Тест антивирусов на лечение активного заражения II (подготовка)

[vaber 350]

Мне бы хотелось обсудить с форумчанами методологию проведення теста "Лечение активного заражения".

На данный момент она выглядит так:

На виртуальной машине с установленной ОС Windows XP SP2 запускается вирус. Затем машина перезагружается несколько раз для закрепления вируса в системе. Убеждаемся в том,что вирус защищается (восстанавливает себя, ключ автозапуска, невидим на диске и т.п.). Делается снимок состояния системы. Проделываем тоже самое с каждым образцом. Затем выбираем снимок с нужным образцом, загружаем ОС, устанавливаем антивирус и руководствуемся тем, что предлагает нам установщик антивируса. Настройки антивируса - по-умолчанию. После установки, если антивирус молчит, запускается проверка каталога по-требованию с установленной малварой.

Замечание:

в тесте будут использоваться именно те малвары, которые тем или иным способом защищаются от обнаружения и удаления антивирусом (будучи установленными - то есть - активная защита). Все самплы малвар, участвующие в тесте, должны детектироваться антивирусами с базами актуальными на момент проведения теста. Малвары, которые просто паганят реестр использоваться не будут. Применяться будут 2-3 модификации одной и той же малвары, дабы исключить возможность каких-либо несовместимостей вируса и антивируса (BSOD при загрузке, зависание системы).

Цель теста - определить, какие из современных антивирусов для домашних пользователей способны обнаруживать и удалять распространенные малвары с различными механизмами своей защиты.

Хотелось бы услышать и имена малвар, которые ,по Вашему мнению, могут применяться в данном тесте (с кратким комментарием способа защиты).

Жду предложений и замечаний .

[Inkogn 0]

...машина перезагружается несколько раз для...

Интересно это слышать от тебя.

Цель теста - определить, какие из современных антивирусов для домашних пользователей способны обнаруживать и удалять распространенные малвары с различными механизмами своей защиты.

Это озвучание не пойдёт к описанию.Во всяком случае,без добавки в этот же заголовок,что "...при инсталлировании АВ на заражённую ОС.".

Для пользователя профиля устанавливающего АВ на чистую ОС интересует тест,если АВ попадает до вируса на комп,а не наоборот.Вполне возможен вариант,что АВ2,лучше самозащищающийся или лечащий,чем АВ1,покажет худшие результаты,если вирус на комп попадает до него.Я бы купил того,который на чистом компе с АВ,заражаем после,показал бы результат.Тобой предложенный вариант теста больше интересен пользовательскому профилю для одноразовой инсталляции для лечения.Возможен просто очень большой разброс,не подтверждающийся на практике у пользователей,не играющих с огнём и инсталлирующих на чистую ОС для долгосрочного пользования.

Упрощённо говоря,при одном варианте (сначала вирус) возможно,что АВ1 "сможет" 15 из 20,а АВ2 только 10.Они же в другом варианте (сначала АВ),то АВ1 16,АВ2 больше него.

[vaber 350]

vaber писал(а):

...машина перезагружается несколько раз для...

Интересно это слышать от тебя.

А что интересного-то?

vaber писал(а):

Цель теста - определить, какие из современных антивирусов для домашних пользователей способны обнаруживать и удалять распространенные малвары с различными механизмами своей защиты.

Это озвучание не пойдёт к описанию.Во всяком случае,без добавки в этот же заголовок,что "...при инсталлировании АВ на заражённую ОС.".

Это понятно - в описании будет более правильно написано. А так - да, инсталляция антивируса на зараженную ось.

Для пользователя профиля устанавливающего АВ на чистую ОС интересует тест,если АВ попадает до вируса на комп,а не наоборот.Вполне возможен вариант,что АВ2,лучше самозащищающийся или лечащий,чем АВ1,покажет худшие результаты,если вирус на комп попадает до него.Я бы купил того,который на чистом компе с АВ,заражаем после,показал бы результат.Тобой предложенный вариант теста больше интересен пользовательскому профилю для одноразовой инсталляции для лечения.Возможен просто очень большой разброс,не подтверждающийся на практике у пользователей,не играющих с огнём и инсталлирующих на чистую ОС для долгосрочного пользования.

Упрощённо говоря,при одном варианте (сначала вирус) возможно,что АВ1 "сможет" 15 из 20,а АВ2 только 10.Они же в другом варианте (сначала АВ),то АВ1 16,АВ2 больше него.

Я с Вами согласен. Но тут дело в том, что при Вашем варианте (инсталляция антивируса, затем малвары) не все антивирусы будут находиться в одинаковых условиях. Что делать, если у антивируса имеется поведенческий блокиратор?? Ведь он не даст большинству малвар закрепиться в системе!!!

