Воры антивирусного детекта. Кто они?

[Илио́н 20]

Вирусная сигнатура, в моём понятии, это участок кода, подпрограмма написанная на некотором языке программирования, которая производит то или иное не желательное действие направленное против "гуманистических" принципов человека.

Соответственно детект этой сигнатуры - это программа, которая может выявить и обнаружить присутствие такого кода.

Даже не сам процесс выявления, (это делает другая часть программы) а только та похожая часть, по которой можно понять и соотнести - да вот он вирусный участок кода.

От себя добавлю, что формат баз, как Вам, безусловно известно, у разных вендоров различается. Как и принцип построения сигнатур.

*

Проводя аналогию, это можно сравнить например с тем, что например, в своё время запатентовал Зингер, первым выпустившим швейную машинку. А запантентовал он во всей машинке иголку (её форму), вернее тот предмет в ней, который обязательно будет в ней присутствовать, как бы вы не старались повторить аппарат целиком, в других цветах и формах.

Затраты связанные с составлением детекта сигнатуры и самой сигнатуры мне кажется не сопоставимы.

Написать приличную вирусную пограмму (из которой, в последствии будет выделена сигнатура) стоит не малых трудов и познаний.

Выделить её и впоследствии получить её детект может простой роботизированный комплекс. И для этого не надо иметь семь пядей во лбу. Хотя вот здесь могу и ошибаться, конечно.

Я не уверен, что копирование детекта это плохо, а тем более является воровством. Я пока не решил. Боюсь, что копирование детекта можно считать даже полезным во вселенском, так сказать, масштабе.)

*

2. Гуглить "интеллектуальная собственность", "авторские права" и прочее. Защищено законом, между прочим!

*

Простите, а кто к кому протензии будет предявлять в таком случае? Истец к оппоненту? Или оппонент к истцу, за то что он стырил часть кода у вирусописателей. Перегибаю? Возможно не без этого.

Но. Когда одна компания обнаруживает сигнатуру какого-либо страшного вируса, они говорят:

Вот мол, во всём мире растёт страшная опасность заражения различными вирусами. А мы вот такие хорошие, мы нашли, обезвредили, мы лушие.

это не воровство с юридической точки зрения, это просто факт убогих технологий, но даже это пока не доказано.

Зато в юриспруденции есть понятие причинение вреда своим действием или бездействием. Если вы говорите о том, что вы нашли вирус нулевого дня и заявляете о том, что только вы один можете справиться с такой бедой, то может вас и надо привлекать к ответственности? Вы же не станете сразу делится базой своих детектов. Вы наоборот скажете, что ваш антивирус самый лучший и попросту будете наживать на этом прибыль. Вы же не скажете, что для спасению этого мира вы выкладываете детект во всеобщее обозрение для постановки его на учёт в других антивирусных лабороториях.

А таких реальных примеров и ходить далеко не надо.

Ведущие производители антивирусных отвечая на вопрос

Готова ЛК выпустить бесплатный продукт с нормальным функционалом?

*

говорят:

Да, готовы - при условии того, что 1. всё остальное тоже будет бесплатно (аренда, электричество, техника, авиабилеты бизнес-класса, и всё остальное тоже) 2. сотрудники компании тоже будут работать бесплатно. Или 3. найдётся мега-спонсор, которые все затраты на разработку и прочее возьмёт на себя (как Микрософт, например).

*

Так что, если такой продукт вдруг появится, завтра у вас в лаборатории отключат свет и не на чем станет работать.

У вас же есть прекрасные платные продукты, и люди которым они будут необходимы (профессиналы или тем кому действительно необходима такая более продвинутая защита) сразу займут "стоячие места в ведущем паровозике"? Не думаю так.

Ведь доходы наверняка не малые. Почему бы не сделать стоячие места бесплатными, хотя бы для пенсионеров?

Здесь конечно необходимо уточнить. Просто не знаю ситуацию на сегодняшний день по сравнению с 2012 годом. По поводу бесплатных продуктов и доходов. Но по моему, как у лидирующей тройки так и у ведущих отечественных производителей ситуация на этом фронте не изменилась. Данный подтекст отношу ко всем мировым "знаменитостям".

