Жертвы McAfee SiteAdvisor в рунете - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Жертвы McAfee SiteAdvisor в рунете

Recommended Posts

Сергей Ильин

Не так давно наш сайт повторно попал в черные списки McAfee SiteAdvisor, о чем я писал в этой теме http://www.anti-malware.ru/forum/index.php?showtopic=4378 Установив данные плагин себе на компьютер, стал частенько замечать его подозрительные срабатывание. Поэтому решил воздать отдельную тему, куда буду публиковать FPs или подозрения на них.

http://forum.kasperskyclub.com/ - опасный сайт

1 "красная" загружаемая программа

В результате проведения тестов на данном веб-сайте были обнаружены загружаемые программы, которые некоторые пользователи считают шпионскими программами, программами для показа рекламы или другим нежелательным программным обеспечением.

http://www.siteadvisor.com/sites/http%3A//...perskyclub.com/

Особенно интересно на что именно ругается McAfee. Это файл KTU_1496293.rar

Как вы думаете, что это? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег

Так адвизор нашел кровожадную и беспощадную утилиту http://ktu.kasperskyclub.com/rus.html - http://www.siteadvisor.com/sites/kaspersky...loads/17219987/ .... и радостно загнобил весь сайт.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Mr. Justice, да, еще не сняли :(

Дублирую здесь:

McAfee SiteAdvisor помечает как опасный сайт популярной среди юристов информационно-справочной системы "КонсультантПлюс" http://www.consultant.ru/. В качестве причины указывается наличие ссылок на mail.ru.

Вот результаты проверки http://www.siteadvisor.com/sites/http%3A//www.consultant.ru/

Так адвизор нашел кровожадную и беспощадную утилиту http://ktu.kasperskyclub.com/rus.html

Ага :) Причем он другие версии этой же тулзы оценивает как нормальные, а именно эту версию оценил как опасную с рейтингом 6 из 10

http://www.siteadvisor.com/sites/kaspersky....com/downloads/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Марат, конечно, тот еще "былдлокодер" (.Нет Бейсик, да), но не вирусмейкер :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Очередная жертва - http://www.radmin.ru/

Причину блокировки я не понимаю. Там написано следующее:

В ходе анализа веб-репутации McAfee TrustedSource на этом сайте обнаружены потенциальные угрозы безопасности. Соблюдайте крайнюю осторожность.

http://www.siteadvisor.com/sites/radmin.ru

Никаких подробностей больше нет. Загружамые файлы все чистые.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Об истории с ФК ЛК. Детект на эту имитацию троян-даунлеудера https://www.virustotal.com/file/843cfa5fc63...sis/1342204276/ Он качает заглушку и тут же запускает ее. Теперь просто меняем

This program cannot be run in DOS mode
на
This program Cannot be run in DOS mode
и получаем https://www.virustotal.com/file/84f5d209e10...sis/1342205453/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Umnik, половина детектов отвалилась, неплохо. :)

********************

Еще одна жертва, многими любимое храналище всякого хлама - http://www.softportal.com

http://www.siteadvisor.com/sites/http%3A//www.softportal.com

Там букет целый: ссылки на softbn.ru + подозрительные файлы в раздаче http://www.siteadvisor.com/sites/softporta...oads/startat20/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Еще одна жертва - http://2ip.ru/ - может быть небезопасным для посещения.

В ходе анализа веб-репутации McAfee TrustedSource на этом сайте обнаружены потенциальные угрозы безопасности. Соблюдайте крайнюю осторожность.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
~Джон Доу~
Еще одна жертва - _http://2ip.ru/ - может быть небезопасным для посещения.

