Воры антивирусного детекта. Кто они?

[priv8v 960]

Дима, спасибо

Предлагаю всем интересующимся почитать ...

[Milord 55]

Здесь по моему, тоже затрагивается данная тема, если я правильно понял автора.

http://securitywatch.pcmag.com/security-so...-your-antivirus

[Сергей Ильин 1538]

Я искал эти ссылки, но не нашел. Спасибо Dmitriy K!

Хороший эксперимент был, очень показательный. Показательными были крики индустристрии в стиле ОХ и АХ ... не по-европейски толерантно в общем ЛК поступило )

http://securitywatch.pcmag.com/security-so...-your-antivirus

Там есть ссылки на VirusTotal, посмотрите что там с детектом происходит. Вот например:

https://www.virustotal.com/ru/file/5aee7efe...3b78d/analysis/ файл и теперь детектится самим Касперским, что очень странно

[priv8v 960]

теперь файл детектится даже самим Касперским, что очень странно

дык он же их специально детектил, чтобы другие с него "детект" слизали

Хороший эксперимент был, очень показательный. Показательными были крики индустристрии в стиле ОХ и АХ ... не по-европейски толерантно в общем ЛК поступило smile.gif)

Большая тройка (Symantec, McAfee, Trend Micro), Microsoft, Лаборатория Касперского, Доктор Веб + еще можно добавить Sophos, Eset (хотя к ним было много вопросов), BitDefender. Возможного кого-то забыл, но остальные под большим вопросом

так большинство из них ворами же оказались, судя по статье в пкмаге?

[Сергей Ильин 1538]

дык он же их специально детектил, чтобы другие с него "детект" слизали

Так нужно было убрать для порядка у себя. Чтобы у других остался и посмотреть на скорость реакции.

так большинство из них ворами же оказались, судя по статье в пкмаге?

Symantec с McAfee чего-то грешат, да. Работать сами не хотят, проще скопипастить.

[Сергей Ильин 1538]

Вот интересный пример из эксперимента ЛК 2010 года

https://www.virustotal.com/ru/file/0de6dfa1...89772/analysis/

Ситуация развивалась следующим образом:

Детект был наложен на чистый файл ЛК

Процесс заимствования детекта без лишних комплексов и этических заморочек пошел очень быстро. Вот картинка через сутки:

Спалились a-squared, Ikarus, Panda, TheHacker, F-Secure и Sophos (всего 6 движков)

Еще через сутки:

Спиратили детект также Avira, Antiy-AVL, McAfee, Fortinet (всего 10 движков)

И еще через 3 дня подтянулось пираты-тугодумы - Comodo

Интересная картинка 2012-02-07 04:27:12 т.е. через 2 года после начала эксперимента:

AhnLab-V3 Win-Trojan/Bzub.100406 20120206

BitDefender Trojan.Generic.KDV.521917 20120207

CAT-QuickHeal (Suspicious) - DNAScan 20120206

Commtouch W32/Trojan2.LYYN 20120207

Emsisoft Trojan-Spy.Win32.BZub!IK 20120207

F-Prot W32/Trojan2.LYYN 20120201

F-Secure Trojan.Generic.KDV.521917 20120207

Fortinet W32/BZub.HRS!tr 20120206

GData (автоматом от BitDefender) Trojan.Generic.KDV.521917 20120207

Ikarus Trojan-Spy.Win32.BZub 20120207

Jiangmin TrojanSpy.BZub.fsh 20120206

K7AntiVirus Trojan 20120206

Kaspersky Trojan-Spy.Win32.BZub.hrs 20120207

NOD32 probably a variant of Win32/Spy.BZub.BGJBZQL 20120207

PCTools Trojan.ADH 20120207

Symantec Trojan.ADH 20120207

VIPRE Trojan.Win32.Generic!BT 20120206

eSafe Win32.TrojanHorse 20120206

nProtect Trojan-Spy/W32.BZub.100406 20120206

Интересно, что после скандала первая волна пиратов детекта одумалась и сняла детект. Но другие продолжили процесс, видимо были не в курсе дела.

