viruskeresesi technika

[eNTi Szoft Kft]

Tisztelt Listatagok,

----- Original Message ----- 
Sent: Tuesday, November 11, 2008 8:37 PM
Subject: Techinfo digest, 48 kötet, 16 szám


Message: 17
From: Somogyi László <somogyi at drgall.t-online.hu>
Subject: viruskeresesi technika

> Korrekt-e technikailag az a módszer, hogy egy gyanúsan vírusos gép
> winchesterét klónozom egy másikra (Ghost: Disk to disk) és a klónon
> keresem a vírust egy másik tiszta windows alatt?

Nem, még akkor sem, ha a klónozás bithelyesen teszi át a gyanús tartalmat.

A módszer elvi hibája, hogy előfordulhat a rendszeren egy eddig még nem 
azonosított rootkit.
Ekkor még nem létezik rá mintázat, tehát a felismerésére csak a heurisztikák 
illetve viselkedés elemzők képesek.
Ehhez azonban működnie kellene a rootkitnek, ami nem teljesül, hiszen a 
másik, tiszta rendszer fut.

Javasolt megoldás (akár a gyanús, akár a klón gépen elvégezhető):
1. Az összeakadások elkerülése érdekében a korábbi víruskereső eltávolítása
2. Mivel van elérhető F-Secure rendszer, ebből a Client Security 
feltelepítése (javasolt verzió: 8.x; és bár nem az eredeti probléma miatt, 
de a legfrissebb kereső mintázatok elhozatala is ajánlott; ha már keresünk, 
akkor legyünk minél alaposabbak)
3. Az eredeti (=gyanús) op. rendszerrel történő rendszerindítás után egy 
teljes körű keresés kérése.

Köszönettel venném, ha az eredményről tájékoztatást kapnánk.

Üdvözlettel:
Simon Gábor
eNTi Szoft Kft
www.entiszoft.hu
T./Fax: 06-27/300-272