Ljuger säkerhetsprogrammen

[CGD]

Idag har jag Windows Security Essentials tillsammans med Windows brandvägg. Tidigare hade jag Norton NIS 2010. Jag laddar ner ett program med en keygen. Omedelbart vaknar WSE till och varnar för virus och allehanda annat skit. Precis på samma sätt som NIS 2010 gjorde. Tar jag då och byter namn på filerna så tycker både WSE och NIS att allt är OK. Keygen filer är ju till olika program och därmed antagligen inte likadana, trotts att de har samma namn.

Beteendet har fått mig att tro att säkerhetsprogram tar bor Keygen filer bara på rutin oavsett de innehåller något skadlig eller ej. Kanske i samarbete med myndigheter eller programföretag.

Skall säkerhetsprogram få agera någon sorts polis också?

[Mats H]

Det som de finner som är false positives, vilket är tvivelaktiga filer som t.ex keygen och crack!!

http://www.viruslist.com/en/glossary?glossid=153654932

False positive

Synonyms: False alarm

A false positive is another way of saying...........

Har nog väldigt lite med polis och myndigheter att göra...

Redigerad Januari 31, 2010 av Mats H

[JoWa]

Har du laddat upp filen/filerna till virustotal.com?

[CGD]

Jag är lite osäker på vad Mats H menar. Jag tycker det är lite konstigt när virusprogrammet varnar när filen heter Keygen men döper jag om den till Serienummer så är den OK. Då upplever jag det som om programmet varnar för filens namn och inte dess innehåll och just filer som heter Keygen är en typ av fil som inte är omtyckt i alla läger.

Jag laddade upp de filer som var inblandade och alla svar utom ett var negativt. Det enda positiva svar var det som länken nedan leder till. Någon större enighet uppvisas ju inte men kan någon annan uttyda mer. Däremot märkte de jag bytt namn på filen och anger det ursprungliga.

http://www.virustotal.com/sv/analisis/7d30e1bfc0dfb3368e44f7b1722eff37b9f2e7e44587005849ec5a328202fe2a-1264967656

[JoWa]

Det var inte så att programmet varnade, du ignorerade varningen, bytte namn på filen, som alltjämt ignoreras av programmet?

För att se vad program har för sig, ladda upp dem till CIMA.

[Cecilia]

Jag laddade upp de filer som var inblandade och alla svar utom ett var negativt. Det enda positiva svar var det som länken nedan leder till. Någon större enighet uppvisas ju inte men kan någon annan uttyda mer. Däremot märkte de jag bytt namn på filen och anger det ursprungliga.

http://www.virustotal.com/sv/analisis/7d30e1bfc0dfb3368e44f7b1722eff37b9f2e7e44587005849ec5a328202fe2a-1264967656

Virustotal gör en checksumma av filen (SHA256-värdet) och blir den samma som någon annan fil som har testas så presenteras resultatet av den tidigare filen. Det är alltså anledningen till att det inte spelar någon roll att du har bytt namn på filen du laddar upp en gång till.

Norman rapporterar HackTool, alltså ett program som är inne och petar på (hackar i) något annat program. Det är väl precis vad många keygen-program gör.

Enligt Kaspersky, F-Prot och Prevx är filen packad eller krypterad. Det är vanligt att antivirusprogram reagerar på filer som är packade på sådana sätt som skadliga program ofta är. Det kan vara anledningen till de olika rapporterna om Riskware och Suspicious. Även om de också kan bero på att filen verkar hacka i något annat program. Inget av de beteckningarna anger alltså något som absolut är farligt utan just att det är riskfyllt eller misstänkt. Det enda program som verkligen pekar ut filen som skadlig är K7Antivirus.

För att se vad program har för sig, ladda upp dem till CIMA.

