Оффтоп из темы по HiJackThis

[Dragokas]

Возможно устаревшая компиляция ( можно смело удалить антивирусом ) . Это дроппер.

Только что родился у меня на руках. За что же вы его так.
Файл открывается и показывает форму. Не имеет ни единой строчки кода. И ничего никуда не дропает.
А в ресурсах вшит файл с подписью Майкрософт.

 

[Hunter]

1) А если бы он был подписан, то тогда как?
2) А если он подписан, но всего пара детектов?
3) А если он подписан, детектов нет вообще и на ВТ его проверяли первый раз года 3 три назад, но пока ни одного детекта нет (жаль, долго искать ссылку и в любом случае скорее всего уже не найду, но у меня реально был такой кейс). Да и после того как тот кейс попался, там через пару недель ситуация с детектами кардинально поменялась, так что ссылку на старую проверку скорее всего уже не найти.

1) Если он подписан , считается в нулевой 0 - зеленый нет детектов , просканирован несколько вендоров - нет вредонсоных и кроме Айпи адрессов , заранее предоставлен пользователю - угроза не опасная , на дату нужно смотреть.
2)Если вы речь о обходные антивирусы - могут быть три версий : Если выше детектов -угроза высока - то угроза расти будет, называется : "подмена подписи" , если давно известно вендору - какие есть детекты , то следует проверять сканером наличии детектом.

3) Если проверяли - более 3 года , если он проверен много лет и известна вендору антивирусу - но угроза не будет предоставлять опасность , т.е программа скомплирован без вредных кодов и не где нарушен и не крадет ничего - то он уже считается проверен.

4)

Да и после того как тот кейс попался, там через пару недель ситуация с детектами кардинально поменялась, так что ссылку на старую проверку скорее всего уже не найти

Разработчик VT ее убрал по собственной желанию и скрыл ее ссылку , теперь она не доступна - возможно разработчик самого программы по уже исправил ошибку , если таков имеется.
Либо - у VT бывают срок давности удаляется в хранилищах сервере какие-то определенные , возможно 10-20 лет назад ссылка удаляется .

 

[Hunter]

Только что родился у меня на руках. За что же вы его так.
Файл открывается и показывает форму. Не имеет ни единой строчки кода. И ничего никуда не дропает.
А в ресурсах вшит файл с подписью Майкрософт.

Файл может сжирать процессы, подменять файлы и убить задачу, порча файлов и нарушение реестров, потребление памяти.
Могут разные версии .

 

[Hunter]

потому что там внутри заложен ключ для разработчиков. RTFM!

Cовершено верно RTFM....

 

[Dragokas]

Файл может сжирать процессы, подменять файлы и убить задачу, порча файлов и нарушение реестров, потребление памяти.
Могут разные версии .

точно, пойду удалю пока и меня не сожрал вместе с процессами