Anti-Malware.ru и AV-Comparatives.org объявляют об альянсе - Страница 2 - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
A.

Anti-Malware.ru и AV-Comparatives.org объявляют об альянсе

Recommended Posts

A.
Не ужели от этого? Каждый сам в праве вывешивает свои пресс-релизы на своем сайте как нравится. Еще можно обратить внимание на качество английского языка в блоге или на дизайн еще вот. Что обсудить больше нечего в свете данной новости? Что за попытки свести обсуждение важной новости к бесполезному флейму?

Сергей, а что вы так нервничаете ?

Мне кажется, что текст опубликованный здесь - не совпадает с тем, что Клементи написал в своем блоге. Вы считаете это бесполезным флеймом ?

Хорошо, давайте по пунктам тогда, если уж желаете серьезно.

До конца 2008 года Anti-Malware.ru и AV-Comparatives.org намерены создать уникальную систему комплексной оценки эффективности антивирусных решений.

We decided to share results with the russian Anti-Malware-Test-Lab in the second half of 2008.

Вы систему оценки создавать будете или же результатами делиться ??

Собственно это и есть именно то, что меня смутило. Мне показалось, что вы и Клементи - по-разному понимаете, то в чем будет заключаться ваше сотрудничество.

Если альянс оправдает наши надежды, то мы планируем привлекать к сотрудничеству и другие лаборатории, не ограничивая их самостоятельности", - прокомментировал Андреас Клименти, основатель и руководитель AV-Comparatives.org.

In case that this partnership is successful for both parties, we may continue and expand it during next years.

Он говорит только о сотрудничестве с вами, о "других" ни слова нет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Вы систему оценки создавать будете или же результатами делиться ??

Собственно это и есть именно то, что меня смутило. Мне показалось, что вы и Клементи - по-разному понимаете, то в чем будет заключаться ваше сотрудничество.

Тогда так и надо было писать сразу. Сейчас объясню. Мы планирует делиться результатами своих (существующих до объявление альянса) тестов, так как отказываться от них никто не планирует. У Андреаса своя бизнес-модель и свои, подстроенные под нее тесты, у нас - свои тесты.

На первом этапе планируется объединение тестовых линеек, что ИМХО очень кстати, потому как линейки тестов удачно дополняют друг друга. У нас нет теста on-demand, тест на проактивку не такой раскрученный, а у партнера нет никаких тестов похожих на наши (кроме полиморфиков). Т.е. первый этап: расшаривание, объединение знаний, обмен информацией и т.д.

Затем мы можем приступить и к второму этапу - совместным тестам и единой системе интегрированной оценки эффективности работы антивирусных продуктов. Полная линейка тестов есть, ресурсы есть, методология готовится. Вопрос весь только в синхронизации результатов (состав вендоров) и в разработке методологии.

In case that this partnership is successful for both parties, we may continue and expand it during next years.

Смысл этой выдранной из контекста фразы в том, что альянс будет расширяться (см. полный текст пресс-релиза, не важно на каком языке). Я сейчас не могу раскрывать всех планов, но очень вероятно стоит ожидать расширения альянса ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
а у партнера нет никаких тестов похожих на наши (кроме полиморфиков). Т.е. первый этап: расшаривание, объединение знаний, обмен информацией и т.д.

вот с теста на полиморфики я вам и советую начать совместные тесты, у вас результаты в этих тестах как раз абсолютно не совпадают :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
вот с теста на полиморфики я вам и советую начать совместные тесты, у вас результаты в этих тестах как раз абсолютно не совпадают rolleyes.gif

Будем работать, улучшать существующие методики тестирования, разрабатывать новые.

