Тест антируткитов (результаты) - Тесты и сравнения - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Тест антируткитов (результаты)

Recommended Posts

Сергей Ильин

Уважаемые друзья и коллеги!

Предлагаю вашему вниманию результаты теста антируткиров на детектирование и лечение вредоносных программ.

Тест проводился на выборке 9 ITW-образцов вредоносных программ.

Выбор вредоносных программ для теста описан здесь.

Методология теста доступна здесь.

Итоговые результаты тестирования антируткитов

Отлично 9 из 9

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

Хорошо 8 из 9

McAfee Rootkit Detective 1.0 Beta

Rootkit Unhooker 3.2

F-Secure BlackLight 2.2 Beta

Sophos Anti-Rootkit 1.2

AVZ 4.23 *

Слабые результаты:

Gmer 1.0 (6 из 9)

Bitdefender Antirootkit 1.2 Beta2 (6 из 9)

UnHackMe 4.0 (2 из 9)

Итоговые результаты тестирования антируткитов (только релизы)

Хорошо 8 из 9

Rootkit Unhooker 3.2

Sophos Anti-Rootkit 1.2

AVZ 4.23

Слабые результаты:

Gmer 1.0 (6 из 9)

UnHackMe 4.0 (2 из 9)

Как всегда с подробными результатами теста можно ознакомиться в разделе "Тесты"

http://www.anti-malware.ru/index.phtml?par...st=antirootkits

или скачав файл в формате Excel

http://www.anti-malware.ru/doc/test_antirootkits.xls

Ждем ваших отзывов и комментариев!

*******************************

Хочется отдельно поблагодарить vaber за качественно проведенный тест в кратчайшие сроки, а также Олега Зайцева за помощь и консультации в подборе вредоносных программ. :thanks:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Только сейчас понял что надо были и анти-вирусы проверить...

Например тотже Kaspersky AV 6.0 хоть и не обладает отдельными модулями но лехко способен вычислять все спрятанные файлы после перезагрузки при startup сканировании и удалять их.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

вопросец, а в AVZ использовался AVZPM?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
вопросец, а в AVZ использовался AVZPM?

да

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

На самом деле результаты этого теста стоит оценивать шире, чем просто тест специализированных продуктов (антируткитов).

Разработанные антивирусными вендорами продукты, как Antivir Rootkit, AVG Antirootkit, Trend Micro RootkitBuster, F-Secure BlackLight, Sophos Anti-Rootkit, McAfee Rootkit Detective и Bitdefender Antirootkit, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

Таким образом, можно рассматривать этот тест, как проверка будущих антивирусных технологий, которые будут интегрированы вендорами в новые версии своих продуктов.

И еще, обратите внимание, что единственный платный продукт, участвующий в тесте, - UnHackMe 4.0 (19.95$ за одиночную лицензию) http://www.greatis.com/unhackme/buy.htm занял в тесте последнее место с очень плачевным результатом. Платное - не всегда лучшее :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Эти антируткиты - не антивирусы и сигнатур не имеют. Они детектят все, что умеют.

Да, их можно использовать для диагностики наличия руткита в системе и производить лечение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Спасибо за тест, знаю что теперь с собой носить..

смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
ordon

Тест хороший :) . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Это и есть - Avira Rootkit Detection Beta, Beta 2.00 (23/02/2007)

Добавлено спустя 17 минут 3 секунды:

Тест хороший Smile . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Спасибо.

Количество зловредов особой роли в данном тесте не играет - важна методика скрытия.

Согласен Rku - один из лучших, но в данном тесте он оказался не самым лучшим.