Данный тест подразумевает именно способность антивируса к лечению уже ЗАРАЖЕННОЙ системы Хотя в идеале было бы хорошо провести и тот тест, что Вы предложили - но там очевидно, что победа достанется комплексному решению с детектором поведения.

[Inkogn 0]

Особенно не искал,но и не попадалась инфа,что для полной инсталляции некоемому виру более одного перестарта надо.Если это не так,можешь просветить.Пока я исхожу,что второй перестарт может нужен для сгружаемых им (после его инсталляции с перестартом и автопуске) вирусов,которым перестарт нужен.Но тогда этим тестируем уже 2 вируса.

Лечение активного заражения я имел ввиду,попадание неизвестного вира на комп,его успешная инсталляция,возможно коррумпирование АВ.Достигается отключением realtime у АВ.Конечно,по условию инсталляции нужно и поведенческий отключать.Поведенческий относится уже к тесту защиты от неизвестных зловредов независимо от наличия/отсутствия сигнатур.Тут есть интересные варианты,когда неизвестный никому вирус всё равно устраняется.

[vaber 350]

Особенно не искал,но и не попадалась инфа,что для полной инсталляции некоемому виру более одного перестарта надо.Если это не так,можешь просветить.Пока я исхожу,что второй перестарт может нужен для сгружаемых им (после его инсталляции с перестартом и автопуске) вирусов,которым перестарт нужен.Но тогда этим тестируем уже 2 вируса.

Тестировать мы будем один вирус. Вирус устанавливается, система перезагружается, проверяется активность вируса, выключается, делается снимок. То есть на момент установки антивируса - система была перезагружена 2 раза. Это даст гарантию на полное укрепление вируса ( хотя как Вы заметили и одного раза должно быть достаточно).

Лечение активного заражения я имел ввиду,попадание неизвестного вира на комп,его успешная инсталляция,возможно коррумпирование АВ.Достигается отключением realtime у АВ.Конечно,по условию инсталляции нужно и поведенческий отключать.Поведенческий относится уже к тесту защиты от неизвестных зловредов независимо от наличия/отсутствия сигнатур.Тут есть интересные варианты,когда неизвестный никому вирус всё равно устраняется.

При таком раскладе тест теряет свою актуальность - при таком варианте, подразумевается отсутствие сигнатуры. Так зачем проактивку отключать?

[Сергей Ильин 1538]

Inkogn, планируется второй тест на лечение активного заражение, аналог того, что уже был http://www.anti-malware.ru/phpbb/viewtopic.php?t=2841

Просто мы хотим перед его началом еще раз обсудить методологию и возможно ее улучшить.

[TiX 0]

Тогда что-бы избежать лучшего результата для менее известного антивирусе придется проделывать вариант Inkong для тех АВ которые таки будут убиватся. Инче тест будет неверен.

Либо тест надо переименовывать в Лечение зараженной машины

[vaber 350]

так что - предложений нет?

А то выйдет как всегда - тест будет проведен, а потом начнется обсуждение правильности/неправильности методологии.

Какие идеи по поводу используемых самплов? Может кто встречался с трудно обнаруживаемой/удаляемой малварой, так поделитесь ее названием.

Добавлено спустя 6 минут 20 секунд:

Либо тест надо переименовывать в Лечение зараженной машины

Суть отражает верно, но думаю как-то не звучит

Идея теста - проверить возможность антивируса обнаружить/удалить уже укрепившегося в системе вируса, то есть насколько антивирусы могут противостоять современным малварам при попытке лечения.

[Михаил Кондрашин 55]

Либо тест надо переименовывать в Лечение зараженной машины

Суть отражает верно, но думаю как-то не звучит

Идея теста - проверить возможность антивируса обнаружить/удалить уже укрепившегося в системе вируса, то есть насколько антивирусы могут противостоять современным малварам при попытке лечения.

Вы определитесь. Или называйте тест в соответствии с сутью тестирования или меняйте методику.

То, что указано, это попытка очистить зараженную машину, установкой на него антивируса. Многие вендоры для таких ситуаций предлагают отдельные утилиты, которые нужно запустить до установки антивируса.

С другой стороны, гораздо интереснее --- это заражение защищенной машины. То есть сначала нужно установить антивирус, не обновлять его или отключить резидентный монитор. После этого заразить систему. Перегрузить несколько раз, а потом обновить антивирус или включить резидентный монитор.

[vaber 350]

Вы определитесь. Или называйте тест в соответствии с сутью тестирования или меняйте методику.

То, что указано, это попытка очистить зараженную машину, установкой на него антивируса. Многие вендоры для таких ситуаций предлагают отдельные утилиты, которые нужно запустить до установки антивируса.