А вот и первые статьи пошли по наш альянс

http://www.news.com/8301-10789_3-9902580-57.html

http://www.cnews.ru/news/line/index.shtml?2008/03/25/293587

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Еще некоторые интересные ссылки с лент новостей:

Antiviren-Software-Tester kooperieren

http://www.zdnet.de/security/news/0,39029460,39188782,00.htm

Antiviren-Software-Tester bilden Partnerschaft

http://www.computerwoche.de/knowledge_cent...curity/1859356/

Wonder Twin Anti-Malware Powers: Activate!

http://www.maximumpc.com/article/daily_new..._another_victim

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Ага и вот вам "поздравления" от Панды ...

I've just read a press release form AV-Comparatives where they announce a partnership with AntiMalware Test Lab. Long time ago we decided not to participate in AV-Comparatives tests, for a number of reasons. Our opinion is the following:

- The tests should be run by skilled people that must be able to distinguish a malware sample from a goodware one.

- The testers should have a malware test-bed, and of course it should include malware files, with no clean files, no damaged files, etc. It also has to be representative, it does not make sense to test malware that died 15 years ago.

- The testers should check the detection capabilities of each and every product. To do that you will run different samples and see what each product is able to do (behaviour blocking, heuristics, signatures, etc.).

- The testers should be vendor independent, to avoid any bias.

Even though the new alliance won't solve all the mentioned problems, at least we know that now there is someone that knows the difference between a Trojan and a goodware file. We'll be looking forward for new tests run, let's see if we can see something more scientific and serious than a simple "right click on folder, run scan". Anyone can do that at home.

Finally, there is something really serious going on that I have to point out: for the tests in 2008, AV-Comparatives is charging AV companies in order to appear in their tests: some of them are paying 8,000?, another ones just 4,000?, others 2,000? and even others will be tested for free. Can we be sure that there will not be any bias when testing someone who paid him 8,000? against another one that is being tested for free? I kindly ask you to have this in mind while reading a magazine comparative when the results are provided by AV-Comparatives. For magazines and other reviewers, we recommend you take a look at tests run by true knowledgeable professionals such as AV-Test.org.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Все бы хорошо, правильные слова Panda вещает, всегда есть о чем подумать, на что посмотреть повнимательнее. Вот только последнее предложение зря они написали ... :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Шабанов
Ага и вот вам "поздравления" от Панды ...

Видимо Панда как раз из тех, кто должен платить 8к :D

А Маркс "профессионал" только на бумаге, в этом мы уже убедились по последним тестам:

http://www.anti-malware.ru/forum/index.php?showtopic=4302

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Finally, there is something really serious going on that I have to point out: for the tests in 2008, AV-Comparatives is charging AV companies in order to appear in their tests: some of them are paying 8,000?, another ones just 4,000?, others 2,000? and even others will be tested for free. Can we be sure that there will not be any bias when testing someone who paid him 8,000? against another one that is being tested for free? I kindly ask you to have this in mind while reading a magazine comparative when the results are provided by AV-Comparatives. For magazines and other reviewers, we recommend you take a look at tests run by true knowledgeable professionals such as AV-Test.org.

все хорошо Сергей, но такая странная ценовая дифференциация вашего партнера (если она действительно такова) несколько удивляет. Если бы четко были партнерские статусы прописаны - тогда да, а так ведь ничего не написано...

Кстати а нет ли такого же публичного рассказа о том, что почему они в VB100% не участвуют?

А про AV-Test.org у них просто выбора нет участовать или нет, он не спрашивает пока ни укого согласия:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
все хорошо Сергей, но такая странная ценовая дифференциация вашего партнера (если она действительно такова) несколько удивляет. Если бы четко были партнерские статусы прописаны - тогда да, а так ведь ничего не написано...

Мы будем это обсуждать, очевидно, что нашему партнеру нужно прейти к более прозрачной финансовой практике.

А про AV-Test.org у них просто выбора нет участовать или нет, он не спрашивает пока ни укого согласия:)

Согласен. На самом деле Panda всегда хотела участвовать в тестах AV-Comparatives.org, но несогласившись с уловиями теперь поливают тесты грязью. Все ячно как божий день ;)

Вообще если кто-то кого-то пытается вот так опустить, то подумайте зачем это нужно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
IBK

"For magazines and other reviewers, we recommend you take a look at tests run by true knowledgeable professionals such as AV-Test.org."

