Сергей Ильин

Антивирус в нулевом цикле ОС

В этой теме 25 сообщений

Часто приходится слышать о том, что якобы один антивирус работает "полностью" на уровне R0 (нулевой цикл) операционки, а другие нет.

Вот, например, недавнее высказывание по этому поводу представителя Доктора Веба (как часто бывает стеб над КАВом):

"в KAV нет R0 антивируса. у него все на уровне пользователя, что есть большая потенциальная дыра, которую пытаются заткнуть тем что хакерскими методами не дают остановить R3 приложение. ну не смогли так не смогли - зато прекрасно показывает видеофильмы и анимирует иконки. каждому свое"

http://sysadmin.mail.ru/pforum/viewtopic.php?t=4687

Насколько я напримаю, драйвер любого АВ работает на уровне R0, тогда о чем же идет речь, в чем разница?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Если полностью АВ в Р0 - как Нод или дрвеб - то сканирует файлы драйвер. в случае ошибки падает вся ОС.

Большенство АВ ставять только драйвера перехватчики а сам сканирующий движок находится в Р3.

Первые начинают проверку почти сразу после запуска ядра, вторые - уже когда почти все загрузилось - стартуют как сервисы

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кстати, как я понял недавно Symantec объявил об обновлении движка:

Речь я так понимаю идет о том, что появилось в 5 версии, все это написано красиво, но по-моему так пишут все, а вот как это работает с технической точки зрения неизвестно.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

они пошли дальше и вручную разбирают ntfs на диске?

Добавлено спустя 3 минуты 5 секунд:

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

можно было спросить его лично вчера на mail.ru

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

У меня нет нужных знаний.Говорю из того,что дошло из журналов,интернета,а так же здесь прочитал.

Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).Падает при ошибке так же всё.Возможно,Др.Веб этот путь сократил.Какая технология,с учётом сопутствующих,лучше,могли бы знать только(?) если одна и та же команда одинаково (не)предвзято оба варианта с одинаковым желанием тестирует для выборки одного для себя.В конечном итоге решают больше факторов,чем этот отдельно взятый и это ещё не последняя точка.Да и зачем?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

На сколько я помню он всегда там работал Ж)

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).

P3 означает, что автору вируса проще деактивировать резидентный монитор и не более того. Если весь антивирус запихнуть в P0, это не значит, что злобный вирус с ним не справится. Есть много способов испортить жизнь антивирусу. Из простейших: Заблокировать работу обновлений. То есть, если антивирус пропустил такую бяку, то бяка так и останется в системе, так как анитвирус не сможет обновиться.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

По собственной защищённости выше планку держит КАВ 6.0 с его самозащитой. При этом никто весь антивирус в нулевое кольцо не пихал, видать, это не единственный способ =) Когда Данилов говорит о работе др.Веба в нулевом кольце, он подчёркивает не самозащищённость, а более ранний запуск защиты. Его защита запускается вместе с драйверами, а не вместе с сервисами. Интересно было бы услышать, насколько этот плюс значим.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я не знаю,как там с КАВ6 выглядит.Исхожу,что в Р3 (иначе под заголовок только 5-ка для разговора подходит).То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?И если дыры нет,то и стена для вира из огран.аккоунта непробиваема.Остаются только недочёты в программировании,но это я не рассматриваю,так как и для Р3 этот фактор одинаково действует.Разница такая,что уже Админпроцесс я сбить не могу,а также ни в какую другую папку нет доступа,которую из Хотького к Админу перенесли.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса. Ведь если зловред запустился раньше, он может не дать антивирусу стартануть. На мой взгляд, это не такое уж значимое преимущество, потому что зловреду нужно сперва проникнуть в систему. Если антивирус его не знает, то он не заблокирует его ни во время проникновения, ни во время загрузки системы - так что тут нас не спасёт драйвер. А если знает, то зловред будет убит ещё в момент проникновения. То есть остаётся только вариант проникновения в период отключения защиты... Кто-то ещё хочет высказаться? =)

Добавлено спустя 5 минут 27 секунд:

То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?

В любом случае, если вирус хочет проникнуть в ринг0, ему нужно очень постараться. И если у него получится, то антивирус в принципе будет бессилен, так как в ринг0 он, насколько я знаю, проверок никаких не делает, иначе система будет тормозить по-дикому. Но лёгкость проникновения в ринг0 имхо никак не зависит от того, сидит ли весь антивирус в драйвере или нет.

А самозащита антивируса тоже не увеличится от переноса его целиком в драйвер. Достаточно того, что сама самозащита через драйвер работает.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

А, нет, если ты в ограниченном аккаунте сидишь, то вирус в любом случае не сможет сделать больше, чем можно ограниченному аккаунту. Но это к делу не относится. Я говорю, что если вирус не детектируется, то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Согласен, в этом случае разницы нет.

