K_Mikhail

мини-тест на правильность добавления дропперов

В этой теме 8 сообщений

Честно говоря, я убежден, что результаты тестов на VB, AV-comparatives или AM добавили бы очков в пользу Dr.Web (хотя бы по популярности у простых пользователей), но вы знаете лучше меня позицию руководства: "тесты на лечение активного заражения, априори, синтетические", "тесты на коллекциях не in the wild". Хотя, большинству экспертов и так известно, что антивирус покажет на этих тестах значимые результаты.

Фикс по результатам последнего теста на лечение уже есть в бете?

Меня в последнее время не покидает другая мысль, а именно, провести мини-тест на правильность добавления дропперов ZeroAccess/MaxPlus/Sirefef и Tdss/Tidserv/Alureon вендорами. Это показало бы специфику добавления роботами/людьми дропперов таких руткитов из общего потока.

Ну, например, я взял другой вид -- Trojan:Win32/FakeSysdef (по MS), выборка: 22 файла.

Из них по Dr.Web: три пропуска, два -- Trojan.Packed.21658, восемь: Trojan.Siggen2.34573, три -- Trojan.Fakealert.21460, по одному -- Trojan.Fakealert.21586 и Trojan.Fakealert.20729, а также по одному -- Trojan.DownLoader2.17286, Trojan.DownLoader1.37156, Trojan.DownLoader1.48195, Trojan.DownLoader4.51832.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Меня в последнее время не покидает другая мысль, а именно, провести мини-тест на правильность добавления дропперов ZeroAccess/MaxPlus/Sirefef и Tdss/Tidserv/Alureon вендорами. Это показало бы специфику добавления роботами/людьми дропперов таких руткитов из общего потока.

Offtopic Буду признателен, если создадите тему, где можно будет обсудить такой тест. Идея интересная, главное продумать методологию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
@K_Mikhail

В данном случае имелось в виду другое, дропперы конкретных руткитов; каким образом различать ransoms от остальных семплов из потока, я лично не знаю.

Я взял семплы одного типа фейкалерта, какая разница-то по существу?

P.S. С первым вопросом тоже понятно... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Offtopic Буду признателен, если создадите тему, где можно будет обсудить такой тест. Идея интересная, главное продумать методологию.

Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют. Были также случаи, когда дропперы Sirefef или Alureon добавлялись вообще неправильно.

Т. о. тест навряд ли получится сделать не синтетическим в прямом смысле, все равно заранее нужно готовить коллекцию, а дропперы из нее уже наверняка побывали у вендоров и кто-то их уже передобавил.

@K_Mikhail Смысл вообще поменялся...

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют.

Гм, собственно, я их и показал, только на другом классе вредоноса... Кстати, ваш робот maxplus любил добавлять как Trojan.DownLoader, приходилось просить делать запись руками. Если сейчас найду у себя семпл maxplus-а, детектируемого как Trojan.DownLoader, дам md5.

UPD: Где-то так... (DrWeb 5.0.2.03300 2011.09.26 Trojan.DownLoader4.32521)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гм, собственно, я их и показал, только на другом классе вредоноса... Кстати, ваш робот maxplus любил добавлять как Trojan.DownLoader, приходилось просить делать запись руками. Если сейчас найду у себя семпл maxplus-а, детектируемого как Trojan.DownLoader, дам md5.

UPD: Где-то так... (DrWeb 5.0.2.03300 2011.09.26 Trojan.DownLoader4.32521)

Нужно будет передобавить.

Хотя если делать по-настоящему более-менее не синтетический тест по дропперам, да еще и по ransoms, информация будет вскрываться, в том числе, и неприятная, и по очевидному "подворовыванию" детектов и по ransoms и по дропперам у некоторых вендоров; и у кого мощностей у вирлабов не хватает и прочее, прочее.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
То, про что пишет Валерий, внутренняя кухня компании, так проблемы есть абсолютно у всех, если взглянуть изнутри.

Ну уж нет. Две перезагрузки после каждого серьёзного обновления, а потом две для отката, а потом две после исправления - это не внутренняя кухня компании. Это нужно ходить и по полдня каждый раз перезагружать сервера. Или они будут стоять в ожидании перезагрузки неделями по меньшей мере, и это может привести вообще неизвестно к чему, если накопленные перезагрузки где-нибудь не сойдутся.

