Антивирус блокирует Historylib.dll

Говорит \"подозрительный код\". Если разблокировать насильно и поставить эту библиотеку в исключения - то через какое-то время библиотека все равно блокируется, но уже с сообщением об обнаружении в ней червяка \"Zoher\"

Версия 1065

1. откуда качал?
2. что за антивирь?
3. 1068 пробовал?

k1601

Интернет-черви

I-Worm.Zoher

Вирус-червь. Распространяется через Интернет в виде файлов, прикрепленных к зараженным письмам. Червь является приложением Windows (PE EXE-файл), имеет размер 6.6K, написан на языке Ассемблер.

Зараженные письма содержат:

Заголовок: Fw: Scherzo!
Имя вложения: javascript.exe

Для запуска себя из зараженных писем червь использует брешь в системе безопасности почтового клиента (IFRAME, см. \"Nimda\"). При этом зараженное вложение активизируется без участия пользователя - при чтении или предварительном просмотре сообщения.

Червь не инсталлирует себя в систему и не запускается повторно (за исключением случаев, когда пользователь повторно открывает зараженное вложение). Т.е. является червем \"однократного\" действия.

При рассылке писем использует прямой доступ к SMTP-серверу и рассылает письма по всем адресам, обнаруженным в WAB (Windows Address Book).

При рассылке червь каждый раз скачивает рассылаемые данные (письмо и аттач) с сервера banners.interfree.it. Это позволяет автору червя \"апдейтить\" его новыми версиями или рассылать другие [вредные] программы.

На 1068 не проверял.

Качал все отсюда. Было подозрение на старые хвосты \"стороннего\" релиза, но не подтвердились - на вновь распакованный из сохраненного архива файл реакция аналогичная.

Антивирь - Outpost Security Suite Pro (все в одном флаконе, поставил на пробу на тестовой машине). Новый. Вероятно, глючный Но больше никакой гадости при полном сканировании не нашел.

Отправь на virustotal.com свой файл и посмотри на реакцию остальных антивирусов.

Отправь на virustotal.com свой файл и посмотри на реакцию остальных антивирусов.

Fortinet 2.85.0.0 05.25.2007 suspicious
Ikarus T3.1.1.8 05.25.2007 Trojan-Spy.Win32.Bancos.ha
Microsoft 1.2503 05.24.2007 VirTool:Win32/Obfuscator.C
Norman 5.80.02 05.25.2007 W32/Suspicious_U.gen
Sunbelt 2.2.907.0 05.24.2007 VIPRE.Suspicious
Webwasher-Gateway 6.0.1 05.25.2007 Win32.Malware.gen#Upack (suspicious)


Aditional Information
File size: 21921 bytes
MD5: 9fdc079a6cbcb9ce60a860df5f026e65
SHA1: 3024de727a481d20db04182b5545205fba923a21
packers: UPACK
packers: UPack
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.

Этот Outpost, что у меня установлен, вначале ругается как раз на UPACK и подозрительный код. Далее, если игнорировать и разрешить этой dllп родолжить работу - уже постоянно начинает вылезать сообщение об обнаружении \"Zoher\".

Друзья!
Видимо пришло время каяться.
Не судите меня строго. Я как вотки выпью, то чтобы не начинал писать - получаются вирусы. Поэтому что там в этой библиотеке внутри я даже боюсь представить.
Короче, используйте на свой страх и риск.
Если что вот результат проверки антивирусниками этого файла: img161.imageshack.us/img161/3995/11213723mr0.jpg

2 Разработчег: ну ты шутник! молодца!

А еси серьезно, качать сборки крысы нужно только с этого сайта, об этом уже давно предупреждали. На других сайтах в сборку могут чего угодно засунуть.

ЗЫ. Лично у меня ни один анитивирь на крысу не ругался ни разу.

dumbI4 wrote:

ЗЫ. Лично у меня ни один анитивирь на крысу не ругался ни разу.

У меня тоже. До сегодняшнего дня так же см. выше отчеты других антивирусов - кое-кто из них на эту библиотеку тоже \"косится подозрительно\".

Все для R&G, включая злополучную библиотеку - скачено с этого сайта. Возможно, какая-то последовательнось дает ложное срабатывание, но мне все же очень не нравится \"двойная\" реакция - типа сначала что-то просто подозрительное, а потом вылезает что-то еще.

k1601 wrote:

Все для R&G, включая злополучную библиотеку - скачено с этого сайта.

