Тест антируткитов II (обсуждение) - Тесты и сравнения - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Тест антируткитов II (обсуждение)

Recommended Posts

Сергей Ильин

Коллеги, я вижу, что в догонку к только что опубликованному тесту на лечение активного заражения, есть потребность в проверке эффективности специализированных антируткитов для обнаружения сложных угроз.

Поэтому я предлагаю провести мини-тест небольшего набора специализированных антируткитов, среди которых:

1. Antivir Rootkit 1.1.0.1

2. AVZ 4.32

3. F-Secure BlackLight

4. Rootkit Unhooker 3.8

5. Sophos Anti-Rootkit 1.5

6. Trend Micro RootkitBuster 2.8

7. UnHackMe 5.7

8. VBA32 Antirootkit 3.12.3 beta

AVG Antirootkit - больше не существует

BitDefender Antirootkit - тоже больше нет

Gmer - в Авасте мы его уже посмотрели, стоит ли отдельно смотреть?

McAfee Rootkit Detective - вроде как тоже уже нет

Если есть какие-то предложения еще по тестируемым продуктам, то предлагайте, но не больше двух, много тестировать не хочется. Это же быстрый мини-тест ;)

Вредоносы предлагаю взять те же самые, что и в тесте антивирусов на активное заражение, только за вычетом тех, где руткит-технологии нет. В итоге получается такой список:

2. Rustock (NewRest)

3. Sinowal (Mebroot)

5. TDL (TDSS, Alureon, Tidserv)

6. TDL2 (TDSS, Alureon, Tidserv)

7. Srizbi

8. Rootkit.Podnuha (Boaxxe)

9. Rootkit.Pakes (synsenddrv)

10. Rootkit.Protector (Cutwail, Pandex, Pushdo)

11. Virus.Protector (Kobcka, Neprodoor)

13. Trojan-Spy.Zbot

14. Win32/Glaze

16. TDL3 v.3.17 (TDSS, Alureon, Tidserv)

Не хотелось бы брать другие самплы, так как тогда не будет корреляции результатов с тестом на лечение активного заражения. А так можно будет говорить о наличии в арсенале у вендоров, которые выглядели в тесте не очень хорошо со штатными средства, специальных средств для борьбы с этими сложными угрозами.

Предлагаю оперативно обсудить тест и начать его делать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu

Надо бы быстрее фиксировать(скачивать) версии руткитов, пока их.. не обновили.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
Gmer - в Авасте мы его уже посмотрели, стоит ли отдельно смотреть?

в авасте он не допиленный стоит

не хватает доктор вебовского

rootrepeal, sysinspector, icesword, osam-autorun-manager

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Wordmonger

AVPTool

CureIt (если лицензия позволяет)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
rootrepeal, sysinspector, icesword, osam-autorun-manager

icesword фтопку.

XueTr добавить (названьице самое то :lol:).

AVPTool

CureIt (если лицензия позволяет)

А есть ли смысл? Это не специализированные инструменты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гриша
Надо бы быстрее фиксировать(скачивать) версии руткитов, пока их.. не обновили.

Они зафиксированы :)

icesword фтопку

По причине ... ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
По причине ... ?

Стух уже давно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Стух уже давно.

Panda AntiRootkit тоже, наверное, неактуален (от 2007). Разделили между Panda QuickRemover, Panda ActiveScan и Облаком.

McAfee Rootkit Detective хоть от 2007 г., но кое-что находит.

IceSword122en находит, конечно, много, но он тоже от 2007 года.

А XueTr, действительно, с новейшей поддержкой Windows7.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
Стух уже давно.

он может и стух, но получше будет чем

5. Sophos Anti-Rootkit 1.5

6. Trend Micro RootkitBuster 2.8

7. UnHackMe 5.7

эти поделки

А есть ли смысл? Это не специализированные инструменты.

в авптул использовать авз, он же там через драйверок кава вроде работает, а он получше будет чем в авз=))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Все-таки я предлагаю брать актуальные версии, те инструменты, которые обновляются. Остальные поделки фтопку. И работы меньше для тестировщиков.

в авптул использовать авз, он же там через драйверок кава вроде работает, а он получше будет чем в авз=))

А? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
AVPTool

CureIt (если лицензия позволяет)

Это действительно специальные утилиты. Тогда надо брать еще и MSRT, McAfee Removal Tools и т.п., тест будет уже другой по смыслу.

в авасте он не допиленный стоит

А gmer отдельно развивается сейчас? Если нет, то не будет смысла брать устаревшую версию изначально.

не хватает доктор вебовского

А что у них?

ESET SysInspector 1.2.021 (английская версия).

Берем точно, я просто забыл про него.

rootrepeal, sysinspector, icesword, osam-autorun-manager

rootrepeal

icesword

osam-autorun-manager

Что-то из этого все таки берем?

XueTr добавить (названьице самое то laugh.gif).

Стоит взять в тест этот XueTr?

он может и стух, но получше будет чем

5. Sophos Anti-Rootkit 1.5

6. Trend Micro RootkitBuster 2.8

7. UnHackMe 5.7

Так они развиваются, версии новые выходят, проекты живые.

