[NAV]False Positive: Backdoor.Blarul *

[Makkelijk]

Net werd reason.exe (muziekprogramma) grofweg door norton verwijderd met de mededeling dat het het backdoor.blarul virus was.. Ik heb natuurlijk meteen gezocht op het virus maar zowel op de norton site als via google kan ik er geen zinnig woord over terugvinden..

Ik heb reason.exe gwoon teruggezet iig...

[Mike Jarod]

Geweldig ik had dus net precies hetzelfde.

Gisteren nog niet, dus blijkbaar iets in de update van vandaag

Maar lijkt me sterk dat er in Reason een virus zit

[wildhagen]

Met of zonder Bloodhound actief?

Kan natuurlijk best een keer een corrupte (als in: false positive) virusdefinitie zijn.

[Teckna]

De backdoor.blarul staat wel in het Overzicht van norton, veel is er nog niet over te vinden behalve wat google hierover kan vinden. iig lijkt het erop dat deze backdoor voornamelijk in frankrijk voorkomt en het in de categorie trojan past. Ik heb hem zelf nog niet gezien maar lijkt met het downloaden va programma's via Edonkey te komen.

Iig zou ik niet zomaar een melding van een besmet bestand zonder meer negeren en gewoonweg terugzetten maar er wat dieper naar kijken. Wel is bekend dat voornamelijk heuristic scans vele false positives kan geven.

[Verwijderd]

Er is gisteren een LU uitgebracht, die waarschijnlijk gerushed is..
Dan willen false positives nog wel eens voorkomen.

offtopic:
Mike, sind wanneer gebruik je(weer)NAV

Je mag de file ook naar mij sturen, dan kijk ik eens of het een backdoor is of niet.

[ Voor 22% gewijzigd door Verwijderd op 24-02-2004 11:34 ]

[Mike Jarod]

offtopic:
Mike, sind wanneer gebruik je(weer)NAV

Ik zit bij die kennis op dat vakantiepark weet je nog

[Trancentral]

haha lekker droog , ik had het dus ook
Zal wel loos alarm zijn dan

[BigB]

Ik ook zelfde probleem
Alleen dan met Edonkey
Heb probleem sinds NAV vandaag auto update deed!

@Schouw
Prog ik dat ik gebruik is Edonkey v0.52
En Norton Antivirus 2004 Prof

[ Voor 31% gewijzigd door BigB op 24-02-2004 12:49 ]

[Verwijderd]

Kan iemand wat meer specs mbt. prog geven?
Als het kan/mag linkje naar prog.

Dan kan ik dit vermelden bij Symantec.

[wildhagen]

Schouw: ik heb zo'n flauw voorgevoer dat heel veel mensen op de hele wereld dit probleem wel zullen hebben, en er zal allicht een aardig percentage zijn dat Symantec hiervan op de hoogte brengt of al gebracht heeft

[Verwijderd]

Dat valt wel tegen hoor.
Toen ServU geflagged werd, was ik ook kennelijk de eerste die het rapporteerde.
(Wat niet wegneemt dat ServU geflagged zou moeten worden, maar alleen niet met standaardbases).

[Makkelijk]

Het prog is van http://www.propellerheads.se/.. een muziekprogramma, duur enzo. Het is een valse melding, daar ben ik achter gekomen, ik heb reason geuninstalled en wou hem weer opnieuw installen, met een installer van 6 april 2003.. (dezelfde als die ik nu had).. als hij gaat installeren en hij de inhoud van de MSI package (die toch echt van 6 april is) delete hij OOK reason.exe uit de temp dir waar hij in unpacked.. en dat terwijl hij tot vandaag gewoon prima werkte enzo .

Maar goed dit is volledig ongeterecht en echt een fout want reason heeft niks virusachtigs in zich

[Verwijderd]

Symantecmedewerk heeft mail.
Titlefixorz.

[Bor]

Hebben jullie een officiele versie van Reason? Norton kan ook nog wel eens gelijk hebben namelijk.

[Verwijderd]

BigB schreef op 24 februari 2004 @ 12:46:
Ik ook zelfde probleem
Alleen dan met Edonkey
Heb probleem sinds NAV vandaag auto update deed!

@Schouw
Prog ik dat ik gebruik is Edonkey v0.52
En Norton Antivirus 2004 Prof

Ik heb precies hetzelfde.

Hoop dat dit snel wordt opgelost

[Verwijderd]

Bor_de_Wollef schreef op 24 februari 2004 @ 13:08:
Hebben jullie een officiele versie van Reason? Norton kan ook nog wel eens gelijk hebben namelijk.

Zojuist installer gedownload van site.
NAV flagde de file, dus het is wel degelijk een FP.

