JS/Snz.A melding (eTrust)

[Arnout]

Sinds vanochtend krijgen we hier (1000+ bedrijf) veel van deze meldingen:

The JS/Snz.A was detected in C:\DOCUMENTS AND SETTINGS\RFA****\LOCAL SETTINGS\TEMPORARY INTE...\MOOTOOLS.V1.00[1].JS. Machine: WSRT1181, User: ***\RFA****. File Status: Infected

We gebruiken eTrust als virusscanner. Ik heb al even gezocht maar kon zo snel niet iets vinden.
Het lijkt me een valse melding op een stuk javascript maar helemaal zeker ben ik er niet van.

edit:
Op de website van CA geen bericht hierover.
Verder deze discussie gevonden maar ook daar geen 100% zekerheid dat het geen virus is. Het lijkt mij geen trojan.

[ Voor 19% gewijzigd door Arnout op 31-12-2007 13:47 ]

[Petervanakelyen]

Installeer CCleaner eens, een progje dat een hoop brol van je systeem verwijderd. Deze zal ook je Temporary Internet Files leegmaken, waar het "virus" zich schuilhoudt. Het kan nooit kwaad je Temporary Internet Files leeg te maken. Doe ook eens een scan met Prevx CSI, het scant je systeem behoorlijk snel op malware.

[Arnout]

Ik heb d.m.v. IE de temp. internet files al opgeruimd, dit ging zonder problemen en daarna een full scan gedaan en niks aangetroffen.

Het schijnt te triggeren op o.a. deze bestanden:

• jquery.js
• mootools.js
• ifx.js
• show_ads.js
• relevancead.js
• submodal.js
• iutil.js
• ifxslide.js

[Verwijderd]

het lijkt inderdaad een false alert te zijn:
http://www.dynamoo.com/bl...e-positive-in-etrust.html

Ik kreeg hem vanmorgen ook in jquery.js..

[Arnout]

Ook met eTrust?

ZoneAlarm schijnt deze melding ook te geven omdat de suite als onderliggende virusscanner eTrust (eigenlijk: CA Vet Engine) gebruikt.

[ Voor 9% gewijzigd door Arnout op 31-12-2007 14:13 ]

[octaviafm]

Yo,

Krijg hier ook diverse meldingen binnen met CA Trust virusscan, maar vreemd genoeg niet bij het openen van mijn eigen websites, alleen bij het openen van site's zoals sporttribune.nl , neckermann.com en andere postorderbedrijven.

Verder geeft het CA Anti-Virus Infection Alert twee verschillende statusen aan; de 1e melding is deleted en de 2e melding geeft "Infected" aan? , beetje vreemd dus?

De verwijzing is inderdaad ; C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\O0EMNQZP\.....

Echter tref ik daar niets aan.....een totale registerscan levert ook niets op

In 90 % van de meldingen betreft het een trigering via "mootools.js" , op http://www.mootools.net is meer info te vinden over mootools.js, tevens is daar ook de laatste versie ( MooTools v1.11 Release ) te verkrijgen.

Hopenlijk heeft CA Trust snel een oplossing voor deze loze meldingen.

[Verwijderd]

Volgens deze link is het inderdaad een false positive en zouden nieuwe definities het moeten oplossen. Ik krijg de melding met de nieuwe Etrust defs in ieder geval niet meer

[ Voor 13% gewijzigd door Verwijderd op 02-01-2008 16:38 ]