Айсворд - он не совсем подходит для теста. Там требуется зачастую ручной поиск файлов, и зачастую однозначно нельзя сказать где зловред.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

Я думаю интересуют, и интерес этот с ростом этой угрозы будет только увеличиваться. Пока обычные пользователи не знают, что есть такое зверье, которое может недетектироваться штатным антивирусов :-)

Если сравнить результаты некоторых антивирусов по лечению активного заражения

http://www.anti-malware.ru/phpbb/viewtopic.php?t=2841 и результаты этого теста, то направшивается вывод, что без специализированного антируткита во многих случаях просто не обойтись.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Trend Micro RootkitBuster, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

За остальных не знаю, но что касается Trend Micro то RootKit модуль отдельно будет распространяться бесплатно, а его управляемая версия уже входит в Trend Micro PcCillin 2007 и Trend Micro OfficeScan CE 8.0 Beta.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Вот вышла пре бетка 7.0 каспера с нахождением спрятанных файлов при сканировании ж) своего рода интрегированное решение

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Zulus

А если можно прогнать на том же тесте такую штуку как

http://www.pctools.com/spyware-doctor/download/

в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

И действительно на одном из моих комп.

он нашел разные бяки.

и в том числе бэкдор. и кейлоги.

больше ничего их не ловило.

на других (с более серьезной политикй безоастнои)

он нашел лишь по мелочи.

С уважением, Николай

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TANUKI

2 Zulus,

Не думаю, что Спайвере-Доктор покажет блестящие результаты с руткитами. Все же его спецификация - шпиЁны, и справляется он с ними, надо сказать, отлично. Сам не тетсил, но статей и сравнений с его учатсие начитался. Нигде негатива не встречал - сплошной позитив и всегда в первой тройке лидеров. Одно "за руткиты" в исполнении этой проги сказать нечего. Но 100% - слишком громкое заявление даже для такой мощной проги :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EP_X0FF
в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

На заборе тоже много что написано. :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

В c't 5/2007 был проведён тест,в том числе и на руткиты.9 активных.Про них ничего сказать не могу,только там параллельно идёт речь,что участвовал WinNT/F4IRootkit,которого не обнаружил никто.Вообще там речь про последнюю Микрософтовскую сканутилиту,которая и этот рооткит находит даже,если он другое имя и другие ключи регистра использует,чем SonyCD это тогда придумала.Результаты:

F-Secure Anti-Virus 2007            8 (из 9-ти)

Norton AntiVirus 2007                7

PC-cillin InternetSecurity 2007   7

Panda Internet Security 2007       6

Avast! Pro Edition 7.4                 4

BitDefender Antivirus v 10          4

Antivir Personal Edition 7.0.3.4   3

Ikarus Aon Virenchecker 1.0.40  3

Kaspersky AV 6.0                        3

McAfee Virus Scan 2007            3

Microsoft OneCare                      3

Sophos Anti-Virus 6.5.1              3

AVK 2007                                   2

AVG Pro Edition 7.5                  2

ClamWin Antivirus 0.88.7         2

Nod32 Antivirus 2.51                 2

CA Anti-Virus 2007                   1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Денис Лебедев

Inkogn, а ссылочку на сам материал можно? :roll:

Порадовал ТрендМикро :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин

Кирилл Керценбаум

На самом деле борьба с руткитами есть в DCS уже давно а значит она есть и в Damage Cleanup Server и в OfficeScan 6.x, 7.x и в PC-cillin и во всем остальном. Другое дело, как соотносятся возможности DCS с этой новой технологией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

Ну а вот немецкий журнал ComputerBild также проводил тесты, в том числе на обнаружение активных руткитов (всего 50 различных руткитов)

Результаты несколько другие:

Kaspersky - 100%

F-Secure -100%

Symantec - 76%

BitDefender -76%

Panda - 76%

G-Data - 56%

Eset - 44%

Avira - 44%

Grisift AVG - 12%

Avast! - 12%

Как жить, кому верить:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

Судя по результатам - руткиты были простяцкие.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

нелюблю я такие тесты, в которых непонятно кого и чего лечили.. может у них и троян невидимый в обычном диспетчере задач, руткитом считаеться..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EP_X0FF

крутой тест, статья о антируткитах, blacklight на пару с бсодогенератором по имени Darkspy всех уделали

http://www.sans.org/reading_room/whitepape...56c196d7d2965e4

:lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×