RegScanner reconnu comme malware par Antivir

[Invité Aqu@rius]

Bonsoir à toutes et à tous

 

J'utilise un petit programme (freeware) du nom de RegScanner (version 1.65) depuis quelques semaines maintenant et je le trouve très pratique en ce sens qu'il permet d'effectuer des recherches dans la base de registre de Windows (à l'instar d'ailleurs de la touche F3 dans Regedit ) en affichant dans une seule fenêtre TOUTES les occurences recherchées. Ce qui évite d'appuyer sur F3 à chaque fois , de plus, il est possible de créer un fichier .reg de toutes les occurences trouvées afin de les supprimer en une seule fois . Cela fait gagner du temps

 

Le problème est que j'ai effectué aujourd'hui une analyse complète de mon poste de travail par Avira Antivir Premium 8 et celui-ci me détecte RegScanner comme un malware. J'ai été surpris dans un premier temps puisque l'auteur de ce petit soft (Nir Sofer : NirSoft ) ainsi que ses nombreux autres programmes (tous des gratuitiels) sont très souvent recommandés par de nombreux sites informatiques.

J'ai été d'autant plus surpris que lors de la dernière analyse complète de mon PC qui date d'une semaine environ, antivir n'avait rien trouvé. J'ai aussitôt pensé à un faux-positif et j'ai donc envoyé le dit-fichier au support d'Avira qui m'a répondu ceci :

 

The file 'RegScanner.exe' has been determined to be 'MALWARE'. Our analysts named the threat SPR/PSW.ProductKey.O. The term "SPR/" ("Security or Privacy Risk") denotes a program that might possibly be able to affect the security of your system, might trigger activities you might not want or might violate your privacy.Detection is added to our virus definition file (VDF) starting with version 7.00.04.26.

 

Ce qui confirme qu'il ne s'agirait effectivement pas d'un faux-positif.

Un peu sceptique, j'ai fait analysé le fichier par VirusTotal et Online malware Scan et résultats: 7/32 pour le premier et 5/20 pour le second.

Il y aurait donc quelque chose de louche finalement... Je reste circonspect néanmoins , surtout que NOD32 qui est tout de même une référence en matière d'anti-virus ne détecte rien.

 

Je ne sais pas quoi faire, le fichier est en quarantaine mais cela m'embête car je me sers très souvent de RegScanner pour rechercher des reliquats de clés des programmes que je désinstalle. Oui je sais , je teste beaucoup

Même s'il n'est pas reconnu comme virus, il reste potentiellement dommageable en tant que "spyware". Pensez-vous qu'il puisse s'agir d'un excès de zèle de la part d'Antivir et quelques uns de ses confrères ?

 

Merci d'avance aux experts en sécurité de de ce forum qui voudront bien se pencher sur ma requête.

Cordialement

Aqu@rius

 

P.S Je précise que d'après les dires du support Avira, seule la version Premium d'Antivir (avec donc l'analyse anti-spyware) détecte cette petite bête et ce , depuis les définitions virales du 12 mai 2008.

[Sacles]

Bonjour,

 

Je ne sais pas ce que tu appelles support Avira mais si tu ne l'as pas encore fait, tu peux soumettre ton fichier à Avira par ici:

 

http://analysis.avira.com/samples/index.php

 

Salut.

Modifié le 16 mai 2008 par Sacles

[Aquarius]

Bonjour Sacles , bonjour à tous

 

Merci pour ta réponse. Le lien que tu donnes est exactement celui que j'ai utilisé pour soumettre le fichier incriminé . Avira m'a d'ailleurs répondu par courriel et leur réponse est celle qui figure en bleu sur mon premier post.

 

J'ai essayé de télécharger à nouveau le programme sur le site de l'éditeur et Antivir s'y est opposé

 

 

Je me rappelle avoir eu vent de ce petit logiciel fort pratique sur ce site http://www.libellules.ch/dotclear/index.ph...2-regscanner#co et la présentation du programme par Falkra ainsi que les commentaires laissés m'avaient réconforté dans mon choix de l'adopter

 

Peut-être que d'autres personnes qui utilisent ce programme ainsi qu'Antivir Premium pourraient confirmer ?

Ceci étant, merci par avance de vos éclaircissements.

 

Bonne journée.

Aqu@rius

 

N.B. J'avais créé un nouveau post hier en tant qu'invité car je n'arrivais pas à retrouver mes identifiants sur Zebulon

[Sacles]

Bonsoir,

 

J'ai téléchargé le fichier ici: http://www.nirsoft.net/utils/regscanner.html (celui avec l'installateur).

