Gestion Des Archives Infectées .cab Organiser Le Nettoyage, Comment ?

Bonsoir,

C'est une bonne nouvelle, mais il y a un sérieux problème.

Le fichier d'origine détecté comme porteur du virus est "SPAC_EXtend1.cab" et il n'y a pas et jamais eu de fichier "SPAC_EXtend1Setup.exe" mais "setup.exe" qui n'est jamais apparu jusqu'à présent comme porteur de virus.

Pour complément d'enquête ci joint un lien vers un zip de "SPAC_EXtend1.cab" tout seul : http://ovh.to/AHakFHi Lien vers SPAC_EXtend1.cab.zip

J'ai des compléments mineurs à vous demander, nous verrons après.

Cordialement

Trebly

Bonjour,

Mea Culpa, sans incidence (fichier du lien OK), dans le dernier envoi j'avais écrit :

Le fichier d'origine détecté comme porteur du virus est "SPAC_EXtend1.cab" et il n'y a pas et jamais eu de fichier "SPAC_EXtend1Setup.exe" mais "setup.exe" qui n'est jamais apparu jusqu'à présent comme porteur de virus.

Pour complément d'enquête ci joint un lien vers un zip de "SPAC_EXtend1.cab" tout seul : http://ovh.to/AHakFHi Lien vers SPAC_EXtend1.cab.zip

J'aurais du écrire, Il fallait lire :

Le fichier d'origine détecté comme porteur du virus est "SPAC_EXtend1Setup.cab" et il n'y a pas et jamais eu de fichier "SPAC_EXtend1Setup.exe" mais "setup.exe" qui n'est jamais apparu jusqu'à présent comme porteur de virus.

Pour complément d'enquête ci joint un lien vers un zip de "SPAC_EXtend1Setup.cab" tout seul : http://ovh.to/AHakFHi Lien vers SPAC_EXtend1Setup.cab.zip

D'autre part, je savais à la lecture (à l'oeil) de la liste que c'était dans le SPAC_extend1setup.cab mais pas le nom du fichier composant concerné (setup.exe).

Je suis par ailleurs désolé mais je n'ai rien compris à votre explication concernant les noms de fichiers :

- rappel : il y a une fichier .cab concerné "vu infecté", son nom est "SPAC_extend1setup.cab". Ce .cab comprend lui-même une liste de fichiers (mais pas de setup.exe), on peut penser que c'est un élément du .cab qui est infecté. Lequel ?

Vous me donnez un extrait d'analyse à laquelle je n'ai pas accès. Je crois en pouvoir (je n'ai pas trouvé de doc) en comprendre le sens, mais il n'existe pas de fichier "SPAC_Extend1Setup.exe" dans le "SPAC_Extend1Setup.cab", alors comment lire ?

Spac_Extend1Setup\SPAC_Extend1Setup.CAB=>SPAC_Extend1Setup.exe" threatType="0" threatName="Gen:Variant.Graftor.10954"

J'ai écrit :

J'ai des compléments mineurs à vous demander, nous verrons après.

Parce que la question d'origine :

Gestion Des Archives Infectées .cab Organiser Le Nettoyage, Comment ?

reste presqu'entière, quoique le problème se pose pour une trentaine d'infections et non plus 150, en effet, le fait que l'infection se soit avérée un faux positif n'est que secondaire quant au fond, quoi qu'apportant une solution partielle en faisant donc disparaître de l'analyse une grande partie des infections (avec chance, presque par hasard).

Compléments mineurs parce que je pense qu'il s'agit probablement d'un problème de manip, quoique je n'ai pas trouvé dans mes écrans toutes les commandes que vous m'indiquez et qui sont dans la doc :

Pour la doc "Journal d'analyse", la doc dit :

1. Ouvrez la fenêtre de la Bitdefender.
2. Cliquez sur le bouton Événements de la barre d'outils supérieure.
3. Dans la fenêtre Aperçu des événements, sélectionnez Antivirus.
4. Dans la fenêtre Événements Antivirus, sélectionnez l'onglet Analyse. Cette section vous permet de trouver tous les événements d'analyse antimalware, y compris les menaces détectées par l'analyse à l'accès, les analyses lancées par un utilisateur et les modifications d'état pour les analyses automatiques.
5. Dans la liste des événements, vous pouvez consulter les analyses ayant été réalisées récemment.Cliquez sur un événement pour afficher des informations à son sujet.
6. Pour ouvrir le journal d’analyse, cliquez sur Journal.