Virustotal länkar till resultatet från Sunbelts CWSandbox http://research.sunbelt-software.com/partnerresource/MD5.aspx?md5=4bc061f515d98d9961e2c0e548089f49 Jag kan inte se något anmärkningsvärt där, men å andra sidan är ju inte heller programmet det är en keygen för installerat i sandlådan. Det finns också skadliga program som väntar en halvtimme med att göra något skadligt och så länge testas de inte i någon sandlåda. Redigerad Januari 31, 2010 av Cecilia

[CGD]

Så här svarar CIMA.

http://camas.comodo.com/cgi-bin/submit?file=87edf23b2a879172a45e0bb4de316a1040263613516d6bbca584b710d41ce875

Ni skall ha tack för alla svar men svaren blir fel. Det här är inte en fråga om huruvida filen är farlig eller ej. Utan enbart varför WSE och även tidigare NIS 2010 reagerar på filen när den heter Keygen och inte på den när den heter Serienummer. Om det var något i filen som var farligt så borde WSE säga till oavsett namn på filen.

JoWa, jag har inte godkänt filen i WSE. Laddar jag ner den på nytt kommer varningen upp igen. Jag tycker det här är en viktig fråga. Jag kan mycket väl tänka mig att de som tillverkar säkerhetsprogram i samband med den övriga programindustrin kan lägga in varningar för helt ofarliga filer men filer som inte är helt lagliga. Som exempelvis en keygenfil. Vad vet ni om detta?

[JoWa]

Kan du bifoga varningen? Enligt VirusTotal säger Microsoft inget om filen. Kan det vara heuristiken/beteendeanlysen som reagerar på den? Att reagera på allt som heter Keygen.exe verkar dock inte så genomtänkt. Testa att döpa om något (osignerat) program till Keygen.exe.

Den enda typ av detektion baserad på filnamn jag känner till är dubbla suffix, t.ex. Dokument.doc.exe, som av heuristiken uppfattas som en misstänkt fil.

[OlleBull]

Dom flesta keygens är inte skadliga. Men visst kan man råka ut för elak code, men risken är väldigt liten. Oftast så har det att göra med vilkens sorts program dessa avser. Jag har använt flera genom åren och aldrig råkat ut för något. Däremot så kan program förändras till elakingar, vilket jag tror är en större risk och det råkade jag ut för strax före jul, men med hjälp av systemåterställningen i Vista så klarade jag mig undan. Detta var första gången det hände mig under 2000-talet. 1999 på nyåret, blev jag drabbad av Happy99 men då visste man knappt vad virus var för något och jag tror jag hade ett medskickat antivirusprogram på datorn, som knappast var uppdaterat. Happy99 var föresten en s.k mask.

Dom flesta antivirusprogram reagerar på dåliga Keygens Gratis versionen av avast gör det galant.

Såväl även NOD32 som är mitt riktiga Antivirus på flera datorer.

Redigerad Februari 1, 2010 av OlleBull

[Cecilia]

Så här svarar CIMA.

http://camas.comodo.com/cgi-bin/submit?file=87edf23b2a879172a45e0bb4de316a1040263613516d6bbca584b710d41ce875

Det där är inte samma fil som du laddade upp till virustotal. Det är olika checksummor.

Denna fil ändrar en inställning som har med internet att göra, startar svchost och håller på med en del som har med internettrafik att göra, inte konstigt om filen blir misstänkt.

Jag kan mycket väl tänka mig att de som tillverkar säkerhetsprogram i samband med den övriga programindustrin kan lägga in varningar för helt ofarliga filer men filer som inte är helt lagliga. Som exempelvis en keygenfil. Vad vet ni om detta?

Jag har inte hört talas om det förut, annat än att MBAM vill ta bort sådant som är till för att köra deras eget program illegalt, och det är därför som det är intressant att undersöka orsaken till det du skriver.

Du har inte skrivit någonstans, vad jag kan se, vad dina säkerhetsprogram rapporterar om filen, dvs vilken typ av skadlig fil de anser att det är.

[CGD]

Ursäkta. Här är rätt fil.

http://camas.comodo.com/cgi-bin/submit?file=7d30e1bfc0dfb3368e44f7b1722eff37b9f2e7e44587005849ec5a328202fe2a

Har tappat bort nerladdnings stället men har filen kvar. Men nu kan jag inte få WSE att varna för den. Vet ej varför. Finns inga godkända filer i WSE.

Cecilia, filen var installationsfilen för WinRar 3.92. Denna fil har WSE aldrig varnat för.

Redigerad Februari 1, 2010 av CGD