Анализ рынка антивирусной защиты в России 2007-2008 - Страница 3 - Тесты и сравнения - Форумы Anti-Malware.ru Перейти к содержанию
Иван

Анализ рынка антивирусной защиты в России 2007-2008

Recommended Posts

.:: NeoGen ::.
Евгений мыслил глобально. Symantec - мировой лидер Антивирусного рынка и с большим отрывом от ближайших конкурентов McAfee и Trend Micro. В мировом масштабе доля ЛК достаточно мала, но естественно они не хотят останавливаться на достигнутом. Ну что ж, поживем - увидим :rolleyes:

То что Symantec - мировой лидер Антивирусного рынка это не вызывает сомнения, но если посмотреть по долям рынка России, то она в 2007 году уменьшилась, аж на 9.0 % так же можно сказать и про объем продаж за 2007.

Мне кажется, что еще год, два если Лаборатория Касперского, будет так же продолжать наращивать свои объемы производства, то возможно и на мировом рынке картина изменится, в сторону ЛК.

Пожелаем же ЛК успешного развития :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr
То что Symantec - мировой лидер Антивирусного рынка это не вызывает сомнения, но если посмотреть по долям рынка России, то она в 2007 году уменьшилась, аж на 9.0 % так же можно сказать и про объем продаж за 2007.

Мне кажется, что еще год, два если Лаборатория Касперского, будет так же продолжать наращивать свои объемы производства, то возможно и на мировом рынке картина изменится, в сторону ЛК.

блаженны верующие. Еще 23 км - из известного анекдота про коммунизм. решения от Симантек - корпоративный стандарт для значительного сегмента рынка. И пока не очень заметно прорывов именно в этом моменте ( перехода на стандарт от ЛК)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
Симантек - корпоративный стандарт для значительного сегмента рынка.

И пока не очень заметно прорывов именно в этом моменте ( перехода на стандарт от ЛК)

...Чему есть ряд объективных причин, одна из самых заметных -

странная неспособность обеспечить выпуск стабильных обновлений антивирусных баз,

(которые и в сезоне 2008 уже несколько раз "радовали"), что является одним

из важнейших факторов для корпоративного сектора.

И это лишь видимая "часть айсберга".

А если вспомнить откровения codelancer-а, смысл которых

сводился к тому, что посетители форума "не знают, насколько кривые обновления

иной раз выпустит ЛК", то, как говорится, no comments...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kokunov Aleksey
не знают, насколько кривые обновления

иной раз выпустит ЛК"

знаем, но не сильно переживаем ;)

С некоторых пор базы сначала выкладываются на тестовые сервера, а потом уже на "боевые", так что "все нормуль" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
знаем, но не сильно переживаем :)

С некоторых пор базы сначала выкладываются на тестовые сервера, а потом уже на "боевые"

Вы имеете ввиду, что "с некоторых пор" это в смысле совсем недавно,

или включая и "сезон 2008" (что не помогло предупреждению случаев 2008г) ?

так что "все нормуль" :)

Боюсь, что сегмент Enterprise не разделяет Вашего оптимизма;)

Хотя в этой теме, это явный оффтоп...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Вообще, действительно, отсутствие в рейтинге и, более того, неупоминание продукции Avira с чем-то связано?
У Авиры целая плеяда микро-реселлеров, но единого центра "проталкивания" продукта в СНГ нет (насквозь "пиратские" Белгород и Харьков не в счет). У Alwil (Avast!) с 2005 года, впрочем, тоже - центр-то в Петергофе располагался, но было продано безумно мало копий, да и локализация, сделанная вскладчину чехами и русскими, не закончена.

Виталий, вы уже фактически сами ответили на вопрос. По моим оценкам объем продаж Avira (именно продаж, а не халявных лицензий) мал чтобы вычленить его из категории другие. Кроме того отсутствует официальный источник информации в лице дистрибьютора или центра компетенции.

