Вирус?

[Idilliya]

антивирус удаляет новый файл Asterios.exe что с ним не так?  что это значит:

     TR/Crypt.ZPACK.209953     
     HW32.Packed.F0EC     
     Trojan.Crypt     
     PE:Malware.XPACK-LNR/Heur!1.5594 [F]

объясните,  пожалуйста, сначала в чем дело, прежде чем советовать выключать антивирус и добавлять  в исключения...

[Бэйсмен]

30 минуты назад, Idilliya сказал:

антивирус удаляет новый файл Asterios.exe что с ним не так?  что это значит:

     TR/Crypt.ZPACK.209953     
     HW32.Packed.F0EC     
     Trojan.Crypt     
     PE:Malware.XPACK-LNR/Heur!1.5594 [F]

объясните,  пожалуйста, сначала в чем дело, прежде чем советовать выключать антивирус и добавлять  в исключения...

Он и будет его удалять, т.к. считает его потенциально опасным и вероятно схожим с настощим вирусом. Есть предположение что программы-вирусы можно написать с помощью той же программи с которой пишется клиент астериоса, вот он и думает что это хулиганы в твой компьютер забрались.

Девушка, для чего вам такие подробности?;)

И какой у тебя антивирус, кстати?

[TentacleMaster]

Все нормально, палит как троян пакетник. Дрин так просто криптовал экзешник, что перестарался или не достарался, теперь он у антивирусника в подозрении.

Такая нубо версия у меня.

[Marauder75]

Поставьте папку с игрой в исключения антивируса и да прибудет с вами Шилен

[Idilliya]

У моего друга вообще астериос сразу попадает в карантин. Интересно какой такой подозрительной активностью занимается апдейтер?

 Подробности нужны что бы народ знал что происходит.

Хотелось бы увидеть ответ специалиста. Или так и было задумано.. или недочет.

С предыдущим апдейтом проблем не было же, а сейчас у многих напряги.

Советуя выключать антивирусы, вы как минимум подвергаете возможности заражения компьютеров из других источников...

 

[Aranar]

1 час назад, Idilliya сказал:

У моего друга вообще астериос сразу попадает в карантин. Интересно какой такой подозрительной активностью занимается апдейтер?

 Подробности нужны что бы народ знал что происходит.

Хотелось бы увидеть ответ специалиста. Или так и было задумано.. или недочет.

С предыдущим апдейтом проблем не было же, а сейчас у многих напряги.

Советуя выключать антивирусы, вы как минимум подвергаете возможности заражения компьютеров из других источников...

 

Евгения! Настройте правильно свой антивирус для игры.

Вот ссылка по настройке Каспера для Руоффа: https://4gameforum.com/threads/149836/ настройте аналогично для Астериоса, только не ищите папку Фрост, ее на Астериосе нет. И вместо папки System в клиенте ее функции исполняет папка Asterios.

[Marauder75]

А еще проще занесите всю папку с игрой в исключения антивируса

[Xandir]

В 18.12.2015 at 14:43, Idilliya сказал:

антивирус удаляет новый файл Asterios.exe что с ним не так?  что это значит:

     TR/Crypt.ZPACK.209953     
     HW32.Packed.F0EC     
     Trojan.Crypt     
     PE:Malware.XPACK-LNR/Heur!1.5594 [F]

объясните,  пожалуйста, сначала в чем дело, прежде чем советовать выключать антивирус и добавлять  в исключения...

Это означает лишь то, что антивирус не может расшифровать содержимео файла (проверить файл) и считает файл подозрительным.

Некоторые антивирусы очень ревностно относятся к непонятным файлам и блокируют их исполнение. 

[Aranar]

1 час назад, Xandir сказал:

Это означает лишь то, что антивирус не может расшифровать содержимео файла (проверить файл) и считает файл подозрительным.

Некоторые антивирусы очень ревностно относятся к непонятным файлам и блокируют их исполнение. 

Добавлю, что в указанной мной ссылке есть настройки всех антивирусов, наиболее ходовых, но наиболее задолбисто настраиваются Каспер и НОД-32. А ТС предложу обратиться к другу, который разбирается в софте для настройки антивиря. Не ровен час, дотыкается по кнопкам до того, что вообще никуда не зайдет, а будут виноваты админы Астериоса. Каспер - это антивирус-истеричка, одно неловкое движение и твой комп защищен навеки от всего, в том числе и от Линейки.

[Indomito]

C файлом всё в норме, ни Каспер, ни DrWeb не должны ругаться - Проверка Asterios.exe (Дата анализа: 2015-12-23 23:24:28 UTC)

Если Каспер ругается - просто настроить его надо нормально.

 

Ну а если не получатся, то:

• Игру убрать с системного диска, т.е. переустановить на не системный диск.
• Папку с игрой в исключения.

4 часа назад, Xandir сказал:

Это означает лишь то, что антивирус не может расшифровать содержимео файла (проверить файл) и считает файл подозрительным.

Некоторые антивирусы очень ревностно относятся к непонятным файлам и блокируют их исполнение.   

Немного не так, это срабатывает WebImmune и ePolicy Orchestrator т.е.  отложенный анализ, у Касперского это называется Облако — через недельку ошибка исчезнет, просто там много файлов стоят в очереди на проверку.  Защита из облака — что такое KSN

 

[Idilliya]

Спасибо за внимание. Наверное, стоит уточнить что вопрос этой темы Что делает новый апдейтер - почему  его действия не нравятся антивирусам, не связана ли нагрузка по максимуму компьютеров со  "скрытой активностью"  Интересует ответ опытных специалистов по программной части. 

Файл блокируется при запуске, а при "спящем" состоянии все норм. Апдейтер скачивает обновления, к нему привязана защита? Или что еще он постоянно делает? Раньше можно было запускаться с l2.exe, теперь вместо него AsteriosGame.exe, а без "подозреваемого антивирусами" апдейтера никак?

 

14 часа назад, Aranar сказал:

Добавлю, что в указанной мной ссылке есть настройки всех антивирусов, наиболее ходовых, но наиболее задолбисто настраиваются Каспер и НОД-32. А ТС предложу обратиться к другу, который разбирается в софте для настройки антивиря. Не ровен час, дотыкается по кнопкам до того, что вообще никуда не зайдет, а будут виноваты админы Астериоса. Каспер - это антивирус-истеричка, одно неловкое движение и твой комп защищен навеки от всего, в том числе и от Линейки.

Борис, у меня не касперский.  И  вопросы которые появлялись в  темах "а кааааак добавить файл в исключения" и  ответы на них меня не интересуют. 

 

[trunagibator]

20 часа назад, Idilliya сказал:

У моего друга вообще астериос сразу попадает в карантин. Интересно какой такой подозрительной активностью занимается апдейтер?

 Подробности нужны что бы народ знал что происходит.

Хотелось бы увидеть ответ специалиста. Или так и было задумано.. или недочет.

С предыдущим апдейтом проблем не было же, а сейчас у многих напряги.

Советуя выключать антивирусы, вы как минимум подвергаете возможности заражения компьютеров из других источников...

 

чо такое TAUTI ?

[Aranar]

29 минуты назад, trunagibator сказал:

чо такое TAUTI ?

Это одно из обновлений ГоД, вроде третья часть после Авакенинг и Гармонии.

[GGumbo]

On 23.12.2015 at 9:47 PM, Xandir said:

Это означает лишь то, что антивирус не может расшифровать содержимео файла (проверить файл) и считает файл подозрительным.

Некоторые антивирусы очень ревностно относятся к непонятным файлам и блокируют их исполнение. 

кстати есть еще вариант: архивы скачиваются шифрованными, апдейтер их расшифровывает. Шифрование и дешифрование это, по сути, одно и то же. Вот на это еще антивир может реагировать, считая "опасным шифровальщиком". 

[HawkC4]

22 часа назад, Idilliya сказал:

Спасибо за внимание. Наверное, стоит уточнить что вопрос этой темы Что делает новый апдейтер - почему  его действия не нравятся антивирусам, не связана ли нагрузка по максимуму компьютеров со  "скрытой активностью"  Интересует ответ опытных специалистов по программной части. 

Ответить тебе сможет только шифровальщик этого самого файла, ну или человек со знаниями IDA Pro и прочих дебаггеров/дизассемблеров. Врядли люди будут палиться

[Indomito]

Может поздно отвечать, но я нашёл ошибку.

