Сравнение скорости реагирования вирлабов на новые угрозы

[Fixxxer® 65]

Все детектировалось на момент получения (сработала связка эмулятора с сигнатурами).

Первое - ключевая фраза "эмулятор с сигнатурами". Файл сканировался или запускался? Если запускался - ничего удивительного: в темп бросается откровенный неприкрытый зловред, который потом запускается. Если же сканировался - это интереснее.

И второе -

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику.

update.e_e

Файл в процессе обработки.

С уважением, Лаборатория Касперского

"123060, Россия, Москва, 1-й Волоколамский проезд дом 10, стр 1Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru

http://www.viruslist.ru

"

После этого автомат не прислал ничего. Все два (на самом деле три) раза. Уж как у вас работает автоматическая система ответов, я не знаю.

K_Mikhail, все доводы принимаются. Всё верно. Но Вы отвечаете как знаток работы - а я смотрю на это как обычный пользователь. И обычный пользователь, который зашёл на форму отправки образца не знает ни о приоритетах, ни об особенностях работы автоматов. Он видит форму - и полностью её заполняет. И ждёт ответа на почту - иначе зачем её спрашивают?

То, что практически везде отработал автомат - это мы видели (замечание по ВБА принимается - да, возможно это прокол). Проблема в том, что автоматы разные. Если Eset слил по полной, а Avira буквально всё, написанное на Delphi обзывает вирусом, а потом уже при обращение вайтлистит по мд5 - это нормальный автомат? Что Веб обозвал даунлоадером то, что даунлоадером не являлось - это провал автомата, но он предоставил информацию! У ЛК никакой инфы никто не прислал это виновен тест или автомат ЛК?

Как работают автоматы в статье тоже описано, нам лично разработка Софоса вполне понравилась.

Забыли про автоматы - почему в QuickHeal, GData. eScan, Fortinet никто не спросил про приоритет, про наличие лицензионного ключа - а просто проанализировали файл и дали детект? Они были в тех же условиях, получили те же образцы и по официальной форме - тут уже дело не в почте и "особом" адресе!

[Юрий Паршин 330]

Первое - ключевая фраза "эмулятор с сигнатурами". Файл сканировался или запускался? Если запускался - ничего удивительного: в темп бросается откровенный неприкрытый зловред, который потом запускается. Если же сканировался - это интереснее.

Разумеется, сканировались по правой кнопке мыши ("Проверка на вирусы" в заголовке всех алертов).

[Fixxxer® 65]

Разумеется, сканировались по правой кнопке мыши ("Проверка на вирусы" в заголовке всех алертов).

Если это - KIS 2010 и такое поведение, то я приношу извинения по этому пункту, однако для меня - загадка, почему тот же KIS 2010 не отработал у меня на системе.

[K_Mikhail 807]

K_Mikhail, все доводы принимаются. Всё верно. Но Вы отвечаете как знаток работы - а я смотрю на это как обычный пользователь.

И обычный пользователь, который зашёл на форму отправки образца не знает ни о приоритетах, ни об особенностях работы автоматов. Он видит форму - и полностью её заполняет. И ждёт ответа на почту - иначе зачем её спрашивают?

KL: по факту отправленного семпла робот присылает уведомление о принятии файла на обработку, присваивая запросу соответствующий ID -- KLAN-xxxxx. Подобное уведомление приходит при отправке семпла через веб-форму, через почту не знаю, не отправлял.

Резюме: ответ на почту пользователь получает -- по принятию образца на исследование и по разрешению тикета.

Dr.Web: по факту отправленного семпла робот присылает уведомление о принятии файла на обработку, присваивая запросу соответствующий ID [drweb.com #xxxxxx]. Подобное уведомление приходит при отправке семпла через веб-форму и через электронную почту.

Резюме: ответ на почту пользователь получает -- по принятию образца на исследование и по разрешению тикета.

VBA32 по факту отправленного семпла на newvirus@ ничего не присылается. Веб-форма отсутствует, только e-mail.

Резюме: получение резолва по файлу -- на стороне вирусных аналитиков.

То, что практически везде отработал автомат - это мы видели (замечание по ВБА принимается - да, возможно это прокол). Проблема в том, что автоматы разные. Если Eset слил по полной, а Avira буквально всё, написанное на Delphi обзывает вирусом, а потом уже при обращение вайтлистит по мд5 - это нормальный автомат?

Уж какой есть. Изменить его только в силах разработчиков, но со стороны пользователя да -- существует большая вероятность того, он не получит ожидаемого результата.

Что Веб обозвал даунлоадером то, что даунлоадером не являлось - это провал автомата, но он предоставил информацию!

Система присвоения имён -- это отдельная история. И, в принципе, уже не особо заморачиваются правильностью присвоенного имени.

Если робот добавляет безвредный файл (да, это fail), то можно а) повторно отослать файл с соответствующей пометкой, б) ответом на пришедший резолв описать ситуацию. Это равносильно действию reopen в баг-трекере. в) написать на форуме соответствующего производителя соответствующий текст с нужными\доходчивыми словами.

У ЛК никакой инфы никто не прислал это виновен тест или автомат ЛК?

Автомат. -- Он должен присылать резолв с любом случае.

Как работают автоматы в статье тоже описано, нам лично разработка Софоса вполне понравилась.

Забыли про автоматы - почему в QuickHeal, GData. eScan, Fortinet никто не спросил про приоритет, про наличие лицензионного ключа - а просто проанализировали файл и дали детект?

Это вопрос в компетенции тех, кто решил использовать такую схему приоритетов обработки поступающих от пользователей запросов в вируслаб ЛК. Мне лично она самому не нравится, ещё как раз с тех времён, о которых я говорил выше -- когда Dr.Web разрабатывался "под крылом" Диалог-Науки.

Они были в тех же условиях, получили те же образцы и по официальной форме - тут уже дело не в почте и "особом" адресе!

Опять же -- это вопрос в компетенции ЛК, почему они решили использовать именно такую схему.

[Deja_Vu 366]

Если это - KIS 2010 и такое поведение, то я приношу извинения по этому пункту, однако для меня - загадка, почему тот же KIS 2010 не отработал у меня на системе.

На скриншоте видно, что KIS 2011.

То что вы использовали KIS 2010 - это, честно говоря, провалб т.к. в СНГ он уже давно не продается. Т.е. с тем же успехом вы могли поставить версию 4.5.

[Вадим Волков 176]

На скриншоте видно, что KIS 2011.

То что вы использовали KIS 2010 - это, честно говоря, провалб т.к. в СНГ он уже давно не продается. Т.е. с тем же успехом вы могли поставить версию 4.5.

Справедливости ради, надо отметить, что хотя 2010 сейчас и не продается, но ещё в начале года видел у некоторых продавцов старые коробки.

Также знаю нескольких пользователей, которым я когда-то устанавливал версию 2010, и с тех пор они её и не обновили.

[akoK 75]

То что вы использовали KIS 2010 - это, честно говоря, провалб т.к.

Использовали в чем? в тестировании не использовались АВ продукты.

в СНГ он уже давно не продается.

Но официально поддерживается ТП и скачать версию 2010 можно.

Далее сплошной оффтоп.

Я три раза пытался перейти на KIS 2010... но моего терпения хватало всего на неделю.

[Umnik 997]

Но официально поддерживается ТП и скачать версию 2010 можно.

http://support.kaspersky.ru/support/support_table

9.0.0.736: Поддерживается без сопровождения

Как видишь, она не поддерживается техподдержкой. Для нее выходят базы и о ней можно спросить на форуме.

[akoK 75]

Как видишь, она не поддерживается техподдержкой.

Да действительно, но для нее выходят базы

[Fixxxer® 65]

Хм, а WKS 6.0.4.1424 a.d.f поддерживается. Но не ловит. Странно, почему об этом так лихо забыли?

А, ну да - мы же сейчас уходим от темы и пытаемся прицепится к совершенно другому, чтобы позабыть о факте: было три официальных обращения с тремя номерами KLAN, на которые в течение 10 дней не ответил ни дятел, ни аналитик.

О чём бы ещё поговорить? Может, о цвете моих волос - это имеет непосредственное значение на тест, его тему и результаты!

[Юрий Паршин 330]

Хм, а WKS 6.0.4.1424 a.d.f поддерживается. Но не ловит. Странно, почему об этом так лихо забыли?

Никто не забыл, детект в базы добавлен сегодня днем.

[Fixxxer® 65]

Сегодня днём - то есть 25 июня, спустя 10 дней. Спасибо. В дальнейшем для добавления детекта всегда буду писать сравнительные обзоры

Юра, просто между нами - ты действительно считаешь ситуацию нормальной? Объективно? Я не пытаюсь распять какую-то компанию - у всех бывает, дятел дал сбой, кто-то что-то недосмотрел, но при этом устраивать троллинг и пытаться замылить факты - это несерьёзно.

[K_Mikhail 807]

Сегодня днём - то есть 25 июня, спустя 10 дней. Спасибо. В дальнейшем для добавления детекта всегда буду писать сравнительные обзоры

Напиши, плз, такой обзор, чтобы у меня зарезолвились 811 необработанных тикетов Dr.Web c 2009 года. Лежат вот, в почтовой папке....

[Fixxxer® 65]

Нет, у нас, похоже, специфика только под ЛК заточена Но мы будем совершенствоваться!

Попробуйте сами, Вам-то виднее

[K_Mikhail 807]

Нет, у нас, похоже, специфика только под ЛК заточена Но мы будем совершенствоваться!

Проникся!...

Попробуйте сами, Вам-то виднее

Больше ленивее...

[Valery Ledovskoy 1082]

Напиши, плз, такой обзор, чтобы у меня зарезолвились 811 необработанных тикетов Dr.Web c 2009 года.