Если разговор идёт о рисках в мировом масштабе, то и решать такие вопросы надо сообща.

А вот то что, штатовские McAfee и Symantec объеденились в альянс вижу только положительные тенденции.

Интересно узнать планы в отношении этого отечественных "мастодонтов" индустрии.

Не сочтите за крамолу. Давайте разбираться.

* Все цитаты из этой темы.

[priv8v 960]

Вообще не понял о чем Вы...

Мне, как технарю, безразличны все мысли по юридической/моральной/копирайтной/финансовой. Судя по теме - большинство форумчан имеют сходный образ мыслей. В чем Вы предлагаете разбираться - мне вообще не понял, Ваше сообщение прочитал трижды, но все равно не понял ничего кроме первого абзаца. С моей колокольни все выглядит просто:

1. Есть ли факт оглядки на каспера (к примеру)? (тупо детектим все, что детектит каспер)

2. Кто практикует первый пункт и насколько сильно?

3. Как это выявить (свои предложения по этому пункту изложил в 48 сообщении данной темы)

Рассуждения о доходах/дележе/юридической стороне смотрятся как оффтоп и уход от проблематики темы.

[Илио́н 20]

Оглядки на Касперского нет ни какой. Интересно узнать мнение других ведущих вендоров.

Воруют ведь не только у него. Просто брать их детекты - достаточно опасное занятие в принципе. Можно напороться на большие грабли. В плане, что все ошибаются. А ошибка такого рода масштабов, может оказаться достаточно катастрофичной.

Мне, как технарю, безразличны все мысли по юридической/моральной/копирайтной/финансовой.

Мне как конечному пользователю также. Попробовал себя поставить на место лабороторий.

Прочитал замечания этой лаборотории (ЛК), соответственно делал выводы касательно того, как и что считают они. Не более того.

Хотя думается мнения остальных компаний не будут сильно разнится.

Вышел, получается офтоп.

Считаю, что паразитизма в этой сфере вообще не должно быть. И создание альянса это первая ласточка. Вот и хотелось бы узнать новости от наших вендоров, что они думают по этому поводу.

2. Кто практикует первый пункт и насколько сильно?

Не понял. Поясните пожалуста.

По поводу как это выявить не могу сказать ни слова. Тоже технарь, но несколько в другой сфере. Но сейчас не об этом.

Название темы - "Кто они, эти паразиты?" мне показалось достаточно общим понятием. Читал ваши комментарии по поводу их выявлений. И кстати понял и согласен.

Вообще в этом вопросе мне самому не понять до конца вот что, считать их паразитами или нет? Вот что не приятно.

В организме взрослого человека до 4 кг паразитов. Убери их всех. И человеку простите "хана". Офтоп.

P.S. Разобраться просил в чём был не прав или наоборот, как дилетант.

[Илио́н 20]

Рассуждения о доходах/дележе/юридической стороне смотрятся как оффтоп и уход от проблематики темы.

До тех пор пока не будет подведена база под это дело или по крайней мере мы сами об этом не договоримся, рассуждать о понятих в терминах "воры детекта" не корректно. Понятно, что они существуют. Но формально это не доказано. Эта темы в своё время была как раз специально выделена из другой ветки. Не знаю, наверное нет смысла для обсуждения данного аспекта выделять отдельную темы. Как правильно отнести это дело? Е.К. видимо прав - кража интеллектуальной собственности. Определить ворованный детект использует та или иная компания - участь узкоспециализированных людей. И как уже понятно, (даже по состоянию на 2012) такие автоматизированные наработки уже имеются.

Если нет точного определения понятия, определения разговора, получается вся тема офтоп, но думать так не хотелось бы.

Совсем недавно, если быть точным пару месяцев назад, приобрёл лицензию на продукт, усиленно третировавшийся и уличённый в таком "заимстве".

