza.windows
Titolo: AntiVir PE, affidabile?

Avevo letto bene di questo antivirus ma sabato durante la scansione
totale del mio sistema (non è la prima che fà, l'ho installato da un
mesetto) mi ha trovato dei Trojan in alcuni file RAR presenti sul mio
PC da quasi un anno, il che vuol dire che sono stati aggiunti
recentemente al suo database (alla buon'ora). Ora, dato che un
antivirus dobrebbe essere aggiornatissimo rispetto alle utlime
scoperte in fatto di virus e balle varie mi sembra che Antivir non sia
curato poi così bene. E' anche vero che prima avevo AVG e anche lui
non ha mai trovato nulla.
Ciao
-- 
Fritz
Togli *ERASE* per rispondere in e-mail.

 curato poi cosě bene. 
La versione gratuita č mediocre perň occupa poche risorse.
Ottima invece la versione premium  a pagamento.
-- 
http://www.samspade.org/

 recentemente al suo database (alla buon'ora).
Potresti giurare che i file RAR non sono stati modificati a tua insaputa 
solo di recente?
Cristiano 


Come puň essere vero quello che dici? Significherebbe che i due antivirus 
sono completamente diversi o che la versione gratuita č volutamente 
storpiata. Non mi sembra credibile.
Cristiano 


A me ha trovato un worm in un file .txt vecchio come il cucco che ho sempre
avuto sul pc dal 1996... (mi segnala la stringa "WindowsExec.c") ma č
veramente una parte di testo che c'č nel file! sicuramente un falso
positivo...
cmq ritengo che la ver. gratuita per una workstation che non scarica email
sia ancora un buon prodotto...
SanDrolini -> SanTrollini 

> per una workstation che non scarica email
?????

 sicuramente un falso positivo...
Può darsi, ma puoi inviarmi il file per mia pura curiosità? Sembra il file 
d'un sorgente in linguaggio C.
Cristiano 

solo di recente?
Tenderei ad escluderlo, ho trovato su internet un report di Antivir PE
postato su un forum da un francese con lo stesso RAR sul PC e la
stessa segnalazione di Trojan, ora non ne ricordo il nome quando torno
a casa lo posto.  


 a casa lo posto.
Ok, grazie.
Il fatto che da un database delle firme di un antivirus manca una firma 
vecchia di 1 anno mi sembra una cosa talmente strana che ancora stento a 
crederci, ma se č cosě, č cosě e basta; non insisto.
Quando capitano queste cose, mi sembra interessante fare il confronto tra i 
vari antivirus, per cui, se possibile, mi piacerebbe avere il file RAR in 
modo da poterlo controllare con BitDefender (come ho chiesto anche a 
SanTrollini) oppure potresti farlo controllare a Jotti:
http://virusscan.jotti.org/
e postare qui il risultato.
Cristiano 

a casa lo posto.  
E' il TR/Agent.BHO.


 storpiata.
Quello gratis è semplicemente vecchio.
Non trova i malware di nuova generazione: ho già sperimentato sia
in azienda che con amici.
-- 
http://www.samspade.org/

 Non trova i malware di nuova generazione
[...]
http://original.antivir-pe.de/index.php?id=732&backPID=732&tx_faq_faq=171&L=2
"Are there any differences in the virus detection of Classic and Premium?"
Ti sbagli alla grande.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My home: 
http://mvp.support.microsoft.com/
My Blog:  
http://blogs.dotnethell.it/vincent/

 Ottima invece la versione premium  a pagamento.
"Are there any differences in the virus detection of Classic and Premium?":
http://original.antivir-pe.de/index.php?id=732&backPID=732&tx_faq_faq=179&L=2
In sostanza l'engine delle due versioni è simile, se non uguale. La release
"Premium" dispone della funzionalità di scansione delle e-mail e di server
per gli aggiornamenti più veloci, oltre che di un'interfaccia grafica più
carina.
http://original.antivir-pe.de/index.php?id=732&backPID=732&tx_faq_faq=173&L=2
"Do I need the Premum version to be safe?"
http://www.free-av.com/antivirclassic/docs/man_avira_antivir-peclassic_en.pdf
Download "User Manual AntiVir PersonalEdition Classic"


e postare qui il risultato.
Il rar è un pò grosso, il Trojan è in un eseguibile contenuto nel RAR
che mi pare fosse abbastanza piccolo, eventualmente ti mando quello. 


