Geschrieben von Troja am 03.06.2008 um 19:49:
Wundersame Fortpflanzung von Fehlalarmen
Fehlalarme von Antivirus-Programme gibt es immer wieder. Seltsam wird es jedoch, wenn gleich mehrere Virenscanner eine an sich harmlose Datei als infiziert ansehen. Aber wie kommt es dazu?[stopper]
Wird in Programmdateien von einer Antivirus-Software eine vermeintliche Infektion mit einem Virus entdeckt oder die ganze Datei fälschlich als Trojanisches Pferd gemeldet, wird dies als Fehlalarm (englisch "false positive") bezeichnet. Das kommt immer wieder einmal vor und wird meist mit einem neueren Update der Virendefinitionen beseitigt. Finden jedoch gleich mehrere Virenscanner etwas an einer Datei auszusetzen, die an sich harmlos ist, muss mehr dahinter stecken.
Wie Pedro Bustamante von spanischen Antivirus-Hersteller Panda Security im Blog der Panda-Forschungsabteilung (http://research.pandasecurity.com) berichtet, tauschen die Hersteller untereinander Kopien von als schädlich erkannten Dateien aus. Die Virensignaturen werden weitgehend automatisiert erstellt, um der schieren Masse der Schädlinge noch Herr werden zu können, und so können sich Fehlalarme von einem Hersteller zum nächsten fortpflanzen.
Bustamante nennt als Beispiel ein Download-Programm des Spieleanbieters Legacy Interactive, der mit "Fenomen" eine ganze Serie von Spielen zum Download anbietet. Dies geschieht nicht mit einem einzelnen Download-Programm, sondern über eine Vielzahl von Varianten der gleichen Software. Für jedes Spiel und jeden Vertriebspartner gibt es einen eigenen Downloader - das ergibt über 200.000 Versionen des Programms. Sie verhalten sich im Grunde recht ähnlich wie die Malware-Downloader üblicher Trojanischer Pferde........
weiterlesenLG von Troja