Пользователи уже реже стали спрашивать, "почему требуется перезагрузка, я перезагрузился, а он просит ещё раз". Но таких пользователей всё равно много.

Это ненормально.

И не надо говорить, что это для увеличения качества защиты. Это недостаток процедуры обновления в корпоративном продукте. В домашних продуктах такого нет.

Выигрывают на рынке не те антивирусы, которые лечат TDL4 на х64-системах из винды, а которые при установке не требуют перезагрузки. И именно об этом пишут большинство обзоров в широкой печати. Я в последнее время попереводил на русский много обзоров антивирусов с англоязычных сайтов. И рядом с обзорами АМ они рядом не стояли. Там всё проще - время первого/последнего сканирования, скорость включения/выключения, мало окон в установке, не требует перезагрузки... ну, изредка что-то типа AV-Comparatives.org, хотя это не обязательно. И, кстати, для корпоративных пользователей это важно, поверьте. Хороший админ - это ленивый админ, у которого всё работает, а он пьёт пиво. Мне же интересно поковыряться с перезагрузками, повосстанавливать LSP-цепочки после ремувера Dr.Web при неудачном обновлении ES-ки. Вылечить винлок (да, это не сложно, но в среднем раз в неделю приходится тратить время). Но так нравится далеко не всем администраторам. Селяви.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют. Были также случаи, когда дропперы Sirefef или Alureon добавлялись вообще неправильно.

Т. о. тест навряд ли получится сделать не синтетическим в прямом смысле, все равно заранее нужно готовить коллекцию, а дропперы из нее уже наверняка побывали у вендоров и кто-то их уже передобавил.

@K_Mikhail Смысл вообще поменялся...

Кстати, взяв Trojan:Win32/FakeSysdef практически "от фонаря", оказалось, что всё ещё интереснее: https://blogs.technet.com/b/mmpc/archive/20...ganography.aspx (ключевое -- This particular installer is often downloaded by variants of Trojan:Win32/Fakesysdef using remote file names such as '531-direct'.)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • РинРин
      Вспомнилась серия из сериала Черное зеркало - там, где парнишка решил почистить ноут от вирусни, скачал и запустил утилиту-чистильщика, а вместе с ней скачалась прога, которая незаметно снимала на него компромат. Ну и потом, естественно, парнишка очень сильно попал). Я не особо впечатлительная и наивная, но с тех пор у меня вебка заклеена стикером XDDD
    • San
      Я вот сейчас тоже столкнулся с подобной проблемой. Кредит к сожалению, давать мне почему-то отказываются. Поэтому для себя лично я решил, что лучше будет взять деньги под залог автомобиля, потому как в худшем случае, я потеряю только свое транспортное средство, а не квартиру или что-то еще более важное. Нашел неплохие условия в Москве на сайте https://lombard-capital.ru/uslugi/dengi-pod-zalog-avto/ .  Кто-нибудь пользовался их услугами?
       
    • Harlison
      Кстати по сути вы говорите про те же материалы, из которых делают балконы разные, как тут под ключ кстати по адекватной цене https://salamander.com.ua/production/osteklenie-lodzhij-i-balkonov/balkon-pod-klyuch/ . В итоге суть в чём, можете попробовать с ними связать напрямую и предложить быть спонсорами такой то идеи, для создания удобства граждан. Или через горсовет и сразу предлагать, где можно их сделать, чтобы те всё оплатили.
      Если взялись, так делайте!
    • Viktorr
      Потому что для безопасности компьютеров, мало одних лишь антивирусов, нужно применять и другие способы защиты. В сети вообще-то немало данных по этой теме, к примеру вот здесь можете ознакомиться с подробной информацией, как проводить тестирование на проникновение, для обеспечения информационной безопасности  https://codeby.net/kniga-testirovanie-na-proniknovenie-s-kali-linux-2-0-na-russkom-jazyke/ . Там полностью на русском языке изложено, как проводить анализ уязвимостей в веб-приложениях, делать стресс-тесты сети и т.д. Так что внимательно изучите данную информацию, и делайте выводы, что нужно предпринять, чтобы надежно защитить свой компьютер.
    • demkd
      А причем тут разрабы, формат известен, проблема во времени необходимом на интеграцию sql в uVS и само совместимостью такого комбайна с PE, со временем вопрос решится буду смотреть.