AV False positives
Hoe los je dat op?
Ga je het uitzoeken?
Benader je je AV leverancier?
Dat laatste kan de moeite waard zijn!
Zeker als de definitie database wordt onderhouden door een community en producten die daaruit voortvloeien (meer) kwaliteit kunnen gebruiken.
Bijvoorbeeld, false positive door ClamAv based scanner : Html.Exploit.CVE_2016_0108
Begin inhoud file
Gaf 1 resultaat op Virustotal.
https://www.virustotal.com/en/file/a206f5b7f2bc96e0a7dc06b5611d3c7ea04f88ce6ff910be87d626baf4ce47c1/analysis/1457635855/
Hebben al die andere AV's hem gemist of is het een false positive, dat is de vraag.
Het kan best dat die ene voorloopt op de rest.
Zou kunnen.
Een zoektochtje op het net gaf vele resultaten met discussie erover die leidden tot het vermoeden dat het om een false positive ging ook al was er een referentie naar een kwetsbaarheid voor IE.
https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0108
Met de definities van de ClamAv database van vanmorgenvroeg gaf dit 'css file' dat op een bekende nieuwswebsite aanwezig was vandaag dus een melding van de ClamAv scanner.
Vroeg in de avond was er een nieuwe update waar de false positive alweer was uitgehaald!
Vermoedelijk door response vanuit gebruikers : Geen bliep van de scanner meer op hetzelfde file.
Dit is een AV response die wat mij betreft erg accuraat is!
Mocht je gebruik maken met een scanner gebaseerd op de ClamAv definitie database en je een false positive krijgen.
Check het op VT en nog een beetje elders en maak er melding van bij ClamAv.
http://www.clamav.net/reports/fp
Dat loont!
Ik klikte de eerste keer op verbreken, en na beetje googlen checkte ik Windows update, en bij geschiedenis stond dat een update van die tijd mislukt was, dus klik ik tegenwoordig vrijwel altijd op doorgaan.
Verder nog niet veel false positieves gehad. Ik upload gedownloade exes bij twijfel naar virustotal, waarbij er soms 1 tot 3 virusscanners alarm slaan, maar deze klassificeren dan ook vaak als "PUP" (potential unwanted program) dus dit is dan waarschijnlijk ook een false positive.
Torrents (ja, illegale software downloads) check ik vaak in VirtualBox eventjes van te voren. Maar mijn paranoia is zo groot dat ik niet vaak software torrent :)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
