Cuando revisa las detecciones de SONAR (Evento 4100) en Advanced Threat Protection (ATP), se da cuenta que algunas detecciones de SONAR tienen valores de hash que no son correctos. (Ya sea md5, sha1 o sha2)  Aparentemente, estas detecciones se realizaron en archivos no maliciosos. 

ATP 3.0 o posterior

SONAR detectó un archivo malicioso explorer.exe con la firma heurística SONAR.SuspPE!gen35.

SONAR detectó un archivo malicioso powershell.exe con la firma heurística SONAR.Powershell!gen6.

Cuando hace clic en “Submit to VirusTotal” (Enviar a VirusTotal), recibe el siguiente error:

You don't have authorization to view this page. (No está autorizado para ver esta página).

Error HTTP 403

El cliente de Endpoint Protection (SEP) ocasionalmente enviará archivos basados en detecciones silenciosas. El cliente de SEP no registrará estas detecciones como riesgos debido a que se las envían solo para análisis estadísticos.  Actualmente, ATP no reconoce que son envíos silenciosos e informa, incorrectamente, que son amenazas. Para obtener más información sobre cómo usa Symantec los datos de telemetría, consulte “Envíos de telemetría de Symantec Endpoint Protection”.

Además, el cliente SEP utilizará valores hash “ficticios” en estos envíos silenciosos.  ATP intenta corregir los datos de hash, pero sigue proporcionando valores de hash no válidos. 

Este problema se resolvió en ATP 3.2. Actualice a la versión más reciente del software de ATP/SEDR.

Source: ETrack
ID: 4165590
Source: ETrack
ID: 4173689
Source: ETrack
ID: 4175820
Source: ETrack
ID: 4175966

Gracias por sus comentarios. Háganos saber a continuación si tiene comentarios adicionales. (requiere inicio de sesión)

    © 1995-2019 Broadcom. All Rights Reserved. The term “Broadcom” refers to Broadcom Inc. and/or its subsidiaries.