Panda read on my blog how their product scored in the ProtectStar review (they scored quite low), that's why they try to damage control by bashing us in advance and by promoting someone else. Probably in the next days I will write in my blog what is really going on, why Panda was excluded by AV-Comparatives from the tests in 2004 (it was not Panda opting out) and which persons/testers are bashing other testers by msg some vendors, journalists and users (with "anonymous" posts in forums). I will try to write in a way that will not harm too much those parties, but as they attack us, I will have to defend/clarify some things and state some facts.

(p.s.: i rarely visit/translate this forum, so please excuse me if i am very rarely here and do not write in russian).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Шабанов
Согласен. На самом деле Panda всегда хотела участвовать в тестах AV-Comparatives.org, но несогласившись с уловиями теперь поливают тесты грязью. Все ячно как божий день

По сути у Панды нет другого выхода, как считать Маркса единственным профи, так как они принимают участие в тестах только у него.

Но ведь они могли и промолчать по поводу альянса, интерес оставить только Маркса значит у них существенный :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
"For magazines and other reviewers, we recommend you take a look at tests run by true knowledgeable professionals such as AV-Test.org."

Panda read on my blog how their product scored in the ProtectStar review (they scored quite low), that's why they try to damage control by bashing us in advance and by promoting someone else. Probably in the next days I will write in my blog what is really going on, why Panda was excluded by AV-Comparatives from the tests in 2004 (it was not Panda opting out) and which persons/testers are bashing other testers by msg some vendors, journalists and users (with "anonymous" posts in forums). I will try to write in a way that will not harm too much those parties, but as they attack us, I will have to defend/clarify some things and state some facts.

(p.s.: i rarely visit/translate this forum, so please excuse me if i am very rarely here and do not write in russian).

Andreas ? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Andreas ? smile.gif

Да, да, это он. Теперь все ясно с пандой?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Да, да, это он. Теперь все ясно с пандой?

пока нет. подождем что Андреас в блоге напишет, как обещал.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

А еще я рекомендую заинтересованным в теме ознакомиться в этим вот топиком:

http://www.wilderssecurity.com/showthread....9292&page=3

Там масса интересного, перед чтением запасайтесь кока-колой и чипсами. похоже, следующий амтсо митинг будет весьма прикольным.

например:

There were several reasons we at F-Prot decided not to participate in the tests done by Andreas Clementi this year - one being the development of the tests vs. the development of our technology. We are moving more and more into "pro-active" heuristic detection (which is clear if you look at the shadowserver.org data), but those tests are moving in a very different direction, which right now is of little value to us. We expect his to change once certain new products from us become available, and we will probably ask to re-join at that time.

Sorry about how vague this is, but there are some things I prefer not to discuss in a public forum.

+

Dr.Web withdrew from the AV-Comparatives for one reason - it does not help it to make a progress on the market. All pros and contras have been said - but this is in the past. The technology that Dr.Web uses has not so far been tested at AV-Comparatives. Besides, the world of AV testing is quickly moving (many AVs met in Bilbao in January to start the discussion over tests and reviews, which means that not just Doctor Web is concerned with the tests quality).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Читал, ветка отличная, присоединяюсь к рекомендациям A. :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Besides, the world of AV testing is quickly moving (many AVs met in Bilbao in January to start the discussion over tests and reviews, which means that not just Doctor Web is concerned with the tests quality).

