Проверим антивирусы на шлюзах и не только

[С.С. Горбунков]

То ли паранойя меня одолела, то ли еще что, но вот за последние дни в почтовом отстойнике нарыл несколько ссылок, скачал пару файликов. выкладываю... пароль infected
сами экзешники как известно не заливаются..
прямая сцылка на один из них _http://24.30.117.83/ecard.exe

[Димон]

Виснетик с последними базами не поймал, цуко
А drWeb локальный ловит при сохранении

[naliman]

странна сцуко
скачал экзешник, проверил симантеком - говорит ЧИСТО
ггг

[С.С. Горбунков]

naliman,
не далее как утром симантек 9-й на него орал - Trojan.Packed.13
или они поменяли экзешник.. :lol:

upd
а кстати действительно, новый файл 95,3 КБ (97 674 байт) а старый - 95,3 КБ (97 600 байт)
не знаю куда залить старый экзешник.. щас и новый проверю на вирустотале..

[Babah22]

на мну, напимер, а личку ))))

[EnMan]

AVP for File Servers 6.0.2.678
Заражен: вирус Email-Worm.Win32.Zhelatin.fz C:\Documents and Settings\iVN\Рабочий стол\ecard.exe 95.2 КБ
Заражен: троянская программа Trojan-Downloader.Win32.Tibs.mr c:\documents and settings\ivn\Рабочий стол\ecard.zip 89.7 КБ
Заражен: вирус Email-Worm.Win32.Zhelatin.fz c:\documents and settings\ivn\Рабочий стол\other_ecard.zip 89.7 КБ

AVP на высоте. Как обычно, впрочем.

[naliman]

виснетик-плугин к керио пропустил спокойно, а вот NOD32 (щяс он у меня на домашней машине) - отловил моментально

[С.С. Горбунков]

naliman,
да, виснетик пропускает. странно, базы свежие, онлайн-проверка у каспера показывает
ecard.exe - инфицирован [Для просмотра данной ссылки нужно зарегистрироваться]
что же, базы что-ли разные или сам движок "слепой"?

Добавлено через 21 час 5 минут
еще один рассадник: _http://74.76.187.231/ecard.exe

[adm_art]

С.С. Горбунков, Скачал из последнего рассадника. Блин, кабан и виснетик (плагин) на шлюзе пропустили, а AVG на тачке, сцука даже не пискнул.

[Valery12]

позавчера все антивирусники пропустили, а после вчерашнего обновления симантек наконец заметил.

[Babah22]

ну что бум писать свой собственный антивирус? ))))))

[adm_art]

Babah22, та да, я думаю что уже пора.

[Donkey]

Тренд поматюкался:

POSSIBLE_NUCRP-3

Description:

This is the Trend Micro detection for suspicious files that are compressed and encrypted.

This also detects files that manifest behavior and characteristics similar to the packer used by WORM_NUWAR variants but can also be used by variants of WORM_ZHELAT and WORM_TIBS.

If your Trend Micro product detects a file under this detection name, do not execute the file, or delete it immediately especially if it came from an untrusted or an unknown source (e.g., a Web site of doubtful nature). However, if you have reason to believe that the detected file is non-malicious, you can submit a sample for analysis. Detailed analysis will be done on submitted samples, and corresponding removal instructions will be provided, if necessary.

[С.С. Горбунков]

по той ссылке в первом посте файлик с завидной регулярностью модифицируется.. провайдеру их чтоль пожаловаться.. :gigi:

[naliman]

провайдеру пох что там
если поймают с поличным вирусописателя и зафиксируют всё в протоколе уголовного дела и это подтвердят 2 свидетеля - тогда провайдер шелохнётся и отберёт инет у того (кому он по ути с этого момента и не нужен будет, там где проведёт будущие годы этот человек - кроме шконок ничего нет) кто этим занимается ....

по крайней мере хотелось бы что б всё было по закону а не за деньги

[С.С. Горбунков]

naliman,
ну то ж америкосы - может им не пох?

OrgName: Comcast Cable Communications Holdings, Inc
OrgID: CCCH-3
Address: 1800 Bishops Gate Blvd
City: Mt Laurel
StateProv: NJ
PostalCode: 08054
Country: US

NetRange: 24.30.96.0 - 24.30.127.255
CIDR: 24.30.96.0/19
NetName: CCCH3-26
NetHandle: NET-24-30-96-0-1
Parent: NET-24-0-0-0-0
NetType: Direct Allocation
NameServer: DNS.INFLOW.PA.BO.COMCAST.NET
NameServer: DNS.CMC.CO.DENVER.COMCAST.NET
Comment:
RegDate:
Updated: 2005-03-24

OrgAbuseHandle: NAPO-ARIN
OrgAbuseName: Network Abuse and Policy Observance
OrgAbusePhone: +1-856-317-7272
OrgAbuseEmail: [Для просмотра данной ссылки нужно зарегистрироваться]

[abv]

Avira Antivir7 сказала что ecard.exe это TR/Crypt.XPACK.Gen
а серверный не пропускает запароленные архивы (пришлось галочку навремя убрать), так чта... его реакцию на это не узнаешь...

Update
Щас отключил локальный и отправил сам себе по почте:
Макака скромно промолчала, а внешний Visnetic вот чего выдал:
"External AV verdict: Trojan-Downloader.Win32.Tibs.mr"

PS.
Щас только на даты сообщений посмотрел )
Ну все равно, может полезно кому будет

[JohnB]

Panda нашла при распаковке: "Adware detected: Adware/Adsmart" и "Virus detected: Trj/Alanchum.MV" соответственно.

[naliman]

чёто ссылка на файл вируса сдохла
поставил тока что на работе Trend Micro WebProtect последний на ИСУ, хотел проверить и болтец
нажаловались чтоль уже?
ггг

[С.С. Горбунков]

похоже таки да, достали эти америкосы кого-то