Wenn Sie auf der Seite "Comodo Valkyrie" auf den Link "Static Analysis" für die Datei klicken, werden Sie feststellen, dass einer der Gründe für das Kennzeichnen der Datei darin lag, dass "TLS-Callback-Funktionsarray erkannt wurde". Es kann ein legitimer Grund für die Aufnahme dieses Codes in die ausführbare Datei sein, die Sie auf die Website hochgeladen haben. TLS-Callback-Code kann jedoch von Malware-Entwicklern verwendet werden, um die Analyse ihres Codes durch Antivirus-Forscher zu verhindern, indem der Debugging-Prozess verstärkt wird schwer. ZB von Debugger mit TLS-Callback erkennen :
TLS-Callback ist eine Funktion, die aufgerufen wird, bevor der Prozesseinstiegspunkt ausgeführt wird. Wenn Sie die ausführbare Datei mit einem Debugger ausführen, wird der TLS-Callback ausgeführt, bevor der Debugger bricht. Dies bedeutet, dass Sie Anti-Debugging-Prüfungen durchführen können, bevor der Debugger etwas unternehmen kann. Daher ist TLS Callback ein sehr leistungsfähiges Anti-Debugging-Verfahren.
TLS Callbacks in the Wild beschreibt ein Beispiel für Malware, die diese Technik verwendet.
Lenovo hat einen schlechten Ruf in Bezug auf die mit seinen Systemen vertriebene Software. ZB aus dem Ars Technica-Artikel vom 15. Februar 2015 Lenovo PCs werden mit einer Man-in-the-Middle-Adware geliefert, die HTTPS-Verbindungen unterbricht :
Lenovo verkauft Computer, die mit Adware vorinstalliert sind, die verschlüsselte Websitzungen entführt und möglicherweise Benutzer für HTTPS-Man-in-the-Middle-Angriffe anfällig macht, die für Angreifer unbedeutend sind, so die Sicherheitsforscher.
Die kritische Bedrohung ist auf Lenovo PCs vorhanden, auf denen Adware von einer Firma namens Superfish installiert ist. So unhöflich wie viele Menschen Software finden, die Anzeigen in Webseiten einblendet, ist das Superfish-Paket etwas schändlicher. Es installiert ein selbstsigniertes HTTPS-Stammzertifikat, das den verschlüsselten Verkehr für jede Website abfangen kann, die ein Benutzer besucht. Wenn ein Benutzer eine HTTPS-Site besucht, wird das Sitezertifikat von Superfish signiert und kontrolliert und stellt sich fälschlicherweise als offizielles Websitezertifikat dar.
Ein Man-in-the-Middle-Angriff vereitelt den Schutz, den Sie sonst erhalten würden, wenn Sie eine Website mit HTTPS statt mit HTTP aufrufen. Dadurch kann die Software den gesamten Web-Traffic ausnutzen, auch den Traffic zwischen dem Benutzer und Finanzinstituten wie Banken.
Als die Forscher die Superfish-Software auf Lenovo-Maschinen gefunden hatten, behauptete Lenovo zunächst: "Wir haben diese Technologie gründlich untersucht und finden keine Beweise, um Sicherheitsbedenken zu belegen." Das Unternehmen musste diese Aussage jedoch zurückziehen, als Sicherheitsforscher enthüllten, wie die Superfish-Software Lenovo-Systeme für die Beeinträchtigung von Missverständnissen geöffnet hat.
Als Antwort auf dieses Debakel erklärte der Chief Technical Officer (CTO) von Lenovo, Peter Hortensius,: "Was ich heute dazu sagen kann, ist, dass wir eine breite Palette von Optionen untersuchen, die Folgendes umfassen: Erstellen eines saubereren PC-Images (Betriebssystem und Betriebssystem) Software, die sich sofort auf Ihrem Gerät befindet)) "Möglicherweise wurde diese Option verworfen. Siehe zum Beispiel den September 2015-Artikel Lenovo Caught (3. Mal): Vorinstallierte Spyware, die von Swati Khandelwal, einem Sicherheitsanalytiker von The Hacker News, in Lenovo Laptops gefunden wurde und die Software "Lenovo Customer Feedback Program 64" beschreibt, die Sie gefunden haben dein System.
Update :
Im Hinblick auf die rechtmäßige Verwendung von TLS-Callbacks (Thread Local Storage) gibt es eine Diskussions-TLS im Wikipedia- Thread Local StorageArtikel. Ich weiß nicht, wie oft Programmierer es für legitime Zwecke verwenden. Ich habe nur eine Person gefunden, die seinen legitimen Gebrauch für die Fähigkeit erwähnt. Alle anderen Hinweise darauf, die ich gefunden habe, waren die Verwendung von Malware. Dies kann jedoch einfach darauf zurückzuführen sein, dass die Verwendung von Malware-Entwicklern wahrscheinlicher ist, als dass Programmierer über ihre rechtmäßige Verwendung schreiben. Ich denke nicht, dass seine Verwendung allein ein schlüssiger Beweis dafür ist, dass Lenovo versucht, Funktionen in der Software zu verbergen, die seine Benutzer wahrscheinlich als alarmierend empfinden würden, wenn sie alles über die Software wissen würden. Aber angesichts der bekannten Vorgehensweisen von Lenovo nicht nur bei Superfish, sondern auch bei der Verwendung der Windows Platform Binary Table (WPBT) für die "Lenovo System Engine". Lenovo hat die Windows-Anti-Diebstahl-Funktion verwendet, um persistente Crapware zu installieren . Ich denke, es besteht Grund, etwas vorsichtig zu sein, und es ist weitaus unwahrscheinlicher, dass Lenovo von dem Zweifel profitiert wird, als dies bei anderen Unternehmen der Fall ist .
Leider gibt es viele Unternehmen, die versuchen, mehr Geld mit ihren Kunden zu verdienen, indem sie Kundendaten verkaufen oder "Zugang" zu ihren Kunden an andere "Partner" erhalten. Und manchmal geschieht dies über Adware, was nicht unbedingt bedeutet, dass das Unternehmen diesen "Partnern" personenbezogene Daten zur Verfügung stellt. Manchmal möchte ein Unternehmen Informationen über das Verhalten seiner Kunden sammeln, um Vermarktern mehr Informationen über die Art des Kunden zur Verfügung zu stellen, die das Unternehmen wahrscheinlich anzieht, als Informationen, die eine Person identifizieren.
Wenn ich eine Datei in VirusTotal hochlade und nur ein oder zwei der vielen Antivirenprogramme finde, die zum Scannen hochgeladener Dateien verwendet werden, die die Datei als Malware enthalten, betrachte ich diese häufig als falsch positive Berichte, wenn der Code offensichtlich schon vorhanden war Irgendwann, zum Beispiel wenn VirusTotal berichtet, dass die Datei zuvor vor einem Jahr gescannt wurde, und ich habe ansonsten keinen Grund, dem Softwareentwickler zu misstrauen und im Gegenteil einen Grund, dem Entwickler zu vertrauen, z. B. aufgrund eines langjährigen guten Rufs. Lenovo hat jedoch seinen Ruf bereits getrübt, und 12 von 53 Antivirenprogrammen, die die hochgeladene Datei kennzeichnen, liegen bei 23%, was ich als beunruhigend hohen Prozentsatz empfinde.
Da die meisten Hersteller von Antivirenprogrammen in der Regel nur wenig oder gar keine spezifischen Informationen dazu bereitstellen, was dazu führt, dass eine Datei als bestimmte Art von Malware gekennzeichnet wird und was genau eine bestimmte Malware-Beschreibung in ihrer Funktionsweise bedeutet, ist es oft schwierig, genau zu ermitteln, was genau ist Sie müssen sich Sorgen machen, wenn Sie eine bestimmte Beschreibung sehen. In diesem Fall könnte es sogar sein, dass die meisten von ihnen einen TLS-Callback sehen und die Datei nur auf dieser Basis kennzeichnen. Das heißt, es ist möglich, dass alle 12 auf derselben falschen Grundlage einen falsch positiven Anspruch erheben. Und manchmal haben verschiedene Produkte die gleichen Signaturen, um Malware zu identifizieren, und diese Signatur kann auch in einem legitimen Programm vorkommen.
Was das Ergebnis "W32 / OnlineGames.HI.gen! Eldorado" anbelangt, das von einigen Programmen auf VirusTotal gemeldet wird, die einen ähnlichen Namen wie PWS haben: Win32 / OnLineGames.gen! Bohne spezifische Informationen darüber, was zu der Schlussfolgerung geführt hat, dass die Datei mit W32 / OnlineGames.HI.gen! Eldorado verknüpft ist und welches Verhalten mit W32 / OnlineGames.HI.gen! Eldorado zusammenhängt, dh welche Registrierungsschlüssel und -dateien zu erwarten sind Um herauszufinden, wie sich Software mit dieser bestimmten Beschreibung verhält, würde ich nicht den Schluss ziehen, dass die Software Spielberechtigungen stiehlt. Ohne weitere Beweise halte ich das für unwahrscheinlich. Unglücklicherweise sind viele der Malware-Beschreibungen, die Sie sehen, nur ähnlich benannte generische Beschreibungen, die bei der Bestimmung, wie besorgt Sie sein sollten, wenn diese Beschreibung an eine Datei angehängt wird, wenig Wert haben. "W32" wird oft von einigen Antiviren-Herstellern an den Anfang vieler Namen angehängt. Die Tatsache, dass sie das teilen und "OnlineGames" und "Gen" für "Generic"
Ich würde die Software entfernen, da ich davon ausgehen würde, dass sie Systemressourcen ohne Nutzen für mich nutzt. Wenn Sie Online-Spiele spielen, können Sie Ihre Kennwörter vorsichtshalber zurücksetzen, obwohl ich bezweifle, dass die Lenovo-Software Online-Anmeldeinformationen gestohlen hat oder führt Tastatureingaben auf. Lenovo genießt keinen hervorragenden Ruf für die Software, die sie auf ihren Systemen enthalten, aber ich habe keine Berichte darüber erhalten, dass sie Software vertrieben haben, die auf diese Weise funktionieren würde. Der periodische Verlust der Netzwerkverbindung kann sogar außerhalb Ihres PCs liegen. Wenn z. B. andere Systeme am selben Standort in regelmäßigen Abständen einen Verbindungsverlust erleiden, könnte ich davon ausgehen, dass ein Router ein Problem aufweist.