e postare qui il risultato.
Ho fatto fare la scansione al Jotti e non ha trovato nulla, ma anche
Antivir oggi non ci trova nulla di strano, avrà preso un abbaglio
oppure il file si è autodisinfettato :-).


 Premium?" Ti sbagli alla grande.
Poteva essere altrimenti? :-)
Comunque, grazie per il link.
Cristiano 

 oppure il file si è autodisinfettato :-).
Oppure qualcuno o qualcosa te lo modifica a tua insaputa.
E` veramente difficile credere a quello che dici tu (senz'altro in buona 
fede) e SanTrollini che non s'è più fatto vivo; nomina sunt omina. :-)
Cristiano 

 Comunque, grazie per il link.
La maggior parte dei malware in circolazione non è costituita
da virus propriamente detti ma da trojan horse, advertise, keylogger e
spyware vari.
Ti consiglio sempre una "scandaglita" col virit per scoprire qualche
malware basato su rootkit.
Se mi sono sbagliato ne sono contento perchè significa che in libera
circolazione una buona difesa.
-- 
Windows2000Pro enthusiast
Ubuntu Linux   newbie

 malware basato su rootkit.
Uso Ad-Aware, Spybot e a-squared; speriamo che bastino. :-)
Cristiano 

 Uso Ad-Aware, Spybot e a-squared; speriamo che bastino. :-)
Virit è meglio putroppo è gratis solo per 30 giorni.


 Capisci da solo che ci deve essere qualcosa di strano.
La rilevazione del virus potrebbe essere stata fatta con l'euristica (in 
tal caso compare la scritta HEUR/qualcosa nel nome del "virus"). A volte 
ci sono falsi positivi che vengono corretti con definizioni successive. 
Questo spiegherebbe la rilevazione di un virus in file vecchi e il fatto 
che dopo qualche giorno non lo rilevi più.
-- 
Luca Fraggante

 Classic and Premium?" Ti sbagli alla grande.
La versione premium però ha la rilevazione di adware e spyware, che 
dovrebbero mancare nella classic. Non si capisce bene in effetti, 
leggendo il sito, ma è stato anche confermato nel forum di Avira tempo 
fa da uno di loro.
In ogni caso, confermo che per quanto ne so e per quanto dichiara Avira, 
la versione free ha le stesse prestazioni della Premium.
-- 
Luca Fraggante

fede) e SanTrollini che non s'è più fatto vivo; nomina sunt omina. :-)
Oltre ad Antivir ho Comodo Firewall in aggiunta al Firewall del
router, SpyBot Search & Destroy, Adaware SE e AVG AntiSpyware quindi
dovrei essere abbastanza protetto e non ho mai preso virus o altro,
tranne una volta che si è messa a navigare mia moglie e mi ha
scaricato un trojan del cacchio debellato manualmente.


 successive.
Nel senso che le definizioni contengono anche i falsi positivi 
dell'euristica?
Cristiano 

 dovrei essere abbastanza protetto e non ho mai preso virus o altro, [...]
Anch'io pensavo di essere abbastanza protetto con Spybot, Ad-Aware, 
a-squared, AntiVir, BitDefender e il firewall Sygate, ma proprio ieri, 
durante una scansione con a-squared (che, appena aggiornato, non ha trovato 
niente), AntiVir mi ha trovato il file hldrrr.exe infetto dal virus 
Win32.Bagle.GX@mm (secondo la nomenclatura di BitDefender) e non ho idea 
come sia finito in system32. Non ha fatto alcun danno perché non dovrebbe 
essere mai stato eseguito (mancavano le varie chiavi di registro che crea il 
virus una volta attivato).
Cristiano 


