Перейти к содержанию
4rward

Kaspersky отправил в карантин Windows Explorer

Recommended Posts

4rward

Дефективное сигнатурное обновление от Kaspersky Lab блокирует Windows Explorer (explorer.exe) как приложение, зараженное вирусом. В результате основной компонент Windows оказывается в карантине или, что еще хуже, удаляется.

Kaspersky Lab опубликовала рекомендации по восстановлению безопасных файлов, помещенных в карантин. Но это не очень утешает пользователей, которые установили автоматическое удаление инфицированных файлов.

Среди пострадавших был читатель The Register Карл (Carl) «У меня заблокировался файл explorer.exe, -сообщает он. - Для решения проблемы потребовалось несколько часов».

Посетив форум сайта Kaspersky, Карл увидел, что он далеко не единственный, кто столкнулся с подобной проблемой. Сообщения о ложных предупреждениях антивируса после обновления баз свидетельствуют, что работа некоторых машин была остановлена.

Дефектные антивирусные сигнатурные обновления - не редкость. Однако последняя ошибка Kaspersky затрагивает основной компонент Windows, сообщает The Register.

Дэвид Эмм (David Emm), старший консультант по технологиям Kaspersky Lab UK, сказал: «Ложные тревоги иногда случаются, и мы относимся к ним очень серьезно. Мы тестируем системы в целях минимизации риска, но иногда случается и такое».

http://www.cnews.ru/news/line/index.shtml?2007/12/21/280697

Интересно ,а как там F-SECURE И ДР.

Добавлено спустя 3 минуты 37 секунд:

Да , чуть не забыл - любители и фанаты KAV(не все конечно :D ) - будьте бдительны и не забывайте понижать мну карму ,как обычно,при обсуждении и при прочтении моих комментов. :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

ночью, 20 декабря 2007 года, было зафиксировано ложное срабатывание продуктов Лаборатории Касперского на один из системных файлов ОС семейства Windows - explorer.exe. В настоящий момент ошибка в антивирусных базах (сигнатур угроз) была исправлена. Однако, последствия могут проявляться в следующем:

-отсутствует Рабочий стол

-отсутствует меню Пуск и Панель задач

Лаборатория Касперского приносит свои извинения за причиненные неудобства.

http://support.kaspersky.ru/viruses/computers?qid=208635823

Добавлено спустя 1 минуту 54 секунды:

Re: Kaspersky отправил в карантин Windows Explorer

Да , чуть не забыл - любители и фанаты KAV(не все конечно :D ) - будьте бдительны и не забывайте понижать мну карму ,как обычно,при обсуждении и при прочтении моих комментов. :lol:

кому ты нужен нодер :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
4rward
кому ты нужен нодер

Я не нодер а Dr.web32ер :D

моя подпись к комментариям скорее ирония (кто понял ,конечно).

Дело не в этом -любите обсуждать чужие ошибки - так давайте пообсуждаем и свои собственные .

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Дело не в этом -любите обсуждать чужие ошибки - так давайте пообсуждаем и свои собственные .

давайте :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
4rward
давайте

КАV хвалится очень высокой реакцией на угрозы (я это не оспариваю).Положительные стороны этого всем очевидны.Отрицательные стороны - неоптимизированные базы и потенциальные ложные срабатывания.В данном случае фолс на explorer.exe довольно серьёзный т.к. последний -

основной компонент Windows, сообщает The Register.

Какие по-вашему мнению стоит сделать выводы и есть ли компромис ?

Многие скажут , что от этого никто не застрахован и подобное с др. вендорами АВ тоже случается .

Я лично желаю удачи всем и меньше фолсов российским разработчикам АВ в наступающем году.

Добавлено спустя 20 минут 29 секунд:

Я к КАВ отрицательно не отношусь

Своей темой я хотел подчеркнуть ,что бочка мёда хвалённой быстрой реакции может быть испорчена ложкой дёгтя громкого фолса :!:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Дэвид Эмм (David Emm), старший консультант по технологиям Kaspersky Lab UK, сказал: «Ложные тревоги иногда случаются, и мы относимся к ним очень серьезно. Мы тестируем системы в целях минимизации риска, но иногда случается и такое».

Shit happens.

На самом деле Дэвид сказал чуть больше:

This is classic false-alarm territory," Emm said. "We will check through our systems and see if we can tighten them up so we don't run into this problem in the future. No antivirus company, including ourselves, can say they have never had a false alarm, (but) on all fronts, we do what we can to minimize any potential risk for our customers."

Emm pointed out that Kaspersky adds about 3,000 records per week to its database, demonstrating the "scale of the issue, in terms of testing procedures."

The "offending signature" went out at around 7 p.m. on Wednesday, according to Emm, who claimed that it was pulled two hours later in a "makeshift" attempt to limit the damage while Kaspersky examined the signature.

"We proactively went out to our enterprise customers to make them aware there was this potential issue," Emm said. "Only one corporate customer (in the U.K.) encountered this problem, as well as a handful of home users." He added that users who have not changed their default settings would have found explorer.exe to be only quarantined, rather than deleted.

А вот это вы читали ?

--

19.12.07, Ср, 12:45, Мск

По данным СМИ США, все большее число пользователей жалуются на проблемы в работе Internet Explorer, появившиеся вместе с последним обновлением. Проблемы касаются ПК с установленными Internet Explorer 6 и 7 под Windows XP и Vista.

После установки обновления, которое устраняет критические уязвимости в ПО, Internet Explorer, как утверждают некоторые пользователи, прекращает работу или сразу при запуске, или при попытке загрузить некоторые веб-страницы. Это происходит при посещении сайтов известных компаний, например, FedEx. В настоящее время Microsoft изучает данный вопрос.

Проблемы, упоминаемые в бюллетене безопасности MS07-069, не объясняют данное явление. Microsoft предполагает, что проблема вызвана потерей данных реестра, которые должны были прописываться при установке обновления. Администраторам не рекомендуется удалять обновление, поскольку оно устраняет серьезные уязвимости, которые могут использоваться для внедрения вредоносного кода посредством веб-страниц, сообщает Heise Security. В качестве решения проблемы предлагается просматривать страницы, не отображаемые IE, с помощью альтернативного браузера, такого, как Firefox, Opera и Safari, до тех пор, пока Microsoft не решит этот вопрос.

--

Вот этот самый IE и задетектился....

P.S. А, нет, не этот. Ну да какая уже разница ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
AlexxSun
Администраторам не рекомендуется удалять обновление, поскольку оно устраняет серьезные уязвимости, которые могут использоваться для внедрения вредоносного кода посредством веб-страниц

Вчера попытался поставить SP1 на Висту.. Весит всё это хозяйство 548 мегабайт, называется KB936330.

Ставилось всё в течение часа, установка закончилась BSODом и полной неработоспособностью системы :(

Так что пускай Микрософт научится делать обновления к своей системе (да и сами системы не мешало бы научиться делать :lol: ) а затем уж производители ПО что-то антивирусного к этим системам пусть придумают..

Ещё хорошо, хоть образ сделал Акронисом заблаговременно, а то бы всё пришлось ставить заново, это вам не один файлик в системе восстановить :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
DWState
Среди пострадавших был читатель The Register Карл (Carl) «У меня заблокировался файл explorer.exe, -сообщает он. - Для решения проблемы потребовалось несколько часов».

7 минут, ровно столько я потратил на решение проблемы...Значит как жаловаться в Инете эти люди спецы а как небольшую проблемку решить так у них руки кривые...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ice-berg

Ну бывает и так :) развели демагогию )))

кого-нибудь уволили из лк за это кстати? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
кого-нибудь уволили из лк за это кстати? :)

Ну почему увольнять?! Мало-ли кто может совершить ошибку!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Пит
кого-нибудь уволили из лк за это кстати?

Если бы за все допущенные фолсы Касперский увольнял, то уже давно ходил с уборщицей по безлюдному зданию ЛК.

А в чём проблема? Я уже по этому поводу полгода назад дискутировал, и тут на форуме, и на форуме ЛК и с E.K.

Основной совет (когда начинаешь нажимать: -Что ваши ошибки мне создают офигенные проблемы, времени, и стоят немало нервов) от всех гуру ЛК:- Не нравиться не пользуйся!

Совет мной был учтен, и я уже давно перевёл всю свою сетку на другой продукт. И нисколько не пожалел об этом. Так что спасибо ЛК что открыло мне глаза ещё полгода назад!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Если бы за все допущенные фолсы Касперский увольнял, то уже давно ходил с уборщицей по безлюдному зданию ЛК.

:lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
КАV хвалится очень высокой реакцией на угрозы (я это не оспариваю).Положительные стороны этого всем очевидны.Отрицательные стороны - неоптимизированные базы и потенциальные ложные срабатывания.

