Как проверить на ложное срабатывание?

Question

Похоже, я был заражен вирусом, а именно NSIS:Downloader-BX [Drp] в файле с именем DpiSca.exe, но ...

Я не посещал никаких обычных подозрительных сайтов (warez, pr0n и т.д.), И никто другой не использовал мой компьютер.

У меня нет обычных симптомов.

Прошло уже более 5 лет с тех пор, как я был заражен в прошлый раз, поэтому я уверен, что знаю, как позаботиться о себе.

Я не могу найти в Интернете никакой информации о вирусе, которым я заражен.

По данным VirusTotal, только avast! считает это вирусом.

Sysinternals Process Explorer, который, кажется, является уважаемой программой, не показывает никаких подозрительных процессов.

После запуска самое тщательное сканирование доступно в бесплатном avast! несколько раз он не обнаружил инфекций. Завтра я буду чистить компьютер своего друга, и как только он будет защищен, я планирую использовать его для сканирования своего жесткого диска, чтобы быть в безопасности.

Файл выглядит как установщик NSIS. После извлечения он содержал только 2 .dll-файла, ExecPri.dll и inetc.dll, и ни один из них, по-видимому, не был заражен в соответствии с VirusTotal и avast !. Файл intec.dll является стандартной частью NSIS, но мне не удалось найти информацию о ExecPri.dll.

После анализа файла установщика, только подозрительные строки связаны с RichEdit, который выглядит как редактор JavaScript, который я не использую. Остальное кажется стандартным образцом NSIS.

Я использую OpenDNS, и он не сообщает о каких-либо подозрительных подключениях.

С другой стороны:

Файл несколько раз появлялся в моем каталоге \windows даже после удаления, и я понятия не имею, что его создает. (Какие-нибудь инструменты, которые могут определить, какой файл сделан процессом?)

Единственная ссылка, которую я мог найти об этом, была в кэше Google форума, посвященного заражению вредоносным ПО, и была помечена как вирусный агент.

У меня вопрос, как мне проверить, является ли этот файл вирусом?

Answer 1

Поскольку это исполняемый файл, вы можете загрузить его в Anubis и посмотреть, что все это может пытаться сделать. Я знаю, что вы нашли две DLL, но это может помочь отследить любые другие вещи, которые он может сделать. Если вы не видите ничего подозрительного от Анубиса и со всеми другими вашими действиями, это, вероятно, инертно, и вы можете удалить это и проигнорировать.

Answer 2

У меня был тот же вирус, и я все еще вычищаю свой компьютер. Я нашел только две ссылки на него, и они оба были на WhatsRunning.com.

Я думал, что удалил программу с помощью антивируса, но сегодня утром я обнаружил некоторые вещи, которые могут вас заинтересовать.

Я случайно оказался на How-To Geek, исследуя, как открывать некоторые программы, минуя элемент управления UAC в Windows 7. Я был направлен на мои запланированные задачи.

Ну, разве вы не знаете, At1, At2, At3, At4, At5, At6, At7 и At8 (если вы посмотрите в "Свойства", все они DpiSca.exe) все были запланированы для работы с самыми высокими привилегиями семь дней неделю в 22:00 с использованием СИСТЕМЫ.

Я должен был изменить каждый на Конфигурацию Vista, чтобы иметь возможность остановить и затем удалить каждый, но это работало. С надеждой.

Answer 3

Если это вирус, он делает довольно грязную работу.

Я подозреваю, что это плохо написанная или старая программа.

Одна вещь, которую вы не упомянули, это где вы нашли файл или откуда вы его скачали. Где ты взял это?

Answer 4

Самый простой способ проверить это - загрузить файл, который avast помечает, в VirusTotal. Он будет запускаться через более чем 40 различных антивирусных программ. Если у вас есть только несколько, то это, вероятно, ложная тревога. Avast имеет привычку ложных срабатываний немного чаще, чем другие.