EYE, в чем по смыслу отличается цитата господина Альбитова и моя? Что-то я не понял ... <_<

IDC и Gartner общаются с вендорами - мы делаем тоже самое, правда не все отвечают. В этом случае - это их проблемы, теперь пусть машут кулаками после драки. IDC и Gartner проверяют данные - мы делаем тоже самое, я об этом написал. Так что мы работаем совсем не хуже, а понимания рынка, пожалуй, у нас местами побольше. ;)

P.S. Статьи в PCWeek и Cnews отличные получились. Респект Владимиру Митину и Надежде Гениной! Разобрались и профессионально по-журналистки написали.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
EYE, в чем по смыслу отличается цитата господина Альбитова и моя? Что-то я не понял ... dry.gif

Насколько я могу судить по публикации, отличие заключается в том,

что Албитов считает сомнительным использование косвенных и неофициальных данных,

при проведении подобных исследований, учитывая то, что -

"обороты вендоров, приведенные авторами статьи, существенно расходятся

с официальными результатами компаний"

IDC и Gartner общаются с вендорами - мы делаем тоже самое, правда не все отвечают.

В этом случае - это их проблемы, теперь пусть машут кулаками после драки.

На это ведь можно посмотреть и с другой, более корректной стороны -

до тех пор, пока не будет сотрудничества со всеми вендорами,

восприниматься и признаваться подобные исследования не будут...

Так что вендорам ли это нужнее ?

IDC и Gartner проверяют данные - мы делаем тоже самое, я об этом написал.

Да, только судя по публикации, источники используемые Вами при проверке, являются противоречивыми.

Так что мы работаем совсем не хуже, а понимания рынка, пожалуй, у нас местами побольше.

Побольше чем у IDC и Gartner ?

А, как минимум, доступные ресурсы сопоставимы ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Орешин
На это ведь можно посмотреть и с другой, более корректной стороны -

до тех пор, пока не будет сотрудничества со всеми вендорами,

восприниматься и признаваться подобные исследования не будут...

Так что вендорам ли это нужнее ?

Ответ прост - да вендорам. Зачем ? – вопрос к вендорам. Дупляться по отчету именно вендоры, а не АМ – значит им и нужнее. Собрать всех вендоров и уговорить дать вменяемые данные, тем паче на таком «попсовом» рынке как антивирусы, практически не реально. Можно исходить из некой экспертной оценки – она и получилась. Идеально в данном случае, что результаты можно использовать как захочется: от «Посмотрите мы впереди планеты всей…» до «Нас засудили…», как это все воспримется - вопрос к подаче информации.

Возникает вопрос, кому нужен сий рейтинг ? Не знаю, пожалуй, СМИ – производство ради производства. А у пользователей мозги запудрены и так по самое не балуй, за что всем нам отдельное спасибо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Гудилин
Никакой аффилированности между ЛК и Anti-malware.ru нет, — подчёркивает Олег Гудилин. —

Как нет и денежной поддержки проекта Anti-malware.ru с нашей стороны.

Более того, недавно у Сергея Ильина вышел аналитический конфликт с ведущим экспертом ЛК Александром Гостевым"

Гудилин использует историю с Гостевым, как доказательство

отсутствия «аффилированности между ЛК и Anti-malware.ru»

Я действительно читаю эту ахинею, или это лишь мираж:) ?

Мне казалось, что вот это предположение, вызывает лишь сомнения:)

Да, и конфликт, оказывается, был "аналитическим":) ?

"Честно говоря, я не очень слежу за судьбой этого портала..."

Really? А мне казалось, что Олег Гудилин всегда оказывается "в нужное время, и в нужной теме":)

Ну да ладно, мы сейчас не правдивость отдельных участников обсуждаем...

Это все не смешно, это кошмарно.

Ни одной из этих фраз я не говорил, сейчас пытаюсь выяснить откуда они взялись.

Какой к чертям аналитический конфликт!!!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Орешин
Это все не смешно, это кошмарно.

Ни одной из этих фраз я не говорил, сейчас пытаюсь выяснить откуда они взялись.

Какой к чертям аналитический конфликт!!!

:))))))))))) Вспоминается, клиент присылает интервью с ним, большое такое на 2 полосы - целый диалог. И короткая приписка: "Ничего из этого я не говорил..." :))))

Не знаю смешно это или нет, но периодически читаешь, то что якобы я сказал в статьях мысль одна: "Чо серьезно ?". Но уже забил.

Вам правда, правда, действительно в данном случае потребовать опровержение. Хотя очень живенько получилось :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
Ни одной из этих фраз я не говорил

И про отсутствие "аффилированности между ЛК и Anti-malware.ru", тоже:) ?