А вот господин Гребенюк считает что тусовка из Бильбао пилит деньги и нихрена хорошего не делает

нет единства внутри компании, нет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
IBK

I decided to stay diplomatic and did not disclose all details and connections we know.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr
А вот господин Гребенюк считает что тусовка из Бильбао пилит деньги и нихрена хорошего не делает

нет единства внутри компании, нет

Качеством тестов не только "Доктор Веб" озабочен. И, если вспомните, я озаботился только присутствием в оргядре Симантека, Маркса и Панды. сказав, что американцы при любом раскладе будут создавать некий стандарт тестирования - я охарактеризовал стандартную американскую позицию. А хотелось видеть наших.... Далее есть их стандартная отмазка - ваш тест не катит, поскольку не соответствует стандарту. Только это. Иван, и где найдено противоречие? Остальное -хорошее или не очень - оценим мы с вами, но со временем. С чипсами, кокой или пивом.... Но лучший судья - время. Пока - увы! видим декларации, уже много деклараций увидели, очень много букв, а хочется - дела...

Кроме того, это мое личное мнение, как тестера :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Шабанов
пока нет. подождем что Андреас в блоге напишет, как обещал.

Андреас отписался у себя в блоге:

http://www.av-comparatives.org/weblog/?p=95

Мне понравилось, очень открыто и дипломатично :)

Интересный обзац:

I could give details about why there were excluded from several tests, what kind of people they have working in their company or how in the past they conspired to bias comparatives and get better results. But I´ll not do that because if they don´t mind having no ethic I do.

Кстати Панда изменила последнее предложение, теперь они уже ничего не рекомендуют, а лишь просят "иметь в виду" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Fil

Как много стало появляться тестов :wacko: av-comparatives.org, vb100%, av- test, anti-malware и т.д. У всех разные оценки, все тащят одеяло на себя. А что делают обычные польхзователи? - Смотрят на всё это и думают "что за йопт, какое же антивирусное решение выбрать?"... так выбрал и я: пришлось 2 антивиря приобретать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Илья Рабинович
"что за йопт, какое же антивирусное решение выбрать?"

То, что с поведенческим блокиратором.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
То, что с поведенческим блокиратором.

Эх, если б было всё так просто... А почему не то, что от руткитов систему лечит? Или, если компьютер с малыми системными ресурсами, то почему не поставить что-нибудь полегче/попроще и не забывать ставить актуальные заплатки на систему и больше упор делать на использование собственных мозгов, дабы ограничить количество каналов поступления вредоносов? Илья, вроде умный человек, а так всё упрощаете.

Потому и так много тестов, потому что антивирусы - весьма многогранное ПО. И чёткой общепризнанной методики определения их качества пока нет (и вряд ли будет когда-либо).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Александр Шабанов

Нашел ну оочень интересный комментарий по сему действию, статью на французском источнике:

http://www.01net.com/editorial/376029/les-...is-en-question/

Тема статьи следующая: "Антивирусные сравнительные тесты все чаще ставят под сомнения"

Самым интересным являются комментарии Бориса Шарова, генерального директора ООО "Доктор Веб", а говорит он следующее:

« Derrière le terme "partenariat" il faut comprendre "business" : nous ne participons plus aux tests de ces deux sites car ils demandent aux éditeurs d'antivirus de rembourser les frais occasionnés par leurs comparatifs. Notre position est claire : à la différence d'autres concurrents, nous ne paierons jamais des testeurs, quels qu'ils soient. »

Что означает, что продуктовая линейка Dr.Web никогда больше не будет участвовать в тест ни Av-comparatives.org, ни в тестах Anti-Malware.ru, ну если с Андреасом понятно, то каким образом убрать Dr.Web из наших тестов? Судебное разбирательство?

Pour éviter tout procès, les organismes qui feront des tests comparatifs devront donc masquer le nom des éditeurs ou monter un partenariat avec eux...

Вот тоже очень эмоционально:

"« Les antivirus ne peuvent s'améliorer que grâce aux travaux de nos chercheurs et aux échanges d'informations entre éditeurs. Pas grâce à ces testeurs !»"

Еще есть интересные комментарии по тесту на руткиты и AMTSO, советую почитать :)

Борис Александрович, что ж Вы так на французском ресурсе, а мы тут и не знаем, что Вы отказались от участия в наших тестах. Конечно очень жаль, видимо руководство ООО "Доктор Веб" в очередной раз смотрит только себе под ноги.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      Несколько не по теме. Но для владельцев сайтов актуально... https://www.comss.ru/page.php?id=20880
    • santy
      RP55, По п.10 уже есть реализация: в 5.04 o Переменные окружения всех пользователей с некорректным содержимым теперь добавляются
         в список как подозрительные объекты со статусом "ПЕРЕМЕННАЯ".
         Удаление такого объекта приведет к удалению переменной пользователя или 
         к восстановлению значения по умолчанию если это системная переменная.   по п. 8, для задач в uVS публикуется командная строка, но то что стали модифицировать известные задачи, это да, теперь придется за всеми задачами следить по п.7 В uVS есть указание на то что известный файл размещен по нестандартному пути, по идее тоже должно попасть в подозрительные. по п.6 Ранее уже сталкивались с подобным зловредом,  здесь, https://chklst.ru/forum/discussion/76/kak-udalit-bekdor-crexv-i-vosstanovit-normalnuyu-rabotu-menyu-pusk-v-xpvistaseven  
    • demkd
      ИИ — полезная штука, но, к сожалению, бесплатные версии, как тот же Google Gemini Flash, тупенькие на уровне 12b моделей, делают колоссальное число ошибок по мелочам. Яблочко от яблони... Мало того, "новое" у них обычно старое с отставанием на год, и это в лучшем случае. Я сейчас как раз занимаюсь новой, уже 3-й версией своего "Клавиатурного помощника". В нём будет поддержка локального ИИ, горячих ИИ-клавиш, голосовых команд, голосового ввода и вспомогательной LLM для переводов, правки текста и т.п. Именно локального ИИ без необходимости обращения в сеть и сопутствующих утечек данных И это не для старого железа — нужно как минимум много памяти и современный процессор, в идеале хотя бы RTX 5060 Ti 16 ГБ в качестве ускорителя. А результат, ну, такой себе. ИИ слишком склонен ошибаться, и доверять ему что-то серьёзное пока не стоит, даже код пишет, который как-то работает, но в нём масса мелких и незаметных ошибок и уязвимостей. 
      Текст исправлен с помощью Google Gemma 4 E4B. 
    • PR55.RP55
      Вы сказали: "Найди все новые ключи которые появились 2026 г. и ранее не использовались... Можешь ?"
      *Да, я могу помочь* составить список новых ключей реестра и путей
      автозагрузки, которые вредоносное ПО использует в текущих кампаниях
      (включая модификации 2026 года), маскируясь под легальные системные
      компоненты. ( скопирую частично) :   * *|HKLM\SOFTWARE\Classes\Protocols\Filter|* и *|\Handler|* — новые
          модификации Adware перехватывают протоколы edge:// или msproedg://
          для подмены поисковой выдачи.   * *|HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|* —
          использование подсистемы WSL для скрытого автозапуска
          Linux-ориентированных рекламных модулей, незаметных для стандартных
          триггеров автозагрузки Windows. Современные зловреды (особенно Adware и майнеры) научились прописываться
      в тихий автозапуск без создания классических ключей |Run| или
      |Services|. Они используют встроенный механизм Windows 10/11 —
      *псевдонимы выполнения приложений*.   * *Суть*: В реестре создается связь в ветке
          |HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths| или через
          механизм |AppXPackage|. Зловред подменяет вызов легальной команды
          (например, при наборе пользователем |notepad| или |calc| в строке
          «Выполнить») и запускает свое тело.
        * *Что добавить в памятку*: Обращать внимание на появление кастомных
          записей в блоке «Псевдонимы приложений» и проверять, куда