И вот теперь сижу, пью крепкий кофе, и гадаю. Когда ко мне постучаться и попросят объяснить - почему я такой не хороший, занимаюсь скупкой краденого?

Если серьёзно, то конечно интересно прояснить ситуацию по этому вопросу. Если бы я прочитал эти вопросы чуть ранее, месяца два назад, то думаю, что не стал бы покупать данную лицензию. Так что наверное, это в интересах самих вендоров дать адекватное объяснение касательно вопроса.

[Сергей Ильин 1538]

Доказательства воровства есть. Вот например:

http://www.anti-malware.ru/forum/index.php?showtopic=19043

http://www.anti-malware.ru/forum/index.php...st&p=136756

И ведь не торопятся удалять фолсы https://www.virustotal.com/ru/file/e8f07770...sis/1312715591/

И была еще скандальная тема, когда ЛК специально сделал фолс, а затем показала кто его тупо скопировал не глядя К сожалению не могу найти ссылку.

[priv8v 960]

И была еще скандальная тема, когда ЛК специально сделал фолс, а затем показала кто его тупо скопировал не глядя smile.gif К сожалению не могу найти ссылку

я тоже не смог, к сожалению...

Доказательства воровства есть. Вот например:

все три ссылки по сути сводятся к странному детекту на хелловорлд от Олега Зайцева, и если эту ссылку считать доказательством, то выйдет, что "Большая тройка (Symantec, McAfee, Trend Micro), Microsoft, Лаборатория Касперского, Доктор Веб + еще можно добавить Sophos, Eset (хотя к ним было много вопросов), BitDefender" (кроме каспера и дрвеба) как раз-таки и занимаются воровством детектов.

Выходит наоборот? Те, кто не ворует - напротив них по вышеприведенной ссылке зеленый кружочек?

[Илио́н 20]

Просмотрев первую ссылку Сергей Ильин и сопоставив данные, конечно чуть не описался от смеха.

Дата анализа: 2011-08-07 11:13:11 UTC (3 лет, 1 месяц назад)

Как раз за пару дней как Олег здесь поставил вопрос. Неа, не собираются!

Выходит наоборот? Те, кто не ворует - напротив них по вышеприведенной ссылке зеленый кружочек?

Не очень понял сентенции (как сейчас говорят, не "танкист" особо), но в проверке на VT там у каспера зелёный кружочек. То есть получается "он не участвовал, не привлекался". А вот НОД32 да. Как и лидеры, "мировая тройка", так называемая.

Сергей Ильин, так понимаю, что когда вы говорили о Eset так: (хотя к ним было много вопросов), вы это и имели в виду?

Мне просто интересно касательно него. Есть ещё какие нехорошие претенденты касательно данного продукта?

Парни, вы не об этом факте спрашивали, то есть ссылку искали?

http://www.anti-malware.ru/forum/index.php...st&p=164300

Интересно, так была статья или нет?

[priv8v 960]

Оттуда стянул у Е.К цитату:

Пару раз уже делали. Года два-три назад с немецким Компьютер-Билдом. Даже совместные тесты делали: скомпилили пару десятков "пустышек" (весь код - страница вычислений без всякого смысла, более ничего). Половину "пустышек" задектили, вторую половину нет - и всё это отправили на ВирусТотал. Потом вместе с офигевающими немцами наблюдали, как наши детекты (включая названия!) расползаются по продуктам с ворованным сигнатурами. "Чистые пустышки", естественно, никто детектить не стал - только те, которые детектились нами. Немцы очень прониклись, подготовили материал - но публиковать не стали (по неизвестной мне причине). Забоялись, наверное... а жаль.

тоже, кстати, неплохая методология

вот отсюда:

http://www.anti-malware.ru/forum/index.php...mp;#entry125908

потерялись картинки...

в общем нет ни имен детектов, ни md5

[Илио́н 20]

...в общем нет ни имен детектов, ни md5...

Жаль конечно. Нет не из-за доказательств каких-то, конечно. Привык доверять людям. Просто всегда пытаюсь анализировать информацию.

