Проактивный и Generic-детект у различных антивирусов - Страница 2 - Тесты и сравнения - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Проактивный и Generic-детект у различных антивирусов

Recommended Posts

Dr.Golova

На имена однозначно нельзя смотреть. Если я кладу маски меньше шести байт на высерки эмулятора, я их всегда называю .gen но от того что они берут сразу несколько сотен вариантов малвары, они не перстают быть сигнатурными =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
На имена однозначно нельзя смотреть. Если я кладу маски меньше шести байт на высерки эмулятора, я их всегда называю .gen но от того что они берут сразу несколько сотен вариантов малвары, они не перстают быть сигнатурными =)

Но при этом это проактивное детектирование

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
На имена однозначно нельзя смотреть. Если я кладу маски меньше шести байт на высерки эмулятора, я их всегда называю .gen но от того что они берут сразу несколько сотен вариантов малвары, они не перстают быть сигнатурными =)

Вот о чем я и говорю. То что мы детектим одной 6-и байтной маской - то НОД32 ловит только несколько килобайтной функцией, переписываемой с каждым новым самплом. Зато у них оно гордо зовется "эвристикой", а мы используем "архаичный, умирающий и неэффективный сигнатурный метод".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
pROCKrammer

Я думаю что в Авире это не сигнатурный детект это детект движка во текст история версии движка 7.6.0.30.

This is the version number of the new engine:

7.6.0.30

The following changes were done:

- Added & Updated: Generic and heuristic detections:

DR/Zlob.Gen

TR/Dldr.Zlob.Gen

TR/Spy.Banker.Gen

TR/Dldr.ConHook.Gen

TR/Proxy.Horst.Gen

WORM/Stration.Gen

BDS/Hupigon.Gen

WORM/Zhelatin.Gen

WORM/Zhelatin.Damaged.Gen

TR/Dropper.Gen

DR/Delphi.Gen

TR/Spy.Gen

TR/Hijacker.Gen

TR/Rootkit.Gen

TR/Crypt.XPACK.Gen

TR/Crypt.XDR.Gen

TR/Crypt.CFI.Gen

TR/Vundo.Gen

HTML/Psyme.Gen

EXP/PDF.URI.Gen

- Updated: Detection of polymorphic viruses:

W32/Thorin

W32/Virut.Gen

- Fixed: Heuristic false positives

- Fixed: Renamed HEUR-DBLEXT/ prefix to HIDDENEXT/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Я думаю что в Авире это не сигнатурный детект это детект движка во текст история версии движка 7.6.0.30.

Вот тут как раз и не понятно, эвристика это или generic-сигнатуры :?

Я склонен полагать, что последнее, это по крайней мере логично было бы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

Ну, как мы уже выяснили, все variant of это сигнатурный детект на отэмуленные данные, а чистой эвристикой можно считать только probably new heur XX

Извольте пересчитать свои таблицы :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Денис Лебедев

У TrendMicro встречаются вот такие вердикты:

  • (This is the Trend Micro detection for suspicious files that manifest behavior and characteristics similar to known VUNDO variants.)

POSSIBLE_STRAT-6 (This is the Trend Micro detection for suspicious files that manifest behavior and characteristics similar to known STRATION variants.)

POSSIBLE_DLDER (This is the Trend Micro detection for suspicious files that manifest behavior and characteristics similar to known TROJ_DLOAD, TROJ_DLOADER, TROJ_DLDR, TROJ_SMALL, and TROJ_AGENT variants.)

PE_VIRUT.GEN-2 (This is the Trend Micro detection for suspicious files that manifest behavior and characteristics similar to known PE_VIRUT variants.)

BKDR_Generic.Z

TROJ_Generic

WORM_NUCRYPT.GEN

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Рагозин

Очень хотелось бы помочь по поводу Sophos, но с именами действительно есть небольшие сложности.

Можно посмотреть комплексный документ по созданию имен вирусов от Sophos:

http://www.sophos.com/pressoffice/news/art...a_glossary.html

Но в общем что касается распознаваний семейств вирусов по одной сигнатуре, то варианты могут быть такие:

-Fam and -Gen

Sophos's proactive protection technology will identify viruses, Trojans or worms of a particular family with the suffix -Fam or -Gen initially, where the variant is not currently separately identified. Where full analysis is performed, the variant will then be individually named.

Examples: W32/Sdbot-Gen and W32/Spybot-Fam

Name

Each detected virus, Trojan and worm, and family of virus, Trojan and worm variants, are each given a name. The programming code in all variants within a family will be similar (it is often copied and only altered slightly) and the effects will usually also be similar.

Examples: 'Bagle' family includes variants with these names W32/Bagle-A and W32/Bagle-B

Но например, что конкретно относится к проактивной технологии Sophos Genotype, в имени обнаруженного вируса не отражается насколько мне известно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Олег Рагозин, спасибо за помощь!

