Avast Antivirus 的網路掃描行為

一直以來,DR 對防毒軟體的印象都不是太好。即便前陣子曾在某防毒軟體代理商工作過,但也沒有因此改觀(甚至可能還更糟了)。儘管如今對於這項領域已經沒有什麼涉入,但不幸地,偶爾還是會遇到跟防毒軟體有關的事情。

 

某日在登入公司的一部 Linux 主機時,注意到有幾筆 SSH 登入失敗記錄。由於平常這些遠端服務,一般來說只有 DR 在用而已,所以這顯然不正常。進一步查看日誌,這些連線的時間點非上班時間,且似乎背後有一份經過蒐集的清單在那邊試,而不是只有嘗試登入 root 或 admin 等等這些常見的名稱。

 

此外也同步查核了公司內的 Windows Server 主機,則發現其 SMB 服務,在相同的時間點,也有同樣來源的嘗試登入記錄。如此蓄意的行為,當然不能就這樣放過。於是便從 IP 位址循線找到了來源電腦,發現那是一部 Windows 7 SP1 的客戶端電腦。雖然略舊,但一時之間也沒查看出明顯有問題的地方。

 

於是回頭再翻查伺服器日誌,用來源 IP 再搜了一遍。這才意識到其實 httpd 也有被嘗試登入的情形,而且這回線索就很明顯了,因為所留下的 User-Agent 字串,直接就寫著「Avast Antivirus」。

 

那部電腦確實裝了 Avast Antivirus,上網查了一下,看起來 Avast Antivirus 的掃描功能,也會找尋區域網路上的設備,然後嘗試做登入的動作來檢查其安全性。而 DR 自己裝了一套測試,比對連線記錄也確實是如此。然而說實在話,這種功能大可不必,徒增威脅識別的困擾。DR 寧可直接把 Avast Antivirus 移除掉,改用其它防毒軟體來減少困擾。

 

分類: