Технологии защиты от шифровальщиков. Какой антивирус лучше защитит личные файлы?

[Виктор Коляденко 6]

А вы уверены, что это не ложное срабатывание? Я вот думаю, что это ложное срабатывание. Антивирусу не понравился упаковщик. 

 

Во первых, это "ложное срабатывание" имеет инсталлер, на который есть детект у Eset, Касперского (включая детект KSN) и MBAM.

Вот реакция проактивки:

http://s012.radikal.ru/i320/1504/55/1a62a559bfb7.jpg

 

P.S. То есть если процесс был заблокирован без удаления файла, то какой-то кусок кода в памяти остался. Совсем странный случай был с одним вирусом. Вроде файл процесса могу убить КурИт или убить процесс с помощью uVS, а потом проактивка (или удаление инсталлера по сигнатурам) говорит, что этот процесс заблокирован AVG.

 

P.P.S. До удаления процесса из памяти было заметно явное торможение ввода с клавы, пропало после лечения.

[Anmawe 5]

Anmawe Kaspersky Internet Security можно настроить следующим образом и тогда никакая не доверенная прога не сможет зашифровать файлы в нужных папках.

 

http://support.kaspersky.ru/11151

 

Это я всё видел и читал как это настроить. Понятно, что не доверенная не сможет. А вот сможет ли доверенная ?

 

Threat#47 написал

 

Статистика от Николая Гребенникова: 90% юзеров KSN не лазят в настройки. Антивирус - услуга, он должен по умолчанию всё делать, такие требования выдаёт рынок.

 

И как антивирус  узнает, какие конкретные файлы надо защищать    ? И как он будет по умолчанию всё делать    ?  (я про компонент "Контроль программ")

 

 

http://products.drweb.com/9/?lng=ru

 

Доктор веб тоже умеет восстановить систему до её оригинального, незараженного состояния (если это не бредни маркетологов Dr web   )

 

Новый уровень лечения от неизвестных угроз и защита данных от повреждения

В случае с современными троянцами лечение — это комплекс мер, который включает перемещение неизвестного вредоносного объекта, обнаруженного средствами Dr.Web Process Heuristic, в карантин и очистку системы от последствий всех действий, совершенных предположительно вредоносной программой, — восстановление исходного состояния системы.

[Anmawe 5]

http://forum.kaspersky.com/index.php?s=&showtopic=239420&view=findpost&p=2390490

 

Да. Антивирусная компания всегда будет на шаг позади, так как вирусописатель может тестировать свои труды антивирусом на детектируемость. И, как следствие, сбивать детект.

В данном случае, можно вообще ничего не детектировать, и пользователи будут шифроваться месяц за месяцем. А можно сделать это с опозданием ( например, на 5 часов ). Тогда шансов не заразиться будет больше.

P.S. Но первые всегда пострадают. С этим ничего не поделаешь. Ну, пока не поделаешь.

 

http://forum.kaspersky.com/index.php?s=&showtopic=239420&view=findpost&p=2390500

 

 был запущен шифровальщик, файлы которые он успел зашифровать с расширением .green

 

Стоит Kaspersky Endpoint Security 10. Управление и обновления из Kaspersky Security Center. Антивирус и модуль были включены.

 

 

Видимо, доктор веб лучше защитит личные файлы, если была включена "защита от потери данных" .

[Сергей Ильин 1538]

А все ли помнят, что можно сохранять резервные копии файлов средствами самой Windows через механизм сохранения старых версий? 

http://virusinfo.info/showthread.php?t=156188

 

Насколько я помню в XP и 7-ке старые версии файлов хранятся локально. А в 8-ке для этих целей нужно настраивать внешнее хранилище (Microsoft передрали подход TimeMachine от Apple). Если настроить эту фичу, то потерянные файлы можно будет восстановить штатными средствами.

 

Про бекапы даже не говорю, хотя тут можно все настроить без специальных продуктов. Долгое время использовал SyncToy http://www.microsoft.com/en-us/download/details.aspx?id=15155C ее помощью синхронизировал файлы в локальных и удаленных папках, очень удобно.

