Тест антируткитов (результаты)

[Сергей Ильин 1538]

Уважаемые друзья и коллеги!

Предлагаю вашему вниманию результаты теста антируткиров на детектирование и лечение вредоносных программ.

Тест проводился на выборке 9 ITW-образцов вредоносных программ.

Выбор вредоносных программ для теста описан здесь.

Методология теста доступна здесь.

Итоговые результаты тестирования антируткитов

Отлично 9 из 9

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

Хорошо 8 из 9

McAfee Rootkit Detective 1.0 Beta

Rootkit Unhooker 3.2

F-Secure BlackLight 2.2 Beta

Sophos Anti-Rootkit 1.2

AVZ 4.23 *

Слабые результаты:

Gmer 1.0 (6 из 9)

Bitdefender Antirootkit 1.2 Beta2 (6 из 9)

UnHackMe 4.0 (2 из 9)

Итоговые результаты тестирования антируткитов (только релизы)

Хорошо 8 из 9

Rootkit Unhooker 3.2

Sophos Anti-Rootkit 1.2

AVZ 4.23

Слабые результаты:

Gmer 1.0 (6 из 9)

UnHackMe 4.0 (2 из 9)

Как всегда с подробными результатами теста можно ознакомиться в разделе "Тесты"

http://www.anti-malware.ru/index.phtml?par...st=antirootkits

или скачав файл в формате Excel

http://www.anti-malware.ru/doc/test_antirootkits.xls

Ждем ваших отзывов и комментариев!

*******************************

Хочется отдельно поблагодарить vaber за качественно проведенный тест в кратчайшие сроки, а также Олега Зайцева за помощь и консультации в подборе вредоносных программ. :thanks:

[TiX 0]

Только сейчас понял что надо были и анти-вирусы проверить...

Например тотже Kaspersky AV 6.0 хоть и не обладает отдельными модулями но лехко способен вычислять все спрятанные файлы после перезагрузки при startup сканировании и удалять их.

[vaber 350]

Только сейчас понял что надо были и анти-вирусы проверить...

http://anti-malware.ru/index.phtml?part=te...ctive_infection

[Ego1st 95]

вопросец, а в AVZ использовался AVZPM?

[vaber 350]

вопросец, а в AVZ использовался AVZPM?

да

[Ego1st 95]

Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

[Сергей Ильин 1538]

На самом деле результаты этого теста стоит оценивать шире, чем просто тест специализированных продуктов (антируткитов).

Разработанные антивирусными вендорами продукты, как Antivir Rootkit, AVG Antirootkit, Trend Micro RootkitBuster, F-Secure BlackLight, Sophos Anti-Rootkit, McAfee Rootkit Detective и Bitdefender Antirootkit, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

Таким образом, можно рассматривать этот тест, как проверка будущих антивирусных технологий, которые будут интегрированы вендорами в новые версии своих продуктов.

И еще, обратите внимание, что единственный платный продукт, участвующий в тесте, - UnHackMe 4.0 (19.95$ за одиночную лицензию) http://www.greatis.com/unhackme/buy.htm занял в тесте последнее место с очень плачевным результатом. Платное - не всегда лучшее :-)

[vaber 350]

Ещё пару вопросов, вот эти антируткиты детектят только то что знают

Antivir Rootkit 1.0 Beta3

AVG Antirootkit 1.1 Beta

Trend Micro RootkitBuster 1.6 Beta

или их можно как диагностические утилиты использовать..

Эти антируткиты - не антивирусы и сигнатур не имеют. Они детектят все, что умеют.

Да, их можно использовать для диагностики наличия руткита в системе и производить лечение.

[Ego1st 95]

Спасибо за тест, знаю что теперь с собой носить..

смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

[ordon 0]

Тест хороший . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

[vaber 350]

да кстати почему Antivir Rootkit 1.0 Beta3 а не Antivir Rootkit 2.0 Beta

Это и есть - Avira Rootkit Detection Beta, Beta 2.00 (23/02/2007)

Добавлено спустя 17 минут 3 секунды:

Тест хороший Smile . Другое дело сколько антируткитов и зловредов должно было участвовать в тесте.

Я думаю зловредов должно было быть поболее 9, скажем 20.

Что касается оценки, какой из антируткитов наиболее лучший, то ИМХО это Rootkit Unhooker и Ice Sword ( которого почему-то не было в тестировании).

Спасибо.

Количество зловредов особой роли в данном тесте не играет - важна методика скрытия.

Согласен Rku - один из лучших, но в данном тесте он оказался не самым лучшим.

Айсворд - он не совсем подходит для теста. Там требуется зачастую ручной поиск файлов, и зачастую однозначно нельзя сказать где зловред.

[Сергей Ильин 1538]

смотрю даже споров никаких не возникает видимо мало кого интересуют антируткиты..

