Re(10): Kaspersky in Foren

Kaspersky in Foren (56 Beiträge, 2074 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Hallo,

ich habe Kaspersky Internetsecurity 2016, bin in einem Forum unterwegs und sobald ich in diesem private Nachrichten versenden will, schreibt mir Kaspersky folgendes:
Legales Programm, das von einem Angreifer verwendet werden kann, um Computer oder Benutzerdaten zu beschädigen".
Dann kommen so Infos wie: D./Boot/konboot.gz
rot-a-virusrisktoolWin32 locker.e
rot-a virus PSWTool./Boot.konboot.a
Das sind die Dateien, die sich auf meiner Festplatte einnisten wollen, vermute ich.
Habe schon die Forenbetreiber informiert, die sagen, das hat mit ihnen nichts zu tun, mein Antivirenprogramm wäre übereifrig.
Einmal kam einer Meldung: "Kennwortverwaltungssoftware gefunden".
Ich kann die Meldungen nicht neutralisieren, sie sind immer da, es kommen jedesmal neue dazu "Ihre Computersicherheit ist möglicherweise bedroht". Habe schon vollständige Untersuchung gemacht, Schwachstellendiagnose mit Rootkits, die Meldungen, Warnungen gehen nicht weg.

Was ist da zu tun? Das Forum meiden? Oder ist es wirklich der übereifrige Kasperky?

Gruß
Lemanja

27.04.2016, 09:39 Uhr - Editiert von lemanja, alte Version: hier

Re: Kaspersky in Foren

(Fly am 23.04.2016, 01:14:56)

Re(2): Kaspersky in Foren (lemanja am 23.04.2016, 06:38:33)

Re(3): Kaspersky in Foren

(kombipaket am 23.04.2016, 17:06:57)

Re(4): Kaspersky in Foren (lemanja am 23.04.2016, 18:32:16)

Re(5): Kaspersky in Foren (kombipaket am 23.04.2016, 19:08:50)

Re(6): Kaspersky in Foren (lemanja am 23.04.2016, 19:39:14)

Re(7): Kaspersky in Foren (kombipaket am 23.04.2016, 22:57:01)

Re(8): Kaspersky in Foren (lemanja am 27.04.2016, 08:58:02)

Re(9): Kaspersky in Foren (kombipaket am 28.04.2016, 05:54:56)

Re(4): Kaspersky in Foren (thE am 28.04.2016, 15:40:39)

Re(5): Kaspersky in Foren (kombipaket am 28.04.2016, 19:52:23)

Re(2): Kaspersky in Foren (kombipaket am 23.04.2016, 22:58:09)

Re(3): Kaspersky in Foren (lemanja am 24.04.2016, 08:10:14)

Re(4): Kaspersky in Foren (kombipaket am 24.04.2016, 09:38:26)

Re(5): Kaspersky in Foren (lemanja am 24.04.2016, 10:28:44)

Re: Kaspersky in Foren (lemanja am 24.04.2016, 08:30:55)

Re(2): Kaspersky in Foren (kombipaket am 24.04.2016, 10:19:51)

Re(3): Kaspersky in Foren (lemanja am 24.04.2016, 10:31:41)

Re(3): Kaspersky in Foren (lemanja am 26.04.2016, 08:24:07)

Re(4): Kaspersky in Foren (kombipaket am 26.04.2016, 12:52:08)

Re(3): Kaspersky in Foren (thE am 28.04.2016, 15:44:50)

Re(4): Kaspersky in Foren (kombipaket am 28.04.2016, 19:53:33)

Re(5): Kaspersky in Foren (lemanja am 29.04.2016, 08:16:38)

Re(6): Kaspersky in Foren

(TuxTux am 29.04.2016, 08:49:27)

Re(6): Kaspersky in Foren (kombipaket am 29.04.2016, 18:37:42)

Re(5): Kaspersky in Foren (thE am 29.04.2016, 10:07:41)

Re(6): Kaspersky in Foren (kombipaket am 29.04.2016, 18:38:24)

Re(7): Kaspersky in Foren (lemanja am 30.04.2016, 08:19:29)

Re(8): Kaspersky in Foren (kombipaket am 30.04.2016, 08:55:36)

Re(9): Kaspersky in Foren (lemanja am 02.05.2016, 12:53:22)

Auf Linux werde ich in Bälde umsteigen, hab mir das schon angesehen, ist sehr
übersichtlich.

Wie gesagt: Wenn Du als ganzes umsteigst - und nicht nur eine VM nutzt - dann müsstest wohl auf Photoshop verzichten (oder eben mit Wine experimentieren)

Was würdest Du dem Admin schreiben?

Gar nichts - weil es keinen Sinn macht

Zu dem, was er sagt: Gibberish mit Halbwissen / fehlleitenden Informationen

Viren, oder Schadprogramme werden unter anderem an bestimmten Zeichenketten erkannt, die angeblich spezifisch für ein verdächtiges Programm sind.
Leider gibt es manchmal Zufälle wo diese Zeichenfolge auch in anderen Daten vorkommt.

Die Bytefolgen werden -immer- im Context des Filetyps gescannt.

Beispiel:
Wir holen uns eine Testdatei mit einem Test-Virus, der in einem PDF verpackt ist. Die testen wir mit dem Virenscanner clamav:

$ cp /usr/share/clamav-testfiles/clam.pdf .
$ file clam.pdf
clam.pdf: PDF document, version 1.4
$ clamscan clam.pdf
clam.pdf: Clamav.Test.File-6 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 4304320
Engine version: 0.99
Scanned directories: 0
Scanned files: 1
Infected files: 1
Data scanned: 0.00 MB
Data read: 0.00 MB (ratio 0.00:1)
Time: 7.408 sec (0 m 7 s)

Wir haben also die Datei clam.pdf mit einem Testvirus drin.

Nun erzeugen wir eine neue Datei, die vorher ein paar Bytes hat, dann eben das PDF - und nachher wieder ein paar Bytes und testen diese:

$ echo bla $(< clam.pdf) bubu > bubu.pdf
$ ls -l bubu.pdf
-rw-r--r-- 1 xxx xxx 6751 Mai 4 06:51 bubu.pdf
$ file bubu.pdf
bubu.pdf: data
$ clamscan bubu.pdf
bubu.pdf: OK

----------- SCAN SUMMARY -----------
Known viruses: 4304320
Engine version: 0.99
Scanned directories: 0
Scanned files: 1
Infected files: 0
Data scanned: 0.00 MB
Data read: 0.00 MB (ratio 1.00:1)
Time: 7.367 sec (0 m 7 s)

Wir sehen also: Wenn eine Virusdatei in einer "nicht lauffähigen" Datei eingebettet ist, wird sie nicht als Virus erkannt... Weil sie dann keinen Schaden anrichten kann.

Natürlich hat er Recht, dass es durch Kollisionen von Hashes zu Fehlalarmen kommen kann. Der Virenscanner schlägt aber nur bei ausführbaren Dateien an. Wenn das hier das Problem sein sollte, wäre die Frage, wieso ausführbare Dateien überhaupt zu Dir kommen

. Bei normalen Texten hast Du das Problem nicht.

Würde das Forum selbst solche Schadprogramme verteilen, würde es jeden betreffen und Warnungen währen überall zu finden, nicht nur beim PN lesen.

Das würde davon abhängen, wo der Schadcode ist.... Wenn es nur in deiner PM ist, dann ist die Wahrscheinlichkeit halt hoch, dass es in einer PM von Dir ist.

Und ab dann beginnt er sich zu widersprechen:

Die häufigste Quelle für solche Warnungen kommen nach meiner Erfahrung von Bilderhostern, die teilweise unseriöse Werbung mit dem Bild verbreiten.

Schauschau, er hat also schon Erfahrung mit Malwareverbreitung...

Die Werbung wechselt in gewissen Abständen, so das nicht immer ein Schema erkennbar ist.

Das stimmt wieder mal (s.o.: Irreleitende Information) - aber es passt hier nicht so ganz:
WENN es ein Werbebanner im Forum wäre - DANN hätten wir 2 andere Verhalten:
1.) Es würde alle (oder zumindest mehrere) treffen
2.) Du hättest diese Warnmeldung nicht mehr (weil die Bilder ja öfter wechseln)

Und zum Schluß ein absoluter Bullshit:

Edit: Noch ein Nachtrag: Ich bin kein Windows User, desshalb ist es mir erst später aufgefallen.
"C/Documents and Set/D/Boot/..." in dem was aussieht wie ein Log eines Virenscanner bezieht sich auf auf deinen Windows Computer, auf dem Server des LHN gibt es das gar nicht.

1.) Kann natürlich sein, dass sein Server auf Linux rennt (ist auch wahrscheinlich)
2.) Dann wäre dem natürlich so, dass es den Pfad C:\... nicht auf seinem Rechner gibt
3.) ABER das ist völlig irrelevant.