[mike 1 57]

 

 

Видимо, доктор веб лучше защитит личные файлы, если была включена "защита от потери данных" .

А полноценный бекап всегда лучше какой-нибудь хитрой защиты, поэтому мне реализация защиты от шифраторов в DrWeb нравится больше чем у ЛК. 

[Сергей Ильин 1538]

Есть одна угроза, которая на 100% будет реализована в будущем. Можно ведь шифровать и бекапы тоже Троян просто будет детектировать старт задачи резервного копирования или подключения удаленного/облачного хранилища. А затем будет шифровать там содержимое или просто удалять его. И вот тогда будет все совсем интересно в плане защиты.

[Виктор Коляденко 6]

7-ке старые версии файлов хранятся локально

 

Можно сохранять на любой диск. Если сохранять на тот же жесткий, то винда намекнет, что это плохая идея. Хотя это я говорю про функцию "Архивация".

[Сергей Ильин 1538]

Я о другом писал - о сохранении предыдущих версий файлов (функция "Восстановление файлов из предыдущих версий"):

 

Вот описание для Windows 7

http://windows.microsoft.com/ru-ru/windows7/recover-lost-or-deleted-files

http://windows.microsoft.com/ru-ru/windows/previous-versions-files-faq#1TC=windows-7

 

Для Windows 8 все иначе, там опция сохранения предыдущих копий файлов называется "История файлов", она не включена по умолчанию и ее нужно настроить (на внешний или удаленный диск):

http://windows.microsoft.com/ru-ru/windows-8/set-drive-file-history

http://windows.microsoft.com/ru-ru/windows-8/how-use-file-history

 

Зачем Microsoft это сделал - хз. Теперь большинство юзеров не будут использовать эту фичу, так как не станут ее специально настраивать.

[treme 41]

 Можно ведь шифровать и бекапы тоже Троян просто будет детектировать старт задачи резервного копирования или подключения удаленного/облачного хранилища. А затем будет шифровать там содержимое или просто удалять его.

Ну если бэкапиться во всякие облака онлайн, то, разумеется, нужно обязательно выбирать такой сервис, в котором есть поддержка версий файлов, например, гугл драйв или дропбокс и не выбирать такой, где этой поддержки нет, например, яндекс диск или onedrive.

[Anmawe 5]

Есть одна угроза, которая на 100% будет реализована в будущем. Можно ведь шифровать и бекапы тоже Троян просто будет детектировать старт задачи резервного копирования или подключения удаленного/облачного хранилища. А затем будет шифровать там содержимое или просто удалять его. И вот тогда будет все совсем интересно в плане защиты.

 

Если есть выключенный HDD, который я могу включить через "диспетчер устройств" - шифровальщик тоже сможет сам включить HDD и зашифровать файлы (троянописатель ведь не знает - будет ли отключенный HDD и стоит ли писать троянскую программу, которая попробует включить HDD, который возможно отключен) ?

 

Такие шифровальщики вам известны ? Или ещё не делают таких ?

[Threat#47 8]

Threat#47 для включения этой защиты достаточно произвести импорт файла-настроек, где основную работу уже сделали за пользователя, добавив нужные правила в работу HIPS. 

Вы не понимаете? Вообще они не лазили в сеттингзз. Никаких импортов-еекспортов, аллертов с ужасными строчками вида {"бла-бла-бла из группы "мня-мня" пытается сделать "ла-ла" по отношению к группе объектов, расположенных по пути "ой-йо-й-знакомые буковки-это мой отчёт-а причём тут Касперский"}.

Рынок определил уже вид антивируса домашнего сегмента - "без вопросов", "без лишних кнопок". Правда, на практике, всё куда сложнее, всем не угодить. 

[KIS_fan 17]

Откат есть у Symantec SONAR, TrendMicro Aegis 100%

Где можно найти информацию, что у Norton и TrendMicro есть откат зловредных действий, после того как они уже выполнились?

