Antivirussoftware Sophos deactiveert updateprogramma's

Continue een irritant update-programma draaien, of gewoon meuktracker in de gaten houden en handmatig updaten.
Ik had mijn keuze snel gemaakt..

Bij Comodo staat de program dir ook in een whitelist, het kan dus wel.
Als de malware geen admin rechten krijgt kan hij er niet bij (win7).

nige dat ze zouden kunnen doen is een unieke hash maken van alle versies van dit programma en die vervolgens op een whitelist plaatsen, maar dat levert ook problemen op want hoe reageer je als de updater wordt geupdate?

Nochtans werkt zo Tren Micro Smart Scan. Door een Hash van alle windows bestanden centraal te zetten, hoeven ze niet alles te scannen om te weten dat deze correct of niet correct zijn.

En er zou perfect een hash gemaakt kunnen worden van hun eigen update programma, dat ze altijd hun eigen updater vertrouwen.

Een whitelist kan natuurlijk meer betekenen dan een bepaalde applicatie of directory uitsluiten van scannen. Je kan bijvoorbeeld een hash maken van je update programma om te controleren of deze besmet is, maar hem verder met rust laten.

Hoe dan ook zou een bepaalde manier van zelf-reparatie wel handig kunnen zijn voor het geval een virus de scanner om zeep helpt.

Via zo'n bulk antivirus scan website kun je nog altijd false positives krijgen.
Wanneer 2 van de 12 scanners van mening is dat een bestand gevaarlijk is, is dit behoorlijk aannemelijk zelfs.
Bij twijfel test ik het zelf in een sandbox omgeving, zo weet ik in ieder geval wel 100% zeker dat mijn systeem niet besmet wordt.

Het enige dat ze zouden kunnen doen is een unieke hash maken van alle versies van dit programma en die vervolgens op een whitelist plaatsen, maar dat levert ook problemen op want hoe reageer je als de updater wordt geupdate?

Dan moet je eerst de oude updater vertellen, bv met een nieuwe definition-file dat de nieuwe updater safe is. Het lijkt me dat dit iets is dat alle anti-malware makers tegenkomen.

Het is niet als of Google Adobe, en al die andere software schrijvers Sophos even bellen om de nieuwe hash door te geven. Dus het resultaat is simpel weg dat ook dan de nieuwe update tool als onveilig gezien wordt.

Klopt, als ze dit al doen (zal dan wel mailen zijn, en uiteraard gesigneerd) dan doen ze dat hooguit naar de hun bekende grote AV-makers (symantec, mcaffee, kasperski) maar zullen er altijd makers ontbreken (clam, immunet) en voor de middenmoot (avast, avg, avira, comodo, eset, panda, bitdefender, f-secure, norma, g data, trend, pinda, ...) en de andere malwarescanners (javacool (spywareblaster), superantispyware, emisoft, malwarebyte, spyware teminator) is het maar de vraag of ze wel of of geen informatie krijgen).

Daar wil je als maker niet van afhankelijk zijn. Uiteraard kun je zelf die updaters draaien en analyseren maar je loopt dan altijd achter de feiten aan en zolang jij je gegevens niet hebt bijgewerkt kunnen je gebruikers hun java, flash player, reader enz niet updaten. Tevens kun je nooit alle updaters bijhouden want er zullen altijd nieuwe en kleine firma's zijn die voor hun het updaten van de apps bij hun clienten ook een updater willen gebruiken. Wereldwijd zijn er nogal wat belastingaangifte-programma's, boekhoudprogramma's enzovoorts en die willen bij een veiligheidspatch ook zo snel mogenlijk hun gebruikers bereiken..

De enige echte manier is zoeken naar code die precies lijkt op het geen je al kent of die duidelijk gevaarlijk is omdat dit laatste een heel moeilijk pad is wil een virus scanner nog wel eens een false positive opleveren.

False positives krijg je vooral bij heuristisch scannen. Alleen daarmee vindt je echter nieuwe malware. Met signatures, wat alle AV's gebruiken treed dit zelden op, echter dan loop je feitelijk ook weer altijd achter de feiten aan. Als AV-bedrijf moet je eerst het virus analyseren en aan de hand daarvan je signature files updaten . Op dit moment is feitelijk de enige methode om die updaters dan maar gewoon te laten draaien en hopen dat je na de eerste besmetting snel genoeg daarvan op de hoogte gesteld wordt en je daarna je nieuwe signatures hebt kunnen updaten op de systemen van je klanten voordat het virus bij hen komt.

Vandaar ook dat er een aantal sites zijn die de mogelijkheid bieden om met meerdere virus scanners een bestand te scannen om er achter te komen wat een hele groep virus scanners denkt dat het is.
Vaak zie je dan dat 1 of 2 een bestand als gevaarlijk aan merken waar de andere 10 geen problemen zien. Dit is simpel weg de enige manier waarop je iets meer zekerheid kunt hebben over de veiligheid van bepaalde bestanden war je eigen virus scanner aan twijfelt.

Klopt echter als je eigen scanner ze helemaal niet detecteerd raakt je systeem dus geïnfecteerd. Als je eigen scanner iets als gevaarlijk aanmerkt wordt het gedeactiveerd door het in een virus-vault te zetten of door het te wissen.

Het is wel grappig dat ook het eigen Sophos systeem als gevaarlijk wordt gezien maar aan de andere kant als gebruiker ben je ook wel erg dom als je de virus scanner bestanden gewoon maar laat verwijderen. De executie blokkeren is meer dan genoeg dan kun je altijd nog online kijken of andere het met het idee van jouw virus scanner eens zijn. Als dat niet zo is dan weet je al snel genoeg...

Helaas gaan heel veel scanners uit van de onkunde van de gemiddelde gebruiker en kun je een bestand nauwelijks of niet terugzetten. Zelf overkwam mij dat bij Avast 6 dat een dll van de Lenovo Powermanagement drivers als malware aanmerkte.

Gezien het niet eerder reageren van Avast op false-positive-reports betreffende Clamwin en Immunet Antivirus (welke laatste zelf aangeeft compatible te zijn met

Compatible Security Products
AVG
Avast!
Avira
Norton Anti-Virus, Internet Security, 360
McAfee
Microsoft Security Essentials
Trend Antivirus
K7

maar van Avast! slechts versies 4.6 en 5.0 als officially supported.
Zal ik dus ook Avast niet meer instaleren.

[Reactie gewijzigd door BeosBeing op 20 september 2012 14:23]

Jah, inderdaad. Maar dat is echt not done in een zakelijke omgeving.

Ook niet. Beter zou het zijn dat er één of twee vertrouwde updaters zijn (bijvoorbeeld Windows Update) die ook de andere applicaties updaten. Java, Flash en andere van het soort notoire beveiligingsgaten bevattend wordt dan beperkt uitgevoerd en mogen niet zelf updaten. Deze zijn van voor hun update afhankelijk van die twee vertrouwde en dubbel gecontroleerde updaters (bv van Windows Update of een AV-pakket). - een beetje zoals in Linux dus met diens repositories.

[Reactie gewijzigd door BeosBeing op 20 september 2012 14:35]

Absoluut geen adware. Ze maken toch geen reclame? Het is gewoon een update van het programma zelf. Als je dat als adware beschouwt dan is Windows Update ook adware.

Als optie inderdaad, de gebruiker is niet verplicht de bingbar/mcafee/chrome/etc mee te omstalleren. Dat veel gebruikers blindelings op 'next' of ' accept' klikken en niet lezen is een ander probleem