Перейти к содержанию
sww

Анализ современных антивирусов. Статья в IT-Спец

Recommended Posts

sww

Предлагаю общественности ознакомиться с тестом уважаемого vaber'а в журнале "IT-спец" за ноябрь. Ну и с комментариями уважаемых аналитиков (и меня :) ).

Это не скан, это фото. Так что кое-что не видно, но не суть важно.

p.s. Используйте зум, если что-то не видно!

SS850011.JPG

SS850010.JPG

SS850009.JPG

post-3744-1195745093.jpg

post-1-1195745093.jpg

post-1-1195745094.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

ага, ага, читали это прекрасное: только Доктор Веб способен и все такое:) У вас в Докторе сканера нет?

Для интерсующихся основной вывод такой:

Как видно из результатов тестирования, только антивирус DrWeb на данный момент способен успешно бороться с современными ITW-образцами, использующими rootkit-технологию для своего скрытия в системе. Неплохие результаты также показали антивирусы Kaspersky и Symantec.

В чем ничего удивительного я собственно не вижу. Поскольку самплы брались очень близкие к тесту на активное заражение на антималваре, да и сама процедура теста очень близка к тесту на тоже активное заражение:)

Глядите

Тест на руткиты

- Backdoor.Win32.Haxdoor.hq

- Backdoor.Win32.Padodor.al

- Rootkit.Win32.Agent.ea

- Rootkit.Win32.Agent.ey

- Trojan.Win32.DNSChanger.ih

- Trojan-Clicker.Win32. Costrat.l

- Trojan-Proxy.Win32. Agent.lb

- Trojan-Proxy.Win32.Wopla.ag

Тест на активное заражение

Adware.Win32. Look2me.ab

Adware. Win32.NewDotNet

AdWare.Win32.Virtumonde.bq

Backdoor.Win32.Haxdoor.ix

Backdoor.Win32.PcClient.ca

Email-Worm.Win32.Scano.ac

Trojan-Clicker.Win32.Costrat.l

Trojan-Downloader.Win32.Agent.brr

Trojan-Downloader.Win32.Agent.brk

Trojan-Proxy.Win32.Agent.lb

Trojan-Proxy.Win32.Wopla.ag

Trojan-Proxy. Win32.Xorpix.ba

Trojan-Spy.Win32.Bancos.aam

Trojan-Spy.Win32.Goldun.ls

Virus.Win32.Gpcode.af

Rootkit.Win32.Agent.ea

SpamTool.Win32.Agent.u

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
У вас в Докторе сканера нет?

Конечно нет, у нас в Докторе ментальный уловитель мыслей вирусов. Так и побеждаем, знаете-ли... :lol:

p.s. Не мог не сыграть на слове "сканер".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Werasy
...При запуске сканера он создаёт драйвер (Dr.Web Shield) со случайным именем (похоже,что любовь сотрудников "Диалог-Науки" к случайным именам восходит ещё к середине 90-х—Прим. ред.),загружает его...

Инсталлировавшийся рооткит может перехватывать и контроллировать любой процесс,который его программирователь посчитал нужным.Самих процессов есть множество и бесполезно контроллировать рооткиту те,которые ему попросту не нужны.Но в любом случае запускаемый процесс АВ- или рооткитсканнера наверняка имеет последствия для рооткита.Есть при этом различные способы избежать обнаружения особенно,если рооткит заточен на определённые сканеры.Идеально для рооткита,если он знает,что его начали искать и кто.Очень легко ему ориентироваться при этом,если отслеживать процессы по имени.Уже были именитые рооткитсканнеры именно этим путём обойдены,так как рооткит узнавал,когда ему нужно прекращать "рооткититься" для сбития с толку запущенный сканнер.Поэтому случайное имя запускаемого поискового процесса деается вовсе не для любования пользователя каждый раз новым именем.

...Необходимо отметить,что Dr.Web не имеет защиты собственных файлов и процессов,что может быть использовано вредоносным ПО ...

Не страшно.Включаешь DefenseWall и появляется остальная защита и остальное.А на крайний случай,не стоит предоставлять вирусописателям права опытных пользователей,пользуясь админаккоунтом для инета.Опытные пользователи почему-то недооценивают,что есть опытные вирусописатели.Так как данном случае только DW опыт вирусописателей обнулит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
Не страшно.Включаешь DefenseWall

Тогда и самого доктора покупать нет смысла :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
(похоже,что любовь сотрудников "Диалог-Науки" к случайным именам восходит ещё к середине 90-х—Прим. ред.)