С другой стороны, гораздо интереснее --- это заражение защищенной машины. То есть сначала нужно установить антивирус, не обновлять его или отключить резидентный монитор. После этого заразить систему. Перегрузить несколько раз, а потом обновить антивирус или включить резидентный монитор.

Ок.

Начнем с того, что такое лечение активного заражение. Это процесс обнаружения/удаления малвары, которая уже укрепилась/инсталлировалась в системе. Как уже заметили тут может быть два варианта - малвара попала в систему, когда уже был установлен антивирус и второй вариант - когда антивирусного средства не было.

Вроде бы первый - самый правильный.

Но все же - есть антивирусы в состав которых входит поведенческий блокиратор. То есть, если симулировать ситуацию с отсутствием сигнатуры, то установка малвары не прокатит, т.к. большинство будет обезврежено в процессе инсталляции в систему!! Как тогда в таком случае??

Второй вариант - в принципе, тот же первый. Разница только в том, что антивирус будет установлен после закрепления вируса в системе. Но с другой стороны, существуют вирусы, препятствующие установки антивируса удалением его файлов,завершения процессов и т.п. Но в таких вирусах конкретно "закреплено", процессы каких антивирусов будут завершаться. и врядли мне удасться найти такокую малвару, которая препятствовала бы установке всех тестируемых антивирусов. Раз такой нету, то применять в тесте подобные вирусы (которые препятствуют установки каких-то определенных антивирусов) я не буду, дабы тест был как можно более объективным.

Исходя из всего этого и был выбран именно второй вариант - установка антивируса после инсталляции малвары как более подходящий.

[Dexter 20]

Но в таких вирусах конкретно "закреплено", процессы каких антивирусов будут завершаться. и врядли мне удасться найти такокую малвару, которая препятствовала бы установке всех тестируемых антивирусов. Раз такой нету, то применять в тесте подобные вирусы (которые препятствуют установки каких-то определенных антивирусов) я не буду, дабы тест был как можно более объективным

Безусловно, тест будет более объективным как тест существующей технологии, но будет мало относится к реальной жизни, т.к. если вирус не сносит по любой причине некий антивирус, то есть шанс, что он (антивирус) завтра его (вирус) и найдёт и удалит.

С наличием проактивки, то же самое, поскольку юзер, если ему что то непонятно, обычно жмёт на кнопки не глядя (лишь бы работало), спустя некоторый период времени пользования.

Но, впрочем, это так, просто ремарка.

[vaber 350]

Безусловно, тест будет более объективным как тест существующей технологии, но будет мало относится к реальной жизни, т.к. если вирус не сносит по любой причине некий антивирус, то есть шанс, что он (антивирус) завтра его (вирус) и найдёт и удалит.

Не понял, почему тест мало относиться к реальности :shock: ?

Потому, что нету в тесте вирусов, которые удаляют антивирус?

С наличием проактивки, то же самое, поскольку юзер, если ему что то непонятно, обычно жмёт на кнопки не глядя (лишь бы работало), спустя некоторый период времени пользования. Smile

Исходя из этого, я не могу взять в тест антивирус с поведенческим блокиратором, и нажимать всегда "разрешить". Это в корне не правильно.

[Dexter 20]

Не понял, почему тест мало относиться к реальности ?

Потому, что нету в тесте вирусов, которые удаляют антивирус?

Да, конечно, поскольку в тесте рассматриваются достаточно сложные случаи заражений.

Именно поэтому я отметил слова о тестировании существующих технологий.

Т.е. я уточнил, что это тест лечения активного малварного заражения, но не более.

Но и этого очень немало.

Спасибо Вам за то, что берётесь за эту огромную работу.

Исходя из этого, я не могу взять в тест антивирус с поведенческим блокиратором, и нажимать всегда "разрешить". Это в корне не правильно.

Ну почему же? Его можно просто не устанавливать или отключить.

Даже ,например, на форуме каспера потихоньку народ приходит к осознанию большой доли рекламной сущности этого модуля для большинства простых юзеров. И поэтому я говорю о том, что этот тест не может рассматриваться как тест реальной защиты.

Но эти мои слова, безусловно, имеют большее отношение к общефилосовским вопросам, нежели к техническим аспектам тестирования.

[vaber 350]

Да, конечно, поскольку в тесте рассматриваются достаточно сложные случаи заражений.

Но в месте с тем - распространенные. В этом можно будет убедиться, полистав форум на virusinfo.info

Спасибо Вам за то, что берётесь за эту огромную работу.

и Вам спасибо за поддержку

Его можно просто не устанавливать или отключить.

А смысл? Это получиться как раз-таки не реальный тест, поскольку по-умолчанию PDM (проактивка) устанавливается. В тесте мы решили устанавливать антивирусы с настройками по-умолчанию.