_{Download @ 45 MB, installer gestript --> 5 MB over}

[BigB]

Verwijderd schreef op 24 februari 2004 @ 13:15:
[...]


Ik heb precies hetzelfde.

Hoop dat dit snel wordt opgelost

Ik heb het tijdelijk opgelost door NAV auto protect maar ff uit te zetten
Geen zin om Edonkey af te sluiten op dit moment

[BounceMeister]

Mijn excuses voor het openen van een nieuw topic wat inmiddels gesloten is, maar ik had de zoekmachine van het forum gebruikt en gezocht op blarul en daarna nog eens op edonkey, er werd in beide gevallen niet 1 resultaat gegenereerd.

[Verwijderd]

Topic zal nog wel niet opgenomen zijn in de searchdatabase.
Dat gebeurt uurlijks afaik.

[Freee!!]

Verwijderd schreef op 24 februari 2004 @ 13:59:
Topic zal nog wel niet opgenomen zijn in de searchdatabase.
Dat gebeurt uurlijks afaik.

Volgens mij maar één keer per dag, zoals je zelf ook al gemerkt hebt aan overnet.exe hekend als backdoor (Backdoor.Blarul)

[Klovan]

Zie ook board van reasonstation.net:

From The props board:

"A recent virus definition update for Norton Anti Virus detects our software titles Reason, ReCycle and ReFill packer as the backdoor.blarul virus. We have checked the software and as far as we can see, the software has not been tampered with after build time, meaning that any virus would be introduced as we compile the code, and that's unlikely.

Also, no other virus protection software detects these files as infected, so it looks like what Symantec calls a false positive, meaning that the files are being detected as infected even if they are not.

We have submitted the software in question to Symantec, who will investigate this further and hopefully give us a response shortly. We hope to have more information available by tomorrow.

To keep using our software in the meantime, you can set Norton Anti Virus to skip the Reason.exe, ReCycle.exe and ReFill packer.exe when scanning the system

Or buy a Mac"

[Verwijderd]

Update:
Symantec heeft het probleem bevestigd en werkt nu aan een fix.

[BounceMeister]

Hebben de "andere" virusscanners dat ook wel eens? Want het is geen goede reclame natuurlijk. NAV begint doodleuk met het verwijderen van files waar helemaal geen virus in zit...

[ralpje]

Voor wat betreft de melding in bovengenoemd, ondertussen gesloten, topic, dat je de overnet map bij je exludes kunt zetten in NAV, het is zelfs mogelijk alleen de .exe file (die dus door NAV geflagd wordt) te excluden.
Op die manier loop je niet het risico dat je download map ook ge-exclude wordt en je daardoor het risico loopt ongemerkt een virus te downen. Voor je gaat excluden trouwens auto-protect heel ff uitschakelen, anders wordt die .exe file verwijderd en kun je hem niet excluden.
Zodra NAV geupdate is kun je hem dan weer uit je exclude lijst halen.

[Westereen]

Hmmm, ik heb er last van met overnet
Hoe kan ik dit oplossen?

[Verwijderd]

BounceMeister schreef op 24 februari 2004 @ 19:37:
Hebben de "andere" virusscanners dat ook wel eens? Want het is geen goede reclame natuurlijk. NAV begint doodleuk met het verwijderen van files waar helemaal geen virus in zit...

Yup, alle AVs hebben hier wel eens last van, de een wat meer dan de ander.
Alleen lastig dat NAV auto-delete.

Mogelijk 'solutions':
-De desbetreffende exe's excluden
-Progs zolang niet aanraken.

Nog een mail:

Symantec will be re-releasing the virus definitions to correct it. Thanks
for reporting it!

Brendon

[Westereen]

Symantec will be re-releasing the virus definitions to correct it. Thanks
for reporting it!

Brendon

Laat ze maar opschieten, vind het best wel irri.

[ Voor 43% gewijzigd door Westereen op 24-02-2004 20:31 ]

[DutchHammer]

Is dit ook de reden dat Live Update niet meer werkt op het moment?

[Verwijderd]

Ajaxno1 schreef op 24 februari 2004 @ 22:19:
Is dit ook de reden dat Live Update niet meer werkt op het moment?

Nee, dat zou er los van moeten staan.

[DutchHammer]

Verwijderd schreef op 24 februari 2004 @ 22:20:
[...]

Nee, dat zou er los van moeten staan.

Oke, ik weet ook niet of iedereen er last van heeft, maar hier werkt het iig de hele dag al niet..

