Почему кряки определяются как вирусы

Заказываю контрольные, курсовые, дипломные и любые другие студенческие работы здесь.

Плата STM32F103C8T6. Ложное срабатывание кнопки
Подключаю матричную клавиатуру. Ножку B6 в кубе делаю на вход и вешаю на нее одну из кнопок.

Listbox ложное срабатывание onClick при прокрутке
Приложение под Android. В общем ситуация такая: когда пальцем крутишь список Listbox'a.

Ложное срабатывание DVD привода на ноутбуке HP dv6 7052sr
Ни с того ни с сего начал срабатывать оптический привод в ноутбуке!Что уже ни делал-систему.

Вопрос:как отличить кряк,кейген по сигнатуре других антивирусов на Вирус тотал от реального вредоноса, который на них часто клеят? Не хочется посылать лишний мусор в вирусный мониторинг.

Взять и посмотреть, что программа делает :-D

Взять и посмотреть, что программа делает :-D

Дык она честно может и показать окно кейгена
А в это время тихо делать свое черное дело.

Вопрос:как отличить кряк,кейген по сигнатуре других антивирусов на Вирус тотал от реального вредоноса, который на них часто клеят? Не хочется посылать лишний мусор в вирусный мониторинг.

Взять и посмотреть, что программа делает :-D

Если серьезно: когда пишут "Patch" это понятно.Или четких критериев нет?

Если серьезно: когда пишут "Patch" это понятно.Или четких критериев нет?

Вопрос:как отличить кряк,кейген по сигнатуре других антивирусов на Вирус тотал от реального вредоноса, который на них часто клеят? Не хочется посылать лишний мусор в вирусный мониторинг.

Только детальный ручной анализ, в общем случае.

кстати есть достаточно простой вариант: пользоваться лицензионным софтом, тогда кряки не нужны

кстати есть достаточно простой вариант: пользоваться лицензионным софтом, тогда кряки не нужны

Вам просто раздобыть несколько килобаксов на AutoCAD? Мне - нет.

Keep yourself alive

кстати есть достаточно простой вариант: пользоваться лицензионным софтом, тогда кряки не нужны

Вам просто раздобыть несколько килобаксов на AutoCAD? Мне - нет.

Всегда встаёт вопрос о его (AutoCAD) необходимости
Если что-то стоит дорого, то обычно не спроста.

Вопрос:как отличить кряк,кейген по сигнатуре других антивирусов на Вирус тотал от реального вредоноса, который на них часто клеят? Не хочется посылать лишний мусор в вирусный мониторинг.

Пользоваться проверенными ресурсами .

кстати есть достаточно простой вариант: пользоваться лицензионным софтом, тогда кряки не нужны

Вам просто раздобыть несколько килобаксов на AutoCAD? Мне - нет.

кстати есть достаточно простой вариант: пользоваться лицензионным софтом, тогда кряки не нужны

Вам просто раздобыть несколько килобаксов на AutoCAD? Мне - нет.

Всегда встаёт вопрос о его (AutoCAD) необходимости
Если что-то стоит дорого, то обычно не спроста.

Сюда же можно отнести Адоб.
Неспроста дорого. Но жизненно необходимо тем, кто работает в сфере полиграфии (около 60 тыщ минимальный комплект).
А, например, шрифты? Паратайповская полная коллекция стоит 120 тыщ (. ).

Про по-проще вопрос спорный..Как правило не используете и 30 % возможностей (на примере офиса/ов это очень видно,про акады/сапр вообще молчу). А узко-специализированное ПО вам все равно придется или покупать или крякать(ну или писать самому,что маловероятно).

Например. В техникуме учили спец. ПО для вырезания на листе метала опред фигуры (соответственно фигуры строились благодаря мат.функциям),далее нужно было разместить необходимые вырезки для наибольшей экономии(меньше резки,меньше отходов). Аппаратура специфическая, ПО тоже. Стандарты нашего оборудования и западного соответственно не совпадали. ПО вообще разное было(хотя все команды на русском ).