Не могу не заметить очевидный бред редактора (Диалог-Наука), единственное, что подпортило настроение от прочтенной статьи. Запомните уже наконец ООО "Доктор Веб" и все тут.

p.s. К моменту массового появления руткитов нацеленных конкретно на Dr.Web уже будут решения проблемы защиты, я так думаю ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Werasy
Тогда и самого доктора покупать нет смысла :)

Ну хорошо.Я в тестах антимальваре по самозащите АВ-ов пробежался и не нашёл,под каким пользователем действительны полученные результаты,под админом,или для ограниченного аккоунта так же?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
под каким пользователем действительны полученные результаты,под админом,или для ограниченного аккоунта так же?

Админом. Вы же не будете сейчас утверждать, что все пользователи поголовно сидят под орг. юзером?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
В чем ничего удивительного я собственно не вижу. Поскольку самплы брались очень близкие к тесту на активное заражение на антималваре, да и сама процедура теста очень близка к тесту на тоже активное заражение:)

И что?

Если взять самплы, которые так же использовались в активном и заменить на аналогичные - что-то изменится в результатах?

Уже скоро выйдет тест на руткитах. Там он несколько расширен по объему, и включает в себе и концепты и антируткиты как спец ПО. Так же будет и еще один руткит - на данные момент он стал распространенным, хотя на активное и в статью в IT-спец я его не взял тогда - в связи не большой распространенностью. Так бы Drweb еще бы болше оторвался от конкурентов :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Werasy
Админом. Вы же не будете сейчас утверждать, что все пользователи поголовно сидят под орг. юзером?

Это дело пользователей.Для пользователей,идущих сознательно админом в инет,самозащита АВ-ов,я думаю,есть дело второстепенное,раз уж они и так первому просто zero-day вирусу права админа дают.

Пользующиеся огр.аккоунт имеют и самозащиту АВ-у.То,что от известных вирусов пользователь и АВ защищёны,ясно.Насчёт сделавших своё дело неизвестных вирусов оставшийся на ногах АВ так же не устранит и те последствия заражения,которые происходят уже дальше и вне компа (ушедшая конф. инфа,к примеру).Таким образом,лучшая,скажем,в 2 раза самозащита так же и не уменьшает последствия вреда для конечного пользователя в 2 раза.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
раз уж они и так первому просто zero-day вирусу права админа дают.

Вы это домохозяйке расскажите, которая заплатили 1000 р за НОД* (и установку), а ей сказали что это просто супер антивирус и лучше его и нет, и защита у этого антивиря самая крутая и быстрый он и совсем не тормозит.

* - НОД это лишь пример. "Беззащитных" антивирусов гораздо больше.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

vaber я все это написал к тому, что вы тестируете только способность лечить известного активного руткита, а возможности поведенческого детекта руткитов оставляете в стороне...что на мой взгляд не совсем верно:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
vaber я все это написал к тому, что вы тестируете только способность лечить известного активного руткита, а возможности поведенческого детекта руткитов оставляете в стороне...что на мой взгляд не совсем верно:)

Понятно. По Вашему тексту сразу было трудно это заподозрить :).

Тогда ждите результатов теста руткитов-2. Скоро будут. Там будет и проактивный детект и активный известный руткит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
возможности поведенческого детекта руткитов оставляете в стороне...что на мой взгляд не совсем верно:)

В нашем новом тесте это будет проверяться, vaber об этом написал выше. Для статьи в СМИ это был бы перебор уже, массовому читателю такое не осилить ... "поведенческий детект руткитов", ни одного понятного слова :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
возможности поведенческого детекта руткитов оставляете в стороне...что на мой взгляд не совсем верно:)

В нашем новом тесте это будет проверяться, vaber об этом написал выше. Для статьи в СМИ это был бы перебор уже, массовому читателю такое не осилить ... "поведенческий детект руткитов", ни одного понятного слова :lol:

повеселили Сергей повеселили, т.е. слова которые встречаются в этой статье понятны массовму читателю? Наверное вот эти слова ему понятны:

троянская программа является KernelMode руткитом (перхват функций с помощью правки адресов в ....)

Это статья в журнале IT Спец, а не в журнале Игромания все таки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
"поведенческий детект руткитов",

Хаха, +1

Что там проактивно детектить? Создание веток? Создание процессов? Запуск драйвера? Это проактив? :lol:

Или кто-то сделал уже свой "патчгвард"?

Или сравнение "процесс есть/процесса нет" - это проактив?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Поведенческий детект руткитов находится явно за рамками статьи.

