[8.940][OPEN] UTM unable to catch virus (sophos endpoint does)

thanks Kai

it seems that this issue was fixed as now (engine 3.31.20) doesn't block it anymore. Let me see if I understand it correctly : If the virus/malware is known to the UTM it will detect it first even though endpoint uses live protection (therefore getting the latest virus first)- This is proven by eicar file (it is detected by UTM first and not endpoint)

I can't test with http://whiteejumiller.aa.am/gipoto/dabstepinattack.php anymore as the host is down

Testing i-tvdish.com (detected as Mal/HTMLGen-A by sophos endpoint-- DO NOT CLICK)  it can de detected by endpoint first  even though UTM knows that this URL is classified as malicious and blocking the site

2012:05:22-21:11:13 **** httpproxy[4479]: id="0061" severity="info" sys="SecureWeb" sub="http" name="web request blocked, reputation limit" action="block" method="GET" srcip="192.168.2.5" dstip="" user="" statuscode="403" cached="0" profile="REF_CnNPwVRtng (Internal Users)" filteraction="REF_DefaultHTTPCFFBlockAction (Internal Users)" size="2940" request="0xa87b5e38" url="i-tvdish.com/.../A" reason="category" category="130,201" reputation="malicious" categoryname="Malicious Sites,Consumer Protection"

Does that mean endpoint detects first and then UTM? (I would expect UTM to be the first scanner and then the web scanning of endpoint will check again

thanks Kai

it seems that this issue was fixed as now (engine 3.31.20) doesn't block it anymore. Let me see if I understand it correctly : If the virus/malware is known to the UTM it will detect it first even though endpoint uses live protection (therefore getting the latest virus first)- This is proven by eicar file (it is detected by UTM first and not endpoint)

I can't test with http://whiteejumiller.aa.am/gipoto/dabstepinattack.php anymore as the host is down

Testing i-tvdish.com (detected as Mal/HTMLGen-A by sophos endpoint-- DO NOT CLICK)  it can de detected by endpoint first  even though UTM knows that this URL is classified as malicious and blocking the site

2012:05:22-21:11:13 **** httpproxy[4479]: id="0061" severity="info" sys="SecureWeb" sub="http" name="web request blocked, reputation limit" action="block" method="GET" srcip="192.168.2.5" dstip="" user="" statuscode="403" cached="0" profile="REF_CnNPwVRtng (Internal Users)" filteraction="REF_DefaultHTTPCFFBlockAction (Internal Users)" size="2940" request="0xa87b5e38" url="http://i-tvdish.com/" exceptions="" error="" country="N/A" reason="category" category="130,201" reputation="malicious" categoryname="Malicious Sites,Consumer Protection"

Does that mean endpoint detects first and then UTM? (I would expect UTM to be the first scanner and then the web scanning of endpoint will check again

no ti means the things sail by the utm and get caught by the endpooints..not good.  this means potentially the utm has the inferior sophos product at the edge which isn't good at all..the cloud based system should be at the edge not the endpoints.

thanks Kai

it seems that this issue was fixed as now (engine 3.31.20) doesn't block it anymore. Let me see if I understand it correctly : If the virus/malware is known to the UTM it will detect it first even though endpoint uses live protection (therefore getting the latest virus first)- This is proven by eicar file (it is detected by UTM first and not endpoint)

I can't test with http://whiteejumiller.aa.am/gipoto/dabstepinattack.php anymore as the host is down

Testing i-tvdish.com (detected as Mal/HTMLGen-A by sophos endpoint-- DO NOT CLICK)  it can de detected by endpoint first  even though UTM knows that this URL is classified as malicious and blocking the site

2012:05:22-21:11:13 **** httpproxy[4479]: id="0061" severity="info" sys="SecureWeb" sub="http" name="web request blocked, reputation limit" action="block" method="GET" srcip="192.168.2.5" dstip="" user="" statuscode="403" cached="0" profile="REF_CnNPwVRtng (Internal Users)" filteraction="REF_DefaultHTTPCFFBlockAction (Internal Users)" size="2940" request="0xa87b5e38" url="http://i-tvdish.com/" exceptions="" error="" country="N/A" reason="category" category="130,201" reputation="malicious" categoryname="Malicious Sites,Consumer Protection"

Does that mean endpoint detects first and then UTM? (I would expect UTM to be the first scanner and then the web scanning of endpoint will check again

no ti means the things sail by the utm and get caught by the endpooints..not good.  this means potentially the utm has the inferior sophos product at the edge which isn't good at all..the cloud based system should be at the edge not the endpoints.

Morning wingman,

I just got word from SophosLabs:

They do use the same engine.
Just checked and found that using the UTM V9 we are detecting all the samples from our own collection associated with this identity ("Mal/Expjs-AA").
The URL no longer appears to be available. So I'll need to see the actual sample they used to investigate further.
Also we should determine the data and engine version they're using

Anything you can provide will help our virus specialists investigate further.
Thanks in advance.

Cheers,
Cristof