[Threat#47 8]

А откат есть по определению, иначе HIPS такой не нужен. Зачем искать проактивно угрозу, на которую нет процедуры лечения? Вот HIPS и смотрит да записывает все изменения ПО, чтобы был смысл. Если выясняется, что ПО=зловред, записанные действия используются для отката действий. А почитать можно в документациях, на сайтах вендоров, в их блогах, можно даже самому легко убедится. 

SONAR и Aegis, к тому же, 100% имеют песочницы и откат им парой делать не обязательно, часто в песке до реального взаимодействия с системой всё и выясняется, где зловред, а где нет. Это очень полезно против крипторов, ведь повреждённые данные не откатить. 

[KIS_fan 17]

А откат есть по определению, иначе HIPS такой не нужен. Зачем искать проактивно угрозу, на которую нет процедуры лечения? Вот HIPS и смотрит да записывает все изменения ПО, чтобы был смысл. Если выясняется, что ПО=зловред, записанные действия используются для отката действий. А почитать можно в документациях, на сайтах вендоров, в их блогах, можно даже самому легко убедится. 

SONAR и Aegis, к тому же, 100% имеют песочницы и откат им парой делать не обязательно, часто в песке до реального взаимодействия с системой всё и выясняется, где зловред, а где нет. Это очень полезно против крипторов, ведь повреждённые данные не откатить. 

1) Хотите сказать что у любого HIPS есть откат?

2) Инфу нигде не нашел. Вы говорили про откат - пруф можно?

3) Может быть эмуляторы, а не песочницы?  Песочница была раньше к примеру в КИС - для запуска программ, в том числе браузера и даже всего Десктопа.

Эфиктивность эмуляторов очень далека от 100 % - как говорится не панацея.

[Сергей Ильин 1538]

А откат есть по определению, иначе HIPS такой не нужен. Зачем искать проактивно угрозу, на которую нет процедуры лечения? Вот HIPS и смотрит да записывает все изменения ПО, чтобы был смысл. Если выясняется, что ПО=зловред, записанные действия используются для отката действий. А почитать можно в документациях, на сайтах вендоров, в их блогах, можно даже самому легко убедится. 

 

Мне кажется вы путаете изменения системы, которые действительно отслеживает HIPS, и простые изменения файловой системы при шифровании файлов. Специфика такова, что какой-то процесс просто шифрует файлы. Каким образом Norton сохраняет старые копии файлов и откатывает их? http://www.anti-malware.ru/reviews/Norton_SecurityНичего подобного там нет, в чем можно убедиться из обзора.

 

В Norton Security есть бекап для сохранения копий файлов, они пошли по этому пути и им так проще. У ЛК нет резервного копирования и они пошли по другому сценарию.

[Threat#47 8]

 

А откат есть по определению, иначе HIPS такой не нужен. Зачем искать проактивно угрозу, на которую нет процедуры лечения? Вот HIPS и смотрит да записывает все изменения ПО, чтобы был смысл. Если выясняется, что ПО=зловред, записанные действия используются для отката действий. А почитать можно в документациях, на сайтах вендоров, в их блогах, можно даже самому легко убедится. 

SONAR и Aegis, к тому же, 100% имеют песочницы и откат им парой делать не обязательно, часто в песке до реального взаимодействия с системой всё и выясняется, где зловред, а где нет. Это очень полезно против крипторов, ведь повреждённые данные не откатить. 

1) Хотите сказать что у любого HIPS есть откат?

2) Инфу нигде не нашел. Вы говорили про откат - пруф можно?

3) Может быть эмуляторы, а не песочницы?  Песочница была раньше к примеру в КИС - для запуска программ, в том числе браузера и даже всего Десктопа.

Эфиктивность эмуляторов очень далека от 100 % - как говорится не панацея.