Но например, что конкретно относится к проактивной технологии Sophos Genotype, в имени обнаруженного вируса не отражается насколько мне известно.

Очень жаль, было бы очень интересно посмотреть, насколько эта технология эффективна.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Но например, что конкретно относится к проактивной технологии Sophos Genotype, в имени обнаруженного вируса не отражается насколько мне известно.

Mal/Behav

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Рагозин

Это расширение относится к технологии Sophos HIPS, а точнее распознавание по потенциально вредоносному поведению. Насколько я понял, тут требовалось провести тест не по поведению, а по отнесению нового вируса к семейству уже известных.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Это расширение относится к технологии Sophos HIPS, а точнее распознавание по потенциально вредоносному поведению. Насколько я понял, тут требовалось провести тест не по поведению, а по отнесению нового вируса к семейству уже известных.

это вердикт на основе анализа кода и нахождения в нем некоторых текстовых строк и используемых функций = эвристик.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Рагозин

HIPS

Description:

A Host Intrusion Prevention System (HIPS) guards against unknown threats. Sophos's HIPS technology uses our anti-virus engine to stop unknown threats by analyzing behavior before code executes.

Naming:

Sophos Anti-Virus detects the behavior of these files as 'Malicious Behavior' and reports them with the prefix "Mal/".

Есть технология Sophos Genotype, которая по коду может определить к какому семейству относится вирус, и собственно указать в полученном определении вредоноса от кого тот рожден. А есть технология Sophos Behavior Genotype (он же HIPS), которая определяет вредоноса по поведению. Да, это производится до реального запуска кода, но не определяет семейство вирусов, от которых вредонос произошел. Насколько я понимаю, интересовала работа прежде всего именно Genotype, так что "Mal/Behav" здесь не поможет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
HIPS

Description:

A Host Intrusion Prevention System (HIPS) guards against unknown threats. Sophos's HIPS technology uses our anti-virus engine to stop unknown threats by analyzing behavior before code executes.

Naming:

Sophos Anti-Virus detects the behavior of these files as 'Malicious Behavior' and reports them with the prefix "Mal/".

Есть технология Sophos Genotype, которая по коду может определить к какому семейству относится вирус, и собственно указать в полученном определении вредоноса от кого тот рожден. А есть технология Sophos Behavior Genotype (он же HIPS), которая определяет вредоноса по поведению. Да, это производится до реального запуска кода, но не определяет семейство вирусов, от которых вредонос произошел. Насколько я понимаю, интересовала работа прежде всего именно Genotype, так что "Mal/Behav" здесь не поможет.

Все еще год назад обсудили и разжевали.

http://www.anti-malware.ru/phpbb/viewtopic.php?t=1264

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

> This is the version number of the new engine:

> 7.6.0.30

>

> The following changes were done:

>

> - Added & Updated: Generic and heuristic detections:

> DR/Zlob.Gen

> TR/Dldr.Zlob.Gen

> TR/Spy.Banker.Gen

> TR/Dldr.ConHook.Gen

> и т.д.

Эээ, т.е. им приходится перевыпускать не базы, а _движок_, чтобы поддерживать эвристики? Причем эвристики на конкретные зловерды, а не на поведение типа TR/Dldr (тогда был бы хоть как-то обоснован перевыпуск движка)? Однако, век живи, век учись...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Получается что так, к тому же детект типа .Gen в данном случае вводит в заблуждение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
pROCKrammer

Вот что я обнаружил Backdoor.Hupigon.gen ! В SpywareTerminator. Вроде у него нету ЭВРИСТИКИ? НУ тогда откуда .GEN/?

http://www.spywareterminator.com/item/1137...upigon.gen.html

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Значит это детект по дженерик сигнатуре. Там антивирус ClamAV встроен

ClamAV Integration - optional integration of the ClamAV the real-time shields provides active protection against over 100,000 threats identified by the ClamAV team.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
pROCKrammer

Сергей Ильин

Сори я знаю что тама Clam установлен но для него есть всоя база которая обновляется а это входит в стандартную свою базу. НУ КАК

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

pROCKrammer

казнить нельзя помиловать

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr.Golova

> Значит это детект по дженерик сигнатуре. Там антивирус ClamAV встроен.

У кламава нет, небыло, и не будет никогда дженериков.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
pROCKrammer
У кламава нет, небыло, и не будет никогда дженериков.

Ну я что им говорил

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
У кламава нет, небыло, и не будет никогда дженериков.

Так что это тогда было? Просто передранное у кого-то название сигнатуры? Если так, то грубо работают ребята.

Trend Micro сегодня удивил интересными вердиктам:

1. Type: Generic; Примеры: Possible_Strat-6, Possible_Vundo-1

2. Type: Multiple; Пример: Compressed file

Есть документальные подтверждения, что эвристика у Trend Micro есть, так же как и детект по пакерам :wink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×