Discussione Malware Programma sospetto. Potrebbe trattarsi di un falso positivo?

[Mr Blood]

Buonasera a tutti,
Ieri stavo testando alcuni tool per lo sblocco del bootloader su Huawei e mi sono imbattuto in questa repository.

Chernobylll/Huawei-unlock-bootloader

Huawei-unlock-bootloader. Contribute to Chernobylll/Huawei-unlock-bootloader development by creating an account on GitHub.

github.com

Una volta scaricato ed avviato il file python "unlock.py" al suo interno con Powershell ho ricevuto subito la notifica da Defender per un possibile virus.
Ovvero: Virus:Win32/Floxif.H

Ho provato a caricare il file su Virus Total. Vi allego una foto del risultato.

Ho provato a scansionare più di 3 volte il sistema con Kaspersky e Malwarebytes.
Non è stato rilevato nulla di strano. Inoltre ho provato anche a scansionare il sistema con Kaspersky rescue disk tramite USB.
Zero minacce rilevate, tranne alcune crack di adobe.

Potrebbe effettivamente trattarsi di un falso positivo oppure c'è il rischio di una Backdoor ben nascosta?

Grazie in anticipo a tutti.

 

[JunkCoder]

I file python lock e unlock sono puliti, non ho controllato i vari exe, ma se scarichi quelli dall'sdk ufficiale e poi usi lo script vai tranquillo. E' facile avere falsi positivi con uno zip con dentro python e roba di adb, anche se quelli nello screenshot sono parecchi, quindi ti consiglio di non rischiare con gli eseguibili, tieni solo gli script python da quel repo.

 

[Mr Blood]

I file python lock e unlock sono puliti, non ho controllato i vari exe, ma se scarichi quelli dall'sdk ufficiale e poi usi lo script vai tranquillo. E' facile avere falsi positivi con uno zip con dentro python e roba di adb, anche se quelli nello screenshot sono parecchi, quindi ti consiglio di non rischiare con gli eseguibili, tieni solo gli script python da quel repo.

Per prima cosa ti ringrazio per avermi risposto. Grazie davvero!

Il problema è che io ho già eseguito quel file python. Potrebbe esserci il rischio che uno di quei file exe sia effettivamente infetto?

Inoltre ho passato due ore a controllare ogni PID del mio task manager incrociando le connessioni in uscita con netstat -ano. Non sembra ci sia nessun IP anomalo. Tranne uno: che punta a Cloudflare.

 

[hck2009]

Per prima cosa ti ringrazio per avermi risposto. Grazie davvero!

Il problema è che io ho già eseguito quel file python. Potrebbe esserci il rischio che uno di quei file exe sia effettivamente infetto?

Inoltre ho passato due ore a controllare ogni PID del mio task manager incrociando le connessioni in uscita con netstat -ano. Non sembra ci sia nessun IP anomalo. Tranne uno: che punta a Cloudflare.

Ho dei virus con source code di chernobyl vecchissimi (2001-2003)...già dal nome a me sembrerebbe sospetto...ma non vuol dire che lo sia, qualche dubbio ci sta...i cloudflare sono usati come redirect o per mascherare ip originale/reverse proxy (visto spesso in alcuni tools effettuando delle scansioni entrata/uscita).

 

[Mr Blood]

Ho dei virus con source code di chernobyl vecchissimi (2001-2003)...già dal nome a me sembrerebbe sospetto...ma non vuol dire che lo sia, qualche dubbio ci sta...i cloudflare sono usati come redirect o per mascherare ip originale/reverse proxy (visto spesso in alcuni tools effettuando delle scansioni entrata/uscita).

Quindi cosa dovrei fare per rimuoverlo definitivamente?

Messaggio unito automaticamente: 19 Aprile 2021

Ho dei virus con source code di chernobyl vecchissimi (2001-2003)...già dal nome a me sembrerebbe sospetto...ma non vuol dire che lo sia, qualche dubbio ci sta...i cloudflare sono usati come redirect o per mascherare ip originale/reverse proxy (visto spesso in alcuni tools effettuando delle scansioni entrata/uscita).

Inoltre ho aperto una discussione legata a quella repository. Vi allego lo screenshot di una sua risposta.

Lui mi ha scritto che il codice è pulito. Ma ovviamente non posso fidarmi senza controllare.

 

[0xbro]

Quindi cosa dovrei fare per rimuoverlo definitivamente?

Messaggio unito automaticamente: 19 Aprile 2021

Inoltre ho aperto una discussione legata a quella repository. Vi allego lo screenshot di una sua risposta.

Lui mi ha scritto che il codice è pulito. Ma ovviamente non posso fidarmi senza controllare.

ho guardato il codice di "Unlock.py", mi sembra pulito, potrebbe essere che VirusTotal lo segnali poichè vede numerose chiamate a os.system

Provo a indagare meglio anche sugli altri file, ma non ho trovato nulla di strano ad ora.

EDIT: Lol, JunkCoder aveva già fatto ahahah

 

[Mr Blood]

@0xbro Ti ringrazio. Allora aspetto tue notizie per il resto dei file. Grazie mille!

Ed ovviamente grazie nuovamente a @JunkCoder