K_Mikhail

мини-тест на правильность добавления дропперов

В этой теме 8 сообщений

Честно говоря, я убежден, что результаты тестов на VB, AV-comparatives или AM добавили бы очков в пользу Dr.Web (хотя бы по популярности у простых пользователей), но вы знаете лучше меня позицию руководства: "тесты на лечение активного заражения, априори, синтетические", "тесты на коллекциях не in the wild". Хотя, большинству экспертов и так известно, что антивирус покажет на этих тестах значимые результаты.

Фикс по результатам последнего теста на лечение уже есть в бете?

Меня в последнее время не покидает другая мысль, а именно, провести мини-тест на правильность добавления дропперов ZeroAccess/MaxPlus/Sirefef и Tdss/Tidserv/Alureon вендорами. Это показало бы специфику добавления роботами/людьми дропперов таких руткитов из общего потока.

Ну, например, я взял другой вид -- Trojan:Win32/FakeSysdef (по MS), выборка: 22 файла.

Из них по Dr.Web: три пропуска, два -- Trojan.Packed.21658, восемь: Trojan.Siggen2.34573, три -- Trojan.Fakealert.21460, по одному -- Trojan.Fakealert.21586 и Trojan.Fakealert.20729, а также по одному -- Trojan.DownLoader2.17286, Trojan.DownLoader1.37156, Trojan.DownLoader1.48195, Trojan.DownLoader4.51832.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Меня в последнее время не покидает другая мысль, а именно, провести мини-тест на правильность добавления дропперов ZeroAccess/MaxPlus/Sirefef и Tdss/Tidserv/Alureon вендорами. Это показало бы специфику добавления роботами/людьми дропперов таких руткитов из общего потока.

Offtopic Буду признателен, если создадите тему, где можно будет обсудить такой тест. Идея интересная, главное продумать методологию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
@K_Mikhail

В данном случае имелось в виду другое, дропперы конкретных руткитов; каким образом различать ransoms от остальных семплов из потока, я лично не знаю.

Я взял семплы одного типа фейкалерта, какая разница-то по существу?

P.S. С первым вопросом тоже понятно... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Offtopic Буду признателен, если создадите тему, где можно будет обсудить такой тест. Идея интересная, главное продумать методологию.

Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют. Были также случаи, когда дропперы Sirefef или Alureon добавлялись вообще неправильно.

Т. о. тест навряд ли получится сделать не синтетическим в прямом смысле, все равно заранее нужно готовить коллекцию, а дропперы из нее уже наверняка побывали у вендоров и кто-то их уже передобавил.

@K_Mikhail Смысл вообще поменялся...

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют.

Гм, собственно, я их и показал, только на другом классе вредоноса... Кстати, ваш робот maxplus любил добавлять как Trojan.DownLoader, приходилось просить делать запись руками. Если сейчас найду у себя семпл maxplus-а, детектируемого как Trojan.DownLoader, дам md5.

UPD: Где-то так... (DrWeb 5.0.2.03300 2011.09.26 Trojan.DownLoader4.32521)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гм, собственно, я их и показал, только на другом классе вредоноса... Кстати, ваш робот maxplus любил добавлять как Trojan.DownLoader, приходилось просить делать запись руками. Если сейчас найду у себя семпл maxplus-а, детектируемого как Trojan.DownLoader, дам md5.

UPD: Где-то так... (DrWeb 5.0.2.03300 2011.09.26 Trojan.DownLoader4.32521)

Нужно будет передобавить.

Хотя если делать по-настоящему более-менее не синтетический тест по дропперам, да еще и по ransoms, информация будет вскрываться, в том числе, и неприятная, и по очевидному "подворовыванию" детектов и по ransoms и по дропперам у некоторых вендоров; и у кого мощностей у вирлабов не хватает и прочее, прочее.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
То, про что пишет Валерий, внутренняя кухня компании, так проблемы есть абсолютно у всех, если взглянуть изнутри.

Ну уж нет. Две перезагрузки после каждого серьёзного обновления, а потом две для отката, а потом две после исправления - это не внутренняя кухня компании. Это нужно ходить и по полдня каждый раз перезагружать сервера. Или они будут стоять в ожидании перезагрузки неделями по меньшей мере, и это может привести вообще неизвестно к чему, если накопленные перезагрузки где-нибудь не сойдутся.

Пользователи уже реже стали спрашивать, "почему требуется перезагрузка, я перезагрузился, а он просит ещё раз". Но таких пользователей всё равно много.

Это ненормально.

И не надо говорить, что это для увеличения качества защиты. Это недостаток процедуры обновления в корпоративном продукте. В домашних продуктах такого нет.

Выигрывают на рынке не те антивирусы, которые лечат TDL4 на х64-системах из винды, а которые при установке не требуют перезагрузки. И именно об этом пишут большинство обзоров в широкой печати. Я в последнее время попереводил на русский много обзоров антивирусов с англоязычных сайтов. И рядом с обзорами АМ они рядом не стояли. Там всё проще - время первого/последнего сканирования, скорость включения/выключения, мало окон в установке, не требует перезагрузки... ну, изредка что-то типа AV-Comparatives.org, хотя это не обязательно. И, кстати, для корпоративных пользователей это важно, поверьте. Хороший админ - это ленивый админ, у которого всё работает, а он пьёт пиво. Мне же интересно поковыряться с перезагрузками, повосстанавливать LSP-цепочки после ремувера Dr.Web при неудачном обновлении ES-ки. Вылечить винлок (да, это не сложно, но в среднем раз в неделю приходится тратить время). Но так нравится далеко не всем администраторам. Селяви.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Дело в том, что многие, и это не секрет, (кроме, пожалуй, одного вендора) передобавляют дропперы соответствующих руткитов, определяемые как generic, потом под правильными названиями. Т. е. робот не в состоянии добавить дроппер изначально под правильным названием, вот такие результаты и интересуют. Были также случаи, когда дропперы Sirefef или Alureon добавлялись вообще неправильно.

Т. о. тест навряд ли получится сделать не синтетическим в прямом смысле, все равно заранее нужно готовить коллекцию, а дропперы из нее уже наверняка побывали у вендоров и кто-то их уже передобавил.

@K_Mikhail Смысл вообще поменялся...

Кстати, взяв Trojan:Win32/FakeSysdef практически "от фонаря", оказалось, что всё ещё интереснее: https://blogs.technet.com/b/mmpc/archive/20...ganography.aspx (ключевое -- This particular installer is often downloaded by variants of Trojan:Win32/Fakesysdef using remote file names such as '531-direct'.)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • МашаМашенька
      Смотря для чего вы его хотите купить! Если для работы, то конечно с ноутбуком удобней! Если для игр, просмотра фильмов и так далее, то лучше компьютер, там мощности больше и экран можно большой взять
    • МашаМашенька
      А мы также планируем в Буковель поехать с супругом. В моих планах забеременеть, может хоть свежий воздух и другая атмосфера этому поспособствует. Нашла статью https://jdembaby.com/planning/zachatie/luchshie-pozy-dlya-zachatiya-rebenka.html , хочу применить в процессе, как раз проверим правду пишут или нет.
    • sharyga777
    • РПС-Калуга
      Компания "РусПромСварка" занимается проектированием, изготовлением и монтажом металлоконструкций в Калуге и Калужской области.  Опыт и наличие профессионального оборудования позволяют изготавливать качественные конструкции из металла по оптимальным ценам по чертежам и эскизам заказчика: металлические лестницы, переходы и площадки заборы из профнастила и металлопрофиля беседки из поликарбоната с металлическим каркасом строительные металлоконструкции (фермы, колонны, балки) Производим монтаж металлоконструкций. Сварочные работы  производятся аттестованными сварщиками на новейшем профессиональном оборудовании Lincoln Electric c использованием высококачественных сварочных материалов.  
    • PR55.RP55
      + MapsFrontier
      Global Security Center OOO
      Total PC
      Blue Century Software co.
      Elex do Brasil Participacoes Ltda.