[Clôt] Questions sur les différences VirusTotal vs Antivirus

[monk521]

Bonjour,

Voilà, j'ai un soucis avec un fichier que voici : steam_api64.dll (il est zippé).

Lorsque je l'analyse sur VirusTotal, j'obtiens ces détections.

Mais lorsque j'analyse ce même fichier avec mon antivirus ESET, ce fichier est sain. Idem avec Baidu.
Je n'ai pas essayé avec les autres antivirus qui détectent le fichier dans VirusTotal comme étant infectieux mais ça devrait être la même chose.

Comment expliquer cela ? Est-ce que l'on peut en déduire que VirusTotal se trompe ou garde en mémoire une ancienne détection qui est considérée aujourd'hui par les AV comme étant un faux-positif ?

Peut-être pourriez-vous éclairer ma lanterne...

En remerciant par avance.
Cordialement.

[ѠOOT]

Bonjour,

Votre antivirus fonctionne sur Windows et c'est un ensemble de technologies.
A l'inverse, VirusTotal ne fonctionne qu'avec des moteurs légers sous Linux.
En clair, VT n'apporte qu'une indication : ça ne reflète pas le produit fini.

[monk521]

Re,

Merci pour votre réponse, j'avais trouvé l'explication sur le site de VirusTotal.

A given antivirus in VirusTotal detects a file and its equivalent commercial version does not

VirusTotal antivirus solutions sometimes are not exactly the same as the public commercial versions. Very often, antivirus companies parametrize their engines specifically for VirusTotal (stronger heuristics, cloud interaction, inclusion of beta signatures, etc.). Therefore, sometimes the antivirus solution in VirusTotal will not behave exactly the same as the equivalent public commercial version of the given product.

Le mode d'analyse qui est donc employé dans VirusTotal par les antivirus est le mode "sévère" (ou stricte). Et en effet, après avoir paramétré mon antivirus ESET en cochant la case Activer la détection d'applications potentiellement dangereuses, ce qui met la détection au plus haut, le fichier analysé steam_api64.dll est alors détecté comme infectieux et l'on retrouve les mêmes détections que celles de VirusTotal.

Cela dit, je pense que si l'antivirus restait dans ce mode celui-ci détecterait beaucoup de faux positifs...

[ѠOOT]

Bonjour,

Les produits utilisés via VT sont sensiblement différents et les moteurs (engines) paramétrés différemment. Ces messages ( potentially unwanted / potentially unsafe / potentially harmful / potentially risky / potentially ... ) doivent être considérés comme de simples indicateurs. Dans le cas présent, les PUA d'ESET ne vous indiquent pas que l'application est "infectieuse" mais que l'application "pourrait éventuellement présenter un risque pour la sécurité". L'effet recherché est d'interpeler l'utilisateur pour qu'il relève un court instant son niveau de vigilance. Cette technologie est malheureusement assez mal comprise des utilisateurs et a plutôt tendance à provoquer de toutes autres réactions et c'est aussi pour cela qu'elle est rarement activée par défaut. D'un côté, ça "traite" + sévèrement ( scoring ) il y a ↗ de faux-positifs mais de l'autre ça permet parfois de prévenir de nouvelles menaces. C'est donc à configurer en fonction des situations / exigences.

[Malekal_morte]

C'est un hacktool, possible que les détections riskware/outils à risque ne soit pas actif sur ton antivirus.

[Malekal_morte]

En vidéo, pour démontrer ce que ѠOOT nous a expliqué plus haut :