Шутка:)

Тогда это полный....привет (журналистский):)

Хотя, Сергей считает иначе -

"Респект Владимиру Митину....! Разобрались и профессионально по-журналистки написали":)

Опровержение последует ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Гудилин

Автор статьи в отпуске. Без него, как я понял, ничего не будут делать :angry:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Насколько я могу судить по публикации, отличие заключается в том, что Албитов считает сомнительным использование косвенных и неофициальных данных, при проведении подобных исследований, учитывая то, что - "обороты вендоров, приведенные авторами статьи, существенно расходятся с официальными результатами компаний"

Албитов смотрит со своей стороны и в данном случае не понимает некоторых вещей аналитической работы. Если опираться только на официальные цифры вендоров, то с учетом "российских особенностей ведения бизнеса" у нас получится такое ... вы же не хотите видеть полную лажу, где все будут завышать свои обороты? Я очень надеюсь, что когда-то наступит такой день и можно будет верить на слово цифрам в пресс-релизах, но пока этого делать нельзя.

Я стараюсь делать свою работу качественно и за эти цифры отвечаю, это моя оценки. И потом если у того же Доктор Веба дела в России идут супер хорошо и они такая белая компания, то почему бы господину Шарову для начала не опубликовать какие-то конкретные цифры. Где они выросли в 2.5 раза? Во Франции, может в Германии? Найдите для начала хотя бы одного вменяемого человека в индустрии, который бы подтвердил их рост в России в 2.5 раза. Деньги любят счет и конкретику.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
альтернативные данные.

Красивое исследование, ничего не скажешь, креатива много...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Коллеги, я хочу обратить ваше внимание, что в отчете была исправлена одна ошибка. Сильно не пинайте, но в последний момент "Другие вендоры" выпали и общего объема рынка. Я поправил и оповестил всех журналистов.

Правильный объем рынка - 131 млн, а не 126 как было. Хорошо, что заметили это сейчас.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
Сильно не пинайте, но в последний момент "Другие вендоры" выпали и общего объема рынка. Я поправил и оповестил всех журналистов.

Правильный объем рынка - 131 млн, а не 126 как было.

Сергей, не серьёзно.... Чем дальше в лес...

Сильно "пинать" не буду, но все-таки уточню -

В самом начале, хотелось ненавязчиво посоветовать обзавестись редактором,

но оказалось, что он и так есть. Правда проверяет, судя по-всему,

только название публикации, да орфографию в Word-е...

Публикация, в общем, довольно приличная, но количество допущенных ошибок,

да еще и в статье, непосредственно относящейся к сфере профессиональной деятельности...

Явно стоит _радикально_ пересмотреть подход к подготовке публикаций,

а начать, например, с ожидаемого отчета о тестировании "на быстродействие",

потому что, _уже_ "терзают смутные сомнения"...

Сами же понимаете, что в противном случае, ссылаться на отчеты портала,

станет не совсем разумно, с точки зрения корректности.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
В самом начале, хотелось ненавязчиво посоветовать обзавестись редактором,

но оказалось, что он и так есть.

Текст редактировался, проверялся и не один раз. Не доглядели :(

Явно стоит _радикально_ пересмотреть подход к подготовке публикаций,

Будем стараться ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
moJo

LETA IT-company: исследование «Рынок информационной безопасности 2007-2008»

http://www.ixbt.com/news/market/index.shtml?10/80/53

http://leta.ru/news?year=2008&month=07...d=488848603f155

Ответ конкурентов :blink:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
LETA IT-company: исследование «Рынок информационной безопасности 2007-2008»

Очень смешной раздел "Рынок антивирусных средств". Указана только тройка лидеров (ЛК, Симантек и Eset) - это может назвать любой более-менее продвинутый продавец софта :D

Все остальное - компиляция трудов уважаемых агентств типа IDC, Gartner и нашего Cnews. В чем состоит заслуга Леты в этой работе? Разбавили чужие цифры водой? В любом приличном вузе на защите диплома студентов спрашивают: "В чем состоит личный вклад?"

P.S. Интересно очень, а права на использование в своем отчете данных других компаний куплены? Если использовались открытые источки, где ссылки?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Указана только тройка лидеров (ЛК, Симантек и Eset) - это может назвать любой более-менее продвинутый продавец софта

ваще-то у вас Сергей в исследовании другая тройка...по порядку следования другая

Все остальное - компиляция трудов уважаемых агентств типа IDC, Gartner и нашего Cnews. В чем состоит заслуга Леты в этой работе? Разбавили чужие цифры водой? В любом приличном вузе на защите диплома студентов спрашивают: "В чем состоит личный вклад?"

