Воры антивирусного детекта. Кто они?

[priv8v 960]

Мне и не надо ничего опровергать, ибо вы не писали ничего конкретного

Аналогично. Описание прочитал, английский язык на троечку осиливаю. И что? Детект новой малвари без традиционных сигнатур и могут быть фолсы на легальный софт из-за "behavioral characteristics", потому такие файлы надо им засабмитить чтоб фолс потерли. Дальше, то что? Задетектили чистый файл. Ваша версия о том, что детект только на ВТ - рассыпалась. Тем более, что на ВТ - просто ADH (но это не сильно важно). Почему данный детект мы все должны "простить" Симе и считать этот детект "хорошим" детектом - не ясно. Ответ на вопрос про один байт - не такой простой как кажется на первый взгляд, кстати.

[Ludoedushka 6]

Здравствуйте.
Меня очень смущает данная дискуссия.
Отстающие всегда подражают лидерам и заимствуют те их идеи, решения, технологии, которые можно позаимствовать законно!
Это естественный закон, возмущаться им странно.
Например, Япония начинала с тотального копирования западных ноу-хау (как сейчас Китай), но со временем стала одним из лидеров, технологии которого, в свою очередь стали копировать другие.
Многие лидеры программного обеспечения (например, Apple и Microsoft) вообще начинали с прямого воровства. Так Apple украла у Xerox графический интерфейс, затем его попыталась украсть Microsoft (ей это удалось лишь частично, так как Apple успела запатентовать часть награбленного). MS-DOS была нагло скопирована с CP/M-86, куча вставок в MS-DOS, Windows, MS-Office и другие продукты Microsoft, были украдены у других фирм. И это не голословные утверждения, несколько таких дел Microsoft позднее проиграла в суде.
В СССР тоже не стеснялись копировать западное, особенно когда запад отказывался продавать нужные технологии по политическим причинам.
Многие советские операционные системы, большая часть программного обеспечения (типа редактора Фотон) было копией западных коммерческих продуктов.
Ни в коем случае я не оправдываю воровство, но любые разговоры об этом надо переводить в юридическую плоскость.
А с юридической точки зрения ни одна из компаний, обвиненных в "краже детекта" законов не нарушила, иначе эти события рассматривались не на форумах, а в судах.
То есть с юридической точки зрения это не воровство.
Если вы думаете, что ваши технологии воруют, запотентуйте их, а потом засудите воров.
Но если на такие простые вещи патентов не предусмотрено, значит их заимствование это не воровство.
Если считать такие простые вещи воровством, то можно дойти до того, что запретить новой автофирме делать машины с четырьмя колесами обвинив её в краже чужих разработок.
Ситуация простая, продукт конкурента стал определять некий файл, как зловредный. Многие компании заключили соглашение с VirusTotal и на законных основаниях могут получать с него файлы. Однако для изучения этих файлов требуется время, а клиенты за это время могут пострадать. Поэтому компании, чтобы не подставить клиентов помещают такие файлы в своего рода черные списки.
Что мы имели на VirusTotal в случае обмана Лабораторией Касперского антивирусного сообщества?
Большинство вендоров не скрывали, что первопричиной включения файлов в черный список стала реакция на них продукта Касперского.
Напротив, большинство из них поступило абсолютно открыто, в качестве определения файла использовали определение данное Лабораторией Касперского, то есть попытки кого-то обмануть не было.
Во-вторых, многие к данному определению добавили словосочетание, указывающее на эвристический характер оценки.
Если рассматривать эвристику максимально широко, как совокупность методов позволяющих понять суть файла не по изучению его внутренней структуры, а по его взаимодействию (как черного ящика) с окружающей средой, то реакция на файл других антивирусных движков вполне может считаться одним из методов эвристики.
И объясните мне, в чем разница между теми или иными действиями. Вот я выслал на virustotal файл. Мой файл определился антивирусом одного из аутсайдеров. Может я до этого высылал его данному вендору, а может он сам случайно получил его раньше - не суть важно. Дальше, например продукт Касперского этот зловред пока не определяет.
Через некоторое время по договору с VirusTotal они получают файлы.. Стоп! А какие файлы они получают? Все которые на VirusTotal присылались? Нет! Те, на которые были срабатывания продуктов конкурентов, но не было срабатывания продукта Касперского.
Итак, в Лаборатории Касперского посмотрели мой файл, нашли что это зловред и поместили его в свой черный список. Но извините, первый, кто определил зловредность файла был я!
И послал его на VirusTotal я лишь для того, чтобы антивирусные компании добавили его в свои сигнатуры, рассылать каждой антивирусной лаборатории его отдельно нет ни времени, ни желания. Лаборатория Касперского украла мой детект?
Или она украла детект того вендора, чей продукт впервые определил зловреда?
Конечно нет, но фактически и она использовала чужой детект в своих целях, как минимум для получения файла..
Да и что мы все о вирустотале, антивирусы легально продаются, в том числе для бизнеса. Любой может купить и использовать их детект в своих целях напрямую и совершенно законно, если только это не запрещено лицензией.
Тут вот высказывается мнение, что только 3-4 компании что-то делают, а остальные на них паразитируют.
Да бог с вами.
Даже если в этом и есть доля истины, то только доля..
При желании можно найти кучу примеров, когда малоизвестные вендоры первыми определяли новые угрозы.
Ну например вот: https://www.metascan-online.com/en/scanresult/file/81b32ab8b0e14b168e3a55a2ceb311f4

Откуда я знаю, что в более позднем анализе, Лаборатория Касперского не использовала чужой детект?
https://www.virustotal.com/ru/file/e0e5d53f70ea7a587ec21a045c9a925fb65629ea2c748137a881ed06dd76a2ba/analysis

Дальше, многие антивирусные компании обмениваются образцами зловредов, а некоторые вообще используют чужие движки и сигнатуры.
Обвинять компании, использующие лицензированные движки в "воровстве" просто глупо, а таких ребрендинговых компаний очень много.
Кому-то не понравилось то, что некоторые вендоры не исправили ошибочный детект.
Я понятия не имею, как работает эта система, но логично предположить, что в первую очередь репутация файла пересматривается тогда, когда есть жалобы на ложное срабатывание.
В данном случае, явно ни одной жалобы не было! Был один единственный файл, который оказался никому не нужен. Зачем тратить на него время?
А теперь представим ситуацию, бежит по улице подозрительный человек (фейковый зловред созданный Касперским), кто-то (Лаборатория Касперского) кричит "Караул! Ограбили!". Допустим вы Люк ФайлУокер (антивирус Avira), вы говорите "Стой бандит!". Тот останавливается, поднимает руки, а главное не отрицает свою вину! Вопрос, будете вы нянькаться с этим типом, тогда как за углом у вас уже перестрелка, недалеко грабят банк и т.п.?
Не думаю. Скорее всего, вы отправите его за решетку, раз он берет вину на себя.
Стоит ли в подобной ситуации обвинять полицейского (Авиру) в чем-то плохом?
За файлы, признанные зловредными, никто не вступился, никто не пожаловался на ложный детект. То есть либо они действительно зловредные, либо они нафиг никому не нужны.

В любом случае тратить время на их перепроверку бессмысленно.
Еще одно, почитал данный форум, так, по мнению некоторых, чуть ли не все бесплатные продукты "воруют детект". Авторы подобных утверждений не затрудняют себя доказательствами, для них бедность (малое число сотрудников у фирмы) - прямое доказательство вины!
Вопрос, почему вы тогда не обвиняете Доктора Web не с самым большим штатом (до 200 человек)? Или допустим Agnitium, где вообще 40 человек работает?
Ну, нет, почему-то обвинили AVG, которая в данном скандале замешана не была и, кстати, имеет, вполне, приличный штат (свыше 600 человек).
В одной из тем обвинили и свободный антивирус ClamAV и тоже бездоказательно.
Он давно уже бедный почти ничего не ловит, но у них в штате 12 человек, а как нам тут объяснили, для воровста нужно всего два. Тогда почему у него не такой же детект, как у многих других, якобы живущих исключительно кражей детекта?
Кстати, небольшие компании могут, вполне, сотрудничать, обмениваться образцами и т.п. И если об этом не объявляют прессе, это не значит, что этого не происходит.
Поэтому им не нужно каждой иметь в штате 250 человек на вирлабе, как ЛК. Вместо 250 вполне может быть 25 + девять таких же партнеров.
Если даже гиганты Семантек и МкАфее заключили альянс, то почему тоже самое не могут сделать и небольшие компании?
ЛК не заключает альянсов как это делают другие, а наоборот жестко критикует все остальное антивирусное сообщество..
ЛК не поглощает другие компании, как это делают корпорации на Западе, а покупает ненужную ей недвижимость
У меня закрадывается подозрение, что есть некоторые проблемы менеджмента.. Если вместо поиска и устранения собственных ошибок начинают фигурировать какие-то конспирологические теории..
Далее, недавно столкнулся с антивирусом, который подозрительные файлы отправляет на VirusTotal. "Вор!" - сразу завопят некоторые. Но на деле, такой файл туда отправляет его владелец, а антивирус лишь предоставляет удобный для этого интерфейс. Собственно говоря, для таких случаев VirusTotal и нужен. А теперь внимание, этот продукт работает с репутационными списками файлов и использует облачную технологию. То есть, негативный результат на VirusTotal приведет к реакции на файл облачного движка даже без прямого использования результатов, а по реакции пользователя на файл.
Никакого прямого "воровства" тут даже рядом не стоит, ведь файлом оперируют сами пользователи, для которых этот сервис и создан, но то, что VirusTotal может использоваться в усилении детекта продукта конкретного вендора - это факт.
Здесь мы имеем ситуацию, когда технологии опережают замшелые юридические правила и привычные стереотипы. Это как случай с интернетом, если строго ко всем пользователям применять существующие законы об авторском праве, то 99% пользователей окажутся преступниками. Но здравый смысл подсказывает, что не могут быть 99% граждан преступниками, что если явление настолько распространено, то оно не является преступлением. Преступен сам закон, выступающий против сложившихся традиций общества.
Закону должны подстраиваться под существующие традиции и нормы, а не наоборот.
Я так понимаю, что на западе все прагматики. Если что-то можно законно заимствовать у конкурента, то это и делается. Тем более, что конкурент тоже делает тоже самое, а если и не делает, то проверить это невозможно.
Так давайте же спустимся с небес на землю и начнем жить в реальном мире, а не в неком придуманном и идеальном.

Извините, что так сумбурно. 2 часа ночи.. очень устал.  Надеюсь никого не обидел тут.



 

Отредактировал Апрель 2, 2015 Ludoedushka

[priv8v 960]

Юридически это не кража, естественно. Тут просто собрались технари и слегка в свободное время шутки шутят и прикалываются. Ведь это прикольно, а вы так серьезно отнеслись

[Виктор Коляденко 6]

В данном случае, явно ни одной жалобы не было! Был один единственный файл, который оказался никому не нужен. Зачем тратить на него время?

 

Да, бывает и такое. Совсем левый файл, достал из карантина КурИт!. Проверил на VT - детект только Др.Веб и ещё кто-то 1. Потом разобрались по данным с VT, что это вообще легальный файл (был в папке Windows\Temp). Послал им ложняк, вроде как исправили.

[Сергей Ильин 1538]

Дальше, многие антивирусные компании обмениваются образцами зловредов, а некоторые вообще используют чужие движки и сигнатуры. Обвинять компании, использующие лицензированные движки в "воровстве" просто глупо, а таких ребрендинговых компаний очень много.

 

Речь не о лицензированных движках или ребрендинговых продуктах. Там все по закону и все специалисты знают какие движки в них стоят. Никакого воровства тут нет. Речь идет о других компаниях, который могут просто копировать детект без всякого анализа, не вникая вредонос это или нет.

 

Аналогичным образом можно воровать репутационные базы. Вы просто прогоняете свои файлы через продукт N и смотрите что находится в белых или черных списках. При этом вы не вкладываете вообще ничего, а результаты продаете за доллары. рубли, ну или шекели. 

 

Вопрос, почему вы тогда не обвиняете Доктора Web не с самым большим штатом (до 200 человек)? Или допустим Agnitium, где вообще 40 человек работает? Ну, нет, почему-то обвинили AVG, которая в данном скандале замешана не была и, кстати, имеет, вполне, приличный штат (свыше 600 человек). В одной из тем обвинили и свободный антивирус ClamAV и тоже бездоказательно.

 

Потому что все знают, что Доктор Веб - это серьезные ребята. И уж точно там есть люди способные самостоятельно разбирать вредоносов, создавать свои базы и делать свои процедуры лечения (см результаты нового теста антивирусов). Обвиняют тех, у кого мало или вовсе нет своих ресурсов для анализа. Опять же это все известно, все катаются на международные конференции типа VB или CARO Workshop. Все друг друга знают, рынок очень тесный, почти домашний.

[Сергей Ильин 1538]

Посты про отсутствие детекта у Антивируса Касперского выделены в отдельную тему http://www.anti-malware.ru/forum/index.php?showtopic=30031

 

Будте внимательны, помните про правила и оффтоп 

[Зайцев Олег 402]

Логично, рассуждения о конкретном семле совершенно не связаны с темой ...

[alexgr 556]

Случайно натолкнулся на вот такую "новость". Поржал, но потом задумался о подоплеке.

http://finance.bigmir.net/business/59781-Laboratoriya-Kasperskogo-obmanivala-konkyrentov---SMI