image

Virusscanners negeren massaal geinfecteerde ZIP bestanden

woensdag 5 september 2007, 08:07 door Redactie, 16 reacties

De Nederlander Zarco Zwier heeft ontdekt dat een drie jaar oud probleem in virusscanners, waardoor geïnfecteerde ZIP en RAR bestanden worden genegeerd en een systeem kunnen infecteren, nog steeds niet is opgelost. In oktober 2004 ontdekte hij dat misvormde archiefbestanden met malware niet door anti-virus software wordt opgemerkt, maar na het uitpakken nog wel werkt. Een e-mail naar verschillende aanbieders leverde alleen antwoord van Kaspersky Lab op. Zwier wilde graag weten of beveiligingsaanbieders het probleem inmiddels hadden verholpen en besloot daarom verschillende tests uit te voeren.

De resultaten zijn dramatisch. Alleen Avast, AVG, BitDefender, eSafe, Microsoft en Sunbelt kunnen malware in misvormde RAR of ZIP bestanden herkennen. De scanners van BitDefender en Sunbelt waren de enige die alle drie de misvormde archiefbestanden succesvol scanden. "Dit kan een risico vormen voor mensen die een ander anti-virus programma gebruiken, en niet de on-access scanner hebben ingesteld, maar vertrouwen op een systeemscan", aldus Zwier.

Update: typo verholpen

Reacties (16)
05-09-2007, 08:44 door [Account Verwijderd]
[Verwijderd]
05-09-2007, 08:47 door Anoniem
Antivirus software draaien met on-access scanning uit, dat is vragen om
problemen op een workstation.
05-09-2007, 10:11 door Anoniem
euh? dat artikel is van 09/01/2007

In hoeverre is dit nog steeds een probleem???
05-09-2007, 11:02 door [Account Verwijderd]
[Verwijderd]
05-09-2007, 14:38 door Righard J. Zwienenberg
Typisch weer zo'n geval van aandacht zoeken... De virussscanner MOET
alles vinden, en als deze dat dan uiteindeijk doet, dan weer klagen dat
alles zo traag wordt. Archiefbestanden kunnen op vele manieren verminkt
worden en dat moet een virusscanner dus volgens deze meneer allemaal
vinden. Als vorbeeld: Het is mogelijk bijvoorbeeld een serie trucs uit te
halen met zip en rar bestanden zodat oa Windows het niet eens als archief
bestand ziet. Maar WinRar weet het juiste entry-point te vinden... Dit kost
tijd, maar het kan... Is dit een potentieel gevaar?

Zelfs al zou een virus scanner helemaal geen archief-bestanden scannen,
met de zeer gezonde policy van het aktief hebben van een on-access
scanner, dan vinden de virus scanners alsnog de malware bij uitpakken
van het archief (dus het uiteindelijke fysieke malware bestand dat op de
harddisk wordt geschreven).

Och... Ik zou malware via een USB stick mee kunnen nemen naar een
network, of een CD, of een DVD, of een embedded geencrypt bestand in
een WordDocument/ExcelSheet/AccessDatabase/etc... Het binnen krijgen
van malware lukt altijd wel. Het gaat om het daadwerkelijk opstarten van
deze malware, dat moet worden tegengehouden...

Righard J. Zwienenberg
Norman Data Defense Systems
05-09-2007, 15:06 door Anoniem
Als de engine wordt gebruikt op mail gateways is het zeker een gevaar dat
een virusscanner de malformed bestandsformaten niet weet te
herkennen. Gateways werken niet in real-time, tijd ruilen tegen
grondigheid is daar geen bezwaar.

Werkende on access scanners op elke desktop is een utopie.

