1 Тема от contra017

  • contra017
  • Участник
  • Неактивен

Тема: VBS: Скачивание и запуск файла = троян?

Есть скрип на скачивание файла и открытие. На скрипт ругается антивирус. Ругается на слово "Run" в синтаксисе WshShell.Run Помогите альтернативно отредактировать скрипт, что бы он выполнял свою функцию не возбуждая антивирус.

Set oXMLHTTP = CreateObject("MSXML2.XMLHTTP")
oXMLHTTP.Open "GET", "http://rarlab.com/rar/wrar500ru.exe", 0
oXMLHTTP.Send
Set oADOStream = CreateObject("ADODB.Stream")
oADOStream.Mode = 3
oADOStream.Type = 1
oADOStream.Open
oADOStream.Write oXMLHTTP.responseBody
oADOStream.SaveToFile "C:\wrar500ru.exe", 2
dim path, WshShell
path = "C:\"
set WshShell = WScript.CreateObject("Wscript.Shell")
WshShell.Run path & "wrar500ru.exe", ,true

2 Ответ от omegastripes

  • omegastripes
  • Разработчик
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

Execute "CreateObject(""Wscript.Shell"")" & ".R" & "un """ & path & "wrar500ru.exe"", , true"

:D

Щт Уккщк Куыгьу Туче
’ҐЄгй п Є®¤®ў п бва Ёж : 1251

3 Ответ от JSmаn

  • JSmаn
  • Разработчик
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

Вообще, антивири срабатывают не только на известные сигнатуры файлов, но и на поведение программы. Вот шаблон поведения «скачал и запустил» обычно распознается как "DROPPER" или "DOWNLOADER". Как бы тоже имейте в виду:).

4 Ответ от alexii

  • alexii
  • Разработчик
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

Ругается на слово "Run" в синтаксисе WshShell.Run

Каким именно образом Вы сие определили? Ибо это типичная реакция как раз на связку «ADODB.Stream»+ «.SaveToFile "*.exe"».

5 Ответ от contra017

  • contra017
  • Участник
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

alexii пишет:

Каким именно образом Вы сие определили? Ибо это типичная реакция как раз на связку «ADODB.Stream»+ «.SaveToFile "*.exe"».

Методом проб и ошибок. Вы правы антивирус срабатывает на поведение скрипта "скачать + запустить".  Что можно сделать?

6 Ответ от alexii

  • alexii
  • Разработчик
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

«Объяснить» антивирусу, что данный конкретный файл по данному конкретному пути не является вирусом.

7 Ответ от contra017

  • contra017
  • Участник
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

alexii пишет:

«Объяснить» антивирусу, что данный конкретный файл по данному конкретному пути не является вирусом.

Скрипт создавался для автоматизации процесса закачки - запуска. Если бы скрипт нужно было запустить на одном компьютере то конечно было бы легче прописать исключения антивирусу. Но скрипт планируется запускать на других компьютерах и на каждом нет возможности прописывать исключения антвирусам.

8 Ответ от Serge Yolkin

  • Serge Yolkin
  • Разработчик
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

Попробуйте разбить скрипт на два (второй запускать из первого) - на каком-то из бесплатных антивирей пркатывало... А вообще, если антивирь заточен на "не давать скачать и запустить", но это можно обойти скриптовыми технологиями, - значит его автор не кто иной, как В.Пупкин.

9 Ответ от contra017

  • contra017
  • Участник
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

Serge Yolkin пишет:

А вообще, если антивирь заточен на "не давать скачать и запустить", но это можно обойти скриптовыми технологиями, - значит его автор не кто иной, как В.Пупкин.

Значит я нарядил все создателей антивирусов в В. Пупкиных Скрин с virustotal.com:
http://s020.radikal.ru/i718/1405/d3/6e2ccc5414c5.jpg

10 Ответ от alexii

  • alexii
  • Разработчик
  • Неактивен

Re: VBS: Скачивание и запуск файла = троян?

contra017, в данном случае работает т.н. поведенческий анализ, и искать его результаты на VirusTotal зачастую бессмысленно.

11 Ответ от AlexF (изменено: AlexF, 2014-06-07 20:53:08)

  • AlexF
  • Гость

Re: VBS: Скачивание и запуск файла = троян?

Set oADOStream = CreateObject("ADODB.Stream")

помогала замена на

Set oADOStream = CreateObject("ADODB" & ".Stream")

А, да, не заметил выше подобный прием предложен