Synology-System mit Virus von Werk aus? :-/

[MattCB]

Ich habe heute mal einen Systemscan gemacht, nachdem ich meine neue DS215j in Betrieb genommen habe. Und was soll ich sagen? Angeblich ist die Datei /usr/syno/bin/zip (also eine im System enthaltene Datei!) befallen und wurde in die Quarantäne verschoben. Kann ich da von einem Fehlalarm ausgehen oder muss ich mir Sorgen machen?

Als Beweis habe ich einen Screenshot angefügt.

 

[geimist]

Gerade mal probiert.
Wird bei mir auch bemängelt …

Ich habe die Datei mal zu Virustotal hochgeladen - nur ClamAV schimpft da. Ich gehe also von einem Fehlalarm aus.

Wenn du die Datei in der Quarantäne lässt, funktioniert vielleicht das packen in der Filestation nicht mehr richtig.

 

[Jongleur]

Gleiche bei mir, gemeldet durch den "Sicherheitsberater". Was ist da nur los. Entweder sind unsere beiden Server befallen, oder es ist ein Fehler von Synology. Hmm...

 

[axuaxu]

Synosupport anschrieben?

 

[Jongleur]

Schon passiert.

 

[luckytiger]

Hallo,

das gleiche Problem habe ich seit heute Morgen auch. Ich vermute auch das beim ClamAV da in den Definitionen ein Fehler ist.
Hat also nicht direkt was mit Synology zu tun, zumal das Zip Binary ja nicht erst seit gestern da existiert.

@Jongleur: Wäre nett wenn du mit uns teilst, was der Synology Support davon hält.

VG

 

[MattCB]

Ich hab's wieder aus der Quarantäne rausgeholt. Support ist auch schon informiert. Ich gehe aber mal von einem Fehlalarm aus.

 

[Jongleur]

Habe die Support-Leute aus Taipeh seit einer Stunde auf meiner Syno, keine Ahnung was die da treiben.
Bin gespannt. Komischerweise liegt die ZIP natürlich schon lange da, der Scan wird bei mir aber täglich durchgeführt, es wurde in den letzten tagen aber weder ein update von Synology (hätte die ZIP-Datei ändern können), noch ein Definitions-Update vom Anti-Virus-Programm installiert. Somit hätte das Ding bereits gestern gefunden worden sein müssen oder sehe ich das falsch?
Wie kommt das also? Könnte also auch ein groß angelegter Angriff sein.
Ein Systemweiter Scan hat weitere Bedrohungen in meiner OwnCloud-Installation gefunden. Auch dieses wurde zuletzt am Sonntag gescannt. Seltsam seltsam...

 

[geimist]

Also bei mir wird die Virendefinitionsdatei vor jedem Scan automatisch aktualisiert. Schau doch mal auf das Datum.
Wäre hier wirklich ein Virus dahinter, hätte wohl nicht gerade nur ClamAV (bei virustotal) gemeckert …

 

[Jongleur]

Genau da steht auch im Eintrag hinter 'Update startet' gleich danach 'Already up to date'. Von daher wurde nichts upgedated. Sollte bei dir ähnlich aussehen...

 

[jahlives]

clamav ist nicht gerade bekannt dafür immer zuverlässig treffsicher zu sein. False Positives gibt es dabei immer wieder. Allerdings glaube ich in dem Fall eher, dass es berechtigt ist. Denn die libzip und php5 haben ein interger overflow Problem in bestimmten Versionen (https://security-tracker.debian.org/tracker/CVE-2015-2331) ich vermute darauf springt der Scanner an

Integer overflow in the _zip_cdir_new function in zip_dirent.c in libzip 0.11.2 and earlier, as used in the ZIP extension in PHP before 5.4.39, 5.5.x before 5.5.23, and 5.6.x before 5.6.7 and other products, allows remote attackers to cause a denial of service (application crash) or possibly execute arbitrary code via a ZIP archive that contains many entries, leading to a heap-based buffer overflow.

 

[Jongleur]

Warum aber wurde das dann erst jetzt angemeckert vom clamav? Antivirus-Updates gab es in den letzten Tagen keine.

 

[geimist]

Mit Update meinst du schon die Definition und nicht das Antivirus Essential?

 

[Jongleur]

So sieht das bei mir aus:

 

[jahlives]

such nach der Datei freshclam.conf und guck wie häufig das Update eingestellt ist

 

[geimist]

… oder man sieht in der Übersicht von Antivirus Essential wann das letzte Update war.

 

[geimist]

Ich habe gerade mal meine persönlichen Firmwarebackup's vom 1.8.15 und 1.3.15 angesehen. Ich wollte die früheren Versionen der Datei mal mit der aktuellen Virendefinition scannen.
In den Archiven gab es jeweils die zip Datei unter /usr/bin gar nicht …

 

[jahlives]

mein Vorschlag dazu wäre jetzt: Download der installierten Firmware Version, entpacken und gucken ob es diese Datei gibt. Falls ja dann die md5-Summen beider Files bilden und vergleichen

 

[geimist]

Ich habe jetzt die PAT Version 5592 geladen und entpackt. Aber unter /usr/bin ist auch hier keine zip.
Bei den nachfolgenden Updates 1-3 ist die Struktur ja nicht so eindeutig beim entpacken.

 

[jahlives]

es sollte ja auch /usr/syno/bin sein