 

Всё, что я хотел сказать - я сказал. Вы ещё потребуйте с меня скриншот русского алфавита. Вы не согласны с аргументами? Давайте проще пойдём - найдите автоHIPS без отката. Само собой откат подразумевается. А где посмотреть можно...да где обычно такая инфа есть: сайты вирлабов компаний, документация их продукции и их презентации, где они рассказывают о своих технологиях. Пару ссылок дал внизу. 

3) Не может быть. Эмулятор - это эмулятор. Sandbox - это Sandbox. 

 

А откат есть по определению, иначе HIPS такой не нужен. Зачем искать проактивно угрозу, на которую нет процедуры лечения? Вот HIPS и смотрит да записывает все изменения ПО, чтобы был смысл. Если выясняется, что ПО=зловред, записанные действия используются для отката действий. А почитать можно в документациях, на сайтах вендоров, в их блогах, можно даже самому легко убедится. 

 

Мне кажется вы путаете изменения системы, которые действительно отслеживает HIPS, и простые изменения файловой системы при шифровании файлов. Специфика такова, что какой-то процесс просто шифрует файлы. Каким образом Norton сохраняет старые копии файлов и откатывает их? http://www.anti-malware.ru/reviews/Norton_SecurityНичего подобного там нет, в чем можно убедиться из обзора.

 

В Norton Security есть бекап для сохранения копий файлов, они пошли по этому пути и им так проще. У ЛК нет резервного копирования и они пошли по другому сценарию.

 

Не путаю. Я и не говорю о файлах, они не откатываются, это слишком тяжело, ну...за исключением системных. По словами Symc, SONAR задействует облако GIN для восстановления таких заражённых файлов. Не проверял, не знаю.

Зато, у SONAR есть Sanbox и зловреды часто детектируются до контакта с реальной системой. Особенно для крипторов полезно - чтобы потом не пытаться откатить не откатываемое, странно, что Касперские не пошли по этому пути. 

Проверить легко, найти не детектирующийся зловред-криптор и запустить, ну хотя бы на виртуалке при стоящем Norton-е. До шифрования данных детект произойдёт через несколько секунд. 

Перевод статьи о SONAR 4 (2011-2012): http://www.comss.ru/page.php?id=1632

Оригинал: http://www.symantec.com/en/uk/page.jsp?id=star

[Сергей Ильин 1538]

Не путаю. Я и не говорю о файлах, они не откатываются, это слишком тяжело, ну...за исключением системных. По словами Symc, SONAR задействует облако GIN для восстановления таких заражённых файлов. Не проверял, не знаю. Зато, у SONAR есть Sanbox и зловреды часто детектируются до контакта с реальной системой. Особенно для крипторов полезно - чтобы потом не пытаться откатить не откатываемое, странно, что Касперские не пошли по этому пути. 

 

Чем же это тяжело? Копии прежних версий файлов хранит сама  Windows, я писал об этом выше. Технически нужно лишь копировать куда-то файлы до изменений. Вы пишите о зараженных файлах, а они не зараженные! Они просто зашифрованы, испорчены другими словами. Это все равно что удалять их и требовать деньги за возврат, схема именно такая.

 

Если SONAR умеет эффективно определять шифровальщиков по поведению, то честь и хвала ему. Но хорошо бы этот функционал качественно проверить, чтобы не оперировать предположениями.

[KIS_fan 17]

Не путаю. Я и не говорю о файлах, они не откатываются, это слишком тяжело, ну...за исключением системных. По словами Symc, SONAR задействует облако GIN для восстановления таких заражённых файлов. Не проверял, не знаю.

Зато, у SONAR есть Sanbox и зловреды часто детектируются до контакта с реальной системой. Особенно для крипторов полезно - чтобы потом не пытаться откатить не откатываемое, странно, что Касперские не пошли по этому пути. 

Проверить легко, найти не детектирующийся зловред-криптор и запустить, ну хотя бы на виртуалке при стоящем Norton-е. До шифрования данных детект произойдёт через несколько секунд. 

