Перейти к содержанию
Сергей Ильин

Сравнительный тест популярных антивирусов от разработчика кибероружия Hacking Team

Recommended Posts

Сергей Ильин

Буквально на днях были взломаны внутренние сети известного в определенных кругах производителя кибероружия, компании Hacking Team, о чем уже подробно писали на Хабре. В результате утечки в сеть попало порядка 400ГБ файлов, включающих архивы электронной почты, финансовую документацию, исходные коды вредоносных модулей и многое другое. Была слита и так называемая база знаний компании (Knowledge Base), в которой разработчики шпионских программ накапливали полезную информацию, в том числе и о качестве детекта своих творений различными антивирусами. Учитывая ситуацию, похоже, что данный тест можно в полной мере назвать «независимым», т.к. исследования проводились в собственных интересах.

 

Вот результаты внутреннего теста, результаты которого утекли:

 

62486f679ff0478a847f554905e5f152.png

 

http://habrahabr.ru/post/261945/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Artem Letov

тут стоит уточнить, что зеленый - это плохо для антивируса, но хорошо для зловреда.

  • Upvote 2

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Ха, вот вам, кстати, и пинок - выкинули из тестирования активного заражения Комодо - а он тут детектит налево и направо)

 

PS

 

Я даже не заглянул в эту табличку - сразу сурсы смотреть стал))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

а где связь между лечением активного технологического заражения и детектом тушки-клиента, тушки сджойненной с торрентом и doc-файла?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

а где связь между

 

Связь в том, что эту тушку не могли даже касперские с ksn'ом запалить. Это значит, что Комод - тоже на что то способен, продукт не стоит на месте, и стоит его тестировать.

 

Кстати да, приятно удивила поделка китайских братьев:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

С моей точки зрения результаты можно трактовать двусмысленно.

 

1. Какие-то антивирусы вроде бы выглядят предпочтительнее. Напрашивается вывод, что они лучше, оказались сложнее для хакеров.

 

Но есть и вторая трактовка:

 

2. Злоумышленники затачивали свое "кибероружие" и зеленое означает лишь то, что заточка удалась. А красный и желтый - еще есть над чем поработать. 

 

Именно в пользу второй версии говорят инвестированные цвета красный/зеленый. Мы в своих тестах делаем ровно наоборот.

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Killer

Злоумышленники затачивали свое "кибероружие"

 

Затачивали, разумеется. Но в их деле(именно в _их_) - нужно создать более-менее универсальную штуку. И вот универсальный подход, который сработал на большинстве - не сработал на некоторых. И это гуд, я считаю.

 

 

 

С моей точки зрения результаты можно трактовать двусмысленно.

 

Это не двусмысленность, это архитектура, если можно так выразиться. Есть задача обойти 20 антивирусов(например). Не нужно узнавать, какой стоит в системе и применять именно для него что то свое. Можно так сделать - но это костыли, это бред. В этой ситуации разрабатывается универсальное решение(более-менее), а костыли приделываются только в случае необходимости и в порядке исключения. 

 

 

 

Сергей. скажите, вот в комодо есть такая штука - comodo cleaning essentials, доступна в расширенных настройках, загружается отдельным пакетом по требованию(как и киоск), является элементом основного приложения. Это типа чистилка системы от руткитов и проч. Вопрос: если бы вы тестили комод на заражении, то юзали бы этот инструмент или нет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Затачивали, разумеется. Но в их деле(именно в _их_) - нужно создать более-менее универсальную штуку. И вот универсальный подход, который сработал на большинстве - не сработал на некоторых. И это гуд, я считаю.

 

Это может означать что просто под кого-то элементарно не успели допилить свою технологию (оружие). Начали со слонов, с того что посложнее. Я бы ставил задачу именно так. Для начала расправиться с наиболее популярными и опасными антивирусами. Сначала убиваем слонов, а потом волков, лис, мышей и т.д. Логика управления проектами.

Сергей. скажите, вот в комодо есть такая штука - comodo cleaning essentials, доступна в расширенных настройках, загружается отдельным пакетом по требованию(как и киоск), является элементом основного приложения. Это типа чистилка системы от руткитов и проч. Вопрос: если бы вы тестили комод на заражении, то юзали бы этот инструмент или нет?

 

Если бы продукт сам предлагал ее задействовать, то ДА. Если бы ее нужно было дергать самому тестировщику, то ее результаты бы не учитывались. Ровно такая история была с Eset и его утилитой.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Строго говоря, это рекламный материал. Малварь создана специально для того, чтобы ещё и не быть обнаруженной. Стоимость её создания такова, что 99,9% (цифра с потолка, конечно) малвари никогда бы и не появились, если бы их разработка обходилась во столько же.

  • Upvote 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Антивирусы были обновлены до версии 13.1.21.
    • Ego Dekker
    • Ego Dekker
      Антивирусы были обновлены до версии 13.1.16. В числе прочего добавлены совместимость с Windows 10 20H1 и поддержка Windows 10 20H2.
    • Ego Dekker
      Программа для удаления продуктов ESET обновилась до версии 9.0.1.0. Для просмотра всех команд запустите утилиту с параметром /help. 
    • santy
      1. на самом деле можно и не удалять, а редактировать единственный критерий для создания запросов. Было бы только удобно формировать такой запрос.... например, "все объекты с цифровой, которая не входит в белый список". здесь ты одним значением не найдешь их фильтруя все объекты сквозным образом по ИНФО, как минимум необходимо два условия, а значит и два значения вводить для запроса. 2. подсветки нет, но это наверное не самое главное. для скорости анализа важно, (хотя бы строку из инфо, которая соответствует критерию).... когда ИНФО содержит много информации. для формирования скрипта- не критично. 3. старых и новых критериев нет. все действующие. ненужные удалить. хотя может и полезно было бы ставить check "отключить" или "включить" данное правило в базе.
        вся эта работа выполняется на стадии формирования списка объектов автозапуска. все исполняемые файлы, которые встречаются по ссылкам в реестре, в cmdLine, и проч. Если ты набрал в поиске по наименованию "cmd.exe", ты уже нашел данный объект в списке со всей его историей (ИНФО), собранной на стадии формирования образа автозапуска.... в какие параметры, ссылки входит в реестре или в cmdLine. цитата "выше Разве?" взята из предложения по деструктивным действиям чистых файлов, когда эти деструктивные действия находятся с помощью критериев, но чистый хэш снимает статус, подтверждающий дейструктивность действия данного файла в анализируемой системе.
×