Ummitium

Скорость в угоду защите

В этой теме 50 сообщений

Для того чтобы не влиять на скорость загрузки системы и приложений в автозагрузке, многие антивирусы запускают защиту в последнюю очередь и не ведут контроль за работой приложений во время загрузки рабочего стола и программ из списка автозапуска.

Исследуя поведение антивирусной защиты нескольких популярных антивирусов при старте системы, обнаружил возможность беспрепятственного запуска даже уже детектируемого вируса, минуя антивирусные сканеры, проактивку и прочие навороты.

Так к примеру NAV/NIS 2012, DrWeb 6.0, KAV/KIS2012 не смогут пресечь запуск детектируемого образца MBR патчера, если он был запакован/зашифрован неизвестным методом, а безобидная утилита прописала в автозагрузку процедуру его распаковки/расшифровки и запуска, не забыв при этом форсированно перезапустить систему.

Естественно, те, кто не работают под админом, не отключают UAC и используют оптимально настроенный HIPS менее подвержены такому виду заражения.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, опишите технические моменты более четко и подробно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Пожалуйста, опишите технические моменты более четко и подробно...
Если иметь возможность беспрепятственно прописывать файлы в автозагрузку и низкоуровневый доступ к жесткому диску, можно заражать систему уже детектируемым MBR локером.

Образец упаковывается или зашифровывается для сокрытия от АВ сканера, затем процедура извлечения и запуска прописывается в автозапуск и система перезагружается.

Суть в том, что если бы мы извлекали и запускали вредонос после полной загрузки АВ, то он был бы блокирован и удален антивирусом.

Но немного изменив способ запуска, мы обходим антивирусную защиту продуктов Лаборатории Касперского, DrWeb, Symantec и возможно других (я остальные не проверил, хватило этих трех)

У меня есть уже готовый сценарий, могу кинуть в ЛС компетентным пользователям.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

С Comodo такой номер не пройдёт.

А по Нортону могу сказать не проводя никаких тестов, что 2012 весия загружается очень долго.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

думаю это что-то вроде батника в автозагрузку, где virus.rar это архив с паролем PASS

winrar e virus.rar -pPASS

start virus.exe

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
У меня есть уже готовый сценарий, могу кинуть в ЛС компетентным пользователям.

Скиньте, пожалуйста.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

По мотивам 100500 тем на форуме ЛК, теперь и на АМ

"Скорость в угоду защите, большинство антивирусов не защитят от заражения детектируемым вирусом".

Хит сезона, не пропустите!!!1

С Comodo такой номер не пройдёт.
Да нет, пишут, что тоже в пролете :P

Экзекуции подверглись: NIS 2012, DrWeb 6.0, KIS2012, AVG, Comodo, Nod.

Ummitium, кто следующий?

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

В Нортоне можно перевести защиту во время загрузки в агрессивный режим, а вот что с другими АВ делать...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Пожалуйста, опишите технические моменты более четко и подробно...

1) берете любую заразу (для эффектности можно взять детектируемый образец)

2) устанавливаете антивирус

3) обновляете антивирус

4) перезагружаете систему

5) со скоростью 100 кликов в секунду клацаете по заразе, пока антивирус не загрузится: не появится иконка в области уведомлений/не применится нужная политика

6) сильно удивляетесь, почему антивирус (или модули, входящие в состав комплекса) не защитил систему

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
5) со скоростью 100 кликов в секунду клацаете по заразе, пока антивирус не загрузится: не появится иконка в области уведомлений/не применится нужная политика

Зачем так убиватся, проблема надуманная :)

Очередной "epic fail" :facepalm::lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
В Нортоне можно перевести защиту во время загрузки в агрессивный режим, а вот что с другими АВ делать...

У Авиры есть безопасный старт. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

@Да нет, пишут, что тоже в пролете@

Кто пишет? Где? Линк?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

А можно мне таковую штуку в личку?DefenseWall + G Data AV выдержит али нет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
думаю это что-то вроде батника в автозагрузку, где virus.rar это архив с паролем PASS

winrar e virus.rar -pPASS

start virus.exe

Винрар есть не у каждого, но такая идея самая оптимальная - в автозагрузку расшифровку + запуск.

У меня получилось несколько примитивно, MBR патчер сделан на основе одного мбр локера, известного по базам ЛК, как Trojan-Ransom.Win32.Mbro.rv, остальные АВ его тоже детектируют. Cаму тушку поместил в sfx архив, которые ав сканеры не умеют распаковывать.

1) берете любую заразу (для эффектности можно взять детектируемый образец)

2) устанавливаете антивирус

3) обновляете антивирус

4) перезагружаете систему

5) со скоростью 100 кликов в секунду клацаете по заразе, пока антивирус не загрузится: не появится иконка в области уведомлений/не применится нужная политика

6) сильно удивляетесь, почему антивирус (или модули, входящие в состав комплекса) не защитил систему

Да да, именно так, только "клацанье по заразе" делается автоматически при старте системы и действия пользователя больше не нужны - он случайно что-то запустил, перезагрузка, потом запуск патчера и еще одна перезагрузка.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
... такая идея самая оптимальная - в автозагрузку расшифровку + запуск. ...

