[Discussie] Lavasoft verwijdert WhenU-detectie

[Yoeri]

quote: http://www.tweakers.net/nieuws/36221

Een opmerkzame tweaker merkte op dat er enkele vreemde zaken aan de hand zijn met verschillende antispywareprogramma's. Twee populaire antispywaretools, met name Pest Patrol en Ad-Aware, blijken namelijk de spyware van WhenU niet langer te detecteren. WhenU is een softwarebedrijf dat verschillende tools verspreidt die voorzien zijn van advertentieprogramma's. Deze applicaties werden al geruime tijd gedetecteerd en succesvol verwijderd door programma's als Lavasofts Ad-Aware, maar sinds kort is dat niet meer het geval. In de update-aankondigingen van het bedrijf wordt echter geen melding gemaakt van het verwijderen van de WhenU-software uit de malware-definities.

De laatste definities waarmee deze malware wel nog gedetecteerd wordt, dateren van 29 december. Bij Pest Patrol zien we soortgelijke verschijnselen opduiken. Met de meest recente definities wordt WhenU niet meer als schadelijk aangemerkt door Pest Patrol 5, maar worden wel nog een aantal registersleutels aangeduid als kwaadaardig. De benaming van deze WhenU-registersleutels is echter in alle gevallen foutief. Zo worden BargainBuddy, Mirar Toolbar en PurityScan gebruikt om de WhenU-sleutels mee aan te duiden. Op de Pest Patrol-website met de meest voorkomende infecties duikt WhenU wel nog op, maar de link naar een pagina met meer informatie over dit stukje malware blijkt niet meer te werken.

Dit in tegenstelling tot de links naar de uitgebreide uitleg over andere malware. Vreemd genoeg duikt WhenU nu plotsklaps wel op in de detectiebestanden van Aluria's Security Center. De website van WhenU werd door Aluria echter recent nog spyware-vrij verklaard. Bovendien biedt Aluria samen met WhenU een antispywareprogramma aan, UControl genoemd, dat voorzien is van adware die door WhenU aangeleverd werd. Het is volgens de in spywarekringen niet geheel onbekende Eric L. Howes, de ontdekker van dit alles en een onafhankelijke antispyware-expert, op zijn minst opvallend te noemen dat een partner van de adwarefabrikant plots WhenU-detectie inbouwt net nu deze uit concurrenten Ad-Aware en Pest Patrol zonder duidelijke reden verdwenen is. Op zijn vraag om uitleg aan Lavasoft kreeg Howes nog geen reactie.

Dit lijkt me wel een goede plek om hier even over te overleggen. Enkele feiten op een rijtje:
- Zonder enige opgaaf van redenen hebben zowel Ad-Aware als Pest Patrol hun WhenU-detectie verwijderd
- Terzelfdertijd voegt Aluria (dat een WhenU-partner is voor het programma UControl) deze detectie wèl opeens toe
- Een vraag op het lavasoft-supportforum wordt door een admin beantwoord met "ik het het research & development team verwittigd, zij onderzoeken dit"
Wat valt er te onderzoeken? Je raakt een detectie niet zomaar vanzelf 'kwijt' toch?
- Deze thread met vraag om uitleg verdwijnt plotseling
- In een nieuwe thread die geopend wordt, komt men met de verklaring dat 'er iets fout gegaan is bij het mergen van twee threads'

Overigens is het bekend dat Spybot S&D standaard een viertal malwares op ignore staan heeft, het enige verschil is dat je die ignore hier wel kunt uitschakelen. De klacht ter attentie van Lavasoft is overigens niet zozeer dat WhenU-detectie verwijderd werd, wel dat dit allemaal nogal stiekem gebeurd is en er geen reden toe lijkt te zijn.

[KingCrash]

Iedereen is koopbaar..zelfs lavasoft wil wel een oogje dichtknijpen voor een zak geld..
Ik wil niemand vals beschuldigen, maar ik vind dit toch wel erg opmerkelijk.

De reactie van Lavasoft is helemaal onder de maat. Als je weet dat je goede naam en reputatie op het spel staan reageer je niet zo koel!

[Yoeri]

Overigens wat betreft het "iedereen is koopbaar"-argument. Bij een tool als Spybot Search & Destroy, die gratis is, kan ik me nog enigszins voorstellen dat je krijgt waar je voor betaalt en dat de ontwikkelaars daarvan zwichten voor een lucratief aanbod van een spywaremaker.

Lavasofts Ad-Aware kun je echter ook gewoon kopen en die versie maakt afaik gewoon gebruik van dezelfde definities voor het opsporen van malware. Dat betekent dat alle kopers van het programma in zekere zin opgelicht worden. Als de beschuldigingen die geuit worden kloppen, lijkt het me niet onlogisch dat dit Lavasoft nog een aardige duit kost aan rechtszaken of vergoedingen voor ontevreden klanten

[2bme]

Men heeft bij Lavasoft misschien wel een naam op het spel te zetten, maar je weet niet wat WhenU geboden heeft (vooropgesteld dat dit het geval is, anders is het wel érg opmerkzaam).

De meeste AdAware gebruikers gebruiken de gratis thuisversie, waar ze dus niets aan verdienen.
Nu komt Microsoft ook met een antispywaretool aanzetten en verwachten ze misschien dat ze bij de betaalde versie de markt uitgedrukt worden. Als ze dan als een soort 'afscheidsklapper' nog een leuke deal kunnen sluiten met WhenU.....

Maar dit is compleet hypothetisch natuurlijk, wil graag eerst de reactie van Lavasoft voordat ik nog meer theorieen voor de dag gooi

[KingCrash]

Dat betekent dat alle kopers van het programma in zekere zin opgelicht worden.

idd, je koopt de software en dan word je op deze manier gepakt..
Dit kan Lavasoft een bom duiten kosten.....
(als de beschuldigen waar zijn..)

mAdRaZ0r schreef op dinsdag 15 februari 2005 @ 09:28:
Maar dit is compleet hypothetisch natuurlijk, wil graag eerst de reactie van Lavasoft voordat ik nog meer theorieen voor de dag gooi

Dit is natuurlijk een aardig punt
Hoe gaan andere fora/sites met dit news om? Lijkt me niet dat Lavasoft lang met een officiele verklaring wacht? Dat stukje op het forum is natuurlijk niet afdoende.

[ Voor 23% gewijzigd door KingCrash op 15-02-2005 09:35 ]

[Tettie]

Wat mij heel erg benauwd is dat ze bij Lavasoft erg hard bezig zijn om dit onder het vloerkleed te schuiven. Dit stinkt aan alle kanten. Als je threads gaat verwijderen die hier over gaan, op je eigen techforum, dan is er iets heel vies aan de hand. Als er niets aan de hand is, miscommunicatie ofzo, dan ga je er open mee om.

Hypothese: zou er intern bij Lavasoft nog wat rommelen? Wellicht dat er bij hun zelf iemand aan het frobelen is gegaan en zijn ze dat nu aan het uitzoeken voordat ze met mededelingen komen...

[Shaidar]

Is die WhenU spyware gelijk alle andere spywares? Of werkt dat alleen in combinatie met een of andere toolbar ofzo? Ik wil maar zeggen misschien is die WhenU wel de kwaadste niet ... maar ik keur het ook niet goed hoe Lavasoft hiermee omgaat ...

Gelukkig heb ik sinds ik naar XP en Firefox overgeschakeld ben geen last meer gehad van spyware of virussen ...

[Tettie]

shaidar schreef op dinsdag 15 februari 2005 @ 10:53:
Is die WhenU spyware gelijk alle andere spywares? Of werkt dat alleen in combinatie met een of andere toolbar ofzo? Ik wil maar zeggen misschien is die WhenU wel de kwaadste niet ... maar ik keur het ook niet goed hoe Lavasoft hiermee omgaat ...

Gelukkig heb ik sinds ik naar XP en Firefox overgeschakeld ben geen last meer gehad van spyware of virussen ...

Volgens mij is het probleem nou juist dat ze niet meer gedetecteerd worden. Hoe weet je nou of je er last van hebt, dan? Ik ben niet heel erg thuis in de spyware/adware buisiness , maar ik begrijp wel dat lang niet alles wordt gedetecteerd of verwijderd.

[TankiEEE]

Fryertuck@Lavasoft Forum
Hi all,

First and foremost, Lavasoft does not have collaborations with any company that has or will have content detected by Ad-Aware. WhenU was indeed removed from our database by research in the last definition file. This was due to WhenU not scoring more than 2 TAC points at the time. In case it turns out that the removal was incorrect, WhenU will naturally be reintroduced to the database.

Thanks Chris Fry
www.lavasoft.de

bron

Dus volgens hun is er blijkbaar een foutje gemaakt in de database, en is hij per ongeluk verwijdert. Volgens mij kan zoiets toch niet zomaar verwijdert worden?

[Cyphax]

TankiEEE schreef op dinsdag 15 februari 2005 @ 14:53:
[...]

bron

Dus volgens hun is er blijkbaar een foutje gemaakt in de database, en is hij per ongeluk verwijdert. Volgens mij kan zoiets toch niet zomaar verwijdert worden?

Volgens hun is er geen foutje gemaakt maar scoorde WhenU blijkbaar zo laag dat het niet in de database thuishoort (ik ken dat puntensysteem op basis van TAC wat ze blijkbaar gebruiken niet). Waarom WhenU ineens minder punten scoort zeggen ze er niet bij.

[KingCrash]

TankiEEE schreef op dinsdag 15 februari 2005 @ 14:53:

Dus volgens hun is er blijkbaar een foutje gemaakt in de database, en is hij per ongeluk verwijdert. Volgens mij kan zoiets toch niet zomaar verwijdert worden?

Ik weet niet hoe andere fabrikanten dit doen? Maar ik veronderstel dat Symantec ook bescherming bied tegen antieke virussen. Waarom zou je definities eruit gooien? Om je pakket klein en beheerbaar te houden? Dit lijkt me bezuinigen op de verkeerde plaatsen?

Aan de andere kant snap ik wel dat als een stuk spyware al tijden niet meer is aangetroffen deze wordt verwijderd.

[Yoeri]

Dit antwoord heb ik net ook in identiek dezelfde vorm van de persdienst van lavasoft mogen ontvangen. Ze zeggen overigens niet dat het per ongeluk gebeurd is. Net het omgekeerde. Ze beweren dat WhenU slechts twee "bedreigingspunten" scoorde en dat een minimum van drie punten vereist is om in de definities opgenomen te worden.

Ik moet eerlijk zeggen dat ik het nogal geforceerd vind klinken. Doet me denken aan "I did not have a sexual relationship with that woman". Elke "crisismanager" zal je vertellen dat je in een probleemsituatie een verklaring moet opstellen en daar in geen geval van afwijken of op uitbreiden. Je houdt je aan je verklaring en niks meer, zodat je niet op fouten betrapt kunt worden in je verklaringen. En dat is net wat LAvasoft hier aan het doen is. Deze vier zinnetjes worden momenteel overal herhaald, en het heeft duidelijk een tijdje geduurd om ze op te stellen. Als je recht in je schoenen staat heb je ongeveer vijf minuten nodig om een dergelijke mededeling op te stellen me dunkt.

Nog enkele zeer zinvolle opmerkingen waar geen antwoord op gegeven werd eigenlijk:

However, I'm sure none of you can deny that, for Lavasoft HQ to be entirely "innocent", an exceptional degree of coincidence would have had to have taken place.

To this, one can add the strange delay in Lavasoft's explanation at a time when their reputation, customer base, and ultimately, business future, hangs in the balance

even the best companies can occasionally put out a flawed definition file, but for a program to intentionally fail to flag the Grand-Spyware "WhenU" while calling certain cookies "critical objects" is, at best, very bizarre.

[ Voor 19% gewijzigd door Yoeri op 15-02-2005 15:34 ]

[Verwijderd]

KingCrash schreef op dinsdag 15 februari 2005 @ 15:32:
[...]


Ik weet niet hoe andere fabrikanten dit doen? Maar ik veronderstel dat Symantec ook bescherming bied tegen antieke virussen. Waarom zou je definities eruit gooien? Om je pakket klein en beheerbaar te houden? Dit lijkt me bezuinigen op de verkeerde plaatsen?

FYI: Er zijn een aantal AVendors die 'weigeren' bepaalde malware(trojans/backdoors mostly)toe te voegen aan de definities.

Aan de andere kant snap ik wel dat als een stuk spyware al tijden niet meer is aangetroffen deze wordt verwijderd.

Zoiets gebeurt normaal gesproken niet afaik.

Deze vier zinnetjes worden momenteel overal herhaald, en het heeft duidelijk een tijdje geduurd om ze op te stellen. Als je recht in je schoenen staat heb je ongeveer vijf minuten nodig om een dergelijke mededeling op te stellen me dunkt.

Lavasoft is niet echt groot, als de verantwoordelijken op een businesstrip zijn - USA atm anyone? - zal er toch eerst met degenen gecommuniceerd moeten worden.

Er staat nogal wat op het spel, iemand die op de helpdesk werkt gaat hier dan ook geen uitspraken over doen zonder dat er over vergaderd is geworden.

[Verwijderd]

Yoeri schreef op dinsdag 15 februari 2005 @ 09:11:
- Zonder enige opgaaf van redenen hebben zowel Ad-Aware als Pest Patrol hun WhenU-detectie verwijderd
- Terzelfdertijd voegt Aluria (dat een WhenU-partner is voor het programma UControl) deze detectie wèl opeens toe

Die laatste vind ik wazig. Het lijkt me juist dat je wilt dat je partners je spyware niet verwijderen?

Of moet ik me hierbij voorstellen dat WhenU spyware maakt die alleen door die WhenU partner herkent wordt, zodanig dat iedereen de software van die partner nodig heeft? Beetje het idee van een virusmaker die z'n eigen virussen schrijft?

Wat is dat WhenU eigenlijk? Wat doet het? Heeft Lavasoft gelijk als ze zeggen dat het geen spyware is?

[Yoeri]

Verwijderd schreef op dinsdag 15 februari 2005 @ 15:56:
Lavasoft is niet echt groot, als de verantwoordelijken op een businesstrip zijn - USA atm anyone? - zal er toch eerst met degenen gecommuniceerd moeten worden.

Kan kloppen, maarrrrrrrrr....

Er staat nogal wat op het spel, iemand die op de helpdesk werkt gaat hier dan ook geen uitspraken over doen zonder dat er over vergaderd is geworden.

Ben ik het niet mee eens. Als je hierover moet overleggen over hoe je het zult uitleggen, betekent het dat je dit eigenlijk verborgen had willen houden. Anders kan elke helpdesker gewoon de perfect legitieme uitleg geven dat WhenU slechts twee punten (meer) scoorde op de TAC-schaal en dat een minimum van drie punten vereist is. Ik durf te wedden, als ik een stukje wazige maar niet echt helemaal schadelijke software opzoek en vervolgens naar [e-mail] mail met de vraag waarom dit niet door ad-aware herkend wordt, ik gewoon een mailtje terug zal krijgen met de uitleg van die TCA-schaal. Waarom kon dit dan in dit geval niet? Dat valt, imo, enkel te verklaren doordat je het eigenlijk geheim wou houden.

Verwijderd schreef op dinsdag 15 februari 2005 @ 16:03:Wat is dat WhenU eigenlijk? Wat doet het? Heeft Lavasoft gelijk als ze zeggen dat het geen spyware is?

http://sarc.com/avcenter/venc/data/adware.whenu.html

Adware firm WhenU has been yanked from Google and Yahoo!'s search results after being accused of trying to artificially raise its ranking by using a prohibited measure known as "cloaking."

Eighty-Seven Percent of WhenU Users Are Unaware They Are Using It
Bepaal zelf maar of je het terecht vindt dat het verwijderd is.
Uitleg van de TAC-schaal
- Verwijderbaar (1 punt waard)
- Integratie (2 punten waard)
- Distributie (2 punten waard)
- Gedrag (3 punten waard)
- Privacy (2 punten waard)

[ Voor 28% gewijzigd door Yoeri op 15-02-2005 17:02 ]

[Verwijderd]

Feitelijk klopt het dat WhenU mar 2 punten scoort: je privacy wordt vernaggeld maar de uninstaller doet het en je krijgt een aparte licentiedoos voor je gok bij installatie.

Maar, als je een ANTI-SPYWARE tool maakt en vervolgens programmas die er met je privacy-gevoelige gegevens vandoor gaan niet automatisch als threat inschaalt, ben je natuurlijk volkomen onzinnig bezig.

En als er commentaar op komt dan pleur je gewoon het topic dicht terwijl er iemand een respons zit te tikken in het kader "why isn't spyware worth three points in anti-spyware software?!"

OK, over op een andere tool dus.

[ Voor 24% gewijzigd door Verwijderd op 15-02-2005 17:31 ]

[Yoeri]

Privacy wordt vernaggeld: 2 punten idd, maar vergeet niet:

de gebruikerslicentie van de host-toepassing probeert het installeren van de toepassing te verbergen als voorwaarde voor de installatie en/of het gebruik van de host-toepassing.

Volgens mij is het inderdaad "verplicht" WhenU mee te installeren als je Bearshare wilt gebruiken... Wat op zich dus ook één of twee punten waard is onder het kopje 'distributie' imo

[BoGhi]

Yoeri schreef op dinsdag 15 februari 2005 @ 16:56:
[...]
Als je hierover moet overleggen over hoe je het zult uitleggen, betekent het
dat je dit eigenlijk verborgen had willen houden. Anders kan elke helpdesker
gewoon de perfect legitieme uitleg geven dat WhenU slechts twee punten
(meer) scoorde op de TAC-schaal en dat een minimum van drie punten vereist
is. [...]