[priv8v 960]

Это все хорошо для истории, а как обстоят дела, спустя два года? Хорошо бы посмотреть, кто детекты снял, а кто наоборот задетектил

Кто-нибудь может пересканировать файлы из этой статьи Касперского? ( http://www.pcmag.com/article2/0,2817,2358649,00.asp )

[Liv 5]

Вот интересный пример из эксперимента ЛК 2010 года

https://www.virustotal.com/ru/file/0de6dfa1...89772/analysis/

Ситуация развивалась следующим образом...

Интересно, что после скандала первая волна пиратов детекта одумалась и сняла детект. Но другие продолжили процесс, видимо были не в курсе дела.

Что подтверждает что вирусные аналитики ЛК очень отсталые!

Так как могут взять подозрительный MD5, сам файл, а не вердикт. Автоматически. Чтобы найти этот подозрительный файл, а например Live Grid присылает его вирусным аналитикам для проверки. И еще вопрос, был ли с таким MD5 у пользователей вообще, может тогда в 2012 году какой-то вирусный аналитик ЛК поставил себе NOD32. После чего файл отправился на проверку и:

https://www.virustotal.com/ru/file/0de6dfa1...89772/analysis/

Фолсит как мы видим до сих пор - Касперский. MD5 5295d6d366c35594ab8b1ff5d67d8202

Кстати, вот скачал файлик из темы лечения пользователя Касперского! Написали ему, не защищаем, не расшифровываем.

https://www.virustotal.com/ru/file/722aa7a4...3feba/analysis/

http://s7.hostingkartinok.com/uploads/imag...5d2ead3d9bf.jpg

http://s7.hostingkartinok.com/uploads/imag...78fcffdadcb.jpg

=)

Отредактировал Октябрь 1, 2014 Liv

[priv8v 960]

Liv, выражайтесь яснее, иначе вас забанят за троллинг (это не угроза, а предсказание будущего). Лично я ничего не понял. При чем тут облако есета, аналитик лк и фолсы?

Кстати, кто-то инициировал перескан, теперь можете зайти по ссылкам на вирустотал и нажать на "посл.сканирование" и будут результаты на сегодняшний день. Кто-то снял детекты, кто-то наоборот яростно все задетектил, предлагаю глянуть там очень красиво

[Liv 5]

Да то, если кто-то возьмёт подозрительную МD5 и данные - Касперский, неважно от куда, а автоматическая система найдет этот файл у пользователей, и пришлет этот файл на проверку вирусным аналитикам и они его проверят сами и скажут да это Касперский опять фалсит. То это хорошо, а ЛК отсталые лузеры, у них неправильные вердикты они сами не знают что ловят, а робот их фалсит и тырит все подряд! Я это точно знаю!!!

Вот смотри;

http://www.virusradar.com/en

http://www.virusradar.com/en/update/info/1...ign=Versioninfo

Где такое у ЛК, все профи знают по результатам работы, разным, детектированию, точности, распаковщикам... - вирусные аналитики ЛК это или роботы или очень отсталые вирусные аналитики. И вообще они сами писали что у них люди работают вирусными аналитиками только в начале, потом людей переводят на другую работу, типа растут. Так что там только отсталые новички и глупый робот, у ЛК.

Отредактировал Октябрь 1, 2014 Liv

[priv8v 960]

Вы не понимаете суть теста - касперский намеренно задетектировал чистые ими же созданные файлы, а многие антивирусы просто сперли их детект - раз каспер детектит, то и они. Они не стали исследовать что это за файлы, а просто собезьянничали. Понятно так?

[Liv 5]

Вы не понимаете суть теста - касперский намеренно задетектировал чистые ими же созданные файлы, а многие антивирусы просто сперли их детект - раз каспер детектит, то и они. Они не стали исследовать что это за файлы, а просто собезьянничали. Понятно так?

Я все знаю, и уж тем более то что Касперский намеренно задетектировал чистые. Все понимаю, мне понятно всё, если мне понятны свои посты, то уж чужие...

[priv8v 960]

Тогда какие претензии к касперу? на мой взгляд он правильно все сделал. Можете предложить свою методологию такого теста, обсудим. По-моему, все логично, только для более точного результата нужно такой тест провести пару раз силами сообщества и на разных типах файлов.

[Илья Рабинович 521]

Спокойнее- Виталег детектед...

[priv8v 960]

А я думал он давно почил во Бозе...

[Сергей Ильин 1538]

а то, если кто-то возьмёт подозрительную МD5 и данные .... Я это точно знаю!!!