          перенаправляются стандартные системные вызовы. 2. Подмена через каталоги |Lxss| (WSL — Windows Subsystem for Linux)
      Это одна из самых опасных современных тенденций, так как многие
      антивирусы до сих пор слабо сканируют Linux-среду внутри Windows.   * *Суть*: Майнеры и стилеры прописывают свой запуск внутри
          дистрибутива WSL (ключ реестра
          |HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|). При старте
          Windows запускается скрытая фоновая сессия WSL, которая активирует
          ELF-бинарник (Linux-вирус). В логах автозапуска Windows это выглядит
          как легальный старт службы |wsl.exe|, но с хитрыми аргументами.
        * *Что добавить в памятку*: Формула «А+В+С»: если |wsl.exe|
          запускается автоматически с флагами |-d| (конкретный дистрибутив)
          или скрытыми bash-скриптами — это 100% повод для изоляции и проверки
          содержимого виртуального диска VHDX. 3. Продвинутый Timestomping с подделкой под апдейты ОС
      Раньше вирусописатели просто копировали даты у соседних файлов
      (|kernel32.dll| и т.д.). Теперь они действуют умнее:   * *Суть*: Дата создания файла выставляется ровно на день/час крупного
          официального обновления Windows (например, подстраиваются под график
          Patch Tuesday от Microsoft). Аналитик смотрит на лог uVS, видит дату
          (например, |14.10.2025|) и думает: «А, ну это тогда накопительный
          апдейт прилетел, файл чистый».
        * *Что добавить в памятку*: Правило проверки контрольных сумм. Не
          верить датам, даже если они идеально совпадают со временем
          системного обновления. Если у файла из папки |System32| с
          «правильной» датой обновления отсутствует валидная ЭЦП (или статус
          |Цифр. подпись: НЕТ|) — это критический триггер. 4. Атаки типа Living off the Land (LotL) через новые системные утилиты
      Вместо использования заезженных |powershell.exe| или |cmd.exe|, которые
      сейчас жестко блокируются любым EDR/антивирусом, малварь перешла на
      легальные, но редкие утилиты Windows (LOLBins).   * *Суть*: Для скачивания и запуска вредоносного кода используются
          системные компоненты:
            o |curl.exe| (теперь встроен в Windows) — для скрытой загрузки
              полезной нагрузки.
            o |tar.exe| — для распаковки зашифрованных архивов со стилерами
              прямо «на лету».
            o |winget.exe| (Windows Package Manager) — для скачивания
              вредоносных утилит из легальных репозиториев.
        * *Что добавить в памятку*: В uVS нужно тщательно анализировать
          параметры запуска командной строки в Планировщике задач (|TASKS|),
          если там фигурируют |curl|, |tar| или |bitsadmin|, качающие что-то с
          внешних IP-адресов. 6. Скрытые модификации через COM-объекты (COM Hijacking без изменения
      файлов)
      Вместо перезаписи файлов в |System32| или создания явных ключей |Run|,
      малварь перехватывает легальные системные интерфейсы через реестр.   * *Суть*: Зловред прописывает путь к своей вредоносной DLL в ветку
          *|HKCU\Software\Classes\CLSID\{GUID}\InprocServer32|*. При этом
          берется GUID легального и часто используемого компонента Windows
          (например, Проводника, контекстного меню или планировщика). Как
          только система или пользователь совершает обычное действие
          (открывает папку, кликает правой кнопкой мыши), Windows
          автоматически подгружает вредоносную DLL.
        * *Что добавить в памятку*: В uVS такие объекты часто попадают в
          категорию «Подозрительные CLSID» или скрытые расширения оболочки.
          Если в ветке |HKCU| (пользовательский уровень) переопределяется
          системный GUID, который по умолчанию должен жить только в |HKLM|
          (уровень системы) — это явный признак перехвата. 7. Спуфинг цифровой подписи через уязвимости каталогов (Catalog Signing
