Защита от руткитов в Антивирусе Касперского 7.0 - Антивирус Касперского - покупка, использование и решение проблем - Форумы Anti-Malware.ru Перейти к содержанию
vaber

Защита от руткитов в Антивирусе Касперского 7.0

Recommended Posts

vaber

В связи с появлением новой бета-версии Касперского решил проверить возможность детекта им некоторых руткитов.

В частности на unreal.a, Costrat.af (Rustock) и Elitekeylogger.

З.Ы. Данная бета пока только детектит скрытые файлы, но не может удалить.

rootkits.rar

rootkits.rar

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

А чего пишет при нажатии

А. Удалить в обычном алерте

Б. Что происходит или не происходит при исполнении лечения активного заражения?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
А чего пишет при нажатии

А. Удалить в обычном алерте

Б. Что происходит или не происходит при исполнении лечения активного заражения?

Если нажать карантин или удалить - то ничего не происходит (равносильно - пропустить) - это видно на скринах с элиткейлоггером. В данном случае нажималось удалить (видно - написано не обработан). И так во всех случаях - кроме с анриалом. Там после нажатия "удалить" предлагается провести лечение активного заражение. После перезагрузки руткит активен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

vaber, а unreal.a какой-либо из тестируемых в нашем тесте антируткитов способен детектировать?

Rootkit Unhooker вроде должен брать его, по заявлениям авторов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
vaber, а unreal.a какой-либо из тестируемых в нашем тесте антируткитов способен детектировать?

Rootkit Unhooker вроде должен брать его, по заявлениям авторов.

Анриала обнаруживают из нашего теста только Rootkit Unhooker (и не удивительно - ведь автор один у этого руткита и антируткита), а также gmer (но он только обнаруживает - удалить он мало что может).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

Unreal.a совершенно спокойно светится красным цветом в отчетах AVZ и менеджере модулей пространства ядра.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vorobey1
В связи с появлением новой бета-версии Касперского решил проверить возможность детекта им некоторых руткитов.

В частности на unreal.a, Costrat.af (Rustock) и Elitekeylogger.

З.Ы. Данная бета пока только детектит скрытые файлы, но не может удалить.

Как я понял речь идёт о бетке которую предлагают тут: http://soft.softodrom.ru/ap/p2.shtml но не понял в чём отличия от предедущих сборок? И почему по цифрам сборка ниже чем предедущая?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
В связи с появлением новой бета-версии Касперского решил проверить возможность детекта им некоторых руткитов.

В частности на unreal.a, Costrat.af (Rustock) и Elitekeylogger.

З.Ы. Данная бета пока только детектит скрытые файлы, но не может удалить.

Как я понял речь идёт о бетке которую предлагают тут: http://soft.softodrom.ru/ap/p2.shtml но не понял в чём отличия от предедущих сборок? И почему по цифрам сборка ниже чем предедущая?

Ну если 7 ниже, чем 6, тогда я могу только направить вас в начальную школу на урок арифметики ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Unreal.a совершенно спокойно светится красным цветом в отчетах AVZ и менеджере модулей пространства ядра.

В какой версии AVZ??

4.24 я еще не проверял (но там походу моло отличий в плане детекта руткитов). Или Вы имеете ввиду работу систему AVZ PM??

В прочем как доберусь до своего ПК - проверю.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vorobey1
В связи с появлением новой бета-версии Касперского решил проверить возможность детекта им некоторых руткитов.

В частности на unreal.a, Costrat.af (Rustock) и Elitekeylogger.

З.Ы. Данная бета пока только детектит скрытые файлы, но не может удалить.

Как я понял речь идёт о бетке которую предлагают тут: http://soft.softodrom.ru/ap/p2.shtml но не понял в чём отличия от предедущих сборок? И почему по цифрам сборка ниже чем предедущая?

Ну если 7 ниже, чем 6, тогда я могу только направить вас в начальную школу на урок арифметики ;)

Сорри, сравнил только конечные цифры :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
Unreal.a совершенно спокойно светится красным цветом в отчетах AVZ и менеджере модулей пространства ядра.

В какой версии AVZ??

4.24 я еще не проверял (но там походу моло отличий в плане детекта руткитов). Или Вы имеете ввиду работу систему AVZ PM??

В прочем как доберусь до своего ПК - проверю.

Прошу смотреть. Скрин снимался на AVZ 4.23 (еще не успел обновить русскую версию).

24.PNG

post-509-1174229423.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Прошу смотреть. Скрин снимался на AVZ 4.23 (еще не успел обновить русскую версию).

NickGolovko

Вы лучше обновите unreal Ж))

Вскоре после выпуска unreal.a был выпущен багфикс к нему (выложили обновленный анрил), который не детектится антируткитами, которые "вешают" нотифи - то есть AVG, Avira и утилитой AVZ.

В Вашем случае AVZ задетектил анрила только благодаря активированному avz PM.

Если Вы установите пофикшеный Unreal.a то он не даст работать AVZ PM и соответственно AVZ его не обнаружит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

Хорошо, проверю.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

киньте кто-нибудь unreal.a чего-то найти его немогу..

где-то валялся у меня а где незнаю, сейчас его и не найду уже..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
киньте кто-нибудь unreal.a чего-то найти его немогу..

где-то валялся у меня а где незнаю, сейчас его и не найду уже..

+1, искал - не нашел.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко

Да. Теперь видим только запись в реестре.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Да. Теперь видим только запись в реестре.

Так она и так видна Ж)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
Да. Теперь видим только запись в реестре.

То, что драйвер в системе установлен? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
Да. Теперь видим только запись в реестре.

Так она и так видна Ж)

Ну так и я о том же :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ezhikkk

У кого стоит Каспер 7,скажите,стоит ли его ставить?Система с ним не тормозит?И чем он лучше 6 версии?

Beta версия,вроде,бесплатная,если я не ошибаюсь..?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
У кого стоит Каспер 7,скажите,стоит ли его ставить?

Это бета-версия и этим все сказано :)

Но думаю стОит :)

Система с ним не тормозит?

Не больше чем с КАВ 6.0

И чем он лучше 6 версии?

Лучше руткиты ловит и лик-тесты проходит.

Beta версия,вроде,бесплатная,если я не ошибаюсь..?

Да, Вы правы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ego1st

Storm кроме того эта бета первая полу рабочая, её ставить только для бета тестиования..

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
кроме того эта бета первая полу рабочая, её ставить только для бета тестиования..

Вот и я говорю, что это бета и этим все сказано. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber

Привожу скрины работы новых модулей в бетке касперского 7. В частности скрины детекта Кострата, анриала (драйвера удаляются) и скрины некоторых вердиктов эвристика.

Лично мне показалось, что эвристик неплохой и вполне может войти в тройку в майском Retrospective/ProActive Test на av-comparatives.org (если конечно успеют выпустить).

skrin.rar

unreal.JPG

Costrat.JPG

skrin.rar

post-173-1175310024.jpg

post-1-1175310024.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×