[Norman Virus Control] rare virusmelding

[GeeBee]

Een collega van me krijgt de volgende melding van NVC:

NVC heeft een worm gevonden
maar kan deze niet verwijderen.

Bestand c:\Windows\Desktop\Script.ini

Worm: Mirc/Gen.scr

Ik heb al ff geGoogled maar daar kon ik niets passends vinden. Ook www.virusalert.nl gaf niet thuis.

Is dit een echt virus, of een typisch geval van een paranoide virusscanner?

[MADG0BLIN]

Is het misschien deze: http://www.symantec.com/a...a/w32.dolly.mirc.gen.html

*.src is normaal een screensaver, maar worden ook vaak vermomd als virussen.

[GeeBee]

...of vermommen virussen zich vaak als screensavers

In elk geval tot zover bedankt.

[MADG0BLIN]

GeeBee schreef op 12 May 2003 @ 14:39:
...of vermommen virussen zich vaak als screensavers

In elk geval tot zover bedankt.

Dat bedoel ik dus, beetje fout geformuleerd.

[Verwijderd]

Als je kijkt naar de virusname, haal je daar uit dat het een generic is, het kán een false positive zijn.(grotere kans met generic detections).

Even online laten scannen door een andere scanner voor uitsluitsel.

[Verwijderd]

Gewoon norman laten scannen met bootfloppen, en clean die hap. Of je zet je image terug.... Heb je ook geen last van virussen

[Verwijderd]

Laat hem hiermee zijn pc scannen: http://www.ravantivirus.com/scan/indexie.php

Dan weet je direct of het een false positive is, en of er een gepackt virus/trojan ding op de pc staat.(Zal zo even grafiekje neermikken om te laten zien dat er reden is om bij Norman even een extra scan te laten doen ivm. packed executables).

Verder heeft Norman al lang geen definities geupdate en kan het zijn dat hij alleen het script deel vindt.

Edit: Pic toegevoegd.



Test is van januari en is dus nog redelijk representatief.

[ Voor 14% gewijzigd door Verwijderd op 12-05-2003 15:18 ]

[GeeBee]

Verwijderd schreef op 12 May 2003 @ 15:07:
Gewoon norman laten scannen met bootfloppen, en clean die hap. Of je zet je image terug.... Heb je ook geen last van virussen

images kennen collega's vaak niet...

[Spikey]

schouw > die pic wat is dat??

[Verwijderd]

Pic is de tabel van de resultaten van een test.
6 virii die in originele toestand door alle AV's worden gedetecteerd werden op verschillende manieren gepackt/gecrypt of combinaties daarvan.

NB: McAfee heeft ondertussen een betere unpacking-engine uitgebracht en zal er nu waarschijnlijk meer vinden, waarschijnlijk zal Dr. Web er meer vinden als ze proberen te executen aangezien die het geheugen monitort(waar upx e.d. wordt uitgepakt), maar ik geloof dat ook dat niet 100% fullproof is.

[Spikey]

Bedankt, ik bedoelde ook te vragen waar je die info vandaan haalt. Mijn werkgever is namelijk dealer van bepaalde virusscanners, en het zou leuk zijn als we eens wat onafhankelijke vergelijkingen konden lezen.

[Verwijderd]

Deze test komt van http://www.rokop-security.de .

Welke virusscanners dealen jullie als ik vragen mag?

[GeeBee]

Opgelost:
PC hier laten brengen, HD in mijn PC, NAV er overheen: het bleek W32.Kicking@mm te zijn.
31 besmettingen gevonden, in zo ongeveer elk mogelijk bestand dat aangegeven werd bij http://www.virusalert.nl/?show=virus&id=492

Klaar!

mIRC verwijderen, NAV installeren en zoontje even onder handen nemen... eeehhhhh... opvoeden bedoel ik.

Het probleem is nu het volgende: bij opstarten van bijvoorbeeld Word komt de mededeling:

[qoute]
Kan WINWORD.EXE" niet vinden.
[/quote]

Let op de aanhalingstekens aan het eind...
Dit gebeurt ook bij het opstarten van de PC.

Oplossingen hiervoor?

Edit:
Ja die staat gewoon op virusalert...

[ Voor 33% gewijzigd door GeeBee op 13-05-2003 19:14 ]