View Issue Details

IDProjectCategoryView StatusLast Update
0016731ScribusReleasespublic2022-01-30 13:46
Reportermantis@daniel-n-herrmann.de Assigned Tojghali  
PrioritynormalSeverityblockReproducibilityunable to reproduce
Status closedResolutionno change required 
Product Version1.5.8 
Summary0016731: Trend Micro detects "unauthorized file encryption"
DescriptionDear Scribus-Team,

the new release of Scribus 1.5.8 causes some trouble with Trend Micros' Virus- and Malware Detection. I got the following answer from our IT-Support:

"Anbei erhalten Sie die beiden Sicherheitsmeldungen vom Trendmicro.
Die erste Meldung ist vom 26.01.2021 - 17:19 : Dort hat die Echtzeitsuche das Programm erkannt und in Quarantäne verschoben (genauer gesagt die scribus.exe in Quarantäne geschoben). Die Echtzeitsuche gleicht Viren und Malwarepattern
mit einem Tagesaktuellen Stand ab. Als Bedrohung wird hier genannt "Unauthorized file encryption" also die Verschlüsselung von Dateien.

Hier der Link zur aktuellen TrendMicro Datenbank welcher Virus hier alles dahinter stehen kann, https://www.trendmicro.com/vinfo/de/threat-encyclopedia/search/unauthorized%20file%20encryption/1 .
Mit allerdings 26347 Einträgen zum aktuellen Zeitpunkt kann ich Ihnen leider nicht konkreter sagen welches Muster hier effektiv passt.

Weiterhin wurde dann am 26.01.2021 - 17:19 durch die Verhaltensanalyse festgestellt das potenzieller Schadcode welcher Dateien verschlüsseln möchte gestartet wurde. Dieser Prozess wurde unterbrochen und die angelegte temporäre Datei gelöscht.
Hier ist noch wichtig zu sehen, dass die Datei in den AppData des Benutzer liegt. Hier liegen temporäre Dateien oder Konfigurationsdateien des Benutzers aber keine notwendigen Installationsdateien. Viele Viren legen sich genau hier Skripte hin um daraus den Schadcode starten.

Letztendlich kommt noch der Punkt dazu, dass anscheinend die neue Version sich komplett unabhängig von der alten Version installiert (siehe Anhang der Programmpfade). Die Version 1.57 scheint hier noch ganz normal vorhanden zu sein.

Ob der Schadcode hier vom Entwickler kommt oder durch einen SupplyChain Angriff (also eine Bereitstellung unabhängig vom Entwickler mit Schadcode) handelt kann ich nicht sagen.
Da wir Scribus auch von keinem anderen Kunden kennen, kann ich nur mit den gegebenen Meldungen des TrendMicro arbeiten, welche mir relativ klar wiedergeben das hier ein Programm versucht Schadcode auszuführen."

I downloaded my installation file from sourceforge.

I hope my information will be helpful for you fantastic work. THANKS by the way. :-)
TagsNo tags attached.
PatchNo

Activities

mantis@daniel-n-herrmann.de

2022-01-27 12:17

reporter  

scribus_echtzeitsuche.PNG (49,615 bytes)   
scribus_echtzeitsuche.PNG (49,615 bytes)   

jghali

2022-01-27 18:46

administrator   ~0049497

Looks like a false positive. Scribus has compression and encryption capabilities due to its PDF export features, noticeably ability to protect PDF by passwords.

Issue History

Date Modified Username Field Change
2022-01-27 12:17 mantis@daniel-n-herrmann.de New Issue
2022-01-27 12:17 mantis@daniel-n-herrmann.de File Added: scribus_echtzeitsuche.PNG
2022-01-27 12:17 mantis@daniel-n-herrmann.de File Added: scribus_verhaltensueberwachung.PNG
2022-01-27 18:46 jghali Note Added: 0049497
2022-01-30 13:45 jghali Assigned To => jghali
2022-01-30 13:45 jghali Status new => resolved
2022-01-30 13:45 jghali Resolution open => no change required
2022-01-30 13:46 jghali Status resolved => closed