Сергей Ильин

Тест антируткитов (результаты)

В этой теме 30 сообщений

Уважаемые друзья и коллеги!

Предлагаю вашему вниманию результаты теста антируткиров на детектирование и лечение вредоносных программ.

Тест проводился на выборке 9 ITW-образцов вредоносных программ.

Выбор вредоносных программ для теста описан здесь.

Методология теста доступна здесь.

Итоговые результаты тестирования антируткитов

Отлично 9 из 9

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

Хорошо 8 из 9

McAfee Rootkit Detective 1.0 Beta

Rootkit Unhooker 3.2

F-Secure BlackLight 2.2 Beta

Sophos Anti-Rootkit 1.2

AVZ 4.23 *

Слабые результаты:

Gmer 1.0 (6 из 9)

Bitdefender Antirootkit 1.2 Beta2 (6 из 9)

UnHackMe 4.0 (2 из 9)

Итоговые результаты тестирования антируткитов (только релизы)

Хорошо 8 из 9

Rootkit Unhooker 3.2

Sophos Anti-Rootkit 1.2

AVZ 4.23

Слабые результаты:

Gmer 1.0 (6 из 9)

UnHackMe 4.0 (2 из 9)

Как всегда с подробными результатами теста можно ознакомиться в разделе "Тесты"

http://www.anti-malware.ru/index.phtml?par...st=antirootkits

или скачав файл в формате Excel

http://www.anti-malware.ru/doc/test_antirootkits.xls

Ждем ваших отзывов и комментариев!

*******************************

Хочется отдельно поблагодарить vaber за качественно проведенный тест в кратчайшие сроки, а также Олега Зайцева за помощь и консультации в подборе вредоносных программ. :thanks:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Только сейчас понял что надо были и анти-вирусы проверить...

Например тотже Kaspersky AV 6.0 хоть и не обладает отдельными модулями но лехко способен вычислять все спрятанные файлы после перезагрузки при startup сканировании и удалять их.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

вопросец, а в AVZ использовался AVZPM?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
вопросец, а в AVZ использовался AVZPM?

да

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

На самом деле результаты этого теста стоит оценивать шире, чем просто тест специализированных продуктов (антируткитов).

Разработанные антивирусными вендорами продукты, как Antivir Rootkit, AVG Antirootkit, Trend Micro RootkitBuster, F-Secure BlackLight, Sophos Anti-Rootkit, McAfee Rootkit Detective и Bitdefender Antirootkit, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

Таким образом, можно рассматривать этот тест, как проверка будущих антивирусных технологий, которые будут интегрированы вендорами в новые версии своих продуктов.

И еще, обратите внимание, что единственный платный продукт, участвующий в тесте, - UnHackMe 4.0 (19.95$ за одиночную лицензию) http://www.greatis.com/unhackme/buy.htm занял в тесте последнее место с очень плачевным результатом. Платное - не всегда лучшее :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Эти антируткиты - не антивирусы и сигнатур не имеют. Они детектят все, что умеют.

Да, их можно использовать для диагностики наличия руткита в системе и производить лечение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Спасибо за тест, знаю что теперь с собой носить..

смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Тест хороший :) . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Это и есть - Avira Rootkit Detection Beta, Beta 2.00 (23/02/2007)

Добавлено спустя 17 минут 3 секунды:

Тест хороший Smile . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Спасибо.

Количество зловредов особой роли в данном тесте не играет - важна методика скрытия.

Согласен Rku - один из лучших, но в данном тесте он оказался не самым лучшим.

Айсворд - он не совсем подходит для теста. Там требуется зачастую ручной поиск файлов, и зачастую однозначно нельзя сказать где зловред.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

Я думаю интересуют, и интерес этот с ростом этой угрозы будет только увеличиваться. Пока обычные пользователи не знают, что есть такое зверье, которое может недетектироваться штатным антивирусов :-)

Если сравнить результаты некоторых антивирусов по лечению активного заражения

http://www.anti-malware.ru/phpbb/viewtopic.php?t=2841 и результаты этого теста, то направшивается вывод, что без специализированного антируткита во многих случаях просто не обойтись.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Trend Micro RootkitBuster, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

За остальных не знаю, но что касается Trend Micro то RootKit модуль отдельно будет распространяться бесплатно, а его управляемая версия уже входит в Trend Micro PcCillin 2007 и Trend Micro OfficeScan CE 8.0 Beta.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Вот вышла пре бетка 7.0 каспера с нахождением спрятанных файлов при сканировании ж) своего рода интрегированное решение

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

А если можно прогнать на том же тесте такую штуку как

http://www.pctools.com/spyware-doctor/download/

в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

И действительно на одном из моих комп.

он нашел разные бяки.

и в том числе бэкдор. и кейлоги.

больше ничего их не ловило.

на других (с более серьезной политикй безоастнои)

он нашел лишь по мелочи.

С уважением, Николай

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

2 Zulus,

Не думаю, что Спайвере-Доктор покажет блестящие результаты с руткитами. Все же его спецификация - шпиЁны, и справляется он с ними, надо сказать, отлично. Сам не тетсил, но статей и сравнений с его учатсие начитался. Нигде негатива не встречал - сплошной позитив и всегда в первой тройке лидеров. Одно "за руткиты" в исполнении этой проги сказать нечего. Но 100% - слишком громкое заявление даже для такой мощной проги :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

На заборе тоже много что написано. :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

В c't 5/2007 был проведён тест,в том числе и на руткиты.9 активных.Про них ничего сказать не могу,только там параллельно идёт речь,что участвовал WinNT/F4IRootkit,которого не обнаружил никто.Вообще там речь про последнюю Микрософтовскую сканутилиту,которая и этот рооткит находит даже,если он другое имя и другие ключи регистра использует,чем SonyCD это тогда придумала.Результаты:

F-Secure Anti-Virus 2007            8 (из 9-ти)

Norton AntiVirus 2007                7

PC-cillin InternetSecurity 2007   7

Panda Internet Security 2007       6

Avast! Pro Edition 7.4                 4

BitDefender Antivirus v 10          4

Antivir Personal Edition 7.0.3.4   3

Ikarus Aon Virenchecker 1.0.40  3

Kaspersky AV 6.0                        3

McAfee Virus Scan 2007            3

Microsoft OneCare                      3

Sophos Anti-Virus 6.5.1              3

AVK 2007                                   2

AVG Pro Edition 7.5                  2

ClamWin Antivirus 0.88.7         2

Nod32 Antivirus 2.51                 2

CA Anti-Virus 2007                   1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Inkogn, а ссылочку на сам материал можно? :roll:

Порадовал ТрендМикро :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Кирилл Керценбаум

На самом деле борьба с руткитами есть в DCS уже давно а значит она есть и в Damage Cleanup Server и в OfficeScan 6.x, 7.x и в PC-cillin и во всем остальном. Другое дело, как соотносятся возможности DCS с этой новой технологией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ну а вот немецкий журнал ComputerBild также проводил тесты, в том числе на обнаружение активных руткитов (всего 50 различных руткитов)

Результаты несколько другие:

Kaspersky - 100%

F-Secure -100%

Symantec - 76%

BitDefender -76%

Panda - 76%

G-Data - 56%

Eset - 44%

Avira - 44%

Grisift AVG - 12%

Avast! - 12%

Как жить, кому верить:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Судя по результатам - руткиты были простяцкие.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

нелюблю я такие тесты, в которых непонятно кого и чего лечили.. может у них и троян невидимый в обычном диспетчере задач, руткитом считаеться..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS