[Comm] Вопрос по drweb

[Comm] Вопрос по drweb

[Krasavin Andrey]

Добрый день!

Работает у меня связка Postfix+DrWeb и все инфицированные письма
кладутся в /var/drweb/infected/. Бывает случай, что мне надо
посмотреть письмо (например, почему-то от security-altlinux идут
зараженными :) ). Чем можно просмотреть инфицированное письмо,
которое попадает в вышеуказанную папку и как правило получающее
имя файл как drweb.quarantine.набор_букв_и_цифр?

---
WBR, Krasavin Andrey

Re: [Comm] Вопрос по drweb

[Vitaly Lipatov]

On Tuesday 06 July 2004 15:25, Krasavin Andrey wrote:
> security-altlinux идут зараженными :) ). Чем можно просмотреть
> инфицированное письмо, которое попадает в вышеуказанную папку
> и как правило получающее имя файл как
> drweb.quarantine.набор_букв_и_цифр?
mutt -f файл

-- 
Lav
Виталий Липатов
Санкт-Петербург
GNU! ALT Linux Team! LaTeX! LyX!

Re: [Comm] Вопрос по drweb

[Krasavin Andrey]

On Tue, Jul 06, 2004 at 03:32:09PM +0400, Vitaly Lipatov wrote:
> mutt -f файл

mutt -f /var/drweb/infected/drweb.quarantine.gLkFHm
/var/drweb/infected/drweb.quarantine.gLkFHm не является почтовым
ящиком.

Что можно еще предпринять?

---
WBR, Krasavin Andrey

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Tue, 6 Jul 2004 15:25:08 +0400
Krasavin Andrey <krasavin@kominet.ru> wrote:

> Бывает случай, что мне надо
> посмотреть письмо (например, почему-то от security-altlinux идут
> зараженными :) )

Есть такое. Вот с такой информацией:
[1158] drweb.tmp.1OhqE4/[text:plain] probably infected with COM.BOOT.Virus
на подпись чтоль срабатывает?

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re: [Comm] Вопрос по drweb

[Mike Lykov]

В сообщении от Вторник 06 Июль 2004 16:43 Klimchev Konstantin написал:

> Есть такое. Вот с такой информацией:
> [1158] drweb.tmp.1OhqE4/[text:plain] probably infected with COM.BOOT.Virus
> на подпись чтоль срабатывает?

Надо отключить эвристический анализ (изжил себя  ;) и послать пример 
разработчикам

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Tue, 6 Jul 2004 16:56:28 +0500
Mike Lykov <combr@vesna.ru> wrote:

> Надо отключить эвристический анализ (изжил себя  ;) 
хм... не рискну

> и послать пример разработчикам
еще год назад. еще чтоль раз отправить.

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re: [Comm] Вопрос по drweb

[Mike Lykov]

В сообщении от Вторник 06 Июль 2004 17:04 Klimchev Konstantin написал:

> > Надо отключить эвристический анализ (изжил себя  ;)
> хм... не рискну

По моему, он привносит много проблем (ложных ошибок) , но я не помню, чтобы 
был случай его полезности.

> > и послать пример разработчикам
> еще год назад. еще чтоль раз отправить.

желательно..
-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Tue, 6 Jul 2004 17:22:21 +0500
Mike Lykov <combr@vesna.ru> wrote:

> По моему, он привносит много проблем (ложных ошибок) , но я не помню, чтобы 
> был случай его полезности.
при более 3,5 тыс. клиентов пусть уж ложное срабатывание. А ложное срабатывание - только на security-announce на моей памяти.

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re: [Comm] Вопрос по drweb

[Krasavin Andrey]

On Tue, Jul 06, 2004 at 03:43:16PM +0400, Klimchev Konstantin wrote:
> Есть такое. Вот с такой информацией:
> [1158] drweb.tmp.1OhqE4/[text:plain] probably infected with COM.BOOT.Virus
> на подпись чтоль срабатывает?

А как посмотреть-то это письмо в итоге? Очень уж интересует что
там нового по безопасности вышло пока я неделю отсутствовал.

---
WBR, Krasavin Andrey

Re: [Comm] Вопрос по drweb

[Mike Lykov]

В сообщении от Вторник 06 Июль 2004 17:32 Klimchev Konstantin написал:

> > По моему, он привносит много проблем (ложных ошибок) , но я не помню,
> > чтобы был случай его полезности.
> при более 3,5 тыс. клиентов пусть уж ложное срабатывание.

Если почта вообще не пришла (просто молча исчезла)  - неизвестно мне, так ли 
это хорошо..
  
>    А ложное срабатывание - только на security-announce на моей памяти.

у меня было на .dbf (после чего я его выкинул нафиг).

Можете привести случай, когда этот анализ сработал положительно?

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Tue, 6 Jul 2004 17:44:53 +0500
Mike Lykov <combr@vesna.ru> wrote:

> Можете привести случай, когда этот анализ сработал положительно?
а как проверить - "анализом" или "нет"? по "probably infected" ?

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Tue, 6 Jul 2004 16:58:37 +0400
Klimchev Konstantin <koka@atvc.ru> wrote:

> "probably infected"
хм.. если по "probably" проверил за период с 10.00 26-06 по сейчас. Зараженных чуть более 4600 из них с "probably" 3 (1 с security-announce)

и самое интересное. Это по клиентскому почтовику. По корпоративному - письмо с security-announce прошло без проблем.