Keep yourself alive

скажем я отношусь с подходом, что если мне нужно чтото(для работы во всяком случае), то либо это чтото стоит достаточных денег чтобы преобрести соответствующее по или нужно подберать по попроще, подешевле или вообще бесплатное, вместо автокада можно попользовать компас, вместо фотошопа к примеру гимп, или вы предлагаете пользоваться ломаным(или хз как это правильно назвать, не в названии дело) докторвебом?

Подход этот хорош, пока не приходится выполнять достаточно специфические задачи
А доктор стоит вполне посильных денег.

Я знаю конторы, приобретшие автокад, и адоб. Но еще больше контор их не приобретали, я уже не говорю о частниках, ибо - непосильно. Есть такая вещь, как промышленные стандарты. Там работы в таких поделках, как корел, компас, гимп - просто не прокатят.

Последний год я работал над реализацией вирусного сканера для одной антивирусной как ни странно компании.
Пост являет собой выжимку приобретенных знаний, и повествует хабрасообществу о внутреннем устройстве как ни странно антивирусного сканера.
Сканирующий движок или сканер — это фундамент антивирусного пакета. Являет собой бэк-энд антивируса и, как правило представлен в виде dll, так как сканер используется сразу несколькими программами из пакета.
Графическая оболочка в этом случае — лишь красивая обертка для отображения результатов движка. Всю полезную работу, делает движок в бэк-енде.

Из названия понятно, что движок используется для сканирования всех возможных локаций вредоносного ПО, а именно:

• Сканирование произвольных файлов и папок, вплоть до целых дисков.
• Сканирование памяти. Сканируются все загруженные в память процессы и их dll.
• Сканирование загрузочных записей дисков (Master Boot Records — MBR).
• Сканирование системы на предмет следов вредоносного ПО. Проверка системных папок вроде %APPDATA%, %WINDIR% на предмет определенных файлов и папок. Сканирование реестра, также на предмет следов в автозагрузке и настройках.

Сканирование делится на два основных вида: сигнатурный и эвристический.

Другое название — хэш-скан (hash scan). Сканер проверяет файлы путем сравнения сигнатур файлов со словарем.
Обычно сигнатурой антивируса является MD5-хэш (16 байт) сгенерированный на основе тела известного вируса.
Таким образом, файл считается зараженным, если его хэш найден в базе сигнатур. Для локализации выявления вредоноса, хэш может вычисляться только для exe-файлов на основе PE-заголовка.
Такой вид сканирования позволяет определить вид атаки с высокой долей вероятности, без ложных срабатываний (чем грешит эвристическое сканирование).
К недостаткам хэш-скана относят неспособность выявить новые вирусы, которые отсутствуют в базе. А также беззащитность перед полиморфными или шифрующимися вирусами, в связи с чем требуются регулярные обновления базы сигнатур.
Также слабым местом хэш-скана является скорость проверки. Если бы не закон Мура, ни один современный компьютер уже не смог бы закончить сканирование с такой массой сигнатур в разумное время.

Метод, в основе которого положено выявление вируса на основе заранее известных характеристик (эвристик). Например, для выявления загрузочного вируса прописавшегося в MBR, антивирус может считать загрузочную запись двумя путями: функцией WinAPI ReadFile, и с использованием драйвера прямого доступа к диску (direct disk access — DDA driver). А затем сравнить оба буфера. Если буферы различны, то с высокой долей вероятности
можно сказать, что мало того что вирус загрузочный, он еще и подменяет вызовы WinAPI.
Что для руткитов — обычная практика.
Другим примером эвристического скана, может быть поиск следов вируса в реестре и системных директориях. Как правило вирусы создают определенный набор файлов, и/или записей в реестре, по которым можно их выявить.
Перечисленные выше типы локаций вредоносного ПО, а именно сканирование следов, сканирование cookies и проверка загрузочных записей диска, также подпадают под вид эвристического сканирования.