Всё же практика показывает, что увеличение времени реагирования вряд ли решит проблему ложных срабатываний. И не факт, что уменьшит её. Тенденции "медленнее = надёжнее" с антивирусными продуктами не наблюдается. Так что моё мнение такое: проблема ложных срабатываний есть, она серъёзная, надо её решать, но замедление времени реагирования - не решение.

Лично мне не совсем понятно. Ведь обновлённые базы так или иначе прогоняются на тестовой базе чистых файлов перед выкладкой. Как получилось, что в этой базе не было explorer.exe?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Вот-вот. Очень не дорого (для такой компании) иметь стенды с матерями и видяхами разных производителей и держать на них от Win2k SP4 до WinVista.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegSych

Помнится, несколько лет назад была распиариная новость о том, что ЛК закупили какие то мощные дата-центры для тестирования баз перед выпуском обновлений (вроде). Если так оно и есть, то нынешняя проблема это чистое головотяпство. Либо виноват дежурный смены (если у них таковой есть), просто поленившийся потестить апдейт. Или же датацентр был занят или вышел из строя, а апдейт выкладывать надо (потому что график) и решили выложить так, на свой страх и риск (а это уже - нарушение технологического процесса).

Очень не дорого (для такой компании) иметь стенды с матерями и видяхами разных производителей и держать на них от Win2k SP4 до WinVista

Уверен что чтото подобное в ЛК есть (как минимум кучи файлов, в том числе системных, сваленных с таких машин). Так что или технический сбой или человеческий фактор.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
DWState

У ЛК базы выкладывает и формирует робот-автомат, спецы кормят его сигнатурами а он выкладывает. Накакнуне этого проишествия на форуме ЛК в разделе "Борьба с вирусами" шло обсуждение файла explorer.exe и iexplorer.exe, которые гуляют по сети и почте (сам такой получал по почте но ни как не определился), вот видимо хотели добавить в базы а он на оригинал сработал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Всё же практика показывает, что увеличение времени реагирования вряд ли решит проблему ложных срабатываний. И не факт, что уменьшит её. Тенденции "медленнее = надёжнее" с антивирусными продуктами не наблюдается. Так что моё мнение такое: проблема ложных срабатываний есть, она серъёзная, надо её решать, но замедление времени реагирования - не решение.

whitelisting.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
whitelisting.

ЛК и bit9 уже дружат, так что все будет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

В своей практике я тоже не раз замечал, что в некоторых случаях заражения вирусами при лечении активного заражения Антивирус Касперского (в. 6 и 7) действительно схватывает первым делом EXPLORER.EXE.

По-моему тут выход один - при первом его сообщении о том, что EXPLORER.EXE заражён (когда ещё не удаётся выполнить правильную настройку только что установленного Антивируса), лучше выбрать кнопку "Пропустить" и тут же настроить AVP на опцию "Лечить", и если лечение невозможно, то удалять. Иначе, действительно EXPLORER.EXE и работа в системе окажутся парализованными. Такое возможно, когда в системе в паре хозяйничают Trojan.Win32.VB и одна из модификаций Sality, заражающая exe-файлы. Правда exe-файлы от этой Sality легко лечется, что радует. :)

Вероятнее всего тут дело не в "неправильности работы антивируса", а в том, что создатели подобных malware используют уязвимость самой Windows. Антивирус же призван не бороться с ней, а защищать её.

В случае же сильной заражённости ж/д лучшим выходом будет вылечить этот диск с другого компьютера, а потом вернуть его на место, установить антивирус в подлеченную систему и проверить весь ПК.

Почему ещё раз проверить? Дело в том, что некоторые malware проявляют свою вредную сущность только в активной системе.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Андрей-001

Если Вы хозяин ПК, то Вам удобнее, чтобы Антивирус задавал вопросы. А если это организация с не одним десятком ПК? При таких раскладах многие (и я в том числе) ставят автолечение/удаление у сотрудников.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Андрей-001

Если Вы хозяин ПК, то Вам удобнее, чтобы Антивирус задавал вопросы. А если это организация с не одним десятком ПК? При таких раскладах многие (и я в том числе) ставят автолечение/удаление у сотрудников.

Это не совсем так. Я писал про ЛЕЧЕНИЕ АКТИВНОГО ЗАРАЖЕНИЯ ПК с одновременной установкой AVP Касперского. В начале при установке ОН не даёт пользователю ПРАВО ВЫБИРАТЬ ЛЕЧЕНИЕ. А только Пропустить или Удалить. (Только когда выберешь Настройку и проведёшь собственную, только тогда можно будет Лечить). И это наблюдается ещё со старших версий. Тогда хотя бы malware были не те. Кто-нибудь может сказать об этом вирусологам? Пока Его Величество позволит войти в настройки, пользователь может незная позволить поудалять кучу файлов и Explorer.exe не исключение. Почему кнопка "Лечить" - не предлагается во первых рядах?

Например, тот же вирус Sality есть в двух основных ипостасях: 1 - заражает папки, 2 - заражает exe-файлы. Первый нет смысла лечить, а от второго exe-файлы лечаться.

Догадайтсь, что выберает испугавшийся пользователь? - Удалить.

Статистика из моей практики - 99 процентов обычных пользователей это выбирают.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      ничего нового ---------------------------------------------------------
       4.99.5
      ---------------------------------------------------------
       o Добавлен новый режим запуска для работы с неактивной системой без необходимости загрузки с флешки или диска.
         Начиная с Windows 8 доступна интеграция uVS в меню дополнительных параметров загрузки для
         запуска uVS из штатной среды восстановления Windows (WinRE) для работы с _неактивной_ системой.

         Интеграция осуществляется нажатием кнопки "Интегрировать uVS в меню дополнительных параметров загрузки".
         Загрузиться в меню можно с помощью кнопки "Перезагрузить систему в меню дополнительных параметров загрузки",
         после появления меню выберите:
         Поиск и устранение неисправностей/Диагностика/Troubleshoot(зависит от версии и региона Windows) --> uVS

         В отличии от dclone, uVS уже не получится разместить в образе WinRE, просто не хватит места на диске,
         поэтому запуск uVS происходит из каталога запуска процесса интеграции, т.е. при обновлении версии uVS
         не нужно повторно выполнять интеграцию, достаточно обновить uVS в каталоге из которого была произведена интеграция.
         В пути до uVS допустимо использовать кириллицу, даже если WinRE не имеет поддержки русского языка.
         При запуске из меню дополнительно производится инициализация сети в WinRE, т.е. будет доступна сеть
         для проверки файлов на VT, проверки сертификатов или для предоставления доступа удаленному пользователю к "рабочему столу".

       o Разовый доступ к рабочему столу доступен в WinRE/WinPЕ если в нем была инициализирована сеть,
         если образ сделан в uVS или загрузка была через интегрированный пункт в меню то сеть инициализируется при старте системы
         автоматически, однако поддержки uPNP в WinRE по умолчанию нет, поэтому для подключения к "рабочему столу" WinPE
         следует использовать обратное подключение к клиенту с белым адресом. (если подключение будет через интернет).
         (!) В WinRE/PE доступен только один режим захвата экрана - GDI, передача экрана нормально работает в WinRE/PE на базе
         (!) Win8/Win8.1/Win11, в Win11 и WinPE на его базе необходим включенный режим BLT, в противном случае консольные окна не отображаются.
         (!) Как минимум часть версий WinPE на базе Win10 дефектные (все x86), при работе с ним не отображаются консольные окна и есть проблемы
         (!) с отрисовкой окон и без удаленного доступа.
         (!) Аналогичная проблема наблюдается в WinRE для устаревших билдов Win10, для новых билдов Win10 проблемы нет.
         (!) В некоторых случаях окно uVS может оказаться за меню загрузки, в этом случае используйте Alt+Tab для переключения окон.

       o Добавлены новые модули:
         o файл rein/rein.x64 отвечает за запуск uVS из меню.
         o файл usvc.x64 отвечает за запуск uVS под LocalSystem.
         o встроенный ресурс getcpb отвечает за получение файлов из пользовательского буфера обмена при запуске под LocalSystem.

       o В окно лога подключения к удаленному рабочему столу добавлены кнопки для быстрого доступа к настройкам системы,
         запуску uVS и файлового менеджера.

       o Добавлена поддержка создания загрузочных образов дисков на базе WinPE+ADK v10.1.26100.2454 (декабрь 2024).
         (!) для создания 32-х битного WinPE или WinPE с поддержкой старого железа этот ADK не годится.
         (!) для создания 32-х битных образов используйте ADK для Windows 10 2004. (см. подробнее в FAQ.txt)

       o Улучшена функция создания загрузочных дисков.
         ISO стал мультизагрузочным с поддержкой UEFI, ISO теперь создается в UDF формате,
         т.е. загрузка с диска будет работать и на старом компьютере без UEFI и на новом с UEFI.
         Образ диска теперь занимает немного меньше места за счет дополнительно оптимизации содержимого UDF ISO.
         Добавлена проверка на разметку флешки, допустимая разметка MBR, GPT не поддерживается.
         (!) Загрузочная флешка всегда форматируется в FAT32, вся информация на флешке будет удалена,
         (!) флешки теперь мультизагрузочные.