 

Процесс AsteriosGame.exe "порождаемый" Asterios.exe содержит блок UpDate, т.е. на момент запуска возможна само-модификация, а так они находятся в прямой зависимости проходит блокировка на уровне Artemis.

Принцип работы Artemis

Скрытый текст

 

Система Artemis предполагает использование эвристических методов проверки наличия подозрительных файлов. Благодаря ей клиенты, использующие антивирусные продукты McAfee на основе Windows, получают сведения о самых последних обнаружениях в реальном времени для определенных вредоносных программ.

Система Artemis обеспечивает защиту не от всех классов вредоносных программ, а только от подозрительных образцов. Преимущество защиты от определенных типов угроз заключается в возможности защитить пользователей, использующих систему безопасности McAfee, практически сразу, как только лаборатория McAfee подтвердит вредоносность образца.

Пользователь может настроить заданные администратором уровни чувствительности, которые в системе Artemis используются при обнаружении подозрительных программ и библиотек DLL, запущенных на клиентских системах, которые защищены с помощью VirusScan Enterprise. При обнаружении подозрительной программы система Artemis отправляет DNS-запрос, содержащий контрольную сумму подозрительного файла, на центральный сервер базы данных McAfee Labs.

 

 

 

 

Аналогичные службы/системы есть в любом AVP, только названия разные. Блок само-модификации свойствен троянам, клликерам, etc.

Отключение самообновления не поможет - проблема в самом коде, правда можно отключить Artemis или её аналог.

 

P.S. Тестировал на McAfee® VSE 8.8.0 AMW AonM SRV Path 8.5 DAT 9544

[Extortioner]

Боже.

Антивирусы ругаются на dll и exe файлы астериоса сугубо ввиду того, что они перепакованы темидой. Поэтому они их считают потенциально опасными файлами.

 

Тему можно закрывать, я считаю.

[Valrom]

В 18 декабря 2015 г. at 13:43, Idilliya сказал:

объясните,  пожалуйста, сначала в чем дело, прежде чем советовать выключать антивирус и добавлять  в исключения...

Не боись - всё проверено элекроником, мин нет... 

 

[Indomito]

52 минуты назад, Extortioner сказал:

 

Тему можно закрывать, я считаю.

Да, можно, но дело не "что они перепакованы темидой", я проверял дебаггером - выявился не корректный код.

А перепаковать и проверить?

 

10 минут назад, Valrom сказал:

Не боись - всё проверено элекроником, мин нет...

Конечно нет, хотя кодировщикам виднее - это я про другое, но вирусов нет это точно.

Остаётся доказать отсутсвие вирусной сигнатуры AVP, т.е. нормальным AVP.

 

P.S. Пошёл флуд - тему надо прикрыть, а лучше удалить.

[Cocku]

5 минут назад, Indomito сказал:

я проверял дебаггером

каким дебагером?

про обфускацию слышали?

[Indomito]

Обфускация точки входа (OEP) Themida прячет точку входа в библиотеку или приложение. Шифрование ресурсов. Если в ваше приложение включены какие-либо ресурсы (иконки, файлы и так далее), они будут зашифрованы и расшифрованы только при обращении к ним.

 

От себя: DB - входит в состав Themida + McAfee расшифровывает протектор и у меня не возникает ни каких ошибок.

[Cocku]

10 часов назад, Indomito сказал:

McAfee расшифровывает протектор

Расскажите это разработчикам темиды, а то мужики-то не знают. Может ваш чудо макафи еще и вирусы ловит?

[Extortioner]

11 час назад, Indomito сказал:

Да, можно, но дело не "что они перепакованы темидой", я проверял дебаггером - выявился не корректный код.

А перепаковать и проверить?

 

Конечно нет, хотя кодировщикам виднее - это я про другое, но вирусов нет это точно.

Остаётся доказать отсутсвие вирусной сигнатуры AVP, т.е. нормальным AVP.

 

P.S. Пошёл флуд - тему надо прикрыть, а лучше удалить.

что ты там нашел, гений?

темида накидывает 30-40 метров текста только в таблице импорта\экспорта в распакованном виде для длл и еще кучну говнищща в екзешники. и все твои дебаггеры будут сосать с причмокиванием, пока ты руками не снимешь защиту, не поудаляешь все темидовские функции, не поправишь все смещения\ссылки на оригинальные функции и не почистишь весь мусор из файлов.