Хорошо, что еще не R&B


З.Ы.
Вместо спасиб Matsumoto, давайте уж до конца его обвиним в виреписательстве =))
Мало-ли кто и что там говорит, антивирь-антивирю — рознь.
Вот, кстати, специально просканил AVZ (именно AVZ, а не AVG, не описАлся я) — все чисто, только как всегда ругнулся на RnQtranslate.dll =))

O:\soft\rnq\plugins\RnQtranslate.dll --> С высокой степенью вероятности обнаружен Keylogger или троянская DLL
O:\soft\rnq\plugins\RnQtranslate.dll Нейросеть: файл с вероятностью 0.93% похож на типовой перехватчик событий клавиатуры/мыши

bass wrote:

Хорошо, что еще не R&B

Тьфу, пардон, R&Q конечно

З.Ы.
Вместо спасиб Matsumoto, давайте уж до конца его обвиним в виреписательстве =))
Мало-ли кто и что там говорит, антивирь-антивирю — рознь.

Никто пока и не обвиняет Спасибо - приогромное множество! Стал бы я пользоваться прграммой, авторов которой подозреваю в умышленном вредительстве? -) Как писал выше - вполне допускаю, что это антивируснвый глюк. Но на всякий случай написал, чтобы можно было проверить людьми более компетентными, чем я. Лучше бы, конечно, авторами -)

vaz wrote:

3. 1068 пробовал?

Прогнал на 1069 - блокирует сразу при распаковке только что скаченного архива. Попробую временно задушить антивирус с его параноей и посмотреть на его поведение в дальнейшем -)

k1601
Какой у тебя антивируся?
ALL
Я думаю, тему можно закрыть Много ли народу пользуется Ikarus,Norman,Sunbelt антивирусами? А в отношении microsoft'овского - он тупой, если запаковать некоторые виндовые файлы, тоже будет на трояны ругаться %)

однако у меня тож
Outpost Security Suite Pro 2007
гасит эту билиотеку...
сомнений в правильности конторы Агнитум у меня нет=ДОВЕРЯЮ

дополнительно:
последнее время крыска начала отваливаться через несколько сек работы...пишет=отсоед от сервера, ноу еррорс..(в скобочках = 10053)
или время ожидания превышено...

еще грешу на прова своего

Post edited by: xpehob, at: 2007/06/18 13:49<br /><br />Post edited by: xpehob, at: 2007/06/18 13:54

Господа, что может быть проще, чем связаться с разработчиками Agnitum?

fy73: Здравствуйте.
Вопрос по версии альтернативного клиента ICQ - R&amp;Q.
Ссылка для скачивания: rnq.ru/RnQ/RnQ1072.rar
Тема, которая интересует и меня: rnq.ru/component/option,com_joomlaboard/...914/catid,5/#msg5914
В этом форуме так ни к чему и не пришли. Может, вы исследуете этот файл поподробнее?
Elena: Здравствуйте
Elena: Подождите пожалуйста.
Elena: Пожалуйста, откройте окно Справка - О программе. Какой у Вас полный номер версии Outpost Security Suite?
fy73: Outpost Security Suite Pro 2007 (5.0.1252.7915.619)
Elena: Каковы даты антивирусных и антишпионских баз?
fy73: 22.08 и 23.08
Elena: В качестве временного решения мы можем порекомендовать Вам добавить обнаруживаемый файл в исключения для модуля Антивирус+Антишпион, пока наши инженеры будут исследовать эту проблему. Пожалуйста, проведите сканирование системы и при обнаружении файла, щелкните на него правой кнопкой мыши и выберите добавить в исключения.
fy73: хорошо, я собственно уже попользовался на свой страх и риск, временно закрыв программу, но хотелось бы узнать, действительно ли оно безопасно
Elena: Мы можем связаться с Вами по адресу {моё мыло} по этому вопросу?
fy73: да, конечно
fy73: или icq {мой номер}
Elena: Пожалуйста, ждите письма.
fy73: спасибо
fy73: до свидания
Elena: Спасибо за обращение в чат. Извиниите за неудобстваю

Как только мне ответят, отпишусь здесь.<br /><br />Post edited by: fy73, at: 2007/08/23 10:57

в исключения добавить можно было и без совета разработчиков...много же они подсказали...

Это было так сказать бесплатное приложение.
Я просил их проверить - они пообещали.

После обновления баз AVG от 2007/08/21 он начал ругаться на Historylib.dll что там Obfustat.IFF. Решил подожать до следующего обновления базы, но после него антивирь все равно считает либу подозрительной.

вот рузльтат отправки Historylib.dll на virustotal
AVG 7.5.0.484 2007.08.22 Obfustat.IFF

З.Ы. А поскольку версия freeware, то списка исключений там ессно нету

самый простой способ обратиться к автору этой dll, который указан в качестве производителя в свойствах - Basenko Andrey (ICQ: 74835516) и спросить зачем он запаковал dll Upack'ом

обычно пакуют для экономии места...