       o Если недоступен режим захвата экрана DDA то серверная часть теперь автоматически устанавливает режим захвата GDI.

       o Теперь пока открыто окно удаленного рабочего стола удаленная система не будет засыпать.

       o Теперь окно лога передачи файла можно свернуть вместе с основным окном.

       o При ручном вводе одноразового кода доступа к удаленному рабочему столу тире теперь расставляются автоматически.

       o Исполняемый файл при выборе режима разового доступа к рабочему столу теперь
         всегда имеет фиксированное имя "uvsrdp".
         Т.е. теперь можно из одного каталога последовательно запустить удаленный рабочий стол и затем uVS в обычном режиме.

       o Оптимизирована вспомогательная функция копирования незащищенных файлов, теперь она работает немного быстрее
         системной функции CopyFile если копирование файла происходит на другой диск и значительно быстрее если
         при этом исходный файл хотя бы частично попал в файловый кэш.

       o Уменьшены требования к доступной памяти при запуске в системе без файла подкачки.
         Уменьшено максимально возможное число файлов в списке для x86 систем до 100000.

       o uVS теперь совместим со штатной средой восстановления Windows 8.

       o Перехват клавиатуры выделен в отдельный поток, что снизило инпут лаг нажатий клавиш и устранило проблему
         задержки ввода с клавиатуры на клиентской машине при передаче файлов по узкому каналу (менее 10Mbit).

       o Исправлена ошибка из-за которой не восстанавливался размер окна удаленного рабочего стола при повторном нажатии Alt+V.

       o Исправлена ошибка из-за которой был доступен просмотр экрана удаленного компьютера в режиме "только передача файлов"
         если был выбран режим захвата экрана GDI или DDA1.

       o Исправлена ошибка из-за которой в окне удаленного доступа при выборе настройки из списка передавались нажатия и движения мыши
         в удаленную систему.

       o Исправлена ошибка из-за которой назначение основного дисплея влияло на номер дисплея в DDA режиме, что приводило
         к неправильному расчету координат мыши на виртуальном дисплее удаленной системы.

       o Исправлена ошибка из-за которой не сохранялся каталог дополнительных файлов при создании загрузочной флешки.

       o Передаваемый по сети файл теперь блокируется не полностью на время передачи, а остается доступным для чтения.

       o Исправлена ошибка из-за которой не передавались на удаленный компьютер файлы с длинным путем (ошибка "путь не найден").

       o Исправлена ошибка из-за которой в редких случаях не восстанавливались права доступа и владелец ключей реестра после их модификации.

       
    • PR55.RP55
      Добавить в меню команды: Блокировать запуск файла по: [MinimumStackCommitInBytes] Снять блокировку [MinimumStackCommitInBytes] установленную uVS - [1077777777] Полностью снять блокировку [MinimumStackCommitInBytes] -  [?ХХХХХХХХ?] ---------- Пример: Блокировать запуск файла по: [MinimumStackCommitInBytes] IFEO\mediaget.exe: [MinimumStackCommitInBytes] 1077777777 IFEO\PowwerTool.exe: [MinimumStackCommitInBytes] 1077777777 -------- Команда: Проверить реестр и доступные копии реестра ( с возможностью указать копию ) на IFEO -  [MinimumStackCommitInBytes] Команда: Проверить реестр и доступные копии реестра ( а тут можно подумать, на что ещё можно проверить копию )
    • PR55.RP55
      В том году была статья : по поводу MinimumStackCommitInBytes https://www.trendmicro.com/en_in/research/23/e/attack-on-security-titans-earth-longzhi-returns-with-new-tricks.html Похоже и у нас начали активно это применять. https://forum.kasperskyclub.ru/topic/465310-slovil-majner-kogda-skachival-obhod-blokirovki-diskorda/ https://www.cyberforum.ru/viruses/thread3189071.html?ysclid=m4x30zzs6v421256067  
    • demkd
      И не должен работать, такое удалять разрешено только вручную.
    • PR55.RP55
      Ошибка получения XML описания задачи: \Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTask  [Error: 0x80041321 - Образ задачи поврежден или изменен. ] Соответственно на такие случаи команда: (Alt+Delete) не работает. https://vms.drweb.ru/virus/?i=27169926
×