У меня сомнения по поводу F-Secure BlackLight. Продукт жив вообще?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen
Поэтому я предлагаю провести мини-тест небольшего набора специализированных антируткитов, среди которых:

8. VBA32 Antirootkit 3.12.3 beta

Уже релиз вышел. Версия 3.12.4.0. http://anti-virus.by/en/vba32arkit.shtml

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Цитата(Ego1st @ 17.02.2010, 9:39)

не хватает доктор вебовского

А что у них?

Dr.Web Shark. Только периода 2008-2009 года и без сканера.

Но может быть работа и была продолжена после.

Стоит взять в тест этот XueTr?

См. сами (ссылка). 7d2bcc84aab2t.jpg 95749b872ddet.jpg e3bcf6e79f5et.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гриша
А gmer отдельно развивается сейчас? Если нет, то не будет смысла брать устаревшую версию изначально.

Развивается.

Стоит взять в тест этот XueTr?

Стоит.

Dr.Web Shark. Только периода 2008-2009 года и без сканера.

Динозавры остаются за бортом :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Динозавры остаются за бортом

А вот от 2009 года.

ATool update to v.1.0021

_http://www.antiy.net/freetools/atool.htm Файл>>>

946a36f01078t.jpg eb8bc54a0165t.jpg 3fbd24ba4009t.jpg

Текст в некоторых кнопках уползает, но в китайском всё чётко.

---

SysProt AntiRootkit (у меня несколько раз ругнулся, но ясно на что)

_http://sites.google.com/site/sysprotantirootkit/ Файл в самом низу страницы.

aaccc891b255t.jpg a16844d945dat.jpg 9181b833b47ft.jpg

---

Gmer за прошлый год выпустили много новых версий/сборок. Видимо не зря. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
Динозавры остаются за бортом

некоторые динозавры могут фору дать всяким разным недотулзам=))

А?

ошибся? казалось анализатор в авптул как раз, так и работает=))

rootrepeal

icesword

osam-autorun-manager

rootrepeal

и

osam-autorun-manager их точно, насчет icesword уже не уверен=))

Dr.Web Shark. Только периода 2008-2009 года и без сканера.

Но может быть работа и была продолжена после.

какого сканера? он кстати не хуже rku=))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
какого сканера? он кстати не хуже rku=))

Действительно, что это я. Ну если не хотят... smile396.gif

Вот документация >>> DWShark_ru_pdf.zip.

a901ab54d4f4t.jpg 4bede436df4ft.jpg 40ee159e6f6ft.jpg

DWShark_ru_pdf.zip

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Wordmonger

AVPTool всё-таки помощнее, чем KAV 9, в плане борьбы с руткитами.

Если же рассматривать только руткиты, которые детектируют заражение "из общих соображений" и не зависят от детекта файлов, то как это проверить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
yura5

а антируткит от Авира- Avira AntiRootkit Tool ? было бы интересно посмотреть его...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
AVPTool всё-таки помощнее, чем KAV 9, в плане борьбы с руткитами.

Если же рассматривать только руткиты, которые детектируют заражение "из общих соображений" и не зависят от детекта файлов, то как это проверить?

Дело не в детекте файлов, а в детекте аномалий + возможность вручную вылечить активное заражение используя эти инструменты. С другой стороны, самый лучший анти-руткит для меня - это WinDbg, все остальное - туфта :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гриша
ошибся? казалось анализатор в авптул как раз, так и работает=))

Если там использовать движок AVZ как ты предложил, то будет работать рандомный дров AVZ, при автоматическом лечении (сканер) работает klif.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st
Если там использовать движок AVZ как ты предложил, то будет работать рандомный дров AVZ, при автоматическом лечении (сканер) работает klif.

значить ошибся, казалось где-то читал про то что описал выше ну да ладно значить не надо брать=))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гриша
значить ошибся, казалось где-то читал про то что описал выше ну да ладно значить не надо брать=))

В продукте движок AVZ работает через klif :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
    • PR55.RP55
      И ещё это: https://www.comss.ru/page.php?id=18330 Это и на работе Образов с Live CD может сказаться ?
    • PR55.RP55
      Тема: https://www.comss.ru/page.php?id=18331    " Ошибка проявляется в том, что при закрытии окна программы с помощью кнопки Закрыть (X) процесс taskmgr.exe не завершается полностью. При повторном открытии Диспетчера задач предыдущий экземпляр продолжает работать в фоне, хотя окно не отображается. В результате со временем накапливаются несколько процессов, что приводит к избыточному потреблению ресурсов системы и снижению производительности... " и это натолкнуло на мыслю. Раз есть такая проблема с taskmgr - то это может повториться с "любой" другой программой... т.е. можно? Реализовать команды: " Обнаружить и завершить все нетипично активные экземпляры Системных процессов\программ".  и " Обнаружить и завершить все нетипично активные экземпляры не Системных...". Такое может быть и с браузерами - например Firefox - если есть две версии программы установленные в разные каталоги и пользователь их запускает - часто бывает неполное завершение. тогда жрёт всё и вся...  
    • Ego Dekker
      Компания ESET (/исэ́т/) ― лидер в области информационной безопасности ― сообщает об обновлении ESET HOME Security Essential и ESET HOME Security Premium, комплексных подписок для защиты устройств домашних пользователей, и ESET Small Business Security, решения для малого бизнеса.

      Среди новинок ― функция восстановления после атак программ-вымогателей, мониторинг микрофона и улучшения безопасности при просмотре веб-сайтов, а также VPN, который предотвращает нежелательное отслеживание, обеспечивая неограниченный доступ к онлайн-контенту. Поскольку мошенничество сегодня является глобальной угрозой для всех пользователей, ESET обеспечивает усовершенствованную защиту от различных мошеннических методов, противодействуя атакам из разных типов источников, включая SMS-сообщения, электронную почту, телефонные звонки, URL-адреса, QR-коды, вредоносные файлы и другие.

      Обновленная платформа ESET HOME также упрощает управление безопасностью, что облегчает пользователям защиту своих семей, а владельцам малого бизнеса позволяет точно отслеживать защищенные устройства, а также устанавливать программы безопасности на все устройства благодаря доступному и понятному интерфейсу. 

      «Как поставщик передовых решений для защиты цифровой жизни, ESET тщательно отслеживает текущую ситуацию с угрозами и соответственно разрабатывает свои решения по кибербезопасности, ― комментирует вице-президент ESET в сегменте домашних пользователей и Интернета вещей. ― Усиленная защита от мошенничества, новая функция восстановления после атак программ-вымогателей и многочисленные усовершенствования безопасности конфиденциальных данных делают продукты ESET для домашних пользователей и малых предприятий мощными комплексными решениями, которые сочетают минимальное влияние на продуктивность и простоту в использовании».

      Решения для домашних устройств и малого бизнеса защищают все основные операционные системы ― Windows, macOS, Android ― и поддерживают разные устройства умного дома. Кроме того, ESET Small Business Security также защищает серверы Windows.

      Основные улучшения для пользователей Windows:

      •    Добавлен VPN (теперь доступно в подписке ESET HOME Security Premium): функция защитит сетевое подключение благодаря анонимному IP-адресу, а безлимитная пропускная способность обеспечит неограниченный доступ к онлайн-контенту. Кроме Windows, VPN также доступен пользователям MacOS, Android и iOS.

      •    Усилена защита конфиденциальных данных (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security): новый мониторинг микрофона обнаруживает и уведомляет пользователей о несанкционированных попытках доступа к микрофону на устройствах Windows.

      •    Улучшена безопасность при использовании браузера (доступно в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security) для защиты от фишинга, мошенничества и вредоносных веб-сайтов. Эта функция сканирует воспроизводимый HTML-код в браузере, чтобы обнаружить вредоносное содержимое, которое не фиксируется на уровне сети и с помощью «черного» списка URL.

      •    Добавлено восстановление после атак программ-вымогателей (доступно в решении ESET Small Business Security): первоначально разработанная для крупного бизнеса, функция позволяет минимизировать ущерб, вызванный этими угрозами. Как только защита от программ-вымогателей выявляет потенциальную угрозу, функция восстановления после атак немедленно создает резервные копии файлов, а после устранения опасности восстанавливает файлы, эффективно возвращая систему в прежнее состояние. Основные улучшения для пользователей macOS (доступны в подписках ESET HOME Security Essential, ESET HOME Security Premium, ESET Small Business Security):

      •    Поддержка macOS 26 (Tahoe) позволяет использовать защиту на текущей версии macOS.

      •    Поддержка HTTPS & HTTP/3 улучшает безопасность пользователей в Интернете.

      •    Управление устройствами контролирует внешние устройства, подключенные к Mac. Функция помогает защитить от вредоносного программного обеспечения и несанкционированной передачи данных, ограничивая доступ к определенным типам или даже отдельным устройствам. Следует отметить, что эти усовершенствования помогут противодействовать постоянно совершенствующимся угрозам с особым акцентом на предотвращение. Компания ESET также считает чрезвычайно важным сочетание кибергигиены с удобной защитой, поскольку действительно эффективная кибербезопасность должна быть простой в настройке и управлении.

      Более подробная информация о многоуровневой защите устройств домашних пользователей и решении для малого бизнеса. Пресс-выпуск.
    • Ego Dekker
      ESET NOD32 Antivirus 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Internet Security 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Smart Security Premium 19.0.11  (Windows 10/11, 64-разрядная)
              ESET Security Ultimate 19.0.11  (Windows 10/11, 64-разрядная)
                                                                                  ● ● ● ●
              Руководство пользователя ESET NOD32 Antivirus 19  (PDF-файл)
              Руководство пользователя ESET Internet Security 19  (PDF-файл)
              Руководство пользователя ESET Smart Security Premium 19  (PDF-файл)
              Руководство пользователя ESET Security Ultimate 19  (PDF-файл)
              
      Полезные ссылки:
      Технологии ESET
      ESET Online Scanner
      Удаление антивирусов других компаний
      Как удалить антивирус 19-й версии полностью?
×