[ruby-list:41708] Re: Exerbコアからのトロイの木馬検出について

ネットフォレストの植田と申します。


　Virus Total に加えて、Online malware scan(http://virusscan.jotti.org/) 
も試してみました。Virus Total と被っている AntiVirus Products が多いと思
いますが、一箇所ではなくて複数箇所での結果、ということで。

	http://www.raomen.net/ueda/exerb_check/exerb-3.3.1.tar.gz-2.png

こちらでも AntiVir, BitDefender, F-Prot, Fortinet, VBA32 の 5つで引っか
かりました。


> Yuyaです。
;
> * 件のトロイの木馬に使用されているコアは Exerb 3.3.1 の ruby182{c|g}.exc
>   である可能性が高い

ということで、Online malware scan を使って Yuya さんの追試をしてみました。

・exerb33.dll はセーフ
・ruby182crt.exc はセーフ
・ruby182grt.exc はセーフ(*)
・ruby182c.exc は BitDefender/F-Prot/Fortinet/UNA/VBA32 で検出
・ruby182g.exc は AntiVir/AVG/UNA で検出

	* MIGHT BE INFECTED/MALWARE という警告は出る

仰るように ruby182{c|g}.exc のみ引っかかりますね。ruby190{c|g}.exc は大
丈夫みたいです。


　でもこれ、本当にトロイの木馬なんでしょうか？　手元の PC では

	Symantec AntiVirus Corporate Edition ver.9.02.1000
	ウイルス定義ファイル: バージョン 2005/12/07 rev.23

で該当ファイル群を検査しても引っかかりません。私は ruby も齧りかけで 
exerb は使ったことがないのですが、ruby182{c|g}.exc に確実に trojan code 
が入っているのなら兎も角、そうでなければ誤検知の可能性もあると思います。

# でなければ Symantec はダメダメ --;)？

　アンチウイルス製品はメーカが異なっても core である antivirus engine は
共通(OEM)であることが少なくありません。例えば F-Secure 社の製品であれば
下記の URL にあるように『F-PROT, AVP, Orionの複数スキャニングエンジンを
搭載』していますので、同じエンジンを使っている製品であれば他のメーカの製
品であっても同様に引っかかります。

	http://www.nippon-rad.co.jp/fs/pro2.shtml

　なので ruby182{c|g}.exc に trojan code が含まれていないことが分かって
いるのであれば、真っ当な対応としては(手間は掛かりますが)

	各アンチウイルスベンダーに誤検出である旨を伝え、対応してもらう

だと思います。

# うちも某社からクレームを受けて対処したことがありますので、できない話で
# はないハズ。


＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿Ｎｅｔｗｏｒｋ × Ｐｅｏｐｌｅ＿
‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾
　株式会社 ネットフォレスト
　Dr.Web 事業部　　　　　　　　　　 植田 裕之
　http://www.netforest.ad.jp/　　　 [e-mail]
　tel:[phone]　fax:[phone]
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾‾
　http://www.kamome.or.jp/ <<< ISP FTTH/ADSL/AIR-EDGE/8&16IP
　http://drweb.jp/　　　　 <<< 予測するアンチウィルス