[Verwijderd]

Update:
LiveUpdate is beschikbaar, updaten maar

edit:
En hier nog linkje voor IU

[ Voor 55% gewijzigd door Verwijderd op 24-02-2004 23:08 ]

[Tentacle1]

Ik kon zojuist een liveupdate doen (virusdefinities), maar het probleem wordt hierdoor niet verholpen. Best irritant zo

edit:
En nu werkt het opeens weer wel Nouja, gaan me die banaan maar weer

[ Voor 27% gewijzigd door Tentacle1 op 24-02-2004 23:10 ]

[BounceMeister]

Ik heb de virusdefenities opgehaald en geinstalleerd. Toen Edonkey weer teruggezet, de directory program files helemaal gescand en alles was ok. Maar nu een half uurtje later toch weer die melding!!

Probleem is dus nog niet opgelost..?

Edit:
Ik heb nu edonkey2000.exe excluded als tijdelijke oplossing.

[ Voor 14% gewijzigd door BounceMeister op 25-02-2004 08:24 ]

[Verwijderd]

nou ja, ik had het zelfde met edonky 0.52, ik heb edonkey en norton moeten uninstalleren, andere virusscan geprobeerd, niks aan de hand, toen had ik maar ff 2004 gedownload niks aan de hand, maar het koste me wel een paar uurtjes

[ Voor 3% gewijzigd door Verwijderd op 25-02-2004 10:28 ]

[Verwijderd]

Ik neem aan dat in de tussentijd al eens gereboot is?
Zo niet: doe dat eens.
Doublecheck eens of je wel de laatste defs hebt.(maw: manual LU runnen)

[Jimbolino]

ben ik nou erg offtopic/flaimbait als ik zeg:
dit is nou juist de reden waarom je virusscanners niet op auto-clean/auto-delete moet zetten?

[Verwijderd]

Jimbolino schreef op 25 februari 2004 @ 14:43:
ben ik nou erg offtopic/flaimbait als ik zeg:
dit is nou juist de reden waarom je virusscanners niet op auto-clean/auto-delete moet zetten?

Mwhoa, ben het er helemaal mee eens iig.

[Dessie]

Overnet doet het hier nu gewoon, probleem lijkt opgelost!
(Wel na een herstart)

[ Voor 18% gewijzigd door Dessie op 25-02-2004 16:48 ]

[Chiron]

hier ook solved

[BounceMeister]

Nu werkt het wel weer goed. Edonkey was vanzelf al uit de exclude lijst? Gaat dat automatisch?

[Verwijderd]

same problem here.... update gedaan van NAV en reason.exe teruggezet -> scan gedaan en geen probleem meer

[Verwijderd]

Westereen schreef op 24 februari 2004 @ 19:54:
Hmmm, ik heb er last van met overnet
Hoe kan ik dit oplossen?

Oplossing is zeer eenvoudig.
NAV updaten (als dat al niet automatisch gebeurd is) en nieuwe versie van overnet downen. Versie nr is hetzelfde, maar de exe file is iets aangepast waardaar deze niet meer herkend word door NAV als virus.

[Verwijderd]

Verwijderd schreef op 26 februari 2004 @ 16:01:
[...]


Oplossing is zeer eenvoudig.
NAV updaten (als dat al niet automatisch gebeurd is) en nieuwe versie van overnet downen. Versie nr is hetzelfde, maar de exe file is iets aangepast waardaar deze niet meer herkend word door NAV als virus.

Misschien dat overnet een 'extra' versie heeft ge-upload om het probleem te omzeilen met oude defs, maar die nieuwe versie downloaden zou onnodig moeten zijn als je laatste NAV defs hebt.

[Verwijderd]

Verwijderd schreef op 26 februari 2004 @ 16:04:
[...]

Misschien dat overnet een 'extra' versie heeft ge-upload om het probleem te omzeilen met oude defs, maar die nieuwe versie downloaden zou onnodig moeten zijn als je laatste NAV defs hebt.

Ik had met de oude overnet en de nieuwe defs van NAV nog steeds dat ik hem niet opnieuw kon installeren (nav had overnet.exe weggepleurd)
Volgens de site van overnet zelf, hebben ze de exe file in de installatie gewijzigd om dit probleem te voorkomen, wat dus ook idd het geval was. Beide was versie 0.52, maar de nieuw gedownloade versie was wel te installen.

Van de site van overnet:

News


2.24.04: Virus Hoax
There is no virus or backdoor in Overnet or eDonkey2000. Norton antivirus is incorrectly detecting this. No other virus software is having problems with our exe.
We have updated our exe so it no longer sets off Norton.

[ Voor 20% gewijzigd door Verwijderd op 26-02-2004 16:18 ]

[Verwijderd]

My god, ik heb het ze ook nog gezegd..
Wtg Symantec.