Необходим для обхода руткитов. В зараженной системе, руткиты используются
для заметания следов своего присутствия. Лучшим способом для этого является подмена вызовов API-функций.
В частности для работы с файлами: CreateFile, ReadFile итд. Когда антивирусная программа сканирует систему,
вызывая эти функции, то руткит может возвращать FALSE, когда такой вызов относится к нему. Чтобы обойти это,
сканер содержит в себе модуль непосредственного посекторного считывания с диска, без использования WinAPI.

Служат для фильтрации обнаружений, которые на самом деле не являются зловредами. Таким образом, антивирус не предупреждает об опасности, в случае ложного срабатывания.
Современные антивирусы, хранят базу в среднем от 5 млн. сигнатур. Причем довольно часто, для одного вируса, может существовать с десяток сигнатур. Возможная ситуация, что из нескольких тысяч системных файлов, найдется подходящий под сигнатуру файл. А это грозит тем, что антивирус удалит его, или переместит в карантин, что может привести к отказу системы вовсе.
Минимизировать ложные срабатывания — главный приоритет любой антивирусной компании.
Чтобы пройти самый престижный антивирусный тест — virus bulletin, антивирус должен показать 100% результат обнаружения, при этом не выдав единого ложного срабатывания.
Белый список — содержит список файлов, которые не вредят системе, но так или иначе обнаруживаются сканером.
Черный список — содержит список вирусов, которым мы доверяем (также не наносят вреда системе).

Чтобы достичь приемлемого уровня обнаружения вируса, сканер должен отрабатывать exe-шники, зашифрованные exe-пакером (Например UPX). Тогда перед вычислением хэша, сканер обнаруживает, что файл зашифрован и сначала обращается к дешифровщику, а затем уже на этой основе, вычисляется хэш и сравнивает с имеющимся в базе.
Второй вид архивов — это всем известные zip, rar, 7z итд. Антивирус также должен уметь распаковывать эти архивы, и сканировать содержимое.
Третий вид — это распаковка NTFS ADS (NTFS Alternative Data Streams). В файловой системе NTFS, исполняемый файл может быть замаскирован под обычный, например текстовый. Альтернативный поток этого файла, будет ссылаться непосредственно на вирус.

Я в ужасе. Symantec Antivirus на запуск или копирование любого файла keygen.exe говорит, что это троян, степень риска high. В том числе на keygen-ы, которые я пускаю всю свою сознательную жизнь. Скоро Шварцнегера пришлют из будущего, чтобы он отстреливал за запуск keygen. Человечеству пора объединяться!

> ocean (15.12.09 19:16)
> Я в ужасе

Напоминает Сергея Зверева :) Звезда ф шоке :)
ЗЫ: ну а что тебе не нравиться? Переименуй файл - обмани антивирус и стань хакером :)

> В 99.(9)%, так называемых кейгенах, сидят всякие букашки

Странно, а раньше никакие антивирусы их (букашек) там не видели.

Может ты не знаешь, но многие антивирусы определяют кейгены и кряки как вирусы. сделано это специально для борьбы с пиратством. Тот же нод начинает определять вирус в файле, если его назвать просто keygen.exe. Если убрать название все ок. Так задумано, я вообще юзаю только DrWeb сканер и то раз в два месяца.

> В 99.(9)%, так называемых кейгенах, сидят всякие букашки.
>

Видно что человек не знает. Вы ошибаетесь уважаемый. Если вирусы и есть ,то только в 10% этих кряков. Во остальных случаях это кривые антивирусы, многие из них не могут распаковать упаковщики, с крипторами там вообще проблемы.
Я часто отправляю false positive для своей программы в службу поддержки анитвирусов, т.к.. программа закриптована армазилой и некоторые антивирусы видят в ней вирус, хотя его там нет. Где то была таблица тестирования на работу с упаковщиками, Касперский получил Gold Packers support, он действительно лучший в этом плане.

