microgeek.eu

Zaalarmowany systemami bezpieczeństwa przy próbie ściągnięcia plików, postanowiłem zrobić automatyczną analizę plików wykonywalnych, o to wynik:

mkAVRCalculator.exe https://www.virustotal.com/pl/file/f93e ... 456407793/

MkBootLoader.exe https://www.virustotal.com/pl/file/8f30 ... 456407846/

Trzeba się temu bliżej przyjrzeć i zrobić szczegółową analizę.

I teraz zagadka, albo tak dobrze napisany wirus ze tylko 1 antywir go łapie albo tak słabo napisany kod

//"Kompilator oszukasz, debugger oszukasz, ale antywira nie oszukasz"//

Zapewne jest tak, że jakieś biblioteki które zostały użyte w sofcie wykorzystywane są przez malware i często tak bywa właśnie, że jest kwalifikowane jako wirus itp. sam jak z 15 lat temu pisałem jakieś proste rzeczy w delphi to czasami właśnie takie były skutki. Zwłaszcza jak robiło się coś z gniazdami i łączeniem z netem, a przypominam było to 15 lat temu od tego czasu ilość złośliwego oprogramowania wzrosła wykładniczo a co za tym idzie "podejrzanych" fragmentów kodu również.

Nie doszukiwałbym się teorii spiskowych itp.

Nie ma co się doszukiwać teorii spiskowych, bo takowych nie ma Nie tylko te programy zgłaszają się jako potencjalnie nie do końca bezpieczne, inne również powodują różne alarmy i alarmiki. Na ogół są to niewielkie programy, które niekoniecznie znane są na całym świecie. Ostatnio miałem jakiś lcd font creator, który pod windowsem powodował alarm. przypuszczam, że programy wykrywające wirusy itp są bezlitosne... "wybierasz Pan wygodę, czy bezpieczeństwo?"

Wstępna ręczna analiza

Po uruchomieniu programu mkAVRCalculator.exe, program łączy się z serwerem http://www.atnel.pl i pobiera dwa obrazki:
http://www.atnel.pl/1_rek/tme/300x250_M ... ulator.jpg
http://atnel.pl/1_rek/tme/720x90_MkAvrCalculator.jpg

Podczas pracy z programem, kliknięcie w zakładkę narzędzia, powoduje wywołanie url:
http://www.atnel.pl/mkavrcalcPion_ads.html

którego cała transmisja TCP wygląda tak:



Wnioski

Nie stwierdziłem aby program POST'em lub GET'em wysyłał jakiekolwiek dane z komputera na serwer, jedyne informacje jakie firma Atnel pozyskuje to z jakiego adresu IP, kiedy i ile razy był uruchamiany program.

W aplikacji znajduje się też mały błąd, kliknięcie reklamy TME tantalum capicators powoduje otwarcie strony z TME Smart Displays, natomiast kliknięci w banner TME Smart Displays powoduje otwarcie strony TME tantalum capicators.

Wykrywanie mkAVRCalculator.exe przez programy antywirusowe jako złośliwego oprogramowania, spowodowane jest wykorzystywaniem przez program mechanizmów do pobierania obrazków z zewnętrznego serwera. Spora część złośliwego oprogramowania wykorzystuje ten mechanizm, do pobierania wykonywalnego złośliwego kodu zaszytego w obrazkach.

Spróbujcie pobrać z dobreprogramy np. K-lite codec pack albo inny program z ich serwera to zaraz Wam przeglądarka zablokuje pobieranie. Od kiedy wprowadzili asystenta pobierania to nawet jak go nie używasz to i tak często zdarzają się takie alerty. Niby taki wielki serwis a na czarnej liście wylądował.

Nic dziwnego, skoro ten asystent usiłuje doinstalować jakieś niechciane badziewia i trzeba baaardzo uważać, by sobie czegoś nie doinstalować USUWAJĄC ptaszek z jakiejś pozycji na liście. Osobiście nie korzystam z tamtego serwisu właśnie z powodu asystenta pobierania.