Даже ,например, на форуме каспера потихоньку народ приходит к осознанию большой доли рекламной сущности этого модуля для большинства простых юзеров. И поэтому я говорю о том, что этот тест не может рассматриваться как тест реальной защиты.

Я не знаю, к чему приходит народ на форуме KL, но PDM Касперского,это не только реклама - это действительно эффективный способ предупреждения заражения еще неизвестными антивирусу малварами.

А как должен выглядеть тест реальной защиты? Отключить PDM, мониторы и запускать вирус? Но так ведь наоборот не правильно - мы искуственно создадим не реальный случай.

[Dexter 20]

это не только реклама - это действительно эффективный способ предупреждения заражения еще неизвестными антивирусу малварами

Я с этим совсем и не спорю, более того, совершенно согласен, но

"юзер, если ему что то непонятно, обычно жмёт на кнопки не глядя (лишь бы работало), спустя некоторый период времени пользования".

Т.е.,по моему скромному мнению, правильная действенная защита для широкого пользования должна быть или очень понятной или молчаливой.

А как должен выглядеть тест реальной защиты?

К сожалению, не знаю, иначе уже зарабатывал бы и этим.

А как должен выглядеть тест реальной защиты? Отключить PDM, мониторы и запускать вирус?

Фактически именно так и планируется проведение теста, как я понял, т.е. "установка антивируса после инсталляции малвары".

А следовательно, "мы искуственно создадим не реальный случай".

И ещё раз повторю, прошу не расценивать мои слова как критику, но как заметки на полях теста.

[vaber 350]

Т.е.,по моему скромному мнению, правильная действенная защита для широкого пользования должна быть или очень понятной или молчаливой.

Это в идеале

К сожалению, чтобы противостоять современным вирусам одной "молчаливой" защиты мало. Достаточно попасть вирусу, сигнатуры которого нету. А та, которая как-то может противостоять новым угрозам - не молчалива. Вы можете себе представить фаервол молчаливым? Да, когда он стоит в режиме блокировать/разрешать все. Да и как правило, поведенческие анализатора настраиваемы - то есть можно отключить все что не нужно или мешает. Например PDM Касперского в режиме "базовой защиты" обычно молчалив, но при это позволяет блокировать большую часть новых малвар.

Но мы уходим в оффтоп

А следовательно, "мы искуственно создадим не реальный случай".

И ещё раз повторю, прошу не расценивать мои слова как критику, но как заметки на полях теста.

Я Ваши слова не расцениваю как критику - я эту тему и создал для обсуждения методики.

Я выше уже писал, почему именно сначала инсталляция вируса - это позволит использовать антивирусы с проактивной защитой. Такая ситуация возникает как правило тогда, когда в системе не было антивируса, или был, но он молчал, либо не мог ничего сделать с обнаруживаемым вирусом. И пользователь вынужден инсталлировать другой антивирус, чтобы вылечиться. Вот какой ему стоит выбрать для этой цели - и покажет тест.

[vaber 350]

И так, в тест попадут следующие малвары по классификации KL:

Малвары восстанавливающие свои файлы/ключи, блокирующие к себе доступ из юзер мод:

Trojan-proxy.Win32.Xorpix

Email-worm.Win32.Scano

Adware.Newdotnet

Adware.Look2me

Adware.Virtumonde

Trojan-spy.Win32.Bankos

которые шифрует пользовательские данные:

Virus.Win32.GpCode

руткиты:

Backdoor.Win32.Haxdoor

Trojan-spy.Win32.Goldun

Trojan-clicker.Win32.Costrat (lzx32,hui32,xpdx,xpdt)

Rootkit.Win32.Agent.ea (та модификация, которая Srizbi по Симантику)

Trojan-Proxy.Win32.Wopla

Trojan-Proxy.Win32.Agent

В ближайшее время к ним добавятся еще несколько малвар.

Малвары подбирал таким образом, чтобы охватить как можно большее способов защиты, которые наиболее трудны в обнаружении/удалении/лечении.

Есть какие другие малвары, которые можно добавить в тест?

[Николай Головко 70]

Email-Worm.Win32.Magistr

Добавлено спустя 2 минуты 23 секунды:

Впрочем, это почти шутка: мне нечего пока добавить к списку.

[Mike 125]

И так, в тест попадут следующие малвары по классификации KL:

Adware.Virtumonde

Trojan-spy.Win32.Bankos

Есть какие другие малвары, которые можно добавить в тест?

Virtumonde и Bankos – наши любимые.

за пару дней до теста дай знать, что–нибудь новенькое выложу.

то, чего еще ни у нортона, ни у mcafee нет.

[Сергей Ильин 1538]

Результаты теста опубликованы здесь

http://www.anti-malware.ru/phpbb/viewtopic.php?t=3474