ну неправда, компиляция цифр и их анализ штука важная, полезная, а главное востребованная. многие консалтинговые компании на этом бизнес строят.

я вот другое подметил, какие-то непонятные рассказы про исследования IDC... я так и не понял из текста кто их делал IDC, IDC совместно с Лета, Лета по методикам IDC? Вот цитата:

Но, к сожалению, достоверных данных по продажам антивирусных

средств нет. Во многом это связано с особенностью российского

рынка, а именно, наличием крупных отечественных вендоров.

Если западные компании сотрудничают с исследовательскими

организациями, то отечественные компании долгое время

адекватно не раскрывали статистику своих продаж. Впрочем,

ситуация начала постепенно меняться. По данным совместного

исследования с IDC, объем рынка антивирусов в конечных ценах

по данным вендоров составляет $140 млн, а по данным

дистрибуторов - $90-100 млн. Эта оценка была сформирована и

посчитана по методологии IDC. Мы считаем методологию расчета

не совсем корректной, что косвенно подтверждается

существенным расхождением в расчетах.

вроде как IDC всегда в деньгах ав компаний считало, а не в ценах конечников как тут написано

и вот чего насчитало http://www.anti-malware.ru/forum/index.php...3&hl=михаил

и еще дальше, когда речь идет об их собственных оценках

По данным НЭСТ и Business Software Alliance, уровень пиратства у

домашних пользователей находится на уровне 85%, в

корпоративном секторе - 65%. Также нужно учитывать, что около

10% домашних пользователей используют бесплатные

программы; в корпоративном секторе таких 1%.

В результате весь антивирусный рынок составляет 110 млн. долларов,

как там были посчитаны 85% и 65% фиг его понимает, официальная цифра BSA по России - уровень пиратства 73%http://global.bsa.org/idcglobalstudy2007/studies/2007_global_piracy_study.pdf

но вот блин даже если опиратся на эти 73%, то все равно не вычислишь какой он антивирусный рынок - ОС от микрософт все равно пиратят больше, чем антивирь - так как стоит дороже. так что цифры эти - что 85%, что 73% это средняя по больнице и выводить из них 110 млн. ав рынка непрально - объем рынка если исходить из методики Леты долже получится заведомо больше 110 лимонов, т.к. пиратят антивирь меньше Мелкомягкой ОС.

только вот какой он по этой методике получится на самом деле не очень ясно - ибо цифр по пиратству именно антивирей нету.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ellestar
...коллега как любой нормальный пользователь должен был обратиться в техподдержку используемого продукта, попросить объяснений, получить инструкции, а не

Вот, а потом такие еще и вякают про продажи. Пользователь нихрена тебе не должен. Я купил продукт, и он должен работать, защиту мне обеспечивать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Вот, а потом такие еще и вякают про продажи. Пользователь нихрена тебе не должен. Я купил продукт, и он должен работать, защиту мне обеспечивать.

1. Мы с Вами на брудершафт не пили, поэтому не тыкайте. И вообще будьте корректны в высказываниях. Если Вы на стороне пользователя продуктов находитесь, это не даёт Вам права хамить. К сожалению, это сейчас обычная практика поведения пользователей. Опьянённые анонимностью, которую дарит Интернет, юзеры всё чаще не следуют никаким элементарным моральным принципам.

2. Пользователь вправе выбирать любой продукт, но у каждого антивирусного продукта бывают проблемы. И их можно и нужно решать через техподдержку. Это нормальная практика.

3. Продукт тоже ничего не кому не должен. Он призван _помочь_ решить проблему. _Гарантий_ совместимости с установленным ПО, отсутствия ошибок в ПО и непропуска вирусов не даёт ни один антивирус. Почитайте лицению к любому ПО. Они все поставляются "как есть".

Windows тоже не должен быть дырявым. Но кто его покупает, довольно быстро понимают, что это не так. На этом и живут антивирусные компании, кстати.

Вы покупаете лицензию на использование программы. Это всё, что Вам должны за Ваши деньги. А не гарантию защиты и право хамить в адрес сотрудников компаний. 1000 рублей в год не стоят того, чтобы это выслушивать.