И ещё одна жертва аборта - шведский стол - "Соблюдайте крайнюю осторожность" ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
И ещё одна жертва аборта - шведский стол - "Соблюдайте крайнюю осторожность"

Блокировать сайты конкурентов - это святое :) В Швеции видимо Касперский особенно достал McAfee.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

А вот это уже большой лол

http://images.yandex.ru/yandsearch полностью в блоке McAfee SiteAdvisor. Причем на http://images.yandex.ru/ пускает, а если набрать любое слово в поиске, то сайт становится опасным :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
А вот это уже большой лол

http://images.yandex.ru/yandsearch полностью в блоке McAfee SiteAdvisor. Причем на http://images.yandex.ru/ пускает, а если набрать любое слово в поиске, то сайт становится опасным :)

Это из-за того, что на https://images.yandex.ru отдается неправильный сертификат. У тебя не тольк Макафи, а даже браузер на такое ругаться будет.

Вове Иванову еще позавчера отписывал по этому поводу, обещали поправить.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Это из-за того, что на https://images.yandex.ru отдается неправильный сертификат. У тебя не тольк Макафи, а даже браузер на такое ругаться будет.

Браузеры молчат у меня. Показывает, что сертификат просто отсутствует.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 18.1.10.
    • PR55.RP55
      1) По поводу реестра и восстановления. Некоторые программы при работе создают копию реестра. Например в корне диска от FRST  т.е. предлагаю добавить в uVS поиск таких копий. Единственно проверять копии на соответствие Системе. В образ писать информацию о такой копии и дату её создания. 2) Окно с твиками в будущем разбить на два окна, твики работающие с реестром выделить в отдельное окно. 3) В Doc - добавить  информацию по твику 35 и его возможном применении с виртуализацией. 4) Проверять возможность загрузиться с другого диска\системы и добавлять в Инфо. сведения о возможности загрузиться с другого диска\системы. Это я о том, что возможно у PC были\есть несколько пользователей и человек просто не знает, что на дисках есть другие системы.  
    • demkd
      С виртуализацией можно удалять все, защиты от нее практически нет. Выполнить 45-й твик.

      ---------------------------------------------------------
       4.99.12
      ---------------------------------------------------------
      o При удалении исключений Defender-а теперь не_используется powershell из-за неадекватного
         поведения антивируса Kaspersky Free. Теперь удаление производится через сам Defender без
         посредников.
         (!) Если Defender отключен ИЛИ неисправен ИЛИ у вас установлен и АКТИВЕН другой антивирус
         (!) то удаление исключений возможно лишь при использовании виртуализации реестра
         (!) ИЛИ при приостановке защиты этого антивируса.
         (!) Я рекомендую отключать антивирус перед запуском, он все равно бесполезен
         (!) и лишь существенно замедляет и усложняет процесс лечения.

       o Теперь в лог выводится информация о зарегистрированных в системе антивирусах/фаерволах и их состоянии.
         (Доступно для Windows Vista+)

       o Улучшена функция поиска неизвестных DLL в адресном пространстве uVS, теперь она более устойчива
         к мерам противодействия поиску.

       o Удалено ошибочное сообщение в логе для Windows Vista о блокировке kernelbase.dll,
         которой в этой системе нет.

       o Антисплайсинг: расширен список контролируемых функций.

       
    • PR55.RP55
      Посмотрел тему: https://forum.kasperskyclub.ru/topic/466078-privetstvuju-slovil-majner-po-nazvaniem-toolbtcmine2782/ Возможно имеет смысл  - выполнение  Твика #35  с виртуализацией реестра ? т.е. именно отдельный твик с виртуализацией? ( для обхода защит\ы ) ------- А как средствами uVS  удалить запись типа: Запись из Лога: Обнаружена поврежденная задача: : Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\1EOSv3 Scheduler onLogOn Собственно это единственная запись\информация. Другой информации в uVS нет. т.е.  если нет записей = иной информации, то и применить к ней команды из интерфейса невозможно. т.е. нужно или отдельно задействовать cmd и\или открывать  taskschd как-то это...  
    • santy
      Все получилось. Неудаляемые из нормального режима записи с блокировкой запуска антивируса получилось удалить твиком 35 после интеграции uVS в меню дополнительных параметров загрузки. (Обошлось без загрузочного диска.)
×