Clamav i wirusy spakowane zipem z hasłem

[Tomasz Witek]

Dnia 09-09-2004, czw o godzinie 10:43 +0200, Krzysztof Królikowski
napisał(a):
> Witam.
> 
> Ku mojemu zdziwieniu podczas wizyty u użytkownika, McAfee zainstalowany
> stacjonarnie wykrył wirusa w mailu. Zidentyfikował go jako
> W32/Bagle.gen w MM!pwdzip. Clam w swojej bazie ma wirusa zidentyfikowanego
> jako: Worm.Bagle.Gen-zippwd. Nazwa wygląda podobnie, więc może to być
> ten sam wirus (jeśli tak, to dlaczego ClamAV go nie odrzucił?). Chyba,
> że to jest jakaś mutacja tego wirusa której nie zna Clam.
> Zauważyłem, że ostatni daily.cvd został pobrany 2 września. Czyżby
> zespół Clamav zmienił politykę aktualizacji definicji wirusów?
> Zauważyłem jeszcze jedną anomalię. W logach sporo zapisów tego typu:
> 
> 2004-09-06 22:57:03 1C4QXa-0000tF-5c H=smtp5k.aaa.ddd.pl
> [213.180.130.50] F=<xxx w ww.aaa.zzzz> rejected after DATA: Virus
> found :unknown
> 
> Jak mam to rozumie? Clam wykrył wirusa ale nie wie jakiego? (heurystyka
> jakaś?)
> Dodatkowo mam jeszcze podpiętego mksa ale on wogóle nie dochodzi do
> głosu (najpierw sprawdza Clam). Z kolei mksupdate check od czasu
> instalacji cały czas mi mówi, że mam aktualne bazy. To też mnie dziwi.
> Może mam złe źródło updejtów ustawione w mks'ie? Jeśli tak, to jakie
> powinno być ustawione?


Teraz mam tak:
# freshclam 
ClamAV update process started at Thu Sep  9 10:55:39 2004
Reading CVD header (main.cvd): OK
main.cvd is up to date (version: 26, sigs: 22925, f-level: 2, builder: tomek)
Reading CVD header (daily.cvd): OK
daily.cvd is up to date (version: 483, sigs: 1113, f-level: 2, builder: ccordes)

# mksupdate.sh check
Masz aktualne bazy.

# tail /var/lib/mks/mks_vir_update.log 
Tue Sep  7 14:05:16 CEST 2004
http://80.72.33.122/download/linux/mksbase2.dat
http://80.72.33.122/download/linux/mksbase4.dat
http://80.72.33.122/download/linux/mksbase5.dat
http://80.72.33.122/download/linux/mksbaseg.dat

Wed Sep  8 14:05:09 CEST 2004
http://80.72.33.122/download/linux/mksbase4.dat
http://80.72.33.122/download/linux/mksbaseg.dat

# rpm -q clamav
clamav-0.75.1-1
# rpm -q mks
mks-1.9.6-1
# rpm -q mksd
mksd-1.15.2-2
# rpm -qf `which mksupdate.sh`
mks-updater-1.9.6-3

Naprawde do wszystkiego sa skrypty.

TiweK