Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 1 subscriber
  • Views 2049 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

[9.205-12] Inbound split RAR attachment is "Quarantined: Malware (UNSCANNABLE)"

mayday175
This issue sounds very similar to https://community.sophos.com/products/unified-threat-management/astaroorg/f/81/t/65706

An external user has sent a series of split RAR files, one per email, to our internal user. The first email/RAR appears to be delivered without error. The remaining emails/RARs are dropped into quarantine with the tag "Malware (UNSCANNABLE)". See the attached screen capture for an example.

When I manually download/open a quarantined email, save the attachment, then unRAR it (with 7zip), I get a "Data error in '[filename]' File is broken" error message on the first file and a "CRC failed in '[filename]' File is broken" error message on the last file. This makes sense to me as I've only opened a single RAR file from the series; the first and last file inside the RAR are split into the adjacent RAR files. I can't test the whole RAR series as I don't have access to the first RAR file (I think it was delivered successfully). Of the quarantined RARs I have examined, none of them contained malware (according to SESC) as per the error message.

Is this something you'd like to investigate?

That said, I'm not completely disappointed by this error... had all the emails/RARs been delivered successfully, our internal user would not have been able to unRAR the series (a suitable tool is not part of our standard operating environment). As such, this error has saved our Help Desk from having to deal with this task on behalf of our user [;)]


This thread was automatically locked due to age.
Parents
  • 0
    Thanks for the quick reply. I agree with what you say... I guess I was just a little surprised that our UTM tagged the attachment as "malware" instead of some other "scanning error". I'd be less concerned about a series of scanning errors than an external user trying to send us a series of large malware files (ie. the RAR was split into roughly 7x 7Mb files, bigger than what I would consider normal for malware... unless its another stuxnet!).

    Thanks

    PS. Our users do not have admin rights to install anything on their PC, so this user would have to have a portable WinRAR (or similar)... if they knew what that was. Seriously, that's a big *IF*. I suspect the archived files were requested, but the archive container was not specified. 

    PPS. My favorite archive tool 20 years ago was ARJ [;)]
Reply
  • 0
    Thanks for the quick reply. I agree with what you say... I guess I was just a little surprised that our UTM tagged the attachment as "malware" instead of some other "scanning error". I'd be less concerned about a series of scanning errors than an external user trying to send us a series of large malware files (ie. the RAR was split into roughly 7x 7Mb files, bigger than what I would consider normal for malware... unless its another stuxnet!).

    Thanks

    PS. Our users do not have admin rights to install anything on their PC, so this user would have to have a portable WinRAR (or similar)... if they knew what that was. Seriously, that's a big *IF*. I suspect the archived files were requested, but the archive container was not specified. 

    PPS. My favorite archive tool 20 years ago was ARJ [;)]
Children
No Data
Unfiltered HTML