Каким образом произойдет добавление в автозагрузку?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
По мотивам 100500 тем на форуме ЛК, теперь и на АМ

"Скорость в угоду защите, большинство антивирусов не защитят от заражения детектируемым вирусом".

Да, изначально обратил внимание только на продукты ЛК, поэтому начал сначала на форуме, но оказалось что у некоторых ав тоже так.
Да нет, пишут, что тоже в пролете :P

Экзекуции подверглись: NIS 2012, DrWeb 6.0, KIS2012, AVG, Comodo, Nod.

Ummitium, кто следующий?

АВ от Eset не опробовал еще, да и нет необходимости, кому надо, сами могут проверить на любом другом антивирусе.

Кстати, AVG 2012 Free пока что единственный не допускает запуска детектируемого файла в автозагрузке.

CIS по умолчанию не дает прописываться в автозагрузку.

KIS выдает алерт о целесообразности запрета опасной активности инсталлятора, но неопытный пользователь, как правило все разрешает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
он случайно что-то запустил

Это при отключенных антивирусных сканерах, проактивке и прочих наворотах? ^_^

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Это при отключенных антивирусных сканерах, проактивке и прочих наворотах? ^_^
Ничего не отключал, все настройки были по умолчанию. Если антивирус позволил прописаться в автозагрузку и есть права администратора, то больше ничего не надо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Made by MBRLock Builder v0.2 :lol:
У меня получилось несколько примитивно, MBR патчер сделан на основе одного мбр локера, известного по базам ЛК, как Trojan-Ransom.Win32.Mbro.rv, остальные АВ его тоже детектируют. Cаму тушку поместил в sfx архив, которые ав сканеры не умеют распаковывать.

Что еще улыбает?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Что еще улыбает?
Ага
Cаму тушку поместил в sfx архив, которые ав сканеры не умеют распаковывать.
Ссылку на проверку от вирустотала покажете? :)
Тема древняя, аки мамонтъ.
Всё новое — это хорошо забытое старое ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
KIS выдает алерт о целесообразности запрета опасной активности инсталлятора, но неопытный пользователь, как правило все разрешает.

Ну а кто в этом виноват? Антивирус? Так можно и другим зловредом заразить, без всяких перезагрузок и так далее. А еще неопытные пользователи отключают антивирус - и тоже, кто тут виноват?

Касаемо этого кейса, то он не корректен, так как опять же тот же KIS выдает аллерт при запуске, описывал все тут:

http://forum.kaspersky.com/index.php?showt...t&p=1733431

Также в случае с KIS достаточно поставить пароль на учетку и тогда даже после перезагрузки KIS выдаст новый аллерт. Касаемо других вендоров - предполагаю, что NIS выловит SONAR-ом запуск данного файла.

А вообще проблема надуманна и раздута.

Но касаемо наших продуктов (ЛК), подумаем, что можно сделать.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ссылку на проверку от вирустотала покажете? :)
Вот.
Ну а кто в этом виноват? Антивирус? Так можно и другим зловредом заразить, без всяких перезагрузок и так далее. А еще неопытные пользователи отключают антивирус - и тоже, кто тут виноват?
Ну представь, геймер скачал "супер чит" на CS, запустил... как думаешь, разрешит или нет?
Касаемо этого кейса, то он не корректен, так как опять же тот же KIS выдает аллерт при запуске, описывал все тут:
А Антивирусом Касперского пользователи разве не пользуются? Антивирусный сканер во время автостарта приложений - отдыхает.

Я четко не предсталяю, по какому критерию оценивается опасность приложения у контроля программ KIS, но возможно только моя поделка вызывает алерт, а однотипные утилиты других попадут в Слабые ограничения и алертов не будет.

И к тому же, эта проблема не только продуктов Лаборатории Касперского.

ЗЫ Также не исключаю особенность работы антивирусов в виртуальной среде MS Virtual PC :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • PR55.RP55
      cmad Если у вас на PC вирус - то вам нужно обратиться на один из специализированных форумов. Так в Случае, если у вас антивирус от: Kaspersky - то на их форум:  https://forum.kasperskyclub.ru/index.php?showforum=26 Dr.Web -то: https://forum.drweb.com/index.php?showforum=35 ESET NOD32: https://forum.esetnod32.ru/forum35/ Это нужно, чтобы удалить вирус и бесплатно расшифровать ваши файлы ( если возможно ).  
    • cmad
      кто нибудь лечился от шифровальщика ?  научите как...
    • djum
      Ну, вообще сейчас полно антивирусов на андроид... Правда не знаю, насколько он функциональны... У меня NOD стоит, поставил его себе потому что на обзорах Гикхакера вроде как один из лучших.. Хотя и каспера вроде хвалят... Но тут уже конечно каждый под себя выбирает, что удобнее и вкуснее лично для него...
    • djum
      А вообще конечно тема и нтересная... Кто-нибудь юзал фришного Каспера? У меня то лицуха вот уже как 3  года, но посмотрел порылся, на Гикхакере допустим его хвалят, а вот на 4пда не самые лучшие отзывы... Интересно было бы отзывы от реальных пользователей услышать...
    • AM_Bot
      Глава Fortinet в России рассказал Anti-Malware.ru о рынке сетевой безопасности и особенностях конкуренции в нашей стране, а также о том, что стоит за понятием Security Fabric и почему физические фаерволы популярнее виртуальных. Читать далее