Я думаю интересуют, и интерес этот с ростом этой угрозы будет только увеличиваться. Пока обычные пользователи не знают, что есть такое зверье, которое может недетектироваться штатным антивирусов :-)

Если сравнить результаты некоторых антивирусов по лечению активного заражения

http://www.anti-malware.ru/phpbb/viewtopic.php?t=2841 и результаты этого теста, то направшивается вывод, что без специализированного антируткита во многих случаях просто не обойтись.

[Кирилл Керценбаум 671]

Trend Micro RootkitBuster, сами по себе не станут отдельными коммерческими продуктами, а будут 100% интегрированы в существующие антивирусы.

За остальных не знаю, но что касается Trend Micro то RootKit модуль отдельно будет распространяться бесплатно, а его управляемая версия уже входит в Trend Micro PcCillin 2007 и Trend Micro OfficeScan CE 8.0 Beta.

[TiX 0]

Вот вышла пре бетка 7.0 каспера с нахождением спрятанных файлов при сканировании ж) своего рода интрегированное решение

[Zulus 0]

А если можно прогнать на том же тесте такую штуку как

http://www.pctools.com/spyware-doctor/download/

в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

И действительно на одном из моих комп.

он нашел разные бяки.

и в том числе бэкдор. и кейлоги.

больше ничего их не ловило.

на других (с более серьезной политикй безоастнои)

он нашел лишь по мелочи.

С уважением, Николай

[TANUKI 240]

2 Zulus,

Не думаю, что Спайвере-Доктор покажет блестящие результаты с руткитами. Все же его спецификация - шпиЁны, и справляется он с ними, надо сказать, отлично. Сам не тетсил, но статей и сравнений с его учатсие начитался. Нигде негатива не встречал - сплошной позитив и всегда в первой тройке лидеров. Одно "за руткиты" в исполнении этой проги сказать нечего. Но 100% - слишком громкое заявление даже для такой мощной проги

[EP_X0FF 15]

в обзоре (независимом) утверждается 100% обнаружение активных руткитов и 40% неактивных.

На заборе тоже много что написано.

[Inkogn 0]

В c't 5/2007 был проведён тест,в том числе и на руткиты.9 активных.Про них ничего сказать не могу,только там параллельно идёт речь,что участвовал WinNT/F4IRootkit,которого не обнаружил никто.Вообще там речь про последнюю Микрософтовскую сканутилиту,которая и этот рооткит находит даже,если он другое имя и другие ключи регистра использует,чем SonyCD это тогда придумала.Результаты:

F-Secure Anti-Virus 2007            8 (из 9-ти)

Norton AntiVirus 2007                7

PC-cillin InternetSecurity 2007   7

Panda Internet Security 2007       6

Avast! Pro Edition 7.4                 4

BitDefender Antivirus v 10          4

Antivir Personal Edition 7.0.3.4   3

Ikarus Aon Virenchecker 1.0.40  3

Kaspersky AV 6.0                        3

McAfee Virus Scan 2007            3

Microsoft OneCare                      3

Sophos Anti-Virus 6.5.1              3

AVK 2007                                   2

AVG Pro Edition 7.5                  2

ClamWin Antivirus 0.88.7         2

Nod32 Antivirus 2.51                 2

CA Anti-Virus 2007                   1

[Денис Лебедев 20]

Inkogn, а ссылочку на сам материал можно? :roll:

Порадовал ТрендМикро :wink:

[Inkogn 0]

Да.Вот тут http://www.heise.de/kiosk/archiv/ct/07/05/...ie_Leibwaechter .Я не имею права публиковать этот артикль.

[Михаил Кондрашин 55]

Кирилл Керценбаум

На самом деле борьба с руткитами есть в DCS уже давно а значит она есть и в Damage Cleanup Server и в OfficeScan 6.x, 7.x и в PC-cillin и во всем остальном. Другое дело, как соотносятся возможности DCS с этой новой технологией.

[Иван 290]

Ну а вот немецкий журнал ComputerBild также проводил тесты, в том числе на обнаружение активных руткитов (всего 50 различных руткитов)

Результаты несколько другие:

Kaspersky - 100%

F-Secure -100%

Symantec - 76%

BitDefender -76%

Panda - 76%

G-Data - 56%

Eset - 44%

Avira - 44%

Grisift AVG - 12%

Avast! - 12%

Как жить, кому верить

[vaber 350]

Судя по результатам - руткиты были простяцкие.

[Ego1st 95]

нелюблю я такие тесты, в которых непонятно кого и чего лечили.. может у них и троян невидимый в обычном диспетчере задач, руткитом считаеться..

[EP_X0FF 15]

крутой тест, статья о антируткитах, blacklight на пару с бсодогенератором по имени Darkspy всех уделали

http://www.sans.org/reading_room/whitepape...56c196d7d2965e4