ok, mi spiego meglio...
ho una piccola LAN e da quella WS (e da altre) semplicemente non leggo la 
posta, ma navigo e basta. quindi x quelle WS AntiVir PE basta e avanza
(almeno fino adesso... ;-)
SanDrolini -> SanTrollini

 dell'euristica?
Ti racconto cosa mi è successo tanto per farti un esempio, anche perché 
tecnicamente non so come facciano. 
Pochi giorni fa ho avuto una segnalazione da parte della funzione 
euristica su una dll di un videogame a cui gioco spesso in questo 
periodo, per cui posso dire che l'individuazione è avvenuta dopo un 
recentissimo aggiornamento. Ho scansito la dll con il sito jotti ed ho 
avuto segnalazione negativa da tutti gli AV. Solo antivir, evidentemente 
aggiornato come il mio e con funzione euristica al massimo di 
sensibilità, mi dava la possibile infezione; sul sito avvertivano della 
probabilità che si trattasse di un falso positivo, dato il metodo di 
scansione e il risultato degli altri. Ho mandato il file alla Avira con 
il form del sito e mi hanno risposto:
-------------------------
We could not find a virus in the attachment you have sent us.
This is a false positive. We will take out the pattern recognition in 
one of our next updates.
-------------------------
Dopo un paio di giorni il falso positivo non c'era più. Questo è quello 
che ti posso dire.
-- 
Luca Fraggante

Se trovi qualcosa, facci sapere.
Questo è il messaggio sul forum francese che avevo trovato:
http://forum.zebulon.fr/index.php?s=f536c1b53684a8265ebd661a4f818fb8&showtopic=114334&pid=917482&st=0&#entry917482
in particolare:
G:\Logiciels\Power
dvd\Cyberlink.PowerDVD.Deluxe.v7.0.2211.Multilingual-CORE\CORE10k.EXE
[DETECTION] Is the Trojan horse TR/Agent.BHO
[INFO] The file was moved to '460bd3a1.qua'!
l'eseguibile è lo stesso che ho io e la scansione anche lui l'ha fatta
lo stesso giorno (26/01).
Qui sono riportate le ultime signature aggiunte:
http://original.avira.com/en/threats/vdf_history.html?id_vdf=3310
e c'è il trojan che mi ha segnalato (TR/Agent.BHO). Ritengo sia
possibile che le signature della scorsa settimana contenevano qualcosa
di errato che ha fatto identificare il file come infetto quando in
realtà non lo è, sono solo congetture ovviamente.


 PE basta e avanza (almeno fino adesso... ;-)
hm .. AVPE non ha la "scansione della posta" ma controlla ugualmente
l'apertura di eventuali allegati ecc..; in ogni caso, se volessi aggiungere
la funzionalità di scansione email "al volo" ti basterebbe installare sulle
macchine anche 
http://www.bransoft.com/clammail/en/clammail.html
si tratta di una versione Win32 nativa dell'antivirus ClamAV modificata
per fungere da "POP3 proxy" in pratica tutta la posta in arrivo passa
attraverso il "proxy" di ClamMail e viene controllata al volo; il tutto non
ha problemi a funzionare con AVPE; unica avvertenza, escludere dalla
scansione di AVPE le cartelle di ClamWin :)
ciao

 
un ottimo sistema di sicurezza lo puoi trovare utilizzando uno strumento 
tipo coreforce,che è completamente gratuito,o sennò previx1 che è a 
pagamento...sono dei firewall con funzioni avanzate per monitorare il 
comportamento delle applicazioni all' interno del sistema,credo che si 
chiamino HIPS.Può essere una valida alternativa ad un antivirus vecchio 
stile,cmq a mio parere un buon antivirus gratuito è active virus shield
(motore e signature kaspersky).BYE