Я каждый день вижу вирусы, которые на момент обнаружения не определяются большинством антивирусов. При этом часто не определяются всеми антивирусами, популярными в России. И до сих пор довольно часто при этом не помогают эвристические методы и проактивка. А когда происходит заражение, всё зависит от возможностей техподдержки того или иного вендора. И у очень многих с этим проблемы.

Я об этом писал и буду писать, и считаю это важным.

Всего хорошего, эм... пользователь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Lex
У Авиры целая плеяда микро-реселлеров, но единого центра "проталкивания" продукта в СНГ нет (насквозь "пиратские" Белгород и Харьков не в счет).

Перечитал тему целиком, но так и не понял... Почему "пиратские"? На буржуйском сайте эти ребята указаны как единственный официальный дистрибутор. Это разве не источник информации?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.
Перечитал тему целиком, но так и не понял... Почему "пиратские"? На буржуйском сайте эти ребята указаны как единственный официальный дистрибутор. Это разве не источник информации?

Имелось в виду не то. Офисы дистрибуторов в регионах, где уровень пиратства софта выше 95% - несколько экстремальный выбор.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • PR55.RP55
      Вы сказали: "Найди все новые ключи которые появились 2026 г. и ранее не использовались... Можешь ?"
      *Да, я могу помочь* составить список новых ключей реестра и путей
      автозагрузки, которые вредоносное ПО использует в текущих кампаниях
      (включая модификации 2026 года), маскируясь под легальные системные
      компоненты. ( скопирую частично) :   * *|HKLM\SOFTWARE\Classes\Protocols\Filter|* и *|\Handler|* — новые
          модификации Adware перехватывают протоколы edge:// или msproedg://
          для подмены поисковой выдачи.   * *|HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|* —
          использование подсистемы WSL для скрытого автозапуска
          Linux-ориентированных рекламных модулей, незаметных для стандартных
          триггеров автозагрузки Windows. Современные зловреды (особенно Adware и майнеры) научились прописываться
      в тихий автозапуск без создания классических ключей |Run| или
      |Services|. Они используют встроенный механизм Windows 10/11 —
      *псевдонимы выполнения приложений*.   * *Суть*: В реестре создается связь в ветке
          |HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths| или через
          механизм |AppXPackage|. Зловред подменяет вызов легальной команды
          (например, при наборе пользователем |notepad| или |calc| в строке
          «Выполнить») и запускает свое тело.
        * *Что добавить в памятку*: Обращать внимание на появление кастомных
          записей в блоке «Псевдонимы приложений» и проверять, куда
          перенаправляются стандартные системные вызовы. 2. Подмена через каталоги |Lxss| (WSL — Windows Subsystem for Linux)
      Это одна из самых опасных современных тенденций, так как многие
      антивирусы до сих пор слабо сканируют Linux-среду внутри Windows.   * *Суть*: Майнеры и стилеры прописывают свой запуск внутри
          дистрибутива WSL (ключ реестра
          |HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|). При старте
          Windows запускается скрытая фоновая сессия WSL, которая активирует
          ELF-бинарник (Linux-вирус). В логах автозапуска Windows это выглядит
          как легальный старт службы |wsl.exe|, но с хитрыми аргументами.
        * *Что добавить в памятку*: Формула «А+В+С»: если |wsl.exe|
          запускается автоматически с флагами |-d| (конкретный дистрибутив)
          или скрытыми bash-скриптами — это 100% повод для изоляции и проверки
          содержимого виртуального диска VHDX. 3. Продвинутый Timestomping с подделкой под апдейты ОС
      Раньше вирусописатели просто копировали даты у соседних файлов
      (|kernel32.dll| и т.д.). Теперь они действуют умнее:   * *Суть*: Дата создания файла выставляется ровно на день/час крупного
          официального обновления Windows (например, подстраиваются под график
          Patch Tuesday от Microsoft). Аналитик смотрит на лог uVS, видит дату
          (например, |14.10.2025|) и думает: «А, ну это тогда накопительный
          апдейт прилетел, файл чистый».