Denn:
a.) Ein Webserver exponiert ja nie sein komplettes Filesystem
b.) Ein "C:\..." wäre auch keine gültige URL

Das ist ungefähr so, wie wenn Du aus deinem Auto schaust und auf der Straße bei Dir ein Verbrechen beobachtest... Du meldest es der Polizei, die setzen sich aus Steuer um hinzufahren und meinen "Hey, Moment! Wir schauen ja auch aus einem Fenster und sehen das Verbrechen nicht! Das bedeutet, die Meldung muss falsch gewesen sein" (seehr ungefähr, aber in die Richtung).

Kurzum: Auch wenn er einen Windows-Server hätte und die Verzeichnisstruktur C:\Dokument... hätte, könntest auf die nicht über einen Webbrowser so zugreifen.

Ich finde diese "misleading information" von ihm sehr irritierend... Ich habe keine Ahnung, warum er darauf zurückgreift. Ich bleibe aber dabei, dass eine Diskussion darüber mit ihm wohl kaum Sinn macht und würde daher nichts schreiben.

Was meint dein Bruder dazu?

Ergänzung:
Wenn man sich die Seiten vor deinem Link ansieht, merkt man, dass der Umgangston recht hart ist ... Ich beginne zu verstehen, warum von Fly hier nichts zu lesen war. Als Sicherheitsexperte kennt er wohl die Tücken, wenn man es wagt, in einem von Frauen dominierten Forum seine Meinung kund zu tun

.

Der auf der Vorgängerseite gebrachte Punkt "Das Forum speichert keine Inhalte - es kann eine verlinkte Datei sein, die Du als PM bekommen hast" gilt natürlich. Das würde erklären, warum nur DU dieses Problem beobachtest (HINT: Der Fakt, dass nur Du das Problem bemerkst, bedeutet noch lange nicht, dass nur Du das Problem hast

).

Ich würde weiterhin vermuten, dass eine Mail an den Admin zu dem jetzigen Zeitpunkt keinen Sinn macht - verhärtete Fronten.

Lösungsansatz:
1.) Linux installieren
2.) Dein Bruder kann dir dann gleich squid und clamav installieren.
SQUID ist ein Proxy: Er cacht deinen Web-traffic. Den Traffic kannst dann durch clamav - den Virenscanner - jagen, bevor er bei deinem Client ankommt. So könntest feststellen, ob und welche Datei infiziert ist.
Er könnte so feststellen, was genau die Ursache der Warnmeldung ist.
3.) Wenn die Information vorliegt a la "In der PM von blabla oder In der Werbung XYZ ist ein Link drin, der ein Schadcode-Nachladen bewirkt" würde ich die Situation auflösen: Das würde ich dem Admin mitteilen. Denn dann ist der ewige Kreislauf "Da ist Schadcode drin! - NEIN - DOCH - NEIN ..." durchbrochen

cu.

----------------------------------------------------------------------------------

Wenn man sich wundert, warum ich die Aussagen mancher Deppen komplett ignoriere...
... diese Armlöcher sind geplonkt - die lese ich nicht einmal.

04.05.2016, 07:27 Uhr - Editiert von kombipaket, alte Version: hier

Re(11): Kaspersky in Foren (lemanja am 04.05.2016, 09:17:54)

Re(12): Kaspersky in Foren (kombipaket am 05.05.2016, 08:20:57)

Vom Autor zurückgezogen oder Autor hat seine Registrierung nicht bestätigt

(lemanja am 05.05.2016, 10:28:42)

Re(14): Kaspersky in Foren (kombipaket am 05.05.2016, 11:09:22)

Vom Autor zurückgezogen oder Autor hat seine Registrierung nicht bestätigt (lemanja am 05.05.2016, 14:06:47)

Re(16): Kaspersky in Foren (kombipaket am 06.05.2016, 07:54:56)

Re(17): Kaspersky in Foren (lemanja am 06.05.2016, 08:57:59)

Re(18): Kaspersky in Foren (kombipaket am 06.05.2016, 09:06:53)

Re(19): Kaspersky in Foren (lemanja am 06.05.2016, 13:51:17)

Re(19): Kaspersky in Foren (lemanja am 03.10.2016, 16:10:16)

PLONKED von Mr. 5 (RobertLuca am 25.06.2016, 18:21:32)

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung