All'inizio di quest'anno il ricercatore di malware Neil J. Rubenking pubblicato una recensione riguardante Tiranium Premium Security 2014. Dopo la revisione è stata pubblicata, ha ricevuto un messaggio da un utente sostenendo che Tiranium abusato di diversi siti online associati a controlli di malware siti web al fine di aumentare il suo tasso di rilevamento. Il ricercatore, Sig.. Rubenking fatto un controllo con VirusTotal, però è stato rifiutato un commento. Ecco perché il ricercatore ha dovuto scoprire da sé se questo è stato un problema.
La natura di VirusTotal
VirusTotal è un sito dove l'utente può caricare un determinato file e verificare se è maligno o meno. VirusTotal agisce nel seguente modo - genera hash per il file e se questo hash è nel database, restituisce i risultati che sono memorizzati. Nel caso in cui l'hash non esiste nel database del sito web controlla il file con circa il 50 dei più grandi motori antivirus. L'utente riceve quindi i rapporti sui quali antivirus hanno segnato il file come dannoso.
VirusTotal è stata acquisita da Google circa 2 anni fa, e il suo servizio va oltre il controllo del file. L'obiettivo di VirusTotal è quello di assistere nel miglioramento del settore della sicurezza e antivirus e per aiutare negli sforzi della società per trasformare Internet in un luogo sicuro attraverso l'utilizzo di servizi gratuiti e strumenti. Secondo il sito di VirusTotal, i servizi pubblici e le applicazioni non possono essere utilizzati in prodotti commerciali o per motivi di lavoro. Ciò significa che i prodotti che utilizzano i risultati di VirusTotal senza verificare che il file è dannoso sarebbero effettivamente violare i termini di servizio.
Whiteshark
L'utente che ha inviato un messaggio a Neil J. Rubenking, sopra menzionato, dichiarato che Tiranium controlla un file sospetto per il suo client locale e poi, se alcuna corrispondenza si trova, il file viene controllato su VirusTotal. Nel caso in cui non vi è alcun risultato da VirusTotal, quindi il file richiama il proprio scanner di comportamento.
Rubenking ha creato nuova e modificata versione della sua collezione di malware cambiando la dimensione del file e nomi dei file, e l'utilizzo di alcuni byte non eseguibili. L'hash di ogni file è stato controllato con VirusTotal, al fine di assicurarsi che non tutti sono nel database.
Poi Neil J. Rubenking utilizzato il traffico di rete tracciamento utilità WireShark e ha iniziato una scansione con Tiranium della cartella che contiene i file. La scansione è durata per molte ore lunghe e non ha potuto finire. Il numero del file sottoposto a scansione ha mostrato di zero. Questo è stato così come il server comportamentale nuvola era giù per in quel lasso di tempo. Nessuna prova è stata trovata di un collegamento diretto con VirusTotal o il resto dei server.
Indizio
Poi l'esperto di malware Rubenking impostare alcuni dei file di test in una cartella diversa e quindi avviato un controllo VirusTotal. La maggior parte degli antivirus rilevati questi file come dannoso e altri ottenuto il riconoscimento pressoché unanime come il malware.
Dopo aver fatto che, l'esperto ha scansionato i file nella cartella utilizzando Tiranium e sono stati subito riconosciuti come malware. Anche senza connessione diretta tra VirusTotal e il computer, c'era una catena di causalità.
È che OK o non?
L'esperto ha contattato gli specialisti che lavorano nel settore antivirus per sentire cosa ne pensano della situazione. Uno degli specialisti ha detto che le società di antivirus possono entrare in contratto con VirusTotal per ricevere automaticamente i campioni che gli altri rilevati, ma il loro prodotto senza risposta. Comunque, questo non ha descritto la situazione attuale.
Lo specialista in Tiranium confermato l'utilizzo di VirusTotal. Dire che la sua azienda sta analizzando i campioni inviati così come altre società in questo campo do. Ha anche confermato che il tempo per nuovi campioni di analisi non variare.
Sulla pagina crediti di VirusTotal sono elencati i fornitori che contribuiscono all'integrazione di strumenti o prodotti a VirusTotal. Questi fornitori hanno firmato un accordo, accettando la politica migliore prassi. Tuttavia, Tiranium non è una di queste aziende e non riceve campioni da VirusTotal.
Neil J. Rubenking si rese conto che i messaggi inviati dall'utente relativa Tiramium abusando VirusTotal sono reali. L'esperto ha dimostrato che l'applicazione è collegata direttamente a VirusTotal, che è un abuso.
È Tiranium potenzialmente indesiderati?
Molti altri esperti esprimono anche la loro preoccupazione per Tiranium. Alcuni prodotti antivirus popolari hanno anche rilevato Tiranium come applicazione potenzialmente indesiderati e deve essere rimosso. CASE, Kasperski e Fortinet, e als BrightCloud tutti identificano il sito di Tiranium come dannoso.
Perché Tiranium è considerato dannoso?
Rubenking contattato nuovamente da esperti di Kaspersky per scoprire perché Tiranium è considerato il malware. Gli esperti hanno fatto una ricerca e ha confermato che il sito Tiranium sta usando più di cinque obfuscators differenti per il loro codice e non hanno firma digitale. C'era anche il malware come comportamento macchiato e il traffico dal server con riferimento a VirusTotal, Anubis, e VirScan, o in altre parole dipendenza dalle fonti di terze parti. Naturalmente, tutto questo non sembra legittimo.
Gli esperti BrightCloud non potevano dare ragione perché è stato Tiranium accettato come rischioso, tuttavia hanno mostrato l'indirizzo IP, che è stato condiviso con diversi siti web di phishing.
Neil J. Rubenking, essendo un esperto, pensa che Tiranium deve migliorare il suo prodotto al fine di essere trasparente e di riconquistare la fiducia degli specialisti. Il miglioramento dovrebbe includere la fissazione degli errori grammaticali e di ortografia, firma digitale e l'integrazione con il Centro operativo di Windows del. Inoltre, la società deve astenersi da prodotti di terze parti e dai server che il malware di accoglienza.