        * *Что добавить в памятку*: Правило проверки контрольных сумм. Не
          верить датам, даже если они идеально совпадают со временем
          системного обновления. Если у файла из папки |System32| с
          «правильной» датой обновления отсутствует валидная ЭЦП (или статус
          |Цифр. подпись: НЕТ|) — это критический триггер. 4. Атаки типа Living off the Land (LotL) через новые системные утилиты
      Вместо использования заезженных |powershell.exe| или |cmd.exe|, которые
      сейчас жестко блокируются любым EDR/антивирусом, малварь перешла на
      легальные, но редкие утилиты Windows (LOLBins).   * *Суть*: Для скачивания и запуска вредоносного кода используются
          системные компоненты:
            o |curl.exe| (теперь встроен в Windows) — для скрытой загрузки
              полезной нагрузки.
            o |tar.exe| — для распаковки зашифрованных архивов со стилерами
              прямо «на лету».
            o |winget.exe| (Windows Package Manager) — для скачивания
              вредоносных утилит из легальных репозиториев.
        * *Что добавить в памятку*: В uVS нужно тщательно анализировать
          параметры запуска командной строки в Планировщике задач (|TASKS|),
          если там фигурируют |curl|, |tar| или |bitsadmin|, качающие что-то с
          внешних IP-адресов. 6. Скрытые модификации через COM-объекты (COM Hijacking без изменения
      файлов)
      Вместо перезаписи файлов в |System32| или создания явных ключей |Run|,
      малварь перехватывает легальные системные интерфейсы через реестр.   * *Суть*: Зловред прописывает путь к своей вредоносной DLL в ветку
          *|HKCU\Software\Classes\CLSID\{GUID}\InprocServer32|*. При этом
          берется GUID легального и часто используемого компонента Windows
          (например, Проводника, контекстного меню или планировщика). Как
          только система или пользователь совершает обычное действие
          (открывает папку, кликает правой кнопкой мыши), Windows
          автоматически подгружает вредоносную DLL.
        * *Что добавить в памятку*: В uVS такие объекты часто попадают в
          категорию «Подозрительные CLSID» или скрытые расширения оболочки.
          Если в ветке |HKCU| (пользовательский уровень) переопределяется
          системный GUID, который по умолчанию должен жить только в |HKLM|
          (уровень системы) — это явный признак перехвата. 7. Спуфинг цифровой подписи через уязвимости каталогов (Catalog Signing
      Spoofing)
      Малварь научилась обходить базовую проверку подписей, из-за чего в логах
      некоторых утилит файл может ошибочно помечаться как «Подписан Microsoft».   * *Суть*: Используются уязвимости в механизме проверки файлов через
          каталоги безопасности Windows (|.cat| файлы). Вредоносный бинарник
          модифицируется таким образом, что его хэш совпадает с хэшем
          легального файла в базе данных каталогов (используются коллизии или
          специфические уязвимости парсинга).
        * *Что добавить в памятку*: Правило двойной проверки. Если файл
          находится в нетипичном месте (например,
          |C:\Users\...\Temp\svchost.exe|), но uVS или ОС рапортует, что у
          него «Валидная подпись Microsoft» — необходимо принудительно
          отправлять хэш файла на VirusTotal через встроенную функцию uVS или
          проверять подпись сторонними утилитами (например, |Sigcheck| от
          Sysinternals) с проверкой отзывов сертификатов. 8. Эксплуатация механизма «Служб доставки обновлений» браузеров
      (Edge/Chrome Maintenance)
      Рекламное ПО (Adware) и кликеры ушли от создания собственных явных служб
      и теперь паразитируют на легальных планировщиках браузеров.   * *Суть*: Вредоносный скрипт не создает новую задачу в Планировщике.
          Вместо этого он модифицирует параметры /уже существующей/ легальной
          задачи, например, |MicrosoftEdgeUpdateTaskMachineCore|. В
          оригинальную команду дописывается скрытый аргумент
          (аргумент-паразит), который раз в сутки скачивает или запускает
          рекламный модуль. Аналитик видит знакомое имя задачи Edge, видит
          легальный путь к апдейтеру и пропускает её.
        * *Что добавить в памятку*: При анализе задач Планировщика (|TASKS|) в
          uVS нужно смотреть не только на имя файла, но и *полностью
