[connect24h:1116] AntiVir/NTでのNimda検知(AntiVir(www.free-av.com)使ってみました。)

[Dai Ikeda <dai@xxxxxxxxxx>]

だい@xxxxxxxxxxです。

On Thu, 15 Nov 2001 11:30:26 +0900
"k-imaiz" <k-imaiz@xxxxxxxxxxxxxxxxx> wrote:
|ただし、ＩＥの場合、パッチをあてていないと自動実行ですが
|この時に、ブロックしてくれるのかどうかは不明です。
|（原理的には検知してもよさそうなものですが）

こちらでNimda.Eの感染テストをしないといけなくなったので、ついでに
AntiVir/NT Personal Editionで、どうやって検知するのかテストしてみました。
# このメールは動作を確認した報告目的で書いてます。
# 決して、アンチウイルスだけで安全と言いたいわけではありません。

厳密にはWWWサーバからの感染ではなくて、エクスプローラーのプレビューでの
感染ですが、readme.emlをOutlook Expressで実行させた以降は同じなので、
同様の結果になると思われます。

[環境]
Windows2000 SP2
IE5.5 SPなし
AntiVir/NT Personal Edition
Program-Release:6.10.06.57
VDF-Version:6.10.00.76

まず、マイコンピューターからAドライブを開いて、フロッピーに入れてあった
readme.emlファイルを選択します。選択すると、しばらくフロッピーにアクセス
した後に、AntiVirから「AVGuard - Virus Warning」というタイトルの
ダイアログが表示されます。
検知したファイルはSample.exeで、場所は、C:\Documents and
setting\administrator\Local Settings\Temporary Internet
files\... でした。
IEが実行する前に一時ファイルとして保存されようとしたときに
検知されるようです。

このダイアログの中で、どういう処理をするか選択させられます。
(9x版はDOS画面だったそうですが、NT版はちゃんとGUIです)
ここで選択できる処理としては、以下のようになってます。
・Repair infected file
  (検知したファイルからウイルスを駆除)
・Move infected file to quarantine directory
  (検知したファイルを設定したディレクトリに移動)
・Delete infected file
  (検知したファイルを削除)
・Wipe infected file
  (デフォルトのパターンでファイルを上書き?)
・Rename infected file
  (検知したファイルのファイル名を変更)
・Allow access and do nothing[DANGEROUS!!]
  (検知したファイルへのアクセスを許可して何もしない)
・Deny access and do nothing
  (検知したファイルへのアクセスを拒否して何もしない)

Repair infected fileはグレーで選択できなくなっていたので、
Deleteを選択すると、以下のIEのエラーダイアログが表示されます。
----------------------------------------------------
Internet Exploreでは - をダウンロードできません。
このアドレスに指定されたプロトコルは無効です。
アドレスを確認してから、やり直してください。
----------------------------------------------------
結果としてはNimda(sample.exe)は実行されませんでした。

また、リアルタイム監視で検知したウイルスのログは標準のログファイルには
記録されませんが、アプリケーション・イベントとして記録されますので
イベントビューアで確認することができます。
# 実は最近まで、リアルタイム検知はログに出ないと思ってたのはないしょ。:-)

以上、ご報告まで。

--
　（（（‖池田　大(いけだ　だい)
　　∂∂‖dai@xxxxxxxxxx
♪〜ε　‖http://www.d-line.net/
『気楽にいきましょ、口笛ふいて…』



--[PR]------------------------------------------------------------------
　
ニックネームの設定ってどこでするの？
　
疑問に思っているあなた！コチラをクリック	
⇒ http://www.freeml.com/reg_member1.php
------------------------------------------------------------------[PR]--