trojan.win32.sepeh.gen

[mvilleda]

Se detecto que en la versión 12.4.0.467 de Kaspersky Endpoint Security se encuentra un malware:

Posteriormente fue analizado el equipo para determinar el problema y se identifico que el archivo que presentaba el error o la amenaza es C:\ProgramData\Kaspersky Lab\KES.21.16\Setup\kes.cab

 

Nota:

-Versión de Kaspersky 

-Windows 11 actualizado:

[harlan4096]

Bienveni@ a la Comunidad de Kaspersky.

 

Hum 🤔todo apunta a un falso positivo en un propio archivo de instalación de Kaspersky.

 

En el pasado ya ha habido detecciones similares, pero la solución era para W10 y versiones inferiores, y no creo que sea aplicable a tu sistema

 

https://forum.kaspersky.com/topic/trojan-win32-sepeh-gen-detected-but-never-cleaned-23735/#comment-102393

 

De cualquier forma, a ver si me pudieras enviar por mensaje privado del foro, ese archivo .cab, vía algún servicio en la nube.

 

Saludos.

[mvilleda]

Se realizo un análisis a los archivos de dos versiones, ya que no solo se detecto en la versión 12.4.0.467. Se presento un inconveniente similar en la versión 12.3.0.493.

Se analizo con un antimalware el equipo, este detecto que el problema se encontraba en el archivo kes.cab antes mencionado, se procedió a desinstalar el antivirus en su versión 12.3.0.493 y se analizo nuevamente, mostrando que el equipo se encontraba fuera de amenazas. Se procedió a descargar la versión mas actualizada de Kaspersky (12.4.0.467) hasta el momento y se procedió analizar nuevamente con el mismo antimalware, mostrando como resultado el mismo archivo con posible infección. 

[harlan4096]

Ciertamente, es muy extraño el comportamiento, imagino que estás descargando el instalado desde un enlace confiable:

 

 

Saludos.

[mvilleda]

Se realiza la descarga desde la pagina oficial de Kaspersky:

https://latam.kaspersky.com/small-to-medium-business-security/downloads/endpoint

 

[harlan4096]

Imagino que no hay ninguna otra aplicación de seguridad que esté generando esta posible detección falsa 🤔

[mvilleda]

Fue el mismo Kaspersky que se detecto a el mismo y se aplico la desinfección, pero se realizo el análisis despues de la desinfección con malwarebytes el cual detecto el archivo como posible inflexión (kes.cab)

[harlan4096]

¿O sea que Malwarebytes también detectó ese archivo kes.cab como infección? 🤔

 

¿Sueles tener Malwarebytes usualmente instalado a la par que KES?

[mvilleda]

No suelo tener malwarebytes instalado, en este caso se descargo de la pagina oficial para analizar el equipo por la incertidumbre o la sospecha de "Por que Kaspersky se detecto el mismo como un archivo malicioso?". Ya que se encontraba entre las ultimas versiones, y para descartar la opción de que fuera otro programa que había modificado algún archivo de Kaspersky.

Malwarebytes si detecto el mismo archivo, incluso detecto el archivo kes.cab de cuando se descomprimió los archivos necesarios para la instalación de Kaspersky.  

[harlan4096]

Tengo el KES 12.4 instalado en una VM con W10, y no me detecta nada, comprueba si es el mismo hash que el que tienes tú:

 

https://www.virustotal.com/gui/file/9ac8be34bfed3ece7034b7db1b65d08f40c1aed122acad8b5079eeb6de14b5c1?nocache=1

[mvilleda]

El hash es distinto:
https://www.virustotal.com/gui/file/a239f0d90301aa89a0ca17ff908853ef9eca22decd117442e1935edb97351317/details

[harlan4096]

Versión AES256 o 56, LATAM?

 

Ok, ya la tengo es AES256 MX, y mi KPremium 21.16c no detecta nada...

 

 

[mvilleda]

AES256

[harlan4096]

KOTIP tampoco detecta nada:

 

https://opentip.kaspersky.com/A239F0D90301AA89A0CA17FF908853EF9ECA22DECD117442E1935EDB97351317/results?tab=upload

[harlan4096]

He reportado vía KOTIP a los analistas de K. el posible falso positivo, pero seguramente te van a pedir que generes trazas del producto mientras se reproduce el problema, lo mejor es que lo reportes vía el Soporte oficial de Kaspersky.

[harlan4096]

Como me estaba imaginando:

 

Quote

 

Hello,

Could you please send us the trace log of the product containing the detection? Here are the instructions for how to obtain trace logs

http://support.kaspersky.com/12797?utm_source=virus_lab_notifications&utm_medium=email&utm_campaign=virus_lab

 

For the web pages, also please send us an .mht archive of the page. It's available in the Internet Explorer browser from the context menu "Save As" on the page.

Our support team will provide more details if you have troubles with this. To get assistance please create a Support request using our portals:

* for home products: https://my.kaspersky.com
* for corporate products: https://companyaccount.kaspersky.com
If you have problems with the form, you can contact our technical support by phone (according to your location):
* for home products: http://support.kaspersky.com/b2c
* for corporate products: http://support.kaspersky.com/b2b

 

Prior to sending your request we strongly recommend you to check our Kaspersky Lab official forum: http://forum.kaspersky.com as it may have the information you are looking for.

Thank you for your help.

 

Best regards, Malware Analyst
39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com https://securelist.com
https://opentip.kaspersky.com/ - get insights about suspicious files, hashes, URLs, IP addresses or domain names

 

 

[mvilleda]

Listo, me pondré en contacto con el soporte técnico de Kaspersky.

Agradezco tu tiempo.

Saludos.