Ещё подскажите по поводу "древней заглушки" от Олега. Не совсем понял, как она вообще в сеть утекла. Она для "внутрикорпоротивного пользования only" или была предоставлена для всеобщего обозрения и проведения тестов?

Резюмируя. Не сколько сам факт воровства детекта плох в данных приведённых здесь случаях и не только, сколь бездумное его копирование. Без проведения какого-либо дополнительного самостоятельного анализа сигнатуры внутри самой антивирусной лаборатории, того или иного вендора. Вот настоящая беда.

Представляю себе, что могло бы произойти (а ещё не вечер), если бы вендоры просто сделали то же самое, в случае, например, описанном с авастом в соответствующей теме.

А ведь таких вариантов (достаточно критичных) хватало и не только с AVAST. Можно вспомнить и проблемы с обновлениями AVIRA года три назад. Да мало ли.

Хорошо, а всё таки были попытки приступить ко второй части "марлезонского балета", дать широкую огласку делу, обратиться в суд...?

[Илио́н 20]

Сергей Ильин Сейчас взлянув на свой пост, заметил некую двусмысленность в нём (накладка).

Угорал, конечно от того как вендоры умудряются тырить друг у друга детекты. Естественно.

Кстати, а как сейчас обстоят дела с данным детектом на VT можно узнать.

[priv8v 960]

файлик лежал просто у него на сайте, ссылка на него попала в свободное плавание... и понеслось...

[Dmitriy K 603]

Кстати, а как сейчас обстоят дела с данным детектом на VT можно узнать.

https://www.virustotal.com/ru/file/e8f07770...1c985/analysis/

[Илио́н 20]

файлик лежал просто у него на сайте, ссылка на него попала в свободное плавание... и понеслось...

Понятненько.

Dmitriy K спасибо.

И так за три года ситуация изменилась следующим образом.

Три года назад за детект голосовало (результат положительный) 30 из 43.

На данный момент 32 из 55.

Попробую подсобрать общую выборку из тех кто голосовал тогда и сегодня и кто решил изменить своё мнение.

То есть по всем тем кто участвовал в "голосовании" тогда и сегодня.

Отреклись:

ESET-NOD32

Symantec

TrendMicro

Avira

Sophos

Не изменили своего мнения и по прежнему прдолжают детектить:

AVG

Avast

BitDefender и все его, так назовём клоны (в том числе с присутствием своего двигла), то есть следующие двое (про остальных не помню, кто там что у кого заимствует\приобретает):

GData

Emsisoft (сработали оба движка, и свой тоже) изменили название угрозы

Comodo

F-Secure

Ikarus (ну конечно!)

Jiangmin (а что это?)

McAfee

Norman

SUPERAntiSpyware

VIPRE

nProtect

Пробежался по основным так сказать. Здесь без комментариев.

В альянс то вроде McAfee и Symantec объеденились, а к общему знаменателю так и не подошли ещё похоже. Не понятно кто из списка выпадает, то ли McAfee, то ли TrendMicro. Разлад какой-то в "тройке".

Вот такой вопросик (несколько конечно не по теме, но его прошу воспринимать именно так). Если какой либо многодвижковый антивирус, замешанный на каком либе известном двигателе, то же будет детектить угрозу, как и его старший брат, который содержит только один основной двигатель, который как раз и заимствуется другими? Или это не всегда правило.

Здесь как бы сразу два вопроса получилось.

Ведь, интересная ситуация. EMSI в последнем тесте задетектил двумя двигателями, а G_DATA как я понял только только Дефендоровским.

P.S. Здесь бы неплохо конечно по новым антивирусам добавить, как они "новички" (появившиеся на VT за три последних года) относятся к этому делу. Уж не досуг.

[Зайцев Олег 402]

Ещё подскажите по поводу "древней заглушки" от Олега. Не совсем понял, как она вообще в сеть утекла. Она для "внутрикорпоротивного пользования only" или была предоставлена для всеобщего обозрения и проведения тестов?

Там все просто - в обзоре тестирования на АМ была подробно описана методика, и там приведена прямая ссылка на этот файл и описано его назначение (см. http://www.anti-malware.ru/comparisons/emu_antivirus). Семпл же не опасен, потому ссылка была публично известно. Это совершенно безвредный EXE (он выводит сообщение на экран и завершает работу). Он не содержит никаких иных функций кроме вывода сообщения на экран, не использует "потенциально опасных" библиотек, ничем не сжат и не зашифрован, т.е. не содержит ровно ничего, что могло бы вызвать хоть какой-то негатив и подозрение, не говоря уже о его детекте.

[Илио́н 20]

Поправьте пожалуйста ссылку, не рабочая к сожалению.

Скажите в двух словах её назначение, это вроде тестового файла на сработку антивируса (на подобие eicar.exe, если конечно такое сравнение возможно)? Скажите файл eicar вирус с вашей точки зрения?

Абстрагируюсь от вашей работы в каком либо вирлабе, ваша заглушка вирус?

В том смысле, что те анивирусы его сейчас детектируют как вирус это правильно или это неправильная (ложная) сработка?

При ответе попрошу также отвлечься от темы воров детекта.

Каким образом вообще в каком либо файле обнаруживается вирусная сигнатура, каким способом она засчитывается находящейся в том или ином файле?

Рискну предположить некоторые варианты:

1 Отправка файла в вирлаб того или иного вендора по причине не гуманного поведения программы (требуется человеческое участие и интуиция)

2 Срабатывание методов эвристического анализа

3 Срабатывание автоматики антивируса модулем HIPS, модулем контроля программ, которые обнаруживают подозрительную активность и если антивирус в "облаке" соответственно отсылают его туда же в вирлаб, где он в последствии обрабатывается.

Какие ещё возиожны варианты обнаружения\нахождения\установленя для вирусов нулевого дня ранее абсолютно неизвестных?

То что разлетелись центрифуги, как последний крайний метод обнаружения опустим. Хотя это и не весело.

Вопросы по VIRUS-Total (имеют отношение к воровству детекта).

В его ресурсе обрабатывается и даётся отчёт по многим известным двигателям.

Каким образом там происходит детект?

По сигнатурным методам двигателей только? Или там ещё могут быть задествованы другие методы детектирования, представленных там вендорных двигателей?

В общем смысле вопрос такой. Вирус нулевого дня (абсолютно неизвестный никакому вендору ранее) может быть задетектен эти ресурсом?

Если мы говорим о краже детекта, каким образом этому может потворствовать упомянуты выше ресурс?

Ведь чтобы своровать детект, надо выделить его сигнатуру. Значит надо иметь перед глазами физически файл. Чтобы вставить его в свою базу. С Virus_Total можно каким либо образом скачать какой-либо файл, на который проведён анализ? Или его необходимо искать на просторах сети, например по названию и хэшу? Короче как его воруют (детект сигнатуры)? Ведь саму сигнатуру, никто на всебщее обозрение не выкладывает!

[priv8v 960]

Ссылка нормальная. Скобку в конце просто убрать надо, а то она к урлу приплюсовалась.

Скажите в двух словах её назначение, это вроде тестового файла на сработку антивируса

типа эталон, на что не должно быть сработки. это просто мессаджбокс.

PUSH 0                                         ; /Style = MB_OK|MB_APPLMODALPUSH 777.00407DF8                           ; |Title = "Virus demo stub for AV test !"PUSH 777.00407E18                           ; |Text = "Hello, this is demo file !!"PUSH 0                                                ; |hOwner = NULLCALL <JMP.&user32.MessageBoxA>          ; \MessageBoxA

Скажите файл eicar вирус с вашей точки зрения?

Абстрагируюсь от вашей работы в каком либо вирлабе, ваша заглушка вирус?

Пусть Олег сам голову над такими вопросами ломает)) Вспомнит Канта, Гегеля... ну или кто там в таком ключе мыслил и рассуждал

Каким образом вообще в каком либо файле обнаруживается вирусная сигнатура, каким способом она засчитывается находящейся в том или ином файле?

1. файл тем или иным путем попадает в вирлаб (клиентская часть выслала, обмен, мультисканеры, ловушки, пауки и т.д)

2. автомат или человек принимает решение о вредоносности на основе поведения/метаданных (ну или так, как описывал Е.К работу вирлаба аваста)

3. делается детект или "на скорую руку" или человек понимает, что это эпидемия, находит еще 100500 родственников малвари и вдумчиво делает детект на все семейство.

Каким образом там происходит детект?

Сервак на юниксоподобном, там 55 антивирусов проверяют файл и выдают свой вердикт по нему, скрипт парсит их ответ и все в итоге поступает на веб-страницу. К зловредам, поступающим на VT антивирусы имеют доступ - это один из их источников вирусов - качают оттуда файлы и анализируют (см. пункт 2 на несколько строк выше).

Короче как его воруют (детект сигнатуры)?

все ведь это уже разжевано... Е.К же очень понятно наваял на эту тему несколько хороших сообщений.

Робот роботу рознь. Есть роботы сложные и дорогие (как у нас) - которые поток новых файлов обрабатывают самыми разными способами: "фейс-контроль", поиск "семейства", проверка поведения, и прочее-прочее (электричество, кстати, эти роботы жрут как голодные свиньи...) А есть роботы простые и дешёвые (как у Аваста), которые тупо копи-пистят чужой детект и также тупо шлёпают свои сигнатуры на всё подряд

Подсесть на поток от VirusTotal и/или Jotti, или кто там еще сейчас есть. Поставить мульти-сканер - и по результатам чужих детектов лепить сигнатуры (или тупо MD5). Протестить и выпустить апдейт. Держать несколько "дятлов" для ручного разбора от пользователей, приславших необнаруженное зловредство.

Первый способ требует работы. У нас на этих проектах примерно 250 чел (вроде как почти в два раза больше, чем общее количество персонала Аваста - включая их сейлов, маркетинг и саппорт).

Второй способ требует пару-тройку разработчиков и сравнительно небольшую кучу железа под управлением пары админов (пара нужна для того, чтобы ходить в отпуск и заменять по болезни).

Проще говоря, воровство будет заключаться в следующем:

В вирлаб Х приходит файлик с Virustotal'a, и он не исследуется, а тупо проверяется касперским - если он его обнаруживает, то этот вирлаб тоже накладывает на него детект.

[Илио́н 20]

priv8v

Благодаою. В меру моих познаний мне кое что стало понятно. Да.

все ведь это уже разжевано... Е.К же очень понятно наваял на эту тему несколько хороших сообщений.

Ну это в общем то общие слова от Е.К.

Нельзя ли более технически истолковать методы с учётом веяний сегодняшнего времени? Или в общем то с тех пор в этом плане ничего не изменилось. Существуют и\или внедряются какие-либо меры и методы технического\технологического характера по противодействию краже детекта? Можно как-то скрывать выявление сигнатуры от других вендоров? И ведуться ли такие работы?

Вопрос конечно надо адресовать к соответствующим секретным спецаалистам соответствующих отделов лабороторий.

Может автор приведённых цитат прокомментирует ситуацию. Или на сайте есть специалисты в соответствующих областях...

Если это не ноу-хау конечно.

Производиться ли учёт статистики (например по данным c того же Вирус_Тотала) о том какие вендоры воруют, и в какой последовательности друг за другом они делают это (добавляют детект). Есть ли такие автоматизированные системы? То есть самим лабороториям это интересно (подглядывать друг за другом)?

Сервак на юниксоподобном, там 55 антивирусов проверяют файл и выдают свой вердикт по нему, скрипт парсит их ответ и все в итоге поступает на веб-страницу. К зловредам, поступающим на VT антивирусы имеют доступ - это один из их источников вирусов - качают оттуда файлы и анализируют (см. пункт 2 на несколько строк выше).

Участие в этом проекте дело добровольное? Можно запретить проверку на детект отдельной компании?