ИМХО было бы даже вредным там об этом писать.

Сами то хотя бы можете объяснить доходчиво, что называете "поведенческим детектом руткитов"? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Сергей, я с Вами как раз согласен, я не знаю что такое "поведенческий детект руткитов". Наверное, это правила, основанные на обычном поведении большинства руткитов :roll:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

sww, мой вопрос адресовался Ивану, который это оспаривал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

в этом нет ничего удивительного ваш же Борис Шаров сказал, что "проактива не дождетесь":)

читайте други

http://www.kaspersky.ru/reading_room?chapter=207367475

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
в этом нет ничего удивительного ваш же Борис Шаров сказал, что "проактива не дождетесь":)

читайте други

http://www.kaspersky.ru/reading_room?chapter=207367475

Боян и бред. Регистрация в реестре и запуск процесса - это не руткит действия.

Специалисты «Лаборатории Касперского» разработали методику продвинутой дезинфекции, позволяющей в ста процентах случаев нейтрализовать вредоносное программное обеспечение, независимо от того, насколько «глубоко» оно внедрилось в операционную систему.

Бедное удаленное ядро windows. Вот так и нейтрализовали Spambot.

Я закончил дискуссию, она бессмысленна для меня.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Поведенческий детект руткитов находится явно за рамками статьи.

ИМХО было бы даже вредным там об этом писать.

ха ха ха

то есть то что vaber будет в новом тесте на антималваре проверять способности антивирей обнаруживать концепты руткитов - это не вредно, а сделать то же самое в статье профессионального журнала - вредно?

Хотя да я понимаю почему вредно, если бы тест полностью вышел в журнале, то чтобы тогда осталось печатать антималваре. Так бы и говорили, а то вредно вредно, не знаем что такое обнаружение руткита хипсом, раскажите нам пожалуйста и все такое :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Storm
читайте други
Специалисты «Лаборатории Касперского» разработали методику продвинутой дезинфекции, позволяющей в ста процентах случаев нейтрализовать вредоносное программное обеспечение, независимо от того, насколько «глубоко» оно внедрилось в операционную систему.

ПЕар, кругом пЕар. Тесты говорят против 100%.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
в этом нет ничего удивительного ваш же Борис Шаров сказал' date=' что "проактива не дождетесь":)

читайте други

http://www.kaspersky.ru/reading_room?chapter=207367475[/quote']

Боян и бред. Регистрация в реестре и запуск процесса - это не руткит действия.

читайте други
Специалисты «Лаборатории Касперского» разработали методику продвинутой дезинфекции, позволяющей в ста процентах случаев нейтрализовать вредоносное программное обеспечение, независимо от того, насколько «глубоко» оно внедрилось в операционную систему.

ПЕар' date=' кругом пЕар. Тесты говорят против 100%.[/quote']

согласен, пеар. Но я не ради этих строчек ссылку дал :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dan

ИМХО:

"позволяющей" не обозначает "делающей".

Скорее обозначает, что есть всё необходимое техническое оснащение.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ramonsmaps
      Over the years of independence, the institute has trained more than 13000 physicians (including 800 clinical interns, 1116 masters, 200 postgraduates and 20 doctoral students) in various directions.

      870 staff work at the institute at present,[when?] including 525 professorial-teaching staff in 55 departments, 34 of them are Doctors of science and 132 candidates of science. 4 staff members of the professorial-teaching staff of the institute are Honoured Workers of Science of the Republic of Uzbekistan, 3 – are members of New-York and 2 – members of Russian Academy of Pedagogical Science.

      The institute has been training medical staff on the following faculties and directions: Therapeutic, Pediatric, Dentistry, Professional Education, Preventive Medicine, Pharmacy, High Nursing Affair and Physicians’ Advanced Training. At present[when?] 3110 students have been studying at the institute (1331 at the Therapeutic faculty, 1009 at the Pediatric, 358 at the Dentistry, 175 students at the Professional Education Direction, 49 at the faculty of Pharmacy, 71 at the Direction of Preventive Medicine, 117 ones study at the Direction of High Nursing Affair).

      Today graduates of the institute are trained in the following directions of master's degree: obstetrics and gynecology, therapy (with its directions), otorhinolaryngology, cardiology, ophthalmology, infectious diseases (with its directions), dermatovenereology, neurology, general oncology, morphology, surgery (with its directions), instrumental and functional diagnostic methods (with its directions), neurosurgery, public health and public health services (with its directions), urology, narcology, traumatology and orthopedics, forensic medical examination, pediatrics (with its directions), pediatric surgery, pediatric anesthesiology and intensive care, children's cardiology and rheumatology, pediatric neurology, neonatology, sports medicine.