L'écran en copie jointe ne comprend pas la commande "Journal" !!!

Voici mes questions

(qui n'ont rien à voir avec le faux positif en soi, faux positif qui n'est pas non plus à l'origine du problème posé, sauf quant au nombre d'infection détectées) :

• 
  En réponse à ma question :

  
  

  - par ailleurs je n'ai pas trouvé comment copier (presse papier) le nom (complet) d'un (pas "de") fichier en quarantaine ce qui pose 2 problèmes ...

  
  Vous ne me répondez pas du tout.

  
  (En effet le nom s'affiche dans une boite pop, et n'est pas copiable, si l'on a besoin de faire une liste pour vérification, il faut, seule solution faible que j'ai trouvée :

  
  

  1. d'abord - cf. fichier joint 2 - faire à la volée une copie d'écran,
  2. puis afficher dans un éditeur d'image et sélectionner la zone,
  3. puis sauvegarder sous forme de fichier d'image
  4. puis saisir à la main et sans erreur le contenu de l'image capturée...

simplissime et "peu coûteux" en temps, mais seule solution fiable. Merci de votre confirmation

- comment établir la liste des fichiers restaurés ou de la quarantaine. Je n'ai pas trouvé dans la doc comment accéder à la liste.

Vous me dites, en résumé :

• il est impossible avec BD d'établir la liste des fichiers de la quarantaine, ni de récupérer leur nom par copier-coller.
• impossible avec BD de savoir quels fichiers ont restaurés sans recopier à la main dans une liste manuelle les noms apparaissant à l'écran.

Il semble qu'une restauration de fichier estimé infecté soit un non évènement

Pour gérer correctement cette infection, s'il ne s'était pas agit d'un faux positif, j'aurais donc eu comme pensum de recopier à la main environ 12000 caractères (soit 6 pages pleines) constituant des noms de fichier, et de créer un fichier de suivi dans lequel j'aurai noté les événements les concernant. D'accord ?

Vous me dites

Dans les évènements (puis dans Antivirus), vous avez normalement accès à tout l'historique concernant les actions entreprises par l'antivirus, en protection ou en analyse.

• Que veut dire "normalement accès" ?
• Dans aucune aide, je n'ai trouvé de description de la nature des élément constituant "tout l'historique". Est-ce décrit ?, si ce n'est pas le cas je ne saurai pas ce qu'est "tout", sauf ce que j'y vois.
• ? Je n'ai trouvé aucun élément concernant les actions entreprises, où sont-ils ?

Oui j'ai vu la liste laconique (scrollable uniquement avec la molette de la souris) et on obtient seulement par click sur un élément un affichage (en gris) en pied de liste d'un détail donnant le nom du fichier à l'origine de l'évènement (pas le composant dans le cas du .cab - en l'occurence le fichier setup.exe) .

Mais, ne serait-ce que ce nom de fichier principal (le .cab), cet affichage ne le donne uniquement qu'en lecture à l'oeil ce qui, à ce stade (d'accès au données) nécessite la re-saisie complète du nom si on veut l'introduire dans le nom de fichier dans un fichier texte (batch) et/ou simplement s'en servir pour le coller en liste d'exclusion d'analyse.

Existe-t-il une liste sous forme de fichier accessible avec au moins une fonction copier-coller ?

Le mieux serait évidemment un fichier dans un format classique ("délimité" par exemple) permettant l'intégration du contenu dans un traitement automatisé.

Vous pouvez voir quel élément est infecté dans ce cab en consultant le journal d'analyse.

- Ça je n'ai absolument pas vu comment on pouvait avoir "accès" à ce fichier (c'est dans mon language "ouvrir le fichier avec un format et pouvoir l'inclure dans un traitement" (à la limite sélectionnner dans une liste - une "grid" - et obtenir une liste copiable par copier-coller).

Oui, ma question de base est (était), ou plutot "pouvait se décomposer" en :

• - comment garder trace des infections et des solutions pour le cas de ce qui n'est pas traité de manière automatique
• - comment gérer la liste des fichiers restaurés et/ou de la quarantaine.
• - comment accéder aux données concernant les événements (en vue de les gérer).