Ik denk dat die helpdeskmedewerker in eerste instantie best een paar keer
dat antwoord heeft gegeven, in al zijn onschuld. Maar als dan na korte tijd
de hele wereld over je heen gaat vallen, dan gaan wat andere mensen van de
organisatie zich er wel mee bemoeien, en kan het mi best zo zijn dat er even
heftig overlegd wordt... Volgens mij zijn ze redelijk geschrokken (lees:
paniek) bij Lavasoft. Het verwijderen van die thread uit het forum lijkt
daar ook een ongelukkig effect van: een manager op enig nivo zegt dat dat
bericht weg moet, later (na beraad) bepalen de strategen dat dat niet zo
slim was, en hop: er staat weer een bericht + verklaring.

't is misschien wat voorbarig, maar de toevalligheden zijn iets tè
toevallig. Noem het wantrouwen, maar ik vermoed ook iets van een afspraak,
waar ze nu ongetwijfeld heel veel spijt van hebben..

[Yoeri]

BoGhi schreef op dinsdag 15 februari 2005 @ 18:36:
Ik denk dat die helpdeskmedewerker in eerste instantie best een paar keer
dat antwoord heeft gegeven, in al zijn onschuld.

Waarom zegt Eric L. Howes, die dit alles boven water gehaald heeft, dan dat hij géén antwoord gekregen heeft op zijn vraag om meer informatie?

edit:
Nu mijn account gevalideerd is heb ik deze vragen ook even op het supportforum neergezet. http://www.lavasoftsupport.com/index.php?showtopic=59036

[ Voor 18% gewijzigd door Yoeri op 15-02-2005 19:46 ]

[BoGhi]

Yoeri schreef op dinsdag 15 februari 2005 @ 18:52:
[...]

Waarom zegt Eric L. Howes, die dit alles boven water gehaald heeft, dan dat hij géén antwoord gekregen heeft op zijn vraag om meer informatie?

edit:
Nu mijn account gevalideerd is heb ik deze vragen ook even op het supportforum neergezet. http://www.lavasoftsupport.com/index.php?showtopic=59036

Ik zou gokken omdat hij 'te laat' was, op dat moment was mogelijk al te veel onrust ontstaan bij Lavasoft.

[Verwijderd]

Yoeri schreef op dinsdag 15 februari 2005 @ 18:52:
[...]

Waarom zegt Eric L. Howes, die dit alles boven water gehaald heeft, dan dat hij géén antwoord gekregen heeft op zijn vraag om meer informatie?

edit:
Nu mijn account gevalideerd is heb ik deze vragen ook even op het supportforum neergezet. http://www.lavasoftsupport.com/index.php?showtopic=59036

Zie je ook iets raars aan deze zin?

If the reason for all this is idd as simple as

?

idd? WTF?

[Yoeri]

BoGhi schreef op Tuesday 15 February 2005 @ 23:03:
Ik zou gokken omdat hij 'te laat' was, op dat moment was mogelijk al te veel onrust ontstaan bij Lavasoft.

Waarom? Hij is diegene die het 'ontdekt' heeft, en was dus de eerste die met deze vraag kwam, nog voor hij de info gepubliceerd had. 'Te laat' lijkt me dus geen optie
Overigens is dit volgens mij ook een rond-de-pot-draai-antwoord: http://www.lavasoftsuppor...13&view=findpost&p=389705

[BoGhi]

Yoeri schreef op Wednesday 16 February 2005 @ 08:23:
[...]

Waarom? Hij is diegene die het 'ontdekt' heeft, en was dus de eerste die met deze vraag kwam, nog voor hij de info gepubliceerd had.

Het blijft speculeren, wat vast staat is dat hij de eerste is die dit op deze manier openbaar heeft gemaakt, maar meer niet. Verder heb je zelf vast ook wel eens een helpdeskmedewerker aan de lijn gehad die geen antwoord kon geven op een ogenschijnlijk 'simpele' vraag, dat is pech, maar gebeurt toch vrij vaak (helaas).

Wat precies de volgorde van gebeurtenissen is geweest zal wel onduidelijk blijven, zeker bij Lavasoft zelf kunnen we niet in de keuken kijken. Belangrijk is echter dat het vertrouwen in Lavasoft bij velen een deuk heeft opgelopen, en dat is juist in deze branche vrij ernstig.

[BoGhi]

Ben ik even op de site van Lavasoft, zie ik daar onder support/home users een aparte uninstaller staan voor WhenU..