ORION
Кто Атакует, кто молиться.
Будем молиться !

Света
Это... :oops:

Одна Лиса хорошо.
Семейство лис лучше ! ;)

Я это к чему написал.
Есть файл: RTHDCPL.EXE
Sha1 - файла периодически меняется.
Размер остаётся неизменным = 19.595 Kb.

При проверке Live CD имеем результат:
Оригинальное имя            RTHDCPL.EXE
Версия файла                2.4.0.4
Описание                    Realtek HD Audio Control Panel
Производитель               Realtek Semiconductor Corp.
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Файл                        Файл имеет хэш/размер отличный от сохраненных [возможно заражен]

Все файлы на C:\ добавлены  в базу проверенных.
При проверке по F4 получил результат, что: "Файл Не найден в базе проверенных."
Файл заменил на чистый из:
C:\WINDOWS\system32\ReinstallBackups\0027\DriverFiles
Проверил по F4 - Результат: "Всего неизвестных файлов: 0 "
После перезагрузки Sha1 снова изменился !... ( возможно пару раз перезагружал )
Такой фокус несколько раз  повторился пока файл не заменил из под Live CD
* Обновлений и прочего для  Realtek не устанавливал.
На V.T. [URL=https://www.virustotal.com/file/80e3105a38a316d53f57d99a9f1842deeb814b565e28472439e5fbfc5902782d/analysis/]Результат проверки[/URL]
У файла с изменённым Sha1 есть цифровая подпись которая не проходит проверку.

Вот я и думаю, как на этот фокус реагировать.

Создайте лог в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Вопрос.
По какой причине могут самопроизвольно изменяться Sha1 файлов ?
При том, что информация по цифровой подписи сохраняется но проверку подлинности подпись не проходит.
Должно это быть связанно с некорректной работой HDD - ?
Или есть другая причина ?

[URL=http://www.xakep.ru/post/58812/]Flame Подделка сертификатов Windows Update через атаку на коллизию хеша...[/URL]

[QUOTE]santy пишет:
Сертификаты, замеченные во флейме отозваны[/QUOTE]
Это наверное долгая история будет - нужно устанавливать обновления для получения результата.
----------
Так, что по файлу ?
Как правильно это лечить ?

[QUOTE]santy пишет:
Только из своего собственного, остальные R/O.[/QUOTE]
В... \uvs_v376\SHA может быть несколько файлов/баз - из разных источников.
Думаю, что стоит данное положение дел изменить.
Какие есть мнения на этот счёт ?

http://www.securitylab.ru/news/425350.php
[QUOTE]Напомним, что 4 июня корпорация Microsoft выпустила обновление безопасности, в котором отозвала ряд сертификатов, используемых Flame для подписи программных модулей" [/QUOTE]