Je n'ai pas trouvé dans la doc ni par nos échanges, comment accéder aux données des listes, il semble bien que la seule solution soit la mémoire visuelle ? ou des captures d'écran suivies des recopies à la main pour (re)constitution d'un vrai fichier des gestion.

Outre le pensum gigantesque, totalement infaisable économiquement, les risques d'erreur de frappe (sans contrôle autre que visuel) sont considérables.

Dans le cas d'une infection de même nature répétée de très nombreuses fois dans des fichiers compressés, la question principale non résolue et que je reste à me poser est "comment procéder" de manière efficace et fiable pour exécuter la bonne et seule procédure qui me semble possible, à savoir :

1. décompresser le fichier compressé (sans risque de propager le virus)
2. identifier l'élément porteur du virus : combiner l'analyse du fichier compressé et la liste des fichiers individuels ainsi que leur analyse
3. retrouver le composant sain
4. replacer les éléments en quarantaine à leur emplacement d'origine et établir leur liste pour lecture par un batch
5. avec le gestionnnaire de .cab (i.e. 7_Zip) détruire (batch) le composant porteur du virus (on suppose que c'est toujours le même)
6. avec le gestionnnaire de .cab (i.e. 7_Zip) ajouter (batch) à la liste l'élément correct

En conclusion :

au minimum, on doit considérer :

• qu'il y a une anomalie ou incohérence : "absence d'accès au fichier journal" dans la version du produit que j'ai
• qu'il y un problème de conception du produit ou une limitation qui rend impossible dans tous les cas la copie (texte copier) des noms de fichier apparaissant dans des listes dans tout l'interface.

  
  Ce fait rend l'outil BD très difficilement utilisable dès que le nombre de fichiers gérés devient un tant soit peu important (au delà d'un usage domestique très limité).

J'espère être passé à coté de quelque chose ou bien qu'il y a une anomalie sur mon installation.

Cordialement

Trebly

Bonjour,

Première question très existentielle, posée précédemment :

- Est-il possible avec BD à partir d'une liste quelqconque affichée par BD de copier pour copier (en vue de coller) :

• Les noms de fichiers apparaissant comme infectés
• Les noms de fichiers mis en quarantaine

Merci de me répondre à cette question "existentielle"

Trebly

Bonsoir,

1- Logs au format XML

Le format XML me va très bien. Je n'ai pas encore été voir le contenu. Est-il décrit quelque part.

Je devrai trouver je pense, dans le XML de log,

les noms de fichiers pour lesquels un infection a été détectée

la nature du traitement appliqué

le type d'infection

Donc globalement toutes données figurant dans la liste donnée dans l'interface.

Evidemment si ces données me semblaient codées ou non interprétables je me retournerai à nouveau vers vous sur ce sujet.

2- Fichiers en quarantaine

Vous me confirmez donc qu'il est impossible d'une manière quelconque autre qu'en recopiant (des dizaines d"heures de travail) les écrans et e, refaisant saisir et vérifier (comme

Bonsoir,

Bien sur, merci Yann, même si nous avons eu du mal a nous comprendre, et qu'il reste et restera des questions en suspend.

Pour conclure je voudrais tout de même répondre à vos derniers éléments de réponse.

1- Vous me dites :

Mais je pense que vous oubliez une chose, c'est cet antivirus est un antivirus destiné aux particuliers.

C'est faux, la présentation du produit indique "particuliers" "indépendants et petites entreprises" en distinguant deux catégories de "client" et de "produit" en les distinguant des "grandes entreprises".

Si je demandais des fonctions complémentaires, je comprendrais votre réaction, mais ce n'est pas le cas.

Tout le problème repose in fine, comme je l'explique, sur la capacité à copier le contenu affiché.

En effet la capacité de copier les informations affichées dans le presse papier est quasi générale, c'est l'impossibilité qui est l'exception. Il s'agit d'un seul paramètre Y/N pour l'affichage d'un texte.

Ayant eu la responsabilité de développements importants, je considère qu'il s'agit d'une "incongruité", d'une négligence lourde de conséquences.

Ma position n'est pas par principe de râler, mais au contraire de tenir des propos constructifs. Sur ce point c'est un défaut très gênant et je le signale.