          разворачивать строку аргументов*. Любые добавленные URL-адреса,
          вызовы |cmd /c|, или сторонние пути в параметрах легальных служб
          обновления — это стопроцентный признак компрометации. 10. Фейковые системные переменные в путях автозапуска
      Обман визуального восприятия аналитика через манипуляцию переменными среды.   * *Суть*: В реестре или планировщике путь к файлу прописывается как
          |%SystemRoot%\System32\drivers\malware.sys|. Но перед этим на уровне
          пользователя (|HKCU\Environment|) создается кастомная переменная
          |%SystemRoot%|, которая указывает вовсе не на |C:\Windows|, а на
          |C:\Users\Public\Documents|. В итоге аналитик глазами видит
          «безопасный» системный путь, а система при загрузке идет в скрытую
          пользовательскую папку.
        * *Что добавить в памятку*: Всегда проверять блок «Переменные
          окружения» в начале лога uVS. Любые попытки переопределить
          стандартные переменные вроде |%SystemRoot%|, |%WinDir%| или
          |%ProgramFiles%| на уровне текущего пользователя — это критическая
          угроза.
    • PR55.RP55
      Сейчас дал ИИ задание напиши скрипт и... Вот:  ( взял Инфо. из одного из старых образов) Скрипт лечения для uVS Чтобы полностью удалить эту службу, связанные с ней файлы и очистить ссылки в реестре, выполните следующий скрипт: text ; uVS v4.15.1 [Script] ; Target OS: Windows ; Удаление вредоносной службы и основного файла апдейтера delref %Network%\C:\PROGRAM FILES (X86)\YONTOO\Y2DESKTOP.UPDATER.EXE ; Удаление исполняемого файла в AppData, вызываемого через параметры службы delref %AppData%\YONTOO\YONTOODESKTOP.EXE ; Принудительное удаление самой службы из реестра delsrv Yontoo Desktop Updater ; Очистка остаточных путей и каталогов Yontoo deldir C:\Program Files (x86)\Yontoo deldir C:\Users\cappu44ino\AppData\Roaming\Yontoo ; Перезагрузка для применения изменений restart --------- Я сильно не увлекался - так для примера.  
    • PR55.RP55
      santy Модели ИИ ( я делал запрос к google ) - есть возможность задать вопрос ( дать задание ) по заранее выбранным настройкам: настройки: yaml [SYSTEM_OVERRIDE] ---------- Код он сам себе напишет :)  Главное задать нужные вопросы и потом попросить\ сохранить настройки в виде кода ) Единственно - не все ИХ модели нормально работают. Результаты тоже нужно проверять... Например:  получить Резюме... По записи - ( как в моём примере в Новые функции ) С заранее заданными параметрами - что нам нужно.  Это и для обучения и для экономии времени и когда оператор устал, для написания отчёта - по работе на семинар, при обсуждении на форуме, анализ новых угроз или появился новый ключ автозапуска; там где есть сомнение - что это... Построить цепочку - чтобы увидеть механику процесса\заражения. Увидеть аномалии - как то, что браузер "подписан" но это ЭЦП не головного офиса - а ЭЦП - пусть и "легитимное" - но смежников.  Аномалии пути; размера; схожесть имени и т.д. Никакие настройки uVS этого не дадут.  Можно увидеть никогда ранее неиспользуемый ключ запуска ( или его нестандартное применение ).  Если железо современное - то возможно? - локальные модели ИИ. Можно попробовать например дать задание: Найди все новые ключи которые появились 2026 г. и ранее не использовались...  
    • santy
      Как гипотетические варианты действий: ---------------------- - получить детальную расшифровку выбранного антивирусного детекта по результату проверки файла на VT из экрана ИНФО. Здесь я бы обратил внимание на три основных детекта: у Kaspersky, DrWeb, ESET, возможно + Microsoft. - получить расшифровку по цифровой подписи файла, насколько известна, и надежна. -  может стоит продумать свою классификацию детектов, и потом уже на основании данной классификации находить другие примеры/способы запуска и т.п.
    • santy
      RP55, даже 5, но не 150 в день, по поводу ИИ в uVS: здесь надо понять, какую достоверную полезную информацию может добавить ИИ к тому, что делает uVS: Если просто как хелп для начинающих - это одно, если как помощник при написании скриптов, то здесь уже работает автоскрипт вполне справляется, если ему показать все необходимые  детекты. если как справка  по указанному типу угроз - это часто можно увидеть на ВирусТотал - может через API как то возможно это загрузить.
×