Installer virusscanner besmet?

[chickpoint]

Hallo allemaal,

Ik loop tegen het volgend probleem aan. Ik probeer Immunet nogmaals te downloaden op een PC waar deze al op draait maar zodra de download klaar is krijg ik de melding dat dit een bedreiging is en word de download afgekapt.



Als ik de link een keertje door Virus Total gooi dan kan die niks vinden. Zal dit gewoon een False Positive zijn?

P.S. Wel leuk dat een virusscanner zichzelf als virus bestempeld

[roughtodacore]

Kun je checksums vergelijken? Aan de server kant en jouw gedownloade installer.

[chickpoint]

Zal ik vanmiddag eventjes doen op een andere PC, deze gooit hem steevast weg.

edit:Kan helaas geen hashes vinden op de download pagina van Immunet, is er nog een andere optie om het te checken? De download heeft in ieder geval dit als hash.

CRC32: B957D49D
MD5: EAB570226DC3B25F66E676896DC49D35
SHA-1: 8FC7787B5E9430EA89A6DDA69B192018F5C32A28

[ Voor 65% gewijzigd door chickpoint op 01-07-2014 12:21 ]

[roughtodacore]

Dat is het punt, je wilt ook weten wat de hash aan de server kant is, om zo te zien of er onderweg niet mee is gesjoemeld.

[Damic]

Heb deze gevonden: heeft een volledige andere hash (zie technical): http://www.filehippo.com/..._protect_free/tech/10263/

[roughtodacore]

Tsja, valt dat wel te vertrouwen? Liever heb ik de checksum van de officiële website. Het bestand op Filehippo kan ook aangepast wezen

[Standeman]

Heb je toevallig niet al een virus die de download blokkeert en je huidige virusscanner manipuleert. Als ik jou was zal ik even scannen met een andere scanner.

[Deshmir]

Valt het niemand op dat het een onvoltooide download is van Chrome?
False-positive op een .crdownload?

[roughtodacore]

OP meldt dat bij het voltooien van de download deze melding in beeld komt. Kan het zijn dat het nog de .crdownload extensie heeft omdat de virusscanner deze vroegtijdig in quarantaine zet?

[Deshmir]

roughtodacore schreef op dinsdag 01 juli 2014 @ 14:11:
OP meldt dat bij het voltooien van de download deze melding in beeld komt. Kan het zijn dat het nog de .crdownload extensie heeft omdat de virusscanner deze vroegtijdig in quarantaine zet?

Dat klopt, maar afgaand op wat de screenshot meld, is het geen .exe, toch?

[roughtodacore]

Deshmir schreef op dinsdag 01 juli 2014 @ 14:14:
[...]


Dat klopt, maar afgaand op wat de screenshot meld, is het geen .exe, toch?

Ligt eraan, als de eerste 4 bytes van het bestand wel de .exe signature hebben, herkent de virusscanner als deze. Maar aangezien niet alle bytes zijn gedownload, maakt Chrome er denk ik zelf een .crdownload van. Ondertussen gaat de virusscanner er misschien wel vanuit, aangezien de signature wel aan het begin van het bestand staat, dat het een .exe is.

[chickpoint]

Standeman schreef op dinsdag 01 juli 2014 @ 14:03:
Heb je toevallig niet al een virus die de download blokkeert en je huidige virusscanner manipuleert. Als ik jou was zal ik even scannen met een andere scanner.

Ik zie hem oplopen tot de grootte van het bestand (525 KB) en dan kapt Immunet de download af en gooit hij het bestand in quarantaine. Zojuist even een mailtje gestuurd naar de jongens van Sourcefire of het mogelijk is om een MD5 hash te krijgen zo dan niet ook op de download pagina.

Als ik het via internet explorer download geeft het een vergelijkbaar resultaat (om chrome uit te sluiten). MBAM geeft in ieder geval geen rommel aan (nu voor de zekerheid inderdaad ook nog even met ESET online scanner er doorheen jagen)

edit: Eset heeft ook niks gevonden dus de PC zelf moet als het goed is schoon zijn. Ben benieuwd wat SourceFire mij gaat sturen.

Damic schreef op dinsdag 01 juli 2014 @ 12:35:
Heb deze gevonden: heeft een volledige andere hash (zie technical): http://www.filehippo.com/..._protect_free/tech/10263/

Dat kan kloppen, het is dan ook een oudere versie, de nieuwste versie is 3.1.13.9666

[ Voor 43% gewijzigd door chickpoint op 01-07-2014 16:37 ]

[Verwijderd]

chickpoint schreef op dinsdag 01 juli 2014 @ 09:53:
Als ik de link een keertje door Virus Total gooi dan kan die niks vinden. Zal dit gewoon een False Positive zijn?

Dat is een compleet bestand, met kloppend digital signature.
Soms zijn er false positives op incomplete bestanden. (Malware wil nog wel eens invalid PE headers hebben.)

[chickpoint]

Net mail terug gehad van SourceFire

Hey,

The MD5 for it is: eab570226dc3b25f66e676896dc49d35. Any other information you might need can be found here: https://www.virustotal.com/results

Let me know if there is anything else.


- Reg

[ Voor 8% gewijzigd door chickpoint op 02-07-2014 00:21 ]

[roughtodacore]

Dus de hashes komen overeen. Denk dan inderdaad toch dat je een false positive had.