 

Téléchargement RAS.

 

Analyse avec Avira Antivir Premium: RAS.

 

Installation RAS.

 

Exécution RAS.

 

Salut.

[Aquarius]

Bonsoir Sacles , bonsoir à tous

 

Merci de prendre le temps de me répondre. Je viens de télécharger à nouveau les deux fichiers ( l'exe et le zip ) et rebelotte Antivir en interdit toujours l'accès. C'est étrange que chez toi, Antivir ne bronche pas...

J'ai vérifié dans la configuration d'Antivir , dans "Extended threat categories", la catégorie Security Privacy Risk (SPR) n'est pourtant pas cochée.

Etrange...

 

 

 

Je continue à chercher de mon côté.

Merci encore.

 

Cordialement

Aqu@rius

Modifié le 16 mai 2008 par Aquarius

[Sacles]

Bonjour,

 

Donc, si je comprends bien ton problème, c'est le Webguard d'Antivir qui réagit.

 

Pourrais-tu indiquer quelle page fait réagir le Webguard?

 

Quels sont tes réglages du Webguard, notamment pour l'heuristique?

 

Salut.

[Aquarius]

Bonjour Sacles

 

Je viens de comprendre pourquoi Antivir bronche lorque je veux télécharger ce fichier

 

http://www.nirsoft.net/utils/regscanner.zip

 

ou celui-là

 

http://www.nirsoft.net/utils/regscanner_setup.exe

 

C'est parce que dans la dans la configuration d'Antivir , à "Extended threat categories", la catégorie "Security Privacy Risk (SPR)" EST cochée (contrairement à ce que j'avais écrit dans mon post précédent; autant pour moi ) J'étais persuadé avoir laissé la configuration par défaut, or je me suis rappelé ensuite avoir coché la case "Select all" comme conseillé sur ce site http://speedweb1.free.fr/frames2.php?page=tuto5

 

Ci-dessous une capture d'écran de ma configuration d'Antivir :

 

 

Désolé Sacles de t'avoir mis sur une mauvaise piste. Il est donc légitime que le Webguard ainsi que le Guard d'Antivir aient tous les deux bronché au contact de ce fichier. Mais ce que je ne comprends pas , c'est qu'Avira a décidé de le considérer comme malware seulement depuis les définition virales du 12 mai de cette année.

 

Voici la réponse que j'ai reçu d'Avira :

 

 

Maintenant, c'est vrai que ce n'est ni un virus ni un cheval de troie , mais plus un "Riskware". Il n'empêche que je ne sais pas trop quoi faire. Penses-tu Sacles que je pourrais mettre l'application en "Exception" dans Antivir ? Car je préfère laisser l'option "Select all" cochée .

 

Quant aux réglages du Webguard, notamment pour l'heuristique, c'est sur MEDIUM (de même pour le Guard)

 

Merci d'avance de tes conseils.

 

Cordialement

 

Aqu@rius

Modifié le 17 mai 2008 par Aquarius

[Sacles]

Re,

 

En indiquant http://www.nirsoft.net/ dans les exceptions, il n'y a plus de problème. Le site est sûr. Evidemment, on pourrait toujours fantasmer en se disant "Et si le site était piraté...".

 

Salut.

[Aquarius]

Re Sacles et merci de tes précisions.

 

Ok pour l'URL à mettre en zone de confiance puisque le site est sûr. Mais qu'en est-il pour le programme en question, je veux dire RegScanner.exe. Est-ce que je peux continuer à l'utiliser sans risque ? Sans compter qu'à chaque fois que je vais le lancer ou à chaque analyse complète de l'ordinateur par Antivir, ce dernier voudra le mettre en quarantaine ou m'en interdire l'accès puisqu'il le considère comme un malware.

 

Puis-je également le notifier à Antivir comme exception ? Car comme je le disais dans mon précédent post, je préfère cocher la case "Select all" dans "Extended Threat categories".

 

Désolé d'insister encore...

En tous les cas merci de ton aide.

 

Cordialement

Aqu@rius

Modifié le 17 mai 2008 par Aquarius

[Sacles]

Re,

 

Est-ce que je peux continuer à l'utiliser sans risque ? Sans compter qu'à chaque fois que je vais le lancer ou à chaque analyse complète de l'ordinateur par Antivir, ce dernier voudra le mettre en quarantaine ou m'en interdire l'accès puisqu'il le considère comme un malware.

Tu peux aussi le mettre dans les exceptions du scan et du guard (je n'ai pas écrit Webguard).

 

Salut.