Такой обзор могут написать только сотрудники (иногда бывшие сотрудники)

[Sansero.ee 121]

а есть какая-нибудь статистика от

го, сколько семплов в день/неделю/ месяцобрабатывают вирлабы? А то дело то может в простой нехватке рессурсов... Или там всё автоматизировано донельзя? Уж простите за глупый вопрос...

[Юрий Паршин 330]

Юра, просто между нами - ты действительно считаешь ситуацию нормальной? Объективно?

Ненормально, пока не вышел KES 8 и актуальность детектов не уравняется.

Ситуация с ответами объяснима - на письма ответили лишь те вирлабы, которым достается лишь малый поток малвари, поэтому у них и есть возможность обрабатывать абсолютно все поступающие письма.

[RuNetting 0]

Касательно опечаток - будем благодарны за конкретные замечания. Подобный обзор - своеобразный "почин" (надеемся, что не первый и последний), в дальнейшем постараемся всё учесть и исправить.

Первый вариант ваш, второй правильный

microWorld Techlogie - MicroWorld Techlogies

ArkaVir - ArcaVir

Ну и в русском языке

[Fixxxer® 65]

Ситуация с ответами объяснима - на письма ответили лишь те вирлабы, которым достается лишь малый поток малвари, поэтому у них и есть возможность обрабатывать абсолютно все поступающие письма.

Со всем уважением к ЛК, но Sopos, DrWeb - ответы автоматом, но они были. Ваш дятел ушёл в глубокий транс. Не думаю, что поток у них намного меньше, чем в ЛК.

И если контора так велика, что имеется солидный список пользователей, солидный поток малвари - соответственно, хороший доход и хороший штат сотрудников. Если же идёт нездоровая экономия на ресурсах - тут уж без комментариев.

А на счёт "приоритетов заявок" - чем такое очковтирательство, лучше уж откровенно указать, что запросы принимаются только от пользователей продуктов. Примеры есть - AhnLab, McAfee и т.д. Сократите поток, раз уж людей не хватает, да и не будет подобных спорных ситуаций.

[Юрий Паршин 330]

лучше уж откровенно указать, что запросы принимаются только от пользователей продуктов.

Это не так. Запросы от пользователей - приоритетны, но не только они.

[mvs 92]

Последнее время вирлаб ЛК действительно работает с некоторой задержкой, по крайней мере ответы от аналитиков по запросам приходят с опозданием.

(вот например на запрос от 20.06 ответ я получил только сегодня - [KLAN-136274385], правда стоит отметить что детект в базы wks был добавлен в тот же день, или нет ответа на [KLAN-136913401] и детекта тоже, кроме эвристики.) Такое ощущение что там глючит механизм очереди или передача в очередь аналитику того или иного запроса.

А вообще было бы замечательно чтобы через персональный/личный кабинет было видно состояние запроса в вирлаб (ведь это не сложно). Для чего?

да просто для успокоения. А на предприятиях некоторых служба ИБ например при расследовании случаев заражения/обнаружения/помещения подозрительных файлов в карантин эвристикой новых зловредов в качестве ответа о том что это был именно новый зловред требуют ответа из ЛК. .

[Danilka 678]

Итак, релизный KIS2011 с базами от 14 числа. Все детектировалось на момент получения (сработала связка эмулятора с сигнатурами). Разумеется, детектируется и сейчас.

О чем я и говорил.... Тестеры...

Идем далее - касаемо обработки, отвечал Леша Маланов - руководитель Отдела оперативной борьбы с угрозами.

Как известно, основная задача вирлаба - не отвечать пользователям на их запросы, а поддерживать высокий уровень детектирования угроз. Очевидно, бОльшую часть новых вредоносов мы получаем от наших собственных систем сбора. И лишь незначительное количество - от наших пользователей. Недавние изменения направлены на дальнейшее повышение скорости реакции на новые угрозы. Мы концентрируем наши усилия на создании детектов с использованием наиболее продвинутых технологий. При этом продолжаем принимать все запросы на newvirus@kaspersky.com и обрабатывать их новейшими методами. Если же Вы хотите получить именно ответ живого вирусного аналитика, пожалуйста, воспользуйтесь формой отправки запросов из Личного кабинета. При этом в Личном кабинете должен быть зарегистрирован действующий код активации продукта.

-> с веб формы или просто при отправки на почтовый ящик - отвечать никто не обязан.. Логично. Главное, чтобы добавили детект.

mvs, если есть детект эвристиком, то сигнатурный зачем?

[mvs 92]

mvs, если есть детект эвристиком, то сигнатурный зачем?

не зачем, а для чего!. Лично я например не уверен что это не ложное срабатывание например, да и файлы такие попадают в карантин, а значит я не знаю что это за зловред, что он делает и когда он появился, стал ловиться эвристикой, да и нашему админу по ИБ фраза HEUR:Trojan.Win32.Generic ничего не говорит.

[Danilka 678]

Ну вот, получается, что только для личного успокоения...