Viren, Spyware, Datenschutz 11.254 Themen, 94.795 Beiträge

SuSE verwurmt?

gelöscht_84526 / 18 Antworten / Baumansicht Nickles

Moin!

Folgender Fall: In der lezten Nacht habe ich mal wieder mein System mit meinem Virenscanner durchgecheckt. Auf dem Rechner habe ich in einer extra dafür angelegten Partition ISOs von den Betriebssystem-CDs abgelegt, welche sich in meinem Besitz befinden, quasi als Sicherung, falls mit den originalen CDs mal irgendwas passiert. Mein Scanner fand nun in den SuSE 8.0-CDs folgendes:




Auszug aus der Logdatei:

1. N:\\SuSE 8.0\\CD4.iso=>suse/d5/cross-ppc-lx_sus22-2.2.18.SuSE-317.i386.rpm=>cross-ppc-lx_sus22-2.2.18.
SuSE-317.gz=>(bz2_data)=>opt/cross/powerpc-linux/src/linux-2.2.18.SuSE/drivers/usb/wacom.c Infiziert mit: VBS.Bulbas.B

2. N:\\SuSE 8.0\\CD5.iso=>suse/zq1/bind8-8.2.4-147.src.rpm=>bind8-8.2.4-147.gz=>CD5.iso=>suse/zq1/
bind8-8.2.4-147.src.rpm=>bind8-8.2.4-147=>bind-contrib.tar.bz2=>(bz2_data)=>contrib/adm/named_ADMv2.c Infiziert mit: Worm.Linux.Admworm





Nun meine Frage: Ist das normal bei SuSE? Kann es sein, dass die CDs tatsächlich mit den angegeben Würmern bzw. Schädlingen verseucht sind?

Ich muss noch bemerken, dass es sich um von mir selbst angefertigte ISOs von Original-SuSE 8.0-CDs (!!) handelt. Die Distribution habe ich mir mal gekauft, die CDs sind aus der Original-Verpackung, welche auch sämtliche Handbücher beinhaltet. Es handelt sich nicht (!!) um eine aus dem Netz gesaugte Version oder um selbstgebrannte CDs!

Mein Virenscanner ist übrigens der Bitdefender 8.0, also die neueste Version, welcher sich mehrmals täglich mit den neuesten Virensignaturen aktualisiert. Stutzig macht mich in diesem Zusammenhang auch die Tatsache, dass anscheinend schon mehrere Leute ein derartiges "Problem" mit unterschiedlichen SuSE-Versionen haben/hatten, obwohl diese Leute die CDs mit anderen Virenscannern gecheckt haben. Das geht aus folgenden Postings/Artikeln hervor, die ich aufgrund meiner Scans im Netz gefunden habe: "Klick" und "Klack".

Im zuerst verlinktem Artikel wird sinnigerweise "empfohlen", das "Antivirenkit" wegzuschmeißen, was ja augenscheinlich keine Lösung für das Problem darstellt. Der Schreiber der Anfrage in meinem zweiten Link bezieht sich ebenfalls auf das GData-Antivirenkitk, mit welchem er den Schädling ausgemacht hat. Da ich ja - wie oben schon angemerkt - einen völlig anderen Virenscanner benutze, kommt mir die ganze Sache nun doch etwas "spanisch" vor.

In den von mir verlinkten Seiten geht es allerdings um ISO-Dateien, die sich diejenigen Leute, welche die "Probleme" haben oder hatten vom SuSE-Server geladen hatten oder um eine andere SuSE-Distribution (Version 7.3, zumindest im zweiten Link). Bei mir handelt es sich dagegen um die Version 8.0 und um ISO-Dateien, die ich mir selber von den originalen - gekauften - CDs hergestellt habe (hatte ich weiter oben schon erwähnt).

So, nun bin ich mal gespannt, wie eure Meinung dazu ist! Kann es denn angehen, dass die Original-CDs tatsächlich verseucht sind, oder sollte es sich hier doch um einen "Irrtum" des Virenscanners handeln? Hier muss ich aber nochmals zu bedenken geben, dass ja mit zwei unterschiedlichen Scannern geprüft wurde ("mein" Bitdefender - neuester Stand - und auf den verlinkten Seiten war jeweils das Antivirenkit von G-Data im Einsatz).

Gruß
bei Antwort benachrichtigen
fnmueller1 gelöscht_84526 „SuSE verwurmt?“
Optionen

die cds sind nicht verseucht. Der scanner ist einfach ein bisschen scharf. Das ist alles.

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

Linux Journal hat ClamAV hat gem. Editor´s Choice als das AV Tool in 2004 erklärt (siehe Artikel) und es besteht hier die Möglichkeit, verdächtige Dateien zwecks AV Scan upzuloaden..., wenn zwei unterschiedliche Antivirenkits zum gleichen Ergebnis kommen, sind entweder beide reif für die Tonne oder man verschafft sich über ein weiteres AV Tool ein weiteres unabhängiges Ergebnis. Das eine AV Scanner zu scharf eingestellt ist, kann ich nicht nachvollziehen. Letztlich vergleicht der Scanner nur Strings in der Virus Library mit denen auf der Platte und sind Strings identisch, schlägt er an. O der 1, An oder AUS, Ja oder NEIN, da gibt´s keinen Platz für Steigerungen, i.e. scharf, mittelscharf, löwenscharf ..., kann natürlich sein, das die Virus Library falsche Strings enthält, aber da würde hier bedeuten, sowohl Gdata als auch Bitdefender nutzen die gleichen fehlerhaften Datenquellen nutzen. Wie auch immer, kann mich noch gut daran erinnern, dass vor Jahren einmal virusverseuchte Original Microsoft Original CD´s auftauchten, will sagen, wenn etwas ORIGINAL ist, sagt das überhaupt gar nichts aus, ob nicht doch etwas faul sein könnte...

bei Antwort benachrichtigen
gelöscht_84526 BIMEX „Linux Journal hat ClamAV hat gem. Editor s Choice als das AV Tool in 2004...“
Optionen

Eigentlich wollte ich ja den Beitrag von @fnmueller kommentieren, aber da bist du, @bimex, mir schon zuvorgekommen. Meine Frage hätte gelautet: "Was soll denn, bitte schön, heißen, dass ein Virenscanner zu scharf eingestellt ist?" Es werden doch von allen Virenscannern nur Strings verglichen, und ein Scanner, der irgendwelche Strings nicht in seinen Definitionen hat oder irgendwelche Strings nicht erkennt, der taugt nur wenig bis gar nichts. Die Leute können doch nicht (in etwa) sagen: "Ach, wir lassen diesen oder jenen Virus jetzt mal durchgehen, den braucht unser Scanner nicht zu erkennen, der ist doch sowieso harmlos...!" oder so in dieser Art. Darauf liefe es doch letztendlich hinaus, wenn man einen Virenscanner "nicht so scharf" einstellt.

Wie @bimex schon schreibt: Es gibt nur entweder "Ja" oder "Nein", entweder "0" oder "1" usw.....

Gruß

bei Antwort benachrichtigen
littlehelper gelöscht_84526 „SuSE verwurmt?“
Optionen

virenscanner vergleichen eben nicht nur nach strings. sonst würde eine kleine änderung im virencode vom virenscanner bereits nicht mehr erkannt werden (das nennt sich heuristik) und neue viren würden nur durch entsprechende updates erkannt werden. durch die heuristik eines virenscanners kann er auch viren erkennen, die noch nicht in seinen definitiondateien enthalten sind.
von diesem aspekt aus gesehen, kann je nachdem wie die heuristik implementiert ist ein virenscanner sehrwohl "scharf" sein.

A computer lets you make more mistakes faster than any invention in human history - with the possible exceptions of handguns and tequila.
bei Antwort benachrichtigen
fnmueller1 littlehelper „virenscanner vergleichen eben nicht nur nach strings. sonst würde eine kleine...“
Optionen

danke @ littlehelper
einschicken wird dann wohl, wenn andere immernoch am zweifeln sind, die einzig wirksame loesung sein

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

@littlehelper - ok, alles gut verstanden, das heisst doch in praxi, je nach Dioptren-Stärke der "heuristischen Brille" des AV Scanners sieht man dann bei 3.5 Dioptren (Hornbrille) Dinge bereits so gross, die in Wirklichkeit unbedeutend sind, denke, das könnte eine Erklärung sein, die etwaige Befürchtungen unbegründet sein lässt. Frage: wo bekommt man denn die derzeit beste AV Brille am Markt ? Meine in Sachen SEHSCHÄRFE, ZUVERLÄSSIGEM SITZ auf der User Nase und PASSFORMGERECHTEN "Look & Feel", um offenen Auges und ganz sicher durchs IT Leben zu gehen ? Bei APOLLO Optik ??? (dort sieht man derzeit gem. TV Werbung die Dinge des Lebens ganz besonders scharf ...) oder muss man gar zu FIELMANN gehen ???

bei Antwort benachrichtigen
fnmueller1 BIMEX „@littlehelper - ok, alles gut verstanden, das heisst doch in praxi, je nach...“
Optionen

hoere ich da etwa irnoie?
Es gibt kein gut und schlecht. Wie littlehelper schon geschrieben hat kann man die heuristik je nach geschmack einstellen.
Wenn ich z.B mein free-av auf die hoechste stufe stelle, dann findet er in definitv nicht verseuchten dateien viren, stelle ich es aber auf "normal" so laeuft alles glatt durch.
SO ist es im prinzip mit jeder heuristik jedes programmes.

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

@fnmueller1 - okay, alles gut verstanden, wenn also kein gut oder schlecht gibt, gibt´s also auch keine gute oder schlechten Virenscanner, damit ist meine Frage nach dem zuverlässigsten Tool also kompetent beantwortet. "...durch die heuristik eines virenscanners kann er auch viren erkennen, die noch nicht in seinen definitiondateien enthalten sind...." ist also eine heuristische Herausforderung an die Progammierer, eine Brille mit hoher Dioptren-Stärke so zu entwicklen, dass das Teil Viren bereits zuverlässig dann erkennt, wenn die noch gar nicht in den Virusdefinitionen enthalten sind. Egal, nehmen wir also einmal an, die Heuristik erkennt einen Virus aufgrund seiner typischen Merkmale, selbiger ist noch nicht erkannt bzw. noch nicht in eine Virusdefinitionsdatei eingeflossen (weil irgendwie nicht agressiv oder spürbar), meldet diesen leicht abgeänderten Virus-Klone als nächsten Verwandten von WORM Y und weil nicht sein kann, was nicht sein darf, d.h. es gibt kein gut oder schlecht, also ist es dann kein Virus mit typischen Virusmerkmalen (ist ja irgendwie ein kleines Programm, dass einen Wirt (anderes Programm) braucht, besitzt also auch programmartige Merkmale...), sondern nur eine Sehschwäche der Heuristik, ist´s so recht gesehen ?

bei Antwort benachrichtigen
fnmueller1 BIMEX „@fnmueller1 - okay, alles gut verstanden, wenn also kein gut oder schlecht gibt,...“
Optionen

ich hatte leichte probs deine nachricht zu lesen, aber soviel wie ich verstanden habe ist der knoten denke ich bei dir prinzipiell geplatzt :-)

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

@littlehelper - lese gerade hier, dass deine Version, die Heuristik erkennt auch Viren, die es noch gar gibt , nicht stimmt. Zitat "...Ein Virenscanner kann nur bekannte Viren erkennen..." und das im Link genannte anschauliche Beispiel, i.e.:

...
Virenscanner funktionieren so

Genau so funktioniert ein Virenscanner. Aufgrund einer «Fahndungsliste» (Fachsprache: Virensignatur) und eindeutiger Merkmale, die jedes Virus hinterlässt (im Beispiel das Autokennzeichen), kann der Virenscanner erkennen, ob die Datei mit einem Virus infiziert ist, oder nicht.

Schwächen

Dies zeigt aber gleichzeitig auch die Schwächen dieses Systems auf. Stellen Sie sich vor, der Dieb hat während der Flucht das Auto oder das Kennzeichen gewechselt. Folglich könnte ihn die Polizei nicht mehr als Dieb erkennen und er würde durch die Strassenkontrolle schlüpfen. Genauso verhalten sich auch bestimmte Viren. Sie verändern immer wieder ihre «Merkmale» und sind daher für Virenscanner nicht mehr auffindbar (Fachsprache: Stealth-Viren). Zudem sind neue Kriminelle, die der Polizei nicht bekannt sind, nicht als solche erkennbar.
...

bedeutet für mich doch also, es gibt Viren (z.B. Stealth-Viren) die noch nicht erkannt sind, also noch nicht in eine Definitonsdatei einflossen, und somit auch nicht existieren.

bei Antwort benachrichtigen
Massafagga gelöscht_84526 „SuSE verwurmt?“
Optionen

@bimex:
Zitat aus deinen link:
Warum kann man Viren nicht im Voraus erkennen?
Weil Viren Ihre Erscheinung immer wieder ändern und verändern ist es unmöglich, Viren proaktiv (im Voraus) zu erkennen. Dies ist wie bei Menschen: Wie wollen Sie einem Menschen ansehen, ob er potentiell kriminell ist? Das ist fast nicht möglich und doch werden bestimmte Personen bei Kontrollen aufgrund ihres Aussehens öfter kontrolliert als andere. Das heisst, die Polizei oder die Grenzkontroll-Organe, haben bestimme Täterprofile, aufgrund derer sie bestimmte Personen eingehender untersuchen. Auch Virenscannerhersteller versuchen dies zu machen. Diese Funktion nennt sich «Heuristik». Diese ist aber nur bedingt erfolgreich; oftmals werden Dateien als Viren erkannt, die gar keine sind.

Zitat ende.

Les dir doch deine Quelle einmal ganz durch bevor du littlehelper fertig machst!!
Diese Passage beschreibt doch genau das was little helper geschrieben hat.

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

@fnmueller1 - ... ist der Knoten bei Dir prinizipell geplatz :-)..., leider noch nicht ganz, erst dann, wenn Du mir plausibel erklären kannst, dass der Inhalt der Webseite von http://www.securityinfo.ch/virenscanner.html absoluter Bockmist aus der Schweiz ist ...(hoffe, das Du diesen Text besser verstehen kannst als meinen...) und solange, meine bis zu Deiner Antwort, das es tatsächlich Bockmist ist, bleibt auch Dein gordischer Knoten jungfräulich ;->

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

@massafagga - es geht hier gar nicht darum, irgendjemanden fertig zu machen. King-Heinz hat eine Frage mit der Bitte um Antwort/Meinungen in den Raum gestellt. Konkret: ist es ein Virus ? JA oder NEIN ? Littlehelper sagt; es gibt Heuristik, Frage damit nicht beantwortet, aber an eine mögliche Antwort herangetastet..., Dein Hinweis auf mein Leseschwäche heisst doch nichts anderes, der Gdata und auch der Bitdefender gehören in die Tonne, sag es doch frei heraus und nicht hinten herum...

bei Antwort benachrichtigen
fnmueller1 BIMEX „@massafagga - es geht hier gar nicht darum, irgendjemanden fertig zu machen....“
Optionen

dazu sei erwähnt, dass sich die scanengines afair _nicht_ unterscheiden. Das erklärt die gleichen ergebnisse.

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

Und abschließend ist meine persönliche Meinung, Linux Virenscanner erfreuen sich bei einem OS Weltmarkt von meinetwegen 6% im Desktopbereich eben noch nicht der Aktualität und des Interesses wie dies bei anderen Betriebssystemen der Fall ist, und damit möchte ich NICHT ausschliessen, dass King-Heinz vielleicht doch auf ein tatsächliches Virus gestoßen ist, niemand aber richtig Bock hat, sich des Teils anzunehmen, weil, so wie ich vom "Hören-Sagen" weiss, ein Virus bzw. Wurm unter Linux aufgrund anderer OS Struktur eh´ nicht eine zerstörerische Kraft entwickeln kann wie das z.B. bei Windows Viren und Würmern der Fall ist. Letztlich ist eine disziplinierte Problemverfolgung im kostenlosen Linux OS Desktopmarkt auch nicht lukrativ genug, um damit Geld verdienen und Leute für ihre wertvolle Stunden beim Ackern im System entsprechend vergüten zu können. Damit Ruhe im Karton ist, denke ich, man sollte das Problem einfach der fehlerhaften HEURISTIK zuschieben und fertig !

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

@fnmueller1 - Kapersky´s Leute pochen darauf, die beste Scan Engine zu besitzen, aber was soll´s, laut letzten Symantec Report vor ein paar Tagen kommen jeden Tag durchschnittlich 24 neue Viren/Würmer auf die Welt, d.h. während dieser Thread im Netz baumelte, hat´s schon 2 neue Viren oder Würmer gegeben, die wir beide nocht nicht kennen. Und wer da ausschließen möchte, dass es nicht doch was neues verdächtiges am Markt gibt, geht m.E.. an der Realität vorbei ... (wobei das SuSe 8.0 Teil von King-Heinz ja vom Dateien-Datum her schon "Asbach Uralt" Status hat, somit denke ich, es ist eigentlich kein neues Problem, sondern das "heuristische" ...)

bei Antwort benachrichtigen
BIMEX gelöscht_84526 „SuSE verwurmt?“
Optionen

Sehe soeben beim Surfen rein zufällig, zu den üblichen Virus / Wurm Entwicklern gesellen sich auch noch die Sicherheitsdienste mit eigenen Virus Versionen, hier z.B. das FBI, das mit dem berüchtigten CARNIVOIRE (= Fleischfresser) doch nicht den gewünschten Erfolg hatte (uralter Artikel aus 2001), will sagen, es gibt auch andere Leute, die gar kein Interesse daran haben, dass Virusscanner überhaupt perfekt arbeiten ..., denn die MAGIC LANTERN (magische Laterne) muss ja weiterhin in die Dunkelheit des Netzes "heimleuchten" ...

bei Antwort benachrichtigen
fnmueller1 BIMEX „Sehe soeben beim Surfen rein zufà llig, zu den üblichen Virus / Wurm...“
Optionen

@bimex:
für mich ist diese diskusion beendet und dies ist mein letztes posting in diesem thread.
Ich bin definitv keiner, der leichtfertig alles auf die heuristik schliesst. Auch kenne ich durchaus die schwächen von Linus und weiss, dass jedes bs infiziert und infiltriert werden kann.
Versuche zu begreifen, dass es sich hierbei aber um ein bereits lange bekanntes prob handelt. Ferner vergesse nicht, dass ich auch gesagt habe, dass er sich ruhig mal die sachen einschicken soll wenn er sich nicht sicher ist.
Ich diskutiere gerne bei einem netten Ton, leider habe ich dies hier etwas vermisst. Wir sollten also alle nicht vergessen, dass wir eine Community sind, die aus Menschen besteht. KH hat hier gerade mal 2 postings abgesetzt. Ich hoffe _ihm_ konnte geholfen werden, denn darum geht es hier und nicht um glaubenskriege und solche diskusionen
gute nacht
fnmueller1

bei Antwort benachrichtigen