http://www.heise.de/security/news/meldung/52162 + http://www.av-test.org/index.php3?lang=de + http://www.heise.de/security/artikel/52139/0

Virenscanner übersehen Schädlinge

heise Security hat zusammen mit AV-Test 18 Virenscanner unter die Lupe genommen und überprüft, ob sie Schädlinge in Alternate Data Streams unter Windows entdecken. Von insgesamt 18 getesteten Produkten versagten Norton Antivirus 2004, Trend Internet Security, BitDefender, F-Prot für Windows und Ikarus Virus Utilities gänzlich. Acht fanden immerhin beim Zugriff des Anwenders auf eine mit einem Stream behaftete Datei den enthaltenen Virus. Nur fünf Scanner erkannten die Schädlinge in allen Disziplinen auf Anhieb.

Wie üblich erfolgte der Test teilweise mit deutlich veralteten Versionen.

Hmm stimmt, NAV 2005 hab ich schon einige Tage... Hoffentlich haben die wenigstens Online-Updates gemacht, aber das ist ihnen wohl zuzutrauen. Dann wärs ja wohl ziemlich egal oder? Dann wird wohl der vollständige Test im nächsten Heft kommen. Nur ADS sagt ja auch nicht all zu viel aus.

Und was sagt die Obrigkeit zu dieser Meldung:

Virenscanner schlampen bei Zip-Archiven


Die Antivirus-Produkte von McAfee, Computer Associates, Kaspersky, Sophos, Eset und RAV übersehen womöglich Schädlinge in Zip-Archiven, wenn diese zuvor entsprechend präpariert wurden. Wie das Sicherheitsunternehmen iDefense herausgefunden hat, genügt eine kleine Manipulation der Header-Daten eines Zip-Archivs, um die Virenscanner zu umgehen: Die Größe der unkomprimierten Dateien ist jeweils im lokalen Header und globalen Header eines Zip-Archivs verzeichnet. Diese Größe kann jedoch nachträglich auf Null gesetzt werden, ohne dass die Daten dabei beschädigt werden. Solche mit Dateigröße 0 ausgezeichneten Dateien lassen sich laut iDefense mit den Standard Zip-Werkzeugen noch auspacken, aber werden von den Virenscannern nicht auf Schädlinge geprüft.

Die meisten betroffenen Hersteller haben bereits reagiert beziehungsweise stellen schon aktualisierte Versionen zur Verfügung, die das Problem beheben. McAfee adressiert das Problem über die Virensignaturen: Nach Einspielen der aktuellsten Signaturdateien gibt der McAfee-Scanner eine Warnung aus, wenn er auf so präparierte Zip-Archive stößt. Auch Computer Associates stellt seinen Kunden Updates zur Verfügung, die das Problem beheben. Nutzer des Eset-Scanner sollen über das automatische Update das Problem lösen können. Kaspersky will das Problem mit dem nächsten Programm-Update beheben. Von Sophos und RAV erhielt iDefense keine Stellungnahme.

Quelle: http://www.heise.de/security/news/meldung/52286