2- Vous me dites

Et je ne pense pas que vous ayez eu 120 faux positifs en même temps, à la même seconde ? Avec l'analyse à l'accès ? Non je ne pense, car cela voudrait dire que vous avez tenter d'ouvrir ces 120 fichiers en quelques minutes !

Non, j'ai bien précisé que j'avais lancé une analyse générale "manuelle" "à la demande" (du "système") et qu'elle avait duré 3 jours...

Le morceau de soft "Spac_extend1" fait partie de plusieurs applications (du VB ****** pour MS Office) et comme j'ai précisé à été maintenu depuis 8 ans. Il y a donc de nombreuses archives (mes disques d'archives étaient en ligne lors de l'analyse) et une douzaine de versions... ce qui explique les 120 détections.

Considérées comme une menace toutes les occurrences ont été mises en quarantaine.

3- Vous me dites

Donc vous pouvez les traiter un par un, tout simplement, quand l'alerte survient. Ou si les détections ont eu lieu depuis l'analyse à la demande, consulter le rapport !

Malheureusement je n'ai jamais vu écrit le mot "Rapport" et c'est bien ce que je demande, comment suivant un journal d'analyse est-ce que je peux consulter les "RAPPORTS".

4- Vous me dites

Si vous avez le même fichier à 120 endroits ou fichiers archives différents, il est normal qu'il se répète et vous avez le détail de la détection dans le rapport d'analyse, il est donc facile de voir qu'il s'agit du même fichier en définitive.

Eh! bien non, comme je l'ai précisé dès le départ, il y a 120 emplacement, un même nom de fichier (comme un fichier système Windows, ce sont des fichiers - dll, ocx, drivers d'extension diverses etc.. à placer dans un répertoire système) mais différentes versions. Le problème est donc de restaurer au bon endroit chaque fichier sinon les applications ne peuvent plus tourner. En définitive c'est le même nom mais pas le même fichier.

5- Vous me dites

Et je le répète, si c'est pendant une analyse qu'il y a ces faux positifs, vous avez le rapport d'analyse à la fin qui est disponible dans lequel vous pouvez avoir la liste de toutes les détections, vous pouvez en copier les résultats !

C'est la question que je pose depuis le début et à laquelle, personne ne m'a donné de réponse.

• Où se trouve la liste des journaux ?
• Comment accède-t-on à ces journaux (hors log xml) ?

Si vous appelez journal, la liste des événements (cf ma copie d'écran, jointe précédemment), là malheuresuement les résultats ne sont pas copiables.

Pour les log xml je demande une explication des codes utilisés, ceci pour pouvoir les interpréter, et malheureusement je n'ai pas de réponse. Pas nécessairement de votre part, mais ces logs étant fort intéressants quand on se pose des problème de gestion de sécurité.

6- Vous me dites

Pour le reste, je pense qu'il n'est pas utile de continuer cette discussion plus longtemps sur le produit, il ne correspondra jamais parfaitement à tout ce que vous souhaitez. Jamais une interface ou une ergonomie ne pourra satisfaire tous les clients, car ils n'ont pas les mêmes usages et les mêmes besoins. Un antivirus est conçu pour le plus grand nombre, il se veut le plus simple possible. Et cette version est destinée aux particuliers.

il ne correspondra jamais parfaitement à tout ce que vous souhaitez

Tout c'est quoi ?

Et c'est tout.

Jamais une interface ou une ergonomie ne pourra satisfaire tous les clients, car ils n'ont pas les mêmes usages et les mêmes besoins.

Oui, c'est toujours la bonne excuse pour ne pas reconnaître des défauts évidents. En l'occurence "tous", imaginez Windows sans que l'on puisse avoir accès (copier-coller) aux noms de fichiers... C'est vrai il y a des gens qui n'ont jamais ouvert l'explorateur Windows.

Il est vrai aussi que Android ne dispose pas de fonction copier-coller qui fonctionne dans à peu près tous les contextes.

Bien sur que la fonction copier coller est essentielle dans presque tous les interfaces qui manipulent des noms de fichier, des identifiants en général, des données, des noms de fichiers...

Les produits ne permettent pas d'accéder facilement aux bases de données, et les éditeurs considèrent les plus souvent que les utilisateurs pourront manipuler avec copier-coller. Dans le cas de Windows, les utilisateurs avertis peuvent toujours utiliser le mode commande et des batch pour générer des listes de fichiers et bien plus, et les traiter ensuite par batch ou par programme ou simplement avec un tableur.

Un antivirus est conçu pour le plus grand nombre, il se veut le plus simple possible.

Malheureusement permettre de copier-coller seule vraie question ne complique en rien l'interface.

<quote> Et cette version est destinée aux particuliers.</quote>

C'est comme je vous l'ai dit plus haut une contre-vérité.

Sinon Bitdefender est un produit pour particulier ayant des données très simple ou pour de grandes entreprise et n'est jamais destiné à des professions indépendantes, des développeurs open source, des petites entreprises...

Merci de me le faire confirmer officiellement par BitDefender, cela me permettra de déconseiller le produit à mes clients sans me faire taxer d'impartialité.

7- Vous me dites

<quote> Dans le fichier que vous avez envoyé, SPAC_Extend1Setup.cab, un fichier nommé SPAC_Extend1Setup.exe a été détecté. C'est le faux positif.</quote>

Je pensais que "SPAC_Extend1Setup.exe" n'avais jamais existé. Il n'aurait jamais du être dans le .cab et ne figure pas dans les dernières versions. Mea culpa, je ne l'avais pas vu. Ce fichier est une version dérivée du programme Setup.exe de Microsoft Visual Studio 2003, son rôle étant de décompresser le .cab et d'appliquer les setup.

J'avais vérifié, mais, par erreur de manipulation, pas sur la version que je vous avais fait parvenir. C'est en re-décompressant les fichiers téléchargés .cab que je l'ai vu... apparaître. Vraiment désolé.

La mise à jour du faux positif a restauré les fichiers et les a supprimés de la liste. Mais je me demande, que serait-il advenu si le disque d'archives n'avait pas été joignable... ?

Conclusion

Je ne veux pas être un donneur de leçon, et je suis simplement quelqu'un dont le métier a été et reste (je développe de l'open source) l'amélioration des IHM (interface homme machine) et de faire la chasse aux anomalies d'ergonomie.

Déformation professionnelle, peut-être, mais quand je vois des problèmes que je n'aurais pas toléré dans mes équipes, je cherche à faire comprendre, dans un but d'amélioration, les anomalies ou difficultés constatées et de proposer des solutions.

Désolé mais lors des dernières manips de contrôle je tombe encore sur deux problèmes :

• Les faux positifs ont été restaurés, les fichiers disparus de la quarantaine, mais les événements demeurent... et ne sont pas marqués "corrigé".
• Les fichiers restent marqués comme étant en quarantaine et le bouton "restaurer" est actif... je n'ose faire le test.

Alors comment pensez-vous que l'on puisse, après l'analyse lancée manuellement de plus de 10 ans d'archives, dans ces conditions, organiser le nettoyage qui évidemment va prendre un certain temps et s'étaler sur une durée qui peut être longue. Ça ne se fait pas au fur et à mesure. Il faut bien gérer une liste et noter au fur et à mesure les traitements et solutions adoptées.

Cette dernière remarque entre, entre parenthèse, complètement dans la question posée au départ "Gestion Des Archives Infectées .cab Organiser Le Nettoyage, Comment ?"

Enfin se déplacer dans la liste d'événements est une vraie galère :

• Les flèches haut-bas sont inactives, il faut se servir de la molette de la souris
• La molette de la souris ne fait que déplacer la liste, sans changer d'objet pointé
• Pour pointer un objet et donc visualiser l'information utile, le seul moyen est de clicker dessus

Je suis désolé mais c'est ni fait ni à faire et un ingénieur m'aurait produit un travail pareil en alpha il aurait pris la porte.

C'est indéfendable.

Merci des efforts que vous avez fait pour m'aider, il y avait malheureusement un problème de communication et de positionnement reciproque par rapport aux questions posées qui avaient toujours deux aspects :

• comment faire dans le principe,
• comment faire dans le cas particulier

Subsidiairement pour trouver des solutions, comment pourrait-on-faire ?, comment devrait-on faire ?

Cordialement

Trebly

Bon, j'ai trop de blocs

mais combien...il y a une limite je ne savais pas, comme elle ne m'est pas donnée, je ne vais pas chercher à tatons. Ça restera comme ça... STOOOOP. Zutt il faut les supprimer pour pouvoir poster

J'ai payé pour encore 642 jours sur 5 postes...