- Автор темы Dragokas
- Дата начала
- Сообщения
- 3,885
- Реакции
- 2,432
Goinf - Kaspersky Lab Forum
Ярлык Хрома с другим названием оказался в правильном месте с высоким риском, а ярлыки Ослика и Опера почему-то в низком
Ярлык Хрома с другим названием оказался в правильном месте с высоким риском, а ярлыки Ослика и Опера почему-то в низком
- Сообщения
- 8,030
- Решения
- 14
- Реакции
- 6,805
thyrex, спасибо. Подумаем.
На счет Хрома, он ссылается на батники, поэтому высокий риск. Здесь не вижу ошибки.
Вообще-то пометки перед ярлыками - это всего лишь подсказка.
Это не отменяет обязанность хелпера просматривать лог и давать на лечение только нужные.
Ярлыки Ослика и Оперы попали в лог, а значит утилита свою задачу выполнила.
Еще одна ошибка, отсутствие команд карантина ярлыков (есть только те, что видны были в AVZ).
Анализировать нечего.
На счет Хрома, он ссылается на батники, поэтому высокий риск. Здесь не вижу ошибки.
Вообще-то пометки перед ярлыками - это всего лишь подсказка.
Это не отменяет обязанность хелпера просматривать лог и давать на лечение только нужные.
Ярлыки Ослика и Оперы попали в лог, а значит утилита свою задачу выполнила.
Еще одна ошибка, отсутствие команд карантина ярлыков (есть только те, что видны были в AVZ).
Анализировать нечего.
Chinaski
Ассоциация VN
- Сообщения
- 2,083
- Реакции
- 372
Dragokas, Здравствуйте!
В логе две строчки на один ярлык, которой верить?
В логе две строчки на один ярлык, которой верить?
Код:
>>> [h] "C:\Documents and Settings\Gleb\Рабочий стол\Ярлыки\Yandex.lnk" -> ["C:\Documents and Settings\Gleb\Local Settings\Application Data\Yandex\YandexBrowser\Application\browser.exe"]
>>> [MASK][s] "C:\Documents and Settings\Gleb\Рабочий стол\Ярлыки\Yаndех.lnk" -> ["C:\Documents and Settings\Gleb\Application Data\Browsers\exe.resworb.bat"]
- Сообщения
- 14,923
- Решения
- 5
- Реакции
- 6,856
два разных ярлыка, второй маскируется под первый. Будьте внимательней.
- Сообщения
- 8,030
- Решения
- 14
- Реакции
- 6,805
Пользователь Dragokas обновил ресурс Check Browsers' LNK by Dragokas & regist новой записью:
Глобальное обновление
Узнать больше об этом обновлении...
Глобальное обновление
Узнать больше об этом обновлении...
Последнее редактирование:
- Сообщения
- 8,030
- Решения
- 14
- Реакции
- 6,805
Пользователь Dragokas обновил ресурс Check Browsers' LNK by Dragokas & regist новой записью:
Обновление
Узнать больше об этом обновлении...
Обновление
Узнать больше об этом обновлении...
- Сообщения
- 8,030
- Решения
- 14
- Реакции
- 6,805
Уважаемые хелперы!
Пожалуйста, не забывайте брать в карантин батники, а также содержимое папки с батниками и ярлыки, которые на них ссылаются.
(специально для написания таких скриптов в помощь даже был обновлен AVZ LNK Script Helper).
Сейчас это используется для разработки умного анализатора вредоносных скриптов.
Ни один карантин не проходит мимо, не говоря уже о статистике.
Также не стесняйтесь брать ярлыки, особенно с пометками [modified]. Я понимаю, что в ближайшее время их было много,
но благодаря Вашей помощи в новой версии, которая выпущена, это исправлено.
О ложных срабатываниях тоже говорите, как угодно, и любым видом связи. Логи просматриваем, но самим всё охватить сложно.
Где можно, исправим, где спорно, сами понимаете.
Спасибо.
Пожалуйста, не забывайте брать в карантин батники, а также содержимое папки с батниками и ярлыки, которые на них ссылаются.
(специально для написания таких скриптов в помощь даже был обновлен AVZ LNK Script Helper).
Сейчас это используется для разработки умного анализатора вредоносных скриптов.
Ни один карантин не проходит мимо, не говоря уже о статистике.
Также не стесняйтесь брать ярлыки, особенно с пометками [modified]. Я понимаю, что в ближайшее время их было много,
но благодаря Вашей помощи в новой версии, которая выпущена, это исправлено.
О ложных срабатываниях тоже говорите, как угодно, и любым видом связи. Логи просматриваем, но самим всё охватить сложно.
Где можно, исправим, где спорно, сами понимаете.
Спасибо.
- Сообщения
- 8,030
- Решения
- 14
- Реакции
- 6,805
Пользователь Dragokas обновил ресурс Check Browsers' LNK by Dragokas & regist новой записью:
Обновления
Узнать больше об этом обновлении...
Обновления
Узнать больше об этом обновлении...
vavun
Постоянный участник
- Сообщения
- 117
- Реакции
- 50
Приветствую, а что значит содержит только знаки NUL ?
Пример лога
Пример лога
Код:
_____________ Подозрительные ( >>> ВЫСОКИЙ риск <<< ) _________________
- "C:\Users\Admin\Desktop\Crysis.lnk" (содержит только знаки NUL)
- "C:\Users\MrAlex\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Uninstall Programs.lnk" (содержит только знаки NUL)
- "C:\Users\Гость\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Uninstall Programs.lnk" (содержит только знаки NUL)
- "C:\Users\Public\Desktop\Crysis 2 - Maximum Edition.lnk" (содержит только знаки NUL)
- "C:\Users\Public\Desktop\Crysis 3.Digital Deluxe.v 1.3.0.0.lnk" (содержит только знаки NUL)
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Acrobat Reader DC.lnk" (содержит только знаки NUL)
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe After Effects CC.lnk" (содержит только знаки NUL)- Сообщения
- 14,923
- Решения
- 5
- Реакции
- 6,856
Попробуйте открыть этот ярлык например в Notepad++ и увидите.
Если будут вопросы, что такое NUL, то открывайте в HEX редакторе.
- Сообщения
- 8,030
- Решения
- 14
- Реакции
- 6,805
vavun, это испорченные ярлыки. В файле только символы с ASCII кодом 0x00.
Обычно из-за кривых инсталляторов, также последствий работы вредоносного ПО, бывает из-за перехватов антивируса (в этом случае файл на самом деле может быть целым, но вылечить для профилактики все же стоит, особенно если рядом в логе есть и вредоносные записи).
Обычно из-за кривых инсталляторов, также последствий работы вредоносного ПО, бывает из-за перехватов антивируса (в этом случае файл на самом деле может быть целым, но вылечить для профилактики все же стоит, особенно если рядом в логе есть и вредоносные записи).
Последнее редактирование:
