Перейти к содержанию
Сергей Ильин

Тест антируткитов (результаты)

Recommended Posts

Сергей Ильин

Уважаемые друзья и коллеги!

Предлагаю вашему вниманию результаты теста антируткиров на детектирование и лечение вредоносных программ.

Тест проводился на выборке 9 ITW-образцов вредоносных программ.

Выбор вредоносных программ для теста описан здесь.

Методология теста доступна здесь.

Итоговые результаты тестирования антируткитов

Отлично 9 из 9

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

Хорошо 8 из 9

McAfee Rootkit Detective 1.0 Beta

Rootkit Unhooker 3.2

F-Secure BlackLight 2.2 Beta

Sophos Anti-Rootkit 1.2

AVZ 4.23 *

Слабые результаты:

Gmer 1.0 (6 из 9)

Bitdefender Antirootkit 1.2 Beta2 (6 из 9)

UnHackMe 4.0 (2 из 9)

Итоговые результаты тестирования антируткитов (только релизы)

Хорошо 8 из 9

Rootkit Unhooker 3.2

Sophos Anti-Rootkit 1.2

AVZ 4.23

Слабые результаты:

Gmer 1.0 (6 из 9)

UnHackMe 4.0 (2 из 9)

Как всегда с подробными результатами теста можно ознакомиться в разделе "Тесты"

http://www.anti-malware.ru/index.phtml?par...st=antirootkits

или скачав файл в формате Excel

http://www.anti-malware.ru/doc/test_antirootkits.xls

Ждем ваших отзывов и комментариев!

*******************************

Хочется отдельно поблагодарить vaber за качественно проведенный тест в кратчайшие сроки, а также Олега Зайцева за помощь и консультации в подборе вредоносных программ. :thanks:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Только сейчас понял что надо были и анти-вирусы проверить...

Например тотже Kaspersky AV 6.0 хоть и не обладает отдельными модулями но лехко способен вычислять все спрятанные файлы после перезагрузки при startup сканировании и удалять их.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

вопросец, а в AVZ использовался AVZPM?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
вопросец, а в AVZ использовался AVZPM?

да

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

На самом деле результаты этого теста стоит оценивать шире, чем просто тест специализированных продуктов (антируткитов).

Разработанные антивирусными вендорами продукты, как Antivir Rootkit, AVG Antirootkit, Trend Micro RootkitBuster, F-Secure BlackLight, Sophos Anti-Rootkit, McAfee Rootkit Detective и Bitdefender Antirootkit, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

Таким образом, можно рассматривать этот тест, как проверка будущих антивирусных технологий, которые будут интегрированы вендорами в новые версии своих продуктов.

И еще, обратите внимание, что единственный платный продукт, участвующий в тесте, - UnHackMe 4.0 (19.95$ за одиночную лицензию) http://www.greatis.com/unhackme/buy.htm занял в тесте последнее место с очень плачевным результатом. Платное - не всегда лучшее :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Эти антируткиты - не антивирусы и сигнатур не имеют. Они детектят все, что умеют.

Да, их можно использовать для диагностики наличия руткита в системе и производить лечение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Спасибо за тест, знаю что теперь с собой носить..

смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ordon

Тест хороший :) . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Это и есть - Avira Rootkit Detection Beta, Beta 2.00 (23/02/2007)

Добавлено спустя 17 минут 3 секунды:

Тест хороший Smile . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Спасибо.

Количество зловредов особой роли в данном тесте не играет - важна методика скрытия.

Согласен Rku - один из лучших, но в данном тесте он оказался не самым лучшим.

Айсворд - он не совсем подходит для теста. Там требуется зачастую ручной поиск файлов, и зачастую однозначно нельзя сказать где зловред.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

Я думаю интересуют, и интерес этот с ростом этой угрозы будет только увеличиваться. Пока обычные пользователи не знают, что есть такое зверье, которое может недетектироваться штатным антивирусов :-)

Если сравнить результаты некоторых антивирусов по лечению активного заражения

http://www.anti-malware.ru/phpbb/viewtopic.php?t=2841 и результаты этого теста, то направшивается вывод, что без специализированного антируткита во многих случаях просто не обойтись.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Trend Micro RootkitBuster, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

За остальных не знаю, но что касается Trend Micro то RootKit модуль отдельно будет распространяться бесплатно, а его управляемая версия уже входит в Trend Micro PcCillin 2007 и Trend Micro OfficeScan CE 8.0 Beta.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Вот вышла пре бетка 7.0 каспера с нахождением спрятанных файлов при сканировании ж) своего рода интрегированное решение

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zulus

А если можно прогнать на том же тесте такую штуку как

http://www.pctools.com/spyware-doctor/download/

в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

И действительно на одном из моих комп.

он нашел разные бяки.

и в том числе бэкдор. и кейлоги.

больше ничего их не ловило.

на других (с более серьезной политикй безоастнои)

он нашел лишь по мелочи.

С уважением, Николай

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TANUKI

2 Zulus,

Не думаю, что Спайвере-Доктор покажет блестящие результаты с руткитами. Все же его спецификация - шпиЁны, и справляется он с ними, надо сказать, отлично. Сам не тетсил, но статей и сравнений с его учатсие начитался. Нигде негатива не встречал - сплошной позитив и всегда в первой тройке лидеров. Одно "за руткиты" в исполнении этой проги сказать нечего. Но 100% - слишком громкое заявление даже для такой мощной проги :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EP_X0FF
в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

На заборе тоже много что написано. :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

В c't 5/2007 был проведён тест,в том числе и на руткиты.9 активных.Про них ничего сказать не могу,только там параллельно идёт речь,что участвовал WinNT/F4IRootkit,которого не обнаружил никто.Вообще там речь про последнюю Микрософтовскую сканутилиту,которая и этот рооткит находит даже,если он другое имя и другие ключи регистра использует,чем SonyCD это тогда придумала.Результаты:

F-Secure Anti-Virus 2007            8 (из 9-ти)

Norton AntiVirus 2007                7

PC-cillin InternetSecurity 2007   7

Panda Internet Security 2007       6

Avast! Pro Edition 7.4                 4

BitDefender Antivirus v 10          4

Antivir Personal Edition 7.0.3.4   3

Ikarus Aon Virenchecker 1.0.40  3

Kaspersky AV 6.0                        3

McAfee Virus Scan 2007            3

Microsoft OneCare                      3

Sophos Anti-Virus 6.5.1              3

AVK 2007                                   2

AVG Pro Edition 7.5                  2

ClamWin Antivirus 0.88.7         2

Nod32 Antivirus 2.51                 2

CA Anti-Virus 2007                   1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Денис Лебедев

Inkogn, а ссылочку на сам материал можно? :roll:

Порадовал ТрендМикро :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин

Кирилл Керценбаум

На самом деле борьба с руткитами есть в DCS уже давно а значит она есть и в Damage Cleanup Server и в OfficeScan 6.x, 7.x и в PC-cillin и во всем остальном. Другое дело, как соотносятся возможности DCS с этой новой технологией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Ну а вот немецкий журнал ComputerBild также проводил тесты, в том числе на обнаружение активных руткитов (всего 50 различных руткитов)

Результаты несколько другие:

Kaspersky - 100%

F-Secure -100%

Symantec - 76%

BitDefender -76%

Panda - 76%

G-Data - 56%

Eset - 44%

Avira - 44%

Grisift AVG - 12%

Avast! - 12%

Как жить, кому верить:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

Судя по результатам - руткиты были простяцкие.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

нелюблю я такие тесты, в которых непонятно кого и чего лечили.. может у них и троян невидимый в обычном диспетчере задач, руткитом считаеться..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EP_X0FF

крутой тест, статья о антируткитах, blacklight на пару с бсодогенератором по имени Darkspy всех уделали

http://www.sans.org/reading_room/whitepape...56c196d7d2965e4

:lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      Реализовать возможность добавлять произвольную информацию в Инфо. Информация добавляется в Инфо. аналогично тому, как это реализовано с критериями поиска, но без влияния на статус файла\объекта. Например оператор произвёл замену\обновление ряда системных файлов\драйверов с версии ??? на версию ??? Оператор работая с системой может зайти в Инфо. прописать информацию и затем при необходимости посмотреть всю историю того, или иного файла - что с ним происходило. т.е. Можно создать себе некую памятку. Например оператору не хватает информации которую предоставляет ему UVS по умолчанию. Оператор может добавить данные по времени создания\изменения файла. Сравнительную информацию одного файла с другим. Какие записи в реестре были и какие новые появились, была у файла ЭЦП или её изначально не было, Оригинальный это файл или это патч.  и т.д. + Возможность сохранить не отдельную строку, а всю информацию из окна Инфо. т.е. делать быстрые записи\сохранение информации. Актуально, как при работе с системой, так и при работе с образами.
    • santy
      может быть проблема в том, что часть файлов от известных производителей просто не подписана. судя по этому образу только два файла из каталога vmware с нарушенной подписью, остальные с действительной. C:\PROGRAM FILES (X86)\VMWARE\VMWARE WORKSTATION\VMWAREBASE.DLL
      C:\PROGRAM FILES (X86)\VMWARE\VMWARE WORKSTATION\X64\VMWARE-VMX.EXE проверка этих файлов по VT показывает что файлы не подписаны. Signature Info Signature Verification  File is not signed https://www.virustotal.com/gui/file/9c04db2177eabca00c1ae0788c31ce9c041cfbbfd02ea569b6364ebede5e9b69/details возможно, ты уже о таких случаях писал раньше, но уже как то забылось а это по lsass.exe на VT не подписан, Signature Verification Highlights whether the file being studied is signed and whether the signature is valid.  File is not signed а в образе с нарушенной цифровой НАРУШЕНА, файл модифицирован или заражен https://www.virustotal.com/gui/file/dcf9d744fe1b1cf47ec2870b44c852846c221d604b50de8adf79f60629a92a55/details   PROBOOK_2019-12-11_20-15-06_v4.1.8.7z
    • Svetik2244
      Можно электронную книгу, планшет или беспроводные наушники подарить...
    • Svetik2244
      Мне тоже нравятся игры на ПК и на смартфоне. Обожаю аркады.
    • natalie_irbis
      Коллеги, предлагаем протестировать систему «Ирбис»: проверить физических, юридических лиц и недвижимость. Главные отличия от других систем — акцент сделан на проверке физических лиц и есть полная база всех судов с 2005 года. В системе более 100 открытых государственных баз, которые обновляются 24/7. Вся информация выводится в одном окне. Есть следующие инструменты: — судимость — задолженность по ФССП — заложенное имущество — банкротство — список террористов — список дисквалифицированных — ЕГРЮЛ/ЕГРИП — история юрлица — действительность паспорта — бухгалтерская отчетность — обременение на недвижимости — право собственности недвижимости — и другие источники.   Бесплатный доступ на сутки: https://ir-bis.org/ Будем рады любым отзывам.
×