Иначе получается, все те кто там участвует и есть пособники воров.

И воруют получается все на 100%. Только одни больше другие меньше. В зависимости от мощности вирлаба. Кто-то больше выдаёт детектов сигнатур, кто-то меньше. Так и строится процентное соотношение воровства вендоров друг у друга. И совесть тут не причём.

Кого наказывать то? Тут, простите, надо прощать и поощарять!

Проще говоря, воровство будет заключаться в следующем:

В вирлаб Х приходит файлик с Virustotal'a, и он не исследуется, а тупо проверяется касперским - если он его обнаруживает, то этот вирлаб тоже накладывает на него детект.

Подождите, вы что пошутили? Или вы действительно хотите сказать, что мнения всех антивирусные лабораторий в мире строятся исключительно на мнении ЛК?

[priv8v 960]

Участие в этом проекте дело добровольное? Можно запретить проверку на детект отдельной компании?

Добровольно конечно. Но кто ж откажется от бесплатного пиара своего движка и от потока малвари оттуда?

Цель любого нового антивируса (в т.ч и фейкового) - чтобы его взяли на ВТ.

Подождите, вы что пошутили? Или вы действительно хотите сказать, что мнения всех антивирусные лабораторий в мире строятся исключительно на мнении ЛК?

почему же всех? Е.К писал про аваст... ну и другие имена там фигурировали.

Иначе получается, все те кто там участвует и есть пособники воров.

И воруют получается все на 100%

не понял.

[Илио́н 20]

не понял.

Добровольно конечно. Но кто ж откажется от бесплатного пиара своего движка и от потока малвари оттуда?

Ну как бы это помягше. Любишь кататься, люби и саночки возить. Ведь сам знаешь, что воруют. Ну так и откажись от участвия в проекте. Грубо говоря так.

Ну если, например, какой-нибудь скажем так не очень продвинутый вирлаб компании Y, засечёт самой первой интересный детект 0-день сигнатуры, этот детект не будет тут-же позаимствован другими вирлабами A-Z? Или я не прав?

Вы на последний вопрос ни сказали ни чего. Может они сначала его через каспера пропустят? Тогда уже.

Я не сколько не иронизирую. Просто пытаюсь разобраться и попутно проясняю вопросы.

Ведь тема, на самом деле очень животрепещущая и интересная. Очень много попутных актуальных вопросов вырисовывается, однако.

Вон их уже сколько набралось. Вам как и многим другим, не исключаю, часть из них кажется возможно просто смешной. Вот, может и поможет кто разобраться.

[priv8v 960]

Ну как бы это помягше. Любишь кататься, люби и саночки возить. Ведь сам знаешь, что воруют. Ну так и откажись от участвия в проекте. Грубо говоря так

детекты на вирустотале-то тут при чем? вирустотал предоставляет файлы. никто не мешает не участвовать на вирустотале и также воровать у каспера. бОльшая часть файлов с вирустотала в вирлаб пришла бы из других источников. запускается сканер касперского на файлы - что детектит, то и детектируется этим "не очень продвинутым" вирлабом. - вот про это Е.К говорит. а про то воруют только ли у него, но и/или у других тоже - все это наши домыслы, также как и все, что мы тут понаписали - нужно тестирование.

Ну если, например, какой-нибудь скажем так не очень продвинутый вирлаб компании Y, засечёт самой первой интересный детект 0-день сигнатуры, этот детект не будет тут-же позаимствован другими вирлабами A-Z? Или я не прав?

опять не понял.

[Илио́н 20]

опять не понял.

Ух. Скажите, что получается? Воруют все и только у Касперского? То есть воровство происходит по однонаправленной траектории?

У доугих вендоров воруют?

Сама ЛК может это делать у других вендоров?

Или я сам чего-то не понял и слабо владею инфой. Извините конечно если вопросы звучат отнюдь корректно по отношению к любой лаборатории.

Значит получается, что бы ответить на все эти вопросы и нужно разработать спецальную методологию, алгоритм с технической привязкой если угодно. Тогда и будем отвечать на них.

