Malwarebytes e falsi positivi

[Al3x]

Veniamo al punto: scansione fatta per pura curiosità nella mia postazione di lavoro che so essere pulita e questi sono i risultati. Di tutte le segnalazioni, solo il primo è realmente un trojan e ne ero al corrente.

Tutti gli altri sono falsi positivi (tool di UBCD e NirSoft che nonostante costituiscano dei rischi, non sono veri e propri malware) mentre gli ultimi due sono nell'ordine:
- un programma rilasciato da telecom per la lettura dei file p7m (firma digitale) e scaricato dal loro sito (DS31_CSP_Pro_RC52.exe)
- un batch creato tempo fa da crazy.cat per la cancellazione dei file temporanei e che mi aveva chiesto di provare (test.cmd)

[The Doctor]

A parte il primo e l'ultimo file, gli altri sono identificati come PUP (Potential Unwanted Program). Puoi disattivare la loro ricerca se vuoi

[Al3x]

Puoi disattivare la loro ricerca se vuoi

grazie ma non ho problemi a gestire una situazione come questa, la mia è una riflessione su come può un neofita gestire avvisi di questo tipo

se si esclude il primo, il secondo ed il terzo sono segnalati come Trojan (non PUP) e mi pare una accusa precisa
il penultimo è un file scaricabile dal sito telecom dedicato alle imprese e non capisco su che base ricada nella categoria PUP visto che di eseguibili nel mio computer ce n'è una quantità industriale :-D e questo è il solo ad essere stato categorizzato in questo modo

[The Doctor]

Probabilmente il motore di scansione di MBAM tende a categorizzare come trojan/PUP tutto ciò che non conosce o che conosce così così

Della serie: meglio aver paura che prenderle

[Al3x]

Della serie: meglio aver paura che prenderle

giusto, spesso quel tipo di utility viene integrata nei kit di alcuni malware e forse è per questo che parte la segnalazione. Un esempio classico è srvany.exe, un tool che appartiene al vetusto NT Resource Kit di Microsoft (quindi del tutto lecito) che purtroppo viene utilizzato per registrare come servizio di Windows un qualsiasi eseguibile e che alcune software house includono nella lista nera.

[crazy.cat]

la mia è una riflessione su come può un neofita gestire avvisi di questo tipo

Non può, si spaventa e cancella tutto.

- un batch creato tempo fa da crazy.cat per la cancellazione dei file temporanei e che mi aveva chiesto di provare (test.cmd)

Sono proprio pericoloso...anche i batch che avevo fatto per il mio cd, poi convertiti in esegubili, malwarebytes li considerava dei trojani.

[developerwinme]

poi convertiti in esegubili

è possibile che non gli piaccia questa operazione?

Un esempio classico è srvany.exe, un tool che appartiene al vetusto NT Resource Kit di Microsoft (quindi del tutto lecito) che purtroppo viene utilizzato per registrare come servizio di Windows un qualsiasi eseguibile e che alcune software house includono nella lista nera.

Non ha la firma digitale Authenticode? :?

Comunque, Malwarebytes non è un antimalware in real time (almeno la versione gratuita), ma una sorta di strumento da "secondo parere": in tal caso, a differenza dell'antivirus residente (dove eventuali falsi positivi hanno una incidenza importante), secondo me si può anche perdonare una maggiore propensione a falsi positivi, in cambio di una migliore rilevazione.

[Al3x]

Non ha la firma digitale Authenticode? :?

non è un problema di firma ma dell'uso che se ne può fare, una specie di processo alle intenzioni che, in questo caso specifico, i software di sicurezza applicano anche alle applicazioni lecite

[developerwinme]

Non ha la firma digitale Authenticode? :?

non è un problema di firma ma dell'uso che se ne può fare, una specie di processo alle intenzioni che, in questo caso specifico, i software di sicurezza applicano anche alle applicazioni lecite

Ok, ma spero almeno venga chiarito per bene il motivo della rilevazione (cioè, "si tratta di un software notoriamente sicuro, ma potenzialmente utilizzabile in modo pericoloso"), altrimenti si rischia di fare prendere all'utente la decisione sbagliata. (In questo caso va considerato che, probabilmente, chi usa tale software sa cosa farsene e come interpretare la rilevazione, ma resta sempre un comportamento migliorabile secondo me).

[Al3x]

ti spiego in pratica cosa ho rilevato come esperienza diretta. Mi è capitato in passato e in più di una occasione, ti trovare quel file infilato in una delle cartelle del profilo utente come risultato di una infezione. In buona sostanza il virus writer lo aveva utilizzato per registrare il malware come servizio e la sua presenza era solo il segno dell'attività svolta.
Si tratta ovviamente di computer in cui non era presente il resource kit ma anche nel caso questo sia presente, il software di protezione lo segnala come minaccia.
Non chiedermi ne quale antivirus e ne la denominazione gli sia stata affibiata perché proprio non ricordo ma per un utente smaliziato e con una certa esperienza l'avviso è facilmente interpretabile, ma alla gente comune (senza offesa) diventa difficile anche fornire spiegazioni e per tagliare la testa al toro, gli antivirus\antimalware lo definiscono tout court come qualcosa di indesiderato e da rimuovere.

Se vuoi ti faccio avere una copia del file e ci fai i test del caso, magari nel frattempo le cose sono cambiate. Comunque l'ho portato come esempio

[developerwinme]

Se vuoi ti faccio avere una copia del file e ci fai i test del caso, magari nel frattempo le cose sono cambiate. Comunque l'ho portato come esempio

Grazie per la risposta. Volevo solo approfondire un po'.

Sulla mia macchina ho solo Windows Defender come antivirus, e dubito che lo rileverebbe (poi, Microsoft è piena di misteri, non si sa mai ), quindi grazie, ma passo per la possibilità del test.