      Spoofing)
      Малварь научилась обходить базовую проверку подписей, из-за чего в логах
      некоторых утилит файл может ошибочно помечаться как «Подписан Microsoft».   * *Суть*: Используются уязвимости в механизме проверки файлов через
          каталоги безопасности Windows (|.cat| файлы). Вредоносный бинарник
          модифицируется таким образом, что его хэш совпадает с хэшем
          легального файла в базе данных каталогов (используются коллизии или
          специфические уязвимости парсинга).
        * *Что добавить в памятку*: Правило двойной проверки. Если файл
          находится в нетипичном месте (например,
          |C:\Users\...\Temp\svchost.exe|), но uVS или ОС рапортует, что у
          него «Валидная подпись Microsoft» — необходимо принудительно
          отправлять хэш файла на VirusTotal через встроенную функцию uVS или
          проверять подпись сторонними утилитами (например, |Sigcheck| от
          Sysinternals) с проверкой отзывов сертификатов. 8. Эксплуатация механизма «Служб доставки обновлений» браузеров
      (Edge/Chrome Maintenance)
      Рекламное ПО (Adware) и кликеры ушли от создания собственных явных служб
      и теперь паразитируют на легальных планировщиках браузеров.   * *Суть*: Вредоносный скрипт не создает новую задачу в Планировщике.
          Вместо этого он модифицирует параметры /уже существующей/ легальной
          задачи, например, |MicrosoftEdgeUpdateTaskMachineCore|. В
          оригинальную команду дописывается скрытый аргумент
          (аргумент-паразит), который раз в сутки скачивает или запускает
          рекламный модуль. Аналитик видит знакомое имя задачи Edge, видит
          легальный путь к апдейтеру и пропускает её.
        * *Что добавить в памятку*: При анализе задач Планировщика (|TASKS|) в
          uVS нужно смотреть не только на имя файла, но и *полностью
          разворачивать строку аргументов*. Любые добавленные URL-адреса,
          вызовы |cmd /c|, или сторонние пути в параметрах легальных служб
          обновления — это стопроцентный признак компрометации. 10. Фейковые системные переменные в путях автозапуска
      Обман визуального восприятия аналитика через манипуляцию переменными среды.   * *Суть*: В реестре или планировщике путь к файлу прописывается как
          |%SystemRoot%\System32\drivers\malware.sys|. Но перед этим на уровне
          пользователя (|HKCU\Environment|) создается кастомная переменная
          |%SystemRoot%|, которая указывает вовсе не на |C:\Windows|, а на
          |C:\Users\Public\Documents|. В итоге аналитик глазами видит
          «безопасный» системный путь, а система при загрузке идет в скрытую
          пользовательскую папку.
        * *Что добавить в памятку*: Всегда проверять блок «Переменные
          окружения» в начале лога uVS. Любые попытки переопределить
          стандартные переменные вроде |%SystemRoot%|, |%WinDir%| или
          |%ProgramFiles%| на уровне текущего пользователя — это критическая
          угроза.
    • PR55.RP55
      Сейчас дал ИИ задание напиши скрипт и... Вот:  ( взял Инфо. из одного из старых образов) Скрипт лечения для uVS Чтобы полностью удалить эту службу, связанные с ней файлы и очистить ссылки в реестре, выполните следующий скрипт: text ; uVS v4.15.1 [Script] ; Target OS: Windows ; Удаление вредоносной службы и основного файла апдейтера delref %Network%\C:\PROGRAM FILES (X86)\YONTOO\Y2DESKTOP.UPDATER.EXE ; Удаление исполняемого файла в AppData, вызываемого через параметры службы delref %AppData%\YONTOO\YONTOODESKTOP.EXE ; Принудительное удаление самой службы из реестра delsrv Yontoo Desktop Updater ; Очистка остаточных путей и каталогов Yontoo deldir C:\Program Files (x86)\Yontoo deldir C:\Users\cappu44ino\AppData\Roaming\Yontoo ; Перезагрузка для применения изменений restart --------- Я сильно не увлекался - так для примера.  
×