      The clinic of the institute numbers 700 seats and equipped with modern diagnostic and treating instrumentations: MRT, MSCT, Scanning USI, Laparoscopic Center and others.

      There are all opportunities to carry out sophisticated educational process and research work at the institute.

      Source:
      https://adti.uz/magistratura/
      medical institutes of uzbekistan

      Tags:
      medical institutes of uzbekistan
      regional scientific medical library
      electronic library of a medical student
      electronic medical library official website
    • Dmitrius
      Сервис подбора и сравнение кредитов Случается так, что деньги нужны срочно. Поэтому если у вас нет накоплений, рациональней всего обратиться за помощью на этот сайт, где собраны надежные, проверенные банки, которым точно можно доверять. Учреждения подготовили лучшие предложения, которые только возможны. На этом сайте есть возможность подобрать кредит, а также оформить займ либо взять деньги на приобретение автомобиля. И самое главное, что все это на наиболее выгодных для вас условиях. Автокредит Казахстан проценты - это шанс купить все, что нужно, не отказывая себе в покупке. Все банковские продукты различаются требованиями, условиями выдачи, а потому рекомендуется детально изучить условия договора и особенности выдачи денежных средств. Потребительский кредит оформить (рассчитать) в Алматы получится в данный момент. На этом сайте вы сможете не только подобрать подходящий вариант, но и сравнить имеющиеся. Затем следует определиться с тем, в какой банк обратиться за материальной поддержкой. Составить заявку на выдачу средств можно в режиме реального времени. Кредит наличными заявка онлайн выдается в течение часа наиболее комфортным для вас способом. На портале опубликован список всех доступных предложений, имеется необходимая информация о каждом банке и кредитах. Выберете самую низкую процентную ставку, а также сумму и сроки, на которые планируете занять сумму. Все максимально просто, быстро и понятно. Ипотека проценты Казахстан (ипотека Казахстан) - это отличная возможность решить свои жилищные проблемы. Важно помнить о том, что лишь надежные компании с огромным опытом готовы предложить приемлемые условия. Выберете подходящий для себя банковский продукт, чтобы поправить материальное положение.
    • Dmitrius
      Интернет магазин автозапчастей  Интернет-магазин «AUTOSHOP» реализует внушительный выбор деталей на автомобили - их можно подобрать не только по наименованию, но и артикулу и другим параметрам. Имеются разные запчасти на любые автомобили самых разных марок и моделей - вы сможете их найти в один клик. Запчасти находятся на складе - это дает возможность осуществить быструю транспортировку. Сотрудничество исключительно с надежными, проверенными поставщиками, которые работают на совесть и предлагают продукцию безупречного качества и с длительными эксплуатационными сроками. Автозапчасти интернет магазин для иномарок рекомендует ознакомиться с полным ассортиментом – он даст возможность подобрать вариант с учетом обозначенных требований. Перед тем, как осуществить приобретение, необходимо детально изучить технические аспекты, ведь именно они влияют на сроки эксплуатации и внешний вид авто. Но если вам требуется помощь специалиста, то вы всегда можете воспользоваться профессиональной консультацией. Автозапчасти для иномарок Курск вы обязательно подберете для любой машины, несмотря на год производства. Изучите справочник автотоваров, каталог, а также новости, представленные на данную тематику - информация поможет принять правильное решение. Сотрудники интернет-магазина быстро реагируют на появление новых деталей в европейских магазинах для того, чтобы в ближайшее время пополнить ими свой ассортимент. Это даст возможность быстро среагировать за изменяющуюся ситуацию. Каталог автозапчастей Курск содержит огромный перечень деталей. Они созданы в соответствии с самыми высокими стандартами, нормами, требованиями. Администрация проверяет запчасти на соответствие заданным характеристикам, поэтому в продажу попадает только та продукция, которая имеет сопроводительную документацию, сертификаты. На продукцию есть гарантии, подтверждающие безупречное качество, оригинальность.
    • JamesBisee
      Купить газовый котел с закрытой камерой сгорания в Москве
      https://www.fire-flower.ru/
      https://www.google.tg/url?q=https://fire-flower.ru
    • PR55.RP55
      По всей видимости uVS не всегда может получить доступ к: Hosts Нужно чтобы в Лог писалась информация: "Нет доступа  к Hosts " Вроде сейчас uVS  соответствующих записей не создаёт?
×