Перейти к содержанию
K_Mikhail

мини-тест на правильность добавления дропперов

Recommended Posts

K_Mikhail
Честно говоря, я убежден, что результаты тестов на VB, AV-comparatives или AM добавили бы очков в пользу Dr.Web (хотя бы по популярности у простых пользователей), но вы знаете лучше меня позицию руководства: "тесты на лечение активного заражения, априори, синтетические", "тесты на коллекциях не in the wild". Хотя, большинству экспертов и так известно, что антивирус покажет на этих тестах значимые результаты.

Фикс по результатам последнего теста на лечение уже есть в бете?

Меня в последнее время не покидает другая мысль, а именно, провести мини-тест на правильность добавления дропперов ZeroAccess/MaxPlus/Sirefef и Tdss/Tidserv/Alureon вендорами. Это показало бы специфику добавления роботами/людьми дропперов таких руткитов из общего потока.

Ну, например, я взял другой вид -- Trojan:Win32/FakeSysdef (по MS), выборка: 22 файла.

Из них по Dr.Web: три пропуска, два -- Trojan.Packed.21658, восемь: Trojan.Siggen2.34573, три -- Trojan.Fakealert.21460, по одному -- Trojan.Fakealert.21586 и Trojan.Fakealert.20729, а также по одному -- Trojan.DownLoader2.17286, Trojan.DownLoader1.37156, Trojan.DownLoader1.48195, Trojan.DownLoader4.51832.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Меня в последнее время не покидает другая мысль, а именно, провести мини-тест на правильность добавления дропперов ZeroAccess/MaxPlus/Sirefef и Tdss/Tidserv/Alureon вендорами. Это показало бы специфику добавления роботами/людьми дропперов таких руткитов из общего потока.

Offtopic Буду признателен, если создадите тему, где можно будет обсудить такой тест. Идея интересная, главное продумать методологию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
@K_Mikhail

В данном случае имелось в виду другое, дропперы конкретных руткитов; каким образом различать ransoms от остальных семплов из потока, я лично не знаю.

Я взял семплы одного типа фейкалерта, какая разница-то по существу?

P.S. С первым вопросом тоже понятно... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Offtopic Буду признателен, если создадите тему, где можно будет обсудить такой тест. Идея интересная, главное продумать методологию.

Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют. Были также случаи, когда дропперы Sirefef или Alureon добавлялись вообще неправильно.

Т. о. тест навряд ли получится сделать не синтетическим в прямом смысле, все равно заранее нужно готовить коллекцию, а дропперы из нее уже наверняка побывали у вендоров и кто-то их уже передобавил.

@K_Mikhail Смысл вообще поменялся...

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют.

Гм, собственно, я их и показал, только на другом классе вредоноса... Кстати, ваш робот maxplus любил добавлять как Trojan.DownLoader, приходилось просить делать запись руками. Если сейчас найду у себя семпл maxplus-а, детектируемого как Trojan.DownLoader, дам md5.

UPD: Где-то так... (DrWeb 5.0.2.03300 2011.09.26 Trojan.DownLoader4.32521)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Гм, собственно, я их и показал, только на другом классе вредоноса... Кстати, ваш робот maxplus любил добавлять как Trojan.DownLoader, приходилось просить делать запись руками. Если сейчас найду у себя семпл maxplus-а, детектируемого как Trojan.DownLoader, дам md5.

UPD: Где-то так... (DrWeb 5.0.2.03300 2011.09.26 Trojan.DownLoader4.32521)

Нужно будет передобавить.

Хотя если делать по-настоящему более-менее не синтетический тест по дропперам, да еще и по ransoms, информация будет вскрываться, в том числе, и неприятная, и по очевидному "подворовыванию" детектов и по ransoms и по дропперам у некоторых вендоров; и у кого мощностей у вирлабов не хватает и прочее, прочее.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
То, про что пишет Валерий, внутренняя кухня компании, так проблемы есть абсолютно у всех, если взглянуть изнутри.

Ну уж нет. Две перезагрузки после каждого серьёзного обновления, а потом две для отката, а потом две после исправления - это не внутренняя кухня компании. Это нужно ходить и по полдня каждый раз перезагружать сервера. Или они будут стоять в ожидании перезагрузки неделями по меньшей мере, и это может привести вообще неизвестно к чему, если накопленные перезагрузки где-нибудь не сойдутся.

Пользователи уже реже стали спрашивать, "почему требуется перезагрузка, я перезагрузился, а он просит ещё раз". Но таких пользователей всё равно много.

Это ненормально.

И не надо говорить, что это для увеличения качества защиты. Это недостаток процедуры обновления в корпоративном продукте. В домашних продуктах такого нет.

Выигрывают на рынке не те антивирусы, которые лечат TDL4 на х64-системах из винды, а которые при установке не требуют перезагрузки. И именно об этом пишут большинство обзоров в широкой печати. Я в последнее время попереводил на русский много обзоров антивирусов с англоязычных сайтов. И рядом с обзорами АМ они рядом не стояли. Там всё проще - время первого/последнего сканирования, скорость включения/выключения, мало окон в установке, не требует перезагрузки... ну, изредка что-то типа AV-Comparatives.org, хотя это не обязательно. И, кстати, для корпоративных пользователей это важно, поверьте. Хороший админ - это ленивый админ, у которого всё работает, а он пьёт пиво. Мне же интересно поковыряться с перезагрузками, повосстанавливать LSP-цепочки после ремувера Dr.Web при неудачном обновлении ES-ки. Вылечить винлок (да, это не сложно, но в среднем раз в неделю приходится тратить время). Но так нравится далеко не всем администраторам. Селяви.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
K_Mikhail
Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют. Были также случаи, когда дропперы Sirefef или Alureon добавлялись вообще неправильно.

Т. о. тест навряд ли получится сделать не синтетическим в прямом смысле, все равно заранее нужно готовить коллекцию, а дропперы из нее уже наверняка побывали у вендоров и кто-то их уже передобавил.

@K_Mikhail Смысл вообще поменялся...

Кстати, взяв Trojan:Win32/FakeSysdef практически "от фонаря", оказалось, что всё ещё интереснее: https://blogs.technet.com/b/mmpc/archive/20...ganography.aspx (ключевое -- This particular installer is often downloaded by variants of Trojan:Win32/Fakesysdef using remote file names such as '531-direct'.)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Dima2_90
      Об особенностях сканирования исполняемых файлов антивирусами и доверии результатам VirusTotal - https://habr.com/post/346480/ Цитаты из статьи "Забавно, детект уменьшился с 60 для неупакованного файла и 41 для архива до 17 — при этом ни один из антивирусных движков не обнаружил Eicar, детекты явно имеют эвристический характер, а в ряде случаев напоминают ложное срабатывание (DrWeb, Baidu и др.)" "6 детектов из 67. Шесть, Карл! Все — эвристические. И скорее всего ничего не подозревающий пользователь посчитает файл безопасным." "современные антивирусные сканеры так и остались барахлом, которым были десяток-два лет назад, абсолютно пасующим перед простейшими видами упаковки кода. Решения в виде тестовых сред — «песочниц», эвристических анализаторов и т.д. только добавили неразберихи, ложных срабатываний, но по сути не защищают от реальной угрозы. Со старым, открытым и разжёванным до потрохов UPX как был бардак — так он и остался. А ведь я вполне мог упаковать не файл, вызывающий вредоносную активность, а непосредственно код, работать не с файлами на диске в %temp%, а в памяти, использовать не свободно доступные утилиты, а собственные или закрытые разработки — и таким образом обойти срабатывание резидентной защиты. Я вполне мог добавить интересные элементы интерфейса или скопировать таковой из распространённой программы — и обойти проактивку у неискушённого пользователя, который просто будет соглашаться с любыми запросами, доверяя тому, что запустил.

      То, что мы сделали выше — примитивный способ обмануть антивирус, который может понять и реализовать практически любой. И он сработал. Что говорить про искушённых специалистов!"
    • Dima2_90
      Ad-Aware --------- https://www.adaware.com/support/securitycenter/report_false_positives.php  Antiy-AVL --------- [email protected] Avast --------------- https://www.avast.ru/false-positive-file-form.php AVG ---------------- https://www.avg.com/ru-ru/false-positive-file-form Avira --------------- https://analysis.avira.com/en/submit BitDefender -------- https://www.bitdefender.com/submit/ ClamAV ------------ http://www.clamav.net/reports/fp DrWeb ------------- https://vms.drweb.ua/sendvirus ESET-NOD32 ------- https://www.esetnod32.ru/support/knowledge_base/new_virus/ Kaspersky --------- https://virusdesk.kaspersky.ru/ Microsoft ---------- https://www.microsoft.com/en-us/wdsi/filesubmission NANO-Antivirus ---- http://nanoav.ru/index.php?option=com_content&view=article&id=15&Itemid=83&lang=ru Symantec ---------- https://submit.symantec.com/false_positive/
    • Липковский Борис
      Вдруг понадобится, спасибо за информацию.
    • Липковский Борис
      Я собираю с разных стран магнитики. Это очень круто.
    • Липковский Борис
      Каждый находит свое увлечение.Заработок зависит от работы которую ты умеешь делать на отлично. Самое главное если есть время.
×