В таком случае, наверное, параллельно необходимо думать о методике, запрещающе саму возможность копи-паста детекта, на техническом уровне. Потому как думай-не думай о методе узнавания воровства детекта, а "редиски" всё равно и всегда найдуться.

То есть проще блокировать, чем искать.

Может я совсем запутался, но если исключить воровство как событие вообще, или опираться на него как на термин, то тогда бы получается у всех лабороторий были бы абсолютно разные сигнатырные базы. И каждая база могла детектировать вирус только она, а другой вирлаб не мог бы детектировать уже этот вирус. Хотя все знают, что это именно вирус. Но не могли бы занести этот детект в свою базу, потому как это считалось бы воровством.

[priv8v 960]

Ух. Скажите, что получается? Воруют все и только у Касперского? То есть воровство происходит по однонаправленной траектории?

У доугих вендоров воруют?

Сама ЛК может это делать у других вендоров?

Может и не только у касперского. Симантек может у нано подворовывать, в теории. ЛК тоже может это делать, кто ей запретит? Ведь Е.К вполне может врать (на полиграфе не проверяли, тем более его можно обойти) про кучу серверов с умными авто-дятлами и 250 человек в вирлабе, вполне возможно, что у них там вообще один сервер, на котором файловый поток проверяет какой-нибудь SUPERAntiSpyware или ByteHero и что он признает вирусом, то и детектится, а имена присваиваются исходя из строчек, найденных в файле.

И каждая база могла детектировать вирус только она, а другой вирлаб не мог бы детектировать уже этот вирус. Хотя все знают, что это именно вирус. Но не могли бы занести этот детект в свою базу, потому как это считалось бы воровством.

дело не в детекте вируса, а в _технологии_ как определять, что это вирус - можно с помощью сотни серверов производить анализ чтобы понять какой файл является вирусом, а какой нет, а можно иметь один сервер и антивирус касперского - все что он считает вирусом - тоже считать. все просто. он уже всю работу сделал и определил что вирус, а что нет.

[Илио́н 20]

Спасибо за прояснение сути.

[Илио́н 20]

дело не в детекте вируса, а в _технологии_ как определять, что это вирус - можно с помощью сотни серверов производить анализ чтобы понять какой файл является вирусом, а какой нет, а можно иметь один сервер и антивирус касперского - все что он считает вирусом - тоже считать. все просто. он уже всю работу сделал и определил что вирус, а что нет.

Понимаю так, если вы (ваша компания) имеет хорошую вирусную лабораторию, набор (не дешёвый как видимо) средств, и вы методично и честно выявляете новые сигнатуры, тратите время и деньги на освоение навых методов выявления вс новых изощрённых угроз - то ваша компания чиста как слеза.

Если вы тупо посалили пару человек на сервер пропуская через свой фильтр угрозы, копипастя детекты с Вирустотал, то вы скорее не очень хорошая компания. (случай, например, описанный с аваст).

Кажется, будет очень сложно определить ту грань добра и зла на чашах весов Правосудия.

И вот какая причина. Все те методы, по выявлению таких "злостных" нарушителей, предложенные в теме являются очень описательными и общими. Вот вы например, можете сейчас сесть, и хотя бы прикинуть структурно общую схему взаимодействия аппаратного и взаимосвязанного с ним програмного комплекса по такому выявлению. Есть хотя бы более-менее чёткое представление алгоритма работы такого комплекса? Нет излагать принципы, конечно не надо. Понятно, что всё достаточно сложно. Сколько всего там надо будет учесть. И кого принимать за плохого, а кого за хорошего детектива. Ууу. Я конечно профан в вопросах IT, но всё же технарь (правда в несколько иных системах. управления и автоматики).

И ещё "практичный" вопрос. Какова осознанная необходимость в практической реализации такого вида "СОРМ"?

[Dmitriy K 603]

в общем нет ни имен детектов, ни md5

priv8v, ты об этом?: http://www.pcmag.com/article2/0,2817,2358649,00.asp