Везде ALTM22, drweb drweb-4.31.4-alt4, разве что postfix пересобран с поддержкой mysql.

В прошлом (когда клиентский почтовик был на sendmail - тоже drweb срабатывал, по крайней мере начиная с 4.28 версии)

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re: [Comm] Вопрос по drweb

[Krasavin Andrey]

On Tue, Jul 06, 2004 at 05:30:55PM +0400, Klimchev Konstantin wrote:
> 
> В прошлом (когда клиентский почтовик был на sendmail - тоже drweb срабатывал, по крайней мере начиная с 4.28 версии)
> 

Константин, а не подскажете все-таки как мне прочитать письмо в
infected?

---
WBR, Krasavin Andrey

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Tue, 6 Jul 2004 17:50:42 +0400
Krasavin Andrey <krasavin@kominet.ru> wrote:

> Константин, а не подскажете все-таки как мне прочитать письмо в
> infected?

cat /var/drweb/infected/drweb.quarantine.набор_букв_и_цифр

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re: [Comm] Вопрос по drweb

[Mike Lykov]

В сообщении от Вторник 06 Июль 2004 18:30 Klimchev Konstantin написал:

> хм.. если по "probably" проверил за период с 10.00 26-06 по сейчас.
> Зараженных чуть более 4600 из них с "probably" 3 (1 с security-announce)

то есть два "неизвестно-чего" (может, вовсе и не вирус, а приличный 
файл/письмо) из 4600, это 0,043%

стоит ли ради этих процентов подвергать письма риску быть ошибочно 
уничтоженными? 

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] Вопрос по drweb

[Klimchev Konstantin]

On Wed, 7 Jul 2004 09:12:06 +0500
Mike Lykov <combr@vesna.ru> wrote:

> то есть два "неизвестно-чего" (может, вовсе и не вирус, а приличный 
> файл/письмо) из 4600, это 0,043%
> 
> стоит ли ради этих процентов подвергать письма риску быть ошибочно 
> уничтоженными? 

да... умеете Вы посеять в душе сомнения :)

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

Re[2]: [Comm] Вопрос по drweb

[Evgeny Yugov]

Здравствуйте Klimchev,

Wednesday, July 7, 2004, 11:26:50 AM, you wrote:

KK> On Wed, 7 Jul 2004 09:12:06 +0500
KK> Mike Lykov <combr@vesna.ru> wrote:

>> то есть два "неизвестно-чего" (может, вовсе и не вирус, а приличный
>> файл/письмо) из 4600, это 0,043%
>> 
>> стоит ли ради этих процентов подвергать письма риску быть ошибочно 
>> уничтоженными? 

KK> да... умеете Вы посеять в душе сомнения :)
На самом деле все зависит от степени параноидальности...
Админ админу рознь :oD



-- 
With Best regards,
Evgeny Yugov,
MTS, programmer of Advanced Technologies Departament.
Registered Linux User #316667
mailto:yugov@scs-900.ru

Origin: Улыбайтесь, это всех раздражает.

Re: [Comm] Вопрос по drweb

[iLya Bryzgalow]

Tue, 6 Jul 2004 18:08:28 +0400 Klimchev Konstantin <koka@atvc.ru>
сообщил:

> On Tue, 6 Jul 2004 17:50:42 +0400
> Krasavin Andrey <krasavin@kominet.ru> wrote:
> 
> > Константин, а не подскажете все-таки как мне прочитать письмо в
> > infected?
> 
> cat /var/drweb/infected/drweb.quarantine.набор_букв_и_цифр
И вложение можно вытащить? Ага, щаззз.
Для работы с такими файлами я применяю костылик, который применял еще
для работы с файлами очереди sendmail, может есть правильней путь, не
знаю.
Добавить в начало файла строчку, что-нибудь типа:
>From MAILER-DAEMON Thu Jun 17 18:38:36 2004

Цыфры руля не играют, и файл можно открыть mutt -f филе.

> 
> -- 
> Best Regards, Konstantin Klimchev 
> (mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
> ATK-Internet ISP, Arkhangelsk, Russia

-- 
iLya Bryzgalow aka iLL          _/ _/     _/
Astronomy-Linux-Krasnodar-Russia  _/     _/
Linux User #301257            _/ _/     _/
JID://ill@jabber.org         _/ _/     _/
http://www.krumn.oilnet.ru  _/ _/     _/
ftp://ftp.krumn.oilnet.ru  _/ _/_/_/ _/_/_/
i don't smoke and wish you the same!
kernel-2.6.6-std26-up-alt6 ALT Linux Sisyphus (20040702)

Re: [Comm] Вопрос по drweb

[Krasavin Andrey]

On Thu, Jul 08, 2004 at 11:48:07AM +0400, iLya Bryzgalow wrote:

> Добавить в начало файла строчку, что-нибудь типа:
> >From MAILER-DAEMON Thu Jun 17 18:38:36 2004
> 
> Цыфры руля не играют, и файл можно открыть mutt -f филе.

Вот это мне и нужно было. Спасибо всем за помощь.

---
WBR, Krasavin Andrey