Что такое подозрительная MD5 и данные? Очень мне интересно

[priv8v 960]

предположу, что это просто набор слов

[Kapral 311]

Liv, выражайтесь яснее, иначе вас забанят за троллинг (это не угроза, а предсказание будущего). Лично я ничего не понял. При чем тут облако есета, аналитик лк и фолсы?

Посмотри на имя пользователя в

http://s7.hostingkartinok.com/uploads/imag...5d2ead3d9bf.jpg

[Rustock.WA 0]

Так нужно было убрать для порядка у себя. Чтобы у других остался и посмотреть на скорость реакции.

Symantec с McAfee чего-то грешат, да. Работать сами не хотят, проще скопипастить.

Symantec? Ну если ориентироваться на VT, то разбираться для начала надо, а то выясняется, что народ не знает что такое Susp.Insight и трактуют это как детект Symantec.

Если и есть кража, то максимум в той степени, что и у ЛК, вопрос: а зачем имея самую большую глобальную сеть мониторинга что-то красть? Там итак есть чем заняться. К тому же, в отличие от всех вендоров, Symantec может даже "подарить" часть данных своей сети GIN, на её основе даже выстроили систему прогнозирования DeepSight, получив за деньги доступ к которой можно выяснять очень много нового, интересного и регулярного, если не вдаваться в подробности. Вопрос в том: для кого сама кража явл. основным источником. Сразу можно брать всех с низкими прибылями.

[priv8v 960]

Сергей не про суспинсайт говорит, а про то, что у Симы два детекта Trojan.ADH на два чистых файла

[Rustock.WA 0]

А где подтверждение? VT? Ну уж нет. Я сам видел столько случаев, когда VT забивал на смену детектов у Symantec с проактивных на реактивные, что там говорить об исправлении фолсов. Возможно случаи не частые, но всё таки.

А конкретно по этому случаю: ADH.N (N-номер)(как и ADH.SMH.N, ADH.SFC, ADH.X, например, а вот Gen.SMH.N - дженерик, т.е. внимательнее нужно быть) - обновляемый проактивный детект, какая кража? Вот если бы это был, к примеру, Trojan.GEN.N, можно было бы предположить, если случаев несколько - утверждать, но это не про ADH. Symc кражу проще прописать через Trojan.Gen и подобные.

Вот описание ADH.2 с примечаниями:

Symantec’s antivirus products contain an highly sensitive detection technology designed to detect entirely new malware threats without traditional signatures. This technology is aimed at detecting malicious software that has been intentionally mutated or morphed by attackers.

If one or more files on your computer have been classified as having a Trojan.ADH.2 threat, this indicates that the files have suspicious characteristics and therefore might contain a new or unknown threat. However, given the sensitive nature of this detection technology, it may occasionally identify non-malicious, legitimate software programs that also share these behavioral characteristics. Therefore, it is recommended that users manually check all files detected as Trojan.ADH.2 by Symantec antivirus products for potential misidentification, and submit any suspect files to Symantec Security Response for further analysis. For instructions on how to do this, read Submit Virus Samples.

[priv8v 960]

Симе через систему обмена свалился неизвестный файл и он его задетектил трояном (с оглядкой на других или самостоятельно, что сложно выяснить). Статистических данных (в каких местах, у каких юзеров, откуда и т.д) данных скорее всего у него не было - был тупо файл по которому он влепил детект. Лично я считаю, что с оглядкой - иначе бы был детект Ws.rep.1 - на все мои helloworld файлы у него именно такие детекты висят, причем годами.

Тут же детектит трояном, а генерик это или иной комплексный хитрый детект это маловажно уже, проактивный, реактивный - это все попытки уйти от темы и замылить ее. Сигнатурный детект есть? Да есть. По мертвому файлу в отдельной папке без привязки к окружению/источнику/итд? да (именно такой детект на ВТ и есть). А вашу идею о том, что локальный продукт таких детектов не имеет - проверить запросто. Качаем и проверяем. Я проверил. Детекты на месте.

Вы несколько плохо понимаете само понятие кражи детекта, раз задаете такой вопрос - крадется не сигнатура или еще чего, а в сложном случае делается оглядка на каспера, например - а что он думает об этом файле, если детектит, то значит есть за что, надо б тоже влепить детектик худобедный какой-нибудь.

