Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 24 replies
  • Subscribers 0 subscribers
  • Views 9843 views
  • Users 0 members are here
Options
Suggested

[8.940][OPEN] UTM unable to catch virus (sophos endpoint does)

wingman
Hi All

I have HTTp proxy with both antivirus enabled. Also I have sophos endpoint installed. 

It seems that the endpoint catch more virus that the UTM. I would expect the sophos engine to get the following since (that's my understanding) both sophos engines are the same (UTM and endpoint)

Log below from the endpoint alert

Event: Access has been blocked to **********/gipoto/dabstepinattack.php" as 'Mal/ExpJS-AA' has been found at this website.


Relevant log from web filter

2012:05:05-10:41:07 ****httpproxy[4521]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.***.***" dstip="173.236.50.237" user="" statuscode="200" cached="4" profile="REF_CnNPwVRtng (Internal Users)" filteraction="REF_DefaultHTTPCFFBlockAction (Internal Users)" size="11580" request="0xa96de5e0" url="http://********/gipoto/dabstepinattack.php" exceptions="" error="" country="United States" category="178" reputation="neutral" categoryname="Internet Services" content-type="text/html"


However, this was not the case.  According to virus total ,avira sees that as malware
https://www.virustotal.com/url/1306b95314166571070869cc804ca15e91a734fd24f72565117c4566b9deaa4f/analysis/1336217603/
but is not blocked 

Thanks
Parents
  • 0
    ok same thing happens if I try to access isohunt.com. My endpoint detects this as  

    20120522 172720	Blocked web request to "isohunt.com" for user AA000000\wingman. 'Mal/HTMLGen-A' has been found at this website, reference ID 351853.


    however, this is not blocked by the UTM by sophos as malware. Don't they use the same engine?
  • 0 in reply to wingman
    ... Don't they use the same engine?


    No, they don't.

    AFAIK the endpoint uses live lookups against a database that is updated constantly by a team of Sophos AV specialists working 24x7, which of course means that they are much more current (you might want to call this "instantaneous protection") than the definitions we use on the UTM-V9. 

    Cheers,
    Kai
Reply
  • 0 in reply to wingman
    ... Don't they use the same engine?


    No, they don't.

    AFAIK the endpoint uses live lookups against a database that is updated constantly by a team of Sophos AV specialists working 24x7, which of course means that they are much more current (you might want to call this "instantaneous protection") than the definitions we use on the UTM-V9. 

    Cheers,
    Kai
Children
No Data
Unfiltered HTML