А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Здесь, видимо, всё зависит от вируса. Если вирус захочет себя защитить, у него это скорее всего выйдет. Он по-идее может вообще снять перехватчики антивируса и поставить туда свои, если пожелает... Может залочить свои файлы запросто и никто их не удалит, потому что вирус будет стартовать вместе с драйвером - и даже если антивирус тоже стартует вместе с драйвером, где гарантия, что его драйвер стартанёт раньше... Короче говоря, проникновение на ринг0 - это беда для антивируса, независимо от того, где он сидит. Имхо. И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка). А если уже проник, то на то есть аварийный диск.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать' date=' насколько этот плюс значим.[/quote']

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса.quote]

Теперь надо вспомнить что спайдер работает в "оптимальном режиме - не проверяет файлы при открытии и запуску" следовательно преимущество нулевое.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Имеешь ввиду,что у него нет защиты в реалтайме,только вручную скан,или как?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Что, серъёзно?! Хм... Это ж дыра! Юзер не защищён даже от элементарного случая, когда вирус проникает на комп чуть раньше обновления баз...=(

Добавлено спустя 3 минуты 22 секунды:

И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Да,это так и есть.Я что-то не подумал сразу про дефолт.Я то себе (знакомым тоже,это остаются только те,кто сам инсталлирует и совсем не разбирается и некого позвать,домохозяики с мужьями к ним обычно не относятся,другие зовут меня) всё равно всегда переставляю везде и в конечном итоге имею,что я поставил.Таким образом,спайдер в конечном итоге и при открытии проверяет.Это для меня аргумент,что прога может делать и делает мне,а не дефолт.

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Под ограниченным аккоунтом писать можно,копировать на принтере тоже,фотки переделывать,видики так же,музыку слушать,всё это сгружать или конвертировать,на CD всё это записывать в инете лазить и многое другое,где не нужно проги инсталлировать,а только уже инсталлированными пользоваться и их работой загружать.Это специально для того,что бы не дать новому,недетектируемуму вирусу прав на инсталлирование в систему (Р0 - любимое место руткитов и любых сильных вирусов,работать с ними пользователю будет бесполезно),а также это не даёт прав новому,ещё недетектируемуму вирусу что-нибудь в системе стереть или сбить либо коррумпировать защитную прогу (смотря,где эта прога).Что TiX выходит в инет под Админом,чтобы систему специально ослабить и стенку убрать перед вирусами для проверки АВ,это он уже писал,если я с другим не путаю.Но это же один случай действительной необходиости из тысячи.У остальных (ну,типа меня) обратная цель.По мне я и меряю.Всем знакомым советую под огран.аккоунтом работать,никому не помешало ничем.Это больше дело привычки.Для инсталирования проги или апдейтования Виндовса перехожу на безвирусного Админа.Больше он мне не нужен.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Факт на сегодня,что КАВ больше вирусов детектирует.Я,с учётом весомых достоинств и опасных недостатков каждого,не назвал бы ни одного лучшим по сумме результатов.Кто не очень разбирается,может выбирать по цвету - не ошибётся ни с одним,а кто побольше немного поймёт,тому придётся выбирать,с каким слабым пунктом он согласен жить.

Вообще,это,по моему,чисто новая русская психология (сам удивляюсь).За границей радуются открытием новых предприятий,даже если такие уже есть,потому что это означает,что больше таких,как я,сами зарабатывают на жизнь,а не сидят на иждивении (налоге) у всех,а также работающий (заработок - везде больная тема,как и при коммунизме было),скорее всего,не будет думать о продаже наркотиков,сутенёрстве и прочем вредительсве (вирусы выдумывать) и заработке на несчастьях других.Только в России,похоже,наоборот и чем больше возможностей чистые деньги заработать и не вредя продержаться передавлено,тем больше и радость победы.Возможно,что перебарщиваю.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти

Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • По информации американской телекомпании CNN, у российских банков, счета которых находились в Центробанке, хакеры похитили 2 миллиарда рублей. В ЦБ эту информацию подтвердили. Читать далее
    • В данной статье рассматривается платформа JaCarta, поддерживающая технологии электронной подписи и строгой аутентификации, приводится краткий обзор продуктов и описание принципов их работы. Читать далее
    • santy Как по мне, так разница тотальная.
      Одно дело мониторинг по умолчанию - ( как функция ) другое дело, мониторинг по требованию.
      Не нужен - не делай настройку и не используй. Не раз уже такие случаи в истории были: появляется новый вирус\червь и начинает прыгать по сети.
      А в базе антивируса он может появиться на следующий день, или ещё позже.
      А может система безопасности не предполагает наличие антивируса.
      А так: выявили > прикончили и для профилактики включили проверку машины через задачу.    
    • И хорошо, что этого нет, поскольку uVS не предназначен для мониторинга.
    • Vitokhv На данный момент это возможно только в альтернативно реальности Варкрафт.
      И там это работает так: Оператор добавляет сигнатуру вируса в базу > Проверяет список, при необходимости корректирует длину сигнатуру
      Настраивает австоскрипт: settings.ini  ( как реагировать на угрозу и метод удаления )
      Далее...
      Оператор добавляет uVS \ start.exe в автозапуск системы.
      При старте uVS автоматически определяет  тип своего запуска ( например start.exe через задачу )
      Далее работает настройка по settings.ini  ( при запуске через task проверять список по базе вирусов и критериев )
      После чего работает ранее настроенный австоскрипт: settings.ini  ( реакция  на угрозу и метод удаления )
      Вирус/Adware удаляется - копия угрозы помещается в карантин.
      Информация об угрозе пишется в лог. ( + копия лога пересылается на указанный в настройке адрес ) ------ А в нашем мире этого ничего нет.