Перевод статьи о SONAR 4 (2011-2012): http://www.comss.ru/page.php?id=1632

Оригинал: http://www.symantec.com/en/uk/page.jsp?id=star

 

Про откат у КИС http://eugene.kaspersky.ru/2011/09/15/fichi-nevidimogo-fronta/

 

Может производить откат изменений даже после довольно длительной активности зловреда - сохраняет историю изменений.

[Threat#47 8]

 

Не путаю. Я и не говорю о файлах, они не откатываются, это слишком тяжело, ну...за исключением системных. По словами Symc, SONAR задействует облако GIN для восстановления таких заражённых файлов. Не проверял, не знаю. Зато, у SONAR есть Sanbox и зловреды часто детектируются до контакта с реальной системой. Особенно для крипторов полезно - чтобы потом не пытаться откатить не откатываемое, странно, что Касперские не пошли по этому пути. 

 

Чем же это тяжело? Копии прежних версий файлов хранит сама  Windows, я писал об этом выше. Технически нужно лишь копировать куда-то файлы до изменений. Вы пишите о зараженных файлах, а они не зараженные! Они просто зашифрованы, испорчены другими словами. Это все равно что удалять их и требовать деньги за возврат, схема именно такая.

 

Если SONAR умеет эффективно определять шифровальщиков по поведению, то честь и хвала ему. Но хорошо бы этот функционал качественно проверить, чтобы не оперировать предположениями.

 

Лично я проверил. За 6 лет довольно хорошо практически насравнивался. Вы говорите, что технически границ нет, верно? Это да, но реализации пока так себе (имею в виду на базе механизма отката). А я говорю что по факту: "тяжёл процесс", ибо Касперский не может  более 70% повреждённых файлов откатить. Тесты на ФКЛК, 

 

Про откат у КИС http://eugene.kaspersky.ru/2011/09/15/fichi-nevidimogo-fronta/

 

 

 

Может производить откат изменений даже после довольно длительной активности зловреда - сохраняет историю изменений.

 

Я знаю про наличие отката у SW. SW очень хороший HIPS, но тот факт, что он не имеет Sandbox считаю большим минусом и практически именно из-за крипторов, которые детектируются им уже после шифровки файлов, при этом откат файлов плох и лишь 30% будут восстановлены. А ещё...папка Temp не резиновая. 

[KIS_fan 17]

Про откат у КИС http://eugene.kaspersky.ru/2011/09/15/fichi-nevidimogo-fronta/

 

 

 

Может производить откат изменений даже после довольно длительной активности зловреда - сохраняет историю изменений.

 

Я знаю про наличие отката у SW. SW очень хороший HIPS, но тот факт, что он не имеет Sandbox считаю большим минусом и практически именно из-за крипторов, которые детектируются им уже после шифровки файлов, при этом откат файлов плох и лишь 30% будут восстановлены. А ещё...папка Temp не резиновая. 

 

Но имеет эмулятор ... Давайте разберемся - чем эмулятор отличается от Sandbox. Оба эмулирует ОС - оба делают это не на 100%

[priv8v 960]

Немножко подолью масла в огонь. Ничего этим не хочу сказать, просто оставлю здесь эти данные (заниматься при этом дальнейшими действиями не буду - а не дать ли файл, а не выслать ли логи, а не уточнить ли что-то по десяти пунктам, а не залить ли куда дамп памяти всего и вся и т.д).

 

Вот свежий ctbl: https://www.virustotal.com/ru/file/5edb2767a69cb9ada22e0ba68217836a7bfeada7e5a3519fae690984f2f2b733/analysis/

Вот, что получилось (вначале все зашифровал, потом вылез алерт о сетевой активности, по умолчанию в итоге сетевая активность была запрещена):

[Threat#47 8]

Чтож, даже интересно. 

Вот, что получилось (вначале все зашифровал, потом вылез алерт о сетевой активности, по умолчанию в итоге сетевая активность была запрещена):

 

SONAR не справился коль всё уже закриптовано и даже после этого не было его реакции, а скрины репутации где? (судя по сером алерту, походу "неизвестная", что это значит? Что вы не выполнили рекомендацию продукта, который выдал алерт "Не стоит запускать всякую неизвестную бяку")    Можно образец пока его не убили сигнатурой? 

[Сергей Ильин 1538]

Вот, что получилось (вначале все зашифровал, потом вылез алерт о сетевой активности, по умолчанию в итоге сетевая активность была запрещена):

 

О чем я и говорил

 

@Threat#47, почему же Sonar не прибил шифровальщика в песочнице, дал ему запуститься и все зашифровать?

[Threat#47 8]

 

Про откат у КИС http://eugene.kaspersky.ru/2011/09/15/fichi-nevidimogo-fronta/

 

 

 

Может производить откат изменений даже после довольно длительной активности зловреда - сохраняет историю изменений.

 

Я знаю про наличие отката у SW. SW очень хороший HIPS, но тот факт, что он не имеет Sandbox считаю большим минусом и практически именно из-за крипторов, которые детектируются им уже после шифровки файлов, при этом откат файлов плох и лишь 30% будут восстановлены. А ещё...папка Temp не резиновая. 

 

Но имеет эмулятор ... Давайте разберемся - чем эмулятор отличается от Sandbox. Оба эмулирует ОС - оба делают это не на 100%

 

Согласен с вами. Но я пока не добился ни от кого ответа чего функционально они отличаются. Я предполагаю, что эмулятор банальнее и проще учитывая разные данные о применением эмуляторов. Эмулятор относится к эвристику и только к нему. Вы, похоже, решили, что он может автоHIPSу принадлежать. 

 

Вот, что получилось (вначале все зашифровал, потом вылез алерт о сетевой активности, по умолчанию в итоге сетевая активность была запрещена):

 

О чем я и говорил

 

@Threat#47, почему же Sonar не прибил шифровальщика в песочнице, дал ему запуститься и все зашифровать?

 

Вы сами прекрасно знаете, идеальной защиты нет. Только вот, до запуска бы не дошло, я написал почему. Антивирус предупредил о рисках, о чём юзер умолчал. 

[KIS_fan 17]

 

 

 

Про откат у КИС http://eugene.kaspersky.ru/2011/09/15/fichi-nevidimogo-fronta/

 

Может производить откат изменений даже после довольно длительной активности зловреда - сохраняет историю изменений.

Я знаю про наличие отката у SW. SW очень хороший HIPS, но тот факт, что он не имеет Sandbox считаю большим минусом и практически именно из-за крипторов, которые детектируются им уже после шифровки файлов, при этом откат файлов плох и лишь 30% будут восстановлены. А ещё...папка Temp не резиновая.

 

Но имеет эмулятор ... Давайте разберемся - чем эмулятор отличается от Sandbox. Оба эмулирует ОС - оба делают это не на 100%

 

Согласен с вами. Но я пока не добился ни от кого ответа чего функционально они отличаются. Я предполагаю, что эмулятор банальнее и проще учитывая разные данные о применением эмуляторов. Эмулятор относится к эвристику и только к нему. Вы, похоже, решили, что он может автоHIPSу принадлежать.

 

Я имел ввиду эмулятор файлового антивируса.

 

Статья Е.К. о эмуляторе: http://eugene.kaspersky.ru/2012/03/07/emulator/

 

Цитата:

 

Эмулятор запускает анализируемый файл в искусственной среде, которая эмулирует настоящую операционную систему. У этой среды есть своя память, диск, реестр, сеть, процессы, всевозможные подсистемы – в общем всё, чтобы заставить файл думать, что его запустил обычный пользователь на обычном компьютере. Но, в отличие от последнего сценария: а) все действия файла отслеживаются, протоколируются и направляются на анализ эвристику, б) ни один вызов не выходит за пределы среды и т.о. неизвестная вредоносная программа не сможет навредить компьютеру. Ага, получается, что эмулятор «на лету» создаёт что-то вроде защищённой виртуальной машины, в которой и изучает файлы. Этакий сейфбокс для подозрительных предметов – даже если рванёт, то никого не накроет.