> Может ты не знаешь, но многие антивирусы определяют кейгены
> и кряки как вирусы. сделано это специально для борьбы с
> пиратством. Тот же нод начинает определять вирус в файле,
> если его назвать просто keygen.exe. Если убрать название
> все ок. Так задумано, я вообще юзаю только DrWeb сканер
> и то раз в два месяца.

Фактически антивирусные компании что хотят то и творят на компьютере пользователя, особенно если пользователь такой как Palladin доверчивый. Этакий удаленный доступ. Откуда ты знаешь что они не отправляют твои документы при следующем обновлении? Я в свое время работал на антивирусную компанию полтора года, знаю еще кое что, но не скажу :)

Иногда конечно бывают чистые кенгены, но они обычно делаются энтузиастами работающеми по принципу "могу - делаю"

> Фактически антивирусные компании что хотят то и творят на
> компьютере пользователя, особенно если пользователь такой
> как Palladin доверчивый. Этакий удаленный доступ. Откуда
> ты знаешь что они не отправляют твои документы при следующем
> обновлении?

Фактически это делают все, кто нормально заботится о своем благосостоянии на продаже собственного лицензионного ПО. Ничто не более действенно чем легкий поводок и кусочек пряника. Пряник для легитимных пользователей, поводок превращающийся в дубину с шипами для остальных.

> программа закриптована армазилой и некоторые антивирусы
> видят в ней вирус, хотя его там нет.

А вот это уже ошибка эфристики, программа с разбитым РЕ заголовком, с левыми размерами и атрибутами секций, OEP вынесенным за сегмент кода и т.п. применяется как в защитах так и в вирусах. Обычно эт делается для "затруднения" начального этапа анализа ПО. Т.к. данный прием наиболее часто встречается в зловредах - некоторые AV (хм, знакомая аббревиатура) относят данные приемы к опасным и метят чистое ПО, покрытое сторонним навесняком, как нехорошее.

> Фактически антивирусные компании что хотят то и творят на
> компьютере пользователя, особенно если пользователь такой
> как Palladin доверчивый.

) Да накакать, я, по своему опыту знаю, что лучше с безопасностью переборщить чем недоборщить. Розычу, кстати, кусочек вируса посылал ) чет он не отписался, видимо банальный кусочек попался )

> Тот же нод начинает определять вирус в файле, если его назвать
> просто keygen.exe.

Ты бредишь. Стоит nod, только специально переименовал far.exe в keygen.exe, просканировал, nod сказал, что все чисто.

> Розычу, кстати, кусочек вируса посылал

0_о когда и куда?

> Обычно эт делается для "затруднения" начального этапа анализа
> ПО. Т.к. данный прием наиболее часто встречается в зловредах
> - некоторые AV (хм, знакомая аббревиатура) относят данные
> приемы к опасным и метят чистое ПО, покрытое сторонним навесняком,
> как нехорошее.

О вы бы знали какие проблемы даже с обычными упаковщиками, не то что с крипторами.
Не все антивирусы даже UPX распаковывают, матерятся даже на него, я уже не говорю про всякие NSPack.
Авира - проверяю - все ок. Пакую UPX с best ключем - видит червя. Хотя в самом UPX.exe червя не видит. Все остальные ничего невидят. короче выходит через раз. НА данный момент лучше всего Каспер справляется с упаковщиками и криптрами.

> Не все антивирусы даже UPX распаковывают

Выкинь этот антивирус, поймать финальный джамп на рампакованный код, видимо сложно в автомате сделать.

> я уже не говорю про всякие NSPack

Тут я промолчу, бо совесть материться позволяет :)

> Ты бредишь. Стоит nod, только специально переименовал far.
> exe в keygen.exe, просканировал, nod сказал, что все чисто.
>

Я проверял это пол года назад. Может уже накатали разгневанные юзеры письмецо.. К тому же не всякий exe можно переименовать, не знаю какой там алгоритм, но я проверял это на проге которая перенаправляет сет. запросы любых программ на прокси прозрачно. не помню как называется.
А калькулятор не определяется даже если назвать его keygen.

> > я уже не говорю про всякие NSPack
>
> Тут я промолчу, бо совесть материться позволяет :)

Ошиблись , не туда перенесли тему. Причем здесь игры? Перенесите в прочее

Это все fail report - связывайся с разработчиками и сообщай.
Мы свои сигнатуры сначала так-же через виррус тотал сверяем и в слуае fail report-а связываемся перед релизом. Не всегда кстати помогает. Недавно "обожаемый мной" майкрософтовский "спаситель всех от всего" начал без всякого предупреждения сносить наглухо мой сервер у пользователей. Ни сообщения ни чего. Был экзешник - нет его. Пока по петиции первый ответ был что ложный детект из-за TLS калбэков и все. пока-што ждем.

> Ошиблись , не туда перенесли тему.

ЗЫ: щас исправим (маэстро - хватит уже клавиши путать, я ж попросил :)

> К тому же не всякий exe можно переименовать

Ты бредишь. Переименовать можно всякий EXE (даже запущенный)

> маэстро - хватит уже клавиши путать, я ж попросил

дык я ж предупреждал, я тут буду нипричем )

Я просто ведь пользовался кейгенами и не раз, вроде проблем не было с бяками.

имелось ввиду в другом смысле. Пример даже привел.

Помню мы давно тестировали программу из пакета с разными антивирусами. дык вот если программа стоит в пути C:\Program Files\x\xx.exe то антивирус (Нод) орет что вирус, вытаскиваешь из этого пути, указываешь ноду просканить его отдельно (папку ), - все ок. :)
Т.е. получается некоторые пути захардкодили. Не знаю почему даже.

> А что такое "фусцированный пинч"? Pinch - это, судя по гуглу,
> троян какой-то. А первое слово он на агрономический термин
> исправляет :)

Пинч, это автоматический генератор трояна. Не люблю я слово "школяр" - для новичков сделано. Типа: не умеешь писать трояны - юзай пинчь :)
Фусцированный - сокращение от слова обфускация.

Правильно будет не школяр, а школота.

Я наверное опять чего-то делаю не так: скопировал keygen.exe в папку Program Files\X\ и запустил проверку NOD-ом.
Под keygen.exe подразумевается far.exe (первое, что под руку попалось)

При второй попытке упаковал этот keygen.exe upx-ом и положил в Program Files\X

NOD опять промолчал.

Как мне добиться эффекта срабатывания антивируса по твоим словам ?

Еще раз, насчет keygen.exe. Объясняю для непонятливых (или может для тролей?).
Когда я это проверял, не на всех файлах это срабатывало. Т.е. я взял 1.exe который нод показывал как чистый, переименовал - показал как вирус, обратно - все ок.
Взял второй 2.exe переименвал в keygen - все ок.

Далее насчет Program Files - это я рассказывал про нашу программу (в той компании что раньше работал), - во время тестирования с антивирусами - если прога лежала по дефолтному пути, нод ругался. Как только убирали в другой путь, все ок.

> Еще раз, насчет keygen.exe. Объясняю для непонятливых (или
> может для тролей?).

"Тот же нод начинает определять вирус в файле, если его назвать просто keygen.exe. Если убрать название все ок. Так задумано"

Нравится Нод - юзай, как будто я отнимаю.. :)
Но лучше юзать антивирусы иногда, причем сканеры, чем повседневно.

Я б не юзал, так винда беспокоится, когда его нету

Читайте также:

• Какие последствия гепатита у мужчин
• Дисплазия на фоне вирусной инфекции
• Главный государственный санитарный врач постановление по гриппу о орви
• В каких регионах россии обнаружен риновирус
• Памятки по вирусному менингиту

Пожалуйста, не занимайтесь самолечением!
При симпотмах заболевания - обратитесь к врачу.