Tegen sabotage van binnenuit is niet veel opgewassen, on-access anti-
virus ook niet.
05-09-2007, 16:19 door Anoniem
Koop een Mac en gebruik je computer waarvoor die bedoelt is.
05-09-2007, 16:22 door Anoniem
of beschadigde/misvormde archiven worden gewoon standaard niet
doorgelaten.
05-09-2007, 18:09 door Anoniem
Goed he dat AVG.........:)
05-09-2007, 21:12 door Zarco.nl
Door Righard J. Zwienenberg
Typisch weer zo'n geval van aandacht zoeken...
Ook aangenaam...
De virusscanner MOET alles vinden
Reële dreigingen? Ja! Potentiële dreigingen? Ja!
Als zwakheden niet worden verholpen, worden ze misbruikt, zo gaat dat nou eenmaal.
en als deze dat dan uiteindeijk doet, dan weer klagen
dat alles zo traag wordt.
Je gaat er meteen vanuit dat een product traag wordt,wanneer je een beter algoritme gebruikt? Lijkt mij een beetje kort door de bocht.
Avast kost voor de thuisgebruiker niets en is erg vlot. Als ik een virusscanner bij familie, vrienden en kennissen installeer, is Avast, al een tijdje.
Archiefbestanden kunnen op vele manieren verminkt
worden en dat moet een virusscanner dus volgens deze meneer
allemaal vinden.
Heb jij mijn artikel wel gelezen? Het gaat er om dat een gebruiker malware kan ontsluiten uit het archief, maar ten onrechte geïnformeerd wordt door de antivirussoftware dat er geen malware in het archief bevindt.
Als vorbeeld: Het is mogelijk bijvoorbeeld een serie
trucs uit te halen met zip en rar bestanden zodat oa Windows
het niet eens als archief bestand ziet. Maar WinRar weet het
juiste entry-point te vinden... Dit kost tijd, maar het
kan... Is dit een potentieel gevaar?
Windows ziet ZIP-bestanden pas sinds Windows XP als archief en geen enkele Windows-versie ziet RAR-bestanden als archief. WinRAR is namelijk ook software om te kunnen uitpakken, dus doet het goed z'n werk. Echter, dat het misbruikt kan worden door virussen om zich te verbergen, betekent niet dat geen potentieel gevaar is. Integendeel, het woord potentieel dekt de lading van de term wel, mag ik hopen?
Zelfs al zou een virus scanner helemaal geen
archief-bestanden scannen, met de zeer gezonde policy van
het aktief hebben van een on-access scanner, dan vinden de
virus scanners alsnog de malware bij uitpakken van het
archief (dus het uiteindelijke fysieke malware bestand dat
op de harddisk wordt geschreven).
Ja, er vanuit gaande dat dat de antivirussoftware binnen een bedrijf gebruikt wordt. Maar bij thuisgebruikers of, zoals Anoniem aangeeft, wanneer het archief zich in communicatieverkeer zoals e-mail bevindt, hoort een virusscanner archieven te kunnen scanner. Wanneer een virusscanner een archief detecteert, maar niet kan scannen, hoort het archief geblokkeerd te worden.
Och... Ik zou malware via een USB stick mee kunnen
nemen naar een network, of een CD, of een DVD, of een
embedded geencrypt bestand in een
WordDocument/ExcelSheet/AccessDatabase/etc... Het binnen
krijgen van malware lukt altijd wel. Het gaat om het
daadwerkelijk opstarten van deze malware, dat moet worden
tegengehouden...
Informatiedragers moeten gescand worden, zodra ze ingelezen worden door een computer, tenminste, als je veilig wilt zijn. En versleutelde zaken die niet ingezien kunnen worden, dienen, mijn inziens, niet op een bedrijfsnetwerk te worden toegelaten, tenzij er uitdrukkelijk toestemming voor gegeven is.
Van binnenuit is het altijd makkelijker, maar dat betekent niet dat je het van buitenaf moet makkelijker maken voor ongeautoriseerde derden om malware naar binnen te smokkelen.
05-09-2007, 21:44 door Anoniem
Zo zo dat is knap.
Ik had er 4 van de 6 op mijn PC,en ik geloof hier geen barst van.
eSafe en BitDefender weet ik niet,al ga ik die nog eens uitproberen.
Maar als AVG en Microsoft er bij staan gaat het Dollar tekentje al weer
opspelen.
Immers Vista moet verkocht worden.
En laat nou net AVG en Microsoft nog nooit 1 grote Spin hier hebben
gevonden.
Verwijder allebei,en je zet er bijv NOD32 op en de sirenes gaan loeien.
05-09-2007, 21:58 door [Account Verwijderd]
[Verwijderd]
06-09-2007, 00:38 door spatieman
smartass.
jou buert komt nog wel met een infectie
06-09-2007, 07:14 door [Account Verwijderd]
[Verwijderd]
06-09-2007, 12:21 door spatieman
niet klagen dan *G*
het probleem is gewoon ,hoe goed een virus scanner ook is,
scannen in een zip file is lastig.

ik heb een tijd lang last gehad ,dat een bepaalde firma mij
zip files zat te sturen die geinfecteerd waren.

dat probleem heb ik opgelost door een meuk lege txt files in
te zippen (30GB uitgepakt) met een domme exe file erbij.

daarna nooit meer spam van die gasten gehad.

maar goe, pay scanner of gratis.
de engine is zo goed als de persoon die het ding gemaakt.
07-09-2007, 21:16 door Anoniem
Informatiedragers moeten gescand worden, zodra ze
ingelezen worden door een computer, tenminste, als je veilig
wilt zijn.
Nee, de opgeslagen bits en bytes moeten, wanner ze op de
computer komen, geen schade aan kunnen richten. Doordat de
gebruiker teveel rechten heeft bijvoorbeeld. Of door fouten
en/of instellingen in de software.

En versleutelde zaken die niet ingezien kunnen
worden, dienen, mijn inziens, niet op een bedrijfsnetwerk te
worden toegelaten, tenzij er uitdrukkelijk toestemming voor
gegeven is.
Het gaat er om dat die versleutelde zaken geen schade kunnen
aanrichten, wanneer ze ontsleuteld op de computer terechtkomen.
Op een goed gebouwd en ingesteld systeem, heb je geen
virusscanners enz. nodig. Daarom: plee-eend!
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.