Hoe stel je aan de hand van VirusTotal vast hoe goed virusscanners deze malware kunnen detecteren ? Virustotal gebruikt command line scanners, met nogal beperkte functionaliteit......

Laat ik de vraag eens omdraaien: als desktop-virusscanners sowieso aanvullende functionaliteit zou hebben (niet gebruikt door VirusTotal), die voorkomt dat jouw PC door malware beschadigd wordt, waarom werken de AV boeren zich dan helemaal uit de naad om ASAP detectie van bestanden (ook door commandlinescanners) toe te voegen?

Bewijs: als de file morgen nogmaals aan VT wordt aangeboden, zul je zien dat veel meer scanners de malware detecteren. En overmorgen nog meer (fijn voor iemand die altijd minstens 2 dagen wacht met het openen van e-mails na ontvangst, maar de meeste mensen hebben hier niet zoveel aan). Ik heb legio voorbeelden van waar dit bij gebeurd is in het verleden.

Helaas beschik ik niet over een niet-defecte "2156_001.docm" (met MD5=9664a27dae374b9646c32918eb699e78), waardoor ik deze morgen niet zelf opnieuw door VT kan laten scannen. Of iemand anders dat doet zullen we moeten afwachten.

N.b. zojuist even https://www.virustotal.com/en/file/23fe2473f663446eb95d4ead3160479fb78e1950db56a8234790e6d159120e74/analysis/ gecheckt:
Nu ook herkend door ESET-NOD32, TrendMicro en TrendMicro-HouseCall.




Waarop baseer je dat? Commandline scanners zijn, in mijn ervaring, veel grondiger dan on-access scanners doordat ze veel minder tijdbeperkingen kennen (als je bij elk bestand dat je opent 10 seconden of meer moet wachten, zeker als je bijv. programmeur bent, wil je een andere virusscanner - of zet je hem uit).

Wel is het zo dat allerlei heuristische detectie kan helpen om werkende malware op jouw PC te detecteren. Probleem is dat er dan al (flinke) schade kan zijn aangericht (bijv. verzwakte browserinstellingen, wijzigingen in het register etc.) - waarvan je maar moet afwachten of jouw virusscanner dat allemaal kan herstellen.

http://pastebin.com/W6f5n8R9

Oude analyse (door iemand anders geüpload): https://www.virustotal.com/en/file/8241939ce25722ca1a9b685a6d0540a3a5b01e581e86edfc5df4b51b02bb0105/analysis/1456407134/

SHA256: 8241939ce25722ca1a9b685a6d0540a3a5b01e581e86edfc5df4b51b02bb0105
File name: 2156_001.docm
Detection ratio: 4 / 55
Analysis date: 2016-02-25 13:32:14 UTC ( 3 hours, 23 minutes ago )

Arcabit HEUR.VBA.Trojan.d 20160225
Avira (no cloud) W2000M/Dldr.Rogue.aipbyd 20160225
F-Secure Trojan:W97M/MaliciousMacro.GEN 20160225
GData Macro.Trojan-Downloader.Agent.MT 20160225

Door mij geüpload: https://www.virustotal.com/en/file/8241939ce25722ca1a9b685a6d0540a3a5b01e581e86edfc5df4b51b02bb0105/analysis/1456419367/:

File name: 2156_001.docm_from_pastebin_W6f5n8R9
Detection ratio: 11 / 55
Analysis date: 2016-02-25 16:56:07 UTC ( 7 minutes ago )

AegisLab W2000M.Dldr.Rogue!c 20160225
Arcabit HEUR.VBA.Trojan.d 20160225
Avira (no cloud) W2000M/Dldr.Rogue.aipbyd 20160225
Cyren PP97M/Downldr 20160225
DrWeb X97M.DownLoader.105 20160225
ESET-NOD32 VBA/TrojanDownloader.Agent.AUA 20160225
F-Prot New or modified PP97M/Downldr 20160225
F-Secure Trojan:W97M/MaliciousMacro.GEN 20160225
GData Macro.Trojan-Downloader.Agent.MT 20160225
TrendMicro W2KM_DR.6016D262 20160225
TrendMicro-HouseCall W2KM_DR.6016D262 20160225

Bump - vandaag div. keren VirusTotal geraadpleegd voor bovengenoemde files, "inline" bijgewerkt.

Zoals voorspeld worden de kwaadaardige bestanden ondertussen door veel meer virusscanners herkend (zie mijn bijdrage https://www.security.nl/posting/462423/Bijlage+2156_001_docm+van+scanner%40#posting462435 voor achtergronden).

De laatste updates op Virustotal vind je in resp.
https://www.virustotal.com/en/file/23fe2473f663446eb95d4ead3160479fb78e1950db56a8234790e6d159120e74/analysis/
en
https://www.virustotal.com/en/file/8241939ce25722ca1a9b685a6d0540a3a5b01e581e86edfc5df4b51b02bb0105/analysis/