[Rustock.WA 0]

Я всё написал. Вы ничего не опровергли.

Сигнатурный детект есть? Да есть.

ГДЕ?

проактивный, реактивный - это все попытки уйти от темы и замылить ее.

Вот как Конечно, какая разница автоматизированно по желанию продукта детект вылез или по желанию аналитика.

А тесты на сбитие хэша с файлов случайно не вы готовили? Это тот тест на Хакере в октябре 14 ? Долго смеялся. А потом стало грустно, ведь его люди читают, а им такую фигню впарили, причём написали так интересно мол, короче, сбили хэш, детекта нет, пичалька, но потом пошли реакции эвристики, репутации поведения....но нам....нам было пофиг, мы ведь хэш сбивали.

Кражи идут по хэшам. Никак иначе.

Больше на софизм смахивает.

[priv8v 960]

Я всё написал. Вы ничего не опровергли.

Я могу ответить аналогично - ничего написанного мной Вы не опровергли. Мне нужно предоставить нотариально заверенные скриншоты детекта данных файлов в моей вм?

tongue.gif ГДЕ?

На VT и в моей виртуалке. В данном случае под "сигнатурный" имеется в виду детект конкретно на этот файл мертво лежащий на диске с отрывом от его динамико-статических характеристик (повторяюсь - именно такие детекты умеет показывать VT - то, что выдает Симовский консольный юникс-сканер.

Детект на эти файлы есть? Есть, причем не репутационный (аля известно менее х юзерам). Почему я должен хвалить Симу за фолс (детект чистого файла) лично мне непонятно.

автоматизированно по желанию продукта детект вылез или по желанию аналитика.

Детект не по желанию продукта появился или аналитика, а по их автодятлу (который жрет электричество как свинья, если верить Е.К).

Вопрос лишь в одном - если бы у других аверов не было кучи детектов - появился бы такой детект у Симы? Лично я считаю, что не появился бы - аргументирую это тем, что обычно на чистые редкие файлы у Симы детект rep.1, а не Trojan.ADH.

А тесты на сбитие хэша с файлов случайно не вы готовили?

предпочитаю получать деньги напрямую от аверов, а не от журналов.

Но это оффтоп. Могу посоветовать не отходить от темы и писать конкретнее, иначе скатитесь (уже потихоньку начали) в стиль общения вендорских форумов и отхватите в лоб от СМ.

Если у Вас есть какая-то иная точка зрения на данный детект (почему это нельзя считать фолсом и почему Сима не оглядывался на других - аргументируйте). Раз уж вспомнили про хеши, то вам вопрос - если поменять в данных файлах один байт, то детект пропадет или нет у Симы? Вот я ответа на этот вопрос не знаю.

[Rustock.WA 0]

Я могу ответить аналогично - ничего написанного мной Вы не опровергли. Мне нужно предоставить нотариально заверенные скриншоты детекта данных файлов в моей вм?

Софистика. Мне и не надо ничего опровергать, ибо вы не писали ничего конкретного, а я даже оф. описание детекта дал, неоспоримый документ. Лучших данных просто не существует, всё остальное - охота за призраками. Тему продолжать не буду.

Вообще говоря, данная тема больше на ребячество похоже и самопиар. Я ничего не имею против ЛК. Но здесь как не было конкретики, так и нет. "Все люди лгут" - проверить сможете? А зачем, верно? Есть вещи, обсуждение которых заведомо не принесёт плодов. Так зачем время тратить? К тому же, как выясняется, многие здесь не понимаю принципы работы технологий других вендоров (примерно, хотя бы знать детект что значит). Так вот и ребячество и самоуверенность. Спуститесь на землю. И в вину McAfee я не верю. Artemis тоже бывает развлекается только так по новым файлам. Нужно иметь для начала конкретные данные по технологиям вендоров. Таких данных нет. Ну и чего тогда мусолить? Пусть ЛК и точит "зуб", коль так уверена. Не надо всё разводить до глоб. масштабов и теорий заговора. Я потому и говорю, что ресурс ЛКшный, своей головой полезно думать, да. У каждого свои интересы, а рынок всё на свои места расставляет. Нет смысла в теме.

Если и говорить, то про тех вендоров, которые движки покупают, не имеют клиентуры и прочих вещей.